ペネトレーションテストサービスに戻る
事例 3
Web・モバイルのペネトレーションテスト
フィンテック製品：PCI DSS 準拠
フィンテック企業の Web・モバイルアプリケーションを対象に包括的なセキュリティ診断を実施し、安全な金融取引とユーザーデータの保護を確認するとともに、年次の PCI DSS 準拠テストを支援しました。
3
脆弱性
1
深刻度：高
2
深刻度：中
100%
是正済み
プロジェクト概要
業種
フィンテック
テストの種類
Web・モバイルのブラックボックステスト
期間
3 週間
課題と目的
課題
機密性の高い個人情報や金融データを扱うアプリケーションで、ビジネスロジックが複雑なため、適切に保護されていなければ悪用されるおそれがありました。
目的
- Web とモバイルの両プラットフォームでブラックボックスによる脆弱性テストを行う
- OWASP Top 10 とビジネスロジックの欠陥に重点を置く
- モバイルのセキュリティ（SSL ピンニング、暗号化、データ保存）を検証する
手法
01
攻撃シミュレーション
Web とモバイルで実際の攻撃者の行動を再現
02
ツールを用いたテスト
Burp Suite、OWASP ZAP と高度な手動テスト
03
モバイル解析
リバースエンジニアリングと安全なデータ保存の検証
04
ビジネスロジックのレビュー
API セキュリティ、認証、認可のテスト
主な指摘事項（脆弱性 3 件）
高
クライアントのソースコード漏えい（CWE-204）
モバイルアプリのソースコードが露出しており、攻撃者に悪用されうる API キーやビジネスロジックが判明する状態でした。
影響：知的財産の窃取と API の不正利用
中
ビジネスロジック：メールアドレスの変更（CWE-471）
旧メールアドレスやパスワードの確認なしにメールアドレスを変更でき、アカウント乗っ取りのリスクがありました。
影響：アカウント乗っ取りの脆弱性
中
ビジネスロジック：ログイン中ユーザーの削除（CWE-840）
確認や適切なセキュリティチェックなしにアカウントを削除でき、データ損失につながる状態でした。
影響：アカウントの不正削除
提供した価値
PCI DSS 準拠
年次のアプリケーションテスト要件への準拠を確保
ユーザーデータの保護
コード漏えいとロジックの欠陥を特定し、知的財産を保護
セキュアな SDLC
継続的な改善のため、ビジネスロジックのテストを組み込み