ネットセキュリティニュース

◆オンラインバンキングの定番フィッシングが相次ぎ再開か（2016/08/30）

　今年4月まで執拗な攻撃を繰り返していた、ネットバンキングの利用者を狙ったフィッシングが復活したようだ。「りそな銀行」や「三井住友銀行」を装うフィッシングメールが、先週末から相次いでいる。

■「りそな銀行」を装うフィッシング

　りそな銀行を装うフィッシングは、1月下旬から相次ぎ、同行はホームページやユーザーあてのメールで何度も注意を呼び掛けていた。4月初旬の攻撃を最後にしばらく休止していたが、先々週の週末に行われた「ジャパンネット銀行」「福岡銀行」「静岡銀行」「京都銀行」を装うフィッシングが、活動再開を匂わせていた。

　不特定多数にばらまかれた今回のメールは、以前からのものと同じ「○○銀行重要なお知らせ」「○○銀行メールアドレスの確認」「○○銀行本人認証サービス」というパターンの件名で届く。本文は、「貴様のアカウント」というフレーズが衝撃的な「2016年「○○銀行」のシステムセキュリティのアップグレードのため、貴様のアカウントの利用中止を避けるために、検証する必要があります。」というタイプと、「こんにちは！(2016年○月○日)更新「○○銀行」のシステムが安全性の更新がされたため、お客様はアカウントが凍結?休眠されないように、直ちにアカウントをご認証ください。」という書き出しが印象的なタイプの2パターンが見つかっている。

　いずれも、「以下のページより登録を続けてください。」として、正規サイトのURLに見えるリンクや「本人認証サービス」と書かれたボタンをクリックさせようとするので注意していただきたい。クリックすると無関係な一般サイト経由で本物のそっくりに作られた偽サイトに誘導される。偽サイトでは、ログイン情報と乱数表（マイゲートご利用カード）のすべての数字を詐取するので、騙されると不正送金被害に発展するおそれがある。

■三井住友銀行のフィッシング

　三井住友銀行を装うフィッシングは、SMSで誘導するタイプが1月初旬から相次ぎ、その後、メールで誘導するタイプや、「ゆうちょ銀行」を装うフィッシングなどが繰り返された。今回ばらまかれたフィッシングメールは、「ハンゲーム」のフィッシングで使用した「ご登録パスワード変更完了のお知らせ」という件名のもの。内容は、「このメールは登録パスワードを変更された方へのメールです。確認のためにメールを送信しています。お客さまご自身で変更した場合は、このメールを無視しても問題ありません。お客さまご自身で変更していない場合は盗用の可能性がございます。」という、パスワード変更時にユーザーに送られる確認通知に見せかけ、「至急以下のURLをクリックしてください。」として正規サイトのURLに見えるリンクをクリックさせようとする。よく見ると、URLのホスト名が三井住友銀行で、その後がハンゲームという変なURLだが、ここで不審に思える方は少ないかもしれない。りそな銀行のフィッシングメールよりも、全体的に完成度が高いので、騙されないように注意していただきたい。

　誘導先の偽サイトが速攻で閉鎖されたため、稼働中の偽サイトは確認できていないが、以前と同じであれば、中間者攻撃を仕掛けることのできる設計になっているので注意したい。先のりそな銀行のフィッシングのように、詐取した情報を使って後で不正送金する手口ではなく、リアルタイムに不正送金が実行されるおそれがある。

　三井住友銀行は、今月から振り込みにパスワードカード（カード状のハードウェアやスマートフォンのアプリ）を使うワンタイムパスワード方式が必須になり、これまでの乱数表（暗証カード）を利用する振り込みは行えなくなった。このため、乱数表を丸ごと入力させ、後で不正送金する手口は使えなくなったが、フィッシングサイトが背後で正規のネットバンキングに接続し、ユーザーに入力させた情報を使ってリアルタイムに送金処理を実行すると、乱数表方式でもワンタイムパスワード方式でも、不正送金されるおそれがある。

■HTMLメールに注意

　りそな銀行の2種類のフィッシングメールと、三井住友銀行のフィッシングメールは、いずれもHTML形式のメールを使用している。テキスト形式のメールと違い、HTML形式のメールはリンクの見た目と接続先とを個別に設定できるので、リンク先を正規サイトに見せかけたり、「こちら」のような文字やボタンにしたりすることができる。本当の接続先が隠れて見えないことがあるので、注意していただきたい。

　マウス操作の場合は、ポインターをリンクにの上に移動したり、右クリックメニューを操作したりすると、実際のリンク先が確認できることが多い。タッチパネルの場合には、リンクの長押しで確認や操作メニューを表示できることが多いので、試してみていただきたい。りそな銀行の方は、無関係な一般サイトのURLが記載されている。三井住友銀行の方は、「.jp.net」ドメインを使った紛らわしい名前のURLだ。

　リンクをクリックしてしまった場合には、正規サイトにHTTPSで接続していることを必ず確認する。りそな銀行や三井住友銀行のHTTPS接続には、「EV証明書」という特別な証明書を使用しているので、りそな銀行の場合は「Resona Bank, Limited」または「Resona Holdings, Inc.」、三井住友銀行の場合は「Sumitomo Mitsui Banking Corporation」という運営者名が、アドレスバーのところに表示される。

（2016/08/30 ネットセキュリティニュース）

【関連URL】
・りそな銀行をかたるフィッシング（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/resonabank_20160829.html
・三井住友銀行をかたるフィッシング（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/smbc_20160829.html

◆アップル、ゼロデイ攻撃に対処した「iOS 9.3.5」緊急公開（2016/08/26）

　アップルは26日、ゼロデイ攻撃に悪用された脆弱性3件を修正した、モバイル端末用OSの最新版「iOS 9.3.5」を公開した。対象となるのは、iPhone 4s以降、Pad 2以降（mini Proを含む）、iPod touch第5世代以降。

　最新版では、カーネル（システムの中枢部）の位置が特定されるおそれのある情報漏えいの問題、カーネルの特権でコードが実行されるおそれのあるメモリー破壊の問題、Webページを表示するレンダリングエンジン「Webkit」で任意のコードが実行されるおそれのあるメモリー破壊の問題の、計3件の脆弱性が修正された。

米セキュリティ企業のLookoutと加トロント大学のセキュリティ研究機関Citizen Labの発表によると、これら3件の脆弱性は、アラブ首長国連邦の人権活動家のiPhoneに侵入し、スパイウェアを仕掛ける目的に悪用されていたという。今月10～11日（現地時間）、活動家のiPhoneに届いたSMSのリンク先で、これらを悪用した攻撃が行われたという。

　iOSは通常、公式サイト「App Store」からダウンロードしたアプリ以外、インストールできないようになっている。ところが、これら3件の脆弱性を悪用する細工をしたWebサイトに誘導されると、サイトを閲覧しただけで、勝手にアプリがインストールされてしまう。それも、システムと同じあらゆる操作が行える特権を持つアプリだ。

　今回の攻撃は、限定されたものだが、悪用可能な深刻な脆弱性の存在が明らかになった以上、いつ他の攻撃に転用されてもおかしくない。iOS端末のユーザーは、一刻も早く最新版にアップデートしていただきたい。

　最新版への更新は、端末の「設定」アイコンから「一般」→「ソフトウェア・アップデート」と進むか、端末をパソコンに接続し、iTunes経由で行う。

（2016/08/26 ネットセキュリティニュース）

【関連URL】
・About the security content of iOS 9.3.5（アップル）
https://support.apple.com/ja-jp/HT207107
・Sophisticated, persistent mobile attack against high-value targets on iOS[英文]（Lookout Blog）
https://blog.lookout.com/blog/2016/08/25/trident-pegasus/
・The Million Dollar Dissident: NSO Group's iPhone Zero-Days used against a UAE Human Rights Defender[英文]（The Citizen Lab）
https://citizenlab.org/2016/08/million-dollar-dissident-iphone-zero-day-nso-group-uae/

◆不正送金から口座を守るワンタイムパスワード（2016/08/26）

　国内の主要なネットバンキングでは、振り込みなどの重要な操作を行う際に、毎回異なる可変式のパスワード（暗証番号）入力を求め、安全性を高めている。最近では、専用のハードウェアなどを使用し、その都度使い捨てのパスワードを生成する方式を採用するところも多い。不正送金防止に有効な対策のひとつなので、ぜひ利用していただきたい。

　不正送金被害を防ぐには、マルウェア（ウイルス）感染やフィッシングにあわないように対策することが最重要課題だが、防ぎきれなかった場合を想定し、追加の防御策も用意しておきたい。中でも高い効果が期待できるのが、ワンタイムパスワードやトランザクション認証だ。ここでは、ネットバンキングでこれまでに採用されてきた、主な追加の認証方式と、その弱点について解説する。利用できる機能は積極的に利用し、不正送金から口座を守っていただきたい。

■取引用パスワード

　初期のネットバンキングでとられた対策のひとつが、取引時にログイン用のパスワードとは別のパスワードを使用する方法だ。外鍵が破られても内鍵があれば大丈夫という発想だが、マルウェア感染やフィッシングで両方窃取されると破られてしまい、それほど効果はなかった。他の対策を導入した今もなお、この機能を残しているところもある。

■乱数表方式

　ほとんどのネットバンキングで採用されているのが、あらかじめ配布した数個から100個の数字が書かれたカードを使用する乱数表方式だ。取引の際には、ネットバンキング側が指定した数か所の数字を指定されたとおりに入力し、パスワードとして使用する。指定場所はその都度異なり、乱数表に書かれている数字の並びはユーザーごとに異なるので、本人の乱数表を使わないと正しいパスワードを入力できない。乱数表は物理的なカードに印刷したものを配布するのが基本なので、カードを盗まないと不正送金はできないはずだった。
　ところが10年近く前に、乱数表の数字を全て入力させるフィッシングが登場し、だまされるユーザーが続出する。一部のネットバンキングでは、今も乱数表だけに頼っているところがあり、ワンタイムパスワードなどがあってもオプションであることが多い。このため、いまもなお乱数表を丸ごと入力させるマルウェアやフィッシングが後を絶たないのが現状だ。一部ではすでにこの方式を廃止し、ワンタイムパスワード等に移行しているところもあり、併用しているところでも乱数表使用時には制限を設けていたりする。

■ワンタイムパスワード

　ワンタイムパスワードは、毎回異なる使い捨てのパスワードを使用する認証方式だ。乱数表もその場限りのワンタイムパスワードだが、ここでは、専用のハードウェアなどを使い、一定の時間内に一回だけ有効なパスワードをその都度生成して使う方式に限定する。国内のネットバンキングでは、パスワードを手元のカードやキーホルダー状のハードウェアを使って生成するハードウェア方式、スマートフォンなどのアプリで生成するソフトウェア方式、ネットバンキング側で生成したパスワードをメールで通知するメール方式の3種類が主流で、海外ではメールの代わりにSMSの通知もよく使われる。

　マルウェア感染の影響を受けないハードウェア方式は、これらの中で最も安全性が高く、ハードウェアを盗まれるか後述する中間者攻撃を受けない限り、不正送金を阻止できる。

　ソフトウェア方式は、ハードウェア方式と同じ条件で運用すれば同等の安全性を持つ。ハードウェア方式と同じ条件とは以下の３つだ。(1) パスワード生成アプリを、ネットバンキングを操作する端末とは別の端末にインストールする。(2) パスワード生成アプリは、バックアップできないようになっている。(3) パスワード生成アプリを他のアプリや外部から操作したり参照したりできないようになっている。中でも(1)は、ハードウェア方式が持つ最大の利点なので、同等の安全性を求めるのであれば必須だ。(2) (3) はアプリ次第だが、例えば三菱東京UFJ銀行のスマホ用アプリの場合には、(2) (3) には対処しているようだ。ただし、パスワードを生成すだけの専用アプリが廃止され、送金機能などもサポートするアプリしか利用できないため、端末を操作されると不正送金の可能性を排除できない。

　メール方式は、やや劣るものの条件次第でハードウェア方式並みの安全性を持たせることができる。ソフトウェア方式の3条件に加え、メール方式の最大の弱点であるメールアカウントの窃取への対処が条件だ。メールアカウントは、マルウェア感染やフィッシングなどで盗まれることがあり、実際に感染したマルウェアにネットバンキングとメールの両方のアカウントを盗み取られたとみられる被害が出ているという。
　この問題に関しては、先の3条件の(1) にあたる、ネットバンキングを操作する端末とメールを受け取る端末を別にすることで、一定レベルの安全性を確保できる。このためネットバンキングの中には、ワンタイムパスワードの送付先メールアドレスを携帯キャリアのものに限定しているところもある。最近のキャリアメール（特にスマートフォン対応のもの）の中には、インターネット上からアクセスできるようになっているものも多いが、ここでいうキャリアメールは、キャリアの回線経由でしかアクセスできない従来仕様のものを指す。従来仕様のキャリアメールは、その端末（SIM）からでないとアクセスできないので、ワンタイムパスワードを覗き見される心配がない。

■ワンタイムパスワードを破る「中間者攻撃」

　一昨年あたりから、ワンタイムパスワードを破るマルウェアやフィッシングが、国内のネットバンキングの攻撃に使われるようになった。メール方式は、先に紹介した手口に破られてしまうが、ハードウェア方式やソフトウェア方式もターゲットだ。
　ハードウェアなどが生成する短時間で次々に変わるワンタイムパスワードは、有効な間に使えば不正送金を行うことができる。そこで、ブラウザを乗っ取ったマルウェアや、ユーザーをだまして誘導した誘導先の偽サイトで偽の画面を表示し、ログイン情報やワンタイムパスワードをユーザー自身に入力させる。その背後で本物のサイトにリアルタイムにアクセスして送金処理を行うと、ワンタイムパスワードが効力を発揮できず、不正送金が成功してしまう。
　このような手法を「中間者攻撃」といい、ユーザーの実際の送金処理に合わせて一連の操作が行われると、ほとんど気付かれることなく不正送金されてしまう可能性が高い。ところが現実には、ユーザーが公式サイトにアクセスしたタイミングや、偽サイトに誘導されたタイミングで一連の操作を行う偽画面を表示して行うため、見慣れない画面やログイン直後にワンタイムパスワードの入力を求めるという不自然な操作になる。偽の画面や不自然な操作に気付けば被害を食い止められるはずだが、いかがだろうか。

■ワンタイムパスワードを聞き出そうとする不審な電話も

　ゆうちょ銀行は今月16日、パスワード生成機に表示されたワンタイムパスワードを聞き出そうとする、不審な電話があったとして注意を呼びかけた。詳しい経緯はわからないが、そのユーザーのネットバンキングのアカウントにアクセスし、送金の手続きまで進むことができれば、電話でワンタイムパスワードを聞き出す方法でも不正送金できるので注意したい。ワンタイムパスワードは、他言無用だ。

■トランザクション認証

　ワンタイムパスワードには、有効期間内であれば用途に関係なく使用できるという欠点がある。そこで、特定の処理にのみ有効な「トランザクション認証」と呼ばれる認証方法が採用され始めている。
　個人向けのネットバンキングでは、取引内容をスマートフォン用アプリに通知し、画面でそれを確認して承認する方式が、じぶん銀行や住信SBIネット銀行、NTTデータ系のシステムで使われている。トランザクション認証機能を持つ入力キー付きのカード型パスワード生成機を配布しているところもいくつかあり、その中のみずほ銀行が、ネットバンキングでこの機能を利用している。こちらは、送金先の口座番号をからめたワンタイムパスワードを生成し、用途外の振り込みに使われないようにする。
　ワンタイムパスワードまでの対策が、ことごとく破られてしまったのに対し、このトランザクション認証に関しては、いまのところ破られたという報告はない。

（2016/08/26 ネットセキュリティニュース）

【関連URL】
・【重要】当行社員を装ってゆうちょダイレクトのパスワードを聞き出そうとする不審な電話にご注意ください（ゆうちょ銀行）
http://www.jp-bank.japanpost.jp/news/2016/news_id001182.html
・インターネット・バンキングにおけるセキュリティ対策事例[PDF]（全国銀行協会）
http://www.zenginkyo.or.jp/fileadmin/res/news/news280614_1.pdf

◆オンラインバンキング狙う新たな動き（フィッシング編）（2016/08/24）

　しばらく攻撃が止まっていたオンラインバンキングの利用者を狙うフィッシングが、先週末に相次いだ。いつものように執拗に繰り返すことなく単発で終了したが、本格的な攻撃の前触れかもしれない。

　18日深夜から翌日にかけ「ジャパンネット銀行」と「福岡銀行」を装うフィッシングメールが、19日深夜から翌日にかけては「静岡銀行」と「京都銀行」を装うフィッシングメールが不特定多数に向けてばらまかれた。「ジャパンネット銀行」と「福岡銀行」のフィッシングに関しては、フィッシング対策協議会が緊急情報を出し、ネットニュースなどでも取り上げられたので、ご存じの方も多いだろう。

　いずれも同じ攻撃者によるもので、各行からのメールに見えるように差出人が偽装されている。メールの件名は、「○○銀行重要なお知らせ（2016年8月○日更新）」「○○銀行メールアドレスの確認」「○○銀行本人認証サービス」の3パターン。本文は「○○銀行Ｅメール配信サービス」に見せかけ、「2016年「○○銀行」のシステムセキュリティのアップグレードのため、貴様のアカウントの利用中止を避けるために、検証する必要があります。以下のページより登録を続けてください。」と述べ、記載したリンクをクリックさせようとする。HTML形式のフィッシングメールなので、見た目のリンクは公式サイトのものだが、実際のリンク先は、「ｎｅｒｎａ．ｃｃ」や「ｉｒｎｒｒ．ｃｃ」といった、無関係なドメイン名の偽サイトだ。

　HTMLメールの真のリンク先は、リンクの上にマウスポインターを持って行ったり、リンクを長押ししたりすると確認できる。クリック前のチェックを心がけるようにすると、偽サイトへのアクセスを未然に防げるかもしれない。真のリンク先のホスト名には、各行の正規のアドレスが織り込まれているので、うっかりしていると騙されてしまうので注意したい。ほかには、紛らわしいいドメイン名を用いるケースもある。

■今回の攻撃は本番の予兆か

　「貴様のアカウント」でピンと来た方がいらっしゃると思うが、3年前の「三菱東京UFJ銀行」に始まり、最近では「りそな銀行」をかたるフィッシングを連日展開していたグループのフィッシングメールだ。「こんにちは！」という書き出しのメールを受け取った方も多いだろう。ひとたびフィッシングを始めると、えんえんと執拗に繰り返すことが多いのも、このグループの特徴だ。ところが今回は、ひとつのサーバに2行の偽サイトを開設してメールをばらまいた後、それぞれ1日で終了し、24日時点で再攻撃は行われていない。
　このグループが今回の4行をターゲットにするのは初めてであることや、稼働が確認できた「静岡銀行」と「京都銀行」の偽サイトには偽のログインページしかなく、不正送金に必要な乱数表などを詐取していないことなどから、今回の攻撃は、様子を見るための準備段階の攻撃だった可能性が高い。過去には、ログインページだけだった偽サイトが、その後に拡張された例もあるので、利用者は引き続き注意していただきたい。

■偽サイトの見分け方

　今回使われた偽サイトは、本物を忠実に再現しているため、ページの見た目で真偽を判別するのは困難だ。正規サイトにHTTPSで接続していることを、必ず確認するようにしていただきたい。４行とも運営者を厳格に審査する「EV証明書」を使用しているので、一般的なWebブラウザで正しく接続すると、運営者名が表示される。京都銀行は、運営会社のNTTデータのままだが、ほかは各行の名前が表示されるので、正規サイトであることがすぐにわかるだろう。

（2016/08/24 ネットセキュリティニュース）

【関連URL】
・当社を装った不審なメールにご注意ください（ジャパンネット銀行）
http://www.japannetbank.co.jp/news/general2016/160819.html
・ジャパンネット銀行をかたるフィッシング (2016/08/19)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/japannetbank_20160819.html
・福岡銀行をかたる偽メール（フィッシングメール）が不特定多数のお客様あてに送信されていますので、ご注意ください。（福岡銀行）
http://www.fukuokabank.co.jp/announcement/important/PAGE_040950.html
・福岡銀行をかたるフィッシング (2016/08/19)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/fukuokabank_20160819.html
・静岡銀行をかたる偽メールが不特定多数のお客さまに送信されていますので、ご注意ください（静岡銀行）
http://www.shizuokabank.co.jp/notice/detail/2892
・京都銀行をかたる偽メール（フィッシングメール）が不特定多数のお客さまあてに送信されていますので、ご注意ください。（京都銀行）
http://www.kyotobank.co.jp/

◆オンラインバンキング狙う新たな動き（マルウェア編）（2016/08/23）

　不正送金被害が絶えないオンラインバンキングに、また不穏な動きが出ている。先月末には、検索サイトでポップアップを表示して偽サイトへと誘導する、新たなマルウェアが見つかった。先週末には、新たな標的を模索するフィッシングが相次いだ。

■韓国向けバンキングマルウェアが日本進出

　楽天銀行は7月28日、マルウェア（ウイルス）に感染したパソコンでGoogleにアクセスすると、「金融監督庁」をかたる不審なポップアップが表示され、同行をなど8行の偽装サイトに誘導される問題が発生しているとして、注意を呼びかけた。8月17日付のトレンドマイクロセキュリティブログでは、『「金融監督庁」を偽装し国内8銀行のネットバンキングを狙うマルウェア「KRBANKER」の新たな手口』と題して、このマルウェアの挙動を紹介している。このマルウェアは、もともとは韓国の金融機関を標的にしていたものだが、日本のネットバンキングも標的にし始めたようだ。

　国内のネットバンキングを狙うマルウェアは、これまでにもいろいろなものが見つかっているが、たいていは、ユーザーが特定のネットバンキングにアクセスした際に、入力したアカウント情報を抜き取る。偽のポップアップ画面を表示する能動的なものもあるが、表示のきっかけはネットバンキングへのアクセスだ。

　KRBANKERの場合には、検索サイトもトリガーになっているようで、楽天銀行の発表ではGoogleで、オリジナルの韓国語版ではNEVERで、偽サイトに誘導するポップアップ画面が表示されたとの報告がある。このポップアップは、「金融監督庁」をかたりセキュリティの強化と称して、利用している銀行名をクリックするよう促すもの。韓国語版を流用した関係からか、官庁名が「金融庁」ではなく「金融監督庁」になっており、ロゴも韓国版と同じ韓国の「金融監督院」のものがそのまま使われている。説明書きにも不自然な日本語が散見されるので、注意すれば怪しいと察知できるかもしれない。

　トレンドマイクロの発表によると、8つの国内銀行、4つの検索エンジン、1つの社団法人のドメインを対象に、これらにアクセスしようとするとマルウェアが接続先を変更して偽サイトに誘導するという。気になるのがターゲットになっている銀行だが、調べたところ、「三菱東京UFJ銀行」「新生銀行」「ジャパンネット銀行」「楽天銀行」「りそな銀行」「みずほ銀行」「三井住友銀行」「ゆうちょ銀行」の8行らしい。ターゲットは、外部でコントロールできるので、今後さらに増えるかもしれない。

■予防対策(1) 正しいURLで偽サイトに接続する

　KRBANKERの大きな特徴は、プロキシサーバー（代理サーバー）として動作する点だ。プロキシサーバーは、Webブラウザのアクセス要求を受け取り、ブラウザの代わりに指定されたURLにアクセスし、その結果をブラウザに返す。感染パソコンのプロキシも、通常はそのように動作しているが、特定のサイトへのアクセス要求に限り、偽サイトにアクセスした結果を返す仕掛けになっている。URLが違えばアクセス先は偽サイトだが、URLが正しいからといって、必ずしも正規サイトにアクセスするとは限らないので注意したい。

　楽天銀行の注意喚起では、「同行のアドレスをブックマーク（お気に入り）に登録し、ログインは必ずブックマークから行う」ことを有効な対策としてあげている。たいていの場合これは、騙されて偽サイトにアクセスしないための有効な対策になるが、KRBANKERのようなプロキシでアクセス先を制御された場合には、有効な対策にはならない。プロキシを解除しなければ、正しいURLを使用しても正規サイトにアクセスできないのだ。

　URLがあてになるかならないかは、HTTPSで正しく接続できたかどうかで判断できる。HTTPS接続では、接続先のサーバーが証明書を持っていなければならない。サーバー証明書には、ドメイン名だけを確認する「DV証明書」、申請した組織も確認する「OV証明書」、一定の基準に従って組織の厳格な審査を行う「EV証明書」がある。いずれも、ドメインの正当性は審査されているので、HTTPS接続のURLは信じてよい。マルウェアが証明書を偽造する仕組みをインストールしたり、本物の証明書が流出したりしない限り、この方法で真偽を正しく判別できる。HTTPSで接続し、なおかつアドレスバーのURLが正しい、または証明書の運営者名が正しい場合は本物だ。

■予防対策(2) 感染源を断つ

　バンキングマルウェアは、メールの添付ファイルやリンク先、Webサイトや検索サイトのリンク、改ざんサイトからの誘導など、さまざまな経路からパソコン内に侵入する。「不審なファイルを開かない」「不審なサイトへはアクセスしない」などの旧来からの心掛けだけでも、ある程度の侵入を食い止めることができる。

　トレンドマイクロによると、今回のKRBANKERは、国内の改ざんサイトなどのWeb経由を中心とした拡散だったという。この場合は、旧来からの心がけでは回避できないかもしれないが、実行しさえしなければマルウェアもただのプログラムに過ぎない。マルウェアは、ユーザー自身が実行するか、脆弱性を悪用して自動実行するかのいずれかの方法で活動を開始する。両方を断つと、感染を食い止めることができる。

　標準設定のWindows上で標準的なアプリを使用している場合には、メールやWeb経由で侵入してきたプログラムを実行する際には、実行するかどうかを確認するセキュリティの警告が必ず表示される。警告が出たら中止すよう心がければ、ユーザー自身で実行してしまうケースを回避できる。

　脆弱性の悪用による自動実行は、悪用される脆弱性をなくすことで回避できる。Windows Updateでシステムと標準アプリのアップデートを行うとともに、使用しているアプリのアップデートも欠かさず行う。特に狙われることが多い、Adobe Flash PlayerとJRE（Java Runtime Environment：Java実行環境）は、不要ならアンインストールを、利用するなら遅延なくアップデートしていただきたい。

（2016/08/23 ネットセキュリティニュース）

【関連URL】
・楽天銀行を偽装したサイトへの誘導にご注意ください（楽天銀行）
http://www.rakuten-bank.co.jp/info/2016/160728.html
・「金融監督庁」を偽装し国内8銀行のネットバンキングを狙う「KRBANKER」の新たな手口（トレンドマイクロ）
http://blog.trendmicro.co.jp/archives/13683
・KRBanker、アドウェアとエクスプロイト キットを介して韓国を標的に（パロアルトネットワークス）
https://www.paloaltonetworks.jp/company/in-the-news/2016/160510-unit42-krbanker-targets-south-korea-through-adware-and-exploit-kits-2.html

◆不正アクセス相次ぐ～老舗菓子や食品通販サイト、研究機構、FM放送局など（2016/08/19）

　この1か月の間に報告された不正アクセス事件をまとめた。老舗の菓子メーカーや食品メーカーの通販サイトからは多数のクレジットカード情報が漏えい。道立総合研究機構ではウイルスに感染したパソコン1台による不正通信が確認された。

　FM放送局のエフエム愛知（名古屋市中区）は、メール会員情報11万件の流出について7月26日に公表。福岡市は運営する企業支援サイト「Azia-biz-Fukuoka」について8月10日に、静岡県は県職員互助会運営の「もくせい会館」サイトについて8月12日に、それぞれ不正アクセス被害について公表した。

■榮太樓總本鋪：通販サイトからクレカ情報1188件漏えいの恐れ

　老舗菓子メーカーの榮太樓總本鋪（本社：東京都中央区）は8月4日、運営する通販サイト「あめやえいたろう」が不正アクセスを受け、顧客データが漏えいしたと発表した。同サイトで今年1月6日から5月17日の間にクレジットカードを利用した顧客のうち1188件のデータ（カード番号・有効期限・氏名、住所、電話番号、メールアドレス）が漏えいした可能性がある。
　5月17日にカード決済代行会社より連絡があり、事態が発覚。調査を依頼した専門機関から最終報告を受けたのは7月5日で、警察等への届け出、カード会社との連携準備などにより公表までに時間がかかったという。同社は該当顧客すべてに封書で連絡するとともに（8月4日より順次投函）、問い合わせ窓口のフリーダイヤルを設置した。同社から顧客への連絡は封書の郵送とホームページでの告知に限定しており、同社を名乗る不審なメールや電話に注意するよう呼びかけている。
＜関連URL＞
・不正アクセスによるお客様情報の一部漏えいに関するお知らせとお詫び（榮太樓總本鋪http://www.ameyaeitaro.com/releace160804

■一番食品：通販サイトから最大479件のクレカ情報漏えいの恐れ

　老舗食品メーカーの一番食品（本社：福岡県飯塚市）は8月16日、通販サイトの運営を委託しているシステム会社のWebサーバーが不正アクセスを受け、顧客データが漏えいしたと発表した。同サイトで今年1月5日から6月22日の間にクレジットカードを利用したすべての顧客・最大479件のカード会員データ（氏名、会員番号、有効期限、住所）、および電話番号、メールアドレスが漏えいした可能性がある。
　6月22日に決済代行会社より連絡があり、事態が発覚。調査を依頼した専門機関から7月27日に最終報告を受けた。その後、決済代行会社・カード会社との連絡協議、所轄警察署・官庁への報告などを経て公表に至ったという。同社は該当顧客すべてに案内を郵送しており（8月18日投函）、フリーダイヤルとメールでの対応も開始した。
＜関連URL＞
・不正アクセスによるカード情報流出に関するお知らせとお詫び（一番食品）
http://ichiban-foods.jp/info/?page_id=9630

■道立総合研究機構：サポート終了「XP」使用PCがウイルス感染、情報漏えい

　農林水産業や工業・環境・建築など広範な分野で調査研究を行う地方独立行政法人の北海道立総合研究機構（主事務所：札幌市北区）は8月16日、パソコン1台がウイルスに感染し、内部サーバー経由で不正アクセスが発生していたと発表した。
　内閣サイバーセキュリティーセンターから8月15日、同機構の環境概要科学研究センターのパソコンがウイルスに感染しているとの連絡があり、事態が発覚。調査により不正アクセスが確認された。直ちに同センターのシステムを遮断し外部ネットワークから切り離した後、同機構内の全てのパソコン等のウイルスチェックを実施した。
　不正アクセスが確認されたパソコンは音響用データ分析用の1台で、8月5日から13日までの間、外部との不正通信が行われていた。流出データの内容は不明だが、パソコン内にあったデータは音響データや使用していた職員の出張計画のみで、その他の個人情報や機密情報は入っていなかったという。北海道新聞によると、当該パソコンはサポート期間が終了した「Windows XP」を更新しないままインターネットに接続していたといい、ウイルス感染に無防備な状態だった。同機構は今後、研修等を通じて情報セキュリティの向上を図り、再発防止に努めていくとしている。
＜関連URL＞
・北海道立総合研究機構に対する不正アクセスについて[PDF](北海道立総合研究機構)
http://www.hro.or.jp/info_headquarters/domin/pdf/280816press.pdf

■エフエム愛知、福岡市起業支援サイト、静岡県職員施設

それぞれの経緯や被害内容の詳細は、次の公開文書を参照していただきたい。

・＠ＦＭ（FM AICHI）ホームページへの不正アクセスによる個人情報流出の可能性に関する概要（エフエム愛知）
http://fma.co.jp/f/cam/info/
・ウェブサイト「Asia-biz Fukuoka」の脆弱性を利用した公開ウェブサーバ内非公開ファイルへの第三者による不正アクセスについて（福岡市）
http://www.city.fukuoka.lg.jp/data/open/cnt/3/54488/1/websaitehenofuseiakusesunituite.pdf
・ホームページの不正な改ざんについて（もくせい会館）
http://mokuseikaikan.jp/cat-topics/%e3%83%9b%e3%83%bc%e3%83%a0%e3%83%9a%e3%83%bc%e3%82%b8%e3%81%ae%e4%b8%8d%e6%ad%a3%e3%81%aa%e6%94%b9%e3%81%96%e3%82%93%e3%81%ab%e3%81%a4%e3%81%84%e3%81%a6/

（2016/08/19 ネットセキュリティニュース）

◆子どもと保護者対象に、ネットに潜む危険をゲームやアニメ、ラップで学ぶ「夏休み特集」（2016/08/15）

　パソコンを利用する上で知っておきたいセキュリティの情報を集めたポータルサイト「ここからセキュリティ！」で、夏休み特集ページ「ネットの世界に潜む危険な誘惑に負けるな！」が公開されている。

　「ここからセキュリティ！」は、警察庁、総務省、経済産業省をはじめとする官公庁と、セキュリティ業界団体や民間企業のコンテンツを紹介するサイト。コンピューターウイルス、不正アクセス、ワンクリック請求への対策や、被害にあってしまった時の対処法など、役立つ情報が集約されている。

　夏休み特集ページは、自由な時間がたくさんあることからついインターネットを使う時間が長くなりがちな子どもたちと、その保護者が対象。「ゲームをするときの注意」「SNS・コミュニティサイトの注意」「ケータイ・スマホの注意」「パスワードについて」の4つのカテゴリーに分けて情報をまとめてある。

　読み物だけでなく、クイズ、ゲーム、動画を使ったコンテンツも紹介されている。遠い宇宙の先にあるネットワーク星雲に住む「キッズ・パトロール」のメンバーといっしょに、アニメやゲームを通じてセキュリティについて学べるコンテンツや、軽い気持ちでSNSにアルバイト先での悪ふざけ写真を投稿してしまった女子高生を描くドラマ仕立ての動画もある。

　ネット上でクレジットカードを利用する際の注意事項をラップにのせた、日本クレジットカード協会公開の動画「ID・パスワードラップ～使いまわしは絶対ダメ！～」は、一般の方にも視聴をおすすめしたい。

　夏休みも残り少なくなってきたが、子どもたちと一緒に保護者の方も、これらのコンテンツを有効に活用して、安全に楽しくインターネットに触れていただきたい。

（2016/08/15 ネットセキュリティニュース）

【関連URL】
・ここからセキュリティ 夏休み特集
http://www.ipa.go.jp/security/kokokara/study/index.html

◆「STOP!!パスワード使い回し!!キャンペーン2016」実施中（JPCERT/CC）（2016/08/15）

　「パスワードリスト攻撃」による不正ログインの被害が後を絶たないことを受け、JPCERTコーディネーションセンター（JPCERT/CC）はパスワードを使い回さないよう呼びかけるキャンペーンを今月1日に開始、31日まで実施する。

　パスワードリスト攻撃とは、悪意のある者が何らかの方法で入手したID/パスワードのリストを使って不正ログインを試行し、有効な組み合わせを探す攻撃方法。複数のインターネットサービスで同じID/パスワードを使い回していると、どれか1つのサービスからこれらが流出した場合、他のサービスにも不正にログインされてしまうおそれがある。その結果、不正送金などの金銭的な被害にあう、SNSのアカウントを乗っ取られる、オンライン上に保存していたデータを盗み見られといった被害にあうおそれがある。

■不正ログインの被害を防ぐために～基本的な対策

　不正ログインによる被害を防ぐための基本的な対策として、JPCERT/CCは、同じパスワードを使い回さないことと、複雑なパスワードを作ることを呼びかけている。

　パスワードを複雑なものにするためには、利用できるすべての文字種（大小英字、数字、記号）を組み合わせること、十分な長さ（8文字以上）であること、名前、生年月日や、数字などの単純な文字の並びではないこと、この3つの条件を満たすようにする。

　サービスごとに異なる複雑なパスワードを設定するとなると、覚えておくことが困難になる。そのため、ID/パスワードを適切に管理する方法として、以下が挙げられている。

・IDとパスワードを別の紙に分けてメモし、人目に触れにくい、鍵をかけられる場所に別々に保管する。
・IDとパスワードを別々の電子ファイルで、パスワードを設定して保存する。パスワード付きの電子ファイルは、表計算ソフト（Excelなど）やテキスト編集ソフト（Wordまど）を使って記録、参照できる。
・信頼できるパスワード管理ツールを使用する。多くの場合、ツールを起動するためのパスワードを覚えてさえいればよく、サービスごとに異なる複雑なパスワードを容易に管理できる。

■さらに安全を高める対策と不正ログインに気づいたときの対処法

　インターネットサービスによっては、不正なログインを防止したり、発見したりするのに役立つセキュリティ機能が提供されていることがある。JPCERT/CCは、さらに安全を高めるための対策として、ワンタイムパスワードなど2段階認証機能の活用と、ログイン履歴確認機能やログインアラート機能の活用を呼びかけている。

　万が一、不正ログインされていることに気づいたときの対策としては、インターネットサービスのヘルプデスクに相談すること、同じID/パスワードを他のサービスで使い回していないか確認すること、他のサービスでも不正なログインが行われていないかを確認することが挙げられている。

　なお、パスワードの設定と管理については、下記の関連トピックスでも詳しく解説している。ぜひ役立てていただきたい。

（2016/08/15 ネットセキュリティニュース）

【関連URL：JPCERT/CC】
・STOP!!パスワード使い回し!!キャンペーン2016
https://www.jpcert.or.jp/pr/2016/pr160003.html
https://www.jpcert.or.jp/pr/2016/pr160003_detail.html

◆マイクロソフト、8月度の月例セキュリティパッチを公開（2016/08/10）

　マイクロソフトは10日、8月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。公開されたパッチは、深刻度が4段階評価で最も高い「緊急」5件と、次に高い「重要」4件の計9件。Windows、Windows Server、Internet Explorer、Edge、Office製品、Skype for Business/Lync、Live Meeting 2007 Consoleが影響を受ける。

【更新プログラムの内容】
＜緊急＞
・[MS16-095]Internet Explorer：リモートコード実行の脆弱性
・[MS16-096]Edge：リモートコード実行の脆弱性
・[MS16-097]Graphicsコンポーネント：リモートコード実行の脆弱性
・[MS16-099]Office：リモートコード実行の脆弱性
・[MS16-102]Windows PDFライブラリ：リモートコード実行の脆弱性

＜重要＞
・[MS16-098]Windowsカーネルモードドライバー：特権昇格の脆弱性
・[MS16-100]セキュアブート：セキュリティ機能バイパスの脆弱性
・[MS16-101]Windows認証方式：特権昇格の脆弱性
・[MS16-103]ActiveSyncProvider：情報漏えいの脆弱性

　このほか、新たに「Win32/Neobar」と「Win32/Rovnix」に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開された。

（2016/08/10 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セーフティとセキュリティセンター
https://www.microsoft.com/ja-jp/security/default.aspx
・2016年8月のセキュリティ情報の概要
https://technet.microsoft.com/ja-jp/library/security/ms16-aug

◆夏休み中や長期旅行の前後などに気をつけたいセキュリティ対策（IPA）（2016/08/09）

　IPA（情報処理推進機構）は4日、「夏休みにおける情報セキュリティに関する注意喚起」を発表した。「組織のシステム管理者」「組織の利用者」「家庭の利用者」それぞれに対策を呼び掛けている。ここでは家庭のインターネット利用者が気をつけたいセキュリティのポイントをご紹介したい。

■長期休暇中の対策

　長期休暇の時期は、友人や家族と旅行に出かける等、いつもとは違う状況でインターネットを利用することもあると思われる。この時期に留意してほしい対策としてIPAは、「行楽等の外出前や外出先でのSNS投稿に注意」「SNSのやりとりによるトラブルに注意」の2点をあげている。

・旅行計画の書き込み、写真の位置情報やプライバシー侵害に注意

　SNSで旅行の計画を書き込んだ場合、内容によっては、家を長い間留守にすることを多くの人に知らせる結果になってしまうので注意が必要だ。また、出先で撮影した写真をSNSに投稿する場合は、写真に記録される位置情報に注意を払いたい。一緒に写っている人がいる場合は、事前に投稿の許可を得よう。SNSに写真を投稿する際に気を付けたいことの詳細については、下記の関連記事をご覧いただきたい。

・SNSの知人から勧められたアプリで性的脅迫被害にあうケースも

　休暇中には時間に余裕があるため、インターネットを利用する機会が増えるという方もいるだろう。SNSで、楽しくやり取りできる友人がみつかるかもしれない。SNSの利用をめぐっては、知り合った人物から言葉巧みに不正なアプリのインストールを持ちかけられ、「セクストーション（性的脅迫）」を受けたという被害が発生している。第三者に見られたら困るプライベートな写真や動画を撮影させたり、そのデータを送ったりしてはいけない。こちらも詳細については関連記事をご覧いただきたい。

■長期休暇明けの対策

　休暇中にOS（オペレーティングシステム）や各種ソフトウェアの修正プログラムが公開されている場合があるため、休暇明けには修正プログラムの有無を確認し、必要な修正プログラムを適用しよう。

　また、長期休暇中に電源を切っていたパソコンは、セキュリティソフトの定義ファイル（パターンファイル）が古い状態のままになっている。電子メールの送受信やウェブサイトの閲覧等を行う前に、定義ファイルを更新して最新の状態にしよう。

■日常における情報セキュリティ対策

　情報セキュリティ対策をおろそかにしてしまうと、ウイルスに感染してシステムに問題が発生したり、不正アクセスによって情報が流出したりといった被害が発生する可能性がある。IPAは、こうした事態を防ぐために日常的に実施すべき対策として、以下の7点を挙げている。時間に余裕がある長期休暇中は、下記の対策がしっかりできているかどうかを点検するいい機会だ。関連URLからそれぞれについての解説を参照していただきたい。

（1）修正プログラムの適用
（2）セキュリティソフトの導入および定義ファイルの最新化
（3）定期的なバックアップの実施
（4）パスワードの適切な設定と管理
（5）メールやSNSでの不審なファイルやURLに注意
（6）スマートデバイスのアプリ導入時の注意
（7）スマートフォン等の画面ロック機能の設定

（2016/08/09 ネットセキュリティニュース）

【関連URL：IPA】
・夏休みにおける情報セキュリティに関する注意喚起
https://www.ipa.go.jp/security/topics/alert280804.html
・長期休暇における情報セキュリティ対策
https://www.ipa.go.jp/security/measures/vacation.html
・日常における情報セキュリティ対策
https://www.ipa.go.jp/security/measures/everyday.html

 

◆SNS等で見かける「荷受代行」「荷物転送」バイト募集に注意－金銭被害や犯罪関与の恐れ（2016/08/08）

　「自宅に届く荷物を指定の場所に転送するだけで3000円がもらえる」というアルバイトに応募するために運転免許証や健康保険証のコピーを送ったら、知らないうちに自分の名義で携帯電話が契約されていた――こうした事案が発生しており、国民生活センターや、日本インターネットプロバイダー協会、テレコムサービス協会MVNO委員会などが注意を呼びかけている。

　各所の注意喚起によると、アルバイト募集を行った何者かが、応募者が送った身分証明書の画像や個人情報を使って、格安スマートフォンなどを提供する事業者（MVNO）のホームページから、SIMカードやスマートフォン端末を契約しているとみられる。

　アルバイト応募者のもとには、こうして契約されたと思われるSIMカードやスマートフォン端末の入った荷物が携帯電話事業者（MVNO）から届く。アルバイト応募者は「届いた荷物は開封せずに、指定の場所へコンビニから着払いで送るように」と指示されているため、自分名義で契約されたSIMや端末だと気づかないまま、これを転送してしまう。その後に報酬が実際に振り込まれるので、荷物の受け取りと転送を何度も行い、複数の携帯電話事業者と何件も契約を結んたことになっている人もいるようだ。

■子持ち主婦、学生などが標的に－－多額の請求や犯罪に巻き込まれる恐れ

　国民生活センターに寄せられた相談によると、このアルバイトに応募したきっかけは、SNSで友達から紹介された、あるいは、いいアルバイトがあるという投稿を見たなど。現在もそうした投稿を確認できるが、副業とタグがつけられ、子供が小さくてもできる、学生でもOK、いっしょに稼ぎましょうなどと誘っている。

　日本インターネットプロバイダー協会とテレコムサービス協会MVNO委員会によると、アルバイト応募者が自分で申し込みを行っていなくても、提供された身分証明書の名義により契約が結ばれてしまうと、名義人（アルバイト応募者）が契約者とみなされる。自分名義の契約のスマートフォン端末がたとえばオレオレ詐欺のような犯罪に使われると、警察の捜査の対象となる可能性がある。またスマートフォン端末を無断で譲渡すると、携帯電話不正利用防止法に基づき2年以下の懲役若しくは300万円以下の罰金に処せられる可能性もある。

　さらに、携帯電話事業者からは端末代金、携帯電話利用料、解約の場合の違約金等が名義人である契約者（アルバイト応募者）に請求される。それらの支払いがされない場合は民事訴訟で訴えられるほか、携帯電話会社が作る不払者情報データベースに契約者の個人情報が登録されることとなり、今後どこの携帯電話会社とも携帯電話の契約ができなくなるおそれがある。このほか、応募者名義でクレジットカードが作られ、悪用されてしまう場合もあるという。

　国民生活センターは、こうした「荷受代行」「荷物転送」アルバイトは絶対にしないように、また、運転免許証や健康保険証、銀行等口座などの個人情報を安易に伝えないようにと呼びかけている。すでにこのアルバイトを始めてしまっている場合は、早急にお住まいの地域の消費生活センターや警察に相談することをおすすめする。

（2016/08/08 ネットセキュリティニュース）

【関連URL】
・「荷受代行」・「荷物転送」アルバイトにご注意！（速報）（国民生活センター）
http://www.kokusen.go.jp/news/data/n-20160722_1.html
・報告書本文[PDF]（国民生活センター）
http://www.kokusen.go.jp/pdf/n-20160722_1.pdf
・「荷受代行」・「荷物転送」アルバイトにご注意ください。（日本インターネットプロバイダー協会）
https://www.jaipa.or.jp/topics/2016/08/post-3.php
・「荷受代行」・「荷物転送」アルバイトにご注意ください。（テレコムサービス協会MVNO委員会）
http://www.telesa.or.jp/committee/mvno_new/rel20160805_01
・「荷受代行」・「荷物転送」アルバイトにご注意ください（国民生活センターより注意喚起）（朝日ネット）
http://asahi-net.jp/support/news/160727.html
・「荷受代行」・「荷物転送」アルバイトに関するご注意（インターネットイニシアティブ）
https://www.iijmio.jp/info/iij/20160805-1.html
・「荷受代行」・「荷物転送」アルバイト紹介にご注意ください（Webしずおか）
http://www.wbs.ne.jp/list/news/20160727.htm
・「荷受代行」・「荷物転送」アルバイト紹介にご注意ください（OCN）
http://www.ocn.ne.jp/info/announce/2016/08/02_1.html
・「荷受代行」・「荷物転送」アルバイト紹介にご注意ください（九州通信ネットワーク）
http://www.bbiq.jp/info/0804/
・「荷受代行」・「荷物転送」アルバイトにご注意！国民生活センターより注意喚起（ソニーネットワークコミュニケーションズ）
http://www.so-net.ne.jp/info/2016/op20160726_0034.html
・【注意喚起】「荷受代行」・「荷物転送」アルバイト紹介にご注意ください（TOKAIコミュニケーションズ）
http://info.t-com.ne.jp/2016/07/27/caution_160727.html
・【重要】SNSを通じた「荷受代行」・「荷物転送」アルバイト紹介にご注意ください（ビッグローブ/BIGLOBEカスタマーサポート）
http://support.biglobe.ne.jp/news/news506.html
・「荷受代行」・「荷物転送」アルバイト紹介にご注意ください（ぷらら）
http://www.plala.or.jp/support/info/2016/0804/
・「荷受代行」・「荷物転送」アルバイトにご注意ください！（UQコミュニケーションズ）
http://www.uqwimax.jp/information/201607284.html

 

◆アップル、モバイル端末用OSの最新版「iOS 9.3.4」公開（2016/08/05）

　アップルは5日、モバイル端末用OSの最新版「iOS 9.3.4」を公開した。対象となるのは、iPhone 4s以降、Pad 2以降、iPad mini、iPod touch第5世代以降。

　最新版では、画面表示用のメモリーを管理する「IOMobileFramebuffer」で、メモリー破壊が発生する問題1件が修正されている。悪用されるとシステム権限で任意のコードが実行されるおそれがあり、同社はすべてのユーザーにアップデートを推奨している。

　修正された脆弱性は、端末の制限を解除する「脱獄ツール」に使われていたものと見られており、悪質なアプリがインストールされるなどの深刻な事態が憂慮される。iOS端末ユーザーは、直ちに最新版に更新していただきたい。

　最新版への更新は、端末の「設定」アイコンから「一般」→「ソフトウェア・アップデート」と進むか、端末をパソコンに接続し、iTunes経由で行う。

（2016/08/05 ネットセキュリティニュース）

【関連URL：アップル】
・About the security content of iOS 9.3.4
https://support.apple.com/ja-jp/HT207026

◆グーグル、脆弱性を修正した「Google Chrome 52.0.2743.116」公開（2016/08/04）

　グーグルは4日、深刻な脆弱性を修正した「Google Chrome」の安定板「52.0.2743.116」を公開した。対象となるのは、Windows、MacおよびLinux。

　最新版では、10件の脆弱性が修正されている。修正された脆弱性には、アドレスバーが偽装される問題やコード実行のおそれのあるメモリーがらみの問題など、危険度の高い脆弱性が含まれている。

　最新版への更新は自動的に行われるほか、メニューの[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。Mac版はChromeメニューから、Windows版は右端の≡アイコン→[ヘルプ]と進むと選択できる。最新版はブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

（2016/08/04 ネットセキュリティニュース）

【関連URL】
Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2016/08/stable-channel-update-for-desktop.htm

◆モジラ、深刻な脆弱性を修正した「Firefox 48」公開（2016/08/03）

　モジラは3日、Webブラウザ「Firefox」の最新版「48.0」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「45.3」も公開されている。

　最新版では、Firefoxのマルチプロセス化（一部ユーザーのみ）やダウンロード保護機能の拡張などの新機能、機能強化に加え、計23件の脆弱性が修正されている。修正された脆弱性の重要度は、4段階評価で最も高い「最高」が3件、次に高い「高」7件、「中」11件、「低」2件。悪用されると任意のコードが実行されるおそれのある、メモリーがらみの危険な脆弱性の修正が含まれている。

　ESR 45.3では、48.0と共通の「最高」3件、「高」6件、「中」4件の計13件の脆弱性が修正されている。ESR版で修正された脆弱性は、同じエンジンを使用するメールソフトThunderbirdにも影響があり、準備が整い次第「45.3」が公開される予定だ。

　それぞれの最新版は自動更新機能を通じて配布されているほか、今すぐ手動で更新することもできる。
　デスクトップ版Firefoxの手動更新は、Windowsではメニューボタン「≡」をクリック→下段のヘルプボタン「？」をクリック→表示された[ヘルプ]メニューの[Firefoxについて]を選択する。または、[Alt]キーを押してメニューバーを表示し、[ヘルプ]メニューの[Firefoxについて]を選択する。OS Xでは、Firefoxメニューの[Firefoxについて]を選択する。
　Android版は、メニューから[設定]→[Mozilla]→[Firefoxについて]→[更新を確認]の順にタップする。または、「Google Play」の「マイアプリ」で、「インストール済みのアプリ」を表示する。
　自動や手動で更新した最新版は、ブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意されたい。

　なお、本バージョンからOS X 10.6（Snow Leopard）、OS X 10.7（Lion）、OS X 10.8（Mountain Lion）がサポート対象外になった。アップデートは行われないので速やかに使用を中止し、OS X 10.9 (Mavericks)以降にアップグレードすることをお勧めする。Mountain Lion以前のOS Xは、アップルのセキュリティアップデートも行われておらず、同社のWebブラウザ「Safari」や「Google　Chrome」などのサポートも打ち切られている。

（2016/08/03 ネットセキュリティニュース）

【関連URL：モジラ】
＜Firefox 48.0＞
・リリースノート（デスクトップ版）
https://www.mozilla.jp/firefox/48.0/releasenotes/
・リリースノート（Android版）
https://www.mozilla.jp/firefox/android/48.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html
＜Firefox ESR 45.3.0＞
https://www.mozilla.jp/firefox/45.3.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefoxESR.html

◆7月の国内フィッシング事情――ライフカード、アマゾン、グーグル、アップル、各社のメールアカウント（2016/08/03）

　実在する企業やサービスを装ったメールやSMSで偽のWebサイトに誘導し、アカウント情報やクレジットカード情報などをだまし取ろうとするフィッシングが、7月も繰り返し行われた。

　フィッシング対策協議会の7月の月次報告によると、協議会に寄せられたフィッシング報告件数 (海外含む) は439件（前月比64件増）。ユニークなURL件数は252件（前月比7件増）、悪用されたブランド件数 (海外含む) は20件（前月比1件増）だったという。7月の特徴として、ライフカードの「Ｖプリカ」と、国内の大学をかたるフィッシングサイトの報告をあげている。

　筆者が観測した7月の特徴は、オンラインバンキングのアカウントを狙うフィッシングが前月に続き停止状態を続ける一方、このグループが仕掛けるオンラインゲームのアカウントを狙うフィッシングは、相変わらずほぼ毎日、休むことなく繰り返された。連日行われていたのは、「スクウェア・エニックス」をかたるフィッシングだが、ほかに「ガンホー」と「ハンゲーム」を装うものが数回行われた。特筆されるのは、このグループが「Ｖプリカ」を新たなターゲットに加えた点だ。ほかには、SMSで誘導するアマゾンのフィッシングと、メールで誘導するアップルのフィッシングが頻発しており、SMSで誘導するグーグルのフィッシングも見つかった。いずれもクレジットカードを狙うフィッシングだ。

■ライフカードを装うフィッシング

　ライフカードの「Ｖプリカ」は、インターネット上でVisaのクレジットカードと同じように使えるプリペイドカードのこと。この会員サイト「Myページ」のログインページを模した偽サイトに誘導する攻撃が、2回観測された。同じグループが連日繰り返すスクウェア・エニックスのフィッシングと違い単発だが、偽サイトは8月2日現在も稼働しており、再誘導の可能性があるので注意したい。Myページは、決済時に必要なカード情報の確認や、一時的に利用できないようにする「セキュリティロック」の設定／解除が行えるので、騙されると購入済のＶプリカが勝手に使われてしまうかもしれない。

　「【Ｖプリカ】のお知らせ」という件名でばらまかれたＶプリカのフィッシングメールには、オンラインゲームのフィッシングでもよく使われる、他社のサービスで会員情報が流出したので本人確認を行うという内容のものが、そのまま使用されていた。誘導先の偽サイトには、オンラインゲームの偽サイトと同様「,usa.cc」ドメインを使用しており、偽のログインページには、本物のログインページがほぼそのまま使われている。ログインすると、ログイン情報を本物の認証に投げる点も同じなので、油断していると騙されたことに全く気が付かないかもしれない。実際には、ログインボタンを押した瞬間に裏で入力情報を抜き取っており、前月登場した「ガンホーゲームズ」の偽サイトと同じ作りになっている。

■アマゾンを装うフィッシング

　アマゾンを装うフィッシングは、今年4月頃から行われている「第三者による不正アクセスを検知したため、パスワードを見直し、お支払方法の再登録をお願いします (URL)」という内容のSMSを送り、本物そっくりの偽のトップページへと誘導する。フィッシング対策協議会では、今年2月にメールを使ってアマゾンの偽のログインページに誘導するフィッシングの緊急情報を出しているが、それとは別物で、こちらの緊急情報は今のところ出ていない。

　このフィッシングでは、偽のトップページからログインページに進ませ、パスワードの変更やクレジットカード番号の入力を求める。すべて入力してしまうと、アマゾンは、パスワードとカード番号があれば本人とみなし、全ての操作が行えるようになる。

　アマゾンのフィッシングは、7月に頻繁に観測されており、先週から今週にかけては連日行われている。8月2日現在、偽サイトは稼働しており、騙されて実害が発生しているケースもあるようなので、SMSにはくれぐれも注意していただきたい。偽物は、「amozon」や「amaozon」などの微妙な名前を使用しており、ログインページなどに本物にあるはずの錠前マークがない。

■グーグルを装うフィッシング

　グーグルを装うフィッシングもまた、世界的には毎日行われているが、日本人を狙った日本語のものは珍しい。特に今回のようなSMSで誘導するタイプは、初めてかもしれない。送られてくるSMSは、「GoogleよりGoogleplayアカウントのお支払方法登録のお願いです。詳細はURLをクリック（URL）」という内容で、ログインなしで「Google Play」のロゴを配したクレジットカードの登録ページに誘導される。同社のサービスでは、支払い情報の登録は必須ではなく、支払う際にその都度入力することができる。保存した支払い情報は、「Googleペイメント」で一括管理されるため、Google Playストアなどの個々のサービス別の支払い情報の登録はない。URLが同社の公式サイトに使われている「google.com」とは無関係のものだったり、表示されるはずの錠前マークが表示されなかったりと、偽物を見破るポイントをチェックしさえすれば、騙されることはないだろう。

■アップルを装うフィッシング

　アップルストアを装うフィッシングは、「あなたのApple IDがロックされます」などの件名で届く日本語メールと、「Your Apple ID has been suspended」という件名で届く英文メールがあり、偽のログインページ（サインインページ）にログインさせ、住所や氏名などの個人情報とクレジットカード情報を騙し取ろうとする。

　アップルのフィッシングは、連日大量に行われている。多くは海外のものだが、一部に日本語化されたメールや偽サイトを使用する、国内向けのものがある。7月は、前掲のフィッシングメールで誘導する日本人向け偽サイトがリニューアルされ、より本物らしくなったので注意したい。偽物は紛らわしいURLを使用しているが、ランダムな英数字が並ぶ意味不明なドメイン名を使用しており、本物にあるはずの錠前マークと運営者名（Apple Inc.）がアドレスバーに表示されない。これも、偽物を見破るポイントをチェックしさえすれば、騙されることはないだろう。

■各社のメールアカウントを狙うフィッシング

　7月もまた、「OCN」や「NIFTY」などのプロバイダ各社のWebメールのアカウントを狙うフィッシングがネット上で報告された。フィッシング対策協議会がいう「国内の大学をかたるフィッシングサイト」については不明だが、電気通信大学からはメールの隔離通知を装ったフィッシングメールが報告されている。

　メールアカウントを狙うフィッシングでは、「あなたのアカウントは一時的にロックされています」などの件名で届く偽サイトに誘導するタイプのほかに、メールに返信させるタイプがしばしば報告されている。下記関連URLにあるOCNの注意喚起に実際の文面が記載されているが、同様のものが他社からも度々報告されている。ドメイン名やサービス名を、それぞれのユーザーのメールアドレスに合わせて変えたものが、ユーザーのメールアドレス宛てに届くので、騙されて返信しないよう注意していただきたい。メールアドレスの確認と称し、プロバイダがパスワードを尋ねることなどあり得ない。

（2016/08/03 ネットセキュリティニュース）

【関連URL】
・2016/07 フィッシング報告状況（フィッシング対策協議会）
https://www.antiphishing.jp/report/monthly/201607.html
・弊社を装うEメールにご注意ください！（ライフカード）
http://vpc.lifecard.co.jp/news/20160720.html
・Ｖプリカ (Visa プリペイドカード) をかたるフィッシング (2016/07/21)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/lifecard_20160721.html
・OCNを騙る不審なメールにご注意ください（OCN）
http://www.ocn.ne.jp/info/announce/2016/07/19_1.html
・@niftyからのメールをかたる不審なメールとフィッシングサイトについて（ニフティ）
http://support.nifty.com/cs/suptopics/detail/160711478938/1.htm
・メールの隔離通知を装った詐欺メールに関する注意（電気通信大学）
https://www.cc.uec.ac.jp/blogs/news/2016/07/20160721phisingmail.html

◆「フィッシング詐欺」「ネットバンキング不正送金」ガイドライン改訂版を公開（2016/08/02）

　フィッシング対策協議会は7月28日、「利用者向けフィッシング詐欺対策ガイドライン」および「インターネットバンキングの不正送金被害にあわないためのガイドライン」それぞれの改訂版を公開した。

■「利用者向けフィッシング詐欺」対策ガイドライン

　改訂版では、「フィッシング対策 3つの心得」として、全世界共通のサイバーセキュリティキャンペーン「STOP.THINK.CONNECT.」を紹介。STOP（立ち止まって理解する）、THINK（何が起こるか考える）という言葉の意味を説明し、危険を理解して十分な対策をとれば、CONNECT（安心してインターネットを楽しむ）が可能になるとしている。
　今すぐできるフィッシング対策として、「怪しいメールに注意する」「正しいURL にアクセスする」「パソコンを安全に保つ」「正しいアプリを使う」を挙げ、それぞれの方法を詳説。予防対策だけでなく、間違えてID/パスワードなどの重要情報を入力してしまった場合、どこに連絡や相談をすればいいかもまとめた。付録には、5件のフィッシング事例（クレジットカード、銀行、オンラインゲーム、SNS、プロバイダ）について、偽メールや偽サイトの実例を示しながら紹介している。

■「ネットバンキングの不正送金被害」対策ガイドライン

　警察庁発表では、インターネットバンキング利用者の情報を盗み、その口座から不正送金する事件が急増。2012年には64件・約4800万円だった被害額が、2015年には1495件・約30億7300万円にまで増大した。従来のフィッシング詐欺の手法でID/パスワード等の情報を盗み取るほか、利用者のパソコンをウイルス(マルウェア) に感染させて、不正送金に必要な情報を盗み取る手口も多発している。
　ガイドラインでは、不正送金防止のための「2つの鉄則」として、「第二認証情報 (乱数表・ワンタイムパスワードなど) の入力は慎重に行う」「インターネット利用機器を最新の状態に保つ」を挙げる。第二認証情報については、ワンタイムパスワードの方式にスマートフォンのアプリ利用が可能になったことを追記し、利用機器については「パソコン編」と「スマホ・タブレット編」に分けて解説している。
　怪しいメールを受信して不安になったとき等は、チェックリスト「金融機関からのメールを受け取った場合」「取引のある金融機関のWebサイトにアクセスする場合」を活用しよう。「パソコン・スマホを安全に保つ」ためのチェックリストも確認しておきたい。

（2016/08/02 ネットセキュリティニュース）

【関連URL：フィッシング対策協議会】
・資料公開: 利用者向けフィッシング詐欺対策ガイドラインの改訂について
https://www.antiphishing.jp/report/guideline/consumer_guideline2016.html
・利用者向けフィッシング詐欺対策ガイドライン[PDF]
http://www.antiphishing.jp/report/pdf/consumer_antiphishing_guideline.pdf
・資料公開: インターネットバンキングの不正送金被害にあわないためのガイドラインの改訂について
https://www.antiphishing.jp/report/guideline/internetbanking_guideline2016.html
・インターネットバンキングの不正送金被害にあわないためのガイドライン[PDF]
https://www.antiphishing.jp/report/pdf/internetbanking_guideline.pdf