ネットセキュリティニュース

◆スマホ時代のフィルタリングサービス（2013/10/31）

　20代を中心に進む携帯電話のスマートフォン（スマホ）化が、青少年にも広がっている。これまでのキャリア回線に加え、Wi-Fi接続でインターネットが利用できるスマホに向け、キャリア各社が新たなフィルタリングサービス（有害サイトアクセス制限サービス）の提供を進めている。各社のスマホ用フィルタリングサービスについてまとめてみた。

■スマホ化の実態

　内閣府がまとめた、2012年度の「青少年のインターネット利用環境実態調査」によれば、小中高生が所有する携帯電話・PHSの内スマホが占める割合は、前年度の5.7％から36.0％へと大きく増加した。小学生：0％→7.6％。中学生：5.4％→25.3％、高学生：5.7％→55.9％と、学校種が上がるほどスマホ化は顕著だ。
　JEITA（電子情報技術産業協会）がまとめている移動電話国内出荷台数実績によれば、2012年度にスマホが総荷台数の半数を超え、55.9％となった。本年度は、8月までの累計で62.5％となっており、本年度の青少年のスマホ化も、さらに拡大しているのではないかと推測する。

■フィーチャーフォン時代のフィルタリング

　スマホは、パソコンと同様、さまざまなアプリが利用でき、自宅のWi-Fiルーターや街中に設置れているWi-Fiホットスポットに接続して、無線LAN経由でインターネットが利用できる特徴がある。このため、キャリア回線経由のインターネット接続しか想定していなかった従来のフィルタリングサービスでは、スマホの新たな接続形態に対応できなくなってしまった。
　各キャリアが提供していた従来のフィルタリングサービスは、各社の回線とインターネットとの出入り口にあたる、ゲートウェイサーバー上でサービスを提供している。こうすることにより、端末側に特別な機能を持たせることなく、各社の回線を経由してインターネットに接続する全ての端末にフィルタリングサービスを提供することができたのだ。
　NTTドコモの「アクセス制限サービス」、auの「安心アクセスサービス」、ソフトバンクモバイルの「ウェブ安心サービス」、ウィルコムの「フィルタリングサービス」、イー・モバイルの「ウェブ安心サービス」などが、このキャリア回線上で行う従来型のフィルタリングサービスだ。

■スマホ時代のフィルタリング

　従来型のフィルタリングサービスでは、スマホがキャリア回線を使わずにインターネットに接続した場合に適用することができない。スマホの普及に伴い、この点が新たな課題として浮上した。現行法（青少年が安全に安心してインターネットを利用できる環境の整備等に関する法律）や各自治体の条例（青少年健全育成条例など）では、Wi-Fi接続時は対象外だったが、埼玉県などの一部の自治体では、スマホ時代に合わせて条例を改正したり、改正を進めていたりする。
　各社も昨年から今年にかけてスマホへの対応を進めており、スマホを対象とした新たなフィルタリングサービスの無料提供が始まっている。一部まだ未整備のところもあるが、各社のスマホ時代のフィルタリングサービスは、従来の回線上で行う方式から、フィルタリング機能付きの専用ブラウザーを提供する方式へと移行。専用ブラウザを使用することにより、接続回線に依存しないフィルタリングサービスを提供する。
　注意しなければいけないのは、フィルタリングが適用されるのは、専用ブラウザーを使用した場合のみという点だ。既存のブラウザーなどを利用した場合には、フィルタリングは適用されないので、事前にアプリの起動や新規インストール、アンインストールなどを、必要に応じて制限しておく。スマホの機能制限は、iPhoneでは、標準機能である「機能制限」を利用して設定する。同機能を持たないAndroid（4.3からは「制限付きプロフィール」がサポートされている）では、各社が提供する専用アプリを使って設定する。専用アプリには、アプリのアクセス制限を自動的に行うアプリフィルターを搭載したものもある。

＜NTTドコモ＞
[Android] スマホの機能制限アプリ「あんしんモード」を2011年10月より提供。2013年8月からは、フィルタリング機能付きブラウザー「ファミリーブラウザ for docomo」も提供されるようになった。
[iPhone] 現時点では、従来型のフィルタリングサービスのみの提供。端末の「機能制限」を利用し不要なアプリを制限することや、「コンテンツの許可」を利用者の年齢に応じて設定すること、同社のWi-Fi接続以外を利用する場合には市販のフィルタリングアプリの利用を推奨している。

・あんしんモード
http://www.nttdocomo.co.jp/service/safety/anshin_mode/

＜au＞
[Android] スマホの機能制限アプリフィルタリング機能付きブラウザー「安心アクセス for Android」を2012年11月より提供。
[iPhone] フィルタリング機能付きブラウザー「安心アクセス for iOS」を2013年6月より提供。スマホの機能制限は、端末の「機能制限」を利用する。

・安心アクセス for Android
http://www.au.kddi.com/mobile/service/smartphone/safety/anshin-access/
・安心アクセス for iOS
http://www.au.kddi.com/iphone/service/anshin/safety-access-for-ios/

＜ソフトバンクモバイル＞
[Android] スマホの機能制限アプリとフィルタリング機能付きブラウザー「スマホ安心サービス」を2013年2月より提供。ウィルコムとイー・モバイルのスマホも同サービスを利用する。
[iPhone] フィルタリング機能付きブラウザー「Yahoo!あんしんねっと for SoftBank」を2010年5月より提供。スマホの機能制限は、端末の「機能制限」を利用する。

・スマホ安心サービス
http://www.softbank.jp/mobile/service/sp_safety/
・Yahoo!あんしんねっと for SoftBank
http://www.softbank.jp/mobile/iphone/service/app/filtering/
・Yahoo!あんしんねっと
http://anshin.yahoo.co.jp/

（2013/10/31 ネットセキュリティニュース）

◆モジラ、複数の深刻な脆弱性を修正した「Firefox 25.0」公開（2013/10/30）

　モジラは30日、Webブラウザの最新版「Firefox 25.0」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「24.1」および「17.0.10」も同時に公開されている。

　Firefox 25では、音声処理や合成、効果機能を提供する「Web Audio API」を新規にサポートした。デスクトップ版では、タブ間で共有されていた検索バーが独立し、Android版では、閲覧履歴や入力履歴などをロックし初期状態で一時利用できるゲストブラウジング機能と、HTTPS接続時にページ内のHTTP接続のリソースをブロックする機能が新たに追加された。

　Firefox 25.0/ESR 24.1で修正された脆弱性は、重要度が4段階評価で最も高い「最高」5件、2番目に高い「高」3件、3番目の「中」2件の計10件。ESR版「17.0.10」では、「25.0/ESR 24.1」と共通の「最高」4件と「高」1件、「中」1件の計6件。悪用されると任意のコードが実行されるおそれのある、危険な問題が含まれている。

　それぞれの最新版は、自動更新機能を通じて配布されているほか、［ヘルプ］メニューの［Firefoxについて］を選択し、ダウンロード完了後に[ダウンロードした更新を適用]ボタンをクリックすすると今すぐ更新できる。Android版は、[設定]→[Firefoxについて]の順に選択し[更新を確認]をタップする。

　Firefoxで修正された脆弱性は、同じエンジンを使用するメールソフトThunderbirdにも影響があり、9件の脆弱性を修正した「24.1」と、6件の脆弱性を修正したESR版「17.0.10」が同日より公開されている。

　なお、次期バージョンへの移行期間に入っているESR版Firefox 17は、通常版の次回のメジャーアップデートである「26」リリース時に、サポートを終了する。早い機会に「24」へと移行していただきたい。

　Thunderbirdに関しては、「24」から通常版とESR版が統合され、メジャーアップデートは年1回程度となる。ESR版「17」からの移行には、通常版の「24.1」をダウンロードしていただきたい。

（2013/10/30 ネットセキュリティニュース）

【関連URL：Mozilla Japan】
・Firefox に Web Audio API が採用され、Web が完全なゲームプラットフォームになりました
http://www.mozilla.jp/blog/entry/10338/
・ゲストブラウジングで Web 情報のプライバシーを保護して Firefox を友人や家族と共有できます
http://www.mozilla.jp/blog/entry/10337/
・FirefoxとThunderbirdの法人向け延長版
http://www.mozilla.jp/business/downloads/
＜Firefox 25.0＞
・リリースノート（デスクトップ版）
http://www.mozilla.jp/firefox/25.0/releasenotes/
・リリースノート（Android版）
http://www.mozilla.jp/firefox/android/25.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html
＜Thunderbird 24.1＞
・リリースノート
http://www.mozilla.jp/thunderbird/24.1/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbird.html
＜Firefox ESR版 24.1.0＞
・リリースノート
http://www.mozilla.jp/firefox/24.1.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefoxESR.html
＜Firefox ESR版 17.0.10＞
・リリースノート
http://www.mozilla.jp/firefox/17.0.10/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefoxESR.html
＜Thunderbird ESR版 17.0.10＞
・リリースノート
http://www.mozilla.jp/thunderbird/17.0.10esr/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbirdESR.html

 

◆9月の国内フィッシング事情：国内ISPのアクセス回線を使ったフィッシング激増（2013/10/29）

　国内ブランド（日本語対応を含む）のフィッシングサイト数は減少したものの、7月以来3桁台が続いており、9月も相変わらずの高水準が続いている。オンラインゲームのフィッシングが国内ISPのアクセス回線を使うようになったため、アクセス回線上に開設されたフィッシングサイトの数が、大幅な増加を見せている。

　編集部では、飛来するメールやWeb上の情報を元に、日本国内に関係するフィッシングサイト（国内IP、JPドメイン、国内ブランド、日本語サイト）に限定した観測を行っている。9月に観測した国内関連のフィッシングサイトは、前月から39件減の227件だった。国内のオンラインゲームと日本語に対応した米決済サービスのフィッシングは、相変わらず大量のサイトやドメインを投入しながら、連日活動を続けている。

　観測されたフィッシングサイトのうち、偽サイト本体が設置されていたものは222件、他所に設置した偽サイトにリダイレクトする中継サイトとして使われたものは5件だった。悪用されたサーバーは、不正アクセスを受けた一般のWebサイトと見られるものが142件（国内サーバー32件）、ホスティングサービスの悪用が41件（国内サーバー9件）、ウイルスに感染した国内ユーザーのパソコンや自宅サーバーと見られるものが43件だった。

　悪用されたブランドは、PayPal（147件）、スクウェア・エニックス（24件）、ブリザード・エンターテインメント（20件）ほか、計27種類。国内ブランド（日本語のフィッシングサイトを含む）は、PayPal（129件）、スクウェア・エニックス（24件）、Active! Mail、UCカード（各2件）、BIGLOBEメール、eoWebメール、Googleドキュメント、Sony Entertainment Network、UCOM Web Mail、Yahoo! JAPAN（各1件）が観測された。

　なお、BIGLOBEメールとeoWebメールに関しては、不正アクセスを受けたマレーシアの同一サイト内に9月28日から29日にかけて設置された、5件のフィッシングサイトの内の2件である。サイトの確認が月をまたいでしまったため、残り3件（So-net、ODN Webメール、gooメール）は、10月分の集計となっている。

　これらを含め各所からは、フィッシングに関する以下のような注意喚起（更新情報を含む）が出されている。釣り具店「ガンクラフト」の告知は、同店をかたったフィッシングが行われたのではなく、同店のサイト内にUCカードの偽サイトが設置されたことを受けての告知だ。不正アクセスを受けて偽サイトを設置されてしまったサイトのほとんどが、こっそり削除して何もなかったように振る舞う中、こうした対応は極めて珍しい。
　なお、月をまたいで出された注意喚起については、10月告知分も含めて掲載する。フィッシング対策協議会が出したUCカードの注意喚起では、偽サイトに誘導するタイプと入力フォームを添付するタイプの2種類を紹介しているが、9月に行われたのは前者で、入力フォーム添付型は10月に入ってからの攻撃である。

[09/13]UCOMの管理者を装った迷惑メールにご注意ください（UCOM）
http://help.ucom.ne.jp/info/info.php?id=279
[09/27] フィッシング詐欺メールにご注意ください（ガンクラフト）
http://www.gancraft.com/pop-up/sagi.html
[10/01] フィッシングサイトにご注意ください！（UCカード）
http://www2.uccard.co.jp/important/pop/phishing1310.html
[10/10] UCカード(アットユーネット)をかたるフィッシング（フィッシング対策協議会）
http://www.antiphishing.jp/news/alert/uccard20131010.html
[09/30] gooやNTTレゾナントを装った不審なメールにご注意ください（goo）
http://help.goo.ne.jp/help/article/2065/
[10/01] ポータルサイトgooをかたるフィッシング（フィッシング対策協議会）
http://www.antiphishing.jp/news/alert/goo20131001.html
[09/30] eoWEBメールをかたる不正なフィッシングサイトにご注意ください（ケイ・オプティコム）
http://support.eonet.jp/news/92/
[10/01] eoWEBメールをかたるフィッシング（フィッシング対策協議会）
http://www.antiphishing.jp/news/alert/eoweb20131001.html

＜Active! Mail関連＞
[10/01] トランスウエア（開発元）
http://www.transware.co.jp/news/2013/10/01_1400.html
[10/03] トランスウエア（開発元）
http://www.transware.co.jp/news/2013/10/03_2030.html
[09/25] 金沢大学大学院医薬保健学研究科
http://dbweb.m.kanazawa-u.ac.jp/inside/jimuinfo/browserec.php?recid=11151
[09/30] 電気通信大学情報基盤センター
http://www.cc.uec.ac.jp/info/news/2013/10/20130930activemail.html
[09/30] 関西大学ITセンター
http://www.itc.kansai-u.ac.jp/news_detail/link/1/news_id/114.html
[09/30] 埼玉大学情報メディア基盤センター
http://www.itc.saitama-u.ac.jp/modules/bulletin/index.php?page=article&storyid=212
[09/30] 広島大学情報メディア教育研究センター
http://www.media.hiroshima-u.ac.jp/news/2013093001
[09/30] 千葉大学統合情報センター
http://www.imit.chiba-u.jp/
[09/30] 茨城大学IT基盤センター
http://www.ipc.ibaraki.ac.jp/allmes.php
[10/01] 追手門学院大学
http://www.ccile.otemon.ac.jp/link/system/targeted_attack_mail.html
[10/02] 上智大学総合メディアセンター
http://ccweb.cc.sophia.ac.jp/index.php?action=pages_view_main&active_action=journal_view_main_detail&post_id=166&comment_flag=1&block_id=26#_26
[10/03] 京都大学情報環境機構
http://www.iimc.kyoto-u.ac.jp/ja/services/ismo/whatsnew/news/detail/04235.html
[10/04] 東洋学園メディアセンター
http://tgblog.tyg.jp/mc/2013/10/active-mail.html

■国内のアクセス回線を使ったフィッシングサイトが急増

　国内のISPが提供するアクセス回線上に開設されたフィッシングサイトの件数は、4月3件、5月4件、6月0件、7月2件、8月5件と1桁台で遷移していたが、9月は過去最多だった2012年4月と同数の43件に急増した。
　過去最多を記録した昨春は、国内ISPのアクセス回線上に設置した1～2基のサーバーを使い、韓国の金融機関を装うフィッシングサイトが大量に開設されたのが増加の原因だ。今回もよく似た状況で、大量のドメイン名を投入しながら活動を続けるスクウェア・エニックスのフィッシングが、8月末から国内ISPのアクセス回線上でホスティングするようになったからである。同じサーバー上には、米ブリザード・エンターテインメント社のオンラインゲーム「BATTLE.NET」のフィッシングサイトも開設されているため、ホストとブランドでカウントしている編集部の数え方では、昨春同様、一攻撃者のために急増してしまう結果となった。
　この種のフィッシングサイトは、ウイルスに感染したユーザーのパソコンが悪用されるケース、自宅のサーバーが侵入されるケース、攻撃者やその協力者が自ら開設しているケースがあるが、これまでの状況から、今回も自ら開設している可能性が高い。
　ISPのアクセス回線では、IPアドレスが動的に割り当てられるため、再接続するたびに偽サイトのIPアドレスが変わる。さらに、ISPも切り替えてしまうためか（9月中だけで3社間を5回渡り歩いている）、なかなか完全閉鎖に追い込むことができず、10月29日現在も稼働中だ。
　使われたドメインは、9月は主に「●kiki.com」（●は1～2文字のアルファベット）だったが、9月末からは「cn.com」を投入。現時点では、「f-cll.com」が使われている。

■似ていないフィッシングサイト

　フィッシングといえば、本物のサイトにそっくりな偽サイトに誘導されるのが定番だが、時おり似せる気など微塵もない偽サイトへ連れて行かれることがある。
　9月のフィッシングの中では、「UCOM Web Mail」と「Active! Mail」の片方の偽サイトが、このタイプの極みともいえる存在だ。「UCカード」や「Googleドキュメント」「Active! Mail」のもう片方なども、本物には程遠い存在ではあるが、それでもロゴをあしらうなどして、それらしさを醸し出そうとしている。ところがこの2件に関しては、ロゴはおろかサービス名の記載すらない。サイトを見ただけでは、どこのサイトなのか全く分からない代物だった。単なる手抜きなのか、汎用的に使うつもりだったのか、偽サイトだと分からないようにわざとやったのか、その辺の事情は謎だが、さすがにこの偽サイトと機械翻訳丸出しの不自然な日本語メールでは、引っかかる人はいないのではないかと思う。

（2013/10/29 ネットセキュリティニュース）

 

◆ネットバンキング情報狙う「Bancos」急増、Web改ざん被害も顕著（IPA）（2013/10/25）

　IPA（情報処理推進機構）は23日、今年第3四半期（7～9月）のウイルス・不正アクセスの届出状況等を発表した。届出件数・検出件数が減少するなか、ネットバンキングのアカウント情報を詐取する「Bancos」の検出数が急増し、スマートフォンのワンクリック請求に関連する相談が急伸している。不正アクセスによるWeb改ざん被害も顕著だ。

■ネットバンキング情報を詐取する「Bancos」66％増

　今期のウイルス届出件数は1709件、検出数は4万3678個で、前期（2013年第2四半期）に比べ、前者は25件、後者は2万3652個減少した。ウイルス別検出数は「W32/Mydoom」が最も多く、次位の「W32/Netsky」と合わせて9割以上を占める。IPAは、これら古くから存在するウイルスやその亜種は、セキュリティソフトで検知し感染を防ぐことができるので、パソコンの脆弱性解消と共にセキュリティソフトの使用を推奨している。
　ウイルスの定義にあてはまらない「不正プログラム」上位10種類の検出数は2万3220件で、前期より307件減少した。しかし、ネットバンキングのアカウント情報を詐取する「Bancos」は、前期から約66％増加している。ネットバンキングの不正送金による被害総額は過去最悪のペースで増加しているが、その原因となる不正プログラムがメールを使って大量にばら撒かれているとみられる。IPAは、メールの添付ファイルの開封には十分注意するよう呼びかけている。

■Web改ざん高止まり、ドライブバイダウンロード攻撃に注意

　今期の不正アクセス届出数は61件で、前期より10件増加した。内訳は「侵入」33件、「なりすまし」15件など。「侵入」33件のうち26件は「ウェブ改ざん」だ。改ざんの届出件数を月別にみると、6月17件、7月9件、8月8件、9月9件で、6月をピークに減少しているが、5月以前の件数に比べると、まだ高止まり状態といえる。改ざん被害の原因は、「FTPアカウント盗用」「脆弱性悪用」「ID、PWの管理不備」に分散し、特定の原因に偏っていない。
　改ざん被害は、ドライブバイダウンロード攻撃による「目に見えない改ざん」の割合が多い。この攻撃で、閲覧者は認証情報を盗み取るウイルスや偽セキュリティ対策ソフトなどに感染させられ、結果的に攻撃者に金銭的利益をもたらす。ドライブバイダウンロード攻撃は、閲覧者のパソコンのOSやソフトウェアの脆弱性を悪用して行われるため、アップデートで脆弱性を解消することが一番の対策になる。

■「スマホのワンクリック請求」相談が7割以上に急伸

　ウイルス・不正アクセス関連の相談総件数は前期より148件増加し、3948件だった。内訳は「ワンクリッ請求」関連が804件、「偽セキュリティソフト」関連が277件、「スマートフォン」関連が154件など。相談数全体は前期から3.9％の微増だが、スマホに関する相談は前期から約4割増加している。とくにスマホ上でのワンクリック請求に関する相談に限定してみると、前期の69件から119件に増え、7割以上の増加となった。今後のスマホ普及に伴って 、ワンクリッ請求に関する相談はさらに増加するとみられる。スマホのセキュリティ対策に留意していただきたい。

（2013/10/25 ネットセキュリティニュース）

【関連URL：IPA】
・「コンピュータウイルス・不正アクセス届出状況および相談受付状況[2013年第3四半期(7月～9月)]」[PDF]
http://www.ipa.go.jp/files/000035059.pdf

◆アップル、「iTunes 11.1.2」を公開～Windows版は深刻な脆弱性を修正（2013/10/24）

　アップルは23日、iPhoneやiPodなどと連携する同社のコンテンツ管理・再生ソフト、iTunesの最新版「11.1.2」を公開した。対象となるのは、Mac OS X 10.6.8以降と、Windows 8/7/Vista/XP。

　最新版では、｢OS X Mavericks｣に対応したほか、Windows版で未修正だった脆弱性24件が修正されている。修正された脆弱性には、レンダリングエンジン「Webkit」に起因するコード実行のおそれのある問題が多数含まれている。

　最新版への更新は、iTunesのヘルプメニューにある「更新プログラムを確認」（Windows/Mac）、アップルメニューの「ソフトウェア・アップデート」（Mac）、Windows版同梱の「Apple Software Update」（Windows）で行えるほか、同社のサイトからダウンロードすることもできる。

（2013/10/24 ネットセキュリティニュース）

【関連URL：アップル】
・About the security content of iTunes 11.1.2[英文]
http://support.apple.com/kb/HT6001

◆サイト改ざんを招く脆弱性～「CMS」とプラグインのバージョンに注意（IPA）（2013/10/24）

　IPA（情報処理推進機構）とJPCERT/CC（JPCERTコーディネーションセンター）は10月22日、今年第3四半期（7～9月）の脆弱性情報の届出についてとりまとめ、公表した。古いバージョンのCMSやプラグインの脆弱性がWebサイト改ざんを招いているとして、最新版への更新や回避策の適用を呼び掛けている。

■修正完了率はソフトウェア関連56％、Webサイト関連71％

　IPAによると、今期の脆弱性情報の届出件数は317件で、ソフトウェア製品関連が51件、Webサイト関連が266件だった。ソフトウェア製品の届出のうち、製品開発者が修正を完了し、今期にJVN（脆弱性対策情報ポータルサイト）で対策情報を公表したものは26件で、修正完了率は56％となった。Webサイトの届出では、サイト運営者に通知して今期に修正を完了したものは204件（修正完了率71％）で、そのうちWebアプリケーション修正が180件（88％）、当該ページの削除が22件（11％）、運用で回避が2件（1％）。また、サイト運営者へ通知してから修正完了までに91日以上を要した件数は204件中48件（24％）で、前期の43％より大きく減少した。

■改ざん被害の増加止まらず－－古いCMSやプラグインの脆弱性悪用

　Webサイトの改ざん被害は前期に引き続き増加しており、古いバージョンのCMS（Webサイトを構築・管理するシステム：Contents Management System）に残る脆弱性を悪用した改ざん例が確認されている。また、CMSのプラグインの脆弱性を攻撃する例も観測されている。古いCMS利用の届出件数は累計で118件あるが、うち41件は今期の届出だ。
　届出の中には、データベースが不正操作されるSQLインジェクションの脆弱性や、第三者によるWebページ編集を可能にしてしまうアクセス制限回避の脆弱性が含まれるバージョンがあるという 。これらの脆弱性を放置すると、情報漏えいや改ざん被害の危険がある。

　IPAは、サイト運営者に対し、利用しているCMSやプラグインのバージョンを確認し、古い場合は速やかに最新版へアップデートするよう注意を促している。アップデートが困難な場合は、開発元の公開情報を基に、回避策を適用していただきたい。

（2013/10/24 ネットセキュリティニュース）

【関連URL】
・ソフトウェア等の脆弱性関連情報に関する届出状況[2013年第3四半期（7月～9月）]
https://www.ipa.go.jp/security/vuln/report/vuln2013q3.html

 

◆アップル、OS X v10.9 / iOS 7.0.3 / Safari 6.1 公開（2013/10/23）

　アップルは23日、Mac用の最新OS「OS X Mavericks v10.9」と、モバイル端末向けOSの最新版「iOS 7.0.3」、Webブラウザーの最新版「Safari 6.1」を公開した。新機能の追加や不具合の修正に加え、脆弱性の修正が含まれている。

■OS X Mavericks v10.9
　コード実行のおそれのある危険な問題を含む、53件の脆弱性が修正された。アップグレードの対象となるのは、Mountain Lion（v10.8）、Lion（v10.7）、Snow Leopard（v10.6.8）がインストールされた、iMac（Mid 2007以降）、MacBook（Late 2008アルミニウム製またはEarly 2009以降）、MacBook Pro（Mid/Late 2007以降）、MacBook Air（Late 2008以降）、Mac mini（Early 2009以降）、Mac Pro（Early 2008以降）、Xserve（Early 2009）。最新バージョンは、Mac App Storeから無料でダウンロードできる。
　Leopard（v10.5）以前のOSからアップグレードする場合には、あらかじめ有償のSnow Leopardにアップグレードした後、「ソフトウェア・アップデート」で最新の「10.6.8」にしておく必要がある。

■iOS 7.0.3
　iPhone 4以降に影響する、ロック画面のパスコードを入力せずに一部の操作が行える脆弱性3件が修正された。アップデートの対象となるのは、iPhone 4以降、iPad 2以降、第5世代のiPod touch、iPad mini。最新版への更新は、端末の「設定」アイコンから「一般」→「ソフトウェア・アップデート」と進むか、端末をパソコンに接続してiTunes経由で行う。

■Safari 6.1
　レンダリングエンジン「WebKit」に関する21件の脆弱性が修正された。悪用されるとコード実行につながるおそれのある問題が多数含まれている。アップデートの対象となるのは、OS X Mountain Lion v10.8.5、OS X Lion v10.7.5、OS X Lion Server v10.7.5。最新版への更新は、アップルメニューの「ソフトウェア・アップデート」から実行できる。
　なお、OS X Mavericks v10.9には、これら問題が全て修正された「Safari 7.0」が同梱されている。

（2013/10/23 ネットセキュリティニュース）

【関連URL：アップル】
・OS X Mavericks
http://www.apple.com/jp/osx/
・About the security content of OS X Mavericks v10.9[英文]
http://support.apple.com/kb/HT6011
・About the security content of iOS 7.0.3[英文]
http://support.apple.com/kb/HT6010
・About the security content of Safari 6.1[英文]
http://support.apple.com/kb/HT6000

◆ネットバンキング被害7億6000万円、予防のウイルス対策を官民連携で（総務省）（2013/10/22）

　今年に入ってから今月15日までのネットバンキングの不正送金による被害総額は7億6000万円にのぼることがわかった。手口はパソコンをウイルスに感染させてID/パスワードを詐取するもので、総務省はユーザーのパソコンの感染防止やウイルス除去を支援するプロジェクト（ACTIVE）を、官民連携で11月1日より開始する。

■19銀行で766件、総額7億6000万円の被害

　NHKと民放各局は19日、警察庁の発表情報として、今年に入ってから今月15日までのネットバンキングの不正送金による被害総額は7億6000万円にのぼり、過去最悪のペースで増えていると報じた。大手銀行や地方銀行など19の金融機関で、766件の被害が確認されているという。これまでの警察庁発表を振り返ると、1か月に1億円以上のペースで増えていることがわかる。

・4月26日までに8金融機関で74件の被害が発生、被害総額は約9600万円（5月発表）
・6月までに11金融機関で210件の被害が発生、被害総額は2億200万円（7月発表）
・7月末までに12金融機関で398件の被害が発生、被害額は3億6000万円（8月4日発表）
・8月8日までに12金融機関で445件の被害が発生、被害総額は4億1600万円（8月9日発表）・1015日までに19金融機関で766件の被害が発生、被害総額は7億6000万円（10月19日発表）

　不正送金の手口は、預金者のパソコンをウイルスに感染させてIDやパスワードを盗み取るもので、日本の金融機関、預金者をターゲットにしたウイルスが使われていることが判明している。警視庁は8月、このウイルスに感染したパソコンは、国内に約1万5000台と推定していた。こうした感染パソコンが不正送金の被害にあわないよう、総務省は8月、ISP（インターネットサービスプロバイダー）からユーザーに注意喚起を行うよう協力を要請していた。さらに踏み込んだ対策に取り組むため、11月1日からはプロジェクト「ACTIVE」をスタートさせる。

■官民連携で進めるウイルス対策支援プロジェクト（ACTIVE）

　総務省が11月1日から実施する「官民連携による国民のマルウェア対策支援プロジェクト（略称ACTIVE；Advanced Cyber Threats response InitiatiVE）」は、ISP事業者などと連携し、ウイルス感染防止と感染パソコンからのウイルス除去に取り組む。

　ウイルス除去活動：「おとりマシン」（待受け型ハニーポット）をインターネット上に設置してウイルスに感染させる。ウイルスを送りつける相手先はウイルスに感染していると考えられるので、その相手先を特定する。ISP事業者の協力を得て、その相手先に対し、ウイルス駆除のために適切な対策を取るよう注意喚起を行う。

　ウイルス感染防止活動：「おとりマシン」(巡回型ハニーポット)を用いて、複数のWebサイトにアクセスし、閲覧しただけで感染してしまうWebサイト（悪性サイト）を発見する。これをリスト化し、あらかじめ同意を得たユーザーが悪性サイトにアクセスしようとする場合に注意喚起を行う。悪性サイトと判断されたサイト管理者に対してもウイルス駆除を促すよう注意喚起する。

　協力するISP事業者は11社が参加し、全国の契約ユーザー4000万の70％が対象になるという。

（2013/10/22 ネットセキュリティニュース）

【関連URL】
・ACTIVE（10月15日サイト開設、11月1日活動開始）
http://www.active.go.jp/index.html
・「ACTIVE」の実施及び「ACTIVE推進フォーラム」の開催（総務省、10月1日）
http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000059.html

◆古いMac OSを使い続けていませんか？ サポート終了の時期をチェック（2013/10/18）

　Windows XPのサポートがあと半年で終了すること、およびその影響と対策について、15日にお伝えした。MacのOSも、Windows OSと同様、古くなるとサポートは終了する。安心して使えるのはいつまでか、サポート終了時期をチェックしておこう。

　Windowsについては、開発・販売元のマイクロソフトが各バージョンのサポート終了日を明らかにしている。しかしアップルでは、Mac OSのサポート期間を明らかにしていない。そのため、いつまで安心してMacを使い続けられるかは、ユーザーが状況を見て自分で判断するしかない。

　Macはウイルスに感染しないと思っている方もいそうだが、それは正しくない。2012年にはウイルス「Flashback」が猛威をふるい、アップルもアップデートや除去ツールを公開するなど対応に追われた。サポートが切れてアップデートが提供されないMacを使い続けることはおすすめできない。

■サポート中のバージョン

　これまでのところ、Mac OS Xでは最新バージョンと2つ前のバージョンまでセキュリティアップデートが公開されているようだ。現在の最新バージョンはMac OS X 10.8（Mountain Lion）。10.7（Lion）と10.6（Snow Leopard）については、セキュリティアップデートが9月に公開されている。
・10.8（2012年2月リリース）：2013年10月追加アップデート
・10.7（2010年10月リリース）：2013年9月セキュリティアップデート
・10.6（2009年8月リリース）：2013年9月セキュリティアップデート

■サポートが終了したと思われるバージョン

　これより古い10.5（Leopard）、10.4（Tiger）、10.3（Panther）については、セキュリティアップデートが以下で止まっており、サポートは終了しているとみられる。Mac OS Xの「寿命」は4年前後といえそうだ。これらを使っている場合は、アップグレードするか、それが無理なら買い替えるといった対策が必要だろう。
・10.5（2007年10月リリース）：2011年6月セキュリティアップデート
・10.4（2005年4月リリース）：2009年9月セキュリティアップデート
・10.3（2003年10月リリース）：2007年11月セキュリティアップデート

■まもなく10.9（Mavericks）公開、10.6もそろそろ対策を

　アップルでは OS X 10.9（Mavericks）をこの秋リリースすると発表している。10.6（Snow Leopard）を利用している方も、そろそろ対策を考える時期かもしれない。
・OS X Mavericks（アップル）
http://www.apple.com/jp/osx/preview/

■iOS端末、寿命が尽きているのは

　iOSについてもサポート期間は明らかにされていないが、現行バージョンのみメンテナンスが行われているようだ。現在の最新版は、iOS 7.0.2（2013年9月26日リリース）。iOS 7系を利用できない以下の端末は、セキュリティ問題の修正が行われないため、寿命が尽きたと思ってよさそうだ。
・iPhone 3GSおよびそれ以前
・iPod touch第4世代およびそれ以前
・iPad第1世代

（2013/10/18 ネットセキュリティニュース）

【関連URL】
・Apple セキュリティアップデート（アップル）
http://support.apple.com/kb/HT1222?viewlocale=ja_JP&locale=ja_JP

◆オラクル、深刻な脆弱性を多数修正した「JRE 7 Update 45」を公開（2013/10/16）

　オラクルは16日、複数の深刻な脆弱性を修正したJRE（Java Runtime Environment：Java実行環境）の最新版、JRE 7 Update 45（1.7.0_45）を公開した。アップルからは、Mac OS XのJRE 6用に、同日より「Java for OS X 2013-005」と「Mac OS X v10.6 Update 17」が提供されている。

　JRE 7 Update 45では、Update 40以前のJRE 7に影響する、51件の脆弱性が修正された。うち12件は脆弱性評価システム「CVSS」のスコアが最高値の10.0で、悪用されると、外部からの攻撃でパソコンを乗っ取られるなどの深刻な被害が発生するおそれがある。

　対象となるのは、Windows、v10.7.3以上のMac OS X、Linux、Solaris。JREのアップデート機能（自動更新機能や、Javaコントロールパネルの[更新]タブの[今すぐ更新]ボタン）を使って更新できるほか、同社サイトから無料でダウンロードすることもできる。

　アップルが提供する「Java for OS X 2013-005」「Mac OS X v10.6 Update 17」では、Mac OS XのJRE 6をUpdate 65（1.6.0_65）に更新する。最新版では、Update 51以前のJRE 6に影響する38件の脆弱性が修正された。すべてJRE 7と共通の問題で、CVSSスコア10.0の深刻な脆弱性11件が含まれている。最新版への更新は、アップルメニューの「ソフトウェア・アップデート」から実行できる

　なお、JRE 7 Update 45ではセキュリティ機能の強化も行われている。たとえば、ユーザーが以前に「このアプリケーションを実行しますか」という警告画面で「次回から表示しない」を選択していた場合、コントロールパネルから、非表示にしていた警告画面が再び表示されるように設定することが可能になった。具体的には、コントロールパネルの［セキュリティ］タブで［セキュリティ・プロンプトの復元］ボタンをクリックする。警告画面については、下記資料「Javaからセキュリティ・プロンプトが表示される場合はどうすればよいですか。」をご覧いただきたい。

（2013/10/16 ネットセキュリティニュース）

【関連URL】
・October 2013 Critical Patch Update Released[英文]（オラクル）
https://blogs.oracle.com/security/entry/october_2013_critical_patch_update
・Oracle Critical Patch Update Advisory - October 2013[英文]（オラクル）
http://www.oracle.com/technetwork/topics/security/cpuoct2013-1899837.html
・About the security content of Java for OS X 2013-005 and Mac OS X v10.6 Update 17［英文］（アップル）
http://support.apple.com/kb/HT5982
・Java 7リリースのハイライト（オラクル）
http://www.java.com/ja/download/faq/release_changes.xml
・Javaからセキュリティ・プロンプトが表示される場合はどうすればよいですか。（オラクル）
http://www.java.com/ja/download/help/appsecuritydialogs.xml
・Java のバージョンの確認（オラクル）
http://www.java.com/ja/download/installed.jsp
・Javaのダウンロード（オラクル）
http://java.com/ja/download/

◆グーグル、脆弱性5件を修正した「Google Chrome 30.0.1599.101」公開（2013/10/16）

　グーグルは16日、Webブラウザ「Google Chrome」の最新安定版「30.0.1599.101」を公開した。対象となるのは、Windows、Mac、Linux、およびInternet Explorer用のプラグイン「Chrome Frame」。

　最新版では、5件の脆弱性が修正された。うち3件は解放したメモリーを使用してしまう問題で、危険度が4段階中で2番目に高い「高」とされている。

　最新版への更新は自動的に行われるほか、Google Chromeのメニュー（右端のアイコン）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。

（2013/10/16 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update［英文］（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2013/10/stable-channel-update_15.html

◆Twitter連携アプリ「Plays Now」に注意～認証すると見た動画を暴露（2013/10/15）

　ツイートに含まれている動画を見ようとリンクや動画再生ボタンをクリックし、表示された場面で「Plays Now」というアプリを認証すると、見た動画のタイトルが自動的にツイートされてしまう。ご注意いただきたい。

　ツイートの先頭に「plays」と表示され「liveplaylist.net/playsnow/html5...」というようなリンクが含まれている場合、このリンクをクリックしたり、タイムライン上の動画の再生ボタンを押したりすると、「Plays Nowがあなたのアカウントを利用することを許可しますか」と認証を求める画面が表示される。ここで［連携アプリを認証］のボタンを押すと、自分の見た動画が自動的にツイートされてしまう。

　どんな動画を見たのかが知人、友人や不特定多数の人に知られることになるので、かなり恥ずかしい思いをする人もいそうだ。

　Plays Nowが広がり始めたのは14日夜で、放送事故、喧嘩、着替え、女子高生、衝撃映像など刺激的な言葉につられて、動画を見ようとクリックしてしまう人が多い。

　Plays Nowを認証してしまった場合、Twitterの設定画面から「アプリ連携」に進み、Plays Nowの［許可を取り消す］ボタンを押して連携を解除すると、以降、このようなツイートは行われない。

　Plays Nowに限らず、Twitterの連携アプリを認証する場合は、事前に慎重に検討しよう。Twitterのサイトでも、「サードパーティのアプリケーションは慎重に選ぶ」よう呼びかけている。

（2013/10/15 ネットセキュリティニュース）

【関連URL】
・アカウントの安全性を保つには（Twitterヘルプセンター）
https://support.twitter.com/articles/249052

◆Windows XPのサポート終了まで半年～よくわからない人のために（2013/10/15）

　Windows XPのサポートが半年後の2014年4月9日に終了する。サポートが終了すると、セキュリティ更新プログラムの提供も終了する。以降、ウイルスに感染したり、不正アクセスを受けて情報を盗み取られたりする可能性が増大するため、XPの利用者は対策をとらなければならない。

　Windows XPはWindowsのOS（基本ソフト)のひとつで、2001年11月に発売された。現在マイクロソフトがサポート中のOSは、XP、Vista、7、8で、各OSのサポート終了予定は以下の通りだ。なおXPとVistaについては、すでに製品版ソフトウェア、プレインストール済みパソコンともに販売終了となっている。

　XP：2014年4月
　Vista：2017年4月
　7：2020年1月
　8：2023年1月
・Windows ライフサイクルのファクトシート（マイクロソフト）
http://windows.microsoft.com/ja-jp/windows/products/lifecycle

　ちなみに、アクセス解析サービス「StatCounter」の最新の日本のデータでWindows XP/Vista/7/8の使用割合を見ると、XPが19％、Vistaが13％、Windows 7が63％、Windows 8が5％となっている。
・StatCounter（英文）
http://gs.statcounter.com/

■OSのサポートが終了するとどうなるのか

　Windows OSにセキュリティ上の欠陥（脆弱性、ぜいじゃくせい）が見つかると、マイクロソフトはこれを修正するためのプログラムを配布する。ひと月あたり数件の脆弱性が見つかり、修正プログラムが「Microsoft Update」を通じて配布されている。

　サポートが終了すると修正プログラムが配布されなくなるので、月に数件、年に数十件見つかる脆弱性を修正する手立てがなくなってしまう。脆弱性を悪用するウイルスがつくられたり、不正アクセスの方法が見つかったりすると、いわばやられ放題の状態になってしまうのだ。

■今使っているOSを簡単に確認する

　以下のページの中ほどに、「Windowsのバージョンを判定する」という青い枠で囲まれた部分がある。ここをクリックすると、すぐに使用中のOSがわかる。
・Windows XP と Office 2003 のサポートが終了します（マイクロソフト）
http://www.microsoft.com/ja-jp/windows/lifecycle/xp_eos.aspx

■XPを使っている人は

　XPを使っている人は、お金がかかってしまうが、サポートが続くOSへのアップグレードまたはパソコンの買い替えを検討しよう。

　アップグレードを検討する場合に気になるのは、使用しているパソコンのハードウェア性能。Vistaが発売されたのは2007年1月だが、それ以前に買ったパソコンや、Vista発売直後に値下がりをねらって買ったパソコンの場合、性能的にアップグレードはほぼ無理だと思われる。つまり、パソコンを買い替えるのが現実的な対策であり、マイクロソフトも最新のパソコンへの買い替えを検討するようすすめている。
・サポート終了の重要なお知らせ（マイクロソフト）
http://www.microsoft.com/ja-jp/windows/lifecycle/xp_eos/consumer/default.aspx

　XPからの乗り換えを考えている人を対象に、キャンペーンを行っているメーカーや販売店もある。上手に利用して、パソコンを安全、快適に楽しむ環境を整えてはいかがだろうか。

（2013/10/15 ネットセキュリティニュース）

◆7～9月のインシデント報告：フィッシング6割増、サイト改ざん5割増（JPCERT/CC）（2013/10/11）

　JPCERTコーディネーションセンター（JPCERT/CC）は10日、2013年7～9月に受付けたコンピュータセキュリティのインシデントレポートを発表した。フィッシングは前期比63％増で、国内ブランドではオンラインゲームを装うものが最多だった。Webサイト改ざんは同50％増で、脆弱性が解消されていないパソコンが攻撃されている。

　2013年7～9月にJPCERT/CCが受付けたインシデント報告件数は1万95件（前四半期は9386件、8％増）、国内外の関連サイトとの調整を行った調整件数は2414件（前四半期は2179件、11％増）だった。前年同期との比較では、報告数は86％増加、調整件数は115％増加している。カテゴリ別で最も多かったインシデントは「Webサイト改ざん」2774件（33.5％）、次いでシステムの弱点を探索する「スキャン」2659件（32.1％）、「フィッシングサイト」469件（5.7％）、「マルウェアサイト」156件（1.9％）、「DoS/DDoS」12件（0.1％）の順だった。

■フィッシング～前期比63％増、国内ブランド最多はオンラインゲーム

　今期の「フィッシングサイト」は469件で、前期の287件から63％増加している。うち国内ブランドを装うもの165件（前期比129％増）、国外ブランドを装うもの219件（前期比％56増）で、国内ブランドの増加が目立つ。国内外を合わせたブランド種別では、「金融機関」が53.1と過半数を占め、次いで「オンラインゲーム」22.9％、「ポータル」8.6％、「通信事業者」8.1％の順。
　国内ブランドの最多はオンラインゲームで、国内ゲーム会社を装ったフィッシングサイトの中には、複数の国内通信事業者が動的に割り当てるIPアドレスを持ち、時間とともに移動したものもあった。調整先の割合は、国内56％、国外44％で、前期と比べ、国内の割合が増えた。

■サイト改ざん～前期比50％増、マルウェアがパソコン内認証情報を窃取

　インシデント別で最多となったWebサイト改ざん（2774件）は、前期の1847件から50％増加している。改ざん内容は前期同様、不審なiframeや難読化されたJavaScript がページに挿入されたとの報告が多い。改ざんサイトにアクセスすると、他のURLに誘導され、その誘導先から、さらに複数のアプリケーションの脆弱性を使用した攻撃サイトに誘導されることが確認されている。
　脆弱性が解消されていない古いバージョンのOS やアプリケーションを含むパソコンが攻撃されると、マルウェアに感染し、パソコン内に保存された認証情報を窃取される可能性がある。Webサイトが改ざんされた管理者の話から、サイト管理用パソコンがftpなどの認証情報を窃取するマルウェアに感染したか、ftpのパスワードが容易に推測できるものだったなどの問題点が考えられるという。

　フィッシング、サイト改ざんとも、ユーザー対策として、OSやアプリケーションのアップデートを必ず行って脆弱性を解消しておくこと、安易なパスワードではなく強いパスワードを使用するよう留意していただきたい。

（2013/10/11 ネットセキュリティニュース）

【関連URL：JPCERT/CC】
・JPCERT/CC インシデント報告対応レポート [2013年7月1日～2013年9月30日]
http://www.jpcert.or.jp/ir/report.html

◆無料アプリと引き換えに感染するマルウェアに注意（マカフィー）（2013/10/10）

　セキュリティ企業のマカフィーは、モバイル端末のセキュリティ調査レポート（日本語版）を、先月末に公開した。無料アプリのダウンロードと引き替えにマルウェアに感染し、有料SMSの請求を受けるといった、新しい手口が紹介されている。同社は無料アプリをダウンロードする前に、身を守る対策をとるよう呼びかけている。

　同社によると、攻撃者は無料アプリを装い、ユーザーに不正侵入に必要な「許可」に合意させ、マルウェアをインストールさせる。ダウンロードされている危険なアプリは何十万にものぼるが、なかでも最も悪質なアプリとして、「EXPLOIT/DIUTESEX.A」「ANDROID/FAKEINSTALLER.S」「ANDROID/NOTCOMPATIBLE.A」「ANDROID/SMSEND.F」「ANDROID/FAKERUN.A」の5つを挙げている。このうち日本でも発見されたという「SMSEND.F」と「FAKERUN.A」について紹介する。

●無料アプリと引き換えに有料SMS請求が舞い込む「Android/SMSend.F」

　SMS詐欺を働くマルウェアは、無料アプリのインストールによって端末に仕掛けられる。このトロイの木馬は、有料SMSの番号との間でメッセージを送受信するよう、デバイスの設定を変更してしまう。ユーザーの知らない間に、あるいはアプリの一部であると思わせてユーザー自身に、有料SMS を送信させる。「SMSend.F」は、アプリに収録されている写真、ビデオ、音楽を楽しむには、SMS メッセージを送信する必要があるとユーザーに納得させ、SMSの送信を促す。このSMSend マルウェアはマレーシアで最も流行し、日本でも発見された。

●偽りのアプリ評価でマルウェア配信を増やす「FAKERUN.A」

　アプリは高評価を受けると検索結果に跳ね返り、安全と考えられてダウンロードに影響を及ぼす。ユーザーがボタンをクリックすると広告を止めるこのアプリは、その代わりにユーザーの個人情報を奪い、Google Play で5つ星の評価を付ける。高評価を受けた開発者は他のアプリも信頼を獲得し、その信用はSMS詐欺アプリなどの配布に利用される。このFakeRunマルウェアは米国、インドを含む66か国のユーザーをだまし、そのなかに日本も含まれている。

　同社は、こうしたマルウェアから身を守るため、無料アプリをダウンロードする前に次のような対策を講じてほしいとアドバイスしている。

・アプリが求める許可を確認する。これらはアプリのGoogle Play ページのタブに表示されており、モバイルセキュリティソフトウェアから情報を得ることもできる。
・SMSメッセージで何かを行う、通話する、位置情報を記録する、あるいはアカウントへのアクセスを行うアプリには特に注意する。これらの許可は、最も個人的なデータにかかわっている。
・アプリをダウンロードする前に、複数のアプリストアで評価とレビューを確認する。
・開発者およびアプリの評価、内容、マルウェアの分析、許可によって何ができるのかについてのアドバイスを提供するセキュリティソフトウェアを使用する。

（2013/10/10 ネットセキュリティニュース）

【関連URL】
・マカフィー、モバイル・セキュリティに関する調査レポートを発表（2013年9月30日）
http://www.mcafee.com/japan/about/prelease/pr_13b.asp?pr=13/09/30-1
・モバイル セキュリティ 動向レポート 2013年6月（日本語版）
http://www.mcafee.com/japan/security/report/download.asp?no=80

◆アドビ、「Adobe Reader XI」「Flash Player」の最新版を公開（2013/10/09）

　アドビシステムズは9日、PDF閲覧ソフト「Adobe Reader XI」のWindows版および、コンテンツ再生ソフト「Flash Player」の最新版を公開した。Windows版Adobe Reader XIでは、脆弱性1件が修正されている。

■Adobe Reader XI（11.0.05）

　定例外のセキュリティアップデートとして、Windows版のAdobe Reader/Acrobat XIの最新版「11.0.05」が公開された。修正されたのは、先月リリースのWindows版「11.0.04」で混入した、ブラウザー内でPDFファイルを表示した場合にjavascriptスキーム（javascript:～）のURIを実行してしまう問題1件のみ。Reader X（10.1.8）やMac版には影響しない。
　使用中のAdobe Reader XIのバージョンは、Adobe Reader[ヘルプ]メニューの」[Adobe Reader XIについて]で確認できる。最新版への更新は、[ヘルプ]メニューの[アップデートの有無をチェック]で行えるほか、同社のサイトからもダウンロードできる。

・APSB13-25 : Security updates available for Adobe Acrobat and Reader［英文］（アドビ）
http://www.adobe.com/support/security/bulletins/apsb13-25.html
・Adobe Readerのダウンロード（アドビ）
http://get.adobe.com/jp/reader/

■Flash Player 11.9

　ベータ版だったWindows/Mac用の「Flash Player 11.9」が、正式版として公開された。脆弱性の修正はなく、Safariのセーフモード対応などの新機能の追加や機能強化、バグの修正が行われている。
　最新版は、Windows/Macともに「11.9.900.117」。システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルの「Flash Player」の[高度な設定]タブで確認できる。最新版は同社サイトで配布されている。
　Windows 8/RT搭載のInternet Explorer用と、Google Chrome用のFlash Playerについては、準備が整い次第、それぞれ自動的に更新が行われる。更新後のバージョンは、「11.9.900.117」。

・Flash Player 11.9 Release Announcement[英文]（アドビ）
http://forums.adobe.com/thread/1311459
・リリースノート（アドビ）
http://helpx.adobe.com/en/flash-player/release-note/fp_119_air_39_release_notes.html
・Flash Playerのバージョン確認（アドビ）
http://www.adobe.com/jp/software/flash/about/
・Flash Playerのダウンロード（アドビ）
http://get.adobe.com/jp/flashplayer/

（2013/10/09 ネットセキュリティニュース）

◆マイクロソフト、10月度の月例セキュリティパッチを公開（2013/10/09）

　マイクロソフトは9日、10月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。公開されたパッチは、深刻度が4段階評価で最も高い「緊急」4件と、次に高い「重要」4件の計8件。

　影響を受けるのは、Windows、Internet Explorer、.NET Framework、Word、Excel（Mac版、Exce Viewerを含む）Silverlight 5（Mac版を含む）、SharePoint Server。

　今回公開されたInternet Explorer用の累積パッチ（MS13-080）では、先月公開のセキュリティアドバイザリで説明されていた「CVE-2013-3893」を含む10件の脆弱性が修正されている。いずれもメモリーがらみの危険な問題で、「CVE-2013-3893」のほかに「CVE-2013-3897」についても、Internet Explorer 8での悪用攻撃が確認されていたという。

【更新プログラムの内容】
＜緊急＞
[MS13-080] Internet Explorer：リモートコード実行の脆弱性
[MS13-081] Windowsカーネルモードドライバー：リモートコード実行の脆弱性
[MS13-082] .NET Framework：リモートコード実行の脆弱性
[MS13-083] Windowsコモンコントロールライブラリー：リモートコード実行の脆弱性

＜重要＞
[MS13-084] SharePoint Server：リモートコード実行の脆弱性
[MS13-085] Excel：リモートコード実行の脆弱性
[MS13-086] Word：リモートコード実行の脆弱性
[MS13-087] Silverlight 5：情報漏えいの脆弱性

　このほか、新たに「Shiotob」と「Foidan」に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開された。

（2013/10/09 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セーフティとセキュリティセンター
http://www.microsoft.com/ja-jp/security/default.aspx
・2013年10月のセキュリティ情報
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-Oct
・Microsoft Update
http://windowsupdate.microsoft.com/
・2013年10月のセキュリティ情報 (月例) - MS13-080～MS12-087
http://blogs.technet.com/b/jpsecurity/archive/2013/10/09/3601278.aspx
・セキュリティアドバイザリ (2887505) Internet Explorer の脆弱性により、リモートでコードが実行される
http://technet.microsoft.com/ja-jp/security/advisory/2887505

◆上半期で不正アクセス禁止法違反急増、有料サイトの架空請求に注意（警察庁）（2013/10/08）

　警察庁は9月26日、今年上半期のサイバー犯罪の検挙状況を発表した。罪名別割合で最も多いのは「不正アクセス禁止法違反」の817件で、すでに昨年1年間の検挙件数を大幅に上回った。相談件数で最も多いのは「詐欺・悪質商法」の1万5615件で、有料サイトの架空請求に注意していただきたい。

　今年上半期（1～6月）のサイバー犯罪の検挙件数は4093件で、前年同期比で825件（25.2％)の増加となった。罪名別割合で最多の「不正アクセス禁止法違反」は、昨年1年間の検挙件数543件を、すでに274件も上回っている。以下、「児童ポルノ」510件、「詐欺」427件、「著作権法違反」419件、「わいせつ物頒布等」316件と続く。

　うち詐欺は前年同期を26件（6.5％）、著作権法違反は190件（83％）上回っている。詐欺の検挙例では今年1月、出会い系サイトでサクラを使って利用料金をだまし取っていたサイト運営者が検挙されている。著作権法違反の検挙例では今年2月、ファイル共有ソフト等を利用して著作物を不特定多数に配信していた27名について、全国47都道府県警察が一斉集中取締り、一斉検挙している。

●相談の最多は「詐欺・悪質商法」～有料サイト名目の架空請求に注意

　都道府県警察の相談窓口で受付けたサイバー犯罪等に関する相談は、今年上半期で3万9392件あり、前年同期比で242件（0.6％)の増加となった。
　最も多いのは、「詐欺・悪質商法」1万5615件、次いで「迷惑メール」5794件、「名誉毀損・誹謗中傷等」4717件、「オークション」2784件、「不正アクセス等・ウイルス」2756件の順。詐欺・悪質商法の相談では、無料表示のアダルトサイトを閲覧していて高額料金を請求された、利用した覚えのないサイトの利用料として高額な料金を請求されたという相談例が紹介されている。

　警察庁が10月1日に発表した「特殊詐欺の認知・検挙状況」をみると、「有料サイト利用料金等名目」の架空請求詐欺が急増している。今年1～7月までは16～43件で推移していたものが、8月には95件に跳ね上がった。身に覚えがない請求が来たら、業者に連絡したり支払いに応じたりする前に、都道府県警察に相談していただきたい。

（2013/10/08 ネットセキュリティニュース）

【関連URL：警察庁】
・平成25年上半期のサイバー犯罪の検挙状況等について[PDF]
http://www.npa.go.jp/cyber/statics/h25/pdf01-1.pdf
・特殊詐欺の認知・検挙状況等について（平成25年8月）[PDF]
http://www.npa.go.jp/sousa/souni/hurikomesagi_toukei.pdf

◆SNSなどの情報公開範囲の設定に注意を（IPA）（2013/10/07）

　「Googleグループ」などで情報流出が相次いだことを受け、情報処理推進機構（IPA）は1日、インターネットサービス利用時の情報公開範囲の設定に注意するよう呼びかける「10月の呼びかけ」を公開した。

　Googleグループでの情報漏えい問題は、公開範囲の初期設定が当初、［全てのユーザー］に設定されており、それをそのまま利用していたのが原因とし、公開範囲の具体的な設定方法を紹介している。官公庁の職員や企業の従業員などが、SNSなどに不適切な書き込みや写真を投稿したことによる炎上事例についても触れ、「誰に対してどこまで自分の情報を公開するのか」といった注意が薄らいでいると指摘。FacebookとTwitterの公開範囲設定の方法を紹介している。

　また、通販サイトのウィッシュリスト（ほしいものリスト）で実名が公開されてしまう事例と、Amazonでのその設定方法、デジタルカメラやスマートフォンで撮った写真を公開する際の注意点についても示している。詳しくは、「10月の呼びかけ」を参照していただきたいが、一部に誤解を招きかねない部分などがあるので、設定不備に起因する投稿などの意図せぬ流出に絞って、補足説明をしたい。

■サービス利用時には公開状態の事前チェックを

　インターネット上のサービスは、情報を公開したり共有したりすることを目的に作られていることが多いため、そのまま利用すると、想定外のものが閲覧できる状態になってしまうことがある。何が公開されるのか、どこで設定するのかが分かりにくいというサービス側の問題もあるが、ユーザーが見過ごしていたり勘違いしたりしていることもあるので、不特定多数に公開するつもりのない情報を扱う場合には、第三者から実際にどのように見えるのかを、事前にチェックしておくことをお勧めする。
　具体的には、サービスをログアウトした状態で自身のプロフィールや投稿などを見に行き、閲覧の可否が想定通りか、検索状況はどうかをチェックする。ログインしている状態（会員）と、していない状態（非会員）とで、利用できる機能や閲覧できる範囲が異なるサービスの場合には、別のアカウントでログインした状態でも同様のチェックを行う。別アカウントでのログインは、知り合いにチェックを依頼してもよいし、複数のアカウント取得が認められている場合には、自身でアカウントを追加作成してもよい。

■Googleグループの公開範囲設定

　「Googleグループ」は、メールを使った一対多や多対多のコミュニケーションが行える「メーリングリスト」が発展したものである。グループ作成時の現在の初期値では、グループのメンバーが投稿、閲覧でき、誰でもグループへの参加申し込みが可能な「メーリングリスト」仕様になっている。
　「トピックの表示」「投稿」「グループに参加」それぞれについて、公開範囲が設定でき、当初[トピックを表示]の初期値が[一般公開]になっていた。このたため、初期設定のまま利用していたグループの投稿が、誰でも閲覧できる状態になってしまった。
　同様の問題は、同じサービスを提供する「Yahoo！グループ」でも2011年の暮れに話題になっており、Facebookでもよく似た問題が発生している。

■Facebookの公開範囲設定

　まず、「10月の呼びかけ」にあるFacebookの公開範囲の設定だが、これは、次回からの投稿の初期値を変更するだけのものなので、あえてここで操作する必要はない。ここで設定したからといって、それが今後もずっと公開範囲として維持されるわけでもないので、誤解のないようにしたい。Facebookの投稿に「公開」以外を併用している場合には、投稿時に範囲の再確認を心がけるようにするのがポイントだ。
　Facebookでは、投稿時や投稿後に「共有範囲選択ツール」を使用し、投稿ごとに個別に公開範囲を設定することができる。「共有範囲選択ツール」で変更した設定値は、その後の投稿の初期値になる。例えば「友達」で投稿した後、「公開」に切り替えて投稿すると、次の投稿の初期値は「公開」になる。プライバシーショートカットやプライバシー設定で行った設定が、恒久的に投稿の初期値になると思っていると、想定外の人に公開してしまうことになりかねないので注意していただきたい。
　なお、自分のタイムライン上の他のユーザーの投稿や自身がタグ付けされている投稿に関しては、「タイムラインのタグ付け」で管理を行う。他のユーザーのタイムラインに自身が投稿したものに関しては、投稿先のユーザーの管理に従うことになる。

　設定ミスに起因する意図しない漏えいが問題になっているのは、これら通常の投稿ではなく、Facebookの「グループ」機能だ。「グループ」は、メンバー間で投稿・閲覧できるGoogleグループとよく似たもので、「公開」「非公開」「秘密」の3種類のプライバシー設定がある。作成時の初期値は「非公開」なので、そのまま利用しても投稿内容が漏れてしまうことはないが、この設定では、誰がグループに参加しているのかが公開されてしまう。
　問題が指摘されているのは、この「非公開」設定の「グループ」を通じて、企業の内定者と見られるメンバー一覧が閲覧できてしまった点だ。グループのメンバー以外がグループを見つけたり、メンバーを表示したりできないようにするためには、グループのプライバシー設定を「秘密」にしておかなければいけない。

■Twitterの公開範囲設定

　Twitterの通常の投稿（ツイート）には、全てを公開する（初期値）か、非公開にするかのどちらかの選択しかなく、非公開設定の場合には、投稿は自身が承認したフォロワーにのみ表示される。グループごとや投稿ごとに、公開/非公開を変えることはできない。
　非公開設定のアカウントは、鍵アカ（鍵付きアカウント）などと呼ばれ、仲間同士のプライベートなやりとりに使われている方も多い。鍵アカであれば、投稿が不特定多数に閲覧されてしまうようなことはないが、非公開設定がリンク先にまでは及ばないということを認識していないと、意に反した流出が起きてしまう。
　よくあるのが、公式以外のサービスを使って投稿した画像を見つけられてしまうケースだ。Twitterのカメラアイコンから画像をアップロードした場合には、画像の公開設置は投稿と連動し、投稿を削除すれば画像も削除される。ところが、画像共有サービスなどの外部のサービスを使用した場合には、画像はそのサービスの管理に従う。Twitterの投稿が非公開でも、外部サービスに置いた画像が公開状態なら、画像は誰でも閲覧できてしまうのだ。

　Twitterに限らず、非公開の投稿に非公開のつもりの外部リンクを含む場合には、リンク先の公開範囲の設定にも注意を払っていただきたい。リンクを知らなければ閲覧できないと思っていると、思わぬところで情報流出が起きてしまう。

（2013/10/07 ネットセキュリティニュース）

【関連URL】
・2013年10月の呼びかけ「インターネットサービス利用時の情報公開範囲の設定に注意！」を公開しました。（IPA）
http://www.ipa.go.jp/security/txt/2013/10outline.html

◆マイクロソフト、10月の月例パッチは「緊急」4件「重要」4件（2013/10/04）

　マイクロソフトは4日、今月9日に公開を予定しているセキュリティ更新プログラム（修正パッチ）の概要を発表した。リリース予定の修正パッチは、4段階評価で深刻度が最も高い「緊急」4件、2番目に高い「重要」4件の計8件。

　「緊急」の脆弱性は、いずれもリモートでコードが実行される脆弱性で、Internet Explorer（IE）に影響する問題1件と、Windowsに影響する問題3件。

　「重要」の脆弱性は、SharePoint ServerとOffice ServicesおよびOffice Web Appsに影響するリモートコード実行の問題1件。Officeに影響するリモートコード実行の問題2件。Silverlight 5に影響する情報漏えいの問題1件。

　このほか、「Windows Update」「Microsoft Update」などで、セキュリティ以外の優先度の高い更新プログラムと、「悪意のあるソフトウェアの削除ツール」の更新バージョンのリリースが予定されている。

　10月の月例パッチでは、先月発覚したゼロデイ攻撃に悪用されている、IEの問題が解決される予定になっている。この脆弱性は、既報の通り攻撃コードが公開され、攻撃の拡大が懸念される。パッチが提供されるまでの間は、必ず回避策を講じておいていただきたい。

（2013/10/04 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・マイクロソフト セキュリティ情報の事前通知 - 2013 年 10 月
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-Oct
・マイクロソフト セキュリティ アドバイザリ (2887505) Internet Explorer の脆弱性により、リモートでコードが実行される（マイクロソフト）
http://technet.microsoft.com/ja-jp/security/advisory/2887505
・サポート技術情報 2887505（マイクロソフト）
http://support.microsoft.com/kb/2887505/ja

◆IEの未修正の脆弱性を悪用するコード公開～攻撃拡大のおそれ（2013/10/03）

　先月発覚した、Internet Explorer（IE）の未修正の脆弱性を悪用する攻撃コードが1日に公開され、Webベースの大規模な攻撃に発展するおそれが高まっている。マイクロソフトからは、この問題を回避する一時的な措置として「Fix It」が提供されているので、IEをご使用の方は、早急に適用し攻撃に備えていただきたい。

　この脆弱性攻撃は、IEのレンダリングエンジン「MSHTML」に含まれる、解放したメモリーにアクセスしてしまう問題を悪用し、任意のコードを実行しようとするもの。すべてのIEに影響があり、細工されたWebサイトにアクセスするだけで、ウイルスに感染してしまうおそれがある。先月中旬、日本国内で行われていた限定的な攻撃に使われていたことで表面化したが、その後国外でも複数の攻撃が確認されているという。攻撃コードの公開により、この攻撃のさらなる拡大が懸念される。

　IEの脆弱性は、全バージョンに影響するものだが、実際に行われている攻撃は、Windows XP上のIE 8とWindows 7上のIE 8/9を標的としており、閲覧者のパソコンに悪質なプログラムを自動的にダウンロード/インストールさせるために、この脆弱性とIEのJavaScript、Microsoft Officeの特定のDLLを使用している。マイクロソフトからは、先月18日にセキュリティアドバイザリが出されており、以下の4つの回避策が示されている。

・「Fix It」を適用する
・「EMET」を使用する
・セキュリティ ゾーンの設定を「高」に設定する
・アクティブ スクリプトの実行前にダイアログを表示するよう設定する

　IEをご使用の方は、セキュリティ更新プログラムが提供されるまでの間、いずれかの回避策を適用して攻撃に備えていただきたい。「Fix It」を利用する場合には、下記の「サポート技術情報 2887505」にある「有効にする」側のアイコン（Microsoft Fix it 51001）をダウンロード/実行すると回避策が適用され、脆弱性の悪用を阻止するようになる。「無効にする」側のアイコン（Microsoft Fix it 51002）をダウンロード/実行すると、適用した回避策を無効化し適用前の元の状態に戻る。

（2013/10/03 ネットセキュリティニュース）

【関連URL】
・サポート技術情報 2887505（マイクロソフト）
http://support.microsoft.com/kb/2887505/ja
・Internet Explorerのmshtml.dllに存在する解放済みメモリを使用する脆弱性（CVE-2013-3893）に関する検証レポート（NTTデータ先端技術）
http://www.intellilink.co.jp/article/vulner/131002.html
・Metasploit releases CVE-2013-3893 (IE SetMouseCapture Use-After-Free)[英文]（RAPID7）
https://community.rapid7.com/community/metasploit/blog/2013/09/30/metasploit-releases-cve-2013-3893-ie-setmousecapture-use-after-free

◆グーグル、深刻な脆弱性を修正した「Google Chrome 30」公開（2013/10/02）

　グーグルは2日、同社のWebブラウザ「Google Chrome」の最新安定版「30.0.1599.66」を公開した。対象となるのは、Windows、Mac、Linux、およびInternet Explorer用のプラグイン「Chrome Frame」。

　最新版では、ページ内の画像をGoogle画像検索を使って検索する機能などが追加されたほか、計50件の脆弱性が修正された。修正された脆弱性には、解放したメモリーを使用してしまう問題など、悪用されるとコード実行につながるおそれのある危険度の高い問題が多数含まれている。

　最新版への更新は、自動的に行われるほか、Google Chromeのメニュー（右端のアイコン）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。

（2013/10/02 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2013/10/stable-channel-update.html

 

◆メールアカウントを狙うフィッシングに注意（2013/10/01）

　先週末から、国内の複数のプロバイダーやポータルサイトを装うフィッシングが発生しており、各社が注意を呼びかけている。

　週末にばらまかれたフィッシングメールは、各社のユーザーサポートを装った同じ文面のもの。機械翻訳とみられる不自然な日本語が使われており、アカウントの更新と称してリンクをクリックさせ、本物に似せた偽のログインページへと誘導しようとする。

　誘導先の偽サイトは、不正アクセスを受けたマレーシアの同じサーバー上に、9月28～29日にかけて設置されたもの。編集部ではこれまでに、So-net、NTTレゾナントの「gooメール」、NECビッグローブの「BIGLOBEメール」、ケイ・オプティコムの「eoWebメール」のログインページに似せた偽サイトの計4件を確認しているが、このほかにもあるかもしれない。10月1日午後4時半現在、いずれも稼働中なので注意していただきたい。

　国内のユーザーを標的に、現在も継続的に行われているのが、各社のメールアカウントと、オンラインゲームのアカウントを狙ったフィッシングだ。いずれも海外からの攻撃で、何らかの問題が発生したとか、アカウントの更新が必要、本人確認が必要などといって偽サイトへと誘導しようとする。メールアカウントを狙うフィッシングに関しては、今のところ不自然な日本語のものばかりなので、ほんの少し注意を払えば、だまされることはないだろう。

　万一、誘導されてしまった場合に備えて、次のことも覚えておいていただきたい。今回狙われた4社をはじめとする国内の大手サイトでは、ログイン時や個人情報等の重要な情報を入力は、必ずSSLという暗号化通信で行っている。SSL通信時には、ブラウザーのアドレスバーの横に「錠マーク」が表示されるので、簡単に識別できる。

　過去数年間に編集部が確認した、国内のユーザーを標的とした偽サイトは、約1000件あるが、いこれまでのところ、錠マークが表示される偽サイトはひとつもない。「錠マーク」の確認だけでも、これまでのフィッシングは100％回避できたのだ。

　海外のフィッシングでは、錠マークが表示される偽サイトが少なからず存在する。こうした場合にも備えて、URLも合わせてチェックするよう心がけていただきたい。錠マークとURLの2点をチェックするだけで、偽サイトは簡単に見破ることができる。

（2013/10/01 ネットセキュリティニュース）

【関連URL】
・【重要】So-netをかたる不正なフィッシングサイトにご注意ください
http://www.so-net.ne.jp/access/osirase/20130729.html
・gooやNTTレゾナントを装った不審なメールにご注意ください（goo）
http://help.goo.ne.jp/help/article/2065/
・eoWEBメールをかたる不正なフィッシングサイトにご注意ください（ケイ・オプティコム）
http://support.eonet.jp/news/92/
・eoWEBメールをかたるフィッシング(2013/10/01)（フィッシング対策協議会）
http://www.antiphishing.jp/news/alert/eoweb20131001.html
・ポータルサイトgooをかたるフィッシング(2013/10/01)（フィッシング対策協議会）
http://www.antiphishing.jp/news/alert/goo20131001.html