ネットセキュリティニュース

■新手の正規サイト改ざんでAdobe Readerのゼロデイ攻撃（2009/12/25)

　ラジオ関西やJR東日本のWebサイトが被害を受けた新手のサイト改ざんで、Adobe Readerの未修整の脆弱性を狙う攻撃コードが使われていることが編集部の調べで分かった。

　修正版の提供は来月13日まで待たなければならないので、それまでの間は、Adobe Reaederを一時アンインスールするか他の互換ビューワーに切り替える、もしくは、以下の手順でAdobe ReaderのJavaScriptを無効にする緩和策を実施していただきたい。

　(1）Adobe Readerを起動し[編集]メニューの[環境設定]を選択
　(2）「分類」の中の「JavaScript」を選択
　(3）「Acrobat JavaScriptを使用」のチェックをクリア
　(4）「OK」ボタンを押す

　これに加え、ウイルス対策ソフトの定義ファイル（パターンファイル）を最新の状態にしてリアルタイムの監視をさせる、信頼できるPDFファイル以外は開かないといった、基本的な対策も合わせて実施していただきたい。

　今回、見つかったゼロデイコードは、「/*GNU GPL*/」や「/*CODE1*/」で始まるサイト改ざんの誘導先に仕掛けられていたもの。この攻撃では、マイクロソフトのMDAC（Microsoft Data Access Components）、Snapshot Viewer、Microsoft Video Control、Adobe Reader、JRE（Java Runtime Environment：Java実行環境）の脆弱性攻撃を仕掛け、ウイルス本体をインストールしようとする。

 　Adobe Readerの脆弱性攻撃は、「ChangeLog.pdf」というPDFファイルの中に複数の攻撃コードが組み込まれており、パソコンにAdobe Readerがインストールされている場合には、この細工されたPDFファイルを自動的に開いて攻撃を行う。

　ラジオ関西「アニたまどっとコム」が改ざんされていた16日朝に取得したPDFファイルには、修正済みの脆弱性を攻撃するコードしか含まれていなかったため、Adobe Readerが最新版であればウイルス本体が実行されることはなかった。

　編集部が24日未明に取得したPDFファイルを調べたところ、現行版ではゼロデイ状態のnewPlayer()メソッドの脆弱性を突くコードが新たに組み込まれていた。この攻撃は、Adobe Reader内のJavaScriptを使って行うものなので、前述のようにAcrobat JavaScriptを無効にしていれば自動実行を回避できる。この攻撃コードが、16日～24日の間のどの時点で実装されるようになったのかは分からない。

　新たなサイト改ざんとゼロデイ攻撃の拡大を受けて、IPAやJPCERT/CCは24日、緊急対策情報を公開し注意を呼び掛けた。JPCERT/CCでも当該脆弱性の悪用を確認しているという。

（2009/12/25　ネットセキュリティニュース）

■ウェブサイト管理者へ：ウェブサイト改ざんに関する注意喚起 一般利用者へ：改ざんされたウェブサイトからのウイルス感染に関する注意喚起（IPA）
http://www.ipa.go.jp/security/topics/20091224.html
■Web サイト経由でのマルウエア感染拡大に関する注意喚起（JPCERT/CC）
https://www.jpcert.or.jp/at/2009/at090023.txt
■Adobe Reader 及び Acrobat の未修正の脆弱性に関する注意喚起（JPCERT/CC）
https://www.jpcert.or.jp/at/2009/at090027.txt

■年末年始のセキュリティ対策、IPAなどが注意呼びかけ（2009/12/25)

　年末年始の長期休暇を控えて、セキュリティ機関などが注意を呼びかけている。

　最近は、Webサイトを閲覧しただけでパソコンがウイルスに感染させられる被害が増えている。情報処理推進機構セキュリティセンター（IPA/ISEC）は、ウイルス感染の被害にあわないよう、使用しているパソコンのOS、ブラウザやメールソフト、動画閲覧ソフト、ドキュメントファイル閲覧ソフトなどに修正プログラムを適用し、最新のバージョンに更新。ウイルス対策ソフトの定義ファイル（パターンファイル）を常に最新の状態にして使用するよう呼び掛けている。

　USBメモリーなどの外部記憶媒体を介したウイルス感染の被害も増えており、「所有者の分からないメモリーや自分で管理していないものをパソコンに接続しない」「自分が管理していないパソコンに自身のメモリーなどを接続しない」といった、被害を未然に防ぐための対策事項を挙げている。

　特にWindowsパソコンには、USBメモリーなどを接続した時に自動的に実行される機能があり、この機能を悪用したウイルスは、USBメモリーなどを接続しただけで感染してしまうことがある。この機能は無効にすることができるので、IPAではツールを提供し、ウイルス感染を防ぐ手段のひとつとして設定の確認と変更を案内している。

　IPAには、長期休暇明けに「ワンクリック請求」の被害相談が数多く寄せられるという。年末年始の長期休暇中これら被害にあわないようにするためには、同意を求めるボタンをクリックする前に利用規約をよく読み、少しでも不審な点があれば、それ以上先には進まず利用を中止する。万が一、画面に請求画面が表示されても慌てず、自分から問い合わせたり、お金を振り込んだりしてはいけない。契約が成立しているか心配な場合は、最寄りの消費生活センターに相談するよう促している。

　これらに加え、編集部からはフィッシングの注意と、ご家庭のパソコンのボット対策をお願いしたい。

　今月に入ってからも、Yahoo! JAPANを装いクレジットカード情報などをだまし取ろうとするフィッシングが相変わらず続いており、休暇中を狙い攻撃が多発する可能性もある。Yahoo!の利用を続けるために、アカウントの継続手続きや会員情報の更新は不要なので、そのような手続きを求めるメールにだまされないよう注意していただきたい。

　ボットに感染した国内のユーザーのパソコンが、海外のフィッシングサイトやウイルス配布サイトに悪用されているケースも目立つ。ボットに感染したパソコンは、起動している間中、攻撃者の意のままに操られ、さまざまな悪事に加担してしまう。ボットに感染していないかどうか、サイバークリーンセンターやマカフィー・フリースキャンなどを使ってチェックし、自宅のパソコンが悪用されないようにしていただきたい。

（2009/12/25　ネットセキュリティニュース）

■年末年始における注意喚起（IPA）
http://www.ipa.go.jp/security/topics/alert211221.html
■年末年始におけるインターネット利用に関する注意喚起[PDF]（経済産業省）
http://www.meti.go.jp/policy/netsecurity/downloadfiles/nenmatsunenshi.pdf
■冬期の長期休暇を控えて（JPCERT/CC）
http://www.jpcert.or.jp/pr/2009/pr090007.txt
■冬期の長期休暇を控えて Vol.2（JPCERT/CC）
http://www.jpcert.or.jp/pr/2009/pr090008.txt

■JR東日本も改ざん～「アニたまどっとコム」に続き新手の正規サイト改ざん（2009/12/24）

　ラジオ関西の「アニたまどっとコム」に閲覧者をウイルスに感染させるためのJavaScriptが埋め込まれた問題で、同様の改ざん被害を受けている国内サイトが他にもいくつかあることが編集部の調査で分かった。23日にはJR東日本のホームページが同種の改ざん被害を受け、HPを一時停止した。

■ JR東日本のホームページでウイルス感染のおそれ

　JR東日本は23日、不正アクセスを受けホームページ（HP）の一部が改ざんされたとして、同日未明より夕方までの約17時間、HPを一時停止した。
　同社によると、21日に利用者からの指摘でキーワード検索の改ざんが判明。その後、被害の拡大が分かり調査と修復のためHPを一時停止した。調査の結果、HP内のキーワード検索が8日21時40分～21日23時55分までの間、大人の休日倶楽部内の東京講座ページが18日11時～22日21時までの間、改ざん状態にあったという。
　同社の発表では、原因はGumblarによるものとしているが、編集部ではラジオ関西の「アニたまどっとコム」と同種の新手の改ざんであることを確認している。この改ざんは、埋め込まれる文字列やインストールされるウイルス（トロイの木馬）などはGumblarと別物だが、閲覧者に脆弱性攻撃を仕掛けてウイルスに感染させようとする点は同じ。Adobe Readerなどをアップデートせずに古いバージョンのまま使用しいる状態で、改ざんされていた期間にキーワード検索を行ったり該当ページを閲覧した場合には、パソコンにウイルスがインストールされた可能性がある。
・（お詫び）ホームページの再開について（JR東日本）
http://www.jreast.co.jp/apology/20091223_restart.html

【サイトに埋め込まれるのは難読化されたJavaScript】

　今回の改ざんでは、攻撃サイトのJavaScriptをロードさせるために、ページの先頭や末尾、JavaScriptファイル（.js）などに難読化されたJavaScriptを挿入する。これまでに見つかっているのは、「アニたまどっとコム」やJR東日本にも埋め込まれていた「<script>/*GNU GPL*/ try{window.onload」で始まるタイプと、「<script>/*CODE1*/ try{window.onload」で始まるタイプの2種類。いずれも、その後のURL部分が難読化されている点。接続先がロシアのドメイン（.ru）の8080ポートである点。「google.com」などの著名なドメイン名をサブドメイン名やパス名に複数並べたかなり長いURLである点などの特徴を持つ。
　このJavaScriptが埋め込まれた改ざんページは、現時点ではJS:Illredir-A（Avast、GData）、Trojan-Clicker.JS.Iframe.cz（カスペルスキー）、Script.iFrame.AL（マカフィー）、JS/TrojanDownloader.Agent.NRL（NOD32）などの検出名で、比較的安定して検出される。

【既知の脆弱性攻撃】

　使われているロシアのドメイン名は多数あるが、それらは全てオランダとフランスのIPアドレスを持つ5つのサーバーのいずれかに接続するように構成されている。これら攻撃サイトでは、現時点ではマイクロソフトのMDAC（Microsoft Data Access Components）、Snapshot Viewer、Microsoft Video Control、Adobe Reader、JRE（Java Runtime Environment：Java実行環境）の脆弱性攻撃を仕掛け、ウイルス本体をインストールしようとする。
　メインのJavaScriptは、現時点では、Avast、G DATAがHTML:RedirBA-inf、マカフィーのゲートウェイエディションがHeuristic.BehavesLike.HTML.Suspicious.Hなどで検出するほか、Adobe Reader攻撃用のPDFファイルやJRE攻撃用のJARファイル、最終的に投下される実行ファイル（EXEファイル）なども各社がポツポツ検出しているのだが、コードが頻繁に変わるせいか、改ざんページに比べると検出の安定度が低い。
　ちなみに、攻撃成立時に実行されるウイルス本体は、「Bredolab」や「HDrop」で検出されたり、汎用名で検出されたり、検出できなかったりと、こちらも微妙だ。困ったことに、このウイルスは他の不正なプログラムをダウンロード・実行するのが主な役目で、実行時にシステムに何がインストールされたかがわからない。情報を盗み取るスパイウェアやパスワードスティーラ―、外部からパソコンを操るためのボット、偽ウイルス対策ソフトなど、これまでに様々な脅威をインストールして来た系列のウイルスだ。

【感染被害にあわないための予防策】

　今回の攻撃では、Gumblar同様、システムやプラグインの脆弱性を突いて、ウイルス本体を自動実行しようとする。ターゲットとなるソフトウェアの脆弱性が解消されていれば、攻撃されてもウイルスに感染することはないのである。Gumblarの時にもお伝えしたが、以下を必ず実行していただきたい。

・Microsoft Update（Windows Update）を実行し、システムを最新の状態にする
・Adobe Readerを最新版に更新する（12/24現在の最新版は9.2.0）
・Flash Playerを最新版に更新する（12/24現在の最新版は10.0.42.34）
・JREを最新版に更新する（12/24現在の最新版はJRE 6 Update 17（1.6.0_17））

　現在の攻撃には、Flash Playerの攻撃コードは含まれていないが、悪用されることの多いプラグインなので必ず行っていただきたい。今回の攻撃では、GumblarにはなかったJREが攻撃対処に加わっている点に特に注意していただきたい。JREは、購入時に標準でインストールされていることが多いので、自分でインストールした覚えがなくても、改めてチェックしていただきたい。

（2009/12/24　ネットセキュリティニュース）

「無料」オンラインゲームで高額請求～小学生の被害多発、国や都が注意喚起（2009/12/18）

　パソコンや携帯電話で楽しめる「無料オンラインゲーム」が人気を集めているが、無料とうたっていても、実際はさまざまな利用料金がかかっていることがある。とりわけ携帯ゲームサイトで高額請求を受けたという相談事例が相次いでいることから、消費者庁、東京都消費生活総合センター、国民生活センターが16日、緊急消費者被害情報を発して注意を喚起した。

■「小学生の被害」際立つ

　発表によると、今年4月から11月末日までの8か月間に寄せられたオンラインゲームに関する相談は654件で、このうち273件が無料オンラインゲームに関する相談だった。そのうちのおよそ4割に相当する110件は20歳未満の利用者によるものだが、小学生が利用してトラブルが発生したというケースが51件もあったことが際立っている。

　総務省の調査結果によるとモバイルコンテンツ市場は右肩上がりの成長を示し、2008年前年比113％増の4835億円に達している。このうちモバイルゲーム市場は869億円（前年比102％）で不況下でも堅調に推移しており、アバターおよびゲームサイトで販売するアイテムなどの市場は156億円で前年比262％という急成長ぶりだ。

　こうした状況を反映してか、相談内容で多く見られるのが、テレビで無料と宣伝していた、友達から無料と聞いたなど、無料ゲームと思いこんでいたら、あとになって通信料やアイテム購入費として高額の請求が舞い込んだというものだ。

■ゲームは無料でも、通信料やアイテムは有料

　ゲームは無料であっても、携帯電話を使用すれば通信料金がかかる。あらかじめパケット通信制などで通信料に一定の上限を設定しておく必要がある。また、アイテム販売市場の急成長が物語るように、最近のゲームは進行に有料アイテムが必要となっていることが多い。子どもが利用する際には、保護者がこうしたゲーム事情を把握しておくことや、利用規約などに目を通して料金発生の仕組みを理解したうえで、子どもに無料ゲームを楽しむには「実際にはお金を払わなくてはいけない」と伝える必要がある。

　国民生活センターでは消費者に注意を喚起する一方で、日本オンラインゲーム協会とモバイル・コンテンツ・フォーラムに対し、利用料や通信料がかかることが分かるような表示や広告を行うよう要望したという。

■ワンクリック詐欺などのトラブルも

　このほか、無料ゲームサイトに登録したところ、年会費を請求されたり、退会しようとして退会手続き料を請求されるワンクリック詐欺や、ゲームサイト内で知り合った人物に個人情報を教えてしまったり、出会い系に誘われたりという相談事例も少なくない。

　ワンクリック詐欺の被害を避けるには、安易にアクセスしないことはもちろん、料金請求を受けても慌てて業者に連絡したり、言われるがままに支払いをしないことだ。また、ネット利用に際してはさまざまなトラブルを避けるために、不用意に個人情報を教えないことを徹底したい。

　不況下にあるとなんであれ「無料」は心をくすぐるが、「タダより高いものはない」と昔からいう。財布を開かずに、クリックするだけでお金が動くネットでは、とくに子どものうちからこの言葉の意味を噛み締めることが、被害予防につながるのではないだろうか。

（2009/12/18　ネットセキュリティニュース）

■インターネットをめぐる消費者トラブルについて（＃2 「無料オンラインゲーム」）[PDF]（消費者庁）
http://www.caa.go.jp/adjustments/pdf/091216adjustments_2.pdf
■緊急消費者被害情報　携帯電話の無料ゲームで高額請求（東京都）
http://www.metro.tokyo.jp/INET/OSHIRASE/2009/12/20jcg300.htm
■「無料」のはずが高額請求、子どもに多いオンラインゲームのトラブル（インターネットをめぐる消費者トラブル　＃2）（国民生活センター）
http://www.kokusen.go.jp/news/data/n-20091216_2.html
■ モバイルコンテンツの産業構造実態に関する調査結果（総務省）
http://www.soumu.go.jp/menu_news/s-news/02ryutsu04_000016.html

モジラ、複数の深刻な脆弱性を修正した「Firefox 3.5.6/3.0.16」公開（2009/12/17）

　Mozilla Japanは15日、複数の脆弱性を修正したFirefoxの最新版「3.5.6」と「3.0.16」を公開した。Mozilla JapanのWebサイト、[ヘルプ]メニューの[ソフトウェアの更新を確認]、または自動アップデート機能を通じて入手することができる。

　「3.5.6」では、ブラウザエンジンとJavaScriptエンジンで発生するメモリ破壊の問題、メモリの安全性に影響するメディアライブラリの問題、動画ライブラリで起こる整数オーバーフローの問題など、悪用されると任意のコードが実行されるおそれのある重要度「最高」の脆弱性3件のほか、計7件の問題を修正。

　「3.0.16」では、「3.5.6」と共通の脆弱性5件が修正されており、ブラウザエンジンでメモリ破壊が起こる重要度「最高」の問題も含まれている。

　Mozilla Japanは、すべてのFirefoxユーザーに最新版への更新を推奨。サポート終了が来月に迫っている3.0系のユーザーには、3.5への更新を呼び掛けている。3.5.6への更新は、Firefox 3.0の[ヘルプ] メニューから[ソフトウェアの更新を確認]を選択すれば簡単に行える。

（2009/12/17 ネットセキュリティニュース）

■Firefox 3.5.6
・リリースノート（Mozilla Japan）
http://mozilla.jp/firefox/3.5.6/releasenotes/
・セキュリティアドバイザリ（Mozilla Japan）
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox35.html#firefox3.5.6
■3.0.16
・リリースノート（Mozilla Japan）
http://mozilla.jp/firefox/3.0.16/releasenotes/
・セキュリティアドバイザリ（Mozilla Japan）
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox30.html#firefox3.0.16

リアル店舗よりネットが多い「海賊版」流通～加害者にならないために（2009/12/17）

　特許庁は、模倣品・海賊版の撲滅や知的財産保護の重要性を広く周知するため、11日から「模倣品・海賊版撲滅キャンペーン」を始めた。2003年度から毎年実施されているもので、今年度のキャンペーン期間は2010年3月31日まで。

　模倣品とは、特許、実用新案、意匠、商標などの知的財産権を侵害した製品。バッグや時計などの偽ブランド品のほか、近年は医薬品の模倣品（偽造薬、模造薬）が増加している。また、海賊版は著作権や著作隣接権を侵害する製品で、違法にコピーしたソフトウエア、音楽CD、映画DVD、ゲームソフト、マンガなどが該当する。

●店舗販売よりもネット利用が多い「模倣品・海賊版」流通
　特許庁が国内の8000社等に対して行った「2008年度模倣被害調査」によると、模倣品被害総額は年間983億円にのぼる。「政府模倣品・海賊版対策の相談業務に関する年次報告書」によれば、政府模倣品・海賊版対策総合窓口が受理した被害相談のうち、約8割がインターネット取引に関連している。警察庁が9月に発表した「平成21年度上半期年中における主な生活経済事犯の状況について」でも、模倣品・海賊版の流通では店舗販売よりもオークションなどのネット利用が多い。
　いっぽう、昨年10月に内閣府が発表した「知的財産権に関する世論調査」では、こうした模倣品購入について国民の約半数が「購入するのは仕方がないと思う」と容認している。

　こうした背景から、今年度のキャンペーンでは、インターネットショッピングによる模倣品購入をテーマの一つに取り上げており、期間中限定開設のWebサイトでは、模倣医薬品をネットで購入して健康被害にあう例がドラマ仕立てで紹介されている。また、ポスターには「ネットでコピー商品。安いから、面白いから。その気軽さが、いちばんあぶない」と大書されている。

　模倣品・海賊版をなくすためには、「コピーをしない」「コピー製品を売らない」のはもちろんだが、「買わない」ことも重要だ。今回のキャンペーンでは、「だから、私は買わない」というキャッチフレーズで国民を啓発している。オークションでも通販でも、よく考えてからクリックしよう。また、真贋不明な商品をネットオークションに出品するのも避けたい。

（2009/12/17　ネットセキュリティニュース）

■平成20年度模倣品・海賊版撲滅キャンペーンについて
http://www.jpo.go.jp/cgi/link.cgi?url=/torikumi/mohouhin/mohouhin2/no_fakes/h20_no_fakes.htm
■キャンペーン特設ＷＥＢサイト
http://www.kawanai.go.jp/
■政府模倣品・海賊版対策の相談業務に関する年次報告書（経済産業省）
http://www.meti.go.jp/press/20090629004/20090629004-2.pdf
■2008年度模倣被害調査（特許庁）
http://www.meti.go.jp/press/20090407001/20090407001.html
■「知的財産に関する特別世論調査」の概要（内閣府政府広報室）
http://www8.cao.go.jp/survey/tokubetu/h20/h20-chizai.pdf

Adobe Readerの脆弱性狙うトロイの木馬、添付PDFに注意（2009/12/16)

　米アドビシステムズは14日（現地時間）、Adobe Reader/Acrobatの最新版である9.2およびそれ以前のバージョンに新たな脆弱性が見つかり、これを悪用した攻撃が報告されていることを公式ブログで明らかにした。

　同15日のブログでは、この脆弱性（CVE-2009-4324）の影響を受けるのは、Windows、Macintosh、Unix向けのAdobe Reader/Acrobatの9.2およびそれ以前のバージョンで、攻撃を受けるとシステムがクラッシュしたりパソコンを乗っ取られるおそれがあるとし、現在、ユーザーに対するリスク評価を検討中であると述べている。

　セキュリティベンダー各社も一斉に警告情報を発表している。シマンテックによれば、メールに添付されたPDFファイルを開くことで攻撃が行われる。Adobe Reader/Acrobatのどちらかがインストールされている状態で、細工されたPDFファイルを開くと、他サイトからウイルスをダウンロードし、インストールしようとする。

　脆弱性はJavaScript周辺にあるとみられ、Adobe ReaderのJavaScript（Acrobat JavaScript）を無効にすることが推奨される。信頼できるPDFファイル以外、開かないことはもちろんである。

【JavaScriptを無効にする方法】
　Adobe Readerの[編集]メニューの[環境設定]で、「分類」の「JavaScript」を選択。「Acrobat JavaScriptを使用」のチェックボックスをクリアし、「OK」ボタンを押す。

（2009/12/16 ネットセキュリティニュース）

■アドビシステムズの公式ブログ（英文）
・New Adobe Reader and Acrobat Vulnerability（Adobe）
http://blogs.adobe.com/psirt/2009/12/new_adobe_reader_and_acrobat_v.html

■セキュリティベンダー各社の情報（英文）
・Adobe Reader and Acrobat (CVE-2009-4324) Remote Code Execution Vulnerability（SecurityFocus）
http://www.securityfocus.com/bid/37331
・Adobe Reader and Acrobat Unspecified Code Execution Vulnerability（VUPEN Security）
http://www.vupen.com/english/advisories/2009/3518
・Adobe Reader/Acrobat Code Execution Vulnerability（Secunia）
http://secunia.com/advisories/37690/
・Zero-Day Xmas Present（Symantec）
http://www.symantec.com/connect/blogs/zero-day-xmas-present
・New Adobe 0-day（Sophos）
http://www.sophos.com/blogs/sophoslabs/?p=7974
・When PDFs Attack II - New Adobe Acrobat [Reader] 0-Day On the Loose（Shadowserver Foundation）
http://www.shadowserver.org/wiki/pmwiki.php/Calendar/20091214

ボット仕掛けの「VISA」装うメール出回る～フィッシング対策協も注意喚起（2009/12/16）

　フィッシング対策協議会は14日、VISAを装い偽サイトに誘導しようとするフィッシングメールが出回っているとして注意を呼び掛けた。誘導先の偽サイトは、国内のユーザーも多数加わっているZeuS/Zbot系のボットネットがホストしており、勢力拡大キャンペーンを実施中。うっかりアクセスしてしまうと、Zbotに感染してしまう。

　ZeuS/Zbot系のボットネットは、連日連夜、活動を続けており、最近では、JPモルガン・チェース銀行やアメリカンエキスプレスカードなどを装うフィッシングを仕掛ける一方、IRS（米国税庁）やCDC（アメリカ疾病予防管理センター）などを装うウイルスサイトも運営。Facebookのアカウントを詐取するフィッシングでは、ついでにアップデートツールと称したウイルスも配布するダブル攻撃も決行。盛んに感染者の拡大を図っている。

　今回のVISAを詐称するメールは、11～13日にかけて仕掛けられていたウイルス感染用の偽サイトに誘導するもので、中1日空いた15日から再び精力的なキャンペーンが展開されている。誘導メールは、「possible fraudulent transaction…」の件名で届き、「あなたのカードが○○（いろいろな国名）のATMで使われたが、セキュリティ上の理由により処理を拒否したから報告書を確認するように」と促し、ボットネットがホストする偽サイトへと誘導する。

　VISAのロゴをあしらった偽サイトには、報告書と称した「cardstatement.exe」が置かれており、指示に従ってダウンロード・実行してしまうと、Zbotがインストールされる。今回の偽サイトには、Adobe ReaderやマイクロソフトのVideo ActiveXコントロール、MDAC（Microsoft Data Access Components）などの脆弱性を突く攻撃コードも仕掛けられており、ソフトウェアのアップデートを怠っていたユーザーの場合には、偽サイトのリンクをクリックしただけで感染してしまうおそれもある。

　ずいぶんなことをしてくれるのだが、これが全てボットに感染し攻撃者の配下に置かれてしまったユーザーのパソコンが、真のオーナーに内緒で行っていることなのだ。

　ボットネットに悪用されたドメイン名は比較的短時間のうちに無効化され、メールに記載されたURLではアクセスできなくなるが、母体となるボットネット自体は、多数の感染パソコンに支えられて、今もなお休むことなく稼働を続けている。攻撃者はそこに次々と新たなドメイン名を投入し、配下のパソコンにフィッシングサイトやウイルスサイトをホストさせて攻撃を続けている。

　配下のパソコンがなくなれば、ボットネットは自ずと崩壊する。ネットを利用するユーザーひとりひとりが、ボットに感染しないように、万が一感染しても早期に駆除してボットネットを離脱できるように、しっかりとしたウイルス対策を行っていただきたい。

（2009/12/16 ネットセキュリティニュース）

■VISAをかたるフィッシング(2009/12/14)（フィッシング対策協議会）
http://www.antiphishing.jp/alert/alert1022.html
■サイバークリーンセンター
https://www.ccc.go.jp/

Yahoo! JAPANをかたるフィッシィング、新パターンで12月も継続中（2009/12/16)

　Yahoo!オークションやYahoo!カスタマーセンターなどと称するメールで釣り、本物そっくりの偽サイトに誘導し、個人情報やクレジットカード情報などを盗み取ろうとするフィッシングが、相変わらず続いている。変わり映えしない騙しの手口なのだが、12月に入って、やや変化が見られた。フィッシングメールの件名と偽サイトに誘導する文言が、少々変ったのだ。

【これまでの誘導パターン】
　これまでのYahoo! JAPANのフィッシングメールの誘導パターンは2つに大別できる。1つは、Yahoo! Auctionの案内を装って会員登録を更新させようとするもので、「更新が行われない場合、出品制限等の不具合を起こす場合もあります」と偽サイトに誘導する。もう1つは、Yahoo! JAPANのカスタマーセンターを装い、オークションを今後も継続して利用するにはユーザーアカウント継続手続きが必要だとして、偽サイトのリンクをクリックさせようと誘導する。
　実際は、「Yahoo! JAPAN ID」も「Yahoo!プレミアム」も、個人情報入力を伴う更新手続きは不要だ。それを知らないと、手続きしないとサービスが利用できなくなってしまうと思い込み、偽サイトに誘導され、大事な個人情報を入力して盗み取られることになる。
　こうした偽メールは、「【重要なお知らせです】」「Yahoo!カスタマーセンターより重要なお知らせ」「ヤフージャパンＩＤに関する大切なお知らせ」などといった件名で届き、文面はヤフオクのユーザーに会員登録情報の更新を求めるものだった。

【新たな偽メールのパターン】
　今月に入って出回っている最新版は、「【※事務局からのお知らせ※】」という件名に変わっている。文面は「現在Yahoo! JAPANではセキュリティの強化を行っています。利用制限等の不具合を起こさない為にも、お手数とは思いますがお客様のご登録情報の更新をお願い致します」となり、これまで前面に出していたオークションはひっこめている。
　だが、件名や文言を変えても、偽サイトに誘導して個人情報を入力させる手口には変わりがない。新バージョンの場合、「セキュリティ強化」とか「利用制限」などの文言に驚いて釣られないようにすることがポイントだ。

　繰り返すが、Yahoo! JAPANの場合、サービス利用における会員情報の更新やアカウントの継続手続きは必要ない。したがって、更新や継続の手続きを促すメールが届いても、記載されたURLをうかつにクリックしないよう、くれぐれも注意したい。

（2009/12/16　ネットセキュリティニュース）

■Yahoo! JAPANのリリース
・そのメール本当にYahoo! JAPAN？
http://security.yahoo.co.jp/qa/index.html
・ IDやパスワードをだまし取ろうとするページについて
http://help.yahoo.co.jp/help/jp/common/common-07.html

ボット感染に注意：フィッシング等に悪用される国内ユーザーのパソコン多数（2009/12/15)

　ボットに感染した国内ユーザーのパソコンが、フィッシングやウイルス配信などに悪用される例が、後を絶たない。当編集部はフィッシングサイトの調査を継続的に行っているが、とくにここ数週間、国内IPアドレスの悪用例が目立っているため、注意を喚起しておきたい。

　ボットはロボットの略で、ユーザーのパソコンをロボット化して外部から意のままに繰ろうとして仕掛けられる悪質なプログラムだ。ボットに感染したパソコンは、ボットネットと呼ばれるネットワークに組み込まれてしまう。このため、起動するとユーザーが知らないうちに攻撃者の指示に従ってフィッシングやスパムメールの配信、特定サイトへの攻撃などの悪事を働く。

　このボットネット（ZeuS/Zbot系が多い）とFast-Flux（ファストフラックス）と呼ばれるテクニックを使ったフィッシングが、ここ最近、とくに頻繁にみられるようになった。

　Fast-Fluxは、URLなどに書かれているホスト名に対し複数のIPアドレスを登録し、実際に接続する接続先を次々に切り替えていく手法だ。攻撃者は、ボットネット配下の感染パソコンに偽サイトを設置させ、この手法を用いて感染パソコンがホスティングしている偽サイトへと誘導する。編集部の観測では、15台くらいを1セットにしてホスティングさせているうち、5台が国内ユーザーのパソコンというケースもあった。

　偽サイトのホスティングに悪用されていた国内の感染パソコンのユニークIPをみると、ぷらら、UCOM、CTC（中部テレコミュニケーション）、eonet（ケイ・オプティコム）、so-net、JCN熊本、ソフトバンクBB、J:COM、朝日ネット、SANNET（NTTデータ三洋システム）など。

　Windows7が発売されたこともあり、パソコンを買い替えたり新たに購入した人も少なくないだろう。パソコンへのウイルス侵入を監視するウイルス対策ソフトの導入や日常的な予防策がは必須だ。そうした対策を怠っていると、知らない間にボットにも感染し、こっそり悪用されることになりかねない。この機会にボットに感染してWebサーバになっていないかどうか、パソコンをチェックしてみてはいかがだろうか。もし感染していたら駆除するのは当然だが、感染していない場合も予防策の実施を日常的に徹底することをお奨めする。

■ ボット感染の簡易版チェックと駆除

　自分のパソコンがボットに感染し、Webサーバーにされていないかどうかを確認するには、ブラウザのURL入力欄にhttp://127.0.0.1/と入力してアクセスみることだ。「このページは表示できません」「正常に接続できませんでした」などとブラウザに表示されたら、Webサーバーとして使われていない。もしアクセスできたり、「403」など他のエラー表示が出る場合は、すみやかにウイルスを駆除しよう。サイバークリーンセンターでは無料の検出・駆除ソフト「CCCクリーナー」をダウンロードできる。So-netでも無料のウイルス診断「マカフィー・フリースキャン」を提供している。
　
■ボットを防ぐ日常的かつ基本的な方法

　ボットはウイルスの一種であり、通常のウイルス対策と同じ防御策が有効だ。感染防止のためには、次の5つの対策をとっておこう。

1) OSや使用しているソフトを常に最新の状態にし、脆弱性攻撃を受けないようにする。
2) 信頼できるサイトやメール、ファイルしか開かないようにし、リンクも決してクリックしない。
3) ウイルス対策ソフトを導入し、常に最新の定義ファイルを適用する。
4)「Windowsファイアウォール」などの不正な通信を防御する機能を有効にする。
5) インターネットとパソコンの間にルーターを設置し、外部からの直接攻撃を遮断する。

（2009/12/15 ネットセキュリティニュース）

■サイバークリーンセンター
https://www.ccc.go.jp/
■マカフィー・フリースキャン
http://www.so-net.ne.jp/option/security/freescan-jp/mfs/FreeScan_EULA_Page.htm
■So-netのボット(BOT)ウイルス対策
http://www.so-net.ne.jp/security/taisaku/bot.html

Gumblar被害拡大中(3) 予防対策（2009/12/11）

■Gumblarの被害にあわないための予防策

　これは今までもお伝えしてきたことだが、非常に大事なことなので、繰り返しお伝えしたい。必ず実行していただきたい。

・Microsoft Updateを実行し、システムを最新の状態にする
・Adobe Readerを最新版に更新する（12/11現在の最新版は9.2.0）
・Flash Playerを最新版に更新する（12/11現在の最新版は10.0.42.34）

■サイト管理者がしなければならないこと

　サイトを運営している方は、以下を実行していただきたい。

・サイトに見知らぬリンクが埋め込まれていないか確認する。
・サイトに見知らぬPHPファイル（名前は不定）が設置されていないか確認する。
・改ざんやウイルス感染が見つかった場合には、ウイルスに感染していないパソコンからサイトのパスワードを変更する。（ウイルスが通信を監視しているので、感染したパソコンからパスワードを変更しても無意味。新しいパスワードも攻撃者につつぬけとなっている）
・埋め込まれていたリンクはJPCERT/CCに報告する。

　なお、誘導リンクを埋め込まれているサイトが、同時に、PHPファイルを置かれて攻撃サイトとして利用されている状況をしばしば目にする。万が一、誘導リンクを埋め込まれていた場合は、PHPファイルの確認もしっかり行っていただきたい。

　また、放置状態のサイトが改ざんされているケースもよく見かける。もしあなたの友人や知人がサイトを放置していたら、ぜひ注意を呼びかけていただきたい。

・インシデント報告の届出（JPCERT/CC）
https://www.jpcert.or.jp/form/

■感染が心配な人は

　複数のオンラインスキャンを実行してみることをおすすめする。下記資料が参考になるだろう。

・【注意喚起】Gumblarおよびその亜種に関する大量の感染事例について（LAC）
http://www.lac.co.jp/info/alert/alert20091119.html

（2009/12/11 ネットセキュリティニュース）

Gumblar被害拡大中(2) 現在のGumblar：感染するとどうなる？（2009/12/11）

■現在のGumblar

　前掲の「復習編：「Gumblar」って何？/攻撃の流れ」の内容を頭に入れて、セキュリティベンダーが最近発表した資料を見ると、Gumblarが今も活発に活動していることが分かる。

　まず、ローダー「Gumblar.x」を非常に良好な成績で検出しているカスペルスキーでは、これまでに、ローダーや攻撃コード、ウイルス本体の置かれた攻撃サイトを2000件以上、リダイレクターが置かれたサイトを7万6100件以上確認したとしている。また、同社の11月の「インターネット上のマルウェアランキング」では、「Gumblar.x」がダントツの1位。ダウンロード試行回数は171万4509回で、2位のマルウェアの18万9881回に比べ、桁違いに多い。「Gumblar.x」の亜種「Gumblar.w」も、10位にランクインしている。

　トレンドマイクロの11月の「不正プログラム感染被害報告数ランキング」では、「Kates」が307件で1位だ（10月には48件で4位）。また、ローダー「JS_GUMBLAR」（Gumblar.xと同じもの）が5位となっている（10月は圏外）。

・Gumblar infection count[英文]（Kaspersky Lab）
http://www.viruslist.com/en/weblog?weblogid=208187923
・マルウェア マンスリーレポート：2009年11月（カスペルスキー）
http://www.kaspersky.co.jp/news?id=207578794
・インターネット脅威マンスリーレポート - 2009年11月度(トレンドマイクロ）
http://jp.trendmicro.com/jp/threat/security_news/monthlyreport/article/20091202102123.html

■Daonol/Kates/Landoに感染すると

　Gumblarによってパソコンに送り込まれるウイルスがWebサイト更新用のFTPアカウントを盗み、これが悪用されてWebサイトが改ざんされるということは、ご存じの方が多いだろう。認識がそこで留まると、Gumblarの影響を受けるのはサイトを運営している人だけだと思ってしまうかもしれない。

　しかし、ウイルスDaonol/Kates/Landoが行う悪事はこれだけではない。サイト管理者だけでなく、すべての人に影響が及ぶのだ。春の時点での情報も含め、これまでにセキュリティベンダーから報告されているDaonol/Kates/Landoの悪事には、以下のようなものがある。

・感染したパソコンの通信を監視し、FTPサーバへのログイン名とパスワードを盗んで攻撃者に送信する。FTPアカウントだけでなく、入力した各種のログインIDやパスワードすべてを盗んでいる可能性もある。
・感染パソコンをボットネットの一員としてしまう。そのため、スパム活動に加担させられたり、偽セキュリティソフト詐欺の被害にあったりするおそれがある。
・Googleなどの検索結果を操作する。その結果、攻撃者が関与する悪質なサイトを閲覧してしまい、別のウイルスに感染するおそれがある。
・Adobeや、セキュリティ関連のサイトにアクセスできないようにする。

　また、10月以降の攻撃でDaonol/Kates/Landoに感染したパソコンの一部では、「真っ黒の画面にマウスポインタだけが表示され、その後の操作ができない」という症状が発生している。これはウイルスのバグによって起こる現象だとみられているが、このウイルスが引き起こす厄介な症状であることに変わりはない。

　ただし、攻撃者はいつでもウイルスを新しいものに置き換えることができる。上記の症状が必ず発生するわけではないし、今後、まったく別の症状が起こることも予想される。
・盗み出されたFTPログイン情報からWebサイト改ざんに発展（トレンドマイクロ）
http://jp.trendmicro.com/jp/threat/securityheadlines/article/20090618073737.html
・「GENOウイルス」対策について（G DATA）
http://gdata.co.jp/press/archives/2009/05/geno.htm
・Win32/Daonol[英文]（Microsoft）
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fDaonol
・黒い画面にマウスカーソル (Win32/Daonol)（MSRC Blog）
http://blogs.technet.com/jpsecurity/archive/2009/10/23/3288625.aspx

（2009/12/11 ネットセキュリティニュース）

Gumblar被害拡大中(1) 復習編：「Gumblar」って何？/攻撃の流れ（2009/12/11)

　Webサイトを改ざんし、閲覧者をウイルスに感染させるための悪質なコードを仕掛ける、通称「Gumblar」。春に猛威をふるい、その後しばらく静かにしていたGumblarが10月に攻撃活動を再開したことや、春の攻撃と10月以降の攻撃での相違点については、何度かお伝えしてきたところだ。Gumblarによる被害は、現在も拡大し続けている。被害にあわないために、後に挙げる予防策をしっかり実行していただきたい。

　最初に、Gumblarについてよく知らない方のために、Gumblarとは何か、どんな攻撃をするのかについて、踏まえておきたい。

■何を「Gumblar」と呼んでいるのか

　「Gumblar」という言葉を検索すると多数の情報が見つかるのだが、「何をGumblarと呼んでいるのか」という点を見ると、実はばらばらだ。「Webサイトに意図しないJavaScriptを埋め込む攻撃」としているサイトもあれば、「コンピュータウイルスの一種」「トロイの木馬型のウイルスで、JSRedir-Rとも呼ばれる」としているサイトもある。

　編集部では、ウイルス感染につながる一連の攻撃全体を「Gumblar」と呼んでいる。攻撃が成立して、最終的にユーザーのパソコンに入りこむのが、「Daonol」「Kates」「Lando」などと呼ばれているウイルス（トロイの木馬）だ。このことを頭に置いて、以下を読んでいただきたい。

■攻撃の流れ

　Daonol/Kates/Landoに感染させることがGumblarの目的だが、攻撃の過程ではいくつかの「道具」が使われる。ウイルス感染に至る流れの順に挙げると、閲覧者を他のサイトに誘導する「リダイレクター」。脆弱性攻撃を仕掛ける“細工されたファイル”を読み込ませる「ローダー」。そして、このローダーが読み込ませる、脆弱性攻撃を仕掛ける“細工されたファイル”（PDFやSWF）を「攻撃コード」と呼ぶ。

　サイト閲覧者が最初に遭遇するのは、改ざんされた一般サイトに埋め込まれたリダイレクターだ。これは、閲覧者を別サイトに誘導（リダイレクト）するScriptタグ。ちなみに、春の攻撃の時点では、リダイレクターが埋め込まれたページをセキュリティソフトが「JSRedir-R」などとして検出していた。現在は、春の攻撃と違い誘導先が固定していないため、これを検出するのが難しくなっている。

　誘導先のサイトには、攻撃コードを読み込ませるローダーが仕掛けられている。ローダーはJavaScriptで書かれており、「Gumblar.x」などの名前で検出される。このJavaScriptは、ローダーであると同時に、Office WebコンポーネントとIEの脆弱性攻撃を仕掛ける攻撃コードも含んでおり、これらの脆弱性が解消されていないパソコンではここで攻撃が成立し、Daonol/Kates/Landoがダウンロード/実行される。

　ローダーの次に出会うのが攻撃コードで、Gumblarの場合は、Adobe Readerの脆弱性攻撃用に開くPDFファイルと、Flash Playerの脆弱性攻撃用に開くSWFファイルを指す。古いバージョンのAdobe ReaderやFlash Playerがパソコン内に存在すると攻撃が成立し、Daonol/Kates/Landoがダウンロード/実行される。

　セキュリティソフトは、リダイレクター、ローダー、攻撃コード、Daonol/Kates/Landoのすべてを検出対象とし、感染を防ごうとしている。これらの「道具」とウイルス本体は頻繁に更新されるので、セキュリティソフトは、常に最新の状態で使用しなければならない。

（2009/12/11 ネットセキュリティニュース）

顧客情報がネットで閲覧可能に～JAくにびき/サイレックス/Digipri（2009/12/10）

　ホームページからの顧客情報流出が3件、明らかとなった。JAくにびきでは7716件、サイレックス・テクノロジーでは527件、Digipriでは16件の顧客情報が閲覧可能となっていた。

■ JAくにびき、操作ミスで顧客情報7716件が閲覧可能に

　くにびき農業組合（島根県松江市）は11月30日、顧客情報7716件がインターネット上で閲覧可能になっていたと発表した。同JAによると、8月10日から11月24日までの期間、個人顧客6667名の氏名、生年月日、年齢、住所、電話番号と、法人顧客1049件の名称、住所、電話番号を含む顧客リストが閲覧可能となっていた。8月10日に担当職員がホームページの金利情報を更新した際、誤ってこのリストをサーバーに送信したことが原因。11月24日、内部調査で事態が発覚した。同30日の時点で被害は確認されていないという。同JAでは、更新作業の際には複数でチェックを行うなどして、再発を防止するとしている。
・個人情報の不適切な管理についてのお詫び（くにびき農業組合）
http://www.ja-kunibiki.or.jp/info/disk/disk05.htm

■サイレックス・テクノロジー、顧客情報527件が閲覧可能に

　プリントサーバー大手のサイレックス・テクノロジー（本社：京都府精華町）は11月27日、同社のホームページにおいて、ユーザー登録済みの顧客の一部、527件の情報が閲覧可能になっていたと発表した。同社によると、11月15日から同19日までの期間、閲覧している状況によって異なるものの、ユーザーの氏名、会社名、メールアドレス、ユーザーページログイン用のパスワード、登録製品名の最大5項目が閲覧可能となっていた。この期間に該当ファイルへ6件のアクセスがあったが、公表の時点で情報が不正に利用されたという報告は入ってないという。該当する顧客には、メールと郵送で連絡済み。同社は、システムの問題点はすでに修復されているとし、再発防止策を講じるとしている。
・ユーザー登録していただいている一部のお客様の情報流出に関するお詫びとお知らせ[PDF]（サイレックス・テクノロジー）
http://www.silex.jp/doc/info091127.pdf

■Digipri、プログラムのミスで顧客情報16件が閲覧可能に

　Webアルバムやデジカメプリント等のサービスを提供するサイト Digipriを運営するプラザクリエイト（本社：東京都千代田区）は11月6日、会員情報の一部が外部から閲覧可能となっていたと発表した。同社によると、10月23日午後2時頃から11月2日午前11時30分頃にかけて、新規会員登録時に特定の操作をした場合に、会員16件、12名のニックネーム、注文者または配送先の氏名、配送先住所、サムネイル画像が閲覧できる状態となっていた。顧客から、この件について2件の報告があったという。同サイトでは、10月23日に新システムをリリースし、10月28日にプログラムを修正しており、10月29日に顧客から事態を指摘された。原因となっていたプログラムの不具合は、11月2日に修正を完了している。同社は、該当者に個別に連絡をとり、事情を説明して謝罪。再発防止のため、システム開発において、プログラム修正時の作業内容の見直しを行い、テスト内容や作業工程を厳重に管理するとしている。
・お客様情報の閲覧に関するお詫びとご報告について[PDF]（プラザクリエイト）
http://www.plazacreate.co.jp/news/2009/09110602.pdf

（2009/12/10 ネットセキュリティニュース）

クリエイティブ、「Sound Blaster X-Fi Go!」の一部にウイルス混入（2009/12/09）

　クリエイティブメディア（東京都千代田区）は8日、USBオーディオ製品「Sound Blaster X-Fi Go!」本体に内蔵された1GBフラッシュメモリに、ウイルスが混入している可能性があると発表した。

　ウイルス混入のおそれがあるのは、2009年10月1日以降に国内出荷された約3380台の一部。特定の契約工場内の特定ロットの製品で、シリアルナンバー「YDSB1100930000001」から「YDSB1100947001000」までの製品が該当する。同社は「Sound Blaster X-Fi Go!」の出荷を停止し、該当ロットの製品の倉庫在庫と店頭在庫の回収作業を行っている。

　同社によると、混入の可能性があるのは、ワーム Ravmon.exe（マカフィー名：W32/DKR.worm、トレンドマイクロ名：WORM_RJUMP.AI）と、トロイの木馬 Boot.exe（マカフィー名：W32/Almanahe.c、トレンドマイクロ名：TROJ_CORELINK.D）。いずれもリスクは低いとしている。また、どちらも、パソコンにウイルス対策ソフトがインストールされ、定義ファイルが最新の状態なら、同製品をパソコンに接続した直後に検出されるという。

　ウイルスは、特定ラインでのテスト作業工程において、1つのオフラインテストシステムで混入。障害のあったシステムは修復済みだという。同社は、この件についてフリーダイヤルの相談窓口を設置した。また、最新の定義ファイルに更新したウイルス対策ソフトを使用しても、ウイルスが検出されない場合には、問題なく製品を使用できるとしている。

（2009/12/09 ネットセキュリティニュース）

■【重要なお知らせ】USBオーディオ製品Sound Blaster X-Fi Go!のウイルス混入に関するお詫びとお願い（クリエイティブメディア）
http://jp.creative.com/corporate/pressroom/releases/welcome.asp?pid=13129
■Ravmon.exeの情報
・W32/DKR.worm（マカフィー）
http://www.mcafee.com/japan/security/virD2007.asp?v=W32/DKR.worm
・WORM_RJUMP.AI（トレンドマイクロ）
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_RJUMP.AI
■Boot.exeの情報
・W32/Almanahe.c（マカフィー）
http://www.mcafee.com/japan/security/virA2007.asp?v=W32/Almanahe.c
・TROJ_CORELINK.D（トレンドマイクロ）
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ_CORELINK.D

アドビ、深刻な脆弱性を修正した「Flash Player 10.0.42.34/9.0.260.0」公開（2009/12/09)

　アドビシステムズは9日、複数の深刻な脆弱性を修正したFlash Playerの最新版「10.0.42.34」と、「10」にアップグレードできないユーザー向けの「9.0.260.0」を公開した。

　対象となるのは、全てのプラットフォームの「10.0.32.18」とそれ以前のバージョン。今回修正された脆弱性は7件で、細工されたSWFファイルによって任意のコードが実行される可能性のある深刻な問題も含まれている。これを悪用されると、サイトを閲覧するだけでパソコンを乗っ取られるおそれがあり、非常に危険。早急にアップデートを実行するようおすすめする。

　Flash Playerの最新版は、同社のサイトからダウンロードできる。現在インストールされているバージョンは、「Flash Player のバージョンテスト」ページにアクセスすると確認できる。複数のブラウザをお使いの方は、必ず各ブラウザごとにアップデートを行っていただきたい。

（2009/12/09　ネットセキュリティニュース）

■Security updates available for Adobe Flash Player[英文]（Adobe）
http://www.adobe.com/support/security/bulletins/apsb09-19.html
■Flash Player 10のダウンロード
http://www.adobe.com/go/getflashplayer_jp
■Flash Player 9のダウンロード[英文]
http://www.adobe.com/go/kb406791
■Flash Playerのバージョンテスト
http://www.adobe.com/jp/support/flashplayer/ts/documents/tn_15507.htm

マイクロソフト、12月度の月例セキュリティパッチを公開（2009/12/09）

　マイクロソフトは9日、12月度の月例セキュリティパッチを公開した。公開されたセキュリティプログラムは、最も深刻な「緊急」3件を含む6件。Windows、Windows Server、Internet Explorer、Word、Office Project、Works、Office Converter Packが影響を受ける。

【更新プログラムの内容】
［緊急］
・インターネット認証サービス：リモートでコードが実行される脆弱性
・Office Project：リモートでコードが実行される脆弱性
・Internet Explorer用累積パッチ：リモートでコードが実行される脆弱性

［重要］
・Local Security Authority Subsystem Service：サービス拒否が起こる脆弱性
・Active Directoryフェデレーションサービス：リモートでコードが実行される脆弱性
・ワードパッドとOfficeテキストコンバーター：リモートでコードが実行される脆弱性

　[緊急]に分類されているInternet Explorer（IE)用の累積パッチは、先月24日にアドバイザリが公開された、IE6と7に影響する脆弱性を修正。また、7月29日にアドバイザリが公開されていたATL（Active Template Library）の脆弱性にも対処している。

　このほか、新たにHamweqに対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンも公開された。

（2009/12/09 ネットセキュリティニュース）

■マイクロソフト セキュリティ ホーム（マイクロソフト）
http://www.microsoft.com/japan/security/default.mspx
■2009年12月のセキュリティ情報（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms09-dec.mspx
■Microsoft Update
http://windowsupdate.microsoft.com/

◆「ワンクリック請求」巧妙化に注意～女子高生や小学生も罠に（国民生活センター）（2009/12/08）

  国民生活センターは3日、ワンクリック請求の手口が多様化・巧妙化していることに注意を呼び掛けた。

　ワンクリック請求というと、アダルトサイトを閲覧していた男性が被害にあうというイメージを持たれがちだ。しかし、今年4月から9月まで同センターに寄せられた相談内容をみると、誘い込む手口は多様化している。無料占いサイト、ゲーム、アニメ、無料小説サイトなどを閲覧していたところ、意図せずにアダルトサイトや出会い系サイトに接続してしまい、料金を請求されるという事例がみられ、女性や未成年者からの相談も少なくない。

　同センターや各地の消費生活センターには、ワンクリック請求の相談が毎月3000件前後寄せられている。いくつか相談事例をみてみると。

【相談事例】
・女子高校生が携帯電話で無料小説を読むために会員登録をしたところ、2万9000円を請求された。

・男子小学生がパソコンの無料ゲームで遊んでいたところ、アダルトサイトにつながり、何かのボタンをクリックしてしまったようで入会となってしまった。パソコンに請求画面が表示されるようになり、記載されていた業者に母親が電話したところ、5万8000円を請求された。

・女子高校生が携帯電話の無料占いサイトに登録したところ、同時に出会い系サイトにも登録されたようで、メールが送られてきた。そのサイトにアクセスしたら、3000円を請求された。

・30歳代男性が携帯電話で無料の競馬情報サイトに登録し、何度か閲覧したところ、利用料金6000円を請求された。また、出会い系サイトからメールが頻繁に届くようになった。
・女子中学生が携帯電話を使い、無料で音楽をダウンロードできるというサイトで会員登録をしたところ、メールが届き、登録料5万円を請求された。

　ワンクリック請求のきっかけとなったサイトとしては、上記のほかに芸能情報サイトや、着信音とアニメの無料サイト、デコメールサイト、プロフサイト、懸賞金サイトなどが挙げられており、勧誘手口が多様化していることが分かる。

　これらのサイトでは、「無料」と誤解させる、年齢認証ボタンを押しただけで登録となる、「不正アクセスの被害届を出す、調査をして取りたてを行う」などと不安をあおって請求を行うといったテクニックが使われている。

　国民生活センターでは、消費者へのアドバイスとして、不用意にアクセスしたりクリックしたりしないこと、慌てて業者に連絡しないこと、利用料金の請求を受けても言われるままに支払わないこと、未成年者は家族に相談すること、トラブルにあったらすぐに最寄りの消費生活センターに相談することを挙げている。

（2009/12/08 ネットセキュリティニュース）

■手口が多様化・巧妙化しているワンクリック請求（インターネットをめぐる消費者トラブル　♯1）（国民生活センター）
http://www.kokusen.go.jp/news/data/n-20091203_1.html
■報告書本文[PDF]（国民生活センター）
http://www.kokusen.go.jp/pdf/n-20091203_1_1.pdf
■インターネットをめぐる消費者トラブルについて[PDF]（国民生活センター）
http://www.kokusen.go.jp/pdf/n-20091203_1_2.pdf

◆[P2P情報流出]:NTTコミュニケーションズ/NTT西日本/文部科学省（2009/12/07）

  ファイル共有ソフトを介した情報流出が明らかとなった。NTTコミュニケーションズの顧客情報154件と、NTT西日本京都支店の顧客情報823件が、業務委託会社の元社員のパソコンから同時に流出。文科省では、職員のパソコンから業務情報などがWinny（ウィニー）を介して流出している。

■NTTコミュニケーションズ、業務委託先から顧客情報154件流出

　電気通信事業等を行うNTTコミュニケーションズ（本社：東京都千代田区）は11月30日、マンションなど集合住宅向けにインターネット接続等を提供する「CoDen光サービス」（2008年3月にサービス終了）において、関西エリアの顧客情報154件がファイル共有ソフトのネットワーク上に流出したことを明らかにした。同社によると、関西エリアにある工事委託会社の元社員のパソコンから、工事調整にかかわるファイルが流出した。元社員の家族が9月にこのパソコンへファイル共有ソフトをインストールし、11月下旬、ウイルス感染により情報が流出。同時に、NTT西日本京都支店の顧客情報823件も流出している（下記参照）。NTTコミュニケーションズでは、この会社から11月26日夜に連絡を受け、流出を把握したという。
　ファイルにはマンション等のオーナーの氏名、連絡先電話番号等が含まれていた。銀行口座番号やクレジットカード番号などの信用情報は含まれていないという。同社は、該当する顧客に個別に連絡を取り、謝罪と事情説明を行っている。
・お客さま情報の流出に関するお詫びとお知らせ（NTTコミュニケーションズ）
http://www.ntt.com/aboutus/information/info_20091130.html

■NTT西日本、業務再委託先から顧客情報823件流出

　NTT西日本（西日本電信電話/本社：大阪市中央区）京都支店（京都市中京区）は11月30日、顧客情報823件がファイル共有ソフトのネットワーク上に流出したことを明らかにした。同支店によると、光ケーブル敷設に伴う事前調査業務を委託していたエヌ・ティ・ティ ネオメイトみやこ(現 株式会社NTT西日本－みやこ/京都市中京区)が、この業務を上記の関西エリアの会社に再委託。NTTコミュニケーションズの顧客情報とともに流出した。
　流出したのは2005年6月から2006年6月までに行った調査に関する情報で、京都市や宇治市など5市3町の個人顧客448件、法人顧客375件の顧客名、住所、電話番号が含まれている。11月24日、NTT西日本が行った社内調査で流出が判明した。同支店では、該当する顧客に個別に連絡を取り、謝罪と事情説明を行っている。
・お客様情報の流出に関するお詫びとお知らせ[PDF]（西日本電信電話京都支店）
http://www.ntt-west.co.jp/kyoto/newsrelease/h21/h211130/h211130.pdf

■文部科学省、職員のパソコンから業務情報流出

　文部科学省の男性職員のパソコンから、同省の業務情報がWinnyのネットワーク上に流出していたことが分かった。ウイルス感染により流出したもの。複数の報道によると、流出したのは生涯学習関連の情報などで、他の職員の携帯電話番号も含まれている。ネット掲示板では11月21日から複数回、文科省生涯学習政策局関連の資料が、作成者名の入った私的文書とともに流出していると書き込まれていた。朝日新聞によると、同省では11月13日付でこの職員を厳重注意処分としている。
・文部科学省
http://www.mext.go.jp/

（2009/12/07 ネットセキュリティニュース）

◆マイクロソフト、12月のセキュリティ修正パッチは「緊急」3件と「重要」3件（2009/12/04）

  マイクロソフトは4日、今月9日に公開が予定されているセキュリティ更新プログラムの概要を発表した。

　リリース予定のセキュリティ更新プログラムは、「緊急」3件と「重要」3件の計6件。「緊急」3件と「重要」2件はいずれもリモートでコードが実行される脆弱性、残りの「重要」1件は「サービス拒否」の脆弱性を修正する。

　影響を受けるソフトウェアは、Windows（緊急2件、重要3件）、Office（緊急1件、重要1件）、Internet Explorer（緊急1件）。

　 Internet Explorer（IE）については先月21日（日本時間）、IE6およびIE7の未修整の脆弱性を証明する実証コードが公開され、マイクロソフトが同24日にセキュリティアドバイザリ(977981)を公開していた。その脆弱性が修正される。

　このほか、「Windows Update」「Microsoft Update」「Windows Sever Update Srevices」および「ダウンロードセンター」で、「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開される。

（2009/12/04 ネットセキュリティニュース）

■マイクロソフト セキュリティ情報の事前通知-2009年12月4日（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/advance.mspx
■マイクロソフト セキュリティ情報の事前通知 - 2009年12月（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms09-dec.mspx

◆ワンクリック詐欺の相談が過去最多に～巧妙になった手口に注意喚起（IPA）（2009/12/04）

  情報処理推進機構セキュリティセンター（IPA/ISEC）は3日、11月のコンピュータウイルス、不正アクセスに関する届出状況のまとめを発表した。「今月の呼びかけ」では、10月の最多記録を大幅に上回った「ワンクリック不正請求」に焦点をあて、注意を呼びかけている。

■コンピュータウイルス、不正アクセスの届出状況

　11月のウイルスの検出数は約7万個で、10月の7万個と変わらない数値となった。届け出件数は1140件で、10月の1210件から5.8%の減少。検出数の上位は、W32/Netsky（6万2000個）、W32/Mydoom（3200個）、W32/Mytob（2200個）。

　不正アクセスの届け出件数は11件、相談は34件あり、これらのうち被害のあったものは20件。被害内容は「侵入」1件、「なりすまし」5件。「侵入」被害は、Webサーバー内に他サイトを攻撃するための不正プログラムを置かれていたもの。「なりすまし」被害は、オンラインサービスのサイトに本人になりすましてログインし、サービスを勝手に利用していたもので、オンラインゲーム4件、中古車販売サイト1件。

　また、今年9月に急増した「偽セキュリティ対策ソフト」型ウイルス（FAKEAV）の検知件数は減少傾向にあり、11月には増加前の水準まで減少した。ただし、特定期間に急増するなどボットなどによりメール配信が行われていることがうかがえ、いつ急増するかわからないとし、引き続き注意するよう促している。

　11月の相談総件数は2315件で過去最多となった。相談内容は「ワンクリック不正請求」関連が903件で、過去最多だった10月の793件を大きく上回った。他は「セキュリティ対策ソフトの押し売り」関連が6件（10月6件）、Winny関連および「情報詐取を目的として特定の組織に送られる不審なメール」関連は0件だった。

●巧妙さ増す「ワンクリック不正請求のワナ」に気付こう

　IPA に寄せられる「ワンクリック不正請求」に関する相談件数は、7か月連続で600件を超え、11月にはついに900件を超えた。増加の要因として、利用者を誘いこむ手口が巧妙化していることがあげられる。IPAは、頻繁にみられる手口として「アダルトサイトで無料の動画を見ようと画像をクリックし、次へ次へと」進ませるやり方を画像を使って解説している。

　最初は画面に「無料」が提示されているが、次々にクリックしてたどり着いたサイトには「無料」の文字はない。無料をうたったページから有料サイトへと、巧みに誘導されているのだ。また、動画を再生しようとすると、「セキュリティの警告」という小さなウィンドウが表示される。
　「セキュリティの警告」はシステムが危険を知らせる警告で、プログラムをダウンロードする時と、それを実行しようとする時に出る。ここで「実行」をクリックしてはいけない。クリックすればパソコン内に登録完了の画面を表示するウイルスが入ってしまい、起動時に登録画面が表示されたり、支払いを求める登録画面が数分間隔で消えたり出たりするようになってしまう。これで追い詰められてしまう人も少なくない。

　アダルト以外にも、アニメやゲーム、競馬予想情報サイトなどから誘導されることもあり、IPAには子どもから高齢者まで、年齢・性別を問わず多数の相談が寄せられている。IPAは手口を紹介する「ワンクリック不正請求に関する注意喚起」（下段URL参照）で、利用者が悪意あるウェブサイトへ誘導させられてしまう誘導パターンをいくつかあげている。

・差出人不明のメールを開き、興味引かれて文中の悪意あるリンクをクリックしてしまう
・ブログのコメントやトラックバックに投稿された悪意あるリンクをクリックしてしまう
・有名人や流行の話題をキーワードとして検索し、上位に表示されたダミーのブログや情報サイト中の悪意あるリンクをクリックしてしまう
・Twitterなどのミニブログの「つぶやき」に書かれた悪意あるリンクをクリックしてしまう

　最近の「ワンクリック不正請求」を行うWebサイトは違法箇所を見つけることが困難になっており、ついうっかりでも本人が合意のクリックをすれば、本人の責任を問われることになる。IPAは予防対策として次の2件をあげている。

　(1) 安易に「はい」ボタンをクリックしない
　(2) 未成年者がいる家庭では有害サイトブロックソフト/サービスを利用する

　また、うっかりクリックしてしまい、ウイルスに感染させられた場合の復旧方法も詳説している。

（2009/12/04 ネットセキュリティニュース）

■ウイルス・不正アクセスの届出状況[11月分]（IPA）
http://www.ipa.go.jp/security/txt/2009/12outline.html
■ワンクリック不正請求に関する注意喚起（更新）（IPA）
http://www.ipa.go.jp/security/topics/alert20080909.html

◆警視庁、「ネットカフェ」利用者の本人確認義務化などに一般から意見募集（2009/12/03）

  警視庁は、匿名で利用できるインターネットカフェがハイテク犯罪などの温床となっていることから、利用者の本人確認などを義務化する条例の制定を検討している。来年2月の都議会に条例案を提出する予定で準備を進めており、その一環として、ホームページで一般からの意見募集を行っている。意見募集の締め切りは今月11日まで。

　警視庁が検討している条例案「インターネット端末利用営業の規制に関する条例（仮称）案」には、本人確認や利用記録等の作成・保存義務、罰則など、7項目が提示されている。

　それによると、都の区域内で個室や個室に準じた閉鎖的施設を設け、インターネットを利用できるサービスを提供している営業者が規制対象となる。施設を利用する顧客に対し、運転免許証提示などの方法で本人確認をし記録すること、利用したコンピューターや利用時期を記録すること、それらの記録を3年間保存することなどが義務付けられる。

　本人確認の内容が虚偽だった場合は顧客にも罰則を定めることが検討されている。顧客が閲覧したWebサイトの履歴や、送受信した相手先履歴などの通信内容は、記録や保存の対象とはならない。このほか、セキュリティ対策ソフトの導入や防犯カメラ設置などの不正利用防止措置、都公安委員会への届出の必要などが盛り込まれている。

　ネットカフェで発生する犯罪の多くが匿名性を隠れ蓑に行われていることから、本人確認の必要性はこれまでも強く指摘されてきた。同庁はこれまで業界の自主努力を促してきたが、本人確認を行うと顧客が他店に流れてしまうなどの理由で業界の反応は鈍く、今年8月末時点で、都内ネットカフェの本人確認実施率は38％（昨年同期41％）と低迷している。

　都の有識者懇談会は先月、これらの状況をふまえ、ネットカフェに対する法的規制と事業者への継続的支援・指導の両面の対策が必要であるとの提言をまとめた。同庁はこれを受け、条例案策定の検討に踏み出した。条例策定が実現すれば、全国初のネットカフェ規制条例となるという。

【ネットカフェで起きている犯罪事例】
　元会社員の男が店舗内パソコンから元勤務先のコンピューターに不正アクセスし個人情報約18万件を不正入手、出会い系業者に渡した（2009年2月）。無職の男が店舗から被害者のIDを使ってネットバンクに不正アクセス、約900万円の不法利益を得た（2009年1月）。会社役員の男が店舗からアクセスした掲示板に、怨恨を持つ相手が逮捕された旨の書き込みをして名誉を棄損した（2009年1月）。無職の男が勤務するネットカフェのパソコンにキーロガーを設置して他人のIDとパスワードを不正入手。このIDを使ってネットオークションに参加し、商品をだまし取ろうとした（2006年5月）。
　また、店舗内における犯罪として、覚せい剤使用・所持、窃盗、強制わいせつなどが発生。振り込め詐欺の犯行準備場所として使われたり、家出少女が宿泊して福祉犯罪の被害者となるなどの事例も続発している。これらのほとんどは個室を設置し、本人確認を実施していない店舗で起きているという。

（2009/12/03 ネットセキュリティニュース）

■インターネットカフェ等の対策に関する意見募集について（警視庁）
https://www.keishicho.metro.tokyo.jp/anket/in_cafe.htm
■インターネットカフェ等を利用した犯罪等の防止対策の在り方に関する報告書[PDF]（警視庁）
http://www.keishicho.metro.tokyo.jp/seian/in_cafe/in_cafe.pdf

◆Share違法配信を一斉摘発、10都道府県で11人逮捕へ（2009/12/01）

  警視庁はじめ北海道、秋田、埼玉、三重、京都、兵庫、徳島県、岡山、佐賀の10都道府県警察は11月30日、ファイル共有ソフトのShare（シェア）を用いて著作権を侵害する行為をしたとして、全国11か所で家宅捜査を行い、計10人を著作権法違反（公衆送信権侵害など）容疑で逮捕した。翌1日未明には、さらにもう1名を同容疑で逮捕した。

　逮捕された11名は、今年4月から10月にかけ、映画、音楽、アニメ、ゲームソフトなどを著作権者に無断で、Shareを使ってネット上にアップロードし、不特定多数がダウンロード可能な状態にした疑い。容疑者間に横のつながりはないが、個別に摘発すると証拠隠滅のおそれがあるため、都道府県警察が連携しての一斉逮捕となった。

　著作権関連諸団体のリリースによると、11事件の概要は次の通り（日付はいずれも2009年）。

■北海道警1：「らんま1/2テレビシリーズ」の無断配信で札幌市の男逮捕
　北海道警生活経済課と札幌方面北署は、札幌市の会社員の男（40歳）の自宅を家宅捜索し同日逮捕した。男は9月13日、自宅で小学館が著作権をもつアニメーション「らんま1/2テレビシリーズ」を、Shareを使って無断でアップロードし不特定多数に送信できるようにした疑い。

■北海道警2：「ドラゴンクエストIX 星空の守り人」の無断配信で取手市の男逮捕
　北海道警生活経済課と札幌方面厚別署は、茨城県取手市の無職の男（23歳）の自宅を家宅捜索し同日逮捕した。男は9月7日、自宅でスクウェア・エニックスが著作権をもつゲーム「ドラゴンクエストIX 星空の守り人」を、Shareを使って無断でアップロードし不特定多数に送信できるようにした疑い。

■秋田県警：韓流ドラマの無断配信で由利本荘市の女を逮捕
　秋田県警察生活環境課サイバー犯罪対策室と秋田臨港署は、秋田県由利本荘市の無職の女（39歳）の自宅を家宅捜索し、1日に逮捕した。女はShareを通じて韓流ドラマを無断アップロードし不特定多数に送信できるようにした疑い。

■警視庁：18曲の楽曲データの無断配信で長野市の会社員の男を逮捕
　警視庁ハイテク犯罪対策総合センターと築地署は、長野市の会社員の男（47歳）を逮捕した。男は9月30日に、日本音楽著作権協会（JASRAC）やビクターエンタテインメントなど4社が著作権あるいは著作隣接権を持つ8曲の楽曲データを、また10月10日にJASRACが著作権をもつ10曲の楽曲データを、Shareを使って無断でアップロードし不特定多数に送信できるようにした疑い。

■埼玉県警：映画「バックトゥザフューチャー」等の無断配信で狭山市の男逮捕
　埼玉県警生活安全企画課と大宮署は、狭山市の期間雇用の男（23歳）を逮捕した。男は9月17日から10月1日までの間、大塚愛やコブクロの楽曲データ、米国ユニバーサル映画が著作権をもつ映画「バック・トゥ・ザ・フューチャー part3」、バップが著作権をもつ映画「DEATH NOTE」「DEATH NOTE the Last Name」のデータなどを、Shareを通じて無断でアップロードし不特定多数に送信できるようにした疑い。

■三重県警：「機動戦士ガンダムOO」の無断配信で津市の男を逮捕
　三重県警生活環境課と津署は、三重県津市の地方公務員の男（37歳）の自宅を家宅捜索し同日逮捕した。男は10月11日ごろ、サンライズが著作権をもつアニメ「機動戦士ガンダムOO」を、Shareを使って無断アップロードし不特定多数に送信できるようにした疑い。

■京都府警：映画「ローレライ」の無断配信で城陽市の男を逮捕
　京都府警生活経済課（ハイテク犯罪対策室）と五条署の合同捜索班は、城陽市の会社員の男（44歳）の自宅を家宅捜索し同日逮捕した。男は8月25日ごろから26日までの間、東宝などが著作権をもつ映画「ローレライ」をShareを使って無断アップロードし不特定多数に送信できるようにした疑い。

■兵庫県警：ゲーム「Wii Music」等の無断配信で横浜市の男を逮捕
　兵庫県警生活安全企画課と東灘署、尼崎東署は、横浜市神奈川区の自営業の男（37歳）の自宅を家宅捜索し、同日逮捕した。男は10月21日から同22日までの間、任天堂が著作権をもつゲームソフト「Wii Music」と「Wii Sports Resort」を、Shareを使って無断アップロードし不特定多数に送信できるようにした疑い。

■徳島県警：テレビアニメ動画の無断配信で小松島市の男を逮捕
　徳島県警生活環境課と小松島署は、小松島市の無職の男（57歳）の自宅を家宅捜索し、同日逮捕した。男は10月初旬、Shareを使って無断でテレビアニメの動画ファイルをアップロードし不特定多数に送信できるようにした疑い。

■岡山県警：アニメ「ドラゴンボール改」等の無断配信で岡山市の男を逮捕
　岡山県警生活安全企画課サイバー犯罪対策室と岡山南署は、岡山市北区の無職の男（40歳）の自宅を家宅捜索し、同日逮捕した。男は4月5日頃から10月26日までの間、東映アニメーションが著作権をもつアニメ「ドラゴンボール改」「フレッシュプリキュア！」、およびアニプレックスなどが著作権をもつ「鋼の錬金術師 FULLMETAL ALCHEMIST」の動画を、Shareを使って無断でアップロードし不特定多数に送信できるようにした疑い。

■佐賀県警：アニメ動画の無断配信で筑後市の男を逮捕
　佐賀県警生活環境課と鳥栖署は、福岡県筑後市のゲームセンター店員の男（30歳）の自宅を家宅捜索し、同日逮捕した。男は10月21日頃、Shareを使ってアニメ動画ファイルを無断アップロードし不特定多数に送信できるようにした疑い。

（2009/12/01 ネットセキュリティニュース）

■著作権関連団体のリリース
・P2Pを悪用した著作権侵害行為を一斉取締り（不正商品対策協議会）
http://www.aca.gr.jp/news_back/20091130torishimari.html
・P2Pを悪用した著作権侵害行為を一斉取締り（日本国際映画著作権協会）
http://www.jimca.co.jp/info/index.html#2
・P2Pを悪用した著作権侵害行為を一斉取締り（日本音楽著作権協会）
http://www.jasrac.or.jp/release/09/11_2.html
・10都道府県警察がP2Pを悪用した著作権侵害行為を一斉に取締り[PDF]（日本映像ソフト協会）
http://www.jva-net.or.jp/news/news_091130.pdf
・P2Pを悪用した著作権侵害行為を一斉取締り（ACCS）
http://www2.accsjp.or.jp/criminal/2009/0912.php