クリプトジャッキングは、インターネット衛生に対する新たな脅威になりつつあります。
一部のサイトでは、インターネットパブリッシャーが、訪問者の余剰プロセッササイクルを利用して仮想通貨をマイニングすることで収益を上げています。ページのバックグラウンドで実行されるスクリプトを使ってコインをマイニングするのです。また、ハッカーがページにJavaScriptを埋め込み、密かに仮想通貨を不正に獲得するケースもあります。この手法は「クリプトジャッキング」と呼ばれています。
先月末、デジタル通貨「モネロ」を採掘できる不正なコードがテレビ大手のShowtime.comで謎の出現を見せ、先週にはポルトガル代表およびレアル・マドリードのサッカーのエース、クリスティアーノ・ロナウドの公式サイトにも登場した。
セキュリティ研究者のトロイ・マーシュ氏によると、彼のウェブサイトにあったJSコードはその後削除されたという。
ショータイムとクリスティアーノ・ロナウドのウェブサイトはどちらも、モネロをマイニングするCoinhiveのソフトウェアを使用していました。パイレート・ベイは、後に「テスト」を行ったことを認める前に、意図的にマイニングコードをサイトに埋め込みました。他のケースでは、マイニングは悪意のある広告の副産物であったり、ショータイムとクリスティアーノ・ロナウドのケースのように、正規のウェブサイトが侵害された状態で実行されたりしていました。
CBSのショータイムが視聴者のウェブブラウザで暗号通貨を採掘していたことが判明
続きを読む
セキュリティ研究者のマーシュ氏（@bad_packets）がロナウドサイトの開発者に数日間にわたって熱心に訴え続けた結果、スクリプトは開発者によって配置されたものではないと認められ、CR7の管理会社と話をするよう提案された。
ロナウドの関係者は、 The Register紙による度重なるコメント要請に未だ直接回答していない。「@Cristianoのコードはスロットリングが解除されていたので、おそらく不正行為者がやったのでしょう」とマーシュ氏はThe Register紙に語った。
犯罪者が得る金額は通常非常に少なく、おそらく数千ドル程度でしょう。トラフィックの多いサイトであれば、合法的な広告を通じてより多くの収益を生み出すことができるでしょう。
犯罪者にとって、クリプトジャッキングは、マルウェアやテクニカルサポート詐欺を仕掛ける悪質な広告を配信するよりも利益は少ないものの、多くの利点があります。
一部の専門家は仮想通貨マイニングは窃盗の一種であると主張していますが、苦情が寄せられる可能性がはるかに低いという利点があります。この技術はグレーゾーンにあり、コードがウェブサイト所有者の許可を得て設置されているかどうかの判断が難しいため、さらに分かりにくくなっています。サイトにコードが存在しても、そのサイトのコア機能には影響しません。
Coinhiveは、ウェブサイト所有者がJavaScript APIを使って迅速にマイニングをセットアップできる手段だと謳っています。Malwarebytesのブログ記事で説明されているように、この技術は既に広く悪用されています。
Coinhive を実行しているサイトのリストはこちらでご覧いただけます。CryptoLootMiner と呼ばれる別の悪質なスクリプトは、他のインシデントでも確認されています。®
