日本国内の正規サイトを次々に改ざんし、ウイルスに感染させるための不正なSCRIPTタグを埋め込んで行った攻撃が、海外を中心に猛威をふるっている。米セキュリティベンダーWebsenseは22日（現地時間）、大規模攻撃で英国の政府機関や国連のサイトにもJavaScriptが仕掛けられたと伝えた。
今回の攻撃もこれまでと同様、サーバーアプリケーションの脆弱性を突くSQLインジェクション攻撃によって、不正なJavaScriptを実行させるためのSCRIPTタグを正規サイトに埋め込んだものとみられる。中国でホスティングされている攻撃サーバーは、これまでにも幾度かドメイン名やサーバーが変更されているが、今回も新たなドメイン名を取得しての攻撃。当該ドメインは4月11日に取得され、20日前後に大規模な攻撃が行われたらしい。
改ざんされたサイトは、欧州や北米を中心とした海外のサーバーがほとんどだが、一部には現地法人の日本語サイトや「日本臓器移植ネットワーク」のような国内のサーバーも被害にあっている。
仕掛けられた不正なJavaScriptが実行されると、攻撃サイトや他のサーバーに置いた別のJavaScriptを次々と実行し、脆弱性攻撃を仕掛ける。編集部で確認できた範囲では、いずれも既知の脆弱性を悪用したものなので、修正パッチを適用していれば回避できるはずだが、設置されたファイルの内容が日々更新されているようで予断は許さない。未修正だったり、新たに未知の脆弱性攻撃が加わると、オンラインゲームのパスワードを盗み取るスパイウェアなどがインストールされてしまう。OSやブラウザ、使用しているプラグインなどを最新の状態にするとともに、ウイルス対策ソフトの定義ファイルも忘れずに更新しておいていただきたい。
（2008/4/24 ネットセキュリティニュース）
■Mass Attack JavaScript injection - UN and UK Government websites compromised（Websense Security Labs）
http://securitylabs.websense.com/content/Alerts/3070.aspx