Yahoo!ニュース

IDでもっと便利に新規取得

ログイン

Windows 10のログイン情報が盗まれる? 注意すべき意外なあの機能

配信

  • この記事についてツイート
  • この記事についてシェア
ライフハッカー[日本版]

Windows 10のユーザーは、独自のテーマでデスクトップをカスタマイズすることができ、テーマを自分で作成して他のユーザーと共有することもできます。 ところが、ハッカーがそうしたテーマを悪用してユーザーの認証情報を盗む可能性があることがわかりました。

Windows 10のカスタムテーマに注意

Windows 10のテーマ作成機能に欠陥があるせいで、ハッカーはカスタムテーマを変更できてしまいます。 カスタムテーマがインストールされると、偽のログインページを介してMicrosoftのアカウント名とパスワードデータをユーザーに提供させるという手口です。 正規のWindows 10のテーマなら、インストールした後でユーザーがサインインする必要があるため、ハッカーのこの手口は必ずしも一般ユーザー全般に危険をもたらすわけではありません。 この「Pass the Hash」攻撃は、パスワードをそのまま盗むのではなく、パスワードハッシュ(ごちゃまぜにされた、難読化されたバージョンのパスワードデータ)を盗みます。 企業はパスワードデータをリモートサーバーに保存する際にハッシュ化することでデータをより安全に保存します。 ところが、ハッカーはパスワードを解読するソフトウェアを簡単に入手できるので、パスワードが場合によってはほんの数秒で解読されることもあります。 この脆弱性は、サイバーセキュリティの研究者であるJimmy Bayneさんによって発見されました。 [認証情報を盗むトリック] Windowsの「.theme」という拡張子のファイルを使用することで、壁紙のキーを設定して、リモートでの認証に必要なhttp/sリソースを指定できます。 たとえば、ユーザーがテーマファイルを有効にすると(たとえば、リンクや添付ファイルを開くなど)、Windowsの認証情報のプロンプトがユーザーに表示されます。 BayneさんはMicrosoftにセキュリティリスクを警告しましたが、資格情報の受け渡しは意図的に設けられた機能であるため、テーマ機能を変更するつもりはないと返答されました。 そして不幸にも、ハッカーがこの機能を悪用する方法を見つけてしまったのです。

【関連記事】