ネットセキュリティニュース

◆Winny情報流出：富士宮信金で手形情報1万件以上/姫路南郵便局/岡山県警（2006/03/06）

　Winny（ウィニー）のウイルス感染による重要情報の流出が続いている。２日には信用金庫から、手形決済処理に関するデータ１万件以上の大規模な流出が報告された。

■富士宮信用金庫：協力会社社員の私有PCが感染、顧客情報1万3,619名分流出
　富士宮信用金庫(本店: 静岡県富士宮市)は２日、同金庫が手形管理システムの開発および保守業務を委託している日本電気(本社: 東京都港区)とNECソフト(本社:東京都江東区)の協力会社社員が個人で所有するパソコンから、手形決済処理に関するデータが流出したと発表した。同社員は同データをNECソフトから無断で持ち出し、私有パソコンに保存していたという。流出した資料は2003年10月時点の1万3,619件分の法人および個人の顧客情報で、法人の名称や個人の氏名、金融機関コードや支店コード、口座番号、手形金額が記載されていた。情報が流出した手形の決済はすでに完了しており、現時点で情報が不正に利用されたという事実は確認されていないという。また、流出した情報では資金移動はできないため、今後被害が発生する可能性は低いとしている。３社は共同で「富士宮信金・NEC情報事故共同対策本部」を設置、金融機関および個人からの本件に関する問い合わせを受け付けている。
・お客様情報の漏洩に関するお詫びとお知らせ（富士宮信用金庫）
http://www.miyashin.co.jp/topics/060302.htm
・お客様情報の流出について（日本電気）
http://www.nec.co.jp/press/ja/0603/0205.html
・お客様情報の流出について（NECソフト）
http://www.necsoft.co.jp/press/2006/060302.html

■ 姫路南郵便局：局員の私有PCが感染、簡易保険の顧客情報など流出
　日本郵政公社は３日、姫路南郵便局（兵庫県姫路市）局員の私有パソコンから簡易保険の顧客情報などがWinnyを通じてインターネット上に流出したと発表した。流出したのは2003年から2004年６月ごろにかけて同局員が自宅のパソコンで作成した資料で、同局の訪問先企業リストや簡易保険に関する書類など法人38社分が記載されていたという。このほか、職員75人分などの個人別営業成績表も流出していた。内閣官房情報セキュリティセンターから同近畿支社への通報で発覚した。
・日本郵政公社
http://www.japanpost.jp/

■岡山県警倉敷署：巡査長の私有PCが感染、1,500人分の捜査資料が流出
　岡山県警は３日、同県警倉敷署刑事１課の巡査長の私有パソコンから約1,500人分の個人情報を含む捜査資料が流出したと発表した。流出した資料は同巡査長が1999年９月頃から2002年10月頃までに作成したもので、倉敷署のほかに同巡査長が以前勤務していた新見署の情報も含まれるという。犯罪被害者の住所や氏名などの個人情報や、窃盗事件の捜査情報、また国会議員の後援会名簿の流出も確認されている。２日、外部からの通報で流出が発覚した。同巡査長は2002年10月ごろ、公務に使用していたパソコンが故障したため、資料を個人のパソコンに保存。同パソコンで今年１月頃からWinnyを使用したところウイルスに感染し、同年２月末頃にデータが流出したと見られる。県警では2004年６月から私用パソコンによるWinnyの使用を禁止しており、同巡査部長については内部規定違反と見て処分を検討している。
・岡山県警察
http://www.pref.okayama.jp/kenkei/kenkei.htm

（2006/03/06 ネットセキュリティニュース）

◆アップル：複数脆弱性を修正した「Mac OS X」セキュリティアップデート公開（2006/03/03）

　アップルコンピュータは1日、13コンポーネント20項目の脆弱性を修正したMac OS Xのセキュリティアップデート「Security Update 2006-001」を公開した。対象となるのは「Mac OS X 10.3.9」のサーバー版およびクライアント版と、PowerPC版およびIntel版の「Mac OS X 10.4.5」。それぞれのパッケージが用意され、同社のダウンロードサイトやMac OS Xの「ソフトウェアアップデート」経由で入手できる。

　今回のアップデートでは、ブラウザの「safari」やメールソフトの「Mail」が細工されたシェルスクリプトを確認なしに実行してしまう問題への対策も含まれており、警告メッセージを表示するよう改善されている。ただし、ZIPアーカイブに仕込まれたメタデータの処理に起因する本質的な問題（<a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0848" target="_blank">CVE-2006-0848</a>）は未修正のままなので、安全性の確認ができないZIPファイルを開く場合には引き続き注意が必要だ。

　そのほかにも、先ごろ実証コードが公開された、「passwd」コマンドによってroot権限でファイルの作成や操作が行える脆弱性の修正。「Mac OS Xを狙うウイルス出現」で話題となった「Leap.A」に対処するための、インスタントメッセンジャー「iChat」のセキュリティ強化策なども含まれている。

（2006/03/03 ネットセキュリティニュース）

■About Security Update 2006-001（Apple）
http://docs.info.apple.com/article.html?artnum=303382-ja
■Security Update 2006-001
・10.4.5 (PPC)
http://www.apple.com/jp/ftp-info/reference/securityupdate2006001macosx1045ppc.html
・10.4.5 Client (Intel)
http://www.apple.com/jp/ftp-info/reference/securityupdate2006001macosx1045clientintel.html
・10.3.9 Client
http://www.apple.com/jp/ftp-info/reference/securityupdate20060011039client.html
・10.3.9 Server
http://www.apple.com/jp/ftp-info/reference/securityupdate20060011039server.html

■セキュリティ関連ニュース
・Mac OS Xに極めて深刻な未修正の脆弱性（2006/02/22）

◆マイクロソフト:IE6の仕様変更を含む更新プログラムでアドバイザリ公開（2006/03/03）

　マイクロソフトは１日、Windows XP Service Pack（SP）2およびWindows Server 2003 SP1上のInternet Explorer（IE）6用のセキュリティ以外の更新プログラムをリリース。同更新プログラムに関するセキュリティアドバイザリ (912945)を公開した。
　リリースされた更新プログラムは、２月の月例パッチとして２月15日に公開されたIEの累積更新プログラム（MS06-004）とは別のもので、「IE6のActiveX更新プログラム」というセキュリティ以外の更新プログラムが新たに追加。ActiveXコントロールを使用する一部のWebページをIEで処理する方法に、若干の変更が加えられているとしている。

　サポート技術情報などによると、今回の変更は「APPLET」「EMBED」「OBJECT」要素を使ってWebページに埋め込んだActiveXコントロールが、自動的に有効にはならないように処理が変更されており、一部のWebページでは、マウスクリックなどの操作により、ユーザーが明示的にActiveXコントロールを有効にしなければならなくなるという。サポート技術情報では、対象となるActiveXコントロールを使用するプログラム例として、「Adobe Reader」「Apple QuickTime Player」「Macromedia Flash」「Microsoft Windows Media Player」「Real Networks RealPlayer」「Sun Java Virtual Machine」を挙げている。

　マイクロソフトは、ActiveXコントロールの自動起動をめぐり、米Eolas Technologiesから特許権侵害の訴訟を受け敗訴。裁判は現在も係争中だが、同社はこの問題を回避するため昨年末からIEの仕様変更をアナウンスしていた。

（2006/03/03 ネットセキュリティニュース）

■マイクロソフト セキュリティ アドバイザリ (912945) Internet Explorer 用のセキュリティ以外の更新プログラム（マイクロソフト）
http://www.microsoft.com/japan/technet/security/advisory/912945.mspx
■セキュリティ アドバイザリ
http://www.microsoft.com/japan/technet/security/advisory/

◆Winny情報流出：モスバーガー NTT東西 個人情報保護支援会社 宮城の小学校（2006/03/02）

　Winny（ウィニー）のウイルス感染によって、公官庁から機密情報や重要情報の流出が次々に伝えられる一方で、企業などからの個人情報流出も相変わらず後を絶たない。

■モスバーガーの顧客情報など279名分が流出
　ファーストフードのモスバーガーを運営するモスフードサービス（本社：東京都新宿区）は1日、Winnyウイルスに感染した社員の私有パソコンから、顧客と従業員の個人情報が流出していたと発表した。
　流出したのは、モスバーガー所沢東口店の顧客176名、藤野パーキングエリア店の顧客58名、東所沢店と津久井三ヶ木店のパート・アルバイト36名の個人情報で、住所、氏名、電話番号、メールアドレス等が含まれていた。同社では、私有パソコンの業務利用を禁止していたなかでの情報流出であり、再度従業員の注意を促す文書を全店に通達したという。
・お客様情報および従業員情報の流出に関するお詫びとお知らせ[PDF]（モスフードサービス）
http://www.mos.co.jp/company/pr_pdf/pr_060301.pdf

■NTT東西の顧客情報など1,625件流出
　NTT東日本とNTT西日本は2月24日、NTT東日本栃木支店（栃木県宇都宮市）が業務を委託している子会社「NTT東日本－栃木」（本社：栃木県宇都宮市）の社員の自宅パソコンから、NTT東西の顧客および社員の個人情報を含む業務関連ファイルが、Winnyネットワーク上に流出していたと発表した。
　流出したのは、NTT東日本の個人ユーザー807名と法人ユーザー589社（うち6社はNTT東西共通）の顧客情報、およびNTT東日本225名とNTT西日本4名の社員情報。顧客情報には、氏名（会社名）、住所、電話番号等が、社員情報には氏名、所属組織、電話番号、メールアドレス等が含まれていた。NTT東西では、業務関連ファイルの社外への持ち出しを禁止していたなかでの情報流出であり、「業務関連情報を自宅等社外に持ち出さない」「自宅パソコンにおいてもWinnyを使用しない｣等を再度、全社員に周知徹底するとしている。
・お客様情報及び社員情報の流出に関するお詫びとお知らせ（NTT東日本）
http://www.ntt-east.co.jp/release/0602/060224.html
・お客様情報及び社員情報の流出に関するお詫びとお知らせ（NTT西日本）
http://www.ntt-west.co.jp/news/0602/060224.html
・お客様情報及び社員情報の流出に関するお詫びとお知らせ（NTT東日本：栃木支店）
http://www.ntt-east.co.jp/tochigi/news/naiyou/2006_02_25/

■個人情報保護支援会社から55名の社員情報流出
　プライバシーマーク取得支援コンサルティングなども手がけるシステムインテグレータ「さくらケーシーエス」（本社：神戸市中央区）の社員の自宅パソコンから、協力会社など55名の社員情報が流出していたことがわかった。
　2月10日付けの同社リリースによると、流出したのはシステム開発・運営等のための事業協力会社６社の技術者名簿30名分と、同社の技術者名簿25名分で、2月1日に流出したことが判明したという。同社は、「個人パソコンの業務使用厳禁」「個人パソコンへの業務データの保存厳禁」を徹底して実施するとしている。<br
・弊社社員が所有するパソコンのウィルス感染による情報漏洩について[PDF]（さくらケーシーエス）
http://www.kcs.co.jp/ir/report/pdf/info(h18.2.10).pdf

■宮城の小学校で児童702名の名簿流出
　2月28日、鹿島台町立鹿島台小学校（宮城県鹿島台町）の児童ら約700名の名簿などがWinnyネットワーク上に流出していたと、河北新報をはじめとする複数の報道機関がいっせいに伝えた。
　流出したのは2003年度の全校児童614名と2003年3月の卒業生88名の名簿などで、名簿には住所、氏名、生年月日、電話番号、父母や兄弟の名前などが含まれていた。報道によると、同校教諭が2003年春に持ち帰り、自宅のパソコンに保存していたデータが、今年になって流出したものだという。同校によれば、文部科学省からの連絡で2月13日に流出の事実を確認。24日に児童や保護者らに事情説明して謝罪したという。
・鹿島台町 教育委員会
http://www.town.kashimadai.miyagi.jp/z_kyouiku/index.htm

（2006/03/02 ネットセキュリティニュース）

◆Winny情報流出：防衛庁が緊急対策を発表（2006/03/02）

　Winny（ウィニー）のウイルス感染で海上自衛隊の秘文書などが大量に流出し、大きな問題となっているなか、防衛庁は2月24日、「秘密電子計算機情報流出等再発防止に係る抜本的対策に関する検討会」を開催した。
　私有パソコンからのデータ流出を防止するための緊急対策として、職務で使用する私有パソコンから「ファイル共有ソフトの削除」「秘密の情報・必要のないデータの削除」「秘密の情報の取扱い全面禁止」の実施を取り決めた。

　斎藤隆海上幕僚長は同月28日の記者会見で、問題となった護衛艦「あさゆき」の通信員以外にも、複数の海自隊員のパソコンから情報が流出していることを明らかにし陳謝。しかし、その後も陸上自衛隊や航空自衛隊からと思われる複数の情報流出がWinnyネットワーク上で確認されており、自衛隊の情報流出問題は、まだまだ波紋を広げそうだ。

（2006/03/02 ネットセキュリティニュース）

■海上自衛隊の秘密情報流出事案への対応について（防衛庁・自衛隊）
http://www.jda.go.jp/j/news/2006/02/0224.htm

【セキュリティ関連ニュース】
・Winny情報流出：海上自衛隊 東京地裁 宮崎地検 名古屋市消防局 栃木県警（2006/02/24）

◆レコード会社21社、音楽ファイルの不正交換でISPに38名の情報開示請求（2006/03/01）

　日本レコード協会（RIAJ、東京都港区）は2月23日、ファイル交換ソフトを利用してインターネット上で音楽ファイルを不正に公開し著作隣接権を侵害されたとして、同協会会員レコード会社など21社がプロバイダ（ISP）11社に対し、該当者38名について発信者情報開示請求を行ったと発表した。

　同協会では、音楽ファイルの不正交換を行っているユーザーに対し2004年3月から、インスタントメッセージを利用して注意を呼びかける通知を開始し、これまでに1,000万通を超える通知を送付。同年11月から12月にかけて3度にわたり、ISP 13社に対し44名の発信者情報の開示を請求した。開示された発信者のうち7名と、1人平均45万円の損害賠償金の支払いによる合意に至っているという。

　プロバイダ責任制限法（特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律）では、インターネットなどの情報流通によって権利を侵害された場合に、被害者がISPに対し送信停止求めたり、発信者の氏名や住所などの情報開示を求めることができる。今回の請求は同法に基づくもので、開示請求を受けたISPは今後、請求者の主張内容および当該ユーザーからの意見聴取によって、発信者情報を開示するか否かを判断することになる。

（2006/03/01 ネットセキュリティニュース）

■ファイル交換ソフトを利用した音楽ファイル不正アップロードユーザー44名の発信者情報開示請求（日本レコード協会）
http://www.riaj.or.jp/release/2006/pr060223.html
■日本レコード協会
http://www.riaj.or.jp/
■プロバイダ責任制限法対応事業者協議会
http://www.isplaw.jp/