長年、Kindleはまるで画面付きの紙の本のような、全く無害なデバイスだと考えられてきました。しかし実際には、セキュリティ上の欠陥と悪意のある電子書籍が組み合わさると、サイバー攻撃の入り口となる可能性もあるのです。このようなケースは稀ですが、可能性は存在するため、個人情報や銀行情報が漏洩するなどの不愉快な事態を避けるためにも、そのことを認識しておくことが重要です。
最近、チェック・ポイント・リサーチなどの企業による複数の調査で、シンプルな電子書籍を使ってKindleを乗っ取ったり、コンテンツを削除したり、ボットに変えたり、さらにはAmazonの認証情報や支払い情報を盗み出したりできることが明らかになりました。今回は、何が起こったのか、これらの脆弱性がどのように機能したのか、Amazonがどのような対策を講じたのか、そして何よりも、Kindleを責任を持って、不必要な不安を感じることなく使うために何ができるのかを詳しく見ていきましょう。
電子書籍によって Kindle がマルウェアに感染する可能性はありますか?
多くの人が抱く疑問は非常に単純です。「インターネットから無料の本をダウンロードすると、Kindleにウイルスが感染する可能性はありますか？」長い答えとしては、一般的ではありませんが、改ざんされた電子書籍ファイルがリーダーのソフトウェアの脆弱性を悪用して悪意のあるコードを実行した事例があります。
一般的なユーザーは、無料の電子書籍サイトからスマートフォンやパソコンに電子書籍をダウンロードし、USBメモリやKindleへの送信機能を使って転送するでしょう。ダウンロードサイトから入手したというだけで必ずしも危険というわけではありませんが、ファームウェアの脆弱性を悪用するように意図的に設計されたファイルであれば、その書籍は攻撃の標的となる可能性があります。
公表された分析によると、電子書籍のフォーマット自体に、 Kindleがファイルを処理する際にエクスプロイトチェーンをトリガーするように特別に設計されたコードが隠されている可能性がある。実際には、これは書籍を開いた際にデバイスが特定のデータを誤って解釈し、攻撃者が昇格された権限でコマンドを実行できるようにすることを意味する。
これらの攻撃で最も不安な点は、ユーザーが特別な操作をする必要がないことです。電子書籍をダウンロードし、デバイスに届くように設定し、他の書籍と同じように開くだけで十分です。ポップアップ広告や不審な要求は一切表示されず、脆弱性はバックグラウンドで悪用されます。
チェック・ポイント・リサーチによるKindleとマルウェアに関する調査結果
大きな衝撃を与えたのは、チェック・ポイント・リサーチ（CPR）がアマゾン・キンドルのセキュリティに関する調査結果を発表した時だった。同社の脅威インテリジェンスチームは、世界で最も人気のある電子書籍リーダーを徹底的に分析し、非常に深刻な攻撃を可能にする複数のソフトウェアの脆弱性を発見した。
このテストでは、研究者たちはKindleの内部ファイル処理の不具合を悪用するように特別に設計された悪意のある電子書籍を用意した。ユーザーが電子書籍を開くと、それ以上の操作（ボタン操作、確認、追加インストールなど）を一切必要とせずに、マルウェアの連鎖が自動的に開始された。
報道によると、攻撃が成功した場合、サイバー犯罪者はデバイスを完全に制御できる可能性があるという。これには、デバイスのトークンを盗み出すこと、Amazonアカウントの認証情報などの機密情報にアクセスすること、さらには書籍の購入やKindle Unlimitedなどのサブスクリプション料金の支払いに使用されるアカウントに関連付けられた銀行口座情報にアクセスすることなどが含まれる。
チェック・ポイント・ソフトウェアのスペインおよびポルトガル担当テクニカルディレクター、エウセビオ・ニエバ氏は、Kindleはしばしば「無害な」デバイスとみなされているが、実際にはインターネットに接続された小型コンピュータであると説明した。つまり、Kindleは携帯電話やコンピュータと同様の多くのリスクを抱えているが、通常は優先的な攻撃対象とは考えられていないだけだという。
CPRが実施したテストでは、悪意のある電子書籍はあらゆる仮想ライブラリからダウンロードできることを確認した。評判の疑わしいウェブサイトからだけでなく、Kindleストア自体のセルフパブリッシング機能を利用したり、メールでKindleに送信するシステムを利用したりすることでもダウンロード可能だった。
Kindleにおける悪意ある電子書籍攻撃の仕組み
Check Pointが明らかにした攻撃の一般的な仕組みは、ユーザーの視点から見ると比較的単純だった。ユーザーは一見普通の書籍を受け取ってダウンロードし、それを開くと、そこからマルウェアが起動する。複雑な点は、そのファイルがKindleのファームウェアの内部脆弱性をどのように悪用するかにあった。
技術デモンストレーションでは、悪意のある電子書籍が、読者のシステム内でスーパーユーザー権限でコードを実行することができた。これにより、攻撃者のリモートサーバーへの接続、画面のロック、内部ストレージの内容の操作、デバイスに保存されている機密データの収集といった侵入行為が可能になった。
潜在的な影響は、数冊の本が台無しになるだけにとどまらない。CPRチームは、攻撃者がユーザーのライブラリ全体を削除したり、Kindleをゾンビネットワーク内のボットに変えて同じローカルネットワーク上の他のコンピュータを攻撃したり、リンクされたAmazonアカウントのパスワード、Cookie、認証情報にアクセスしたりできることを実証した。
さらに、これらの脆弱性は、言語、地域、または人口統計グループを標的とした攻撃への道を開きました。特定の言語で非常に魅力的な無料電子書籍（例えば、ルーマニアのベストセラー）を公開するだけで、被害者のほぼ全員がその国出身であるか、その言語を話す人であることが保証され、サイバー犯罪やサイバースパイ活動にとって非常に魅力的な標的となります。
研究者らが指摘したもう一つの重要な点は、従来のウイルス対策ソフトは通常、電子書籍を実行ファイルのようにスキャンしないということだ。つまり、悪意のある目的で改変された書籍は、セキュリティスキャンで検出されず、オンラインライブラリ（Kindleストアを含む）で無料で入手でき、疑われることなくダウンロード数を積み重ねることができる。
Kindleストアでの自費出版とSend to Kindleサービスが攻撃ベクトルとなる
この話の重要な点のひとつは、Amazonが驚くほど簡単に書籍のセルフパブリッシングを可能にしていることだ。誰でも従来の出版社を通さず、過度に厳格な編集管理を受けることなく、自分の電子書籍をアップロードできる。これは独立系作家にとっては素晴らしいことだが、同時に攻撃者によって悪用される可能性もある。
Check Point社によると、サイバー犯罪者は、一見無害な無料書籍を装って、悪意のある書籍をKindleストアにアップロードする可能性があるという。ユーザーは、その内容や無料という点に惹かれてダウンロードし、その後、デバイス上でファイルを開くと、脆弱性が悪用されることになる。
もう一つ重要な機能は、メールで電子書籍リーダーにドキュメントを送信できる機能で、多くの人が「Kindleに送信」と呼んでいます。各ユーザーにはkindle.comで終わる専用のメールアドレスがあり、承認されたアドレスから送信されたファイルはすべて、電子書籍リーダー上で読める書籍に変換されます。
承認済み送信者リストが正しく設定されていない場合、誰でも所有者の知らないうちにKindleにファイルを送信できてしまう可能性があります。攻撃シナリオでは、誰かがこのシステムを悪用し、改ざんされた電子書籍をデバイスに直接送り込み、ユーザーが通常どおり開くことを当てにしようとするかもしれません。
そのため、専門家はKindleへの送信設定を見直し、信頼できるアドレスのみに送信するようにすることを推奨しています。これにより、将来または未知の脆弱性を悪用するように設計された悪意のあるコンテンツを含む可能性のある、予期せぬ文書を受け取るリスクを軽減できます。
銀行データに対する脆弱性とリスクの深刻度
Kindleで検出された脆弱性は、単なる外観上の欠陥ではなく、チェック・ポイント社によれば、悪意のある人物の手に渡れば「深刻な被害」を引き起こす可能性があるという。リーダー本体の安全性だけでなく、関連するAmazonアカウントのプライバシーとセキュリティ、ひいては請求情報までもが危険にさらされる恐れがあった。
攻撃者はデバイスを侵害することで、Kindleに保存されているあらゆる情報を盗み出すことができる。Amazonサービスを識別する内部トークンから、ログイン認証情報、セッションクッキー、そしてデバイスをユーザーアカウントにリンクさせるためのその他の技術データまで、あらゆる情報が盗まれる可能性がある。
極端なケースでは、サイバー犯罪者が被害者のアカウントでコンテンツを購入したり、支払い情報にアクセスしたり、そのデータを他の窃盗行為と組み合わせてより高度な詐欺に利用したりする可能性があった。この脆弱性を悪用した大規模な攻撃は実際に確認されていないものの、その可能性は高く、相当なものだった。
さらに、Kindleをボットに変えることで、攻撃者はサイバー犯罪のインフラにおける新たな要素を手に入れた。一見無害な読者が、ローカルネットワーク上の他のデバイス（コンピュータ、携帯電話、ルーターなど）への攻撃に参加し、単純な電子書籍から始まった侵入の影響を増幅させる可能性がある。
専門家はまた、これらの脆弱性は標的型攻撃にとって特に魅力的であると強調している。なぜなら、特定の国で非常に人気のある書籍は、疑われることなく、非常に特定のプロファイルを持つ何千人もの市民に到達するための理想的なトロイの木馬になり得るからである。
問題のタイムラインと Amazon パッチ (ファームウェア 5.13.5)
発見された脆弱性の重大性を鑑み、チェック・ポイント社は責任ある情報開示手続きに従って行動しました。2021年2月、同社はKindleに発見されたセキュリティ上の脆弱性についてAmazonに通知し、製造元が問題を調査・修正できるよう必要な技術情報を提供しました。
報告内容を分析した結果、Amazonは悪意のある電子書籍によって悪用された脆弱性を修正するパッチを含むファームウェアアップデートを開発しました。この修正は、Kindleソフトウェアバージョン5.13.5の一部として2021年4月にリリースされました。
アップデートはインターネットに接続されているすべてのデバイスに自動的に配信されました。つまり、Kindleが定期的にWi-Fiネットワークに接続され、自動アップデートが有効になっている場合、ユーザーによる操作は一切不要で、新しいファームウェアがダウンロードされインストールされます。
しかし、多くのリーダーは長時間インターネットに接続されないまま放置されたり、頻繁な同期が行われない非常に孤立した状態で使用されたりすることがあります。このような場合、デバイスは古いファームウェアバージョンで動作している可能性があり、手動で強制的にアップデートするか、十分な時間ネットワークに接続しない限り、脆弱性が残る可能性があります。
複数の情報源によると、このバグを悪用した大規模な攻撃キャンペーンの証拠はないものの、この脆弱性は実際に存在し、非常に危険な可能性があったという。幸いなことに、Check Point社が発見したこの特定の問題は、デバイスにパッチ適用済みのバージョンがインストールされていれば解決される。
実験的なブラウザやその他のあまり目立たないベクトルのリスク
Kindleにおけるリスクは、書籍だけにとどまりません。一部のユーザーが簡単なウェブサイトを閲覧するために時折使用する、いわゆる実験的なブラウザも存在します。その機能は限られていますが、それでもインターネットへの入り口であり、悪意のあるコンテンツに晒される可能性のある経路となります。
Kindleのブラウザでウェブサイトにアクセスした際に、端末の動作がおかしくなり、ブラウザが突然閉じたり、一時的にフリーズしたりするという報告が寄せられている。サイバー攻撃の可能性を恐れた一部のユーザーは、クッキーやキャッシュを削除したり、ページを閉じたり、Kindleを工場出荷時の設定に戻したりといった、思い切った対策を講じている。
ほとんどの場合、このような現象は実際の攻撃というよりも、ブラウザのエラーや最適化が不十分なウェブサイトが原因です。しかし、クレジットカードやデビットカード、あるいはAmazonプライムなどのサービスがアカウントに紐付けられている場合、ユーザーの懸念は十分に理解できます。
Kindleで閲覧中に何か異常に気づいた場合は、ブラウザを閉じ、閲覧データを消去し、疑わしい場合は端末が最新の状態になっているか確認するのが妥当な対処法です。工場出荷時設定へのリセットは、端末を初期状態に戻すためのより抜本的な手段であり、設定とローカルコンテンツは消去されます（ただし、クラウドに保存されている書籍は消去されません）。
重要なのは、Kindleでのウェブブラウジングに関連する脆弱性を技術的に検出することは可能であるものの、それが最も研究されている攻撃経路でも、最も公に悪用されている攻撃経路でもないという点を理解することである。研究の焦点のほとんどは、電子書籍そのものと、システム内での電子書籍の管理方法に当てられている。
マルウェアからKindleを安全に使用する基本的な手順
技術的な詳細を超えて、読者が最も知りたいのは、リスクを最小限に抑えるために日々の生活で何ができるかということでしょう。幸いなことに、いくつかの常識的なガイドラインに従うことで、デバイスの利便性を損なうことなく、問題が発生する可能性を大幅に減らすことができます。
まず最初に、Kindleのファームウェアを常に最新の状態に保つことが重要です。普段は電源に接続していない場合でも、時々Wi-Fiに接続して設定画面でソフトウェアが最新の状態になっているか確認することをお勧めします。セキュリティパッチはこれらのアップデートを通じて提供されるため、これは非常に重要です。
ダウンロードする電子書籍の入手元にも注意を払うことをお勧めします。これは無料書籍サイトをすべて悪者扱いするものではなく、不審なページ、見慣れないダウンロード、予期せず現れるファイルなどを避けるためのものです。書籍の入手元を信頼できるほど、怪しいものが含まれている可能性は低くなります。
Kindleへの送信機能に関しては、アカウント設定を開いて承認済みメールアドレスのリストを確認することをお勧めします。理想的には、自分のアドレス、または本当に信頼できる人やサービスのアドレスのみを登録するようにしてください。Kindleに直接ファイルを送信できるメールアドレスは少ないほど良いでしょう。
最後に、Kindleは携帯電話やコンピューターと同様に、ソフトウェアのインストールや未知のネットワークへの接続のために誰にでも貸し出すべきではないことを覚えておくことが重要です。Kindleは「読書専用」のデバイスのように思えるかもしれませんが、他の接続機器と同様に、デジタル衛生に関する多くの基本原則を共有しています。
全体像を見れば、Kindleは無害な玩具ではないことは明らかですが、かといって時限爆弾でもありません。Amazonがリリースしたパッチ、明らかになった研究結果、そしてユーザーによる最低限の予防措置を講じることで、Kindleでの読書は、デジタル書籍を楽しむための最も便利で、概して安全な方法の一つであり続けています。ただし、電子インク画面の下には、保護に値する小型コンピュータが隠されていることを忘れてはなりません。