「ネットセキュリティニュース」執筆グループが選んだ2009年のセキュリティ関連10大ニュースをお届けする。本通信でもっとも注目されたのは通称「Gumblar」の大暴れ。一般のWebサイトが次々に改ざんされ、被害者が続出した。クレジットカード情報の大量流出はネット社会の無防備さを見せつけた。ネット犯罪では、P2Pを使った違法配信や児童ポルノ関連で摘発が相次ぎ、逸脱したネットの書き込みにも警察が動いた。
<INDEX>
【1】 Gumblar大暴れ～正規サイト改ざん
【2】 SQLインジェクションによる正規サイト改ざん～年末年始狙い激増
【3】 止まらないWinny/Shareを介した情報流出～IPA職員からも
【4】 P2Pを使った違法配信の摘発相次ぐ～生徒情報から映画、ゲームまで
【5】 Yahoo! Japanかたるフィッシングが多発
【6】 不正アクセスによるカード情報漏えい事件が相次ぐ
【7】 児童ポルノ摘発相次ぐ～自分の裸売る女子高生や子の裸売る親たちも
【8】 ネットの書き込みで書類送検や処分…噂を信じ込み脅迫や誹謗中傷行為
【9】 AutoRun悪用するウイルスが猛威、Confickerもパワーアップ
【10】 「改正著作権法」成立と著作権違反摘発
<本文>
【1】Gumblar大暴れ～正規サイト改ざん
一般のWebサイトを改ざんし、閲覧者をウイルスに感染させるための攻撃サイトに誘導しようとする新手の攻撃が、4～5月に発生した。通称「Gumblar」と呼ばれるこの攻撃は、ウイルスに感染したパソコンからWebサイト更新用のFTPアカウントを盗み取り、ユーザーが管理するWebサイトを改ざん。閲覧者にウイルス感染を広げ、さらなる改ざんサイトを生み出して行くというやり方で勢力を広げ、国内でも被害者が続出する事態となった。 5月末の攻撃サイト閉鎖とともに、いったんは終息したGumblarだったが、10月には新たなシステムで活動を再開。秋からの攻撃では、「gumblar.cn」のような特定の攻撃サイトは置かず、攻撃サイトもアカウントを盗み取った一般のWebサイトを使用。数千の攻撃サイトと、そこに誘導する数万の改ざんサイトという、一般サイトを使った大規模な構成で被害を拡大した。
（ 関連記事1）
■Gumblar再襲来(1) 国内サイトも多数改ざん～以前の改ざんサイトが再改ざん
（掲載：2009/10/26）
【2】SQLインジェクションによる正規サイト改ざん～年末年始狙い激増
Webサーバの脆弱性を突くSQLインジェクションという手法を使ったサイト改ざん攻撃が、昨春から国内でも多発。年末から年明けにかけては、それまでの数100倍という凄まじい数の攻撃が集中し、著名な企業やサービス、自治体など、多数の正規サイトが改ざん被害を受けた。改ざんされたページには、中国や韓国のサーバに置いた不正なJavaScriptを実行するSCRIPTタグが埋め込まれ、ブラウザやプラグインなどの脆弱性を突いて、閲覧者のパソコンをウイルスに感染させようとする。Webサーバの脆弱性が招いた、まさかのウイルス感染は、不審なサイトと信頼できるサイトの境界線を、すっかり取り払ってしまった。
（ 関連記事2）
■SQLインジェクション攻撃の爪あと～深い傷を負った「改ざんサイト」その後
（掲載：2009/01/27）
【3】止まらないWinny/Shareを介した情報流出～IPA職員からも
ウイルス感染によるファイル共有ソフト経由の情報流出が、今年も相次いで発生した。年明け早々の1月5日には、情報セキュリティ対策の啓蒙活動を行い、ファイル共有ソフトを介した情報流出にも注意を呼びかけてきた情報処理推進機構（IPA）が、職員の私有パソコンからShareを介して業務情報などが流出したと発表。同じ1月には、環境省の健康調査に協力した小学生の個人情報や、同人誌即売会の申込者数万人分の個人情報の流出が表面化した。その後も、小学校教諭や中学校教諭が作成した児童生徒と保護者の個人情報を含むファイル、患者情報、かんぽ生命保険の加入者情報などが流出している。盗撮画像が流出して逮捕に至ったケースもあった。
（ 関連記事3）
■[P2P流出]:IPAが職員を停職3か月に
（掲載：2009/01/20）
【4】P2Pを使った違法配信の摘発相次ぐ～生徒情報から映画、ゲームまで
7月末、神奈川県立高校の生徒情報約11万人分がWinnyを介して流出した事件で、流出ファイルの一部をShareに再放流したとして東京都八王子市の無職の男が逮捕された。容疑は個人情報の流出を問うものではなく著作権法違反。男が公開した流出ファイルには約2000名分の個人情報と共に日本IBMの著作物が含まれており、それを理由としての逮捕となった。8月には、Shareネットワーク上にハリーポッターの最新作を公開した川口市の男、邦画を公開した堺市の男が逮捕された。注目を集めたShare違法配信の一斉摘発は11月30日から翌12月1日にかけて行われ、10都道府県で11人が逮捕された。違法配信されたのは映画、音楽、アニメ、ゲームソフトなど。容疑者間に横のつながりはなかったが、個別に摘発し報道されると証拠隠滅のおそれがあるため、都道府県警察が連携しての一斉逮捕となった。
（ 関連記事4）
■Share違法配信を一斉摘発、10都道府県で11人逮捕へ
（掲載：2009/12/01）
読者の中にも、「Yahoo! Auctionsよりご案内です」「Yahoo!カスタマーセンターより重要なお知らせ」などとして、個人情報を入力させようとするメールを受け取ったことがある方がいらっしゃるだろう。2009年の特に5月以降、Yahoo! Japanをかたるフィッシングが多発した。「会員情報の更新が必要」だの、「アカウントの継続手続きが必要」だのといった嘘の情報を書いたメールを送りつけ、Yahoo! Japanの偽サイトに誘導し、個人情報を入力させてだまし取ろうとしているのだ。Yahoo! Japanでは、「会員情報の更新」や「アカウントの継続手続き」というものは存在しない。こうした内容のメールは無視するに限る。
（ 関連記事5）
■Yahoo! JAPANのフィッシング、今月も大量発生中～釣られないためには
（掲載：2009/11/24）
不正アクセスによるクレジットカード情報漏えいが次々発覚した。外資系生命保険大手のアリコジャパンは7月、顧客情報最大11万件が流出した可能性があると発表。9月には1万8184名の流出者を特定し、1万円分の商品券を送るなどして謝罪したが、その後の精査で新たに1万4175件の流出を確認。不正アクセスされたファイルには約46万件のカード情報が含まれていたことから、流出がさらに拡大する可能性も指摘されている。8月には大手芸能プロダクションのアミューズが運営する通販サイトで顧客のカード情報が流出したことが明らかになった。ファンクラブの管理業務などを受託する会社の管理サーバーが不正アクセスを受けて会員情報が流出したもので、チャゲアスや湘南乃風の公式サイトなども被害にあい、流出が確認されたカード情報は計3万8203件にのぼる。9月には三菱商事の子会社のデジタルダイレクトが運営する通販サイトからクレジットカード情報約5万2000件が流出。いずれも情報流出の発覚は、クレジットカード会社からの照会だった。
（ 関連記事6）
■アリコジャパン、新たに1万4175件の情報流出が判明～今後も増加する可能性
（掲載：2009/11/12）
【7】児童ポルノ摘発相次ぐ～自らの裸売る女子高生や子の裸売る親たちも
ファイル交換ソフトを利用して児童ポルノを閲覧可能な状態にしたり、交換したりしていた男たちが「児童買春・児童ポルノ禁止法」違反容疑で逮捕される事件が全国各地で相次いだ。児童ポルノを製造し、ネットオークションや掲示板を通じて販売したケースも少なくない。ところが、そうした販売目的の中には、手軽に金を得る手段として、自分の裸を撮影して売る女子高生がいたばかりか、実の妹の裸を男に撮影させた姉や、娘の裸を売り物にする親がいたのだ。デジタル時代のネット社会では、ポルノ画像が1回でも、あるいは1枚でもネット上に流出すると、完全に削除することは難しく、流通範囲が果てしなく広がるため、被害や影響が子どもの成長後にも続く。わずかな金と引き換えに自分の裸を売った女子高生や幼い子を売り物にした家族は、そうした事後の悪影響には思いが及ばなかったのか。警察庁などが取り組んでいる対策が奏効するには、児童ポルノは性的虐待であり深い傷を残す犯罪であることを、社会全体で認識することが必要と思われる。
（ 関連記事7）
■児童ポルノ(1) 摘発相次ぐ～幼児の裸売る親、自らの裸売る女子高生も
（掲載：2009/10/07）
【8】ネットの書き込みで書類送検や処分～噂を信じ込み脅迫や誹謗中傷行為
2月、お笑いタレントのスマイリーキクチさんのブログに、殺害予告ととれる書き込みをした女が脅迫容疑で書類送検された。同じ件で3月には、脅迫や名誉棄損の容疑で6人が書類送検されている。書き込みをしていたのは、キクチさんが殺人事件の犯人グループのひとりだという、10年も前からネット上でくすぶり続けてきた噂を信じ込んだ人々。6月には、京都教育大学の学生6名が集団準強姦容疑で逮捕された件に関して、伝聞情報や個人の憶測をもとに被害者を中傷したり加害者を擁護するような書き込みを行ったとして、6つの大学が学生を処分または指導した。他人を傷つける不確かな情報を流す人と、そうした噂を無防備に信じてしまい暴走する人。うかつな行動のツケは大きかった。
（ 関連記事8）
■タレントのブログに殺害予告や中傷コメント～脅迫や名誉棄損で19人を摘発
（掲載：2009/02/09）
【9】AutoRun悪用するウイルスが猛威、Confickerもパワーアップ
メディアを挿入するだけで自動的に演奏を開始したり、プログラムを自動実行するWindowsのAutoRun機能。これを悪用し、USBメモリーなどを介して感染を広げるウイルスが、今年も猛威をふるった。前年に引き続き、市販のUSB製品に混入するケースも報告されているほか、Windowsの脆弱性を悪用しネットワーク経由で感染を広げるワームConficker（Downadup）も、昨年末にAutoRunを悪用する機能を実装。年明けからは、自宅の感染パソコンからUSBメモリー経由で持ち込まれたとみられるConfickerが、自治体や病院などのLAN内で感染を広げ、業務に支障が生じる事態が多発した。ウイルス感染の防止対策のひとつとして、IPAなどがAutoRun機能の無効化を呼びかける中、マイクロソフトは8月、Windows XP/VistaのAutoRun機能を制限し、CD/DVDドライブ以外は無効にするプログラムを公開。秋にリリースされたWindows 7では、この制限されたAutoRunが標準となった。
（ 関連記事9）
■マイクロソフト、WindowsのAutoRun機能を制限する更新プログラムを公開
（掲載：2009/08/27）
改正著作権法が今年6月12日に参議院本会議で可決・成立、来年1月1日から施行される。施行後は、ネットで違法に配信されている音楽や映像を、違法と知りつつ録音・録画することが禁止される（ダウンロード違法化）。この改正法施行を見据えつつ、春から著作権法違反の摘発が相次いだ。4～6月には携帯向けレンタル掲示板「ワンタッチBBS」で音楽を配信した大学生と自営業の男が逮捕され、中高生ら5人が書類送検された。アニメやソフトウェアの海賊版DVDをモバオクやヤフオクで販売したり、日本のTV番組を在外邦人向けに無断配信したりした人たちも逮捕されている。11月には、JASRACが著作権侵害で提訴していた動画投稿サイト「TVブレイク」運営会社に、東京地裁が動画ファイル送信差止めと損害賠償金の支払いを命じる判決を言い渡した。運営会社は同月中に知財高裁へ控訴しており、裁判の行方が注目される。
（ 関連記事10）
■著作権法違反相次ぐ：楽曲配信/記事盗用/海賊版DVD販売/TV番組配信
（掲載：2009/06/02）
（構成/文：現代フォーラム「ネットセキュリティニュース」執筆グループ）