サイバーセキュリティ企業ワンデラは、300万人が使用する約23のiOSファイル変換アプリが暗号化を使用しておらず、文書が危険にさらされる可能性があることを発見した。

問題となっているアプリはすべて単一の開発者であるCometdocsによって作成されたものだが、ワンデラ氏はこの発見により、より広範なセキュリティ問題が浮上したと述べている…

Cometdocsは、異なるファイル形式間でドキュメントを変換するアプリを開発しています。例えば、WordからPDFへ、あるいはPDFからPowerpointへなどです。

問題は、変換自体が Cometdocs サーバー上で行われ、元の文書と変換された文書の両方が暗号化されずに送信されることです。

簡単に言えば、Cometdocs アプリは、ファイルを Cometdocs サーバーにアップロードしてから変換し、ユーザーに送り返すように設計されています。

このアプリでは、Gmail、iCloud、DropBox、Google Drive、OneDrive、Boxなどの一般的なファイルホスティングサービスにサインインして、そこに保存されているすべてのファイルを取得できます。また、デバイスから直接ファイルをアップロードすることもできます。

問題は[…] Cometdocsアプリケーションがファイルを暗号化せずに（http経由で）転送しているため、悪意のある攻撃者にファイルをキャッシュして取得する機会を与えてしまうことです。さらに、中間者（MitM）攻撃者は、ユーザーと同じWi-Fiネットワーク上のトラフィックを「スニッフィング」しながらファイルにアクセスできる可能性があります。Cometdocsアプリはファイルを送信およびサーバーに保存する際に暗号化を使用していないため、ネットワークを監視する第三者の手に個人情報が漏洩する可能性があります。

さらに、無料アプリの中には、ユーザーを欺瞞的に利用させ、無料のコンバージョンを得るために非常に長い時間待たせたり、即時コンバージョンのために料金を支払わせたりするものもあります。中には、60～90分以上も待たされたと不満を漏らすユーザーもいます。

影響を受けるiOSファイル変換アプリの全リストは以下をご覧ください。Wanderaは過去3ヶ月間に3回開発者に連絡を取りましたが、返答はありませんでした。

しかしワンデラ氏は、これはこれらのアプリだけの問題ではなく、ユーザーが機密のビジネス文書を扱う未承認のサービスを使用するという、より広範な問題があると述べている。

新興のエンタープライズエッジにおいて、シャドーITは新たな意味合いを帯びつつあります。かつては、従業員が業務で割り当てられたデスクトップにインストールした未承認アプリを指していました。今日、従業員は個人所有または管理されていないデバイスを使用して、クラウドストレージアプリやPDFコンバーターなど、業務で安全だと考えているアプリやサービスを含む、あらゆるアプリやサービスに無制限にアクセスできます。これらの未承認サービスへのフィルタリングされていないアクセスは、クラウドセキュリティ対策をますます損ない、機密データを危険にさらすことになります。なぜなら、IT部門は機密性の高い企業IPがどこにどのように送られているのかを把握したり、制御したりすることができないからです。

havebin.com を Google ニュース フィードに追加します。 

FTC: 収益を生み出す自動アフィリエイトリンクを使用しています。詳細はこちら。