Gmail添付ファイルのセキュリティ問題に関する、グーグルの回答
筆者がグーグルに問い合わせたところ、広報担当者は以下の声明を提供した。「Google Workspaceユーザーの保護は最優先事項だ。GmailとGoogle ドライブは、危険な実行可能ファイルの添付を含む悪意あるファイルの大部分を、受信トレイに届く前に自動的にブロックしている」。しかし、Pentera Labsの調査と完全に機能する概念実証が示すように、これでは十分とはいえない。攻撃者はユーザーの信頼を悪用し、「Gmailでスキャン済み」という正当性の仮面の背後に、悪意あるペイロードを隠せるという状況なのだ。
グーグルは、Google ドライブリンクでファイルが共有される際の安全性チェックの表示方法を明確にするため、ユーザーインターフェースを積極的に更新していると述べた。ユーザーが常に明確で正確なセキュリティ文脈を得られるようにするためだという。グーグルはまた、Gmailの「組み込みの防御機能が、実行可能ファイルなどの危険なファイル形式を直接のメール添付として送受信することを防いでいる」とし、「この基本的なセキュリティ境界は変更されておらず、完全に機能している」と述べた。
それは結構なことだ。しかし、イルカシとPentera Labsが指摘した問題は依然として悪用可能なままだ。概念実証は有効であり、筆者自身もこれが実際に動作するのを確認した。この際は、XOR（排他的論理和）ベースの暗号化を用いた、特別に作り込まれたランサムウェアの実行可能ファイルがペイロードとして使われていた。
「このデモの目的では」とイルカシは述べた。「ランサムウェアは、同じディレクトリー内のencrypt-me.txtというファイルを検索して暗号化するよう作成している。しかし、これは容易に改変可能だ。グーグルの製品という信頼性の高い配信メカニズムを悪用する、無限のエンドツーエンド攻撃ベクトルを開始できる」。
これは「孤立した理論上のエッジケースではなく、再現可能なアーキテクチャ上のギャップだ」とイルカシは警告する。セキュリティ分析で発見できるなら「動機を持った攻撃者によっても特定され、悪用されうる」と付け加えた。グーグルがこのセキュリティ上の欠陥に対処するまで、すべてのGmailユーザーは、Google ドライブのリンクや添付ファイルを含むメールを、「Gmailでスキャン済み」のラベルに関係なく、潜在的に危険なものとして扱うべきだ。
