ベルギーの電子身分証明ソフト「Connective」に重大な脆弱性、200万人以上に影響銀行8割・政府機関60超が利用、電子署名の偽造やRCEも|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月16日更新日時: 2026年08月16日

セキュリティ研究者のJames Arnott氏（Bay Area Labs創業者）は、DEF CON 34での発表を通じて、ベルギーで200万人以上が利用する電子身分証明（eID）連携ソフトウェア「Connective」に、複数の重大な脆弱性が存在していたことを明らかにしました。Connectiveはベルギー国内10大銀行のうち8行と、60を超える政府機関で、本人認証や法的拘束力を持つ電子署名の実行に使われているソフトウェアです。今回発見された脆弱性は、悪意あるWebサイトが利用者の同意なしにeID・決済カード情報を読み取ったり、電子署名を偽造したり、遠隔からコードを実行したりできる内容で、開発元のNitro Software Belgiumによってすでに修正されています。

この記事のサマリー

セキュリティ研究者James Arnott氏は、ベルギーのeID連携ソフトウェア「Connective」（Nitro Software Belgium開発、Connective署名拡張機能）に複数の重大な脆弱性を発見し、DEF CON 34で公表しました。
Connectiveは、ブラウザ拡張機能とPC上のネイティブアプリケーションを組み合わせて、ICカードリーダーに接続されたeIDカードやMaestroデビットカードを扱う仕組みで、ベルギー国内10大銀行のうち8行、60を超える政府機関で利用されています。
最大の問題は、どのWebサイトが通信を試みているかを検証する仕組みが欠けていたことです。この結果、任意のWebサイトや埋め込み広告、隠しiframeが、利用者の同意なしにConnectiveのネイティブアプリケーションと直接やり取りできる状態になっていました。
この不備により、eID・決済カード情報の無断読み取り、PIN入力画面の偽装によるPIN窃取、正規サイト向けに発行されたトークンの別サイトからの再利用、窃取したトークンを使った電子署名の偽造・デジタルID登録の乗っ取りが可能でした。
eIDカードの有無に関係なく悪用できる、リモートコード実行の脆弱性も別途発見されています。悪意あるWebサイトが、文書ファイルに偽装したファイルをダウンロードさせ、Webページを閲覧させるだけで、攻撃者が指定したコードを利用者権限で実行できる「ドライブバイ」型の攻撃が可能でした。
Nitro Softwareは複数段階にわたり修正を実施し、初回報告から146日後に、危険なライブラリ読み込み機能の無効化、PINトークンの取り扱い変更（Webサイト側には参照値のみを渡す方式へ変更）、リクエストの送信元検証の実装などを完了させています。CVE番号は本記事執筆時点で採番されていません。

整理表

項目	内容
公表日	2026年8月（DEF CON 34での発表）
発見者	James Arnott氏（Bay Area Labs創業者）
対象ソフトウェア	Connective署名拡張機能（ブラウザ拡張機能＋ネイティブアプリケーション）
開発元	Nitro Software Belgium（EU認定の適格トラストサービスプロバイダー）
利用規模	200万人以上、ベルギー10大銀行のうち8行、政府機関60超
用途	eIDカード・Maestroデビットカードの認証、eIDAS準拠の法的拘束力を持つ電子署名
根本原因	通信元Webサイトの検証（オリジンチェック）の欠如
悪用され得た内容	eID・決済カード情報の無断読み取り、PIN窃取、認証トークンの再利用、電子署名の偽造、デジタルIDアカウントの乗っ取り
別系統の脆弱性	eIDカード非接続時でも悪用可能なリモートコード実行（ドライブバイ型）
影響を受けた外部サービス	政府ポータルCSAM.be、民間ID事業者Itsme（いずれもサービス自体に脆弱性はなし）
修正までの期間	初回報告から146日
修正内容	危険なライブラリ読み込み機能の無効化、PINトークンの参照値化、オリジン検証の実装
バグ報奨金	200ドル
CVE番号	本記事執筆時点で未採番

Connectiveとは何か

Connectiveは、Webサイト・ブラウザ拡張機能・PC上のネイティブアプリケーションの3者を橋渡しする形で動作するソフトウェアです。ネイティブアプリケーションがICカードリーダーと通信し、接続されたeIDカードやMaestroデビットカードを使った本人認証や電子署名を実行します。このモデルは、eIDAS規則に基づく適格電子署名（EU域内で手書き署名と法的に同等の効力を持つ）を扱う、ベルギーの銀行・行政サービスで広く採用されています。

何が起きたか

Arnott氏の調査によると、Connectiveのネイティブアプリケーションは、どのWebサイトが通信を試みているかを検証する仕組みを備えていませんでした。この結果、任意のWebサイト、埋め込み広告、隠しiframeであっても、利用者の同意や認識なしに、PC上で稼働するConnectiveのネイティブアプリケーションへ直接アクセスできる状態になっていました。この不備を突けば、悪意あるWebサイトは、接続されているeIDカードや決済カードの情報を、利用者に気づかれることなく読み取ることができました。

さらに深刻なのは、正規サイト向けに発行された認証トークンが、別のサイトから再利用できてしまう不備です。攻撃者が用意したページであっても、このトークンを使ってネイティブアプリケーションとやり取りし、eIDやMaestroカードのデータを抽出できました。

PINの検証プロセスにも欠陥がありました。悪意あるWebサイトは、Connective側が表示するPIN入力ダイアログのタイトルやメッセージ内容を自由にカスタマイズでき、しかもリクエスト元のドメインが表示されない仕様だったため、利用者は正規のサービスからの要求か、偽装された要求かを見分けることができませんでした。利用者がPINを入力すると、そのPINは元のWebページ（攻撃者側）へそのまま送信され、攻撃者は不正な承認トークンを生成できる状態になっていました。

このトークンは、被害者の物理的なeIDカードがカードリーダーに接続されている間、法的拘束力を持つ電子署名を偽造するために悪用できました。あわせて、こうした窃取済みの署名能力を使えば、eID署名に依存するデジタルIDアカウントの新規登録や乗っ取りも可能でした。政府ポータルのCSAM.beや、民間の本人確認事業者Itsmeなど、eID署名を信頼の基盤として利用する外部サービス自体には脆弱性がなかったものの、Connective側の不備によって、これらのサービスの信頼モデル全体が損なわれる結果となっています。

eIDカードなしでも悪用可能なリモートコード実行

Arnott氏は、身元情報の窃取とは別に、eIDカードが接続されているかどうかに関係なく悪用できる、リモートコード実行の脆弱性も発見しています。アプリケーションがローカルPC上のファイルを処理する方法に不備があり、悪意あるWebサイトは、この不備を突くことで、攻撃者が指定したコードを利用者の権限で実行させることができました。具体的には、標準的な文書ファイルに偽装したファイルを利用者にダウンロードさせたうえで、対応するWebページを閲覧させるだけで、特別な権限を必要とせずに攻撃を成立させる、いわゆるドライブバイ型の攻撃が可能だったとされています。

修正の状況

Nitro Software Belgiumは、これらの脆弱性を複数の段階に分けて修正しました。最終的な修正では、リスクの高いライブラリ読み込み機能を無効化し、PINトークンの取り扱いを変更してWebサイト側には参照値のみを渡す方式へ改め、リクエストの送信元を検証する仕組みを実装しています。初回の報告から修正完了までには146日を要しました。本記事執筆時点でCVE番号は採番されていません。Nitro Softwareからは、本記事執筆時点で公式なコメントは確認されていません。

情報システム部門が確認すべき対策ポイント

ブラウザ拡張機能とPC上のネイティブアプリケーションを組み合わせて、認証情報や機微データを扱うソフトウェアを自社で利用・提供している場合、通信元のWebサイトを検証する仕組み（オリジンチェック）が実装されているかを確認してください。
認証・決済関連のトークンについて、発行先以外のサイトから再利用できない設計になっているか、開発中のシステムであれば設計段階で確認してください。
PIN・パスワード入力を求めるダイアログについて、要求元のドメインやサービス名を利用者が確認できる表示になっているか、UI設計を点検してください。表示内容を呼び出し元が自由にカスタマイズできる設計は、フィッシングに悪用されるリスクを伴います。
電子署名・本人確認サービスを外部の連携ソフトウェアに依存している場合、連携先のソフトウェアに脆弱性が見つかった際の影響範囲（自社サービスの信頼モデルにどう波及するか）を、あらかじめ整理しておくことをおすすめします。今回の事案でも、CSAM.beやItsme自体には脆弱性がなかったにもかかわらず、Connective側の不備によって影響を受けています。
ローカルファイルの処理やライブラリの読み込み処理について、外部から指定されたパスをそのまま使用していないか、開発中のネイティブアプリケーションであればあらためて点検してください。
同様に認証情報を扱うブラウザ拡張機能全般のリスクについては、約4,000万以上のパスワードマネージャーブラウザ拡張機能で機密情報が漏洩する脆弱性もあわせてご参照ください。