主要パスワードマネージャーの重大な欠陥により、ハッカーがログイン情報、2FAコード、クレジットカード情報などを盗む可能性があります

Bleeping Computerは、トース氏が8月のDEF CON 33カンファレンスで披露した研究結果を報じました。脅威アクターは、被害者がクロスサイトスクリプティングやキャッシュポイズニングの脆弱性を持つ悪意のあるウェブサイトにアクセスした際に、この脆弱性を悪用することができます。この際に、目に見えないオーバーレイが発生します。ハッカーは偽のサイトを作成し、ログイン画面や同意バナーなどの煩わしいポップアップを表示するだけで済みます。このポップアップには目に見えないログインフォームのオーバーレイが含まれており、被害者がサイトをクリックしてポップアップを閉じると、パスワードマネージャーが悪意のあるサイトに認証情報やその他の機密情報を自動入力し、リモートサーバーに送信します。

トート氏は、この脆弱性を悪用する複数の方法を示しました。具体的には、DOM（ドキュメントオブジェクトモデル）要素の不透明度を直接操作する方法、ルート要素の不透明度を操作する方法、親要素の不透明度を操作する方法、部分的または完全なオーバーレイ操作などです。また、マウスカーソルにUIが追従し、ページ上の位置に関係なくクリックするだけでデータの自動入力が実行される手法も実演しました。さらに悪いことに、トート氏は、汎用的な攻撃スクリプトを使用して被害者のブラウザでどのパスワードマネージャーがアクティブになっているかを特定し、攻撃をリアルタイムで適応させることができると説明しました。

Tóth氏の調査結果はサイバーセキュリティ企業Socketによって検証され、Socketは脆弱性の影響を受けるベンダーへの情報提供、CVEの公開と登録の調整にも協力しました。テスト対象となったパスワードマネージャーには、1Password、Bitwarden、Enpass、Apple Passwords、LastPass、LogMeOnceが含まれています。

これらすべてのベンダーは、ブラウザベースのパスワードマネージャーを提供しており、特定のシナリオ下では機密情報が漏洩する可能性があります。合計11種類のパスワードマネージャーをテストしたところ、いずれも少なくとも1つの攻撃手法に対して脆弱であることが判明しました。トート氏は2025年4月にすべてのベンダーにこの問題を通知し、その後DEF CON 33で調査結果を公表しました。