ネットセキュリティニュース

◆預金保険機構、関西の一金融機関の全預金者情報を含むCD1枚を紛失（2009/11/30）

  預金保険機構（東京事務所：東京都千代田区）は27日、個人情報数十万件を含むコンパクトディスク（CD）1枚を紛失したと発表した。

　同機構は銀行や信用金庫など全国の民間金融機関について一定期間ごとに検査を実施している。今回紛失したCDにはその検査用に作成した預金者データが収録されており、関西地方の一金融機関の全預金者情報にあたる数十万件の個人情報が入っていたという。情報内容は預金者名（法人含む）、生年月日、電話番号、住所、預金残高など。

　発表によると、今月2日、検査担当者が同機構の検査企画課の管理担当者に当該CDを渡し、保管を依頼。17日に作業に必要なため管理担当者にCDの返却を求めたところ、保管していたはずの金庫内に見当たらなかった。

【誤って廃棄した可能性】
　検査担当者が管理担当者に保管を依頼したのは、CD2枚とフロッピーディスク（FD）2枚で、預金者情報が入っていたのはそのうちのCD1枚。もう1枚のCDは空で、FD2枚にはテストデータ等のみで個人情報は入っていない。
　内部調査の結果、管理担当者が確かに金庫に入れたかどうか明確ではなく、保管前に不要データ等に紛れて廃棄物を入れるBOXに入れられ、業者に処分された可能性が高いという。業者は週に1度の頻度でBOXの内容物を回収しており、2日から14日の間には2回の回収があった。そのうち1回は当該CD等が混入していないことを確認しているが、もう1回については紛失の発覚以前で、すでに廃棄処分された後だった。

　現在まで情報流出は確認されておらず、また個人情報はパスワードで保護されているため、CDが万一外部の人間の手に渡っても、情報が流出し悪用される可能性は低いとしている。

　同機構は26日に当該金融機関に事情を説明し、お詫びをしている。金融機関名は悪影響を懸念して公表されていない。預金者にも連絡は行われないという。

　同機構は、個人情報を含むCD等の授受の確認や管理が不十分だったとして、本件発覚後は管理の一元化をはかり、CD等の手渡しを禁止するなどの措置を講じている。また今後、すみやかに対策委員会（コンプライアンス委員会）を開催し、発生原因の究明と再発防止策の検討を行うとしている。

（2009/11/30 ネットセキュリティニュース）

■預金保険機構が保有する個人情報の所在不明について（預金機構）
http://www.dic.go.jp/new/2009/2009.11.27.html

◆P2Pユーザー狙う新型ウイルス「Kenzero」～1日で1500人がさらし者になる騒動（2009/11/30）

  ファイル共有ソフトで入手したアダルトゲームを実行すると、デスクトップのスクリーンショットなどがネット上に公開されてしまうという被害が26日に続出。ネット掲示板などではこの日、被害者や野次馬らが入り乱れた大騒動が終日続いた。

　新型のウイルス（トロイの木馬）は、ファイル共有ソフトからダウンロードしたアダルトゲームのセットアッププログラム（setup.exe）に仕掛けられており、実行するとデスクトップの画面を画像に保存し外部のサーバーに送信してしまう。

　セットアップの過程で入力した氏名やメールアドレス、会社名、電話番号、住所などの個人情報や、パソコンのシステム情報、クリップボードの内容なども送信し、これら盗み取った情報を「P2Pの違法利用撲滅」などと称したWebサイトに、誰でも閲覧できる形で掲載。ブラウザが自動的に開いたページに、自分の個人情報やデスクトップ画像が掲載されていることに気付いた時には、もう後の祭りという極悪な仕掛けだ。

　当該サイトへの掲載は26日夕方から始り、サイトが閉鎖された27日未明までの間に約1500人がさらし者になっていた。サイトには削除依頼用のフォームが用意されており、削除を依頼しようとすると、氏名やメールアドレス、住所、電話番号などの入力を求め、「プロフィール含むデータの削除や変更には1件あたり3千円を支払う」などの条項を盛り込んだ利用規約に同意させようとしていた。

　シマンテックは27日、ポルノゲームに仕掛けられた個人情報を盗み出すトロイの木馬「Infostealer.Kenzero」が、ファイル共有ソフトShareなどで出回っていると同社の公式ブログで警告。他社も「Kenzero」などのウイルス名で順次、対応を進めているようだ。

（2009/11/30 ネットセキュリティニュース）

■Illegal games Pay the price - publicly![英文]（Symantec）
http://www.symantec.com/connect/blogs/illegal-games-pay-price-publicly
■Infostealer.Kenzero[英文]（Symantec）
http://www.symantec.com/business/security_response/writeup.jsp?docid=2009-112708-3058-99

◆「自殺対策白書」公表～「硫化水素自殺」激増で問われる報道とネットの責任（2009/11/27）

  政府は17日、国内における自殺の概要や政府が講じた自殺対策の実施状況をまとめ、政府が国会に提出する年次報告書、「自殺対策白書」の2009年版を閣議決定し公表した。

　白書によると、昨年1年間の自殺者数は、3万2249人（警察庁の自殺統計）。前年に比べると844人（2.6％）減少してたものの、自殺者が急増した1998年以降、連続して3万人を超える状態が続いている。1998年は、特に中高年の男性の増加が際立っており、近年は減少方向にあるものの依然として高い割合を占めている。同年以降、減少に転じた学生や生徒の自殺は、2003年から再び増加傾向を示しており、昨年は前年比11.3％増の972人と過去最多を記録した。

　インターネットがらみの自殺は、これまでの集団自殺の呼びかけや自殺予告などに加え、昨年は、ネットの書き込みを模倣したと見られる硫化水素自殺が多数発生し、大きな社会問題となった。警察庁の自殺統計によると、昨年の硫化水素による自殺者数は、前年の29人から1056人へと激増している。

　インターネットで広まったとマスコミが盛んに報じていた硫化水素自殺だが、内閣府では、急速な広まりは硫化水素自殺の情報が報道を通じて広く知られるようになったのが要因と見て、報道との関わりを調査。自殺者数の増加と新聞やテレビ報道の露出度が比例していたとの結論に至った。

　この調査では、硫化水素自殺とネットとの関わりについては実施していないので、当編集部が当時調査した内容と突き合わせて、少しフォローしておきたい。

　編集部の調査は昨年4月、自殺報道がピークを迎えようとしていた頃に行ったもの。「詳細はWebで」とあおっているかのような報道が、自殺志願者たちをかき立てているのではないかという結論を得ていたが、当時の状況下では、事実関係の洗い出しが負の情報提供になりかねないと判断。記事にししないまま、お蔵入りしていた。

【硫化水素自殺を煽ったネットと報道、負のコラボレーション】

　硫化水素自殺の要因とみられるネットの書き込みの原型は、2006年にネット掲示板「2ちゃんねる」に立てられた「硫化水素で逝こう」のスレッドに見ることができる。社会的な影響はおろか、ネット上に広がる様子もまだ見られなかった頃のことだ。

　翌2007年には、その後延々と続くことになる「硫化水素による自殺」のスレッドが始まり、その年の暮れに「練炭自殺に代わる新しい自殺方法が開発されました」のスレッドが登場。自殺を誘引するようなコピペは、この文言であちらこちらに貼られてネット上に拡散して行った。警察庁の自殺統計では、それまで月数件で推移していた硫化水素による自殺者数が、年明けの1月には27件に跳ね上がっており、社会的な影響も見てとれる。

　2月に入ると、マスコミが硫化水素の名を上げて報道するようになり、3月17日、「インターネット上でこうした手口を知った可能性もある」などとした報道を皮切りに、ネットと絡めたマスコミ報道がヒートアップして行く。

　こうした報道の影響はネット上にもすぐに現れており、3月18日付のヤフーの急上昇キーワードには、報道内で使われた「硫化水素中毒」が4位に、「トイレ用洗剤 自殺」が5位にランクインしている。ネットに蓄積された情報と、それを広めるマスコミ報道という負のコラボレーションにより、3月には64件、ピークの4月には203件もの自殺者数を記録。巻き添えとなる人たちも続出するという異常な事態となってしまった。

　内閣府は、4月初めに報道各社に対し報道への配慮を呼びかけるなどの対策を講じ、月末にはネット上の有害情報規制や該当商品の販売自粛処置などの呼びかけも行ったが、白書の調査に記されている通り、具体的な対策までに時間がかかりすぎており、遅きに失した感は否めない。

（2009/11/27 ネットセキュリティニュース）

■自殺対策白書（内閣府）
http://www8.cao.go.jp/jisatsutaisaku/whitepaper/index-w.html
・平成20年度硫化水素自殺事案とマスメディア報道に関する調査研究[PDF]（内閣府）
http://www8.cao.go.jp/jisatsutaisaku/whitepaper/w-2009/pdf/pdf_honpen/h099_s.pdf

◆ネットオークションでDVDのコピープロテクト解除ソフト販売、東芝社員を逮捕（2009/11/26）

 　愛媛県警生活環境課と松山東署は25日、DVDなどに記録された著作物の保護機構「CPRM」を解除するソフトウェアを販売したとして、長野県佐久市の東芝社員の男（39歳）を著作権法違反容疑で逮捕した。

　警察の調べによると、男は昨年10月17日頃、ネットオークションを通じて愛媛県松山市の当時18歳だった男子高校生に、CPRMを解除する機能を持つソフトをネットからダウンロードさせる方法で販売。さらに同22日頃には、茨城市結城市の男性会社員（当時27歳）に、同ソフトを収録したCD-Rを宅急便で送る方法で販売した疑い。

　男の逮捕を受けて東芝は同日、「当社従業員がダビング10ソフト販売による著作権法違反で逮捕されたことは、誠に遺憾に考えております。今後の捜査状況を踏まえて、厳格に対応してまいる所存です」とコメントしている。

　CPRM（Content Protection for Recordable Media）は、DVDなどの記録メディアに保存された著作物を、コピーできないように保護する仕組み。地デジのダビング10やコピーワンスの番組の録画などは、このCPRMで保護されており、メディアには暗号化した状態で記録。正規のメディアと機器を使った時だけ、暗号を解いて再生できる仕組みになっている。

　編集部の調べでは、男はネット上で公開されていたCPRMを解除するフリーのツール（暗号化されたコンテンツを暗号化されていない状態にしてコピーするソフトウェア）一式に自作のマニュアルを付け、ダウンロード650円、CD-Rは850円といった価格でネットオークションで販売していた。地デジのCPRM解除をうたった男の出品は、落札者から評価が寄せられたものだけでも約800件。販売は、昨年1月頃から始めたようだ。

　著作権法では、保護を回避するソフトを不特定または多数を相手に譲渡したり、ネットで公開するなどの行為を違法としており、違反すると3年以下の懲役や300万円以下の罰金が科せられる。このようなソフトを自作したり、入手したりするだけなら問題ないが、実際にそれを使って保護を解除したり、解除したものであると知りながらコピーするのは違法行為になる。つまり、手に入れても使えないソフトであるということで、注意が必要だ。

（2009/11/26 ネットセキュリティニュース）

■事件・事故速報（愛媛県警察）
http://www.police.pref.ehime.jp/sokuho/sokuho.htm
■著作権法違反による当社従業員逮捕について（東芝）
http://www.toshiba.co.jp/info/091125_j.htm

◆東京都、出会い系サイトの悪質な手口に注意呼びかけ～1千万円の被害例も（2009/11/25）

  東京都生活文化スポーツ局は19日、出会い系サイト内で「芸能人の悩みを聞いてほしい」「病気なので励ましてほしい」などと言葉巧みに誘い、頻繁にメールのやりとりをさせて高額な利用料金を支払わせる手口が横行しているとして、注意を呼びかけた。

　都の消費生活相談窓口には、毎月150件前後の相談が寄せられており、中には1千万円もの高額な被害も発生しているという。

・「相談にのってあげて」～約200万円も費やした女性
　「あなたの人柄が気に入ったので、自分が担当する芸能人の相談にのってほしい」。自分が公開しているブログで、有名芸能人のマネージャーを名乗る人物からそんな話を持ちかけられた20代の女性は、紹介された出会い系サイトに登録。「芸能人のプライベートメールアドレスは直接会ったときに教える」「サイトの利用料金も後日謝礼として支払う」と伝えられ、出会い系サイト内で頻繁にメールのやり取りをした。女性は約200万円もの利用料金を支払ったが、芸能人とは結局会えず謝礼ももらえなかった。

・「悩みを聞いて」～約70万円を支払った60代女性
　有名ミュージシャンを名乗る人物から「悩みを聞いてほしい」と持ちかけられ、信じてアクセスしてしまった60代の女性も、おかしいと気づくまでに約70万円を支払うことに。
・「余命か月」～約1千万円も費やした50代男性
　「病気で心臓移植が必要だ」という若い女性と知り合い、メールのやり取りを始めた50代の男性は、「余命か月」などと言われてかわいそうになり、約1千万円もの大金を費やして励ましのメールをやり取りし続けてしまった。

　出会い系サイトの多くは、1ポイント10円換算のポイント制というシステムをとっており、メールの送信や閲覧などのサイト内での個々のアクションに対し、お金がかかる仕組みになっている。悪質な業者は、いわゆる「サクラ」を仕込み、あの手この手を使って会員にポイントを使わせるように仕向け、大金を巻き上げようとする。
　都は、出会い系サイトは匿名性が高いため「嘘」や「なりすまし」が容易であり、被害にあっても立証は難しくお金を取り戻すことは困難だとし、出会い系サイトの課金システムに注意するよう呼び掛けている。

　この他にも、無料のゲームサイトや懸賞サイトに登録したところ、登録した覚えのない出会い系サイトから「後払い精算料金が発生しているので、期日までに支払わないと訪問して回収する」などという脅迫めいたメールが届くようになったとの相談も後を絶たず、都は、おかしい思ったら最寄りの消費生活センターに、脅しを受けた場合にはすぐに警察署に相談するよう呼び掛けている。

（2009/11/25 ネットセキュリティニュース）

■緊急消費者被害情報　出会い系サイト内悪質手口に注意（東京都）
http://www.metro.tokyo.jp/INET/OSHIRASE/2009/11/20jbj700.htm
■ＳＴＯＰ架空請求
http://www.anzen.metro.tokyo.jp/net/

◆Internet Explorer 6/7に未修整の脆弱性、マイクロソフトがアドバイザリ（2009/11/24）

  Internet Explorer（IE）の未修整の脆弱性を証明する実証コードが、日本時間21日、セキュリティ関係のメーリングリストに投稿され、セキュリティ機関やベンダーが注意を呼び掛けている。マイクロソフトも24日、この問題に関するセキュリティアドバイザリを公開した。

　今回見つかった脆弱性は、IEが無効なポインタを参照してしまう問題。JavaScriptを使って削除されたスタイルシートオブジェクトにアクセスすると、クラッシュしたり任意のコードが実行されるおそれがあり、悪用されると細工したWebページを閲覧するだけで、ウイルスに感染してしまう危険がある。

　影響するのはIE 6およびIE 7で、IE 8は影響を受けない。公開された電卓を起動する実証コードは、ただちに攻撃に転用できるほど安定しておらず、これまでのところ、この脆弱性を悪用した攻撃は確認されていないという。が、いつ完全攻略した攻撃コードが出回ってもおかしくない状況にあり、注意が必要だ。

　IE 6/7を使用中のユーザーでIE 8にアップデート可能な方は、この機会にIE 8に移行することをお勧めする。何らかの事情でIE 6/7を使い続けなければいけない方は、インターネットオプションのセキュリティ設定で、インターネットゾーンのセキュリティレベルを「高」にし、アクティブスクリプトを無効にする。マイクロソフトのアドバイザリでは、IEのデータ実行防止（DEP）機能も有効な回避策になるとしており、下記「サポート技術資料977981」で、DEPを有効/無効にする自働修正ツール「Fix it」を提供している。

（2009/11/24 ネットセキュリティニュース）

■マイクロソフトセキュリティアドバイザリ (977981)
http://www.microsoft.com/japan/technet/security/advisory/977981.mspx
■サポート技術資料977981（マイクロソフト）
http://support.microsoft.com/kb/977981
■各社のリリース（英文）
・Zero-Day Internet Explorer Exploit Published（Symantec）
http://www.symantec.com/connect/blogs/zero-day-internet-explorer-exploit-published
・Internet Explorer Vulnerability Exploit Detected（TrendLabs Malware Blog）
http://blog.trendmicro.com/internet-explorer-vulnerability-exploit-detected/
・Internet Explorer Layout Handling Memory Corruption Vulnerability（Secunia）
http://secunia.com/advisories/37448/2/
・Microsoft Internet Explorer CSS Handling Code Execution Vulnerability (0day) （VUPEN Security）
http://www.vupen.com/english/advisories/2009/3301
・Microsoft Internet Explorer 'Style' Object Remote Code Execution Vulnerability （SecurityFocus）
http://www.securityfocus.com/bid/37085

◆Yahoo! JAPANのフィッシング、今月も大量発生中～釣られないためには（2009/11/24）

  Yahoo!オークションやYahoo!カスタマーセンターなどと称するメールで偽のサイトに誘導し、個人情報やクレジットカード情報をだまし取ろうとするフィッシングが、今月も引き続き大量発生している。

　フリーサーバーを悪用したYahoo!の偽サイトは、閉鎖する後から次々と新設され、イタチごっこがえんえんと続いている。過去半年間に設置されたYahoo! JAPANの偽サイトは、編集部が把握しているだけでも200近く。実際には、その数倍から十数倍の数の偽サイトが暗躍し、多くのユーザーが被害にあっていると思われる。フィッシングに釣られた末、クレジットカードが不正に使われたとの実害報告も、ネット上にいくつか書き込まれている。

　Yahoo! JAPANをかたるフィッシングメールは、「重要なお知らせ」などと称して会員情報の更新を促す。メールに記載されたリンクをクリックすると、「Yahoo!プレミアム」や「Yahoo!オークション」のロゴをあしらった偽のサイトに誘導され、氏名や住所などの個人情報やクレジットカード情報などを入力させようとする。

　フィッシングメールやサイトには、微妙に異なるいくつかのパターンがあり、編集部では複数の攻撃者が仕掛けているものとみている。今月は、半年にわたってえんえんとフィッシングを繰り返している攻撃者のほか、計3～4グループが交錯しているようで、下記トピックスにある「Yahoo! JAPANのフィッシング」の偽サイト全3タイプと、タイプ（C）の亜種が入り乱れた状態。とくにこの連休には、3グループがそれぞれ複数の偽サイトを設置してフィッシングメールをばらまいたようで、編集部で確認できただけでも同時に十数件の偽サイトが稼働していた。

■Yahoo!フィッシングの特徴

　偽サイトに誘導するフィッシングメールの中でも最も多いのが、「【重要なお知らせです】 」という件名で届く「Yahoo! Auction」の案内を装ったもの。「更新が行われない場合、出品制限等の不具合を起こす場合もあります」という文言で会員情報の更新を促し、偽サイトに誘導するのが特徴だ。
　なぜ「Yahoo!オークション」を装うのか？　同サービスの機能をフルに利用するためには、有料の「Yahoo!プレミアム」への会員登録が必須で、それにはクレジットカードまたは銀行口座の情報入力を伴うからだ。いったんプレミアム会員に登録すれば、それ以降は自動的に更新されるため、個人情報入力を伴う更新手続きが必要になることはないのだが、知らないと騙されてしまう。
　Yahoo! JAPANのカスタマーセンターを装い、「Yahoo!カスタマーセンターより重要なおしらせ」や「ヤフージャパンIDに関する大切なお知らせ」などの件名で届くフィッシングメールは、「Yahoo!オークションを今後も継続してご利用いただくためには、Yahoo! JAPAN ID ユーザーアカウント継続手続きが必要です」との文言で、「ユーザーアカウント継続手続きページ」と称したリンクをクリックさせようとする。この「Yahoo! JAPAN ID」は更新期限などなく継続利用できるもので、こちらも手続きなど存在しない。
　ところが、そういった事情を知らないユーザーが多いようで、手続きしないとサービスが利用できなくなってしまうと思い込み、あわててメールに記載されたリンクをクリックしてしまうようだ。

■フィッシング被害にあわないためには

　Yahoo! JAPANの場合、これまでに述べたように、会員情報の更新やアカウントの継続手続きは必要ない。したがって、更新や継続の手続きを促すメールが届いても、焦って応じないようにしたい。フィッシングに限らず、あなたを騙そうとする人たちは、問題が起こると言って焦らせ、あわてて提示した解決策を実行させるよう仕向ける。冷静さを失ってしまうと、詐欺師の術中にまんまとはまってしまうのだ。まともな企業やサービスは、メールで個人情報を問い合わせたり、入力ページに誘導するようなことはしないということを、覚えておいていただきたい。リンクのクリック先が個人情報の入力ページやログインページだったら、それは詐欺師の罠である。

　Webサイトで個人情報やカード情報などを入力するページを開いた際には、入力前に必ず、ブラウザのステータスバーなどにSSL通信が行われていることを示す錠マークが表示されているかどうかを確認することを心掛けたい。錠マークが表示されていないページでは、重要な情報は絶対に入力しないこと。錠マークが表示されていたら、念のためにURLのドメインが正しいかどうかも確認しよう。これらを守れば、フィッシングに釣られるようなことはない。

（2009/11/24 ネットセキュリティニュース）

■そのメール本当にYahoo! JAPAN？（Yahoo! JAPAN）
http://security.yahoo.co.jp/qa/index.html

◆児童ポルノ～わが子の裸を売った母親に有罪判決/同種犯罪での逮捕相次ぐ（2009/11/20）

  自ら撮影した裸の写真を送る少女たちが後を絶たないが、幼い娘の裸を売り物にする親たちまでいるとう、恐るべき実態が浮かび上がってきた。

　今年6月、兵庫県のパートの女（23歳）と堺市中区の無職の女（20歳）が児童買春・児童ポルノ禁止法違反などの疑いで宮城県警に逮捕された。パートの女は、女児の裸の写真を買い取るという無職の女の依頼に応じ今年1月、当時2歳だった娘の写真を自宅で撮影し10万円の謝礼をもらっていたという。今月12日に仙台地裁で開かれたパートの女の判決公判で、裁判官は、性的虐待と同じ行為であり金を得るなど言語道断とし、懲役1年、執行猶予3年を言い渡した。

　自分の娘の裸を売り物にしてしまう主婦の児童ポルノ製造問題は、これに留まらず、その後も次々と摘発が続いた。

・1歳娘の裸を携帯電話で撮影、会社員に販売した主婦書類送検（9/15）
　宮城県警少年課と大河原署は9月15日、宮城県柴田郡の主婦（21歳）と、先の堺市中区の無職の女（公判中）を仙台地検に書類送検した。主婦は、当時1歳だった娘の裸を携帯電話で撮影。無職の女がそれを買い取り、大阪府豊中市の男性会社員に販売していたという。

・6歳娘のわいせつ写真を携帯電話で撮影、主婦を逮捕（9/28）
　宮城県警大河原署は9月28日、児童ポルノ製造に関わっていた岩手県八幡平市の主婦（28歳）を逮捕した。主婦は、当時6歳だった娘のわいせつな写真を携帯電話で撮影した疑い。

・小1娘の下着姿を撮影、ネットオークションで販売した両親を逮捕（10/29）
　愛知県警と石川県警の合同捜査本部は10月29日、名古屋市在住の建設作業員の父親（33歳）と母親（28歳）を逮捕した。容疑は、小学1年の娘（7歳）の下着姿を撮影し、画像を記録したフラッシュメモリー2本をインターネットのオークションサイトで販売した疑い。

・1歳娘、11歳妹の裸を撮影し謝礼を受け取った母親と姉を逮捕（11/16）
　宮城県警少年課と大河原署は11月16日、男から謝礼を受け取って実の娘や妹の裸を撮影したとして、東京在住の女2人と撮影した男を逮捕した。逮捕されたのは、足立区のパート従業員の女（31歳）と大田区の飲食店従業員の女（23歳）、東京都北区在住の元会社役員の男（46歳）だ。パート従業員は7月に1歳の娘の裸を、飲食店従業員は昨年12月に11歳の妹の裸を、それぞれ男の自宅で、男に撮影させた容疑だ。女たちは男から謝礼を受け取っていたという。

　かつて娘を身売りさせて家族が露命をつないだ時代があったが、デジタル時代は子どもの裸の画像を売るということだろうか。子どもの身は家族とともにあっても、裸の画像がネットに流出するとどこまでも拡散し、永久に残る。長じるにつれ、子どもの傷も家族への不信感も深くなるだろう。冒頭に述べた仙台地裁の判決では、裁判官が母親に対し、わが子を被写体にした児童ポルノ撮影は性的虐待であると厳しく指摘したという。母親はどのような気持ちでこの言葉を受け止めたことだろう。

【急増・深刻化する児童ポルノ被害】

　警察庁の「児童ポルノ事犯の送致・被害児童保護状況」によると、昨年1年間の送致件数は676件、送致人員412人、保護児童338人だった。ところが、今年に入って情勢が急に深刻化、6月までの上半期分だけでも送致件数382件（昨年同期300件）で27パーセント増、送致人員289（昨年同期188人）で54パーセント増、被害児童も218人（昨年同期144人）で51パーセント増という具合だ。そのなかに家庭内での児童ポルノという犯罪がどの程度含まれるかは不明だが、増加している恐れは大きい。

【有効な手立ては？】

　インターネット関連事業者や民間団体、学識経験者が6月2日に、ネット上での児童ポルノ流通防止策を検討する「児童ポルノ流通防止協議会」設立。また警察庁は全国各地で児童ポルノ対策を実施するとともに、9月15日には被害にあわないための注意や情報提供を呼びかける「NO!! 児童ポルノ」ページを公式サイト内に設けた。また、警視庁は11月19日、児童ポルノ犯罪の取り締まりを強化するため、公式サイト内に「STOP！児童ポルノ」というページを新設すると同時に匿名通報を受け付ける専用電話を開設した。

　このように児童ポルノ撲滅のために官民一体となってさまざまな取り組みが展開されているが、家族による性的虐待としての児童ポルノは家庭という密室で行われているため、発見が困難と言われる児童ポルノの中でもさらに発見が難しい面がある。第三者が気づいて通報することが、被害児童を保護するためにも重要だ。
　さらにもう一歩踏み込んで、そもそも家族による児童ポルノ撮影という犯罪をどうすれば防ぐことができるのか、考える必要があるだろう。道を踏み外す親・家族に対し、どのような手だてが有効なのか。デジタル時代、ネット時代の新たな課題といえるようだ。

（2009/11/20 ネットセキュリティニュース）

■児童ポルノ事犯の送致・被害児童保護状況（警察庁）
http://www.npa.go.jp/safetylife/syonen/no_cp/statistics.html
■「児童ポルノ流通防止協議会」の発足について（児童ポルノ流通防止協議会）
http://www.iajapan.org/press/20090602-press.html
■NO!! 児童ポルノ
http://www.npa.go.jp/safetylife/syonen/no_cp/
■ STOP！児童ポルノ（警視庁）
https://www.keishicho.metro.tokyo.jp/anket/child_porno.htm

◆NTT西日本の子会社、顧客の利用情報35万件を販売代理店に不正提供（2009/11/19）

  NTT西日本（西日本電信電話/本社：大阪市中央区）とその子会社であるNTT西日本-兵庫（神戸市中央区）は18日、NTT西日本-兵庫の40代の男性社員が、兵庫県内の顧客の利用情報約35万件を、光回線「フレッツ光」を扱う販売代理店6社に不正提供していたと発表した。

　男性社員は販売代理店から光回線加入見込み客リストを預かり、すでに加入している顧客を削除する作業を行う際に、リストに掲載された顧客一人ひとりが利用しているサービスがわかるように、識別できる印を付けてから代理店側に返していたという。　これら利用サービスの提供件数は、合計35万3605件にのぼる。内訳は、NTT西日本のADSL利用情報11万7402件、NTT西日本以外のDSL利用情報22万3866件、NTT西日本以外へ移行した番号ポータビリティ情報2357件、NTT西日本-兵庫の販売代理店における過去の受注取消情報9980件。

　リストには顧客の氏名、住所、料金引き落とし口座などの個人情報は含まれておらず、不正提供した情報はすでに廃棄したという。

　男性社員は動機について、情報提供をフレッツ光への乗り換えなど代理店の販売拡大につなげたかったと述べているというが、代理店側は当該情報を用いての営業活動は行っていないという。

　NTT西日本およびNTT西日本-兵庫は、この件についての問い合わせ窓口を設けるとともに、再発防止に努めるとしている。

（2009/11/19 ネットセキュリティニュース）

■ お客様ご利用のサービス情報の一部販売代理店への不適切な提供に関するお詫びとお知らせ（NTT西日本）
http://www.ntt-west.co.jp/news/0911/091118a.html
■ お客様ご利用のサービス情報の一部販売代理店への不適切な提供に関するお詫びとお知らせ（NTT西日本-兵庫）
http://www.ntt-west-hyogo.co.jp/houdou1118.htm
■ お詫びとお知らせ（NTT西日本-兵庫）
http://www.ntt-west-hyogo.co.jp/owabi1118.htm

◆動画投稿サイト「TVブレイク」に送信差止めと9000万円支払い命令（東京地裁）（2009/11/18）

  東京地方裁判所（岡本岳裁判長）は13日、動画投稿サイト「TVブレイク」を運営するジャストオンライン（東京都中央区）に、動画ファイル約2万本の送信差し止めと損害賠償金約9000万円の支払いを命じる判決を言い渡した。

　裁判は、JASRAC（日本音楽著作権協会／東京都渋谷区）が著作権侵害を理由に、TVブレイクの運営者であるジャストオンラインを昨年8月に提訴。協会が管理する著作物の利用禁止と無許諾で利用した期間の損害1億2800万円余の支払いを求めていた。賠償請求額は、JASRACの2008年4月時点の調査で同協会が管理する著作権物を利用した動画ファイル2万613件が確認され、その再生視聴回数が381万2198回だったことから、1曲1回という使用料に基づいて算定された。

　TVブレイクはユーザーが投稿した音楽番組やミュージックビデオなどの動画をダウンロードできるサイトだ。韓国パンドラTVと協力してサービスを開始したが、2006年10月に資本関係を解消し、サイト名を現在のTVブレイクに変更。また、2008年8月1日付けで社名もジャストオンラインに変更した。

　JASRACによると、このような動画投稿（共有）サイトが日本には約60あり、そのうち「YouTube」や「ニコニコ動画」など25社とは著作物の利用契約を結んでいる。残りのサイトの多くも権利侵害動画を自主的に削除するなど、JASRACが管理する著作物を利用しない方針で運営している。TVブレイクを運営するジャストオンラインはそうした対策を講じていないため、提訴したという。

　提訴を受けた時点でジャストオンラインは、同社は「プロバイダ責任制限法」に沿って適正にTVブレイクを運営しており、JASRACの削除要請を拒否したことは一度もないとしていた。また、同社は同法で責任の範囲を守られる「プロバイダ」であって、著作権侵害情報を投稿した「発信者」ではないと主張していた。

　しかし東京地裁は、ジャストオンラインを、TVブレイクで行われている複製および公衆送信の主体であり、同法における「発信者」に該当するという判断を示した。同サイトで投稿・共有されている動画について、JASRACが管理する著作物の侵害率は、控え目に計算しても約5割に達していたという。東京地裁は、同社がこうした著作権侵害を認識しながら、回避や削除について有効な手段をとらず、広告などで利益を得ていたとして、JASRACが求めていた送信差し止めと損害賠償請求を認めた。

　この判決に対し、ジャストオンラインは「とんだ13日の金曜日です。対応については協議中です」とのコメントを発表。当該サイトはメンテナンスのため8月6日からサービス停止が続いているが、ユーザーに対しては判決後に最善の道を選択し、お知らせしたいとアナウンスしている。

【解説：プロバイダ責任制限法】
　正式名称は「特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律」。2001年11月30日公布、2002年5月27日施行。ネット上で民事上の権利侵害があった場合の「損害賠償責任の制限」と「発信者情報の開示」の2点を規定している。著作権などの権利侵害については第3条に規定されており、プロバイダは「権利侵害情報の流通を知らなかったか、もしくは情報流通を知っていたが、他人の権利が侵害されたと認めるに足りる相当の理由がなかった」「情報送信の防止が技術的に可能」「自身が情報の発信者でない」という3条件をすべて満たす場合は、権利侵害の損害賠償責任を負わないとしている。今回の裁判では、ジャストオンラインは「発信者」に該当すると判断された。同法第二条の定義によると、発信者とは「特定電気通信役務提供者の用いる特定電気通信設備の記録媒体に情報を記録し、又は当該特定電気通信設備の送信装置に情報を入力した者」、つまりネットに情報をアップロードし公開した者を指す。この東京地裁の判断は、ISPやネットユーザーの間で議論を呼びそうだ。

（2009/11/18 ネットセキュリティニュース）

■JASRACのリリース
・動画投稿（共有）サイトにおける著作権侵害－東京地裁が運営事業者に対する侵害差止めと損害賠償請求を認容（2009/11/13）
http://www.jasrac.or.jp/release/09/11_1.html
・著作権等の侵害を知りながら放置する動画投稿（共有）サイト運営事業者に対し著作権侵害行為の差止めと損害賠償を請求（2008/08/06）
http://www.jasrac.or.jp/release/08/08_1.html

■ジャストオンラインのリリース
・プレス関係者各位（2009/11/13）
・ご利用ユーザーの皆様へ（2009/11/06）
http://www.tvbreak.jp/
・JASRACからの提訴に対する弊社見解（2008/08/27）
http://www.tvbreak.jp/info/?p=board&work=view&&code=notice&id=90
・JASRAC提訴について（2008/08/06）
http://www.tvbreak.jp/info/?p=board&work=view&&code=notice&id=88

◆Gumblar攻撃再開～被害は1250サイトに拡大、多数の国内サイトが被害に（2009/11/18）

  一般のWebサイトを改ざんし、閲覧者をウイルスに感染させるための悪質なコードを仕掛ける通称「Gumblar 」。10月中旬に再開後、攻撃コードが無害化してしばらく息を潜めていたが、今月初めから再び攻撃が活発化して感染拡大傾向を見せている。

　カスペルスキーは11月16日、Gumblarに酷似したマルウェアを検知し、10月14日から11月16日までに国内の動画サイトやゴルフ関連サイト、神社や空港など1250サイトが改ざん染被害にあったとして、感染予防の対策を実施するよう注意を呼びかけた。

　攻撃コードが一時無害化する以前の改ざんでは、春に改ざん被害にあったサイトが多数再改ざんされたほか、既報のオンラインゲーム「フローレンシア」の公式サイトや、中央競馬の「JRAレーシングビュワー」が相次ぎ改ざん。ほかにも、関東美容専門学校（川崎市川崎区）や下鴨神社（京都市左京区）、読売新聞の販売店「読売センター柏豊四季」（千葉県柏市）の公式サイト、モバイルゲームのオンラインショップ「hane」（東京都世田谷区）、および同社が提供するmixiアプリ「トビヲの不思議な洞窟」など多数の国内サイトが被害にあい、未だ閉鎖中のところもある。

　攻撃再開後の今月12日には、GMOインターネット（本社：東京都渋谷区）のインターネット・サービス・プロバイダ「InterQ」のメンバーサイトが改ざんされ、システムのエラーページなどに不正なリンクが埋め込まれていることが判明した。配下のサイトの閲覧中にファイルが見つからないなどのエラーが起きると、外部のサーバーに誘導されウイルスに感染するおそれがあった。当該サイトはすでに修復済みだが、攻撃再開後に改ざんあるいは再改ざんされたサイトには、未だ汚染状態のものが多数ある。

　短期間で多くのサイトがGumblar攻撃に陥落したのは、これまでにもまして攻撃システムが複雑化して感染力を強めているからだ。Gumblarは、見かけはごく普通のサイトにアクセスしたユーザーが、知らないうちに改ざんされたサイトにリダイレクト（リンク先に誘導）されるのが始まりだ。リダイレクト先のページには、複数のマルウェアが埋め込まれており、ユーザーが使用しているソフトウェアの脆弱性に応じて最も適した、つまり悪質なマルウェアに感染する。その結果、ユーザー自身が管理するサイトのパスワードを盗み取られて改ざんされ、被害者になると同時に二次感染源になる、という具合に連鎖が広がる。

　春先や10月中旬のGumblarと比べて現在攻撃中のものは、このリダイレクトが一か所にとどまらず複雑化しており、複数の改ざんサイトにまたがった攻撃を仕掛けてくる。改ざんサイトは一般のWebサイトなので、アクセスするユーザーに警戒心はなく、ブロックすることも難しい。また、攻撃コードやウイルス本体が頻繁に変化しているため、ウイルス対策ソフトの対応が間に合わないケースも多く、感染してもなかなか気が付かない。感染に気づいて復旧作業をしても、処理や対策が不十分であれば、再改ざんや再感染を招き、感染の連鎖を拡大する一因にもなっている。

【被害拡大を防ぐための必須の対策】

　Gumblarが脆弱性を突いて感染させ、サイトを乗っ取るという基本構造は変わらない。だからこそ、春から繰り返し呼びかけてきた対策を講じることが被害拡大を防ぐためには必須だ。
　すべてのユーザーは、Microsoft Updateを実行してシステムを最新の状態にするとともに、Adobe Reader/Flash Playerを最新版に更新しよう。また、Webサイトの管理者には、ページに見知らぬリンクが埋め込まれていないか、見知らぬPHPファイル（ファイル名は不定）が設置されていないか確認していただきたい。万が一、見つかった場合には、ウイルスに感染していないパソコンを使用してサイトのパスワードを変更。攻撃者の手からサイトを奪取し、再改ざんされないよう備えていただきたい。

（2009/11/18 ネットセキュリティニュース）

■[続報] Gumblar に酷似、新たな脅威発生に警告（カペルスキー）
http://www.kaspersky.co.jp/news?id=207578791
■haneウェブサイトご利用の皆様へ ～ウイルス感染とそれに伴うサイト停止における、お詫びとご報告～（hane inter-active software）
http://www.hane-facon.jp/
■mixiアプリ『トビヲの不思議な洞窟』及びhaneウェブサイトにおけるウイルス感染と、それに伴う関連サイト一時停止のご報告とお詫び（hane）
http://mixi.jp/show_friend.pl?id=24732185

◆自治体の違法コピー相次ぐ～道庁でも4700本の違法判明、1億4000万円で和解（2009/11/16）

  今春から、自治体によるソフトの違法コピー使用と、それに伴う損害賠償金の支払いが全国で相次いでいる。3月には奈良市、7月には石川県、9月には弘前市でそれぞれ違法コピーが判明し、著作権を持つソフト会社に賠償金を支払っている。先週末には、北海道庁で約4700本の違法コピーが見つかり、マイクロソフト社に1億4000万円を支払うこととなった。

　いずれも判明したのは、1台のパソコンでのみ使用することが許諾された正規ソフトを、何台ものパソコンにインストールして業務に使用する、組織内違法コピーだ。

　市役所内で約640本の違法コピー使用が判明した奈良市は、3月、これまでの使用料や賃貸料、今後のリース料などの名目で、ソフトウエア会社から支払いを求められる可能性があるとして、2009年度予算案に計2300万円を計上した。

　7月には、県庁内で約550本の違法コピーを使用していた石川県が、正規購入額の1.5倍に相当する賠償金約4000万円を支払うことでソフト会社と和解が成立。9月末には青森県の弘前市が、総額約823万円を支払うことでソフト会社4社と和解した。

　11月14日には、北海道庁内で約4700本の違法コピーが見つかったことが新聞報道で明らかになった。庁内で違法コピーが行われているのではないか、という問い合わせをマイクロソフト社などから受けた道庁が、庁内のパソコン約24000台を調べたところ、これらの違法コピーが見つかったという。組織内違法コピーの典型例で、道では職員用パソコン本体は物品として管理してきたが、ソフトは一元管理していなかったという。

　判明した違法コピーのうち約4000本が「ワード」や「エクセル」などのマイクロソフト製ソフトだった。道庁は今後も使用する約3200本分のソフトを1億4000万円で購入し、約800本を消去することで同社と合意した。残る約700本はオートデスク社の製図ソフトなどで、同社とも賠償について協議している。

　報道各社からの取材に対し道庁は、今後、高橋はるみ知事を本部長とする「IT推進本部委員会」で対応を協議し、職員の再発防止策を検討するとしている。

（2009/11/16 ネットセキュリティニュース）

■BSAメンバー、弘前市と総額約823万円で和解（BSA）
http://www.bsa.or.jp/press/release/2009/1009.html
■BSAメンバー、石川県と総額約4千万円で和解（BSA）
http://www.bsa.or.jp/press/release/2009/0716.html
■奈良市
http://www.city.nara.nara.jp/
■北海道
http://www.pref.hokkaido.lg.jp/

◆死亡例も出た外国製「ダイエット薬」個人輸入～厚労省などが注意呼びかけ（2009/11/13）

  インターネットのホームページ等を利用して入手できる「ホスピタルダイエット」や「MDクリニックダイエット」と称する外国製のやせ薬によって、健康被害が発生している。服用者が死亡した事例もあり、厚生労働省や東京都などが服用の中止や医療機関への受診を呼びかけている。

　厚生労働省では10月9日、「ホスピタルダイエット」と称されるやせ薬をタイから購入し、服用していた40歳代の女性が昨年、死亡していたことを公表した。女性が使用していたやせ薬は7種の錠剤で、食欲抑制作用や利尿作用等のある複数の医薬品成分が検出された。女性は「ホスピタルダイエット」の服用8日目に呼吸困難、意識混濁で救急搬送され、死亡。偽性バーター症候群による不整脈または呼吸器麻痺が原因であるとみられている。

　また、東京都は10月23日、海外から個人輸入した「MDクリニックダイエット」と称される製品を使用していた、気管支喘息の既往歴がある30歳代の女性が死亡していたことを明らかにした。製品と死亡との因果関係は不明。女性は、知人がインターネットを通じて海外から個人輸入した同製品を譲り受けて服用していた。都は、「MDクリニックダイエット」と「ホスピタルダイエット」は同じものだと指摘。この製品による健康被害事例（疑い）が複数の自治体から公表され、注意喚起がなされているとしている。

　この製品は、タイの有名病院が処方したやせ薬とされており、インターネットを通じて個人輸入の形で購入可能。個人輸入代行業者を名乗る者のホームページで身長、体重、年齢や性別を記入して申し込み、入手するケースが多いとみられる。厚生労働省は、無承認無許可医薬品を安易に個人輸入して使用することは、その医薬品が偽造製品であったり、有害な物質が含まれている場合もあるため望ましくないとし、インターネット等で個人輸入して使用することは、くれぐれも避けてほしいとしている。

　厚労省や都によると、この製品には、国内では未承認の肥満症治療薬、利尿薬、下剤、甲状腺ホルモンなどのほか、向精神薬が含まれていることもある。向精神薬が含まれている製品は、インターネット等により注文する個人輸入であっても、「麻薬及び向精神薬取締法」で禁じられており、違反した場合には処罰の対象となる。

（2009/11/13 ネットセキュリティニュース）

■「ホスピタルダイエット」などと称されるタイ製の向精神薬等を含有する無承認無許可医薬品による健康被害事例について（厚生労働省）
http://www.mhlw.go.jp/kinkyu/diet/jirei/030902-1.html
■タイから輸入された「ホスピタルダイエット」と称される無承認無許可医薬品による健康被害(疑い)事例について（厚生労働省）
http://www.mhlw.go.jp/kinkyu/diet/jirei/091008-1.html
■「ＭＤクリニックダイエット」と称される製品からの医薬品成分の検出について（注意喚起）（東京都）
http://www.metro.tokyo.jp/INET/OSHIRASE/2009/10/20jana00.htm
■国立健康・栄養研究所の情報
・厚生労働省と東京都が「MDクリニックダイエット」と称される製品から医薬品成分（シブトラミンなど）が検出されたことに注意喚起
http://hfnet.nih.go.jp/contents/detail1297.html
・厚生労働省が「ホスピタルダイエット」と称されるいわゆる健康食品による健康被害事例を公表
http://hfnet.nih.go.jp/contents/detail1286.html
■麻薬及び向精神薬取締法
http://law.e-gov.go.jp/htmldata/S28/S28HO014.html

◆アリコジャパン、新たに1万4175件の情報流出が判明～今後も増加する可能性（2009/11/12）

  外資系生命保険アリコジャパン（本社：東京都千代田区）の顧客情報流出問題で、同社は11日、新たに1万4175件のカード情報流出が判明し、現時点で判明している流出件数は合計3万2359件となったことを明らかにした。また今後、流出数がさらに増える可能性も否定しきれないとして、注意を呼びかけている。

・これまでの経緯
　同社の顧客情報流出は今年7月に発覚し、9月には1万8184名の流出者を特定。該当者には1万円分の商品券を、実際には流出しなかったが流出した可能性のあった約11万名には3000円分の商品券を送るなどして謝罪。流出原因の解明という課題を残しながらも、流出情報の特定と謝罪はすんだものとみられていた。

・新たな事実
　しかし、先月29日、これまでに把握していた流出情報には含まれていない、新たなカードの不正使用の照会がカード会社からあったことを公表。その後の精査・分析で、新たに1万4175件の流出を確認し、今回の発表となった。
　流出した顧客情報3万2359件のうち、カード不正使用の試みが行われた件数は、今月5日時点で累計5122件となっている。流出情報はカード番号と有効期限のみで、氏名や住所など個人を特定する情報は含まれていないため、該当顧客に金銭的な被害は発生していないという。同社は該当顧客に対し個別に連絡し、お詫びとカードの切り替え、利用明細への注意を依頼している。

・情報流出の実行犯について
　外国の業務委託先の社員に付与したIDから、同社のホストコンピュータに不自然なアクセスが複数回あったという。同社はこれが情報流出の源となった可能性が極めて高いとして、捜査当局と協力しながら調査を進めている。

・流出数がさらに増える可能性も
　外国の委託先社員のIDから不正にアクセスされたファイルには約46万件のカード情報が含まれていた。確認された3万2359件もこの中に含まれるが、同社はそれ以外にも流出した可能性は否定しきれないとしている。同社は顧客に対し注意を喚起するとともに、カード会社には高い警戒レベルでの不正使用ブロックを要請している。

（2009/11/12 ネットセキュリティニュース）

■アリコジャパンのリリース
・お客様情報の流出について－不正使用の監視を強化－[PDF]（2009/11/11）
http://www.alico.co.jp/about/press/09_1111.pdf
・お客様情報に関する流出の範囲について[PDF]（2009/10/29）
http://www.alico.co.jp/about/press/09_1029.pdf
・弊社のお客様のカード情報流出に関しまして（関連リリース一覧）
http://www.alico.co.jp/about/09_0723.htm

◆アップル、複数の脆弱性を修正した「Mac OS X 10.6.2」公開（2009/11/11）

  アップルは9日、23コンポーネント34件の脆弱性を修正したMac OS Xの最新版「10.6.2」と、29コンポーネント43件の脆弱性を修正したMac OS X 10.5.8用の「セキュリティアップデート2009-006」を公開した。

　「10.6.2」と「2009-006」では、悪用されると任意のコードを実行されるおそれのある深刻な脆弱性を複数修正している。また、「10.6.2」では、システムの安定性や互換性を強化するための修正も行われた。同社は、すべてのユーザーにアップデートの適用を推奨している。

　Mac OS X 10.6.2、およびセキュリティアップデート2009-06は、アップルメニューの「ソフトウェアアップデート」で自動インストールできるほか、同社の「サポートダウンロード」ページからも入手できる。

　なお、「10.6.2」にアップデートすると、MailでPOPアカウントのメッセージを受信できなくなることがある。これは、POPメッセージを受信する際の認証方法が変更され、Mailの環境設定で選択されている認証方式にPOPメールサーバが対応していない場合、Mailでは受信メッセージを処理できなくなったことによる。アップルでは、この場合の解決方法を公開している。

（2009/11/11 ネットセキュリティニュース）

■サポートダウンロード（アップル）
http://support.apple.com/ja_JP/downloads/
■セキュリティアップデート2009-006/Mac OS X v10.6.2について（アップル）
http://support.apple.com/kb/HT3937?viewlocale=ja_JP
■Mac OS X v10.6.2アップデートについて(アップル）
http://support.apple.com/kb/HT3874?viewlocale=ja_JP
■Mac OS X v10.6：10.6.2にアップデートするとPOPメールを受信できなくなる（アップル）
http://support.apple.com/kb/TS3103?viewlocale=ja_JP

◆マイクロソフト、11月度の月例セキュリティパッチを公開（2009/11/11）

  マイクロソフトは11日、11月度の月例セキュリティパッチを公開した。公開されたセキュリティプログラムは、最も深刻な「緊急」3件を含む6件。Windows、Excel、Word が影響を受ける。

【更新プログラムの内容】

［緊急］
・Web Services on Devices API：リモートでコードが実行される脆弱性
・ライセンスログサーバー：リモートでコードが実行される脆弱性
・Windows カーネルモードドライバー：リモートでコードが実行される脆弱性

［重要］
・Active Directory：サービス拒否が起こる脆弱性
・Excel：リモートでコードが実行される脆弱性
・Word：リモートでコードが実行される脆弱性

　このほか、新たに FakeVimes と PrivacyCenter に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンも公開された。

（2009/11/11 ネットセキュリティニュース）

■マイクロソフト セキュリティ ホーム（マイクロソフト）
http://www.microsoft.com/japan/security/default.mspx
■2009年11月のセキュリティ情報（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms09-nov.mspx
■Microsoft Update
http://windowsupdate.microsoft.com/

◆国民生活センター、アフィリエイトやドロップシッピングの儲け話に注意喚起（2009/11/10）

  国民生活センターは4日、インターネット上に自分のウェブサイトを作り、商品広告を出して収入を得るというアフィリエイトや、商品を販売して収入を得るドロップシッピングに関する相談が急増しているとして注意を呼びかけた。

　アフィリエイトとは、企業や店舗で取り扱っている商品、サービス等をサイト運営者が自分のウェブサイトやブログで宣伝広告し、そのサイト経由で商品が売れた場合などに報酬が支払われる仕組み。ドロップシッピングとは、ネットショップを開設して、メーカーや卸業者と代理店契約し、取り扱い商品の販売価格を自由に決めて、自ら売主になって販売すること。国民生活センターに寄せられる相談では、アフィリエイト、ドロップシッピングともに、仲介業者と高額な契約を結んでウェブサイトの開設を依頼し、トラブルが発生するケースが多いという。

　国民生活センターによると、PIO-NET（全国消費生活情報ネットワーク・システム）に入力されたアフィリエイトおよびドロップシッピングの相談件数は、2005年度～2009年度で1118件。2008年度の相談件数は379件で、これは前年度の約2倍にあたる数値。さらに2009年度上期には、前年同期（100件）に比べ3.5倍の356件まで増加している。契約の当事者は20歳代が30％、30歳代が36％、40歳代が20％となっている。男女比はほぼ半々。

　相談内容は、「簡単に収入が入ると言われ高額なウェブサイト作成料を支払ったのに、収入にならない」「仲介業者がサポートし必ず売れるショップにするから大丈夫と言われたが、サポートがなく商品も売れない」「必要と言われシステム利用料を支払ったが、期待していたものと異なる」というものが多い。契約金の額は、50万円～100万円未満が38％で最も多く、次いで10万円～50万円未満が23％。100万円以上というケースも17％にのぼる。

　また、相談者がアフィリエイトやドロップシッピングの仕組みや契約内容を十分に理解できないまま、副業や一日数時間の在宅ワークのつもりで契約してしまうケースが非常に多いという。

　同センターでは、自分で努力せずにお金が儲けられるなどという話は信じない、高額な費用が必要になる場合、契約するかどうか慎重に検討する、契約前に仕組みについて十分に説明を受け、契約書類を確かめるなどのアドバイスをしている。アフィリエイトやドロップシッピングをめぐっては、東京都も2月に注意喚起を行っている。

（2009/11/10 ネットセキュリティニュース）

■ アフィリエイトやドロップシッピングに関する相談が増加！（国民生活センター）
http://www.kokusen.go.jp/news/data/n-20091104_3.html
■ 詳細情報[PDF]（国民生活センター）
http://www.kokusen.go.jp/pdf/n-20091104_3.pdf
■ 緊急消費者被害情報 ネット広告等儲け話にご注意（東京都）
http://www.metro.tokyo.jp/INET/OSHIRASE/2009/02/20j25400.htm
http://www.metro.tokyo.jp/INET/OSHIRASE/2009/02/20j25401.htm

◆偽セキュリティ対策ソフトの検出数が増加、IPAが注意呼びかけ（2009/11/09）

  情報処理推進機構セキュリティセンター（IPA/ISEC）は5日、10月のコンピュータウイルス、不正アクセスに関する届出状況のまとめを発表した。「今月の呼びかけ」では、「偽のセキュリティ対策ソフト」を購入させようとするウイルスの検出数が1年ぶりに増加傾向を見せているとして、注意を呼びかけている。

■コンピュータウイルス、不正アクセスの届出状況

　10月のウイルス検出数は約7万個で、9月の7.6万個から7.8％の減少となった。届け出件数は1210件で、9月の1301件から6.9%の減少。うち、パソコンに感染があった件数は6件だった。検出数の上位は、W32/Netsky（5万9278個）、W32/Mydoom（3279個）、W32/Mytob（2821個）。

　不正アクセスの届け出件数は21件で、そのうち被害のあったものは14件。被害内容は「侵入」6件、「メール不正中継」1件、「DoS攻撃」1件、「なりすまし」6件となっている。「侵入」による被害は、Webサーバー内に置かれたりファイルを破壊されたりしたものが3件、他のサイトを攻撃するための踏み台として悪用されていたものが2件、サーバー内のデータを盗まれたものが1件だった。「なりすまし」の被害では、本人になりすましてログインされ、サービスを勝手に利用されていたものがオンラインゲームで5件、ショッピングポータルで1件だった。

　10月の相談総件数は2,049件で、9月の1,653件から396件増加。相談の内容は、「ワンクリック不正請求」関連が793件（9月は650件）、「セキュリティ対策ソフトの押し売り」関連が6件（9月も6件）、Winny関連が3件（9月は0件）などだった。

【偽セキュリティ対策ソフトの脅威が再び拡大】

　「今月の呼びかけ」では、「偽セキュリティ対策ソフト」の脅威が再び拡大しつつあるとして、注意を呼びかけている。「ウイルスに感染している」といった嘘の警告メッセージや、偽物の「ウイルス検出画面」を表示させ、ウイルスを駆除するには有償版の製品が必要であるとして、ユーザーを購入サイトへ誘導する「偽セキュリティ対策ソフト」型ウイルスが増加傾向にあるためだ。

　こうしたウイルスに感染するきっかけとなるのは、迷惑メールの添付ファイルを開いたり、不正なスクリプトを埋め込まれたWebサイトを閲覧するといった行為。埋め込まれているスクリプトは、OSや、Flash Player、Adobe Readerなどのアプリケーション（プラグイン）の脆弱性を悪用しようとするものだ。このためIPAでは、感染を予防するために、身に覚えのないメールを開かないこと、OSやアプリケーションの脆弱性を解消しておくこと、信頼のおけるウイルス対策ソフトを常に最新の状態で使用することをアドバイスしている。

　またIPAでは、最近のウイルスはウイルス対策ソフトを妨害する仕組みを持っていることがあり、感染してしまうと、ウイルス対策ソフトによる駆除がうまくいかないことがあると指摘。こうした場合の対策として、「システムの復元」機能の利用や、パソコンの初期化を挙げている。

（2009/11/09 ネットセキュリティニュース）

■ コンピュータウイルス・不正アクセスの届出状況[10月分]について（IPA／ISEC）
http://www.ipa.go.jp/security/txt/2009/11outline.html

◆内閣府食品安全委員会、3か月前に発生したメールアドレス流出事故を公表（2009/11/09）

  内閣府食品安全委員会は5日、同委員会事務局において今夏8月13日、食品安全モニター381名のメールアドレスが流出する事故が発生していたと発表した。内部での報告の遅れのため、事故に関する情報が担当係から事務局関係者に共有されておらず、公表が遅れたという。

　発表によると、8月13日、同事務局勧告広報課の女性職員が食品安全モニター381名に送ったメールが、他の受信者のメールアドレスが見える状態で送信された。担当係では、メールを受信したモニターから直後に指摘があったため、事態を把握。食品安全モニター全員に同メールの削除を依頼した。また、内閣府大臣官房企画調整課情報システム室とともに原因調査等を実施したところ、システム側のトラブルが発見されなかったため、女性職員の誤操作が原因だと判断したという。

　事務局では、送信先381名のうち8名についてはメールアドレスの誤りなどによりメールが不達だったことから、実際にメールを受け取ったのは373名だとみている。

　この件については、当時対応に当たった同課課長補佐の男性が内規に反して課長への報告を怠っていたといい、今月4日、モニターの一人が総務省行政管理局へ通報したことにより、事態の発覚に至った。同課では今後、送信先メールアドレスをBCCに確実に入力するよう徹底し、複数の担当者がチェックを行う体制を整えるという。また、個人情報の管理および速やかな報告の徹底に関しては、事務局で働く全ての職員等に対して、個人情報の保護に関する意識醸成を徹底するとしている。

（2009/11/09 ネットセキュリティニュース）

■ 内閣府食品安全委員会事務局における食品安全モニターのメールアドレスの流出について（内閣府食品安全委員会事務局）
http://www.fsc.go.jp/emerg/osirase_20091105.pdf

◆日本福祉大、大学生協店舗で学生1655名の個人情報を含むノートPC盗難（2009/11/09）

  日本福祉大学（本部：愛知県美浜町）と同大学生活協同組合は7日、同大学美浜キャンパスの生協店舗から学生1655名の個人情報が保存された業務用ノートパソコンが盗まれたと発表した。

　発表によると、このパソコンは商品説明のDVD映像を流すために店頭に置かれていたもので、5日午後1時半から同2時半までの間に盗まれたとみられている。パソコンには、2007年度から2009年度までに同大へ入学し、同生協が推薦する教材やパソコンを購入した学生1655名の氏名、住所、電話番号、実家の住所と電話番号などが保存されていた。6日、半田警察署へ盗難届を提出したという。

　同生協によると、このパソコンには起動時のパスワードが設定されておらず、個人情報を含むファイルも、パスワードが設定されていなかった。同生協では、事故対策委員会を設置し、7日に該当者へ謝罪と連絡の文書を送付した。また今後、再発防止に向け、個人情報管理体制の見直しと、職員教育を実施するとしている。

（2009/11/09 ネットセキュリティニュース）

■ 個人情報盗難に関するお詫びとご報告[PDF]（日本福祉大学生活協同組合）
http://www.netnfu.ne.jp/nfuco-op/091107.pdf
■ 生協パソコン盗難に伴う個人情報流出について（日本福祉大）
http://www.n-fukushi.ac.jp/news/091106.htm

◆Gumblar攻撃再開～「新たな攻撃コード」にウイルス対策ソフト全滅（2009/11/06）

  一般のWebサイトを改ざんし、閲覧者をウイルスに感染させるための悪質なコードを仕掛ける通称「Gumblar」が、再び攻撃を開始した。

　先月、突如として始まった攻撃では、国内のWebサイトも多数改ざん被害を受け、閲覧者のパソコンに、「Daonol」「Kates」などと呼ばれている、パスワードを盗み取るトロイの木馬をインストール。その結果、パソコンが起動しなくなってしまうという弊害が発生し、各社のサポート窓口に問い合わせが殺到する事態になった。

　今回のGumblarの攻撃は、一般のWebサイトを改ざんし、攻撃サイトに仕掛けた攻撃コードを実行させるリンクを埋め込む。攻撃コードを仕掛けた攻撃サイトもまた、改ざんされた一般のWebサイトが使われているのだが、攻撃開始から後約2週間ほどで、攻撃を停止していた。先月末に仕掛けられていた攻撃コードが一斉に書き換えられ、アクセスしても攻撃しない無害な状態になっていたのだ。ところがそれが、昨日あたりから再び攻撃コードに書き換えられ、攻撃を再開した。ただし、従来のリンク先がそのまま攻撃コードに書き換えられたわけではなく、リンク先から、新たに攻撃コードを仕掛けた別のサイトへとリダイレクトするようになっている。

【VirusTotalのチェック結果：11月5日時点】　新しく仕掛けられた攻撃コードは、今のところAdobe Reader、Flash Player、Office Webコンポーネント、Internet Exploreといった、これまで通りの修正済みの脆弱性を悪用し、未修整のパソコンにトロイの木馬を自動的にインストールしようとする。最初に実行させられる難読化されたこの攻撃コードは、以前の攻撃では「Gumblar.x」などの名前で検出されていたが、新たな攻撃コードをVirusTotalでチェックしたところ、41のウイルス対策ソフト全てが検出できない状態だった。

　攻撃コードが無害なものに書き換えられた直後の先月29日、編集部で61の攻撃サイト調べたところ、Gumblar.xの攻撃コード4件、無害化されたコード36件、サイト側で削除19件、空の中身1件、接続できないサーバー1件だった。5日時点で再調査を実施したところ、サイト側で削除が19件から14件に減り、他の47件は何らかの改ざん状態にあった。攻撃コードを除去したはずのサイトも、再改ざんを受けて復活しているのだ。

　改ざんサイトの内訳は、攻撃コード設置5件、無害化された攻撃コードのまま1件、別のサイトにリダイレクト41件。リダイレクトされた41件のうち、5件はリダイレクト先が削除済みになっており、攻撃コードは36件だった。合計すると、61件中4件だった攻撃コードが41件まで復帰したことになる。

【脆弱性攻撃再開に備えて】

　Gumblarは、修正されているはずの既知の脆弱性を悪用した攻撃を仕掛ける。現時点では、Microsoft Update（Windows Update）を実行し、Adobe Reader/Flash Playerを最新版に更新しておけば、たとえ改ざんされたサイトを閲覧しても、トロイの木馬が自動的にインストールされることはない。全てのユーザーは、再開した攻撃に備えて、システムや使用しているソフトウェア、プラグインを最新の状態にしていただきたい。

　Gumblarがインストールするトロイの木馬は、サイトの更新に使用するアカウントを盗み取り、それを使って新たな改ざん被害を広げている。自分のサイトに見知らぬリンクが埋め込まれたり、見知らぬPHPファイル（ファイル名は不定）が設置されていた場合には、ウイルス感染によって管理アカウントが盗まれている可能性があるのだ。　身に覚えのある方は、サイトを復旧だけでなく、ウイルスに感染していないパソコンを使用し、サイトのパスワードを変更していただきたい。サイトが乗っ取られたままでは、何度サイトを修復しても、また改ざんされてしまう。

（2009/11/06 ネットセキュリティニュース）

◆マイクロソフト、11月のセキュリティ修正パッチは「緊急」3件と「重要」3件（2009/11/06）

  マイクロソフトは6日、今月11日に公開が予定されているセキュリティ更新プログラムの概要を発表した。

　リリース予定のセキュリティ更新プログラムは、「緊急」3件と「重要」3件の計6件。「緊急」にランクされた3件と「重要」2件はいずれもリモートでコードが実行される脆弱性、残りの「重要」1件は「サービス拒否」の脆弱性に関わるものだ。

　影響を受けるソフトウェアは、「緊急」と「重要」を含むものが Windows Vista/XP/2000、Windows Server 2008/2003。「重要」を含むものが office XP/2003、2007 Microsoft Office System、Office 2008/2004 for Mac。また、Office Excel Viewer、Office Word Viewerや、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックも「重要」ランクの影響を受ける。

　このほか、「Windows Update」「Microsoft Update」「Windows Sever Update Srevices」および「ダウンロードセンター」で、「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開される。

（2009/11/06 ネットセキュリティニュース）

■マイクロソフト セキュリティ情報の事前通知-2009年11月6日（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/advance.mspx
■マイクロソフト セキュリティ情報の事前通知 - 2009年11月（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms09-nov.mspx

◆mixiの人気ゲーム「サンシャイン牧場」で課金に不具合、個人情報漏えいも（2009/11/06）

  SNSの最大手「mixi」上で提供されている人気ゲーム「サンシャイン牧場」で課金システムに不具合が発生し、課金ミスや、最大4200名の個人情報が漏えいした可能性があることが分かった。

　「サンシャイン牧場」は、mixiアプリ（外部開発者がmixi内で独自のアプリケーションを提供できる仕組み）と称されるサービスの１つで、今年8月からスタート。実際にゲームを開発し運営しているのはmixiの運営会社であるミクシィではなく、中国の大手ソーシャルゲーム開発会社のRekoo Media社であり、課金決済もミクシィではなく、Rekoo Media社が委託した国内のクレジットカード決済代行会社が行っている。

■課金サービス開始直後からトラブル発生

　「サンシャイン牧場」は開始2か月ほどで230万人の登録ユーザーを獲得し、mixiアプリのなかでも一番の人気ゲームに成長した。当初は無料だったが、10月21日からはゲーム内で使える仮想通貨「Kコイン」をクレジットカードで購入する仕組みが導入された。トラブルは、この課金導入直後に発生した。
　Rekoo Media社の発表によると、課金サービスを利用したユーザーに、「誤って課金される」「購入したはずのKコインが追加されない」「メールアドレス・電話番号が第三者に閲覧可能になる」というトラブルが発生した。このトラブルは、課金開始直後の21日午後8時30分から始まり、同社が不具合を発見して課金サービスを停止する23日午前まで続いた。同社はミクシィとともに原因究明にあたり、同日中に原因の特定とその手当を完了、午後10時に課金サービスを再開した。
　同社は、誤課金についてはカード決済代行会社と協力して返金の手続きを進めている。また、Kコインの追加漏れについても追加対応を行っている。最大4200名分のメールアドレスと電話番号が閲覧可能な状態になったとされる個人情報漏えいについては、「通常だれもが情報を取得できるような状況はなかった」として、とくにユーザー対応についての言及はなされていない。

■トラブル発生の原因と個人情報漏えい

　Rekoo Media社の説明によると、トラブルの原因は同社が当初用いていた課金サービスの脆弱性にあり、カード決済代行会社にはなんら問題はなかったという。ユーザーのメールアドレスと電話番号が第三者より取得可能な状況も、この脆弱性を突いて「第三者のIDを許可なく利用して能動的に不正アクセスした場合」にのみ取得できるものだったと述べている。
　同社の説明から考えられるのは、ユーザーに付与する「セッションID」の管理が不十分だったことだ。たとえば「足跡」などにセッションID付きURLが残されていれば、それをクリックするだけで当該ユーザーの登録情報（この場合はメールアドレスと電話番号）を閲覧することができてしまう。クッキーとは違い、ユーザー識別法としてセッションIDをURLに付けている場合には、不正アクセスなどとは無関係に外部に漏れることが想定される。予めシステム側で、別人がそのセッションIDを使った場合を想定して対処しておかなければならない。

■「mixiアプリ」課金システムの問題～ミクシィの対応

　ミクシィは今回の事件に際し、事態を重く受け止め、外部課金システムを使うmixiアプリについては別途審査を行うとし、またmixiアプリ用にミクシィ独自の課金システム導入を急ぎたいとしていた。実際、同社は昨日5日、mixiアプリ向け共通課金システム「mixiペイメントAPI（モバイル）」の提供開始を発表した。これにより、アプリ内の有料アイテム・コンテンツなどの課金サービスに同社が直接対応できるようになる。今回はモバイル用でPC向けのものではないが、今後PC向けの課金システムも検討するという。
　同社の今年度第2四半期決算報告書によれば、mixiアプリの成長は目覚ましく、今後への期待も高いものがある。ユーザーが安心して使える課金システムの整備を望みたい。

（2009/11/06 ネットセキュリティニュース）

■ミクシィ
http://mixi.co.jp/
■mixi,Inc 2009年度第2四半期（2009年7月～9月）決算説明資料[PDF]（ミクシィ）
http://eir.eol.co.jp/EIR/View.aspx?template=announcement&sid=3768&code=2121

◆アドビ、深刻な脆弱性を修正した「Shockwave Player」の最新版を公開（2009/11/05）

  アドビシステムズは3日（現地時間）、複数の脆弱性を修正した「Shockwave Player」の最新版「11.5.1.602」を公開した。

　最新版では、コンテンツ内の不正なインデックスやポインタ、文字列長の取り扱いに関する問題が修正されており、これら脆弱性が悪用されるとクラッシュしたり、外部から任意のコードが実行され、システムが乗っ取られるなどの危険がある。

　影響を受けるのは、Windows版とMacintosh版の「11.5.1.601」および、それ以前のバージョンで、下記「Shockwave Playerのダウンロード」から入手できる。

　Shockwave Playerは、同社のオーサリングソフト「Director」で作成されたコンテンツを再生するプレーヤー。「Flash」と違い日本国内ではそれほど普及していないため、インストールされていないパソコンも多い。

　下記「Adobe Shockwave と Flash Playerのテスト」のページで、プラグインがインストールされているかどうかを確認できるので、インストールされている方は、アップデートを実施していただきたい。テストページのShockwave Playerのボックスに「ここをクリックするとプラグインをダウンロードします」と表示される場合は、インストールされていないので、プラグインのダウンロードやアップデートの必要はない。

（2009/11/05 ネットセキュリティニュース）

■APSB09-16 Security updates available for Shockwave Player[英文]
http://www.adobe.com/support/security/bulletins/apsb09-16.html
■Shockwave Playerのダウンロード
http://www.adobe.com/go/getshockwaveplayer_jp
■Adobe Shockwave と Flash Playerのテスト
http://www.adobe.com/jp/shockwave/welcome/

◆携帯電話オークションサイトを悪用～人気アニメなど海賊版販売の逮捕相次ぐ（2009/11/04）

  携帯電話のオークションサイトはパソコンよりも手軽なことから、市場規模も利用者数も拡大傾向をみせている。これを悪用して海賊版を販売し、逮捕される事件が相次いでいる。違法コピーされたのは、人気アニメやコンピューターソフトなど。逮捕事例のうち1件は、海賊版だけではなく児童ポルノまで販売していた。

■10月21日：アニメなどの海賊版ばかりか児童ポルノまで販売した男を逮捕

　北海道警生活安全特別捜査隊と札幌方面西署は10月21日、岐阜県川辺町在住の無職の男（24歳）を、著作権法違反およびわいせつ図画販売、児童買春・ポルノ禁止法違反の疑いで逮捕、23日に送検した。逮捕容疑は、7月16日と9月21日の2回にわたり、携帯電話のオークションサイトで、レンタル店で借りたDVDを無許可で複製した人気アニメーションのDVD-R 45枚と児童ポルノにあたるDVDを、札幌市内の男性2人に合計金額1万9500円で販売した疑い。
　違法コピー販売されたのは、「機動戦士ガンダム第08MS小隊」「メジャー Major 第1シリーズ」「DRAGONBALL 劇場版 DVD-BOX DRAGON BOX THE MOVIES」。今夏7月、北海道警の捜査員がサイバーパトロールで男の出品を発見し、ACCS（社団法人コンピュータソフトウエア著作権協会）を通して著作権者に連絡したところ、違法コピー商品であることがわかった。逮捕同日に行われた家宅捜索では、携帯電話1台、パソコン一式、DVDレコーダー1台、DVD-R約1000枚、通帳などが押収された。また、この男は児童ポルノにあたるDVDも販売していたことから、わいせつ図画販売、児童買春・ポルノ禁止法違反の疑いでも逮捕された。
・事件・事故速報（北海道警）
http://www.police.pref.hokkaido.jp/info/soumu/dekigoto/rirekidate/21-10-22.html
・携帯オークションで海賊版を販売、男性を逮捕（ACCS）
http://www2.accsjp.or.jp/criminal/2009/0909.php

■10月29日：アドビ海賊版とクラックツール販売で逮捕

　ACCSによると、10月29日、沖縄県豊見城市在住の無職の男（25歳）が、著作権法違反の疑いで茨城県警に逮捕された。逮捕容疑は、6月5日、無許可で複製した米国アドビシステムズ社のコンピュータソフト「Adobe Creative Suite 2 Premium 日本語版(Windows版)」（正規品価格19万7400円）を、携帯電話のオークションサイトを通じて、茨城県古河市の女性に1万円で販売した疑い。購入した女性がソフトのユーザー登録ができないことから県警に被害相談し、相談を受けた古河署員がACCSを通じて著作権者へ連絡して発覚したという。
　県警の取り調べによると、男は昨年9月ごろから逮捕されるまでの1年3か月の間、小遣い稼ぎのために海賊版を約10人に販売し、約30万円を売り上げたという。この男は海賊版を販売したことでオークション事業者にオークションIDを停止されたり、ときには自らIDを停止していた。その後に偽名を使うなどの不正な方法でIDを繰り返し取得し、海賊版出品を続けていたという。また、販売する海賊版にライセンス認証解除の手順書、クラックツールと呼ばれる認証コードの生成ツールや不正シリアルも添付していたという。いずれも正規の認証プロセスを経なくても、海賊版を不正使用できるツールだ。正規品を買ったつもりでも、こういう不正ツールが附属して届いたら海賊版の可能性が高いので注意しよう。
・ 携帯オークションで海賊版とクラックツール販売の男性を逮捕（ACCS）
http://www2.accsjp.or.jp/criminal/2009/0910.php

（2009/11/04 ネットセキュリティニュース）

◆サン、複数の脆弱性を修正した「JRE 5.0/6」の最新版を公開（2009/11/04）

  サンマイクロシステムズは4日、複数の脆弱性を修正したJavaの実行環境、JRE（Java Runtime Environment）の最新版、JRE 6 Update 17（1.6.0_17）と5.0 Update 22（1.5.0_22）を公開した。

　最新版では、画像ファイルやオーディオファイルを扱う際に発生する、複数のバッファオーバーフローや整数オーバーフローの問題などが修正。この脆弱性が悪用されると、細工されたアプレットやJavaウェブスタートアプリケーションがセキュリティの制限を超えてローカルファイルにアクセスできる可能性があり、情報を盗み取られたり任意のプログラムを実行されるおそれがある。

　今回のアップデートでは、この他に英語版のWindows以外の環境でJREのアップデート機能がうまく動作せず最新版に更新できない問題や、デジタル証明書を正しく検証できない問題なども修正されている。

　インストールされているJREのバージョンは、Javaコントロールパネル（コントロールパネルのJavaアイコン）を開き、「バージョン情報」で確認できるほか、コマンドプロンプトで「java -fullversion」と入力して実行、下記「Javaソフトウェアのインストール状況のテスト」のページでも確認できる。

　最新版は、アップデート機能（自働更新機能やJavaコントロールパネルの「今すぐアップデート」）により更新できるほか（※注）、同社サイトから無償でダウンロードできる。

　なお、JREは更新版をインストールしても旧版がパソコン内に残る。そのままにしておくと脆弱性の問題が解消されないため、旧バージョンが不要な場合はアンインストールするようおすすめする。業務や訪問サイトの関係で旧バージョンを残しておかなければならない場合には、普段は無効化しておき、必要な時だけ有効にするとよい。

（※注）
　今回の修正項目には、アップデート機能がうまく動作しない問題が含まれている。JRE 6をインストールした編集部の環境で確認したところ、Windows XPを使用しているパソコンでは正常に更新の通知があり、最新版にアップデートできたが、Windows Vista環境では通知されず、「今すぐアップデート」を実行しても、「このシステムはすでに最新のJavaプラットフォームになっています」と主張しアップデートできなかった。アップデート機能で更新できない場合には、同社サイトで更新していただきたい。

（2009/11/04 ネットセキュリティニュース）

【リリースノート】
・JRE 6 Update 17（サンマイクロシステムズ）
http://java.sun.com/javase/ja/6/webnotes/6u17.html
・5.0 Update 22（サンマイクロシステムズ）
http://java.sun.com/j2se/1.5.0/ja/ReleaseNotes.html#150_22

【ダウンロード】
・JRE 6 Update 17
http://java.com/ja/download/
・JRE 5 Update 22
http://java.sun.com/j2se/1.5.0/ja/download.html

■Javaソフトウェアのインストール状況の確認（サンマイクロシステムズ）
http://www.java.com/ja/download/installed.jsp