ノーマルビュー

AirTagの紛失モードには悪意あるサイトへ誘導する脆弱性がある

2021年10月4日 16:03

紛失防止タグ「AirTag」には、落としたときのために紛失モードという機能が用意されているが、この機能をフィッシング詐欺に悪用される可能性が指摘されている。AirTagを紛失モードに設定すると、専用のURLが生成され、AirTagの持ち主は連絡先として電話番号またはメールアドレスを登録できる。落としたAirTagを拾った人がNFC対応のスマートフォンで読み取ると、は持ち主の連絡先が分かるURLに誘導される仕組み。このとき、ログインしたり個人情報を入力するといった必要はない（Krebs on Security、Engadget）。

しかし、米セキュリティ情報サイトの「Krebs on Security」によると、この登録可能な連絡先の電話番号フィールドには、任意のコンピュータコードを挿入できる。このため拾った人が偽のiCloudログインページや悪意のあるWebサイトにリダイレクトされてしまう可能性があるそうだ。偽サイトなどに誘導し、AirTagを拾った人のが個人情報を抜かれてしまう可能性があるらしい。