ネットセキュリティニュース

◆非公開個人情報が露呈～ 不二家、TBS捏造問題報告書で４名の氏名丸見えに（2007/04/05）

　洋菓子の不二家（本社：東京都中央区）のHPで公開されたPDFファイル中に、非公開にするはずの個人名４人分が含まれ、操作次第で閲覧可能な状態にあったことが、編集部の調べで３日、わかった。

　当該ファイルは、不二家がケーキの生クリームに消費期限切れの牛乳を使用するなど、品質管理に問題があった不祥事で、同社が社外に設置した「信頼回復対策会議」がまとめた最終報告書の資料の一部。同資料には、TBSが「みのもんた朝ズバッ！」で、不二家問題について「賞味期限が切れたチョコレートを包装し直したり、溶かし直して再利用していた」と、不正確な報道を行ったことに関する公開資料が含まれていた。

　同社は先月30日に開いた記者会見で、この報告書を使用して同局の捏造の疑いを指摘。３日夕方、同報告書を同社のHPに掲載した。このとき作成したPDFファイルで、非公開とするはずの両社の担当者名を他の文字に置き換えず、黒く塗りつぶした。このため、Adobe Readerで操作すると、誰でも塗りつぶしたはずの個人名が閲覧できる状態になっていた。当該ファイルは４日昼ごろ、修正版に差し替えられた。

（2007/04/05 ネットセキュリティニュース）

■第2回「信頼回復対策会議最終報告」記者会見（不二家）
http://www.fujiya-peko.co.jp/release/index34.html

◆非公開個人情報が露呈～ 国交省、ダム建設の意見提出者53名の氏名丸見えに（2007/04/05）

　国土交通省山鳥坂ダム工事事務所は１日、同事務所のホームページ（以下HP）でダム建設の意見提出者53名の氏名が閲覧可能となっていたと発表した。

　先月19日、昨年12月に公告した「山鳥坂ダム環境影響評価準備書」に対して寄せられた意見を掲載したが、30日に同事務所の職員がAdobe Readerで「しおり」のタブを押すと当該氏名が表示できることを発見、当該箇所を削除した。公開から削除まで、同HPには306回の閲覧があったが、これまで苦情等の申し入れはない。

　当該ファイルは、同事務所が意見ごとに意見提出者名をファイル名として作成したワードファイルをもとに、受託業者が同様に意見提出者名をファイル名としたPDFファイルを作成し、フリーソフトで統合して作成した。その際、受託業者は同ソフトが統合したファイル名を取り込んでPDFの「しおり」を自動的に作成する機能をもつことを把握しておらず、同事務所職員もこの機能に気付かなかった。

　同事務所では事態の発覚後、全ページおよび過去５年間に同HPで公表したファイルを確認し、問題がないとした。当該提出者に対しては謝罪状を送付した。今後は、HPの掲示内容について書面確認と試験データによる動作確認を実施するほか、全職員に電子文書ファイルの取り扱いについて周知徹底するとしている。

（2007/04/05 ネットセキュリティニュース）

■環境影響評価準備書に寄せられた意見書の提出者氏名のWEB上での表示について[PDF]（山鳥坂ダム工事事務所）
http://www.skr.mlit.go.jp/yamatosa/kisya/pdf/070403.pdf

◆[Winny]情報流出：紀の川市立中学校、福岡市立小学校、ネットマイル（2007/04/04）

　ファイル共有ソフトWinny（ウィニー）を解した情報流出が続いている。和歌山県紀の川市立中学校からは生徒146人の個人情報が、福岡市立小学校からは生徒159人の個人情報が、ネット関連会社からは会員情報など6,078件が流出した。

■紀の川市立中学校、元非常勤講師の私有PCから生徒146人の個人情報が流出

　和歌山県紀の川市教育委員会は先月31日、同市立粉河中学校に勤務していた元非常勤講師（24歳）の私有パソコンから生徒146人分の個人情報が流出したと発表した。流出情報は2005年度の同校の１年生と２年生の名字や理科の定期試験の点数、成績表など。先月24日、ネット掲示板に粉河中学校の成績表が昨年８月に流出したという書き込みがあり、同市教育委員会が調査したところ、2005年度に同校に勤務した非常勤講師が自宅に保有しているパソコンから流出したことが判明した。同講師は当該データを自宅に持ち帰り私有パソコンに保存していた。県の教育委員会では個人情報データの持ち帰りを内規で禁止していた。市の教育委員会は今後、Winnyの使用と個人情報の持ち出しの禁止を徹底するとしている。
・紀の川市
http://www.city.kinokawa.lg.jp/
・粉河小学校
http://www2.ocn.ne.jp/~ko-sho/gakkou_syoukai.htm

■福岡市立小学校、男性教諭の私有PCから生徒159人の個人情報が流出

　福岡市教育委員会は２日、同市の市立中学校の男性教諭（50歳）の私有パソコンから生徒159人の個人情報が流出したと発表した。流出したのは同校の2006年度卒業生143人の氏名や住所、電話番号、通知表の評点など。ほかに、同教諭が以前に勤務した学校の生徒16人の住所録も含まれている。先月27日に当該情報を含むCD-ROMが文部科学省に送付されて流出が判明した。同教諭は当該データをフロッピーディスク（FD）で持ち帰り、自宅の私有パソコンで作業していた。２年ほど前にWinnyをインストールしていが、市教委は昨年３月に市内の各校にWinnyのインストールを自粛するよう通知していた。
・福岡市教育委員会
http://www.city.fukuoka.jp/kyouiku/

■ネットマイル、Winnyのウイルス感染で会員情報6,078件など流出

　ネット関連事業のネットマイル（東京都千代田区）は２日、元アルバイトの私有パソコンから個人情報を含む企業情報6,078件が流出したと発表した。流出したのは2001年４月から2002年９月までに同社のキャンペーンに参加した会員の個人情報4,093件と、一般顧客の個人情報1,985件。会員の個人情報にはメールアドレスのほか氏名、住所、電話番号、生年月日などが含まれ、一般顧客の個人情報には企業名のほか、所属部署、氏名、メールアドレス、電話番号などが含まれている。元アルバイトは同社に勤務していた2001年４月から2002年９月までの間に、私有パソコンを持ち込み、アルバイト終了後も作業に使用したデータを消去せずに自宅へ持ち帰った。その後、2007年３月18日にこのパソコンがウイルスに感染して当該情報がWinnyネットワーク上に流出した。
　同社では当該顧客に対して個別に連絡すると共に、同社内に専用窓口を設けて問い合わせに対応する。再発防止策として、社内からデータ持ち出しを行っていないことを再確認するほか、アクセス制御やデータ提供基準の見直し、全就労員に対する再教育等を行うとしている。
・情報流出についてのお詫びとお知らせ（ネットマイル）
http://www.netmile.co.jp/pr/cts/service/notice070402.html

（2007/04/04 ネットセキュリティニュース）

◆MSが修正プログラム緊急配布を決定～Windowsアニメーションカーソル脆弱性（2007/04/03）

　マイクロソフトは２日、Windowsのアニメーションカーソルファイル（.ani）に関する脆弱性を修正するプログラムを緊急リリースすると発表した。11日に予定されている月例パッチに先行し、４日未明に配布する。同脆弱性が影響するのはWindows 200/XP/Vista/Server 2003。マイクロソフトでは、この脆弱性の深刻度を、４段階中最高の「緊急」としている。

　同脆弱性は３月末からベンダー各社によって危険性が指摘されていた。Internet Explorer（IE）か、IEのエンジンを使ってHTMLメールを表示するOutlook Expressなどのメールソフトでaniファイルを表示するだけで、自動的に悪意あるコードが実行されてしまう。ネット上には多数の攻撃サイトが発生しており、米国Websenseは公式ブログで先月30日には60、31日には100にも上るサイトで同脆弱性を突く攻撃コードを確認したと発表。さらに、同脆弱性を悪用する攻撃コードを作るためのオンラインツールキットまでネット上に出現したと報告している。

　すでに攻撃コードを迂回するために、脆弱性の発生条件などを実証したコード(PoC)が公開されている。

（2007/04/03 ネットセキュリティニュース）

■マイクロソフト セキュリティ情報の事前通知
http://www.microsoft.com/japan/technet/security/bulletin/advance.mspx
■Latest on security update for Microsoft Security Advisory 935423 [英文]（Welcome to the Microsoft Security Response Center Blog!）
http://blogs.technet.com/msrc/archive/2007/04/01/latest-on-security-update-for-microsoft-security-advisory-935423.aspx
■ANI Zero-Day Event Timeline[英文]（Websense）
http://www.websense.com/securitylabs/blog/blog.php?BlogID=117

【関連記事：ネットセキュリティニュース】
・【ゼロデイ攻撃】Windowsアニメーションカーソルの脆弱性を狙う攻撃が拡大（2007/04/02）
・【ゼロデイ攻撃】Windowsのアニメーションカーソル処理にコード実行の脆弱性（2007/03/30 ）

◆金融機関かたるフィッシング詐欺に警告～みずほ銀、モビット、三井住友銀（2007/04/02）

  フィッシング対策協議会は先月30日、複数の大手金融機関の名前をかたるキャッシング詐欺メールについて複数の報告があったとし、事例をあげて警告した。
　これらの事例はタイトルに「未承諾広告※ 」と付けられていることや、フィッシングメールの配信停止先がフリーメールであることなど、先月27日に報告されたDCキャッシュワンをかたるフィッシング詐欺に手口が似ている。フィッシング対策協議会では、「お金を貸します」と誘うメールを送りつけて保証金などと偽って金銭を騙し取るいわゆる「貸します詐欺」への導入や、個人情報詐取の可能性について注意を喚起している。金融機関各社もホームページで自社との関連を否定し、顧客へ警戒するよう呼びかけている。

■みずほ銀をかたり、個人情報を盗み取るフィッシングサイト

　みずほ銀行（本店：東京都千代田区）をかたり、個人情報を盗み取るフィッシング詐欺が警告されている。「未承諾広告※ 【みずほ銀行の個人向けキャッシング　START　】」というタイトルで偽メールが送りつけられ、低金利のキャッシングローンを勧めて偽サイトへのアクセスを促す。偽サイトは偽の社名「みずほ銀行　インターネット事業部」「みずほダイレクト」と名乗り、２種類の入力フォームから住所や氏名、電話番号などの個人情報を盗み取る仕組みになっていた。みずほ銀行ではホームページに偽業者が使用していた社名や部署名、住所、アドレスを公開して注意を促している。
・みずほ銀行をかたるフィッシング（フィッシング対策協議会）
http://www.antiphishing.jp/db/detail.cgi?id=26
・みずほ銀行：ニセ業者に関するご注意（みずほ銀行）
http://www.mizuhobank.co.jp/info/phishing.html

■モビットをかたり、個人情報を盗み取るフィッシングサイト

　三菱UFJ銀行系のクレジット会社、モビット（本社：東京都新宿区）のサービスを装い、個人情報を盗み取るフィッシングサイトが仕掛けられている。フィッシングメールは「三菱UFJ銀行グループのご融資ご案内」のタイトルで融資を誘うもので、表記URLをクリックすると、モビットのホームページにデザインを似せたフィッシングサイトに誘導される。偽サイトでは、モビットが実施している10秒審査を装ったリンクから、「ご融資限度額シミュレーション」と称する入力画面に誘導し、氏名や生年月日、メールアドレス、年収などといった個人情報を盗み取る仕組みだ。２日午前５時現在、当該フィッシングサイトはまだ設置されている。
・モビットをかたるフィッシング（フィッシング対策協議会）
http://www.antiphishing.jp/db/detail.cgi?id=25
・フィッシング詐欺にご注意ください（モビット）
http://www.mobit.ne.jp/other/info/index.html#fishing

■三井住友銀行をかたり、個人情報を盗み取るフィッシングサイト

　三井住友銀行（本店：東京都千代田区）の略称を思わせる商標をつけた、金融業者などからのフィッシングメールとフィッシングサイトも報告されている。当該メールは「未承諾広告※ 【 SMBCのご融資案内　】」と題し、低い金利やゆとりのある返済のキャッシング情報に見せかけて表示URLをクリックさせ、フィッシングサイトに誘導する。誘導先のサイトの「お申し込み」の部分をクリックすると、氏名や住所、生年月日の他に、必須ではないが他社借入件数や借入金額などもを記入させる入力ページが表示される。三井住友銀では、ホームページでこれまで確認された金融業者と債権業者の名称を公開して同行グループとの関連を否定し、顧客に注意を呼びかけている。
・「三井住友」「三井」「住友」「SMFG」「SMBC」等の商標を無断使用する金融業者・債権回収業者にご注意ください ： 三井住友銀行（三井住友銀行）
http://www.smbc.co.jp/security/attention/index7.html

（2007/04/02 ネットセキュリティニュース）

■【注意喚起】金融機関の名前をかたるキャッシング詐欺メールの増加（フィッシング対策協議会）
http://www.antiphishing.jp/news/000037.html

【関連記事：ネットセキュリティニュース】
・神出鬼没、削除されても蘇る？！ DCキャッシュワンをかたるフィッシングサイト（2007/03/29）

◆【ゼロデイ攻撃】Windowsアニメーションカーソルの脆弱性を狙う攻撃が拡大（2007/04/02）

　マイクロソフトとセキュリティベンダー各社は先月28日に発表されたWindowsのアニメーションカーソルの脆弱性を狙う攻撃サイトの出現について警告した。

　同脆弱性は画像ファイルの一種であるアニメーションカーソル（.ani）ファイルの処理に関する脆弱性で、表示するなどWindowsに処理させるだけで埋め込まれた悪意あるコードを自動的に実行してしまう。たとえば、細工されたウェブサイトをInternet Explorer（IE）で開いたり、細工を施されたメールをプレビューするだけでも、同脆弱性を突いて攻撃されるおそれがある。

　米SANSは、攻撃者が悪意あるコードを埋め込むためにSQLインジェクションを使用して、攻撃者が作成したのではない、ごく一般的な既存サイトに細工したと見られるものが数多く発見されたと報告した。ユーザーはいつも閲覧しているサイトを訪れたつもりで、悪意あるコードを埋め込まれたサイトに、気付かぬうちにアクセスしてしまう危険性がある。さらに、Googleでスクリプトのリファレンスを検索したところ、11万3000件がヒット。同脆弱性を標的にした攻撃が拡大していることが確認された。

　マイクロソフトでは現在この問題を調査中で、セキュリティ更新プログラムの提供を予定しているとしている。パッチが提供されるまでの回避策として、信頼できないウェブサイトにアクセスしないことや、送信元が信頼できるかどうかにかかわらず、電子メールの添付ファイルを安易に開かないことなどを挙げているが、決定的な対策はない。米国のeEyeでは、他の回避手段を利用できるまでの緩和策として非公式なパッチを公開した。

　同脆弱性の影響を受けるのはWindows 200/XP/Vista/Server 2003で、IE6/7が直接影響を受ける。メールを介して攻撃されるおそれもあるため、Outlook ExpressなどのIEのエンジンを使用してHTMLメールを表示するメールソフトも影響を受ける。IE7を保護モードで使用すれば、ウェブサイトを通じた攻撃の危険性は低減される。

（2007/04/02 ネットセキュリティニュース）

■Update on Microsoft Security Advisory 935423 [MSRCTEAM][英文] （Welcome to
the Microsoft Security Response Center Blog!）
http://blogs.technet.com/msrc/archive/2007/03/30/update-on-microsoft-security-advisory-935423.aspx
■マイクロソフト セキュリティ アドバイザリ（935423）
http://www.microsoft.com/japan/technet/security/advisory/935423.mspx
■*ANI exploit code drives INFOCon to Yellow  [英文]（SANS）
http://isc.sans.org/diary.html?storyid=2542
■ANI File Exploit Has Connection With Hacked Super Bowl Site[英文]（マカフィー）
http://www.avertlabs.com/research/blog/?p=237
■Malicious Website / Malicious Code:   Animated Cursor 0-Day Vulnerability
[英文]（Websense）
http://www.websense.com/securitylabs/alerts/alert.php?AlertID=762

【関連記事：ネットセキュリティニュース】
・【ゼロデイ攻撃】Windowsのアニメーションカーソル処理にコード実行の脆弱性（2007/03/30）