ノルウェーのアプリセキュリティ企業である「Promon（プロモン）」は、2019年12月2日に「StrandHogg（ストランドホッグ）」と呼ばれるAndroid（アンドロイド）の脆弱性を発見したと報告しました。この脆弱性は最新のバージョンである「Android 10」を含むすべてのバージョンに影響を与えており、仮想通貨関連アプリで悪用した場合には、ウォレットの重要な情報を盗み出すこともできると報じられています。
ウォレットアプリ「乗っ取り」などの危険性
Promon（プロモン）が報告した「StrandHogg（ストランドホッグ）」と呼ばれる脆弱性は『“Android 10″を含めた全てのバージョンに影響を与えるものであり、最も人気のある上位500のアプリはすべてリスクにさらされている』と報告されています。
また、今回のレポートではこの脆弱性を悪用した”悪意のあるアプリ”がすでに36個も見つかっていることが報告されています。同社はこれらのアプリを2019年夏時点でGoogle（グーグル）に報告しており、Googleはこれらの影響を受けたアプリを削除しているものの、”肝心の脆弱性に関しては未だに修正されていない“とされています。
ハッカーがこの脆弱性を悪用した場合に行うことができることとしては以下のようなことが挙げられています。
- マイクを介してユーザーの会話を盗聴する
- カメラで写真を撮る
- SMSメッセージの読み取り／送信
- 電話での会話／録音
- ログイン情報の詐取
- デバイス上にある全ての写真・ファイルにアクセス
- 位置情報・GPS情報を取得
- 連絡先リストにアクセス
- 電話記録にアクセス
「StrandHogg」を悪用すると、Android端末上で”偽アプリ”を本物のように偽造し「ユーザーID」や「ログインパスワード」などの機密情報を盗み出すことができるとされています。つまり、この脆弱性を悪用して仮想通貨ウォレットアプリを偽造した場合には、資産にアクセスするための重要な情報を盗み取られ、ウォレットを乗っ取られてしまう可能性もあります。
今回報告された脆弱性は、仮想通貨だけでなく様々なアプリケーションに影響を及ぼす可能性があるものであるものの、仮想通貨関連のアプリケーションは以前から様々な方法でターゲットにされているため、特に注意を払う必要があると言えるでしょう。
