スマートフォンを最新の状態に保つだけでは、Pwn2Own Irelandで研究者がGoogleのPixel 10をハッキングするのを防げなかった。10月8日、3つの別々のチームが、パッチを完全適用した端末のリモートエクスプロイトに成功した。
実演では、ゼロデイや、競技会の主催者またはベンダーがすでに把握していた脆弱性など、異なる脆弱性が使われた。攻撃は管理された環境で行われたものの、既存のセキュリティ更新プログラムでは対処できていなかった弱点が明らかになった。
企業メールやクラウドアプリケーション、認証サービスへのアクセスにAndroidスマートフォンを利用している組織にとって、今回の結果は、モバイルセキュリティには定期的なパッチ適用以上の対策が必要であることを浮き彫りにしている。
3チームがPixel 10のハッキングで56万2,500ドルを獲得
アイルランド・コークで開催された大会で、Trend MicroのZero Day Initiative（ZDI）は、Pixel 10に対する3件のリモートエクスプロイトの成功を確認した。ZDIは10月8日、以下の結果を発表した。
研究チーム | 実演されたエクスプロイト | 賞金 |
| Xint：Tim Becker、Yves Bieri | 1件のバグコリジョン | $150,000 |
| Ikotas Labs | 複数の問題を連鎖させたバグコリジョン | $300,000 |
| Dimitrios Valsamaras、Ken Gannon、Tenia Valsamara | 2件のバグ連鎖：1件のコリジョンと1件のゼロデイ | $112,500 |
Ikotas Labsは30万ドルを獲得し、Master of Pwnの称号も手にした。Pixelに対する3件の成功した実演はいずれもバグコリジョンを含んでいたが、3番目のチームはゼロデイも使用した。今回の結果は、研究者がまったく新しい脆弱性を3つ発見したことを意味するわけではない。
エクスプロイトが既存のパッチについて明らかにすること
バグコリジョンとは、エクスプロイトが主催者またはベンダーにすでに知られている脆弱性と重複することを指す。必ずしも修正プログラムが提供されていたという意味ではない。 競技規則では、対象端末が最新のパッチを完全適用したOSを実行していることを求め、デフォルトブラウザーのウェブコンテンツや、NFC、Wi-Fi、Bluetooth、ベースバンド通信を介したリモート攻撃を認めている。ZDIの結果では、Pixelチームがどの手法を使ったかは特定されていないため、「リモート」をゼロクリック攻撃の確認と解釈すべきではない。
Googleは 10月のPixel Update Bulletinを、実演の2日前にあたる10月6日に公開した。ZDIが大会3日目に発表した結果では、影響を受けたコンポーネント、CVE、関連する修正は特定されていない。成功した研究者は、影響を受けるベンダーへの情報開示に向けて、エクスプロイトと技術文書をZDIに提出する必要がある。今回の実演によって、犯罪者が同じエクスプロイトをPixel 10の所有者に対して使っていることが立証されたわけではない。
パッチを待つ間にセキュリティチームが確認すべきこと
業務用スマートフォンからは、企業メールやクラウドのアクティブなセッション、認証情報にアクセスできる場合がある。 COE Securityは、端末が侵害された場合の影響は、端末そのものだけでなく、その権限やアクセス可能なサービスによって決まると指摘している。
Pixel 10のエクスプロイトの技術詳細はまだ公開されていないため、研究者が利用した具体的な弱点について組織が得られる情報は限られている。それでもセキュリティチームは、次の3つの実践的な対策に重点を置くことで、モバイル防御を強化できる。
- 端末のセキュリティを見直す。企業所有端末とBYOD端末を台帳化し、更新状況を確認するとともに、モバイルデバイス管理の要件を徹底する。
- 機密性の高いアクセスを制限する。条件付きアクセスと最小権限のポリシーを使用し、スマートフォンが侵害された場合に業務セッションを失効できるようにする。
- 情報開示に備える。GoogleとZDIのアドバイザリーを確認し、影響を受けた端末を隔離し、修正プログラムが提供され次第展開する手順を整備する。
これらは一般的なセキュリティ対策であり、今回の競技会で使われた具体的なエクスプロイトに対する確認済みの緩和策ではない。Android端末を管理する組織にとっての教訓は、パッチ適用と業務アクセスの制御を組み合わせることだ。更新済みのスマートフォンであっても、端末ポリシー、アクセス制限、インシデント対応手順の対象にすべきである。こうした制御により、管理者は今後の情報開示や確認済みの修正を評価する間、潜在的な影響範囲を封じ込める手段を確保できる。
関連情報：Pwn2Own Irelandで標的になったAndroidのフラッグシップはPixel 10だけではなかった。 同じ大会でSamsungのGalaxy S26が7回ハッキングされたことで、既知の脆弱性とセキュリティ更新の限界について同様の懸念が生じている。