［CRYPTO-GRAM日本語版］フィンランドの携帯電話機のなりすまし

勝村幸博

2004.10.21

　ある注意深い読者が，面白いスプーフィング（なりすまし）攻撃について教えてくれた。その攻撃は，フィンランドのNokia製携帯電話機を使い，フィンランド国内で実行できるそうだ。おそらくほかの国でも使えるだろう。

　ある事情で，この読者はプレフィックス（この例では番号の上3桁）だけが異なる「040 1234567」と「050 1234567」の番号がそれぞれ割り当てられた2台の電話機を使っていた。こんなことが可能だったのは，後者の番号を割り当てた電話会社が，好きな電話番号を選べるサービスを提供していたからだ。

　この読者には，2つの番号のうち一方だけを携帯電話機のアドレス帳に登録している友人がいた。面白いことに，登録されていない番号の電話機で読者が電話をかけても，この友人の携帯電話機の番号表示機能はうまく働き，読者からの電話だと分かるのだ。同じことがテキスト・メッセージ・サービスでも起きた。

　この現象から，電話番号とアドレス帳の登録データを照合する際に，すべての数字をチェックしているわけではないことが分かる。

　この結果，非常に単純なスプーフィング攻撃が可能となる。具体的な手順は以下の通り。攻撃者は，攻撃対象者の電話番号とプレフィックスだけが異なる番号を選び，電話会社と契約する。携帯電話機が照合するのは電話番号の一部だけなので，攻撃者と攻撃対象者は区別できない。この状態で攻撃対象者の知人に電話をしたりテキスト・メッセージを送ったりすると，その知人は攻撃対象者からのメッセージと思い込むだろう。

　素晴らしい。

◆オリジナル記事「Finnish Mobile Phone Spoofing」
◆「CRYPTO-GRAM September 15, 2004」
◆「CRYPTO-GRAM September 15, 2004」日本語訳ページ
◆「CRYPTO-GRAM」日本語訳のバックナンバー・ページ

◆この記事は，Bruce Schneier氏の許可を得て，同氏が執筆および発行するフリーのニュース・レター「CRYPTO-GRAM」の記事を抜粋して日本語化したものです。
◆オリジナルの記事は，「Crypto-Gram Back Issues」でお読みいただけます。CRYPTO-GRAMの購読は「Crypto-Gram Newsletter」のページから申し込めます。
◆日本語訳のバックナンバーは「Crypto-Gram日本語訳」のページからお読みいただけます。
◆Bruce Schneier氏は米Counterpane Internet Securityの創業者およびCTO（最高技術責任者）です。Counterpane Internet Securityはセキュリティ監視の専業ベンダーであり，国内ではインテックコミュニケーションズと提携し，監視サービス「EINS/MSS+」を提供しています。