ネットセキュリティニュース

◆Androidのマルチメディアエンジンに複数の深刻な脆弱性――現状と対策（2015/07/31）

　モバイルのセキュリティサービスを提供するZimperium社は28日、Androidのマルチメディアエンジンに、複数の深刻な脆弱性が存在することを明らかにした。脆弱性を悪用した攻撃は今のところ確認されていないが、最悪の場合には、知らない間に端末を乗っ取られてしまう、致命的な状況になってしまう恐れがある。

　脆弱性が見つかったのは、Android 2.2から搭載している「Stagefright」という名のマルチメディアエンジンだ。最新の端末が使用しているAndroid 5.0/5.1にも含まれているシステムコンポーネントのひとつで、オーディオやビデオの再生機能を提供している。ほとんどすべてのAndroid端末に組み込まれているこのコンポーネントに、メモリーがらみの深刻な問題があり、細工したメディアファイルを処理させると任意のコードが実行される可能性があるという。

　Androidには、この種の脆弱性攻撃を成功しにくくする仕組みが用意されており、仮に攻撃が成功しても、システムや他のアプリに影響を及ぼさないように設計されている。コード実行の脆弱性とはいえ、直ちに何でもできるようになってしまうというわけではない。ところが特に古い機種の場合には、脆弱性攻撃の緩和策が不十分なうえ、システム特権やそれに近い権限が得られるらしく、端末が乗っ取られてしまうという最悪の事態がクローズアップされている。

　これをさらに深刻なものにしているのが、グーグルのコミュニケーションアプリ「ハングアウト」を用いたデモだ。ハングアウトは、電話番号宛てにメッセージを送ることのできるSMS/MMSに対応している。SMSは、ショートメッセージと呼ばれる短いテキストを送る、携帯電話やスマートフォンのサービスのこと。MMSは、そのマルチメディアメッセージ版で、画像や音声、動画などを含んだメッセージをやりとりできる。

　これらの送受信をハングアウトが行うように設定すると、ハングアウトは標準設定でMMSメッセージを自動的に取得し、マルチメディアデータを直ちにStagefrightに処理させる。Webサイトに誘導したり、メールの添付ファイルなどを開かせたりする他の攻撃手法と違い、細工したMMSを送りさえすれば、ユーザーがメッセージを開かなくても攻撃できてしまうわけだ。

■現状と対策

　Androidの開発元であるグーグルは、すでにこの脆弱性を修正しているそうだが、システムコンポーネントのStagefrightは、Google Playではアップデートできず、ユーザーの権限で一時的に無効化することもできない。メーカーやキャリアが行う「システム更新」を待たなければならない。お使いの端末もほぼ間違いなく影響を受けるので、システム更新が来たら遅延なく適用したい。アップデート状況や今後の予定については、各端末のメーカーやキャリアに問い合わせていただきたい。

　今のところはまだ悪用攻撃は発生していないので、まずは冷静に今後の動向を見守りたい。ハングアウトとMMSの組み合わせのように、そのままでいると知らない間に攻撃されてしまうケースもあるので、注意が必要だ。ソフトバンクのようなMMSに対応しているキャリアのユーザーは、メッセージを自動的に取得しないように設定を変更したり、MMSそのものを受信しないようにしたりするなどの、一時的な回避措置を検討していただきたい。

　アップデートされる見込みのない端末も多数あると思われるが、万一攻撃が始まってしまう事態となった場合は、機種交換を検討していただきたい。スマートフォンをスマートフォンらしく使い続けるには、そうしなければいけないほど深刻な問題なのだ。

（2015/07/31 ネットセキュリティニュース）

【関連URL】
・JVNVU#92141772：Android Stagefright に複数の脆弱性（JVN）
http://jvn.jp/vu/JVNVU92141772/
・Stagefright の脆弱性が Android ユーザーにとって深刻な脅威に（シマンテック）
http://www.symantec.com/connect/ja/blogs/stagefright-android
・VU#924951：Android Stagefright contains multiple vulnerabilities[英文]（CERT）
http://www.kb.cert.org/vuls/id/924951
・Experts Found a Unicorn in the Heart of Android[英文]（ZIMPERIUM）
http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android/

◆国内フィッシング事情(5) メールアカウント狙うフィッシング（2015/07/31）

　今月17日、フィッシング対策協議会からOCNをかたるフィッシンの注意喚起が出された。誘導方法の記載はなく、発見された偽サイトのみが報告されたものとみられる。該当する偽サイトを調査したところ、この偽サイトが設置されているフランスのサーバーの同じフォルダの中には、メールサービスを装った偽サイトが8種類も設置されていた。

　このうち6件は中華系のメールサービスで、残りの2件が日本国内のサービスを偽装したものだった。OCNの告知には、本件に関する記載はないが、偽装されたもうひとつの「ネッチュウメール」の運営元からは、同社を装うフィッシングメールの注意喚起が6月22日付で出されており（下欄「関連URL」参照）、本件もフィッシングメールによる誘導だった可能性が高い。

■ターゲットを変えつつ断続的に実行

　メールアカウントの詐取を目論む攻撃は、断続的に行われているフィッシングのひとつだ。他のフィッシングと同様、たいていは不特定多数宛てにフィッシングメールをばらまく手口が用いられるが、特定のメールサービスを狙った攻撃では、そのサービスのメールアドレスを持つユーザー宛てにフィッシングメールが届くため騙されやすい。
国内のユーザーを標的としたものでは、プロバイダや組織、学内などのメールサービスを装ったものが多く、乗っ取られたアカウントから迷惑メールが送信されたという話も聞く。

　今回見つかった偽サイトは21日に閉鎖されたが、28日には別のサーバーに同じ設計のOCNの偽サイトが設置され、現在（7月31日正午）も稼働している。国内のユーザーを標的としたメールアカウントを狙うフィッシングでは、ひとつのブランドへの攻撃が長期間続く例はこれまでにないが、引き続き警戒が必要なのは言うまでもない。

　同種のフィッシングはターゲットを変えながら断続的に行われているので、他のサービスの利用者も、アカウントの確認や更新などと称してログインページに誘導したり、入力フォームに入力させようとしたりするメールに騙されないよう、注意していただきたい。

（2015/07/31 ネットセキュリティニュース）

【関連URL】
・OCN をかたるフィッシング (2015/07/17)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/ocn20150717.html
・OCNを騙る不正なフィッシングサイトにご注意ください（OCN）
http://security.ocn.ne.jp/info/phishing.html
・弊社を装った迷惑メールに関して (2015/06/22)（佐賀新聞・長崎新聞インターネッ）
http://www.sni.ne.jp/news/index.html#20150622
・PayPal をかたるフィッシング (2015/07/08)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/paypal20150708.html

◆国内フィッシング事情(4) 日本語化進むペイパルとアップルの偽サイト（2015/07/30）

　海外で行われているフィッシングの大半は、言語の違いから国内のユーザーに直接影響することはない。ところが最近は、海外で行われているフィッシングであるにも関わらず、アクセスすると日本語のページが表示されるケースが目に付くようになってきた。

　決済サービスの「ペイパル」と、iPhoneやMacの「アップル」の偽サイトがそれだ。日本語に対応したペイパルの偽サイトは4～5年前からチラホラ見かけたが、増え出したのは一昨年から。アップルの方は、昨年から急増している。

■ユーザーの言語設定等に合わせ、多国語に対応

　偽サイトのバリエーションは、どちらも複数あるが、いずれも日本語に特化したものというわけではなく、多国語に対応している。アクセスして来たユーザーの言語設定やIPアドレスの保有国を元に国を判定し、ユーザーに合わせたページを表示する本物のサイトと同じ仕組みだ。ただし日本語化の程度にはばらつきがあり、ログインページから個人情報やクレジットカード上の入力ページまで、全ページが完全に日本語化されたものもあれば、トップページだけとか、ログインページだけというような限定的なものもある。外国語のフィッシングメールが届いた時点で、これは怪しいと判断される方が多いと思うが、アクセスすると日本語表示になるので油断できない。

■ペイパルの偽サイトへ誘導する日本語の偽メール

　ペイパルやアップルのフィッシングは、毎日大量発生しており、日本語表示になる偽サイトだけでも、今月はすでにペイパルが100以上、アップルが50以上を数えている（いずれもドメイン数）。ほぼ全てが海外で行われているので、国内のユーザーには影響がないのだが、先月末ごろから、ペイパルの偽サイトへと誘導する日本語のフィッシングメールが見つかっている。

　「あなたのアカウントは一時的に停止します」などの件名で届くこのメールは、機械翻訳丸出しの奇妙な日本語のオンパレードで、問題を解決するためなどと称して偽サイトにログインさせようとする。メールに記載された「ログイン」をクリックすると、日本語に対応したペイパルの偽サイトが開く仕掛けだ。URLは、公式サイトに似せた紛らわしいもが使われており、日本からアクセスすると、本物の日本語ページそっくりの偽サイトが登場するので、油断していると騙されてしまうかもしれない。

■偽サイトの見分け方

　ペイパルの本物のログインページは、URLが必ず「https」で始まり、一般的なパソコン用のブラウザで閲覧すると、アドレスバーに錠前マークと同社の名前「PayPal, Inc.」が緑色で表示される。偽物には、こうした表示がないので、ここさえ見落とさなければ偽物に騙されるようなことはない。

　現在も稼働している問題のサイトは、入力されたアカウント情報の有効性をチェックしているようで、偽のアカウントを入力してもログインページから先に進めないようになっている。フィッシングを仕掛ける側も、無駄な情報を排除して本物だけを効率よく改修したいのだろう。このためログイン後の挙動については確認できていないが、同種の偽サイトの多くは、ログインページに続き、個人情報やクレジットカード情報を入力させようとする。

（2015/07/30 ネットセキュリティニュース）

【関連URL】
・PayPal をかたるフィッシング (2015/07/08)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/paypal20150708.html

◆国内フィッシング事情(3) メール誘導型のゲームフィッシング続く（2015/07/30）

　オンラインゲームのフィッシングもまた執拗に攻撃が続いており、今年に入ってからは、スクウェア･エニックス、ハンゲーム、NCSOFT、GAMECITYと多彩な攻撃を展開してきた。中でもとりわけ長いのがスクウェア･エニックスを装うフィッシングで、同じグループとみられる攻撃が2年以上に渡って続いている。

■連日ばらまかれる偽メール、稼働を続ける偽サイト

　今月9日には、フィッシング対策協議会から久しぶりにスクウェア･エニックスのフィッシング情報が出た。今年1月以来の、半年ぶりの緊急情報だが、実はこの間も1～2週間程度の小休止を挟みながら、ほとんど絶え間なく攻撃が続いていた。

　同協議会の緊急情報は、主に新しいフィッシングの立ち上がり時に出され、同じ手口の攻撃が続く状況下では、追加告知が行われない傾向にある。緊急情報の数が多いとメディアの露出も増え、フィッシングが活発化しているように見えてしまうかもしれないが、相関関係はないので注意したい。同協会の緊急情報だけを見ていると、フィッシングが行われていない状況と活発過ぎる状況が区別できない。ちなみに今回の緊急情報は、6月末からの小休止を終え、今月7日から攻撃が再開したのを受けてのもの。その後の告知は無いが、今のところ偽サイトを稼働し続けており、連日のようにフィッシングメールがばらまかれている。

■「偽メールへの注意呼びかけをコピペした偽メール」出回る

　スクウェア･エニックスのフィッシングメールは、過去に使用した数種類のメールをえんえんと使い回しており、アカウントの確認などと称して、「ドラゴンクエストX 目覚めし冒険者の広場」のログインページを模した偽サイトへと誘導する。今月7日の再開後も、当初は同様のメールが使われていた。ところが20日頃からは、「ネットカフェ夏キャンペーン2015開催！直ちに登録に贈り物の超元気玉」という件名で、これまでにない新しい内容のメールが届くようになった。このメールの内容は、「ドラゴンクエストX」のネットカフェ提携店で、今月2日から行われるキャンペーンの事前告知を丸ごとコピペしたもので、キャンペーンサイトと称して偽サイトのリンクをクリックさせようとする。

　新たな内容のフィッシングメールが出回ったことを受け、公式サイトでは21日、「キャンペーンを騙るフィッシング誘導メールについて」というお知らせを掲載し注意を呼びかけた。すると今度は、このお知らせの内容をコピペしたフィッシングメールが、「[重要]dqxキャンペーンを語るフィッシング誘導メールについて」という件名でばらまかれた。元の告知の内容に、本人確認のための認証メールを送ると称して偽サイトのリンクをクリックさせる内容を加えたものだ。

■偽サイトの見分け方

　新しいフィッシングメールの投入が見られた再開後の攻撃だが、誘導先はこれまでと同様「ドラゴンクエストX 目覚めし冒険者の広場」のログインページそっくりに作られた偽サイトだ。本物との大きな違いは、本物のサイトはEV SSLに対応している点だ。本物のログインページは、URLが必ず「https」で始まり、一般的なパソコン用のブラウザで閲覧すると、緑色の錠前マークと運営元の名前「SQUARE ENIX CO., LTD.」が表示される。こうした表示は偽物にはないので、ここをチェックすれば真偽が識別できる。

（2015/07/30 ネットセキュリティニュース）

【関連URL】
・スクウェア・エニックス（ドラゴンクエストX）をかたるフィッシング (2015/07/09)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/squareenix20150709.html
・キャンペーンを騙るフィッシング誘導メールについて（ドラゴンクエストX 目覚めし五つの種族 オンライン）
http://hiroba.dqx.jp/sc/news/detail/a48564053b3c7b54800246348c7fa4a0/

◆Windows 10へのアップグレードは慎重に（2015/07/29）

　Windows 7/8.1を対象としたWindows 10の無償アップグレードが間もなく始まる。アップグレード予約を終え、新しいOSが利用できるようになるのを今や遅しと待ちわびている方もいらっしゃるかも知れないが、はたしてアップグレードを実行しても大丈夫なのだろうか。

　無償アップグレードの対象となっているWindows 7と8.1（Windows 8.0からのアップデート版を含む）のユーザーのパソコンでは、先月からタスクバーに「Windows 10を入手する」アイコンが表示されるようになっており、クリックするとアップグレードの予約が行えるようになっている。Windows Updateにも同様の表示があるので、こちらから予約された方もいらっしゃるかも知れない。

　予約を行ったパソコンには、新しいOSの提供が始まってインストールの準備が整うと、通知が来ることになっている。そこでインストールを実行すれば、新生活が始まる手はずなのだが、OSのアップグレードは、時として大きなトラブルを招いてしまうことがあるので注意したい。

　本体や周辺機器、使用していたアプリケーションが、新しいOSに対応していなかったり、対応の予定すら立っていないこともあったりする。Webサービスが未対応というケースもあるので、なくては困るものをひと通りリストアップし、対応状況をくまなくチェックしてからアップグレードするかどうかを判断するようにしたい。未対応のハードやソフト、サービスは、全く利用できなかったり、一部の機能に制限が生じたりするだけでなく、他のソフトやハードの動作に影響を及ぼすこともある。

■アップグレード前にバックアップを

　Windows 10を搭載した新しいパソコンを導入する場合には、古い環境もそのまま使い続けることができるが、使用中のパソコンのOSを入れ替えるとなるとそうは行かない。互換性を事前にチェックする「Upgrade Advisor」が問題を報告していなくても、問題が発生しないことが保証されるわけではない。Windows 10へのアップグレード後31日間は、アップグレード前の環境に戻す復元機能が利用できるそうだが、いつ何が起きるかは分からないので、自力で回復できる準備を整えておきたい。

　データのバックアップとWindowsのインストールディスクまたはシステム修復ディスクは最低限用意しておかないと、万一の時にシステムを復旧できなくなってしまう。システム全体のバックアップ（システムイメージ）を用意していれば、完全に元の状態に戻すことも可能だ。

■予約の確認と取り消し方法

　Windows 10は、月例のセキュリティパッチとは異なり、全てのユーザーが行わなければいけない類のものではない。無償アップグレードの対象パソコンで予約したユーザーのみに配布され、ユーザーが指示して初めてインストールされる。いつのまにか勝手にアップグレードされていた、ということはないので安心していただきたい。また、向こう1年間は、この無償アップグレードが利用できるので、しばらく様子を見てからアップグレードを検討しても遅くない。

　すでに予約してしまったがキャンセルしたい方や、予約したかどうかを忘れてしまった方は、デスクトップのタスクバーにある「Windows 10を入手する」アイコンを右クリックしてみると良い。コンテキストメニューの上から2番目の項目が、「無償アップグレードを予約する」になっているパソコンは、アップブレードの予約は行っていない。ここが「アップグレードのステータスを確認する」になっているパソコンは予約済みだ。このメニュー項目を選択すると、「アップグレードを予約しました」と書かれた「Windows 10を入手する」ウインドウが開くので、左下の「予約の取り消し」を選択すると予約を取り消すことができる。

（2015/07/29 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・Windows
http://www.microsoft.com/ja-jp/windows/
・Windows 10のFAQとヒント
http://www.microsoft.com/ja-jp/windows/windows-10-faq?ocid=win10_auxapp_ReserveConf_win10faq

◆国内フィッシング事情(2) SMS誘導型の銀行フィッシング続く（2015/07/29）

　携帯やスマートフォンの電話番号宛てにメッセージを送る、SMS（ショートメッセージサービス）を使って偽サイトへと誘導するフィッシングが、5月中旬頃から絶え間なく続いている。今月は、新たにジャパンネット銀行と、前月からの三菱東京UFJ銀行も一時標的にされたが、繰り返し続いているのは、当初から標的である三井住友銀行だ。

■朝9時開始・夕方5時撤収の偽サイトで「ブロック」回避

　このフィッシングは、銀行の営業時間（平日の9時～15時）の間だけ行われるのが特徴で、前日に新しいドメインを使った新しい偽サイトを用意しておき、当日の朝オープンする。9時を回るとSMSの送信が始まり、昼にかけて「注意：ダイレクトのパスワードが翌日に失効し、三井住友銀行のメンテナンスサイト（URL）により、更新をお願いします。」という内容のメッセージが不特定多数に送られる。
　メッセージの（URL）の部分は、同行の略称「smbc」に似た文字列を織り込んだ「.com」ドメインのホスト名になっており、タップ（クリック）すると、同行のログインページに似せた偽サイトを開く。

　捕獲されにくいSMSを使い、偽サイトのドメイン名やサーバーのIPアドレスを毎日変えるため、ブラウザやセキュリティソフトが搭載しているフィッシングサイトを遮断する機能の反応は鈍く、午前中はほとんどブロックされることなく通過してしまう。そしてようやく検知されるようになった頃には、その日の営業を終えて偽サイトは撤収され、翌日はまた違う場所で違う名前でオープンするということが、繰り返されている。今週も月火とフィッシングが行われたことを確認している。今日・7月29日は未確認で、今後の展開については全く予想がつかない。

■偽サイトの見分け方

　三井住友銀行の本物のログインページは、URLが必ず「https」で始まり、iPhoneなどのiOS端末の標準ブラウザ「Safari」であれば、アドレスバーに「Sumitomo Mitsui Banking Corporation」という同行の名前が緑色で表示されるので、本物かどうかはひと目で分かる。iOS用のChromeやAndroid用のFirefoxを使用している場合は、アドレスバーに錠前アイコンが表示され、アイコンをタップして証明書を表示すると同行の名前を確認できる。
　Androidの標準ブラウザやAndroid用のChromeの場合は、錠前マークは表示されるが、クリックしても証明書を確認することはできない。証明書に記載されている運営者名で識別する簡単で確実な方法が利用できないので、URLか正しいかどうかを判断していただきたい。

（2015/07/29 ネットセキュリティニュース）

【関連URL】
・三井住友銀行をかたるフィッシング (2015/05/20)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/smbc20150520.html
・【注意喚起】SMS(ショートメッセージサービス)で誘導される銀行のフィッシングサイトにご注意ください (2015/06/16)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/_sms_20150616.html
・【インターネットバンキング】パスワード等を入力させる偽メールが届いても、絶対に入力しないでください！（平成27年6月16日更新）（三菱東京UFJ銀行）
http://www.bk.mufg.jp/info/phishing/20131118.html
・ジャパンネット銀行をかたるフィッシング (2015/07/06)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/jnb20150706.html
・当社を装ってログインパスワード等の入力を求めるショートメールにご注意ください（ジャパンネット銀行）
http://faq.japannetbank.co.jp/news/faq_detail.html?id=1000000

◆国内フィッシング事情(1) メール誘導型の銀行フィッシング再開（2015/07/29）

　国内のユーザーを狙ったフィッシングが今月も続いている。オンラインバンキングやオンラインゲームのログインページを模した偽サイトが今日も稼働を続けており、誘導するメールやSMSが飛び交っている。

　まず、メールで誘導するオンラインバンキングのフィッシング再開について見てみよう。2年近く執拗に繰り返されている「三菱東京UFJ銀行」を装うフィッシングが、昨日（7月28日）再開した。直前の攻撃は4月半ばに行われ、その後は「セブン銀行」「新生銀行」「ゆうちょ銀行」「みずほ銀行」とターゲットを変えながら攻撃が続いたものの、6月以降は攻撃が途絶えていた。

■乱数表の内容を全て入力させようとする

　「重要なお知らせ」「三菱東京UFJ銀行より大切なお知らせです」といった件名で届くフィッシングメールは、「こんにちは！」という書き出しで始まる怪しい内容で、確認などと称して記載したリンクをクリックさせようとする。誘導先の偽サイトには、以前は「cn.com」ドメインが多く使われたが、TLD（トップレベルドメイン）の多様化を受けてか、今回は「.uno」「.space」「.party」「.work」といった新しいTLDが用いられている（名前は複数あるが接続先のサーバーは1か所）。
　偽サイトは、4月の攻撃時と同じ本物そっくりに作られたものが使われており、ログイン後に本物のサイトではあり得ない、乱数表（契約カード）の番号を1行丸ごと入力するページが10ページ続き、乱数表の内容を全て入力させようとする。

■偽サイトの見分け方

　URLが本物の「https」ではなく「http」で始まる点、アドレスバーに緑色の錠前マークも「The Bank of Tokyo-Mitsubishi UFJ, Ltd.」という同行の名前も表示されない点と、重要な相違点を見逃しさえしなければ本物と偽物とは容易に識別できる。このグループの攻撃は、長期間続くことが多いので、標的拡大の可能性も含めて警戒していただきたい。

　なお今月は、6日に「シティバンク銀行」、7日に「三井住友銀行」のメールで誘導する偽サイトも開設されている。どちらも、海外の複数の正規サイト内に置かれた同じ設計の偽サイトで、同じ攻撃者によるものと見られる。継続性はなかったようで、その後は確認されていない。

（2015/07/29 ネットセキュリティニュース）

【関連URL】
・三菱東京UFJ銀行をかたるフィッシング (2015/07/28)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/mufj_20150728.html
・三井住友銀行をかたるフィッシング (2015/07/10)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/smbc20150710.html
・シティバンク銀行をかたるフィッシング (2015/07/07)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/citibank20150707.html
・シティバンクを装った偽のウェブサイトにご注意ください（シティバンク）
https://www.citibank.co.jp/support/security/news_070215.html

◆修正されたFlash Player の脆弱性突く攻撃が国内改ざんサイト経由で継続（2015/07/24）

　7月14日（米国時間）に修正されたAdobe Flash Player の複数の脆弱性を利用した攻撃が、日本国内の改ざんサイト経由で継続していることがわかった。セキュリティ企業のトレンドマイクロが公式ブログで明らかにしたもので、脆弱性を修正した最新バージョンに速やかにアップデートするよう、同社は呼びかけている。

　同社の公式ブログ（7月23日）によると、7月13日～22日の10日間に、Adobe Flash Playerの脆弱性を攻撃するファイルを組み込んだ改ざんサイトが25件確認され、当該期間中に日本から約7千件のアクセスがあった。日本以外からのアクセスは1千件未満であり、日本国内の利用者を狙った攻撃であることが推測される。また、1サイトあたりの1日のアクセス数は約28件となり、日頃から頻繁にアクセスされるサイトが改ざんされたのではないことも推測される。

　これらの改ざんサイトでは、脆弱性の攻撃コードを含む不正ファイルがサイト内に置かれており、改ざんサイトのトップページ上にその不正ファイルを読み込ませるための iframe が埋め込まれていた。改ざんサイト25件のうち18件に置かれていた不正ファイルは、「movie.html」というファイル名で、ソフトウェア開発キット「Adobe Flex」 により作成されたとみられる。不正ファイルのファイル名は、他に「faq.html」や「movie.swf」などが確認されている。

　サイト改ざん攻撃では最終的に感染させる不正プログラムが注目されるが、今回の事例では遠隔操作ツール（RAT）の感染が最終だった。それも、日本を狙う標的型サイバー攻撃で最も多く使用されている「EMDIVI」および「PLUGX」であることが確認されており、Web経由での標的型攻撃（水飲み場型攻撃）である可能性が高い。しかし、これまでのように攻撃対象を標的とする組織に限定したものではなく、改ざんサイトにアクセスした人は誰でも被害にあう可能性があると、同社は警告する。

■被害を防ぐ対策－－アップデートを確実に

　こうした脆弱性攻撃は、脆弱性を修正する（アップデートする）ことにより、百パーセント防ぐことができる。今回の攻撃対象となったAdobe Flash Playerの脆弱性「CVE-2015-5119」「CVE-2015-5122」「CVE-2015-5123」を修正した最新バージョンに、アップデートするだけでよい。もしまだの場合は、下記の関連記事（7月15日）を参考に、速やかに最新版に更新しよう。

（2015/07/24 ネットセキュリティニュース）

【関連URL：トレンドマイクロ】
・Flash Playerの脆弱性を狙うWeb改ざん攻撃を多数確認
http://blog.trendmicro.co.jp/archives/11993
・Flash Playerのゼロデイ脆弱性「CVE-2015-5119」による標的型攻撃を国内で確認
http://blog.trendmicro.co.jp/archives/11944

◆通販サイト、宿泊予約サイトに不正アクセス相次ぐ（2015/07/23）

　正規サイトへの不正アクセス、不正ログインが相次いで発生している。被害防止のため、オンラインサービスやオンラインショップでパスワードの使い回しをしないよう留意したい。

■タミヤの通販サイトに不正アクセス、顧客情報10万7000件が漏えいの恐れ

　模型のトップブランドとして知られるタミヤ（本社：静岡市駿河区）は7月21日、運営するオンライン通販サイト「タミヤショップオンライン」に外部から不正アクセスがあり、顧客情報の一部が流出した可能性があると発表した。発表によると、7月6日にJPCERT コーディネーションセンターから通報があり、セキュリティ専門の第三者機関を交えて調査した結果、Webサーバーへの不正アクセスの痕跡、顧客の個人情報が漏えいしている可能性が認められた。クレジットカードおよび決済情報は流出していない。
　漏えいの可能性がある個人情報は、同ショップでアカウント登録した顧客情報が最大10万2891件、「TRFプロジェクトサポーター」で会員登録した顧客情報が最大653件、見学予約をした顧客情報最大3824件。情報内容はショップ顧客とTRFプロジェクトサポーターは共に氏名、住所、郵便番号、電話番号、ログイン用IDとなるメールアドレス、暗号化されたログイン用パスワード。見学予約客は氏名、住所、郵便番号、電話番号、メールアドレス。
　同社は会員に対しお詫びと注意喚起のメールを送信した。ログイン用パスワードは暗号化されているが、念のため他のオンラインサービスで同じパスワードを使用している場合は変更するよう、注意を呼びかけている。
・不正アクセス発生に関するお詫び（タミヤ）
http://www.tamiya.com/japan/cms/customerservice/3804-20150721.html
・不正アクセス発生に関する調査報告と情報流出の可能性に関するお詫び（タミヤショップオンライン）
http://tamiyashop.jp/shop/index.html

■「MAPPLEトラベル」に不正アクセス、メルアド8800件とPW8400件漏えいの恐れ

　地図・旅行情報の提供事業を展開する昭文社（本社：東京都千代田）は7月17日、同社が運営する宿泊予約サイト「MAPPLEトラベル」のサーバーが不正アクセスを受け、個人情報が流出した可能性があると発表した。発表によると、15日午前10時頃に、サイト運用委託先サーバーへの集中アクセスを把握し、原因の調査を開始した。同10時15分頃に不正アクセス元IPアドレスを遮断し、対策と状況把握に努めた。その結果、2007年4月11日～2010年3月26日の間に、MAPPLEトラベル（旧「たびえーる.net」含む）に会員登録をした顧客のメールアドレス約8800件、およびそのメールアドレスと符号するパスワード約8400件が流出した可能性があることがわかった。個人の氏名、住所、電話番号、クレジットカード情報、宿泊予約情報等は流出していない。同社は該当する顧客に対し、登録メールアドレス宛てに個別に案内を送信した。不正利用防止のため、MAPPLEトラベルは現在、該当顧客のログインパスワードを一時的に無効としている。
・不正アクセスによる情報流出の可能性に関するお知らせとお詫び（昭文社）
http://travel.mapple.net/20150717.html

■セシール通販ショップに不正アクセス、不正受注や顧客情報改ざん・流出が判明

　通信販売事業等のディノス・セシール（本店：東京都中野区）は7月16日、運営する通販サイト「セシールオンラインショップ」が不正アクセスを受け、顧客情報を悪用した不正受注被害が発生したと発表した。その際、顧客情報の一部が改ざんされ流出した可能性も確認された。
　発表によると、7月13日午後5時過ぎに不審な注文を発見して調査したところ、不正アクセスによる商品の不正受注被害が確認された。顧客4名の名義を利用し、カード決済にて、同じ届け先に商品をギフト配送を指定する手口だった。15日夕方までに、不正受注は合わせて10件（10名）、不正受注の合計は161万5423円（税込）となることが判明した。顧客には実被害は発生しておらず、配送の差し止め等の対応により、同社の実被害は3件、55万6972円（税込）となった。また、同社のもう一つの通販事業「ディノス」においても1名の顧客情報に不正ログインがあったことが確認された。
　現在、判明している被害状況は、個人情報が改ざんされた顧客件数は「セシール」では上記10名を含む14名で、改ざんされた情報はメールアドレス（1名は自宅住所も改ざん）。複数項目の顧客情報が流出した可能性がある顧客件数は、「セシール」で24名（上記10名を含む）。流出の可能性がある項目は、顧客番号、氏名、住所（自宅・勤務先・その他届け先）、自宅電話、生年月日、性別（顧客によって該当項目が異なる）。氏名のみ流出した可能性がある顧客件数は「セシール」で127名、「ディノス」で1名。登録カード情報は流出していない。
　この不正アクセスに使われたID（メールアドレス）とパスワードは、同社内での内部流出や、サイト攻撃によって取得されたものではなく、第三者が外部で不正に取得したと思われるものが利用され、特定のIPアドレスから合計151名の顧客情報に不正アクセスがあったことが確認されている。同社は、該当顧客への連絡や被害防止のためのログイン機能停止、全顧客への注意喚起など、必要な対策を講じている。
・弊社オンラインショップへの不正アクセス並びに不正受注被害について[PDF]（ディノス・セシール）
http://www.dinos-cecile.co.jp/pdf/topics_20150716.pdf

（2015/07/23 ネットセキュリティニュース）

◆グーグル、深刻な脆弱性を修正した「Google Chrome 44」公開（2015/07/22）

　グーグルは22日、深刻な脆弱性を修正した「Google Chrome」の最新安定版「44.0.2403.89」を公開した。対象となるのは、Windows、Mac、Linuxである。

　アプリ、拡張機能用のAPI追加や安定性とパフォーマンスの改善に加え、計43件の脆弱性が修正されている。修正された脆弱性には、バッファオーバーフローが発生する問題や、開放したメモリーにアクセスしてしまう問題などの、深刻度が「高」の脆弱性が多数含まれている。

　最新版への更新は自動的に行われるほか、Chromeメニュー（右端のアイコン≡）から[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。なお、最新版はブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意したい。

（2015/07/22 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/07/stable-channel-update_21.html

◆マイクロソフト、Windowsの脆弱性を修正する緊急パッチ公開（2015/07/21）

　マイクロソフトは21日、Windowsのフォントドライバーの脆弱性を修正するセキュリティ更新プログラム（パッチ）を公開した。システムを完全に乗っ取ることのできる危険な脆弱性なので、速やかに適用していただきたい。

　今回修正された脆弱性は、不正アクセスを受けたイタリアのセキュリティ企業から流出し、インターネット上に公開されてしまった機密情報の中に含まれていたもののひとつだ。OpenTypeフォントの処理に問題があり、細工されたフォントを埋め込んだWebサイトを閲覧したり、文書ファイルを開いたりすると、不正なプログラムを実行されるおそれがある。

　Webブラウザ上の一般的な脆弱性攻撃で実行される不正なプログラムは、システムにログオンしているユーザーの権限で実行される。最近のシステムでは、管理者でログオンしていてもユーザーの権限を下げ、標準ユーザーとして実行する安全策もとられている。

　今回問題が見つかったフォントドライバーの場合は、カーネルと呼ばれるシステムの中枢部で動いている。このため、脆弱性が悪用されると、システムを完全に制御することのできるシステム特権をもつ悪質なプログラムが、何の前触れも確認もなく、いきなり実行されてしまう可能性がある。システムを完全に乗っ取られてしまうかもしれないのだ。

　同社のセキュリティ情報（MS15-078）によると、悪用攻撃はまだ確認されていないものの、悪用される可能性が高い脆弱性とみており、パッチの早急な適用が望まれる。パッチはWindowsの自動更新で自動的に適用されるが、今すぐ適用したい場合には、スタートメニューやコントロールパネルなどから「Windows Update」を開くと、自動更新を待たずに適用できる。

　パッチの適用対象は、サポート中の全てのWindowsで、今月15日にサポートを終了したWindows 2003 Serverをはじめとするサポートを終了したWindowsは、対象外となっている。同社は、サポート終了製品への影響の有無は明らかにしていないが、問題のドライバーは、Windows 2003 ServerやWindows XPなどにも含まれており、これまでの状況を踏まえると、これらにも影響する可能性が極めて高い。

　同社のセキュリティ情報には、問題のある「atmfd.dll」が処理しないように無効化する回避策が記載されている。システムのアップグレードがまだ済んでいない方は、応急措置として検討してみるとよい。

（2015/07/21 ネットセキュリティニュース）

【関連情報】
・MS15-078 - 緊急：Microsoft フォント ドライバーの脆弱性により、リモートでコードが実行される (3079904)（マイクロソフト）
https://technet.microsoft.com/ja-jp/library/security/MS15-078
・Hacking Team Leak Uncovers Another Windows Zero-Day, Fixed In Out-Of-Band Patch[英文]（TrendLabs Malware Blog）
http://blog.trendmicro.com/trendlabs-security-intelligence/hacking-team-leak-uncovers-another-windows-zero-day-ms-releases-patch/

◆IPAをかたる注意喚起メールに注意、マルウェア感染の恐れ（2015/07/21）

　IPA（情報処理推進機構）は17日、IPAをかたる不審メールが出回っているとして注意を呼びかけた。不審メールは、IPAの公開情報を悪用してIPAが送信したかのように見せかけているが、フリーメールを使い、マルウェア（ウイルス）感染を目的とするファイルが添付されている。

　IPAは17日、外部組織から「IPAをかたる不審メールが届いた」との連絡を受けた。提供情報を確認したところ、不審メールには2つの特徴があることがわかった。「送信元がフリーメールである」「ファイルが添付されている」の2点で、いずれもIPAが送信したメールではないことを明らかに示している。

　不審メールの件名と本文は、IPAが公開している実在のWebページを元に作成されており、IPAが15日に発信したMicrosoftやAdobe製品に関する注意喚起情報が悪用されていた。

　メール本文では添付ファイル（.zipファイル）の開封を促している。IPAが分析したところ、この添付ファイルを展開するとショートカットファイル（.lnkファイル）が現れ、マルウェア感染を目的とするものであることが確認されたという。

　IPAは、同機構のメールニュースはテキスト形式で配信されており、添付ファイルの添付も、フリーメールの使用も絶対にありえないことを強調。不審メールがHTML形式である場合、本文内のリンクがマルウェア感染を目的としたURLに偽装されている場合があるとし、安易にクリックしないよう注意を促している。

（2015/07/21 ネットセキュリティニュース）

【関連URL：IPA】
・【注意喚起】IPAの注意喚起メールを騙った不審メールに注意！
http://www.ipa.go.jp/security/announce/20150717_ipamail.html

◆オラクル、「JRE 8 Update 51」を公開、深刻な脆弱性を修正（2015/07/15）

　オラクルは米国時間14日、JRE（Java Runtime Environment：Java実行環境）の最新版、JRE 8 Update 51（1.8.0_51）を公開した。

　最新版では、8 Update 45以前に存在する脆弱性25件が修正されている。7件は脆弱性評価システム（CVSS）のスコアが最高値の「10.0」のたいへん危険なもので、悪用されると、外部からの攻撃でシステムが乗っ取られてしまうなどの深刻な被害が発生するおそれがある。また、そのうち1件（CVE-2015-2590）はすでに悪用が確認されているという。

　対象となるのは、Windows、v10.7.3以降のMac OS X、Linux、Solarisである。JREのアップデート機能（自動更新機能や、Javaコントロールパネルの[更新]タブの[今すぐ更新]ボタン）を使って更新できるほか、同社サイトから最新版を無料でダウンロードすることもできる。

　なお、JRE 7は4月30日をもって公式サポートが終了している。

（2015/07/15 ネットセキュリティニュース）

【関連URL】
・Oracle Critical Patch Update Advisory - July 2015［英文］（オラクル）
http://www.oracle.com/technetwork/topics/security/cpujul2015-2367936.html
・July 2015 Critical Patch Update Released［英文］（オラクル）
https://blogs.oracle.com/security/entry/july_2015_critical_patch_update
・Javaのバージョンの確認（オラクル）
http://www.java.com/ja/download/installed.jsp
・Javaのダウンロード（オラクル）
http://java.com/ja/download/
・Java SE 7のパブリック・アップデートの終了通知（オラクル）
http://www.java.com/ja/download/faq/java_7.xml

◆グーグル、「Google Chrome 43.0.2357.134」公開（2015/07/15）

　グーグルは米国時間14日、同社製のWebブラウザ「Google Chrome」の最新安定版「43.0.2357.134」を公開した。対象となるのは、Windows、Mac、Linux。

　最新版では、フルスクリーン表示の際の不具合などが修正されたほか、内蔵のFlash Playerが最新の「18.0.0.209」に更新された。Flash Playerの最新版では、イタリアのセキュリティ企業から流出した機密情報により存在が露呈した、深刻な脆弱性2件が修正されている。

　Google Chrome最新版への更新は自動的に行われるほか、メニュー（右端のアイコン≡）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。

（2015/07/15 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/07/stable-channel-update_14.html
・Security updates available for Adobe Flash Player［英文］（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsb15-18.html

◆アドビ、「Reader」「Flash Player」「Shockwave Player」最新版を公開（2015/07/15）

　アドビシステムズは米国時間14日に、PDF閲覧ソフト「Acrobat Reader DC /Adobe Reader」と、コンテンツ再生ソフト「Flash Player」および「Shockwave Player」の最新版を公開した。どれも深刻な脆弱性が修正されており、同社は最新版へのアップデートを呼びかけている。

■Acrobat Reader DC / /Adobe Reader XI / Adobe Reader X

　アップデートの対象となるのは、Windows版とMac版のAcrobat Reader DC、Adobe Reader XI、Adobe Reader X。更新後は、Acrobat Reader DCの継続トラックが「2015.008.20082」、クラシックトラックが「2015.006.30060」、Reader XIが「11.0.12」、Reader Xが「10.1.15」となる。
　アップデートの優先度は3段階中2番目に高い「2」、緊急度は「クリティカル」となっている。
　バッファオーバーフローが起こる問題、メモリー破壊の問題、解放したメモリーの再使用の問題、情報漏えいが起こる問題など、46件の脆弱性が修正されている。
　使用中のReaderのバージョンを確認するには、Readerを起動し、[ヘルプ]メニューの[Adobe Acrobat Reader DCについて（または Adobe Reader XIについて / Xについて）]を開く。最新版への更新は、[ヘルプ]メニューの[アップデートの有無をチェック]から実行できる。同社のサイトから最新のAcrobat Reader DCをダウンロードすることもできる。
＜関連URL＞
・Security Updates Available for Adobe Acrobat and Reader［英文］（アドビ）
https://helpx.adobe.com/security/products/acrobat/apsb15-15.html
・Adobe Acrobat Reader DCのダウンロード（アドビ）
https://get.adobe.com/jp/reader/

■Flash Player

　脆弱性の影響を受けるのは、Windows版とMacintosh版、Internet Explorer/Google Chrome搭載版、Linux版のFlash Playerである。Windows版、Mac版、Internet Explorer/Google Chrome搭載版の更新後のバージョンは「18.0.0.209」となる。Linux版の最新版は今週中に公開される予定だ。なお、延長サポート版も脆弱性の影響を受けるため、最新の「13.0.0.305」が提供されている。
　アップデートの優先度は最も高い「1」、緊急度は「クリティカル」となっている。
　最新版では、解放したメモリーの再使用の問題と、メモリー破壊の問題が修正されている。どちらも、イタリアのセキュリティ企業から流出しインターネット上に公開されてしまった機密情報により、存在が露呈した。脆弱性のうち1つはすでに攻撃ツールに組み込まれてしまっているため、早急に最新版へアップデートする必要がある。
　システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルの「Flash Player」の[更新]タブで確認できる。Windows版、Mac版の最新版は、同社サイトで配布されている。
　Windows 8/8.1に搭載されているInternet Explorer 10/11用のFlashPlayerについては、Windows Updateを通じて最新版が配布されており、準備が整い次第、自動的に更新が行われる予定だ。Google Chrome用のFlash Playerについては、最新版を同梱した「Google Chrome 43.0.2357.134」が公開されており、自動的に更新が行われる。
＜関連URL＞
・Security updates available for Adobe Flash Player［英文］（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsb15-18.html
・Flash Playerのバージョン確認（アドビ）
http://www.adobe.com/jp/software/flash/about/
・Flash Playerのダウンロード（アドビ）
https://get.adobe.com/jp/flashplayer/
・セキュリティアドバイザリ（2755801）Internet Explorer上のAdobe Flash Playerの脆弱性に対応する更新プログラム（マイクロソフト）
https://technet.microsoft.com/library/security/2755801
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/07/stable-channel-update_14.html

■Shockwave Player

　アップデートの対象となるのは、Windows版とMacintosh版のShockwave Playerである。最新版ではメモリー破壊の問題2件が修正されており、更新後のバージョンは「12.1.9.159」となる。
　Shockwave Playerは、同社のオーサリングソフト「Director」で作成されたコンテンツを再生するプレーヤーである。日本国内ではFlashコンテンツのようには普及していないため、インストールされていないパソコンも多い。
　使用中のShockwave Playerのバージョン確認は、下記のバージョン確認ページで行える。このページのShockwave Playerのボックスでアニメーションが再生されない場合は、Shockwave Playerはインストールされていないので、新たにプラグインやアドオンをダウンロードしたり更新を行ったりする必要はない。最新版に更新する場合は、下記のダウンロードページから入手できる。
＜関連URL＞
・Security update available for Adobe Shockwave Player［英文］（アドビ）
https://helpx.adobe.com/security/products/shockwave/apsb15-17.html
・Shockwave Playerのバージョン確認
http://www.adobe.com/jp/shockwave/welcome/
・Shockwave Playerのダウンロード
http://get.adobe.com/jp/shockwave/

（2015/07/15 ネットセキュリティニュース）

◆マイクロソフト、7月度の月例セキュリティパッチを公開（2015/07/15）

　マイクロソフトは15日、7月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。公開されたパッチは、深刻度が4段階評価で最も高い「緊急」4件と、次に高い「重要」10件の計14件。Windows、Windows Server、Internet Explorer、Office、Excel Viewer、Word Viewer、SQL Server、SharePoint Serverが影響を受ける。

【更新プログラムの内容】
＜緊急＞
・[MS15-065]Internet Explorer用累積パッチ：リモートコード実行の脆弱性
・[MS15-066]VBScriptスクリプトエンジン：リモートコード実行の脆弱性
・[MS15-067]リモートデスクトッププロトコル（RDP）：リモートコード実行の脆弱性
・[MS15-068]Hyper-V：リモートコード実行の脆弱性

＜重要＞
・[MS15-058]SQL Server：リモートコード実行の脆弱性
・[MS15-069]Windows：リモートコード実行の脆弱性
・[MS15-070]Office：リモートコード実行の脆弱性
・[MS15-071]Netlogon：特権昇格の脆弱性
・[MS15-072]Graphicsコンポーネント：特権昇格の脆弱性
・[MS15-073]カーネルモードドライバー：特権昇格の脆弱性
・[MS15-074]Installerサービス：特権昇格の脆弱性
・[MS15-075]OLE：特権昇格の脆弱性
・[MS15-076]リモートプロシージャコール（RPC）：特権昇格の脆弱性
・[MS15-077]ATMフォントドライバー：特権昇格の脆弱性

　このうち、＜重要＞に分類されているATMフォントドライバーの脆弱性は、イタリアのセキュリティ企業から流出しインターネット上に公開されてしまった機密情報により、存在が露呈した。この脆弱性を悪用しようとする限定的な標的型攻撃がすでに確認されている。

　また、＜緊急＞のInternet Explorerの脆弱性29件のうち1件と、＜重要＞のOfficeの脆弱性8件のうち1件についてもすでに悪用が確認されている。さらに、Internet Explorerの脆弱性4件についてはパッチの提供前に情報が一般に公開されていたが、これらを悪用する攻撃は確認されていないという。

　このほか、新たに「Crowti」など3種に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開されている。

（2015/07/15 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セーフティとセキュリティセンター
https://www.microsoft.com/ja-jp/security/default.aspx
・2015年7月のセキュリティ情報
https://technet.microsoft.com/ja-jp/library/security/ms15-jul

◆サイト使用料等の架空請求で「プリペイドカード」悪用が頻発（2015/07/14）

　サイト使用料を架空請求する詐欺などの支払いに、プリペイドカード（電子マネーや電子ギフト券）が悪用される事例が後を絶たない。金融庁、国民生活センター、日本資金決済業協会や、プリペイドカードを発行、販売する事業者が注意を呼びかけている。

　金融庁は5月、プリペイドカードを不正に取得しようとする詐欺業者とのトラブルが発生しているとして、注意を喚起した。国民生活センターでは4月（5月に情報更新）に、日本資金決済業協会も3月に注意を呼びかけている。

　以前は、コンビニの情報端末からチャージする「コンビニ支払い」を悪用し、犯人のアカウントにチャージさせる事例が多発していたが、発行会社がコンビニ支払いを一時停止したことからこの手口は急激に減少。コンビニ、量販店などでプリペイドカードを購入させ、カードに記載された番号等をメールやFAX、電話で伝えさせる手口に移行してきているという。

　プリペイドカードそのものを相手に渡していないので安心してしまいがちだが、カードに記載された番号等を相手に伝えることは、「購入した金額（価値）を相手に全て渡したことと同じ」と、金融庁は指摘する。後になって騙されたことに気づいても、いったん相手に渡した価値を取り戻すことは非常に困難だとしている。

■最近の事例――有料サイトの未払い金、退会料などと称し支払い迫る

　ここひと月の間に発表、報道された事例を見ると、滋賀県栗東市の男性（34歳）のケースでは、携帯電話に7月7日、「有料サイトの未払い金があり、このままにしておくとメールアドレスが世界中に出回り悪用される」とのメールが届いた。男性が同メール内の「解決の窓口」というボタンをクリックすると、「ギフト券1万円分を購入し、カードの番号を送信すれば解決できる」とのメールが届き、男性はこれを信じてコンビニでギフト券を購入。その番号をメールで送信してしまった。

　長崎市消費者センターが7月2日に公開した情報によると、相談者がスマホで無料アダルトサイトにアクセスし、動画再生をクリックしたところ、突然「未入金状態になっている」と表示された。びっくりして業者に連絡したところ、「未入金は20万円だが本日正午までに支払えば12万円でよい」と言われ、男性はコンビニで大手ネット通販会社のギフト用電子マネーを12万円分購入。電子マネーのコピーをFAXで送ってしまった。

　栃木県宇都宮市の男性（20歳）は6月、「あなたに大金が譲渡された。口座を開設する必要があるので手数料が必要」というメールを信じ、コンビニでプリペイドカード24万円相当を購入して、番号をメールで送信してしまったという。

　茨城県土浦市の女性（20代）は6月、「出会い系サイトの支払いが滞っており、訴訟になる」というメールを見て、退会すると返信。退会料として1万円を請求され、コンビニでプリペイドカードを購入して番号をメールで送信した。その後もさまざまな名目で支払いを要求され、プリペイドカードを計22万円分購入して番号をメール送信してしまったという。

■騙されないための留意点、トラブル時の連絡先

　国民生活センターではこうした詐欺に関して、消費者に以下のようにアドバイスしている。
1.覚えのない請求等に簡単に返信したり連絡したりしない
2.他人から言われてプリペイドカードを購入したり、カード番号等を伝えたりしない
3.プリペイドカード番号等を伝えてトラブルとなった場合には、早急にプリペイドカードの発行会社に連絡する
4.不安に思ったりトラブルにあったりした場合は、すぐに最寄りの消費生活センター等に相談する

（2015/07/14 ネットセキュリティニュース）

【関連URL】
・プリペイドカードの購入を指示する詐欺業者にご注意ください！（金融庁）
http://www.fsa.go.jp/news/26/kinyu/20150529-3.html
・プリカ詐欺に注意！（国民生活センター）
http://www.kokusen.go.jp/soudan_now/data/preca-sagi.html
・プリペイドカードの購入を指示する詐欺業者にご注意!!～「購入したカードに記載された番号を教えて」は危ない！～（日本資金決済業協会）
http://www.s-kessai.jp/cms/topics-news/topics-detail/120
「プリペイドカードを買ってきて」は詐欺［PDF］（国民生活センター/日本資金決済業協会/消費者庁/金融庁）
http://www.s-kessai.jp/info/data/150514prepaid_sagi_postar.pdf
・WebMoneyを安全に使うために（ウェブマネー）
http://www.webmoney.jp/tips/safety/index.html
・【重要】ビットキャッシュの購入を指示する詐欺業者にご注意ください（ビットキャッシュ）
http://bitcash.jp/docs/information/2015/0327-01
・Amazonギフト券を不正に取得しようとする詐欺にご注意ください（Amazon）
https://www.amazon.co.jp/gp/help/customer/display.html/ref=hp_left_v4_sib?ie=UTF8&nodeId=201541660
・防犯情報(平成27年7月7日)振り込め詐欺事件発生（栗東市）
http://www.city.ritto.shiga.jp/soshiki/shimin/kikikanri/bouhan/H27hushinshabohanjoho/1436402049185.html
・ギフト用電子マネー等で支払わせるアダルトサイトの請求に注意！［PDF］（長崎市消費者センター）
http://www.city.nagasaki.lg.jp/syouhi/kanri/uploads/rf5594d4e7d4e8d/mamoru92.pdf

◆Flash Playerに未修整の深刻な脆弱性2件、一般ユーザーも対策を（2015/07/13）

　Flash Playerに、未修整の深刻な脆弱性が2件存在することがわかった。うち1件については、攻撃コードがすでに攻撃ツール（エクスプロイトキット）に組み込まれており、いつ被害にあってもおかしくない危険な状況だ。

　アドビシステムズは、11日に公開、12日に更新したセキュリティ情報の中で、Flash Playerに深刻な脆弱性「CVE-2015-5122」「CVE-2015-5123」が存在することと、これらを悪用する攻撃が成功した場合、パソコンをのっとられるおそれがあることを明らかにしている。これらに対処する最新版は、同社から今週中（日本時間で13日からの週）に公開される予定だ。

　Flash Playerをめぐっては、8日、ゼロデイ攻撃に対処した最新版が公開されたばかりだが、新たに見つかった脆弱性2件はこの最新版にも存在している。

　9日付の本通信でもお伝えしたが、イタリアのセキュリティ企業が不正アクセスを受けて機密情報が流出し、ネット上に公開されるという事件が起きており、流出した情報の中に今回見つかった脆弱性の情報が含まれていたとみられている。

　すでに「CVE-2015-5122」を悪用するコードがエクスプロイトキットに組み込まれているという報告もある。エクスプロイトキットとは、改ざんされたWebサイトの誘導先などに仕掛けられる攻撃ツールのこと。現時点においては、Flash Playerを利用している人は誰でも、下記の対策をとらない限り、Webサイトをごく普通に閲覧するだけでマルウェア（ウイルス）に感染してしまう可能性がある。

■一般ユーザーにできる対策は

　脆弱性を修正した最新版が公開されるまでの間、Flash Playerをアンインストールするか、「無効化」することをおすすめする。
　手っ取り早くて効果が確実なのはFlash Playerをアンインストールすることだが、以下のブラウザを利用している場合、ブラウザ自体にもともとFlash Playerが組み込まれているため、Flash Playerのみをアンインストールするということができない。これらを使用している場合は無効化の設定をしよう。
・Windows 8/8.1に搭載されているInternet Explorer10/11
・Google Chrome

＜Flash Playerをアンインストールする＞
　ブラウザを閉じた状態で、コントロールパネルの［プログラムと機能］または［プログラムのアンインストール］を開き、Adobe Flash Playerがあったら選択して削除する。Active X版とNPAPI版の両方がある場合は、どちらも削除する。または、下記ページを参考に、アドビが提供する専用のアンインストーラーを利用する方法もある。
・Flash Playerをアンインストールする方法（アドビ）
https://helpx.adobe.com/jp/flash-player/kb/230810.html

　最新版が公開されたら、下記のアドビのサイトからFlash Playerをダウンロードしてインストールしなおそう。

＜Windows 8/8.1でInternet Explorer 10/11を利用している場合＞
　Flash Playerを無効化する。Internet Explorerを起動し、［ツール］メニュー（歯車のマーク）から［アドオンの管理］を開く。左側にある[表示]の下の[すべてのアドオン]で「Shockwave Flash Object（発行元 Microsoft Windows Third Party Apllication Component）」を選択し、下部にある[無効にする]ボタンを押す。脆弱性に対処した最新版が公開されたら、同様の手順でFlash Playerを有効化しよう。
・Internet Explorerのアドオンを管理する（マイクロソフト）
http://windows.microsoft.com/ja-jp/internet-explorer/manage-add-ons

＜Google Chromeを利用している場合＞
　Flash Playerを無効化する。Google Chromeを起動し、アドレスバーに「chrome:plugins」と入力し、Enterキーを押す。［プラグイン］ページが開いたら、［Adobe Flash Player]を探して[無効にする]ボタンを押す。脆弱性に対処した最新版が公開されたら、同様の手順でFlash Playerを有効化しよう。
・Chromeでプラグインを使用する～特定のプラグインを有効または無効にする（Google）
https://support.google.com/chrome/answer/142064?hl=ja

　なお、業務に影響があるなどの理由で、どうしてもFlash Playerをアンインストールまたは無効化することが困難な場合は、各ブラウザに用意されている「Click to Play（クリック トゥ プレイ）」の仕組みを利用することもできる。Click to Playは、ユーザーがクリックして許可した場合にのみ読み込みを行う機能だ。

　Internet Explorerでは、下記ページを参考にすべてのサイトで「ActiveXフィルター」を有効にしてから、Flash Playerを利用したい個々のサイトでActiveXフィルターを無効にする。
・ActiveXコントロールを使う（マイクロソフト）
http://windows.microsoft.com/ja-jp/internet-explorer/use-activex-filtering

　Google Chromeでは、下記ページを参考に「プラグインコンテンツをいつ実行するかを選択する」を有効にする。
・Chromeでプラグインを使用する（Google）
https://support.google.com/chrome/answer/142064?hl=ja

　Firefoxでは、下記ページを参考に「実行時に確認する」を有効にする。
・Adobe Flash を "クリックして実行" する設定にする（mozilla）
https://support.mozilla.org/ja/kb/set-adobe-flash-click-play-firefox

（2015/07/13 ネットセキュリティニュース）

【関連URL】
・Security Advisory for Adobe Flash Player［英文］（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsa15-04.html
・Flash Playerのダウンロード（アドビ）
http://get.adobe.com/jp/flashplayer/

◆PayPal、アメーバ、ドラゴンクエスト、三井住友銀のフィッシングに注意（対策協議会）（2015/07/10）

　フィッシング対策協議会は8日から10日にかけて、4件の緊急情報を発信した。PayPal、アメーバ、ドラゴンクエストX、三井住友銀行をかたるフィッシングが発生していると注意を促すもので、緊急情報の発信は今月に入りすでに6件めとなる。

　これらのフィッシングサイトは緊急情報発信時には稼働中だったが、すでにサイト閉鎖のための調査がJPCERT/CC に依頼されている。今後も類似の偽サイトが公開される可能性があるため、出回っているフィッシングメールに記載されたURLをクリックしないよう、誤ってクリックした場合は偽サイトでアカウント情報入力をしないよう、十分注意していただきたい。

■三井住友銀行をかたるフィッシング

　同行をかたるフィッシングメールが、「SUMITOMO MITSUI BANKING CORPORATION-INTERNET BANKING」などという件名で出回っている。メール本文は2つの例が協議会サイトに提示されている。いずれも、もっともらしい理由を挙げて、記載したURLをクリックするよう促している。フィッシングサイトは10日午後12時30分現在で稼働中で、「どうぞ、形を下に完全に埋めてください。」という奇妙な日本語の下に、「名前/姓、誕生日、アドレス、郵便番号/都市、電子メール、電話/携帯番号、店番号・口座番号（普通預金）、契約者番号、第一暗証」の入力画面が示されている。
＜参考URL＞
・三井住友銀行を名乗りインターネットバンキングの暗証番号等を騙し取るメールにご注意ください。（三井住友銀行）
http://www.smbc.co.jp/security/index.html

■スクウェア・エニックス（ドラゴンクエストX）をかたるフィッシング

　同オンラインゲームをかたるフィッシングメールが「本人確認のための認証」「アカウント確認のお願い」などという件名で出回っている。メール本文は3つの例が協議会サイトに提示されている。いずれも、もっともらしい理由を述べ、URLをクリックさせようとする。

　偽メール例1：「ドラゴンクエストX」にて、他のプレイヤーから受けた行為が、違反報告や迷惑行為に該当すると感じた場合は、ゲーム内より報告をお願いします。＝略＝　本人確認のための認証メールを送信いたします。メールを受信して、記載されているURLをクリックしてください。
　偽メール例2：いつもお世話になっております。お客様のアカウントは何らかの取引に利用されている恐れがありますので、お手数ですが、システムにログインして、異常がないかご確認いただきますようお願いします。
　偽メール例3：既に報道されておりますが、オンラインサービスを提供している他者に置いて数千万件規模でID、パスワードやクレジットカード情報などの会員情報が不正アクセスの影響により流失したとの情報を確認しました。本人確認のための認証メールを送信いたします。メールを受信して、記載されているURLをクリックしてください。

　これら偽メールに記載されたURLをクリックするとフィッシングサイトに飛び、7月9日午後2時半現在で稼働中である。協議会サイトに提示された偽サイトには、「スクウェア・エニックス ID、スクウェア・エニックスパスワード、ワンタイムパスワード」の入力画面が示されている。

■アメーバ (Ameba) をかたるフィッシング

　オンラインサービスのアメーバ (Ameba) をかたるフィッシングサイトが確認されている。この偽サイトは7月8日午後5時半現在稼働中であり、同サービスのログイン画面をそっくり模倣し、「アメーバID、パスワード」を入力しログインするよう促している。

■PayPalをかたるフィッシング

　オンライン決済サービスのPayPalをかたるフィッシングメールが「アカウントが一時的に停止します」などという件名で出回っている。協議会サイトに提示されたメール本文は、「親愛なるクライアント　私たちはあなたのアカウントで異常な活動を見るので。我々は、セキュリティ上の理由から、あなたのアカウントを一時停止しています」と奇妙な日本語で始まり、「あなたのアカウントにログイン」すれば問題が解決するとして、クリックを促している。フィッシングサイトは7月8日午前10時現在稼働中で、「メール、パスワード」の入力画面を示している。
＜参考情報＞
・ペイパルを装った不審な電子メールにご注意ください（PayPal）
https://www.paypal.jp/jp/contents/popup/maintenance/maintenance-20140617-01/

　今年に入ってから協議会が発信した緊急情報は、1月2件、2月0件、3月4件、4月3件、5月4件、6月1件である。7月に入ってまだ10日のうちに6件の緊急情報はかなり多い印象で、今後のフィッシングの活発化を予想させる。悪用されているブランドも多彩であり、うっかり騙されないように注意していただきたい。

（2015/07/10 ネットセキュリティニュース）

【関連URL：フィッシング対策協議会】
・三井住友銀行をかたるフィッシング (2015/07/10)
https://www.antiphishing.jp/news/alert/smbc20150710.html
・スクウェア・エニックス（ドラゴンクエストX）をかたるフィッシング (2015/07/09)
http://www.antiphishing.jp/news/alert/squareenix20150709.html
・アメーバ (Ameba) をかたるフィッシング (2015/07/08)
http://www.antiphishing.jp/news/alert/ameba20150708.html
・PayPal をかたるフィッシング (2015/07/08)
http://www.antiphishing.jp/news/alert/paypal20150708.html

◆【ゼロデイ攻撃】アドビ、深刻な脆弱性を修正した「Flash Player」最新版公開（2015/07/09）

　アドビシステムズは8日、深刻な脆弱性を修正した「Flash Player」の最新版を公開した。修正された脆弱性には、攻撃コードが一部の攻撃ツールに組み込まれたものがあるので、速やかにアップデートしていただきたい。

　脆弱性の影響を受けるのは、Windows版とMacintosh版、Internet Explorer/Google Chrome搭載版の「18.0.0.194」以前のバージョンと、Linux版の「11.2.202.468」以前のバージョン。アップデート後は、それぞれ「18.0.0.203」「11.2.202.481」に更新される。延長サポート版の「13.0.0.296」以前のバージョンにも影響があり、最新の「13.0.0.302」が提供されている。

　同社のセキュリティ情報によると、最新版では計36件の脆弱性が修正されている。うち27件は、開放したメモリーの再使用やバッファオーバーフロー、メモリー破壊、データ型の取り違えといった、コード実行につながるおそれのある危険な脆弱性だ。

　13件ある開放したメモリーを使用してしまう脆弱性のうちのひとつ（CVE-2015-5119）は、不正アクセスを受けたイタリアのセキュリティ企業から流出し、インターネット上に公開されてしまった機密情報の中に悪用コードが含まれており、すでに複数のエクスプロイトキットに攻撃処理が組み込まれているとの報告がある。

　エクスプロイトキットは、改ざんされたWebサイトの誘導先などに仕掛けられる攻撃ツールのこと。Flash Playerを更新せずにWebサイトを閲覧していると、知らない間にマルウェア（ウイルス）に感染してしまうかもしれない。いつ攻撃されてもおかしくない状況なので、一刻も早くアップデートしていただきたい。

　システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルやシステム環境設定の「Flash Player」の[更新]タブで確認できる。最新版への更新は、Flash Playerの自動更新機能を通じて行われるほか、同社サイトからダウンロードすることもできる。

　Windows 8/8.1に搭載されているIE 10/11用のFlash Playerについては、9日未明からWindows Updateを通じて最新版が配布されており、自動的に更新される。直ちに更新する場合は、コントロールパネルなどから[Windows Update]を開き、[更新プログラムの確認]をクリックすると確認とアップデートが行える。

　Google Chrome用のFlash Playerについては、最新版を同梱した「Google Chrome 43.0.2357.132」が8日未明に公開されており、こちらも自動的に更新される。自動更新された最新版は、ブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意したい。直ちに更新する場合は、Chromeメニュー（右端のアイコン≡）から[Google Chromeについて]を選択すると、確認とアップデートが行える。

（2015/07/09 ネットセキュリティニュース）

【関連URL】
・APSB15-16：Security updates available for Adobe Flash Player[英文]（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsb15-16.html
・Flash Playerのバージョン確認（アドビ）
http://www.adobe.com/jp/software/flash/about/
・Flash Playerのダウンロード（アドビ）
http://get.adobe.com/jp/flashplayer/
・マイクロソフトセキュリティアドバイザリ（2755801）：Internet Explorer上のAdobe Flash Playerの脆弱性に対応する更新プログラム（マイクロソフト）
https://technet.microsoft.com/library/security/2755801
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/07/stable-channel-update.html

◆ジャパンネット銀行、シティバンク銀行のフィッシングに注意（対策協議会）（2015/07/07）

　フィッシング対策協議会は6日と7日、それぞれジャパンネット銀行、シティバンク銀行をかたるフィッシングメールが出回っているとして、注意を呼びかけた。

■ジャパンネット銀行をかたるフィッシング

　協議会が確認したジャパンネット銀行のフィッシングメールは、携帯やスマートフォンの電話番号宛てに短文を送る機能（SMS；ショートメッセージサービス）を使ったショートメッセージ（ショートメール）で出回っている。
　確認されたショートメッセージには、「注意：ダイレクトのパスワードが翌日に失効し、ジャパンネット銀行のメンテナンスサイト（筆者注：偽サイトのURL記載）により、更新をお願いします」とある。このメッセージの文言は、5月20日付で協議会が警告を出した三井住友銀行のフィッシングメールと、銀行名以外は全く同じだ。メッセージに記載されたURLをクリックすると、フィッシングサイトへ飛び、アカウント情報 (店番号、口座番号、ログインパスワードなど) の入力を求められる。
　同銀行は、このようなメールを受信した場合、クリックや入力は決してせず、直ちに同社カスタマーセンターまで連絡するよう呼びかけている。
＜参考URL＞
・当社を装ってログインパスワード等の入力を求めるショートメールにご注意ください（ジャパンネット銀行）
http://faq.japannetbank.co.jp/news/faq_detail.html?id=1000000

■シティバンク銀行をかたるフィッシング

　協議会が確認したシティバンク銀行のフィッシングメールは、「お客様各位、Citibank Japan Ltd. あなたのオンラインバンキングのお知らせ」という件名で出回っている。確認されたフィッシングメールの文例が2件、協議会の当該ページに掲示されているが、いずれも機械翻訳のような奇妙な日本語で、日本語を母国語とする人はすぐに偽メールであることに気づくだろう。
　同銀行は、フィッシングサイトにアクセスすると、「悪意のあるウイルスに感染したり、シティバンク オンラインのログイン情報等お客様の情報を盗み取られたりする」可能性があるとして、注意を呼びかけている。不審なメールの添付ファイルを開いたり、不正サイトにアクセスしてしまったりした場合は、ウイルス対策ソフト等によりウイルスチェックを行うよう強く勧めている。
＜関連URL＞
・シティバンクを装った偽のウェブサイトにご注意ください（シティバンク）
https://www.citibank.co.jp/support/security/news_070215.html

　両銀行とも、JPCERT/CC にフィッシングサイトを閉鎖するための調査を依頼中で、協議会はこのような偽サイトでアカウント情報 (口座番号など) を絶対に入力しないように呼びかけている。

（2015/07/07 ネットセキュリティニュース）

【関連URL：フィッシング対策協議会】
・シティバンク銀行をかたるフィッシング (2015/07/07)
https://www.antiphishing.jp/news/alert/citibank20150707.html
・ジャパンネット銀行をかたるフィッシング (2015/07/06)
https://www.antiphishing.jp/news/alert/jnb20150706.html
・三井住友銀行をかたるフィッシング (2015/05/20)
https://www.antiphishing.jp/news/alert/smbc20150520.html

◆6月のフィッシングは金融機関が急減、オンラインゲームは増加（対策協議会）（2015/07/06）

　フィッシング対策協議会は1日、2015年6月の月次報告書を公開した。金融機関をかたる報告件数が急減し、全体の報告件数は500件を下回った。オンラインゲームのフィッシング報告件数は増加している。

　協議会に寄せられた6月のフィッシング報告件数（海外含む）は、5月より1031件減少し、494件となった。攻撃者がユーザーを誘導するフィッシングサイトのURL件数（重複なし）は81件減少して213件、フィッシングに悪用されたブランド件数（海外含む）は2件減少して13件だった。

■金融機関をかたるフィッシングの推移

　フィッシング報告件数は、これまでオンラインゲームをかたる詐欺が最多となることが多かったが、今年4月中旬以降は金融機関をかたるフィッシング報告が急増した。協議会は、4月は3回、5月には7回、金融機関をかたるフィッシングについて緊急情報を発信した。6月になると、金融機関をかたるフィッシング報告数は1307件から215件と大きく減少したが、5月に続いてSMS (ショートメッセージサービス) を使った銀行フィッシングが確認され、16日に注意喚起の緊急情報を出している。

・【注意喚起】SMS(ショートメッセージサービス)で誘導される銀行のフィッシングサイトにご注意ください (2015/06/16)
https://www.antiphishing.jp/news/alert/_sms_20150616.html

　協議会は、今後も金融機関をかたるフィッシングメールが出回る危険があるとして、引き続き注意するよう呼びかけている。

■オンラインゲームかたるフィッシングの増加

　オンラインゲームをかたるフィッシングサイトの報告件数は、5月は201件、6月はそれより63件増加して264件だった。協議会は、参考情報として、1月に発信した緊急情報を挙げている。

・スクウェア・エニックス（ドラゴンクエストX）をかたるフィッシング (2015/01/08)
https://www.antiphishing.jp/news/alert/squareenix_20150108.html

　上記ページでは、実際に配布されたフィッシングメールと、誘導されるフィッシングサイトが提示されている。こうしたオンラインゲームのフィッシングサイトは絶えることなく発見され続けており、協議会は7月以降も注意するよう警戒を呼びかけている。

（2015/07/06 ネットセキュリティニュース）

【関連URL：フィッシング対策協議会】
・2015/06 フィッシング報告状況
https://www.antiphishing.jp/report/monthly/201506.html

◆モジラ、深刻な脆弱性を修正した「Firefox 39」公開（2015/07/03）

　モジラは3日、Webブラウザ「Firefox」の最新版「39.0」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「38.1」「31.8」も公開されている。

　最新版では、Webコンテンツのアクセシビリティに関する規格「ARIA 1.1」（ARIA：Accessible Rich Internet Applications）への対応や、肌の色が指定できる絵文字のサポート（デスクトップ版）などの新機能に加え、13件の脆弱性が修正されている。修正された脆弱性の重要度は、4段階評価で最も高い「最高」が4件、次に高い「高」2件、「中」6件、「低」1件。解放したメモリを使用してしまう問題など、悪用されると任意のコードが実行されるおそれのあるメモリーがらみの危険な脆弱性の修正が多数（アドバイザリベースで2件、CVEベースで10件）含まれている。

　なお、安全性の問題で無効化されていた「SSL 3.0」はサポートは、本バージョンで終了した。

　移行期に入っているESR版は、38系と31系の両バージョンが提供されている。ESR 38.1では、39.0と共通する「最高」4件、「高」2件、「中」6件の計12件の脆弱性が、ESR 31.8では、「最高」3件、「高」2件、「中」3件の計8件の脆弱性が修正されている。
　ESR版Firefoxで修正された脆弱性は、同じエンジンを使用するメールソフトThunderbirdにも影響があり、準備が整い次第「38.1」が公開される予定だ。

　それぞれの最新版は自動更新機能を通じて配布されているほか、手動で更新することもできる。

　デスクトップ版Firefoxの手動更新は、Windowsではメニューボタン「≡」をクリック→下段のヘルプボタン「？」をクリック→表示された[ヘルプ]メニューの[Firefoxについて]を選択する。または、[Alt]キーを押してメニューバーを表示し、[ヘルプ]メニューの[Firefoxについて]を選択する。OS Xでは、Firefoxメニューの[Firefoxについて]を選択する。

　Android版は、メニューから[設定]→[Mozilla]→[Firefoxについて]→[更新を確認]の順にタップする。

　Thunderbirdは、[ヘルプ]メニューの[Thunderbirdについて]を選択すると、最新版の確認と更新が行える。

（2015/07/03 ネットセキュリティニュース）

【関連URL：モジラ】
＜Firefox 39.0＞
・リリースノート（デスクトップ版）
http://www.mozilla.jp/firefox/39.0/releasenotes/
・リリースノート（Android版）
http://www.mozilla.jp/firefox/android/39.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html
＜Firefox ESR＞
・38.1 リリースノート
http://www.mozilla.jp/firefox/38.1.0/releasenotes/
・31.8 リリースノート
http://www.mozilla.jp/firefox/31.8.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefoxESR.html
＜Thunderbird 38.1.0＞
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbird.html

◆危険な「秘密の質問」の付き合い方（2015/07/03）

　IPA（情報処理推進機構）は1日、パスワードリマインダーの本人確認手段に使われている「秘密の質問」に、セキュリティ上の懸念があるとして、注意を呼びかけた。

　パスワードリマインダーは、パスワードを忘れてしまったユーザーが再びログインできるようにするための機能のことで、忘れてしまったパスワードそのものを教えるタイプ、新しいパスワードや一時的なパスワードを発行するタイプ、ユーザーにパスワードを再設定させるタイプと、サービスによって色々な回復方法が提供されている。

　利用時には、第三者の成りすましを防ぐための認証を行うが、この確認手段のひとつに、ユーザーが予め設定しておいた「秘密の質問」とその「答え」を使用する方法があり、パスワードリマインダーの代名詞として使われるほどに広く普及していた。

　本人しか知らない筈の「答え」を知っていれば本人と判定するこの手法は、通常のログインで用いているパスワード認証と同じ仕組みであるため、不正ログインの入口を無駄に増やしてしまう。「答え」がパスワードと同レベルの強固なものならまだ良いのだが、実際には、パスワードよりもはるかに簡単に破られてしまう安易な「答え」が設定されていることが多く、今年5月にグーグルが公開した研究報告でも、ユーザーが設定する「秘密の質問」と「答え」のセキュリティレベルは、「パスワード」よりもはるかに低いと報告されている。

■「秘密の質問」は無効に

　「秘密の質問」の危険性は、十年以上前から繰り返し指摘されており、本通信でも2013年の記事やトピックスでこの問題を扱っている。もしお使いのサービスのパスワードリマインダーが、「秘密の質問」に「答え」るだけで機能してしまうような場合には、別の手段が利用できないか確認しよう。SMSやメールなどを使う別の認証手段が利用できる場合には、そちらに切り替え、安全性に問題のある「秘密の質問」は、機能しない様に無効化する。

　例えばアップルの場合には、「セキュリティ質問」と呼ぶ「秘密の質問」機能が、パスワードの回復手段のひとつとして提供されている。この「セキュリティ質問」は、同社が「2ステップ確認」と呼んでいる2段階認証の機能を設定すると無効になる。

　2段階認証は、パスワードだけではログインできないようにする追加のセキュリティ機能のこと。アップルの場合は、これを設定すると「パスワード」「特定の端末に送られて来る確認コード（暗証番号）」「復旧キー」のうちのどれか2つを使用しないとログインできなくなる。通常は、パスワードと確認コードを使用してログインするが（2回目以降の確認コードは省略可）、万一パスワードを忘れてしまった場合には、残りの復旧キーと確認コードによる2段階認証でパスワードを再設定できる。ちなみに初回の設定時は、確認コードをSMSで受け取ることのできる環境が必要だが、設定後は、iOS端末の通知機能でも受信でき、端末の紛失時に備えて複数のiOS端末やSMS用の電話番号を登録しておくことも可能だ。このほかに、事前に登録しておいたメールアドレス宛てに、パスワードを再設定するためのリンクを送ってもらう手段も用意されている。

■大手サービスは「秘密の質問」を廃止

　今月の呼びかけの中では、「秘密の質問」だけで本人確認が完了しないように用意する他の確認方法として、先の2段階認証を引き合いに出している。しかし、2段階認証が利用できるのであれば、もはや危険な「秘密の質問」を残す必要などない。アップルが2段階認証の設定と引き換えに「秘密の質問」を無効化するのも、そういう理由からだ。研究報告を出したグーグルをはじめ、マイクロソフトやFacebookなど、かつて「秘密の質問」を採用していた大手サービスも同様の考えで、現在はSMSやメール、音声通話、スマートフォンアプリなどの別の手段による認証に移行し、危険な「秘密の質問」は廃止した。

　注意しなければいけないのは、「秘密の質問」を設定することはできないが、設定済みの方が引き続きアカウントの回復手段として利用できるようになっている場合がある。この機会に昔から使用しているアカウントを点検し、「秘密の質問」が設定されていたら、より安全な別の手段へと変更。「秘密の質問」が残っていたら、削除や無効化して危険を取り除こう。

■止むをえない場合はパスワードなみの強固な「答え」を

　他の手段に変更できないなどの理由で、止むを得ず「秘密の質問」を使い続けなければならない場合には、パスワードと同レベルの強固な「答え」、すなわち第三者に推測されることのない、複雑で長い「答え」を設定しておく。

　IPAの呼びかけでは、「答え」を複雑な内容にすると本人が思い出せなくなる可能性があることを懸念し、本来の「答え」を複雑化する方法を紹介している。興味のある方は、末尾のリンク先を参照していただきたいが、記憶に頼るのを止めるという選択肢も検討していただきたい。紙のメモやメモも保存できるパスワード管理ツールなどを使って「答え」を記録しておけば、自分でも回答できない超難解な「答え」を用意できる。

（2015/07/03 ネットセキュリティニュース）

【関連URL】
・2015年7月の呼びかけ「その秘密の質問の答えは第三者に推測されてしまうかもしれません」（IPA）
http://www.ipa.go.jp/security/txt/2015/07outline.html
・New Research: Some Tough Questions for ‘Security Questions’[英文]（グーグル）
http://googleonlinesecurity.blogspot.jp/2015/05/new-research-some-tough-questions-for.html
・Sccount Recovery: Lessons from the Use of Personal Knowledge Questions at Google [英文]（グーグル）
http://research.google.com/pubs/pub43783.html

◆アップル、Windows用iTunes/QuickTimeの最新版公開（2015/07/01）

　アップルは1日、Windows用の「iTunes 12.2」と「QuickTime 7.7.7」を公開した。どちらも深刻な脆弱性の修正が含まれている。

■iTunes 12.2

　対象は Windows 8/7。本日スタートした音楽ストリーミングサービス「Apple Music」に対応したほか、レンダリングエンジン「Webkit」に含まれる39件の脆弱性が修正されている。これらは、昨年11月から今年5月にかけてMacやiOS端末で修正され、Windows版では未修正だったもの。メモリー破壊を引き起こす深刻なものが多数含まれており、細工されたWebサイトを閲覧するだけで任意のコードを実行されるおそれがある。
　最新版への更新は、iTunesのヘルプメニューにある「更新プログラムを確認」、または同梱の「Apple Software Update」で行えるほか、同社のサイトからダウンロードすることもできる。

＜関連URL＞
・About the security content of iTunes 12.2 [英文]（アップル）
https://support.apple.com/ja-jp/HT204949

■QuickTime 7.7.7

　対象は Windows 7/Vista。同日公開されたMac版（OS X Yosemite v10.10.4、セキュリティアップデート 2015-005に含まれる）で対処したQuickTImeの問題6件を含む、計9件の脆弱性が修正されている。メモリー破壊を引き起こす深刻な問題で、細工されたムービーファイルを再生すると任意のコードが実行されるおそれがある。
　最新版への更新は、QuickTimeとセットでインストールされている「Apple Software Update」で行えるほか、同社のサイトからも入手できる。

　iTunes 10.4までは、iTunesがQuickTimeの機能を利用していたため一緒にインストールされている方も多い。iTunes 10.5以降でQuickTimeは不要になったが、インストールされたQuickTimeのアンインストールは、自動的には行われない。iTunesのためだけにQuickTimeをインストールされた方は、不要なQuickTimeをアンインストールしておくことをお勧めする。

＜関連URL＞
・About the security content of QuickTime 7.7.7 [英文]（アップル）
https://support.apple.com/ja-jp/HT204947

（2015/07/01 ネットセキュリティニュース）

◆アップル、OS X/Safari/iOSの最新版公開（2015/07/01）

　アップルは1日、Mac OS X Yosemite v10.10.4とMavericks/Mountain Lion用の「セキュリティアップデート 2015-005」「EFIセキュリティアップデート 2015-001」、Webブラウザ「Safari」の最新版、モバイル端末用OSの最新版「iOS 8.4」を公開した。いずれも深刻な脆弱性の修正が含まれている。

■OS X Yosemite v10.10.4、セキュリティアップデート 2015-005、EFIセキュリティアップデート 2015-001

　Yosemiteで77件（内包のSafariを除く）、Mavericksで44件、Mountain Lionで40件の脆弱性が修正されている。細工されたURLや文字列で任意のコードが実行されるおそれのある問題や、ファームウェアを書き換えてMac本体に悪質なプログラムを仕掛けることができるEIF（Extensible Firmware Interface）の問題など、深刻な脆弱性の修正が多数含まれている。
　アップデートは、自動更新や通知のクリック、または手動で「App Store」を確認する。Appleメニューから[App Store]を選択し、ツールバーの[アップデート]ボタンをクリックすると、利用可能なアップデートが表示される。

＜関連URL＞
・About the security content of OS X Yosemite v10.10.4 and Security Update 2015-005 [英文]（アップル）
https://support.apple.com/ja-jp/HT204942
・About the security content of Mac EFI Security Update 2015-001 [英文]（アップル）
https://support.apple.com/ja-jp/HT204934

■Safari 8.0.7/7.1.7/6.2.7

　Webページを描画するレンダリングエンジン「WebKit」で、任意のコードが実行されるおそれのある深刻な問題を含む、計4件の脆弱性が修正されている。
　「Safari 7.1.7」はOS X Mavericksに、「Safari 6.2.7」はOS X Mountain Lionに対応しており、更新通知のクリック、または手動で「App Store」を開くと更新できる。Appleメニューから[App Store]を選択し、ツールバーの[アップデート]ボタンをクリックすると、利用可能なアップデートが表示される。
　OS X Yosemite用の最新版「Safari 8.0.7」は、OS X 10.10.4に含まれている。

＜関連URL＞
・About the security content of Safari 8.0.7, Safari 7.1.7, and Safari 6.2.7 [英文]（アップル）
https://support.apple.com/ja-jp/HT204950

■iOS 8.4

　本日スタートした音楽ストリーミングサービス「Apple Music」に「ミュージック」アプリが対応したほか、計33件の脆弱性が修正されている。OS Xと同じ細工されたURLや文字列で任意のコードが実行されるおそれのある問題など、深刻な脆弱性の修正が多数含まれている。
　アップデートは、端末の[設定]アイコンから[一般]→[ソフトウェアアップデート]と進むか、端末をパソコンに接続してiTunes経由で行う。

＜関連URL＞
・About the security content of iOS 8.4［英文］（アップル）
https://support.apple.com/ja-jp/HT204941

（2015/07/01 ネットセキュリティニュース）