ネットセキュリティニュース

◆サイト改ざん止まず(2) 改ざんサイト告知一覧（2010年1月14日～1月28日）（2010/01/29）

　22日に掲載した「新規改ざんサイト一覧」以降、新たに改ざんを告知・謝罪し、ユーザーに対応を呼びかけているサイトをまとめた。
　改ざんを告知しないまま該当部分を修正し再開している悪質ともいえるサイトも多数ある中、改ざん事実を告げて謝罪し、ユーザーに対応を促しているサイトである。

　改ざんが「8080」によるものであることを確認できたものは「8080」と記している。「8080」については、12日の記事『相次ぐサイト改ざん(1) 注意が必要なのは「ガンブラー」ではなく「8080」』をご覧いただきたい。
　また、Gumblar亜種により改ざん被害を受けたと告知しているサイトを編集部で確認したところ、実際はGumblar.xでも8080でもない、まったく別の種類の改ざんが行われていたことが判明したという事例がある。下記サイトのうち、編集部で種別を確認できなかった分についても同様のケースがあるかもしれないので、この点をご承知おきいただきたい。

■大阪府（2010年1月28日発表）
種別：8080
期間：2010年1月15日～1月28日9時40分（推定）
場所：なみはやスポーツネット（namihaya-sports.net）
告知：「なみはやスポーツネット」ガンブラーの感染について（大阪府）
http://www.pref.osaka.jp/hodo/index.php?site=fumin&pageId=2847

■奈良女子大学「まほろば・けいはんな科学ネットワーク」（2010年1月28日発表）
種別：8080
期間：不明（1月27日閉鎖）
場所：まほろば・けいはんな科学ネットワーク（mk-kagaku.com）
告知：【重要・要確認】ホームページ公開停止連絡
http://mk-kagaku.seesaa.net/article/139597723.html

■上智大学（2010年1月27日発表）
種別：8080
期間：1月以降～1月26日9時過ぎ
場所：国語学部ポルトガル語学科ホームページ（www.info.sophia.ac.jp/porffs/）
告知：ポルトガル語学科ホームページに関するお詫びとお知らせ
http://www.sophia.ac.jp/J/news.nsf/Content/100127_HP_news

■自民党衆議院議員・岸田文雄（2010年1月26日発表）
種別：8080
期間：2010年1月25日～1月26日
場所：岸田文雄ホームページ（www.kishida.gr.jp）
告知：お詫び
http://www.kishida.gr.jp/news.html

■公立学校共済組合（2010年1月26日発表）
種別：8080
期間：2010年1月20日14時50分～1月26日0時59分
場所：公立学校共済組合奈良宿泊所「春日野荘」ホームページ（www.kasugano-so.co.jp）
告知：奈良宿泊所「春日野荘」ホームページの改ざんについて
http://www.kouritu.go.jp/topics/etc/kaizan/index.html

■松原産業（2010年1月25日発表）
種別：8080
期間：2010年1月2日未明～4日15時時頃、1月9日未明～10日未明
場所：同社ホームページ（www.matsubara-sangyo.jp）
告知：ホームページ復旧のお知らせ
http://www.matsubara-sangyo.jp/news/2010/01/000157.php

■地質汚染－医療地質－社会地質学会（2010年1月24日発表）
種別：8080
期間：不明（2010年1月24日復旧）
場所：学会ホームページ（www.jspmug.org）
告知：お詫び
http://www.jspmug.org/

■東京大学大学院・教育学研究科（2010年01月22日発表）
種別：8080
期間：2010年1月8日5時51分～1月13日15時
場所：市川研究室（www.p.u-tokyo.ac.jp/lab/ichikawa/ www.p.u-tokyo.ac.jp/~ichkw-hp/）
告知：当研究科ホームページ改ざんについてのお知らせとお願い
http://www.p.u-tokyo.ac.jp/notice100122.html

■ティームエンタテインメント（2010年1月22日発表）
種別：8080
期間：2010年1月15日22時頃～1月18日19時頃
場所：同社サイト（www.team-e.co.jp）
告知：【重要】弊社サイト不正改ざんに関するお詫びとお知らせ
http://www.team-e.co.jp/information/2010/01/20100122.html

■加藤工務店（2010年1月22日発表）
種別：8080
期間：2010年1月18日20時頃～1月19日12時頃
場所：同社ホームページ（www.katokoumuten.com）
告知：【お詫び】弊社ホームページ不正改ざんについて（加藤工務店）
http://www.katokoumuten.com/blog/wordpress/2010/01/22/hp-kaizan-no-owabi/

■中小企業基盤整備機構（2010年1月22日発表）
種別：Gumblar亜種（当事者発表）
期間：不明
場所：東大柏ベンチャープラザ（www.tkv.go.jp）
　　　ベンチャープラザ船橋（www.vpf-smrj.jp）
　　　その他の該当施設のホームページ（www.kanto-bi.smrj.go.jp）
告知：中小機構インキュベーション施設の一部ホームページに関するご報告とお詫び
http://www.smrj.go.jp/kikou/news/051503.html

■ハンディーデザイン（2010年1月21日発表）
種別：8080
期間：2010年1月14日～2010年1月20日
場所：「HandyDesign」ホームページ（handydesign.info）
　　　「WEBLLY」ホームページ（weblly.x0.com）
　　　「サンドルフ」ホームページ（3dorf.com）
　　　「M&Eフローリスト」ホームページ（me-flolist.com）
告知：＜重要＞ Gumblarウイルス感染について
http://handydesign.info/

■コンファクトリー（2010年1月20日発表）
種別：Gumblar亜種（当事者発表）
期間：2010年1月20日14時00分～17時00分頃
場所：PIXEL FACTORY（www.pixelfactory.jp）
告知：お詫び（弊社一部ホームページにおける改ざんの件）
http://www.pixelfactory.jp/virus_info.html

■青森原燃テクノロジーセンター（2010年1月14日発表）
種別：8080
期間：2010年1月7日8時～12時、1月7日8時～1月13日13時30分
場所：同センターホームページ（www.agtcinc.co.jp）
告知：ウィルス感染へのお詫びおよび対処方法について
http://www.agtcinc.co.jp/info2010.html

（2010/01/29 ネットセキュリティニュース）

◆サイト改ざん止まず(1) 修復サイト再汚染が多発、PW変更/感染チェックを（2010/01/29）

　国内のWebサイトを次々に改ざんされ、閲覧者にウイルスを感染させようとする悪質なJavaScriptが埋め込まれる問題が続いている。

　現在も改ざんが続いているのは、いわゆる「ガンブラー」の中でも昨年12月から攻撃が始まった、ロシアドメインの8080ポートに接続するタイプ（以下8080と記す）。今月に入ってからは、8日、22日、28日頃から、埋め込むコードを変更した再改ざん行われており、そのたびに修復されたたはずのサイトが再汚染されるという事態も発生している。

　年末から年始にかけてサイト閉鎖に追い込まれたムックハウスの「CyberX」は、サイトのリニューアルを目前に控えた復旧後の22日に再改ざん。サイトのリニューアル後も、改ざんされた旧ページの残骸が見つかるなど、ごたごたが続いた。14日に復旧したはずの札幌市公園緑化協会のホームページも、22日の再改ざん攻撃で陥落。29日現在も閉鎖状態が続いている。

【サイト運営者の方へ】

　一連の攻撃では、ウイルスに感染したパソコンからWebサイトの更新に使用するFTPの接続情報が盗み出され、これを使って管理していたサイトの改ざんを行っている。いくらサイトを修復しても、サイトのパスワードを変更しない限り再び改ざんされ、不正なコードを埋め込まれてしまう。不幸にして改ざん被害を受けてしまった方は、必ずウイルスに感染していないパソコンを使用して、サイトの更新に使用するFTPのパスワードを変更していただきたい。

【一般ユーザーの方へ】

　一般ユーザーの方は、該当期間に訪問したサイトがないかどうかをリストで確かめ、心あたりがある場合には、各社が提供するオンラインスキャンを使って、感染チェックを行っていただきたい。閲覧したかどうか不明な場合には、ブラウザの「履歴」の検索機能使い、リストの「場所」欄にあるカッコ内のURL（先頭の「www.」がない場合もある）を検索してみるとよい。また、改ざんサイトでウイルスに感染しないよう、以下の6項目を必ず実施しておいていただきたい。

　(1）Microsoft Update（Windows Update）を実行しシステムを最新の状態にする
　(2）Adobe Readerを最新版に更新する
　(3）Adobe ReaderのAcrobat JavaScriptを無効に設定する
　(4）JRE(Java Runtime Environment)を最新版に更新する
　(5）Flash Playerを最新版に更新する
　(6）QuickTimeを最新版に更新する

（2010/01/29 ネットセキュリティニュース）

◆イタチごっこ続くWebサイト改ざん、埋め込みコードがまたまた変化（2010/01/28）

　昨年12月から被害が続出している国内のWebサイト改ざんだが、28日未明から、再び改ざんサイトに埋め込むコードの書き換えが始まっている。
　22日未明に「/*LGPL*/」から「/*Exception*/」に変わった際には、それまで検出できていたウイルス対策ソフトが一斉に検出不能に陥ってしまったが、今回も見事に検出を回避してしまった。攻撃の手は緩むことなく、まだまだイタチごっこが続くようだ。

■埋め込みコードは無印に

　今回の変更では、「/*LGPL*/」や「/*Exception*/」といった記述がなくなり、scriptタグの後から「try{window.onload=…」という感じで、いきなりスクリプトが記述されている。これまでのマークをキーワードに改ざんチェックをしていると、あっさり見過ごしてしまう。
　誘導先のドメインは相変わらずロシア（.ru）だが、ドメイン名には新たなものを導入。単純な文字置換で「.ru:8080」という文字列が出てこないように、難読化の手法も変更されている。おまけに、攻撃サイトを構成していたサーバーの構成も、5基のサーバー2系統での運用に変更と、あらゆる手を尽くして検出を逃れようとしているようだ。
　誘導先での攻撃自体には大きな変化はないが、改ざんページから攻撃用のJavaScriptまでは、28日朝現在、検出できるウイルス対策ソフトがなく、Adobe Readerの攻撃に使われる細工されたPDFファイルも検出できるソフトはまばら。攻撃の最終段階で実行される、「Bredolab」や「PKOOBF」などの名が付いたEXEファイルに関しては比較的成績がよく、28日朝の時点では、VirusTotalに登録された41本中16本のソフトが検出できる状態だった。
　なお、最終的にインストールされるウイルス本体は、「siszyd32.exe」というファイル名でスタートアップに登録されていたが、現在は「wwwpos32.exe」に変わっている（この他に別のファイルがレジストリにも登録される）。

■ソフォスの調査では、Web経由ウイルスの4割が8080系の改ざんページ

　セキュリティベンダー英ソフォスの25日付のブログによると、先月22日から今月21日までの1か月間で検出された、Webサイトに仕掛けられたウイルスの中で最も多かったのが、「Troj/JSRedir-AK」だったという。実に全体の4割を超えるダントツの1位だ。
　いわゆるガンブラー（Gumblar/8080系）の攻撃では、最終的にEXEファイルを自動実行させるために、複数の攻撃コードを組み合わせた多段攻撃を仕掛ける。このため、どの段階で検出するかによって検出されるウイルスが変わってくる。<br
　ソフォスが「Troj/JSRedir-AK」で検出するのは、改ざんされたページに埋め込まれた「/*LGPL*/」までの不正なスクリプト。この段階で検出すると、以後の攻撃コードやパソコンにインストールされるウイルス本体にはたどり着かないので、ほかは検出されない。すなわちこれは、改ざんページがいかに多いのかを示しているわけだ。
　ちなみに翌26日付のブログでは、「Troj/JSRedir-AK」に代わりTroj/JSRedir-AR」の台頭を告げている。「Troj/JSRedir-AR」は先週書き換えが始まった「/*Exception*/」タイプのスクリプトのことだ。

（2010/01/28 ネットセキュリティニュース）

・Troj-JSRedir-AK 40% of a month’s malware[英文]（SophosLabs blog）
http://www.sophos.com/blogs/sophoslabs/?p=8338
・Troj/JSRedir-AK morphs into Troj/JSRedir-AR[英文]（SophosLabs blog）
http://www.sophos.com/blogs/sophoslabs/?p=8411

◆ネットオークションの海賊版販売で逮捕相次ぐ（2010/01/28）

　警察のサイバーパトロールや購入者からの相談を受け、ネットオークションを利用した海賊版販売が相次いで摘発された。

■ドラマとアニメの海賊版販売

　青森県警弘前署は12日、ネットオークションを利用しテレビ番組を無断で複製したDVDを販売したとして、青森県弘前市の古物商の男(35歳)を著作権法違反容疑で逮捕した。
　男は、ネットオークションを通じて昨年7月31日頃、テレビドラマ「ごくせん」を収録した海賊版DVD6枚を宅配便で送付する方法で、千葉県の女性に4980円で売却。同8月1日頃には、アニメ「HUNTER×HUNTER」の海賊版DVD23枚を、東京都の男性に1万5000円で売却し、著作権を侵害した疑い。

■Windowsの海賊版販売

　北海道警千歳署と警察本部生活経済課は14日、無断で複製したパソコンソフトを販売したとして、東京都豊島区在住の中国籍の会社社員の男（27歳）を著作権法違反と商標法違反容疑で逮捕した。
　男は、昨年8月と12月にネットオークションを通じ、パソコンメーカー「デル」に似た商標が付いたマイクロソフトの「Windows Vista」の海賊版DVD2枚を、東京都内と北海道内の男性に販売した疑い。

■Adobe Illustratorの海賊版販売

　滋賀県警東近江署は22日、無断で複製したパソコンソフトを販売したとして、埼玉県川口市の無職の男（69歳）を著作権法違反容疑で逮捕した。
　男は、ネットオークションを通じて昨年10月14日頃から28日頃までの間、アドビシステムズの「Adobe Illustrator 10」の海賊版CD3枚を、東近江市の男性ら3人に計1万5千円で販売した疑い。

（2010/01/28 ネットセキュリティニュース）

・インターネットオークションで海賊版を販売、無職男性を逮捕（ACCS）
http://www2.accsjp.or.jp/criminal/2009/0913.php
・事件・事故速報（北海道警察）
http://www.police.pref.hokkaido.jp/info/soumu/dekigoto/deki.html
・事件・事故メモ（青森県警察）
http://www.police.pref.aomori.jp/keimubu/kouhou/kouhou/jiken_jiko.htm

◆サーバーアプリの脆弱性突かれ、共有サーバー丸ごと改ざん（2010/01/27）

　多くのWebサイトが共同で利用している共有サーバーが不正アクセスを受け、サーバー上に開設されたユーザーサイトが次々に改ざんされるという事例が相次いでいる。正月早々にはカゴヤ・ジャパンのサーバー3台が、25日にはデジロックが運営するXREAサーバー1台が攻撃を受け、数百にのぼるサイトが次々と改ざんされた。

　Webサイトの構築には、複数の物理的なサーバーを連動させる大規模なものから、1台のサーバーを複数のユーザーで共有するものまでさまざまなタイプがある。中でも1台のサーバーを複数のユーザーで共有する共有サーバーは、リーズナブルで自由度も高いことから、多くのユーザーに利用されている。

　共有といってもユーザーエリアは個々に独立しているので、個々のユーザーのアカウントが盗まれたとしても、被害を受けるのはそのユーザーのサイトだけにとどまる。ところが、サーバーの管理者アカウントが盗まれたり、サーバーに脆弱性があったりすると事情が変わってくる。サーバーの管理者アカウントから侵入されれば、サーバー全体を乗っ取ったも同じ。サーバーの脆弱性は、全てのユーザーサイトに同じ手口で侵入できたり、場合によっては管理者としてサーバーそのものに侵入されてしまうこともある。

　今回被害にあった2社のレンタルサーバーの場合は、いずれもサーバーで利用していたアプリケーションの脆弱性が悪用され、ユーザーサイトのインデックスページ（トップページ）が次々と書き換えられてしまった。

　カゴヤ・ジャパンは、2日の午前7時頃から2台のサーバーが、3日午後9時頃から1台のサーバーが不正アクセスを受けた。編集部で確認できただけでも約150サイトのトップページが書き換えられており、「ＲｏｏＴＢｏＹ＆Ｒｅａｌ＿Ｋａｒｉｚｍａ」と名乗るメッセージと髭面の男の画像に変わっていた。XREAサーバーは、25日午前8時頃から不正アクセスが始まり、各サイトのトップページが「ｂｙ　Ｔｈｅｈａｃｋｅｒ　０ｗｎ３ｄ」というメッセージに書き換えられていった。トップページが書き換えられたサイトは、編集部で確できたものだけでも約400サイトに上る。

　今回の2社の不正アクセスは、いずれもハッカー（クラッカー）が目立つメッセージを残して行ったので、比較的短時間のうちにシステム側でも対処できたが、脆弱性が密かに悪用されたり長時間放置されていたら、大きな被害を招いたかもしれない。

（2010/01/27 ネットセキュリティニュース）

■障害情報：サーバアクセス障害（XREA）
http://mainte.xrea.com/eventview.cgi?host=www.s294.xrea.com
■カゴヤ・ジャパンのリリース
・お客様サーバー(www19v)不正アクセスにつきまして(復旧のお知らせ)
http://www.kagoya.jp/maintenance/00067.html
・お客様サーバー(www0v)不正アクセスにつきまして(復旧のお知らせ)
http://www.kagoya.jp/maintenance/00068.html
・お客様サーバー(www3v)不正アクセスにつきまして(復旧のお知らせ)
http://www.kagoya.jp/maintenance/00070.html
・FIG(Flash Image Gallery)セキュリティ対策に関するお願い
http://www.kagoya.jp/new/00312.html

◆年明け国内フィッシング事情(3)～Zeus/Zbot系ボットネットも大暴れ（2010/01/26）

　ボットに感染したユーザーのパソコンを操り、フィッシングやウイルス配布を仕掛ける攻撃が、年が明けても盛んに続いている。
　英語圏のユーザーを狙った攻撃なので、国内のユーザーが釣られてしまう可能性は低いのだが、Zeus/Zbot系のボットネットは国内のユーザーにも大量の誘導メールを国送りつけるうえ、ボットネットに取り込まれて偽サイトをホストする側に回ってしまった国内ユーザーのパソコンも散見される。

●偽サイトをホストする国内ユーザーのパソコン

　Zeus/Zbot系のボットネットが今年に入ってからホストした偽サイトは、Facebook、Western Union、Fifth Third Bank、HSBC、eBay、HMRC、USAA、IRS、VISA、AOLのインスタントメッセンジャー「AIM」、マイクロソフトの「OutLook」など。1か月足らずでこれだけの悪行をこなしているのだ。
　Zeus/Zbot系のボットネットは、誘導メールの送信からホスティングまで全てを、配下の感染パソコンを使って行っており、アカウント情報やカード情報を騙し取るフィッシングのほかに、ウイルス感染活動、フィッシングとウイルス配布の併用と攻撃も多彩。　26日朝の時点では、VISAを装うフィッシンと、AOL、IRSを装うウイルス配布、Facebookを装うフィッシングとウイルス配布が行われている。ホストする国内のユーザーのパソコンは、年末に比べると減ってはいるものの、時間帯によって1～2台が参加している状態だ。

●「Outlook Web Access」ユーザーを狙った攻撃

　ビットディフェンダーが19日付で注意を呼び掛けた「Outlook Web Access」ユーザーを狙った攻撃は、今月8日頃から約1週間にわたって行われたもの。メールボックスに新しい設定ファイル適用するよう指示し、settings-file.exe（実はZbot）をダウンロード実行させようとする。
　この辺は、以前からの手口と同じだが、最近のZeus/Zbot系ボットネットの偽サイトには、ページを開いただけで自動実行してしまう仕掛けが組み込まれている。世間を騒がせている、いわゆるガンブラー（Gumblaar、8080）の攻撃サイトと同種の脆弱性攻撃も仕掛けてくるのだ。

●対策は「OSやプラグインを最新の状態」に

　26日時点の攻撃に悪用されているのは、Adobe Reader、DirectShow（MS Videoコントロール）、Internet Explore。いずれも修正済みの脆弱性なので、OSやプラグインを最新の状態にしていれば、Zbotが自動的にインストールされるようなことはない。しかし、ユーザー自身がまんまとだまされ自分で実行してしまうと、ボットネットに強制加入という結末を迎えてしまう。使用しているソフトウェアの脆弱性とともに、ユーザー自身の脆弱性も解消しておきたい。

（2010/01/26 ネットセキュリティニュース）

■爆発的な感染の恐れがあるマルウェアZBot型に注意（ビットディフェンダー）
http://www.bitdefender.jp/20100114.php

◆年明け国内フィッシング事情(2)～ゲームアカウント狙うフィッシング2題（2010/01/26）

　昨年1年間に編集部が観測した、国内ブランドや国内でホストされたフィッシングサイト（ウイルス配布を含む）は1200余り。年末年始はやや減少気味だったが、新年早々にオンラインゲームのアカウントを狙うフィッシングサイトが複数見つかっている。

●「ファイナルファンタジーXI」の偽サイト

　ひとつは、昨年から度々出没している、スクウェアエニックスの「ファイナルファンタジーXI」の公式サイトを装った偽サイト。一般的なフィッシングでは、メールを使って偽サイトに誘導することが多いが、この手のフィッシングでは別の手段を使い、ユーザーをピンポイントで釣り上げようとする。
　下欄にあげた「セキュリティ通信トピックス」にもある昨年の例では、ゲーム内のチャットを使っておびき寄せていたが、今回見つかったのは、検索サイトの検索結果に表示されたスポンサーリンクを誘導手段に悪用。偽の「ファイナルファンタジーXI リンクシェルコミュニティβ版」のログインページに誘導していた。誘導先には、本物のサイトとよく似た紛らわしいURLが使われていた。

●「ファンタシースターユニバース」の偽サイト

　ゲームファンが集まる掲示板を悪用したのが、セガの「ファンタシースターユニバース」の偽サイトだ。国内の複数の掲示板に「PSUフレンドリーメモ：すぐには、次のURLでアカウントのパスワードを変更してくださいあなたのアカウントのパスワードのセキュリティを確保する」という日本語のメッセージが書き込まれ、同ゲームを利用するための登録やライセンスの購入など行う「PSU ID管理ページ」のログイン画面とそっくりな偽サイトへと誘導していた。
　メッセージが奇妙な日本語なら、誘導先も本物のサイトとは似ても似つかぬURL。これで引っかかるユーザーがいたのかどうかは疑問だが、偽サイトへの誘導には、このような手段も使われるということを覚えておいていただきたい。

　なお、今回見つかった偽サイトは純粋なフィッシングサイトだったが、この手の偽サイトには、訪問者にウイルスを感染させようとするものもあるので、くれぐれも興味本位でアクセスしないように。

（2010/01/26 ネットセキュリティニュース）

■PSU ID登録・課金ページを装ったフィッシングサイトについて（ファンタシースターユニバース）
http://phantasystaruniverse.jp/news/wis/?mode=view&id=1059
■ラインゲーム「ファンタシースターユニバース」をかたるフィッシング（フィッシング対策協議会）
http://www.antiphishing.jp/alert/alert1036.html

◆年明け国内フィッシング事情(1)～カード情報狙うYahoo!フィッシング再始動（2010/01/26）

　昨年1年間に編集部が観測した、国内ブランドや国内でホストされたフィッシングサイト（ウイルス配布を含む）は1200余り。年末年始は攻撃者も休暇をとったのか、やや減少気味だったが、年明けとともに再始動。フィッシンググループの摘発で数こそ激減したものの、Yahoo!のフィッシングもまた始まってしまった。

●クレジットカード情報を狙うYahoo!フィッシング再始動

　半年以上にわたる大規模なフィッシングを仕掛けていた詐欺集団が摘発され、激減したYahoo! JAPANを装うフィッシングだが、早くも別の攻撃者が活動を開始したようだ。

　摘発されたグループのフィッシングメールは、利用制限などの不具合を起こすかも知れないので登録情報を更新するように誘導していた。これに対し、グループ摘発後に見つかった新たなフィッシングメールは、これまでにも度々登場した、Yahoo!カスタマーセンターを装ってアカウントの継続手続きを促すタイプだ。

　誘導先は、摘発されたグループのもとのそっくりなYahoo!プレミアムを装った偽サイトだが、もっぱら国内のフリーサーバに偽サイトを設置しているのが特徴のひとつ。

　昨年末からは、支払い方法の登録欄に「カード代金引き落とし口座」の項目も新たに追加されている。摘発グループと比べると規模は小さく攻撃も断続的だが、今後も引き続き注意が必要だ。Yahoo!のアカウントは、手続きなどせずにずっと使い続けられるので、くれぐれも騙されないようにしていただきたい。

（2010/01/26 ネットセキュリティニュース）

■そのメール本当にYahoo! JAPAN？（Yahoo! JAPAN）
http://security.yahoo.co.jp/qa/index.html

◆RealPlayerの修正済み脆弱性11件公表、ユーザーはバージョン確認を（2010/01/25）

　RealNetworksは20日、RealPlayerのアップデート情報を公開した。対象となるのは、Windows版のRealPlayer 10/11/SP1/Enterprise、Macintosh版のRealPlayer 10/11、Linux版のRealPlayer 10/11、Helix Player 10/11。下記アップデート情報のページから、それぞれの最新版に更新できる。

　同社がアップデート情報を公開するのは1年半ぶり。この間に、ASM Rulebook、GIF画像、RealPlayerメディア、SIPRコーデック、SMIL解析、スキン、RTSPパラメータなどの処理で発生するバッファオーバーフローの問題、計11件が修正された。

　いずれも、悪用されると任意のコードを実行されるおそれのある問題で、この中には、昨年2月にFortinetなどがアドバイザリを公開した、IVRファイルの脆弱性2件も含まれている。この脆弱性は、当時の最新版で修正済であることが指摘され、Fortinetなどが最新版へのアップデートを促していたが、RealNetworksからは情報が公開されていなかった。

　Zero Day Initiativeが同日公開したアドバイザリによると、今回修正された6件の脆弱性は、2007年11月～2009年1月に同社に報告済みとなっており、どの時点でどの脆弱性が修正されたのかは分からない。RealNetworksは、これまでのところ、今回修正された脆弱性により実際にマシンに障害が発生したという報告はないとしている。

　同社が今回公表した脆弱性は、昨年に公開された各プラットフォームの最新版で修正されており、Windows版のRealPlayer SP 1.0.2～1.0.5、Macintosh版のRealPlayer 11.1、Linux版のRealPlayer 11.0.2、Helix Player 11.0.2は、これら脆弱性の影響を受けない。

　なお、各プラットホームの10.x、Windows版の11.xまでは、サポートが終了しているので注意していただきたい。

　使用しているRealPlayerのバージョンは、ヘルプメニューの「バージョン情報」で確認できる。

（2010/01/25 ネットセキュリティニュース）

■RealNetworks, Inc.、セキュリティ脆弱性に対応するアップデートをリリース（RealNetworks）
http://service.real.com/realplayer/security/01192010_player/ja/
http://jp.real.com/downloadRP/Mac.html

◆埋め込みコード変えドメインも一新、拡散続ける正規サイト改ざん（2010/01/22)

　相変わらず猛威をふるっている国内のWebサイト改ざんだが、改ざんサイトに埋め込まれるコードが21日夜から変化したことが、編集部の調査で分かった。誘導先の攻撃サイトのドメインも一新されており、対策ソフトの検出を逃れるために仕切り直したようだ。

　新たな展開を見せているのは、昨年12月から続いている「/*GNU GPL*/ try{window.onload」などで始まるJavaScriptを埋め込むタイプ。一般には「ガンブラー」と総称されるが、セキュリティ通信では「8080」と呼んでいる攻撃だ。

　この攻撃では、閲覧者のパソコンをウイルスに感染させるために、ロシアのドメインの8080ポート（.ru：8080）に接続させる難読化したコードを改ざんサイトに埋め込む。誘導先のURLには「google.com」などの著名なドメイン名を大量に織り込み、本物のドメイン名をカムフラージュ。難読化は文字列にランダムに文字を挿入するやり方で、当初はURL部分だけだったが、後にあらゆる文字列にまで発展し、今月8日頃からは「/*LGPL*/ try{window.onload」で始まるコードに変化していた。

■埋め込みコードは「/*LGPL*/」から「/*Exception*/」に

　今回の変更は、21日夜、「try{window.onload」で始まり「/*handle exception*/」で終わる、難読化なしのバージョンの出現で始まった。URLが全てむき出しの新型コードは、数時間後には「/*Exception*/ document.write」で始まる難読化されたバージョンに変わり、難読化なし版が埋め込まれたページも、明け方までに順次「/*Exception*/」の難読化版に書き換えられた。おそらくは、何かの手違いで埋め込みコードの変更に失敗し、難読化なし版が一時流れたのだろう。
　「/*LGPL*/ try{window.onload…」から「/*Exception*/ document.write…」への変更は、対策ソフトの検出回避に大きな効果があったようで、変更直後の改ざんページは、どのウイルス対策ソフトも検出できない状態。ただし、誘導先の攻撃自体には大きな変化はなく、攻撃サイトからロードするスクリプト等は、これまで通りに検出状況だ。

■誘導先のドメインは一新

　埋め込みコードの変更と前後して、埋め込まれる誘導先のドメインも一新された。「/*LGPL*/」までの改ざんで使われたドメインには、もはや接続できなくなっており、現在は「/*Exception*/」で埋め込まれる新たなURLのドメインのみが有効な状態だ。
　攻撃サイトの構成などはこれまで通り。フランスやオランダなどの5基のサーバーを1セットで使い、個々のドメインには全て同じセットが登録。攻撃サイトは実質5基だが、少しずつ入れ替えが行われているため、IPアドレスは安定していない。

■被害を受けたらパスワードの変更を

　埋め込みコードとドメインを一新し、さらなる拡散を図るサイト改ざん攻撃だが、新たなコードを埋め込まれたサイトの中には、修復済みだったはずのサイトもいくつか含まれている。改ざんされた原因が分からないまま、改ざん個所を修正しただけで済ませてしまったのだろう。
　ガンブラーと呼ばれている一連のサイト改ざん（Gumblar.x、8080）は、ウイルスに感染したサイト管理者のパソコンからサイト更新用のFTPアカウントを盗み出し、それを使って行っている。SQLインジェクションのようにWebサイトの穴を探して入り込んでくるのではなく、正面玄関から堂々と入って来てしまうのだ。
　改ざん個所に「/*GNU GPL*/」「/*CODE1*/」「/*LGPL*/」「/*Exception*/」とう文字列が含まれていたら、一連の攻撃によるもの。改ざん個所の修正だけで終わらせずに、必ずウイルスに感染していないパソコンを使用して管理サイトのパスワードを変更。改ざんの連鎖がこれ以上広がらないよう、閲覧者にも注意を呼び掛けていただきたい。

（2010/01/22 ネットセキュリティニュース）

◆新たに20件のサイト改ざんが明らかに～新規改ざんサイト一覧（2010/01/22）

　休止状態の「Gumblar.x」の後、昨年12月から活発に活動を続けている新手の改ざん攻撃「8080」によるサイト改ざんが猛威をふるっている。新たに改ざんを告知・謝罪し、ユーザーに対応を呼びかけているサイトをまとめておく。

　なお、改ざんを告知せずにこっそり該当部分を修正し、何事もなかったかのように再開している悪質ともいえるサイトもたくさんある中、正直に改ざんの事実を告げて謝罪し、ユーザーに対応を促しているサイトだということを付言しておきたい。

　改ざんがGumblar.xによるものか8080によるものかを確認できた場合は、その旨を付け加えている。（「8080」については、12日の記事『相次ぐサイト改ざん(1) 注意が必要なのは「ガンブラー」ではなく「8080」』をご覧いただきたい）

　また、Gumblar亜種により改ざん被害を受けたと告知しているサイトを編集部で確認したところ、実際はGumblar.xでも8080でもない、まったく別の種類の改ざんが行われていたことが判明したという事例がある。下記サイトのうち、編集部で種別を確認できなかった分についても同様のケースがあるかもしれないので、この点をご承知おきいただきたい。

●東京都（2010年1月21日発表）
種別：Gumblar亜種（当事者発表）
期間：2009年12月17日～2010年1月19日
場所：東京芸術劇場チケットサービス（www.tgg-ts.jp）
告知：「東京芸術劇場チケットサービス」サイトの改ざん
http://www.metro.tokyo.jp/INET/OSHIRASE/2010/01/20k1l300.htm
告知：東京芸術劇場チケットサービスHPに関するご報告とお詫び
http://www.geigeki.jp/info100121.html
告知：東京芸術劇場チケットサービスホームページに関するご報告とお詫び
http://ir.horipro.co.jp/news/node/35

●トータルリラクゼーションスペース「宙 SORA」（2010年1月21日発表）
種別：Gumblar亜種（当事者発表）
期間：2010年1月20日10時27分～1月21日15時30分
場所：「宙 SORA」ホームページ（www.sora111.com）
告知：ホームページに関するお詫びとお知らせ
http://blog.sora111.com/article/34871655.html

●電子情報技術産業協会（2010年1月20日発表）
種別：8080
期間：不明（2010年1月15日より公開停止中）
場所：協会ホームページ（www.jeita.or.jp）
告知：現在調査中のため、公開を停止させていただいております
http://www.jeita.or.jp/

●ファーストクレジット（2010年1月20日発表）
種別：8080
期間：2010年1月14日12時59分～1月16日1時3分
場所：ファーストクレジットホームページ（www.firstcredit.co.jp）
告知：当社ホームページに関するお知らせ（お詫び）
http://www.firstcredit.co.jp/release/news100118.html

●仙台国際交流協会（2010年1月20日発表）
種別：8080
期間：不明（1月19日19時30分より公開停止中）
場所：協会ホームページ（www.sira.or.jp）
告知：（財）仙台国際交流協会のホームページをご利用の皆様へ（重要なお知
らせ）
http://www.sira.or.jp/

●東急不動産（2010年1月20日発表）
種別：Gumblar亜種（当事者発表）
期間：2010年1月20日（水）13時13分～16時58分
場所：「ブランズ川口栄町パークフロント」のホームページ（www.bz-
kawaguchi.com）
　　　「Osaka福島タワー」のホームページ（ft540.com）
　　　「ブランズ西大津レイクテラス」のホームページ（www.branz-
nishiotsu.com）
　　　「ブランズガーデン王寺スカイヒルズ」のホームページ（www.bg-
oji.com）
　　　「ブランズタワー香里園ロジュマン」のホームページ（www.branz-
tower.com）
　　　「VOX-City」のホームページ（www.vox215.com）
　　　「阿倍野プロジェクト」のホームページ（www.abeno-pj.com）
告知：お詫び（弊社一部ホームページにおける改ざんの件）
http://sumai.tokyu-land.co.jp/help_notice.html
http://sumai.tokyu-land.co.jp/help_notice_02.html

●ミルブレインズLLC（2010年1月20日発表）
種別：Gumblar亜種（当事者発表）
期間：2010年1月19日
場所：ギガレンタルサーバー（gigasrv.jp faq.gigasrv.jp）
　　　Mbレンタルサーバー（mbsrv.jp faq.mbsrv.jp）
　　　99円レンタルサーバー（99yen.jp faq.99yen.jp）
告知：当社レンタルサーバーを閲覧になったお客様へご確認のお願い
http://gigasrv.jp/282.html
http://mbsrv.jp/532.html
http://99yen.jp/167.html

●東京法規出版（2010年1月19日発表）
種別：8080
期間：2010年1月15日19時頃～1月18日13時30分頃
場所：「保健指導向上委員会」オフィシャルサイト（www.hokensidou.net）
　　　「保健指導向上委員会」保健指導 SNS（sns.hokensidou.net
告知：「保健指導向上委員会」ホームページをご覧になった皆様へ
http://www.hokensidou.net/notice.html

●三田市商工会（2010年1月19日発表）
種別：Gumblar.x
期間：2009年12月14日～12月30日
場所：三田市商工会ホームページ（www.sanda.or.jp）
告知：ホームページをご覧になった皆様へお願い
http://www.sanda.or.jp/index.php/archives/1216

●GCIキャピタル（2010年1月19日発表）
種別：8080
期間：2010年1月15日10時38分～1月18日20時37分
場所：クルーク「経済指標カレンダー」（www.gci-klug.jp/indexcal/）
　　　マネーパートナーズ「経済指標カレンダー」
（www.moneypartners.co.jp/market/schdule.html）
告知：Klugクルーク「経済指標カレンダー」に関するお詫びとお知らせ[PDF] 

http://www.gcic.jp/news_release/2010/20100119klug.pdf
告知：Klugクルーク「経済指標カレンダー」に関するお詫びとお知らせ
http://www.gci-klug.jp/news/2010/01/19/008069.php
告知：当社ホームページ『経済指標カレンダー』を閲覧された皆様へ（マネー
パートナーズ）
http://www.moneypartners.co.jp/news/2010/01/post_268.html
告知：「経済指標カレンダー」に関するお知らせ（オスピス）
http://www.auspice.co.jp/info/index.php?mode=rssview&no=14&c=1

●NTTデータ先端技術（2010年1月19日発表）
種別：8080
期間：2010年1月14日21時59分～1月15日18時58分
場所：VOISTAGE（www.voistage.com）
告知：「VOISTAGEサイト」の改ざんに関するご報告とお詫び
http://www.intellilink.co.jp/all/topics/2010/01/19/voistage.html

●レノ（2010年1月19日発表）
種別：8080
期間：2010年1月17日3時～1月18日23時
場所：レノ公式サイト（re-no.jp）
　　　「IMbit」公式サイト（re-no.jp/imbit/）
　　　「IM」公式サイト（imlabel.jp）
　　　二宮愛個人サイト「BB.」（bb-91.jp）
告知：ホームページ改ざんとウイルス感染被害に関するお詫びとご報告
http://re-no.jp/
http://re-no.jp/imbit/
http://imlabel.jp/
http://bb-91.jp/

●テルモ（2010年1月18日発表）
種別：8080
期間：2010年1月15日15時～1月18日9時30分
場所：テルモヘルスケアショッピングサイト（www.terumo.co.jp/healthcare/
shopping/）
告知：テルモホームページに関するお詫びとお知らせ
http://www.terumo.co.jp/press/2010/notice.html

●東京ガス（2010年1月15日発表）
種別：8080
期間：2010年1月6日21時32分～1月14日12時16分
場所：東京ガス硬式野球部（www.tg-baseballclub.com）
告知：「東京ガス硬式野球部サイト」の改ざんに関するお詫びとお知らせにつ
いて
http://www.tokyo-gas.co.jp/important/20100115-01.html

●東京・春・音楽祭－東京のオペラの森－（2010年01月14日発表）
種別：8080
期間：2009年12月21日23時30分～2010年1月6日19時30頃
場所：東京・春・音楽祭ホームページ(www.tokyo-harusai.com)
告知：ホームページ改ざんに関する報告とお詫び
http://www.tokyo-harusai.com/news/news_450.html

●せいかグループ（2010年1月13日発表）
種別：8080
期間：2009年12月28日～2010年1月13日17時
場所：せいか幼稚園（www.seikayouchien.ed.jp）
　　　せいか保育園（www.seika-ns.ed.jp）
告知：せいか幼稚園ホームページをご覧の皆様へ
http://www.seika-group.or.jp/blog_sukusuku/2010/01/post-213.html
告知：せいか保育園のホームページをご覧の皆様へ
http://www.seika-group.or.jp/blog_nobinobi/2010/01/post-46.html

●JAPAN SAP USERS' GROUP（2010年1月8日発表）
種別：Gumblar（当事者発表）
期間：2010年1月3日18時～1月4日11時
場所：JSUGトップページ（jsug.org/index.html）
告知：コンピュータウィルス感染のご報告とウィルス撒布のお詫び
http://www.jsug.org/news/2010/01/000254.html

●SBR（2010年1月8日発表）
種別：Gumblar亜種（当事者発表）
期間：2010年1月4日21時44～1月7日12時30分
場所：パワーチャンネル（biz.sbr-inc.jp）
告知：（お詫び）ホームページの再開について
http://biz.sbr-inc.jp/info/owabi100108.shtml

●FJネクスト（2010年1月6日発表）
種別：Gumblar亜種（当事者発表）
期間：2009年12月28日8時30分～2010年1月5日11時50分
場所：FJネクストサイト（fjnext.com）
告知：当社ホームページに関するお詫びと報告
http://www.fjnext.com/info/

●富国生命保険（2010年1月4日発表）
種別：8080
期間：2009年12月28日11時10分～12月29日20時
場所：新卒採用情報サイト（www.fukoku-saiyo.com）
　　　障がい者採用情報サイト（www.fukoku-saiyo.com/r3/）
　　　中途採用情報サイト（career.fukoku-saiyo.com）
告知：本ウェブサイトの改ざんに関する報告とお詫び
http://www.fukoku-saiyo.com/apology/index.html
http://www.fukoku-saiyo.com/r3/apology/index.html
http://career.fukoku-saiyo.com/apology/index.html

（2010/01/22 ネットセキュリティニュース）

◆「東京芸術劇場チケット」サイトが「3度」改ざん（2010/01/22）

　東京都は21日、東京芸術劇場のホームページリンク先である「東京芸術劇場チケットサービス」サイトが、昨年12月17日から今年1月17日まで、改ざん被害にあったことを公表した。この間の同サイトへのアクセス数は2万3181件。当該サイトを閲覧した場合、ウイルス感染のおそれがある。

　東京都によると、ウイルスは「Gumblar」亜種で、1月4日に劇場職員がサイトにアクセスして異常を発見。サイト運営会社のホリプロに連絡して復旧したが、9日にユーザーからの苦情で再度の感染を知った。これを改善して復旧させたが、19日になってまたユーザーから通報があり、調べたところ前回の改善箇所以外から感染ファイルが見つかったという。

　直近のこの事例から、一連のサイト改ざん被害の対応について考えてみたい。

　まず、公表の意義について。毎日のようにどこかの企業や団体が改ざん被害を公表しているが、こうした公表は感染二次被害を食い止めるための基本だ。3回目の改ざん被害で、しかも通報されてそれと気づいてから、やっと改ざん被害を公表するというのは後手に回っている。

　次に、感染ウイルスについて。編集部では、サイト改ざん攻撃には大きく分けて昨年猛威をふるった「Gumblar」系と、年末からの新顔「8080」系の2系統があると考えている。後者は、改ざん箇所に埋め込まれたJavaScriptに「GNU GPL」という文字列が使われていたことから、「GNU GPL」と呼ばれることもある。また、注意したいのは、後者の「8080」系を「Gumblar」亜種とする報道例が多いことだ。当該事例でも「Gumblar」亜種とされているが、ウイルスの系統（種類）によって感染リスクも変わってくるので、この精査は重要だ。

　「8080」系は新顔の現在進行形なので、ウイルス対策ソフトでも検知できない場合がある。そのウイルス対策ソフトが最新のでも感染してしまうおそれがあり、感染後にスキャンしてもウイルスを検出できない可能性があるからだ。サイト運営側は、これをふまえた上で、入念なウイルス除去と除去確認を行う必要がある。

　なお、改ざん被害はまだ終わりが見える気配がない。インターネット利用の基本として、Microsoft Updateの実行と各種アプリケーションを常に最新版に更新したい。

　本稿の後に、「東京芸術劇場チケットサービス」も含め、改ざんを告知・謝罪し、ユーザーに対応を呼びかけているサイトをまとめておくので、感染対策に役立てていただきたい。

（2010/01/22 ネットセキュリティニュース）

◆マイクロソフトが修正パッチを緊急公開～IEのゼロデイ攻撃に対応（2010/01/22）

　マイクロソフトは22日、Internet Explorer（IE）の深刻な脆弱性8件を修正する更新プログラムを、定例外で緊急公開した。

　このうち7件は未公開の脆弱性で、マイクロソフトは悪用報告はないとしている。だが、残り1件の脆弱性は、攻撃コードが一般に公開されており、昨年12月にGoogleなど複数の企業が標的型攻撃を受けた際に利用された。

　さらに現在は、不特定多数を対象に、この脆弱性を突いた攻撃が行われていることが判明（下記IBMのページ参照）。このため、現在進行形で同時多発的に起こっているサイト改ざんへの悪用が懸念される状況だった。

　更新対象となるのは、Windows7を含む全てのWindowsのIE5.01/6/7/8で、深刻度はいずれも危険性が最も高い「緊急」となっている。Windows Server 2003 のサポートされているエディションのIE6のみ「警告」レベルだ。

　修正されたのは、ゼロデイ攻撃に悪用されたHTMLオブジェクトのメモリ破損の問題のほか、IE8において情報漏えいにつながる恐れのあるXSSフィルターのスクリプト処理、攻撃者の侵入や乗っ取りを許してしまうIEのURL検証力の脆弱性、初期化されていないメモリの破損などで、これらの問題点が解決された。

　これまでのことろ、実際に脆弱性を突かれた攻撃コードはIE 6用だけだが、脆弱性はIE5.01 6/7/8とそのコンポーネントを利用しているアプリケーション全てに影響する。つまり、どのバージョンも攻略される危険があるわけで、IEユーザーはただちに更新を行いたい。

（2010/01/22 ネットセキュリティニュース）

■2010年1月のセキュリティ情報（2010年1月22日更新）（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms10-jan.mspx
■不特定多数を対象としたMicrosoft Internet Explorerのゼロデイ脆弱性を狙う攻撃（IBM）
http://www.ibm.com/services/jp/index.wss/consultantpov/secpriv/b1334030?cntxt=a1010214

◆アドビ、深刻な脆弱性を修正した「Shockwave Player」の最新版を公開（2010/01/21）

　アドビシステムズは19日（米国時間）、同社のランク付けで最も危険な脆弱性を修正した「Shockwave Player」の最新版「11.5.6.606」を公開した。

　最新版では、3Dゲームなどで使われる3Dモデルの処理でバッファオーバーフローが起こる問題と、複数の整数オーバーフローの問題が修正されている。これらの脆弱性が悪用されるとクラッシュしたり、外部から任意のコードが実行され、システムが乗っ取られるなどの危険があるため、同社は全てのユーザーに最新版への切り替えを勧めている。

　影響を受けるのは、Windows版とMacintosh版の「11.5.1.602」、およびそれ以前のバージョンで、下記「Shockwave Playerのダウンロード」から入手できる。

　Shockwave Playerは、同社のオーサリングソフト「Director」で作成された音楽や動画などを再生する無料のプラグインだ。「Flash」と違い日本国内ではそれほど普及していないため、インストールされていないパソコンも多い。

　下記「Adobe Shockwave と Flash Playerのテスト」のページで、プラグインがインストールされているかどうかを確認できるので、インストールされている方は、アップデートを実施していただきたい。テストページのShockwave Playerのボックスに「ここをクリックするとプラグインをダウンロードします」と表示される場合は、インストールされていないので、プラグインのダウンロードやアップデートの必要はない。

（2010/01/21 ネットセキュリティニュース）

■APSB010-03 Security updates available for Shockwave Player[英文]
http://www.adobe.com/support/security/bulletins/apsb10-03.html
■Shockwave Playerのダウンロード
http://www.adobe.com/go/getshockwaveplayer_jp
■Adobe Shockwave と Flash Playerのテスト
http://www.adobe.com/jp/shockwave/welcome/

◆アップル、Mac OS X用「セキュリティアップデート2010-001」を公開（2010/01/20）

　アップルは19日、Mac OS X用の「セキュリティアップデート 2010-01」を公開した。対象となるのは、Mac OS X 10.5.8/10.6.2、およびServer10.5.8/10.6.2。

　CoreAudio、ImageIO、画像 RAW、では、悪意のあるmp4オーディオファイルや画像ファイルを開くと、アプリケーションが予期せず終了したり、任意のコードを実行されるおそれのある脆弱性などが修正されている。

　リモートの攻撃者によって突然cupsdのアプリケーションが終了するCUPSの脆弱性も修正された。また、SSLとTLSプロトコルに存在していた中間者攻撃の問題も解消された。

　なお、悪意のあるWebサイトを閲覧すると、任意のコードが実行されるおそれのあったFlash Playerの脆弱性は、Adobeが2009年12月に修正パッチを公開したが、これもプラグインとして同梱されている。

　「セキュリティアップデート 2010-01」は、アップルメニューの「ソフトウェアアップデート」で自動インストールできるほか、同社の「サポートダウンロード」ページからも入手できる。

（2010/01/20 ネットセキュリティニュース）

■セキュリティアップデート 2010-001 について（アップル）
http://support.apple.com/kb/HT4004?viewlocale=ja_JP

◆Yahoo!フィッシング～容疑者グループ逮捕で偽サイト激減、今後の注意点は？（2010/01/20）

　「セキュリティ通信」では、これまで毎月のように「ヤフーをかたるフィッシング詐欺（以下Yahoo!フィッシングと略記）」について取り上げ、読者に注意を促してきた。新年早々、この一連のフィッシング行為を仕掛けていた容疑者グループが逮捕され、直後からYahoo!フィッシング詐欺に使われていた偽サイトの激減が観測されている。
　それが何を意味するのか、この機会にこれまでの軌跡をふりかえっておきたい。

■ヤフーかたるフィッシング、昨年6月から大量発生の異常事態続く

　昨年1年間、「セキュリティ通信」で取り上げたYahoo!フィッシング関連記事は次の通りである。2009年6月の記事タイトルに注目していただきたい。「大量発生」という言葉が使われている。「Yahoo!フィッシング」は2009年だけでなく、何年も前から継続して発生しているのだが、2009年5月下旬（実質6月）から、大量発生する異常事態となり、それが2009年12月末まで継続していたのである。

　2009/12/16・Yahoo! JAPANをかたるフィッシィング、新パターンで12月も継続中
　2009/10/19・Yahoo! Japanをかたる偽サイトが多数稼働中～フィッシングにご用心
　2009/09/15・「Yahao!」や「Amazan」にご用心！　ヤフーかたるフィッシングも継続中
　2009/08/13・フィッシングにご用心～狙われるYahoo！ Japanユーザー、悪用されるゾンビPC　
　2009/07/28・止まらない Yahoo! Japanのフィッシング～ 今月も引き続き大量発生
　2009/07/14・ヤフーカスタマーサービスかたる詐欺メール出回る～ヤフーが注意呼びかけ
　2009/06/10・Yahoo!Japanのフィッシング大量発生～フィッシング対策協議会も注意喚起
　2009/04/07・Yahoo! Japanをかたるフィッシングメールとサイトが再び出現
　2009/02/12・また出た！「Yahoo! Japan」かたるフィッシングメールとサイト
　2009/01/14・Yahoo!Japanをかたるフィッシングメール出回る～偽サイト2つは国内に設置

■フィッシング詐欺グループ5人が逮捕、その直後から偽サイト激減

　今月10日、ヤフーをかたるフィッシング詐欺グループ5人が、静岡県警と熊本県警の合同捜査本部により逮捕された。詐欺グループは東京在住の会社員を首謀者とする30代の男5人組。2009年6月下旬から7月下旬にかけ、不正に入手した北海道と静岡県の女性2人のカード情報を悪用し、ネットショッピングでデジタルカメラなど2点（計12万7000円）を購入した疑いだ。

　5人組は都内や近郊のネットカフェを利用してヤフーを装ったメールを140万人に送り付け、2700人分のクレジットカード番号等を盗んでは、電化製品を購入して中古品業者に転売して換金することを繰り返していたという。現時点で確認されている被害は、昨年4月から逮捕される今年1月までの間に約370件、3500万円あまりだが、捜査の進展でさらに膨らむ可能性がある。

　当編集部はフィッシング詐欺に使われるヤフーの偽サイトの取材を続けてきたが、昨年6月以降、ヤフーの偽サイトは毎月平均30～50件ほど見つかっていた。実数はその数倍あるいは10数倍の規模と推測される。ところが今年に入り、容疑者グループが逮捕されて以降は、編集部が確認した偽サイトは数件にとどまる。ネットのブログや掲示板でも、フィッシングメールやフィッシングサイトの話題が連日のように書き込まれていたが、この1週間はネット上での被害報告も見当たらない。

■ヤフーかたるフィッシング詐欺の代表的パターン

　ヤフーをかたるフィッシング詐欺には、代表的な2つのパターンがある。「ユーザーアカウント継続手続き」で誘導するタイプと、「登録情報の更新」を行わせようとするタイプ。いずれも狙われているのはオークション利用者だが、前者は「オークションを今後も継続して利用するにはユーザーアカウント継続手続きが必要」と述べ、後者は「登録情報の更新が行われない場合、出品制限等の不具合を起こす場合もあります」と言い、どちらも偽サイトに誘導して個人情報を入力させ、盗もうとする。これらの偽メールは、「【重要なお知らせです】」「Yahoo!カスタマーセンターより重要なお知らせ」「ヤフージャパンＩＤに関する大切なお知らせ」などといった件名で届いていた。

　昨年末には新パターンが加わり、フィッシングメールの件名が「【※事務局からのお知らせ※】」に変わった。文面も「現在Yahoo! JAPANではセキュリティの強化を行っています。利用制限等の不具合を起こさない為にも、お手数とは思いますがお客様のご登録情報の更新をお願い致します」に変わり、セキュリティ強化を装って偽サイトに誘うものになっていた。

■逮捕された5人組が使っていた手口とは

　これまでの取材結果の分析から、今回逮捕された5人組は、「登録情報の更新」「セキュリティ強化」を求めるメールを送っていた犯行グループではないかと編集部はみている。彼らが送りつけた偽メールの誘導先は、「Yahoo!プレミアム」を模したサイトで、偽サイトの右上のアンカーが「YAH00! JAPAN」表記になってるのが特徴（YAHOO!のOOが数字の00）だった。
　10日の逮捕以降、フィッシング目的の偽サイトが激減したことと考え合わせると、140万人にメールを送りつけたというこの5人組が最も活発な勢力だったと思われる。つまり、昨年6月以降、大量発生していた部分を担っていたのが彼らだろう。

■まだ残る犯行グル―プが詐欺行為を継続する可能性

　派手な大量発生を担っていたグループは逮捕されたが、昨年6月以前から継続して地味に詐欺活動を続けている犯行グループ、「ユーザーアカウント継続手続き」を求めて偽サイトへ誘導している犯行グループは、まだ健在とみられる。悪事を働く輩が一網打尽にされたわけではないということだ。彼らはしばらく鳴りを潜めた後、また活動を始め、昨年6月より前のペースに戻ることが予想される。

■どんな騙しのテクニックにも釣られないために

　これまで掲載した関連記事で繰り返しお伝えしてきたように、「Yahoo! JAPAN ID」も「Yahoo!プレミアム」も、個人情報入力を伴う更新手続きはまったく必要がない。このことをしっかり頭に入れて、どんな件名や文言の詐欺メールが送られてきても釣られないようにガードを固めてほしい。下にあげた２本のトピックス記事も、ぜひお読みいただき、参考にしていただきたい。

（2010/01/20 ネットセキュリティニュース）

◆IE6/7/8の脆弱性～攻撃コード公開で改ざん被害拡大の危険、今すぐ回避策を(2010/01/19)

　米国時間の14日（日本時間15日）にマイクロソフト（MS）のアドバイザリが出たばかりだが、その翌日、これまでは知る人が限られていたInternet Exployer（IE）の未修整の脆弱性を突く攻撃コードが、誰でもアクセスできるweb上で公開されてしまった。

　この攻撃が悪用されると、年末から続いている一連のサイト改ざん攻撃の被害が拡大する恐れがある。

　脆弱性はWindows7を含むすべてのWindowsのIE 6/7/8に影響し、リモートでコードが実行される可能性がある。とくにWindows2000とXPでIE 6を使用している場合の危険性が高い。

　現時点で確認されている攻撃コードはIE 6用だけだが、脆弱性はIE 6/7/8とそのコンポーネントを利用しているアプリケーション全てに影響するので、他のバージョンも攻略される危険がある。どのバージョンでも油断せずに、マイクロソフトのアドバイザリに従った対策を速やかに行いたい。ただし、Windows98はサポートが終了している。

●いますぐ実行したい回避策

　修正パッチはまだ開発中なので、MSのアドバイザリでは当面の回避策として、インターネットゾーンのセキュリティ設定を「高」に設定にすることと、DEP（データ実行防止機能）を有効にすることを挙げている。マイクロソフト サポート オンラインの「Fix it」を利用すると、DEP を自動的に有効にすることができる。

【解説：2つの回避策】
　脆弱性攻撃は、JavaScriptを使って実行コードをメモリ上に展開し、クラッシュさせて実行されるので、IEのJavaScript（設定項目だとアクティブスクリプト）を無効にすれば攻撃が成立しない。MSがアドバイザリで示すようにインターネットゾーンを「高」にすると、IEのJavaScriptは無効になる。
　また、クラッシュ時に実行させるコードはデータ領域に置かれるので、データ領域のコード実行を阻止する機能であるDEP（データ実行防止機能）を有効にすると、攻撃が成立しない。MSが用意した「Fix it」を利用すればDEPを有効にすることができる。

（2010/01/19 ネットセキュリティニュース）

■マイクロソフト セキュリティ アドバイザリ (979352)（マイクロソフト）
http://www.microsoft.com/japan/technet/security/advisory/979352.mspx
■マイクロソフト サポート オンライン（マイクロソフト）
http://support.microsoft.com/kb/979352

◆Internet Explorer6/7/8に脆弱性、マイクロソフトがアドバイザリ公開(2010/01/15)

　マイクロソフトは15日、Internet Explorerに脆弱性が存在することを明らかにし、アドバイザリを公開した。また同日、昨年12月にGoogleなど複数の企業が標的型攻撃を受けた件において、この脆弱性が使われていたことを明らかにした。

　アドバイザリによると、脆弱性は、Windows 2000上のIE6と、Windows 7/Vista/XPおよびWindows Server 2008 R2/2008/2003上のIE6/7/8に影響する。Windows 2000上のIE5.01は影響を受けない。

　この脆弱性は無効なポインタ参照に起因するもので、悪用すると任意のコードを実行することが可能。これまでに、IE6を使った限定的な攻撃が確認されているという。修正プログラムは現在開発中。

　マイクロソフトでは、この問題の回避策として、IEでインターネットゾーンのセキュリティ設定を「高」にすることと、IE6/7でDEP（Data Execution Prevention：データ実行防止機能）を有効にすることを挙げている。IE8では、デフォルトでDEPが有効となっている。また、不審なリンクをクリックしないよう十分気をつけたい。

（2010/01/15 ネットセキュリティニュース）

■ マイクロソフト セキュリティ アドバイザリ (979352)（マイクロソフト）
http://www.microsoft.com/japan/technet/security/advisory/979352.mspx
■ Security Advisory 979352 Released［英文］（MSRC）
http://blogs.technet.com/msrc/archive/2010/01/14/security-advisory-979352.aspx
■ Microsoft Internet Explorer には、任意のコードが実行される脆弱性があります。（JVN）
http://jvn.jp/cert/JVNVU492515/index.html

◆新たに9件のサイト改ざんが明らかに～警察庁と警視庁も注意呼びかけ(2010/01/15)

　新たに、9件のサイト改ざんが公表された。いずれも、2009年12月から猛威をふるっている新手の改ざん攻撃「8080」によるものだ。8080については、12日の記事『相次ぐサイト改ざん(1) 注意が必要なのは「ガンブラー」ではなく「8080」』をご覧いただきたい。

　2009年10月からGumblar.xが攻撃活動を始め、12月には8080も参戦。2種類の攻撃により、企業や団体のサイト、個人が運営するサイトなど多数のサイトが改ざんされ、今は、警察庁と警視庁がそれぞれ注意を呼びかけるほどのたいへんな状況だ。

　ホームページサービスの「Yahoo!ジオシティーズ」でも、同サービス利用者のホームページが改ざんされたという報告が数件あったとして、13日に注意を呼びかけている。

　改ざんされたサイトを閲覧してもウイルスに感染しなくてすむように、OSやブラウザ周りのソフトウェアを最新版にしておこう。また、悪用されやすい機能は無効にしておこう。具体策は、8日の記事『サイト改ざん(1)「告知せず」で感染拡大の恐れ～負の連鎖を断ち切るために』にまとめてある。

　なお、1月13日にAdobe Readerの最新版「9.3」が公開されている。「9.3」では、8080で悪用されている脆弱性が修正されているほか、これとは別の深刻な脆弱性も複数修正されている。今すぐアップデートを実行しよう。

　以下に、改ざんを告知、謝罪し、ユーザーに対応を呼びかけているサイトをまとめておく。

■札幌市公園緑化協会（2010年1月14日発表）
種別：8080
期間：2010年1月10日9時～1月13日13時
場所：協会ホームページ（www.sapporo-park.or.jp）
告知：お詫びとお願い[PDF]
http://www.sapporo-park.or.jp/hp_20100110.pdf

■ゲームアーツ（2010年1月13日発表）
種別：8080
期間：2010年1月8日17時37分～1月12日10時10分
場所：Shadow Walker 日本語公式サイト（shadow.gamearts.jp）
　　　The Magic Obelisk 英語公式サイト（magic-obelisk.gamearts.com）
告知：弊社Webサイトの改ざんに関する報告とお詫び
http://www.gamearts.co.jp/news/emergency_20100112.html

■三井住友カード（2010年1月13日発表）
種別：8080
期間：2010年1月6日14時30分～1月7日11時13分
場所：VISA GIFT CARDサイト（www.s-visagiftcard.com）
告知：弊社ホームページ上のリンクサイトの改ざんについて
https://www.smbc-card.com/mem/cardinfo/cardinfo8090276.jsp

■北海道立生涯学習推進センター（2010年1月13日発表）
種別：8080
期間：2009年12月11日14時13分～2010年1月5日17時30分
場所：北海道立青年の家（wa.manabi.pref.hokkaido.jp/doritu/）
　　　北海道立洞爺少年自然の家（wa.manabi.pref.hokkaido.jp/toya/）
　　　北海道立砂川少年自然の家（wa.manabi.pref.hokkaido.jp/sunagawa/）
　　　北海道立常呂少年自然の家（wa.manabi.pref.hokkaido.jp/tokoro/）
　　　北海道立厚岸少年自然の家（wa.manabi.pref.hokkaido.jp/akkesi/）
　　　北海道立森少年自然の家（wa.manabi.pref.hokkaido.jp/mori/）
　　　北海道立足寄少年自然の家（wa.manabi.pref.hokkaido.jp/asyoro/）
　　　北海道ネイパルナビゲータ（wa.manabi.pref.hokkaido.jp/）
告知：各道立青少年教育施設のホームページを閲覧されている皆様へのお知らせ
http://wa.manabi.pref.hokkaido.jp/default.htm

■早稲田大学平山郁夫記念ボランティアセンター（2010年1月13日発表）
種別：8080
期間：不明
場所：WAVOCホームページ（wavoc.jp）
告知：当センターホームページの改ざんについてのお詫び
http://wavoc.jp/excuse.php

■ムックハウス（2010年1月13日発表）
種別：8080
期間：2009年12月28日～2010年1月12日
場所：CyberX Blog（www.mag-x.com/）
告知：CyberX Blog読者の皆様へ
http://www.mag-x.com/blog/attention2.html

■環境共生住宅推進協議会（2010年1月12日発表）
種別：8080
期間：2010年1月7日～1月11日
場所：KKJサイト（www.kkj.or.jp）
告知：（お詫び）不正改ざんについてのご報告とお願い
http://www.kkj.or.jp/index_info.php

■岡本工作機械製作所（2010年1月12日発表）
種別：8080
期間：2010年1月8日2時17分～1月9日14時頃
場所：同社ホームページ（www.okamoto.co.jp）
告知：当社ホームページに関する報告とお詫び[PDF]
http://www.okamoto.co.jp/site/file/tmp-J3cE9.pdf

■大学通信（2010年1月7日発表）
種別：8080
期間：2010年1月3日15時～1月6日17時30分
場所：大学探し.com（www.daigakusagashi.com）
告知：当サイトへの不正アクセス発生についてのお詫び
http://www.daigakusagashi.com/owabi100107.html

（2010/01/15 ネットセキュリティニュース）

■ ホームページを改ざんするウイルスに関するお知らせ（Yahoo!ジオシティーズ）
http://geocities.yahoo.co.jp/v/info/index.html
■ 新種のウィルス対策（警視庁）
http://www.keishicho.metro.tokyo.jp/haiteku/haiteku/haiteku410.htm
■ ガンブラーウイルスの感染に対する注意喚起について（警察庁）
http://www.npa.go.jp/cyber/warning/h22/100108_1.html
■ Webサイト改ざん及びいわゆるGumblarウイルス感染拡大に関する注意喚起（JPCERT/CC）
http://www.jpcert.or.jp/at/2010/at100001.txt

◆信濃毎日新聞のポータルサイトで個人情報が外部から閲覧可能に(2010/01/15)

　信濃毎日新聞（長野県長野市）は13日、同社が運営するポータルサイト「信州Liveon」において、「リンク集」と「スポーツ大会結果」の投稿フォームに入力された個人情報が、外部から閲覧できる状態になっていたと発表した。

　同社によると、2009年12月18日から2010年1月3日までの間、投稿者名、メールアドレス、電話番号322件が外部から閲覧できる状態になっており、ログを確認した結果、6件の情報が閲覧されていたことが判明した。

　データのページ表示を制御するテンプレートに不適切な設定があったため、通常は公開していない携帯サイト用の特定のURLのページにおいて、検索サイト経由で情報が外部から閲覧できる状態になっていたという。

　同社では、3日に関係者から連絡を受けて事態を把握し、同日、原因となっていたテンプレートを改修。個人情報が漏えいした6名には個別に事情を説明し、謝罪を行った。同社は、今回の事態の原因を徹底解明して問題点を洗い出し、再発防止を図るとしている。

（2010/01/15 ネットセキュリティニュース）

■個人情報漏出についてのお詫び（信濃毎日新聞）
http://www.shinshu-liveon.jp/www/mypage/liveon/blog/node_141148

◆IPA、2009年のウイルス感染事象を解説～感染の仕組みが巧妙化(2010/01/14)

　情報処理推進機構（IPA）は6日、2009年12月および2009年年間のコンピュータウイルスと不正アクセスの届出状況のまとめを発表した。「今月の呼びかけ」では、2009年に起こったウイルス感染の事象のうち、特徴的な4つの事象について解説し、対策を示している。

■2009年12月の届出状況

　2009年12月のウイルスの検出数は約6.6万個で、11月（約7万個）から5.7％減少。届出件数は981件で11月（1140件）から13.9%の減少となった。検出数の1位は、W32/Netsky（5万4420個）で、2位はW32/Mydoom（4448個）、3位はW32/Whybo（3320個）だった。

　不正プログラムの検知状況では、2009年9月に急増した「偽セキュリティ対策ソフト」型ウイルス（FAKEAV）の検知件数が減少傾向にあり、11月以降はほとんど確認できないレベルとなっている。

　不正アクセスの届出件数は9件（11月11件）で、そのうち被害があったものは6件（11月6件）。ウェブページに不正なコードを挿入された、Webサーバー内にあったメルマガ配信用アドレス情報などが消去された、ファイアウォールソフトが無効にされたりファイルを改ざんされたりした、オンラインのポイントサービスサイトで不正に換金されたなどの被害事例があった。

　12月の相談件数は1794件（11月2315件）で、「ワンクリック不正請求」関連が576件（11月903件）、「セキュリティ対策ソフトの押し売り」関連7件（11月0件）、Winny関連6件（11月0件）などだった。

■2009年の届出状況

　2009年のウイルスの届出数は1万6392件で、2008年の2万1591件から大幅に減少。届出数は2004年に急増したが2005年以降は年々減少しており、IPAでは、大規模な感染拡大を引き起こす大量メール配信型のウイルスが出現していないたことがその原因だとみている。

　2009年に届出されたウイルスは125種類（2008年136種類）で、2009年に初めて届出されたウイルスは9種類（2008年19種類）。検出数が多かったのは、上から順に「W32/Netsky」「W32/Downad」「W32/Mydoom」となっている。

　不正アクセスの年間届出数は149件で、2008年の155件から6件（4％）減少。被害があったのは107件（前年156件）で、ホームページの改ざん被害（14件）が前年より増加している（前年5件）。

■呼びかけ～2009年の特徴的なウイルス感染事象4つ

　今月の呼びかけでは、2009年に起こったウイルス感染の事象を振り返り、以下の4事象を特徴的なものとして挙げ、解説している。

（a）改ざんされた企業や個人のWebサイトを閲覧してウイルスに感染
（b）USBメモリなどの外部記憶媒体を介してウイルスに感染
（c）メールの添付ファイルで送られてくるウイルスに感染
（d）悪意あるWebサイトに誘導されてウイルス等に感染

　この4つの共通点は、利用者に気づかれないように巧妙な仕組みを使ってウイルスに感染させていること。IPAは、ウイルスに感染すると、気づかないうちに他の利用者のパソコンを感染させ、大規模な被害をもたらしてしまうこともあると指摘し、下記の対策を実施するよう促している。

・OSを最新の状態に更新する
・プリケーションソフト（インターネット閲覧ソフト、メールソフト、動画閲覧ソフト、ドキュメントファイル閲覧ソフトなど）の修正プログラムを適用し、最新のバージョンに更新する。
・ウイルス対策ソフトのパターンファイルを最新の状態にし、ウイルス検知機能を有効にして使用する。

　また、万が一の事態に備えて、重要なデータをCD-Rなどの光学メディアや外部接続HDDなど、外部記憶媒体にバックアップしておくことを推奨している。

（2010/01/14 ネットセキュリティニュース）

■ コンピュータウイルス・不正アクセスの届出状況[12月分および2009年年間]について（IPA）
http://www.ipa.go.jp/security/txt/2010/01outline.html
■ 2009年のコンピュータウイルス届出状況［PDF］（IPA）
http://www.ipa.go.jp/security/txt/2010/documents/2009all-vir.pdf
■ 2009年のコンピュータ不正アクセス届出状況［PDF］（IPA）
http://www.ipa.go.jp/security/txt/2010/documents/2009all-cra.pdf

◆アドビ、深刻な脆弱性を修正した「Adobe Reader 9.3」と「8.2」公開(2010/01/13)

　アドビシステムズは13日、PDF閲覧ソフト「Adobe Reader」の最新版「9.3」を公開した。

　9.3では、現在猛威をふるっているサイト改ざん攻撃で悪用されている脆弱性も含め、深刻な脆弱性が複数修正されている。早急にアップデートを実行するようおすすめする。
　また同社では、バージョン8を使用中で9.3にアップデートできないユーザーのために、「8.2」も公開している。

　Adobe Readerの最新版は、同ソフトの「ヘルプ」メニューから「アップデートの有無をチェック」を実行すると入手できる。同社サイトからダウンロードすることも可能だ。なお、バージョン7のサポートはすでに終了している。

　今回修正された脆弱性は8件で、このうちの1件（CVE-2009-4324）が、昨年12月から多発しているサイト改ざん攻撃で使われている。この脆弱性は、サイト改ざん攻撃だけでなく、細工したPDFファイルをメールに添付して送りつけるといった形でも悪用されており、アドビやセキュリティベンダーが注意を呼びかけていた。

（2010/01/13 ネットセキュリティニュース）

■Adobe Readerのダウンロード（アドビシステムズ）
http://www.adobe.com/jp/products/acrobat/readstep2.html
■Adobe Readerの最新バージョンおよび旧バージョンのダウンロード（アドビシステムズ）
http://get.adobe.com/jp/reader/otherversions/
■Security updates available for Adobe Reader and Acrobat［英文］（Adobe Systems）
http://www.adobe.com/support/security/bulletins/apsb10-02.html
■Adobe Reader and Acrobat 9.3 Release notes［英文］（Adobe Systems）
http://kb2.adobe.com/cps/520/cpsid_52073.html

◆マイクロソフト、1月度の月例セキュリティパッチを公開(2010/01/13)

　マイクロソフトは13日、1月度の月例セキュリティパッチを公開した。公開されたセキュリティプログラムは1件で、深刻度は「緊急」。Windowsが影響を受ける。

【更新プログラムの内容】
［緊急］
・Embedded OpenTypeフォントエンジン：リモートでコードが実行される脆弱性

　このほか、新たにRimecudに対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンも公開された。

（2010/01/13 ネットセキュリティニュース）

■マイクロソフト セキュリティ ホーム（マイクロソフト）
http://www.microsoft.com/japan/security/default.mspx
■2010年1月のセキュリティ情報（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms10-jan.mspx
■Microsoft Update
http://windowsupdate.microsoft.com/

◆相次ぐサイト改ざん(2) 新たな改ざん告知サイト12～ヤフー、ブックオフ子会社等(2010/01/12)

　現在は休止状態の「Gumblar.x」と、活発に活動中の新手の改ざん攻撃「8080」について、前記事「相次ぐサイト改ざん（1）注意が必要なのは『ガンブラー』ではなく『8080』」にまとめた。

　以下は、12月下旬以降に改ざんを告知したサイトだ（既報分は除く）。改ざんがGumblar.xによるものか8080によるものかを確認できた場合は、その旨を付け加えてある。

　なお、改ざんを告知せずにこっそり該当部分を修正し、何事もなかったかのように再開している悪質ともいえるサイトもたくさんある中、これらは、正直に改ざんの事実を告げて謝罪し、ユーザーに対応を促しているサイトだということを付け加えておきたい。

　また、Gumblar亜種により改ざん被害を受けたと告知しているサイトを編集部で確認したところ、実際はGumblar.xでも8080でもない、まったく別の種類の改ざんが行われていたことが判明したという事例がある。下記サイトのうち、編集部で種別を確認できなかった分についても同様のケースがあるかもしれないので、この点をご承知おきいただきたい。

●ヤフー（2010年1月9日発表）
種別：Gumblar.x
期間：2009年10月27日午前10時10分～2010年1月8日午後2時10分
場所：Yahoo!占い内「鏡リュウジの星に願いを」（legacy.fortune.yahoo.co.jp/
fortune）
告知：「鏡リュウジの星に願いを」を閲覧になったお客様へご確認のお願い
http://fortune.yahoo.co.jp/information/announce/201001091617.html

●リユースプロデュース（2010年1月9日発表）
種別：8080
期間：2010年1月3日午後6時頃～1月4日午前11時
場所：ホームページ（www.reuse-produce.co.jp）
告知：リユースプロデュース株式会社ホームページに関する報告とお詫び
http://www.reuse-produce.co.jp/20100109.html
　　　当社子会社HPに関する報告とお詫び（ブックオフコーポレーション）
http://www.bookoff.co.jp/news/?action=news&news_id=496

●アーバン・コスモ・グループ コスモプラザ（2010年1月9日発表）
期間：不明
場所：センチュリー21スターライフ（www.c21-sl.com）
　　　センチュリー21マイホーム（www.c21-myhome.com）
　　　センチュリー21アース住販（www.e-earth.co.jp）
　　　センチュリー21ヨコハマホーム（www.c21-yh.com）
　　　センチュリー21アイ建設 渋谷支店（www.aikensetsu.com）
告知：センチュリー21（株）スターライフ サイト改ざんに関するご報告と一時閉鎖について
http://www.c21-sl.com/sorry.html
センチュリー21（株）マイホーム サイト改ざんに関するご報告と一時閉鎖について
http://www.c21-myhome.com/sorry.html
センチュリー21（株）アース住販 サイト改ざんに関するご報告と一時閉鎖について
http://www.e-earth.co.jp/sorry.html
センチュリー21（株）ヨコハマホーム サイト改ざんに関するご報告と一時閉鎖について
http://www.c21-yh.com/sorry.html
センチュリー21（株）アイ建設渋谷支店 サイト改ざんに関するご報告と一時閉鎖について
http://www.aikensetsu.com/sorry.html

●東京都文京区立音羽中学校（2010年1月8日発表）
種別：8080
期間：2009年12月26日午後9時～2010年1月6日午後2時
場所：音羽中学校ホームページ（www1.tcn-catv.ne.jp/otowa-jh）
告知：文京区 音羽中学校ホームページをご覧の皆様へ（東京都文京区）
http://www.city.bunkyo.lg.jp/otowahomepage.html<br>

●劇団Ziシアター（2010年1月8日発表）
種別：8080
期間：2010年1月3日～1月8日午後3時15分
場所：トップページ（www.zizizi.asia）
告知：ホームページ改ざんについてお知らせとウイルスチェックのお願いです
http://www.zizizi.asia/

●JOEDOWN（2010年1月7日発表）
種別：8080
期間：～1月7日午後3時20分
場所：ホームページ（www.joedown.co.jp）
告知：弊社WEBサイトに関する報告とお詫び
http://www.joedown.co.jp/cgi-bin/news/diary.cgi

●コープエイシス（2010年1月7日発表）
期間：2010年1月4日午後8時頃～1月5日午後8時15分頃
場所：ホームページ（www.coop-assis.co.jp）
告知：ホームページに関する報告とお詫び
http://blog.coop-kobe.net/assis1/archives/2010/01/post_8.html

●ValuePrint（2010年1月6日発表）
期間：2009年12月30日～2010年1月3日未明
場所：ホームページ（www.valueprint.info）
告知：ValuePrintサイト改ざんにおけるお詫びとお願い
http://www.valueprint.info/

●スピリチュアルマーケット（2010年1月4日発表）
期間：2010年1月3日午前10時～1月4日午前1時45分
場所：ホームページ（spima.jp）
告知：スピマ　ウェブサイトに関する報告とお詫び
http://spima.jp/blog/webnews.html

●エース電研（2009年12月29日発表）
期間：2009年12月18日午後9時48分～12月21日午後2時6分
場所：CRベルサイユのばらスペシャルサイト ベルとも（www.verutomo.com）
告知：「ベルともサイト」の第三者による改ざんに関するお詫びとサイト再開のお
知らせ
http://www.verutomo.com/resume.html

●デイトナ（2009年12月29日発表）
期間：2009年12月26日午後4時4分～12月28日午後3時17分
場所：ホームページ（www.z32.jp）
告知：デイトナホームページに関する報告とお詫び
http://www.z32.jp/corporate/oshirase.htm

●中央自動車学校（東京都）（2009年12月24発表）
種別：8080
期間：2009年12月16日午後1時50分～12月17日午後6時
場所：ホームページ（www.chuo-driving.co.jp）
告知：ご報告とお詫び（削除済み）
http://www.chuo-driving.co.jp/topics/27.html

（2010/01/12 ネットセキュリティニュース）

◆相次ぐサイト改ざん(1) 注意が必要なのは「ガンブラー」ではなく「8080」(2010/01/12)

　「サイトが改ざんされたため、閲覧者が『ガンブラー亜種』に感染するおそれがある」という、企業や団体からの発表が相次いでいる。

　9日には、ヤフーが「Yahoo!占い」内の「鏡リュウジの星に願いを」のサイトが改ざんされていたと発表。同日、ブックオフ子会社のリユースプロデュースも、ホームページが改ざんされていたと発表した。

・「鏡リュウジの星に願いを」を閲覧になったお客様へご確認のお願い（ヤフー）
http://fortune.yahoo.co.jp/information/announce/201001091617.html<br>
・リユースプロデュース株式会社ホームページに関する報告とお詫び（リユースプロデュース）
http://www.reuse-produce.co.jp/20100109.html<br>

■「Gumblar亜種」と「ガンブラー」が招く困った事態

　上記のヤフーのリリースとリユースプロデュースのリリースを見ると、両方でウイルス名として「Gumblar(ガンブラー)亜種」という名称が使われている。そのため、両サイトが同じ攻撃により改ざんされたように見えてしまう。ところが実際は、Yahoo!占いのサイトを改ざんした攻撃と、リユースプロデュースのサイトを攻撃した攻撃は別物だ。

　Yahoo!占いの改ざんは2009年10月に攻撃が始まった「Gumblar.x」によるもので、リユースプロデュースの改ざんは、2009年12月から急速に拡大し、現在猛威をふるっている新手の改ざん攻撃によるものである。

　この新手の改ざん攻撃にはまだ特定の名称がついていないが、ロシアのドメインの8080ポート（.ru:8080）を利用することから「8080」「.ru:8080」などと呼ばれている。改ざん箇所に埋め込まれたJavaScriptに「GNU GPL」という文字列が使われていたことから、「GNU GPL」と呼ばれることもある。ここでは仮にこの攻撃を「8080」と呼ぶことにする。

　昨年12月にJR東日本のホームページが8080で改ざんされてから、テレビや新聞などで「ガンブラー」が流行している、という報道を目にすることが多いが、ガンブラーと呼ばれているのは、ほとんどの場合、8080だ。8080も、Gumblar.xも、Gumblar.xよりさらに古い元祖Gumblarもすべてひっくるめてガンブラーとされていることもある。

　そして、これらのことが困った事態を引き起こしている。GumblarやGumblar.xの情報をネットで見つけ、その情報が現在の8080にもそのまま当てはまると思ってしまう人がいるのだ。

　Gumblar、Gumblar.xに対して有効だった予防策は、8080に対しては不十分で、感染を防ぐことができない。また、Gumblarに感染しているかどうかの確認方法は、8080ではまったく役に立たない。この2点に特に注意が必要だ。

■Gumblar.xと8080

　Gumblar.xと8080は、似ている部分もあるが別物だ。まず8080では、Gumblar.xでは使われていなかったAdobe Readerの未修正の脆弱性と、JRE（Java Runtime Environment：Java実行環境）の脆弱性が使われている。このため、Gumblar.x用の予防策では、8080の攻撃を防ぐことができない。

　また、8080とGumblar.xでは、攻撃成立後にパソコンに送り込まれるウイルス本体が異なっている。8080で送り込まれるのはダウンローダーと呼ばれる種類のウイルスで、他のウイルスやスパイウェアなど、不正なプログラムをダウンロードするためのものだ。8080の攻撃が成立した時点でダウンローダーが働き、不正なプログラムがインストールされるのだが、何がインストールされるかが分からないので、非常にやっかいだ。また、ダウンローダーを削除しても、インストールされてしまった不正なプログラムがパソコンに残ってしまうおそれもある。

■Gumblar.xは現在休止状態、8080は現在進行形

　Gumblar.xは、埋め込まれていたリンクや設置されていた攻撃コードが昨年12月18日頃から次々と撤去され、現在は休止状態となっている。サイトに攻撃コードが残っていても、今ならたいていのウイルス対策ソフトがブロックできる。また、すでにウイルス本体に感染していても、定義ファイルを最新の状態にしてスキャンを実行すると多くのウイルス対策ソフトで、検出が可能だ。

　これに対し、8080は現在進行形で、ウイルス対策ソフトの対応がなかなか追い付かない。このため、脆弱性対策が不十分なパソコンでは、ウイルス対策ソフトを導入して最新の状態にしていても感染してしまうおそれがある。また、感染後にスキャンを実行してもウイルスを検出できない可能性がある。

　8080の予防策については、下記の記事にまとめてある。なお、Adobe Readerの最新版が1月13日に公開されるので、Adobe Readerがパソコンに入っている場合は必ずアップデートを実行していただきたい。

（2010/01/12 ネットセキュリティニュース）

◆[Winny]流出：国交省東北地方整備局 仙台河川国道事務所から行政事務情報(2010/01/12)

　国土交通省東北地方整備局 仙台河川国道事務所は8日、同事務所の職員が自宅で使用している個人のパソコンから、ファイル共有ソフトWinny（ウィニー）を介して行政事務情報が流出したと発表した。

　同事務所によると、流出したとみられる情報は、2005年から2009年までに作成した予算関係資料や、職場内業務メールなど、43件。そのうち17件に個人情報が含まれている。

　同事務所では行政事務情報の自宅への持ち帰りを原則禁止としていたが、情報を流出させた職員は、自宅で作業をする目的でこれらの情報を自宅のパソコンへメールで送信し、保管していた。同事務所では今回の件について詳細を調査し、再発防止に努めるとしている。

（2010/01/12 ネットセキュリティニュース）

■ ファイル共有ソフトWinnyによる行政事務情報の流出について（仙台河川国道事務所）
http://www.thr.mlit.go.jp/bumon/kisya/kisyah/26131_kisya_preview.html<br>

◆サイト改ざん(1)「告知せず」で感染拡大の恐れ～負の連鎖を断ち切るために(2010/01/08)

サイト改ざん(1)「告知せず」で感染拡大の恐れ～負の連鎖を断ち切るために

　閲覧者のパソコンにウイルスを感染させるための不正なコードを埋め込む、サイト改ざんの連鎖が止まらない。

　12月から始まった新手の改ざん攻撃は、閲覧者の多い大手企業のホームページ（HP）や、一般ユーザーがHPやブログに組み込んで使うパーツにまで及ぶ大騒動に発展。「改ざん」「ウイルス」「Gumblar（ガンブラー）」といった言葉が、年明けの新聞やテレビを賑わせるまでに至っている。

　しかし、HPに告知を掲載して閲覧者に注意を呼び掛けるサイトはごく一部に過ぎず、ウイルス感染の危険を知らせることなく、こっそり改修して知らん顔というところが多数を占めるのが現状だ。改ざん被害を受けたサイトの運営者や管理者が口をつぐむのは、感染者をひとりでも多く出したい攻撃者にとっては好都合な状況であり、負の連鎖にますます拍車がかかっているようだ。

　一連のサイト改ざんでは、ウイルスに感染したパソコンからWebサイトの更新に使うFTPアカウントを盗み取り、それを使って感染者が管理していたWebサイトを改ざん。ウイルスに感染させるための不正なコードを埋め込み、さらなる感染を広げようとする。

　改ざんされたページをブラウザで開いても、見た目では改ざんされているのかどうかは分からない。ウイルスは、閲覧者の見えないところでブラウザ周りのいろいろなソフトウェアの欠陥を攻撃し、気付かれないようにこっそりと閲覧者のパソコンに侵入しようとする。閲覧者のパソコンにインストールされたウイルス対策ソフトが検知してくれなければ、閲覧者は危険が迫っていたことも、感染したかどうかも分からないのだ。

　Webサイトの管理者や運営者には、この点を十分認識していただきたい。改ざんされたサイトを閲覧し、不幸にもウイルスに感染してしまった人たちは、あなた方が知らせなければ、今も感染に気付かないままでいる可能性が高いのだ。Webサイトの管理者や運営者の方たちは、できるだけ迅速に改ざんされていた期間と場所を告知し、この負の連鎖を断ち切れるよう尽力いただきたい。

　ユーザーも自身が閲覧したサイトで問題が発生していないかどうか注意を払うとともに、以下の予防策を必ず実施していただきたい。以下を漏れなく実施していれば、たとえ改ざんされたWebサイトを閲覧しても、現時点ではウイルスに感染することはない。

　(1）Microsoft Update（Windows Update）を実行しシステムを最新の状態にする
　(2）Adobe Readerを最新版に更新する
　(3) Adobe ReaderのAcrobat JavaScriptを無効に設定する
　(4) JRE(Java Runtime Environment)を最新版に更新する
　(5) Flash Playerを最新版に更新する
　(6) QuickTimeを最新版に更新する

　IPAが公開している「MyJVNバージョンチェッカ」を利用すると、2、4、5、6のインストール状況と最新版かどうかのチェックを簡単に行うことができる。

・MyJVNバージョンチェッカ
http://jvndb.jvn.jp/apis/myjvn/#VCCHECK

　Acrobat JavaScriptを無効にする方法は以下の通り。

　(1）Adobe Readerを起動し[編集]メニューの[環境設定]を選択
　(2）「分類」の中の「JavaScript」を選択
　(3）「Acrobat JavaScriptを使用」のチェックをクリア
　(4）「OK」ボタンを押す

　サイトを運営されている方は、さらに次のことも実施していただきたい。

(1）管理サイトのページ（.html .php）やスクリプトファイル（.js）に意味不明な文字列が埋め込まれていないか確認する
(2）改ざんされていたり、サイト管理に使うパソコンからウイルスが見つかった場合には、ウイルスに感染していないパソコンを使用して管理サイトのパスワードを変更する

　改ざんチェックは、サイトの全ファイルを対象に行っていただきたい。ページファイルは修正したが、スクリプトファイルがそのままというケースを見かけるが、この場合、当該ファイルをロードしている全ページが改ざんされているのと同じなので、忘れずにチェックしていただきたい。

（2010/01/08 ネットセキュリティニュース）

■Web サイト改ざん及びいわゆる Gumblar ウイルス感染拡大に関する注意喚起（JPCERT/CC）
http://www.jpcert.or.jp/at/2010/at100001.txt

◆マイクロソフト、1月のセキュリティ修正パッチは「緊急」1件(2010/01/08)

  マイクロソフトは8日、今月13日に公開が予定されているセキュリティ更新プログラムの概要を発表した。

　リリース予定のセキュリティ更新プログラムは1件で、Windows 2000（SP4）に対する影響は最大深刻度「緊急 (Critical)」。リモートでコードが実行される脆弱性が修正される。

　Windows 7、XP、Vista、Server 2003/2008/2008 R2に対する深刻度評価は「注意 (Low)」で、影響はわずかとされる。

　このほか、「Windows Update」「Microsoft Update」「Windows Sever Update Srevices」および「ダウンロードセンター」で、「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開される。

（2010/01/08 ネットセキュリティニュース）

■マイクロソフト セキュリティ情報の事前通知-2010年1月8日（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/advance.mspx
■マイクロソフト セキュリティ情報の事前通知 - 2010年1月（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms10-jan.mspx

◆サイト改ざん(2)ハウス食品、民主党、ローソンなど被害サイト23の改ざん状況(2010/01/08)

　長期休暇をはさんだこともあって、新たな改ざん報告が多数上がっている。以下に、年末から年始にかけて改ざん被害を受け、閲覧者に注意を呼び掛けいてたサイトの改ざん状況をまとめておく。

　これらは改ざんされたサイトのごく一部にすぎず、この他に告知せず何もなかったことにしようとしているサイト、閉鎖して改修中のサイト、改ざんされていることに気付いていないサイト、新たに改ざんされたばかりのサイトなどが大量にある。

　また、サイバーエージェントの「ノートン警察 捜査協力ブログパーツ」、検索エンジンMooterの「Mooter検索窓」、FX為替情報検索「fxwill.com」のブログパーツについては、不特定多数のサイトに設置されている可能性があり、どこでウイルスに感染してもおかしくない状況。前掲記事「サイト改ざん(1)　負の連鎖を断ち切るために」でご紹介したソフトウェアのアップデートを必ず行うとともに、アップデート漏れの見つかった方は、最新の状態のウイルス対策ソフトでスキャンをかけるようおすすめする。

　なお、マスコミ報道では一様に「ガンブラー」として採り上げているが、その大半は、「セキュリティ通信」がこれまでに取り上げてきた「Gumblar」やその直系と思われる「Gumblar.x」のことではない。昨年末に「新手のサイト改ざん」として注意を呼び掛けたタイプのことで、当事者発表では「Gumblar亜種」としている。

　一覧の「種別」欄では、編集部が把握できたものに関してはそれを、分からなかったものに関しては当事者発表を以下の表記で記載している。

＜Gumblar＞
「gumblar.cn」や「martuz.cn」といった特定の攻撃サイトに誘導する、難読化されたJavaScriptを埋め込むタイプ。昨年の4月～5月にかけて行われた過去の攻撃で、現在このタイプは無い。当事者発表で「Gumblar亜種」としているのは、この元祖Gumblarのことではなく、次のいずれか、または類似する他の改ざん攻撃と思われる。

＜Gumblar.x＞
　昨年10月に攻撃が始まった、難読化されていないscriptタグを埋め込むタイプ。Gumblarの時の改ざんサイトが再改ざんされるケースが多数観測されたり、最終的にインストールされるトロイの木馬が類似していたりと共通点が多く、Gumblarの後継と見られている。特定の攻撃サイトは置かず、誘導先の攻撃サイトにも大量の一般Webサイトを悪用しているのが特徴。

＜/*GNU GPL*/＞
　昨年12月から攻撃が始まり現在猛威をふるっているタイプ。改ざん個所には「/*GNU GPL*/」や「/*CODE1*/」「/*LGPL*/」で始まる難読化されたJavaScriptが埋め込まれ、ロシアのドメインの8080ポート（.ru:8080）に接続し攻撃コードをロードする。誘導先のURLは「google.com」などの著名なドメイン名をサブドメイン名やパス名に複数並べた長いURLが使われているのも特徴で、攻撃サイトはフランスやドイツ、オランダなど欧州方面の5基のサーバに分散。Gumblar、Gumblar.xとは異なるタイプのトロイの木馬がインストールされる。

　この攻撃には特定の名前が付いておらず、「GNU GPL」「8080」「.ru:8080」などと呼ばれてている。一覧では全て「/*GNU GPL*/」となっているが、これは編集部が確認したもの全てが実際に「/*GNU GPL*/」で始まるタイプだったからだ。サイバーエージェントのブログパーツに関しては、改ざんされた「www.team-norton.jp/tag/bp/suzunari.js」を確認できていないため、実際の改ざん状況は不明。このタイプの検出名である「JS:Illredir-B」で検出されたという報告からの推定である。

■三栄コーポレーション（2010年1月8日発表）
種別：/*GNU GPL*/ 
期間：2010年1月6日14時30分～1月7日15時
場所：「モッフル」ホームページ（www.moffle.jp）
告知：「モッフル」ホームページの改ざんとウイルス被害に関する報告とお詫び[PDF]
http://www.sanyeicorp.com/mofflevrsrpt.pdf

■サイバーエージェント（2010年1月7日発表）
種別：「/*GNU GPL*/」系
期間：2009年12月26日～2010年1月6日
場所：「ノートン警察 捜査協力ブログパーツ」設置サイト
告知：ブログパーツ改ざんに関する報告とお詫び
http://www.cyberagent.co.jp/news/press/2010/0107_3.html

■ハウス食品（2010年1月7日発表）
種別：Gumblar.x
期間：2009年12月15日1時～2010年1月5日15時
場所：「採用ホームページ」内「新卒採用情報ページ」（www.housefoods-saiyo.net/saiyo/）
告知：ハウス食品「採用ホームページ」に関するお詫びとお知らせ
http://housefoods.jp/company/info/info2278.html

■東京財団（2010年1月7日発表）
種別：/*GNU GPL*/
期間：2010年1月5日19時30分頃～1月6日正午頃
場所：東京財団日本語ホームページ（www.tkfd.or.jp）
告知：当財団ウェブサイトに関するお詫び（東京財団）
http://www.tkfd.or.jp/news/detail.php?id=17

■データリンクス（2010年1月7日発表）
種別：/*GNU GPL*/
期間：2009年12月28日11時～2009年12月29日18時
場所：「キャリア@net」サイト（www.haken.datalinks.co.jp）
告知：ホームページに関する報告とお詫び
http://www.haken.datalinks.co.jp/news/index.html?id=11

■京王電鉄（2010年1月6日発表）
種別：/*GNU GPL*/
期間：2009年12月16日23時50分～2010年1月4日23時35分
場所：キャンペーンサイト「京王×高尾山」（www.keio-ensoku.com）
告知：【お詫び】ホームページへの不正アクセスの発生について
http://www.keio.co.jp/news/update/announce/nr100106v01/index.html

■ビロング（2010年1月6日発表）
種別：/*GNU GPL*/
期間：2010年1月4日17時～1月5日9時30分
場所：イラスト販売サイト「Illustshow」（illustshow.com）
告知：弊社ホームページの不正改ざんに関するお詫び
http://illustshow.com/info_20100106.php

■恵那バッテリー電装（2010年1月6日発表）
種別：/*GNU GPL*/
期間：2009年12月26日12時40分頃～2010年1月4日11時頃
場所：恵那バッテリー（www.enabattery.co.jp）、バッテリー１１０番（www.battery110.jp）、セーフティドライブ（www.safety-drive.jp）
告知：当社サイトのウイルス感染についてお詫びとご報告
http://www.enabattery.co.jp/201001/post-43.html

■ナショナル クリエイターズ カンファレンス（2010年1月6日発表）
種別：Gumblar.x（当事者発表）
期間：2009年12月21日0時頃～2009年12月25日23時
場所：クリエイター情報検索サイト「ncc」（www.n-c-c.org）
告知：nccサイトに関する報告とお詫び
http://www.n-c-c.org/modules/info/index.php?id=19

■大学図書館問題研究会（2010年1月6日発表）
種別：/*GNU GPL*/
期間：2010年1月3日0時30分頃～1月6日11時頃
場所：大図研HP（www.daitoken.com/）
告知：大図研HP改竄被害について
http://www.daitoken.com/hp_trouble.html

■モロゾフ（2010年1月5日発表）
種別：/*GNU GPL*/
期間：2010年1月4日19時30分～1月5日11時54分
場所：モロゾフホームページ（www.morozoff.co.jp）
告知：ホームページに関する報告とお詫び
http://www.morozoff.co.jp/_cms_/news_item/detail/item00085.html

■民主党 東京都総支部連合会（2010年1月5日発表）
種別：/*GNU GPL*/
期間：2009年12月25日12時20分頃～2010年1月4日
場所：民主党東京都総支部連合会（www.tokyo.dpj.or.jp）
告知：当Webサイト改ざんについてのお詫び
http://www.tokyo.dpj.or.jp/news/20100105.html

■ローソン（2009年12月30日発表）
種別：Gumblar亜種（当事者発表）
期間：2009年12月28日11時21分～2009年12月30日0時20分
場所：ローソン採用ポータルサイト（www.lawson-recruit.jp）
告知：本サイトの改ざんに関する報告とお詫び（2009/12/30）
http://www.lawson-recruit.jp/student/apology/
告知：ローソンホームページ「採用」サイト改ざんについて（2010/01/06）
http://www.lawson.co.jp/company/news/detail/detail_1748.html

■検索エンジンMooter（2009年12月30日発表）
種別：/*GNU GPL*/
期間：2009年12月25日1時～12月28日18時30分
場所：Mooterホームページ（*.mooter.co.jp）、および「Mooter検索窓」の設置サイト
告知：弊社ホームページの改ざんについてのお詫びとお知らせ（削除済み）
http://www.mooter.co.jp/

■デジタルマガジン（2009年12月29日発表）
種別：/*GNU GPL*/
期間：2009年12月27日2時頃～12月28日15時頃
場所：デジタルマガジン（digimaga.net）
告知：【お知らせ】デジタルマガジン、ページ不正改ざんについてのお詫び
http://digimaga.net/2009/12/about-infection-to-the-gumblar-virus.html

■ディズニー（2009年12月29日発表）
種別：Gumblar.x
期間2009年12月22日16時～12月25日18時
場所：ショッピングサイト お正月特集ページ（www.disney.co.jp/shopping/special/0912_newyear.html）
告知：お正月特集ページに関するお詫び
http://www.disney.co.jp/shopping/pop/091229_info.html

■信越放送（2009年12月28日発表）
種別：/*GNU GPL*/
期間：2009年12月26日12時36分～12月28日4時
場所：SBC信越放送のホームページ（www.sbc21.co.jp）
告知：弊社ホームページの改ざんについてのお詫び
http://www.sbc21.co.jp/notice/notice091227.html

■FX為替情報検索「fxwill.com」（2009年12月28日発表）
種別：/*GNU GPL*/
期間：2009年12月25日23時50分頃～12月27日1時頃
場所：ホームページ（fxwill.com）、ブログパーツ（tool.fxwill.com）、リアルタイムチャート（chart.fxwill.com）、アマゾン検索（aws.fxwill.com）、およびブログパーツ設置サイト
告知：fxwill.comのウェブサイト、及び配布ブログパーツに関する報告とお詫び
http://fxwill.com/report.php

■野村ビルマネジメント（2009年12月25日発表）
種別：/*GNU GPL*/
期間：2009年12月22日21時21分～12月24日21時4分
場所：ホームページ（www.nomura-bm.co.jp）
告知：弊社ホームページ改ざんについて[PDF]
http://www.nomura-bm.co.jp/data/pdf/NEWS091225.pdf

■京成トラベルサービス（2009年12月25日発表）
種別：Gumbler亜種（当事者発表）
期間：2009年12月11日9時40分～12月18日18時頃
場所：外貨両替のご案内ページ（www.keiseitravel.co.jp/gaika_ryogae.htm）
告知：当社サイト改竄に関して
http://www.keiseitravel.co.jp/info_091225.htm

■本田技研工業（2009年12月23日発表）
種別：/*GNU GPL*/
期間：2009年12月18日11時30～12月21日16時
場所：「ストリーム」サイト（www.honda.co.jp/STREAM/）
告知：Hondaホームページ　「ストリーム」サイトに関する報告とお詫び
http://www.honda.co.jp/oshirase/

■JR東日本（2009年12月23日発表）
種別：/*GNU GPL*/
期間：2009年12月8日21時40分～12月21日23時55分（キーワード検索）
　　　2009年12月18日11時～12月22日21時（大人の休日倶楽部内の東京講座ページ）
場所：ホームページ（www.jreast.co.jp）内の上記ページ
告知：（お詫び）ホームページの再開について
http://www.jreast.co.jp/apology/20091223_restart.html

■ラジオ関西（2009年12月16日発表）
種別：/*GNU GPL*/
期間：2009年12月15日17時頃～12月16日12時頃
場所：アニたまどっとコム（anitama.com）
告知：【お詫び】弊社ホームページ不正改ざんについて
http://anitama.com/saishininfo/info/index.html　
告知：弊社「アニたまどっとコム」ホームページ改ざんについてのお詫び
http://jocr.jp/company/info.html#anitama

（2010/01/08 ネットセキュリティニュース）

■「アメブロ」で芸能人ブログのID/PWが450件流出、不正アクセスも確認(2010/01/07)

　日本でもっとも多くの芸能人がブログを書いていることで知られる「Ameba」（アメーバブログ、以下アメブロ）で、大規模な情報流出事件があったことがわかった。芸能人が執筆しているオフィシャルブログのID、パスワード約450件ほか、ブログ運営の内部事情メモ等を収録したエクセルファイルが外部に流出。流出したID、パスワードを使った不正アクセスも確認された。

　アメブロを運営するサイバーエージェント（本社：東京都渋谷区）によると、同社が事態を確認したのは1日未明。ただちに緊急対策チームを結成し、同日正午までに流出した全てのパスワードを変更するとともに、渋谷警察署に被害届を提出した。現在、流出経路を含めた原因追究に努めているという。

　編集部では、藤本美貴さん、ジャガー横田さんのブログに「お年玉」と書かれた画像が貼られ、クリックするとエクセルファイルがダウンロードできる状態になっていたことを確認している。ネット掲示板の書き込み等によると、この「お年玉」画像はつんくさんのブログにも貼られていたという。

　エクセルファイルは、ブログを執筆する芸能人名を縦欄に、ブログのID、パスワード、およびデザインやML、写真などのチェック項目を横欄にしたデータで、関係者のメールアドレスや内部事情を書いたメモなども含まれていた。記録内容から、2007年7月から2009年8月にかけて使われていたファイルであることがわかる。

　このアメブロの情報流出は1日午前1時頃にネット掲示板に書かれ、不特定多数が知るところとなった。流出ファイルに書かれたID、パスワードを使って芸能人ブログの管理画面に「アクセスできた」と報告する書き込みも、ネット掲示板で数件見られたという。

　同社はリリースで「1日未明、不正アクセスの被害を確認」したと述べているが、「お年玉」画像を貼る行為のための不正アクセス、流出後の不特定多数による不正アクセスの他に、当該ファイルが流出する原因となった不正アクセスもあるとみられ、その流出経路の解明が注目される。

（2010/01/07　ネットセキュリティニュース）

■「Ameba」オフィシャルブログ、不正アクセス被害について[PDF]（サイバーエージェント）
http://www.cyberagent.co.jp/pdf/2010/0101.pdf