「ネットセキュリティニュース」は、インターネットを安全・快適にお楽しみいただけるよう、セキュリティ関連の最新ニュースや対策情報などをお届けしています。今回は、今年7～9月に掲載した記事の中から特に重要なものをピックアップし、まとめてご紹介します。インターネット上で起きているさまざまな危険を知り、トラブルに巻き込まれないようご注意ください。
＜INDEX＞
■宅配便の不在通知を装うSMSが急増
■災害に便乗――不審メールやデマ情報、偽の募金サイト出現
■セクストーション（性的脅迫）詐欺メール頻発――仮想通貨を要求
■不正ログインで金銭被害相次ぐ――SMS認証も突破
■公式アプリストアでスパイウェア騒動
■アップデート情報：利用ソフトウエアを最新状態に
＜以下本文＞
宅配便の不在通知を装う「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。下記よりご確認ください。https://sagawa-○○.com」という内容のSMSが、7月19日頃から急増しました。SMS記載のリンクをタップすると佐川急便の公式サイトそっくりに作られた偽サイトに誘導され、Android端末用の不正なアプリをインストールさせようとします。
標準設定のAndroid端末は、公式ストア以外の場所で配布されているアプリのインストールをブロックするようになっていますが、以前に提供元の不明なアプリのインストールを許可し、そのままになっている場合や、偽サイトの指示に従って操作し、許可してしまった場合には、インストールされてしまいます。ネット上では、インストールしてしまった方から、「不在通知を装うSMSが大量に送信された」「キャリア決済で勝手にiTuneカードが購入された」といった投稿が相次ぎました。
8月に入ると早々に、誘導先の偽サイトがリニューアルし、それまで対象外だったiPhoneを別所にあるフィッシング用の偽サイトへと飛ばすようになりました。そこでは、「アップルから送られた製品はセキュリティ許可の認証が必要」として、携帯電話番号とSMSで届くコードをだまし取ろうとします。指示に従うと、攻撃者のApple IDの支払い方法に自身のキャリア決済が登録され、勝手に使い込まれてしまいます。
宅配便の不在通知を装うSMSは、現在も毎日のようにばらまかれています。くれぐれもだまされないよう、ご注意ください。
図1 宅配便の不在通知を装うSMSと偽サイト：Androidには偽アプリを投下し、iPhoneにはキャリア決済狙いのフィッシングを仕掛ける
<関連記事>
・宅配便の不在通知を装うSMS急増、誘導先でマルウェア感染のおそれ
・止まらない不在通知SMS、不明なアプリのインストールは厳禁
・7-8月の国内フィッシング事情
7月から9月にかけて、豪雨や台風、地震などのさまざまな災害が発生しました。災害の発生時には、情報の受発信に役立つインターネットですが、残念なことにデマの拡散や詐欺行為にも使われてしまいます。
災害などのタイムリーな情報をからめた国内の不審メールは、ほとんどが出会い系サイトのキャンペーンメールです。この手のメールには、暗号のような意味不明なURLが記載されていることが多く、クリックするとたいてい、そのメールの受信者のメールアドレスが分かるようになっています。有効なメールアドレスであることが相手に伝わると、迷惑メールが大量に届くようになるのでご注意ください。
「Yahoo!ネット募金」の偽サイトへと誘導するメールも何度か確認されました。いずれも実際に行われている「平成30年7月豪雨緊急災害支援募金」を模した偽の募金サイトで、クレジットカードでの募金を受け付けるとして、カード情報をだまし取ろうとしていました（7月の偽募金サイトは電子マネーのWebMoneyにも対応）。
図2 偽の募金サイト
<関連記事>
・災害に便乗した不審メールやデマ情報が拡散、偽のネット募金サイトにも注意
・7-8月の国内フィッシング事情
■セクストーション(性的脅迫)詐欺メール頻発――仮想通貨を要求
9月19日頃から、仮想通貨を要求する日本語のセクストーション（性的脅迫）詐欺メールが頻繁にばらまかれるようになりました。同様のメールは、7月頃から海外で出回っていたものです。
日本語メールの件名は、「AVアラート」「あなたの心の安らぎの問題。」「すぐにお読みください！」など十数種類。文面も複数のパターンがあり、「ポルノサイトを閲覧しているあなたの姿を撮影した。」「仮想通貨を送らないと、収集したあなたの連絡先にビデオを送る」などの内容で、550ドルから1000ドル相当を仮想通貨のビットコインで支払うよう要求します。一部の脅迫メールには、過去にどこかで流出したと見られるパスワードを記載したメールもありました。
この手のメールは架空請求詐欺と同様、金銭をだまし取るのが目的です。メールが届いても無視し、絶対に仮想通貨を支払わないようにしてください。脅迫メールは10月に入ってからも続いており、日本語メールの送金先（一部英文メールと共通）には、これまでに1000万円を超えるビットコインが支払われるという残念なことになっています。
図3 日本語で書かれたセクストーション詐欺メール。頻繁にばらまかれ、ビットコインを支払う被害を広げている
<関連記事>
・「仮想通貨を要求する日本語の脅迫メール」出回る、だまされて送金しないよう注意
通販サイトで第三者に勝手に商品を購入され、受け取り先のコンビニの店頭から持ち去られる事件が発生しました。何らかの方法で入手したIDとパスワードのリストを使ってログインを試行し、有効なアカウントに侵入するリスト型攻撃が行われたようです。
また、フィッシングやインストールした偽アプリが原因で、電話料金と一緒に引き落とされるキャリア決済が限度額まで使われてしまうという被害も相次いでいます。
SMSで毎回異なる認証用のコードを送るSMS認証が、スマートフォンに侵入した偽アプリや裏で本物を操作するフィッシングに破られてしまい、「二段階認証」を設定していたのにも関わらず侵入されてしまうケースも多発しています。
破られにくい安全なパスワードを作成し、使い回しを避けてサービスごとに個別に設定しましょう。たとえログイン情報が流出しても、それだけでは侵入されないよう「二段階認証」を設定しましょう。そして何より、だまされて偽アプリをインストールしたり、認証コードを渡したりしないように注意してください。
図4 STOP! パスワード使い回し!キャンペーン2018
<関連記事>
・「不正ログイン」で高額な不正購入や個人情報流出の被害発生――PW守る対策を
・通販サイトで「高額商品略奪」発生、ユーザーにできる自衛策は？
・7-8月の国内フィッシング事情
・本人確認に使われるSMS認証に注意、「なりすまし」被害のおそれ
・「STOP!!パスワード使い回し!!キャンペーン2018」実施中
・不正ログイン防ぐ「二段階認証」の弱点――破られる前に知っておこう
・不正ログイン防ぐ「二段階認証」の弱点(2)――二段階目の認証が破られる3つのケース
8月から9月にかけ、アップルやグーグルの公式アプリサイトで配布されていた複数のアプリが、ユーザーの情報を無断で収集するスパイ行為を行っていたことが発覚しました。
ひとつは、アララ社の「公式QRコードリーダー“Q”」というアプリです。このアプリは、公式のQRコード作成・解析サイト「QR Codeメーカー」で「アクセス解析」付きで作成した特殊なQRコードを読み込むと、読み込み時点の経緯度情報などをサーバーに送信し、そのQRコードの作成者に提供していました。説明では、「位置情報を地図のQRコードの読み取り、作成に使用する」としており、外部に送信して提供するとの説明は一切ありませんでした。アララ社は、取得した情報の提供を中止し、アプリの位置情報使用も止めました。
その直後に、今度はアップルのMac用のアプリストアで、ユーザーのデータを外部に不正に送信するアプリが相次いで見つかり、削除される騒ぎがありました。ひとつは、ジャン・ヨンミン（YONGMING ZHANG）名義で公開されていた「アド・ドクター（Adware Doctor）」で、ブラウザの履歴データなどを盗んで外部に送信しているとの指摘があり、同じ開発者のアドブロック・マスター（AdBlock Master）ともども、公式ストアから姿を消しました。
その直後から、同様の不正な外部送信を行っているアプリとして、トレンドマイクロの複数の製品が槍玉に上がりました。問題があったのは、同社名義で公開されていたドクター・クリーナー（Dr. Cleaner、国内製品名はライトクリーナー LE）、ドクター・クリーナープロ（Dr. Cleaner Pro、国内製品名はライトクリーナー）、ドクター・アンチウイルス（Dr. Antivirus）、ドクター・アンアーカイバ（Dr. Unarchiver）、ドクターバッテリー（Dr. Battery）、デュプリケイトファインダー（Duplicate Finder）の6製品と、ハオ・ウー（Hao Wu）名義で公開されていたオープン・エニー・ファイルズ（Open Any Files: RAR Support）の計7製品で、これらも姿を消しました。
同社は、ユーザーがアドウェアやその他の脅威に遭遇したかを分析するなど、セキュリティの目的および製品やサービスの品質改善のために、アプリをインストールする直前の24時間以内のブラウザ履歴を一度だけ取得していたと説明していますが、セキュリティ製品はドクター・アンチウイルスだけでした。
オープン・エニー・ファイルズは、あらゆるファイルを開くアプリになりすまし、トレンドマイクロのドクター・アンチウイルスの宣伝を行う詐欺的なアプリで、同社は後に、同社のアプリだったことを認め、今後は公開しないとしています。
Macのアプリストアで起きたこの問題は、iPhoneなどのIOS端末用のアプリストアにも飛び火し、両ストアの同社製アプリがすべて配信停止となりました。それから1か月以上経ちますが、今も同社製品の新規インストールやアップデートが行えない状態が続いています。
図5 配信停止を受けたトレンドマイクロの告知
<関連記事>
・細工されたQRコードで「位置情報」流出のおそれ――流出を防ぐスマホの設定法
・アップルの公式ストアでスパイウェア騒動――ユーザーのデータを外部に
システムやブラウザ、プラグインなどのソフトウエアに欠陥が見つかると、各社から修正用のプログラムが配布されます。インターネットを利用するソフトウエアの欠陥は、システムへの侵入やマルウェア感染のような深刻な事態を引き起こしかねないので、遅延なく修正プログラムを適用し、常に最新状態を保つよう注意してください。
以下は、特に攻撃されることの多いソフトウエアに関する、2018年10月24日時点の最新情報です。
○マイクロソフト製品
・マイクロソフト、10月度の月例セキュリティパッチを公開
○アップル製品
・アップル、脆弱（ぜいじゃく）性を修正した「Safari」や「iOS」の最新版を公開
・アップル、脆弱（ぜいじゃく）性の修正を含むMac用新OS「Mojave」公開
・アップル、脆弱（ぜいじゃく）性を修正した「iOS」や「iCloud for Windows」の最新版を公開
○ブラウザ
・モジラ、深刻な脆弱性を修正した「Firefox 63」を公開
・グーグル、深刻な脆弱性の修正を含む「Google Chrome 70」公開
○プラグイン
・アドビ、深刻な脆弱（ぜいじゃく）性を多数修正したAcrobat Readerの最新版公開
・アドビ、脆弱（ぜいじゃく）性に対処した「Flash Player」の最新版公開
・オラクル、脆弱性を修正した「JRE 8 Update 191」公開
（文責：現代フォーラム/編集部）