ネットセキュリティニュース

◆アドビ、11件の深刻な脆弱性を修正した「Shockwave Player」の最新版公開（2010/10/29）

　アドビシステムズは28日、深刻な脆弱性を修正した「Shockwave Player」の最新版「11.5.9.615」を公開した。

　最新版では、「11.5.8.612」およびそれ以前のバージョンに含まれる11件の脆弱性が修正された。いずれも悪用されるとシステムを乗っ取られるおそれのある深刻なもので、先週実証コードが公開されたrcsLチャンク処理の問題（下記「関連記事」参照）も含まれている。

　影響を受けるのは、Windows版とMacintosh版の「11.5.8.612」およびそれ以前のバージョンで、下記「Shockwave Playerのダウンロード」から最新版が入手できる。

　Shockwave Playerは、同社のオーサリングソフト「Director」で作成されたコンテンツを再生するプレーヤー。「Flash」と違い日本国内ではそれほど普及していないため、インストールされていないパソコンも多い。Shockwave Playerがインストールされているかどうかは、下記「Adobe Shockwave と Flash Playerのテスト」のページで確認できるので、インストールされている方は、アップデートを実施していただきたい。

　テストページのShockwave Playerのボックスに「ここをクリックするとプラグインをダウンロードします」「ActiveXコントロールをインストールするには、ここをクリックしてください」などと表示される場合は、インストールされていないので、プラグインのダウンロードやアップデートの必要はない。

（2010/10/29 ネットセキュリティニュース）

■Security update available for Adobe Shockwave Player[英文]（Adobe）
http://www.adobe.com/support/security/bulletins/apsb10-25.html
■Shockwave Playerのダウンロード
http://get.adobe.com/shockwave/
■Adobe Shockwave と Flash Playerのテスト
http://www.adobe.com/jp/shockwave/welcome/

【関連記事：ネットセキュリティニュース】
・アドビ「Shockwave Player」に未修整の危険な脆弱性～実証コードが公開（2010/10/25）

◆【ゼロデイ攻撃】Adobe Reader/Flash Playerの未修整の脆弱性狙うトロイの木馬（2010/10/29）

　Windows版Adobe Readerの未修整の脆弱性を悪用し、システムにバックドアを仕掛けるトロイの木馬をインストールしようとする悪質なPDFファイルが見つかり、アドビシステムズは18日、セキュリティアドバイザリを公開した。

　悪用されている脆弱性は、Adobe Reader 9.xが内蔵しているFlash Playerの問題で、すべてのプラットホームのAdobe Reader/Acrobat 9.4およびそれ以前のバージョンと、Flash Player 10.1.85.3およびそれ以前のバージョン、Android用Flash Player 10.1.95.2およびそれ以前のバージョンに影響する。クラッシュしたり、パソコンが乗っ取られたりするおそれがある。

　同社では現在、修正版の用意を進めており、Flash Playerは11月9日（日本時間10日）に、Adobe Reader/Acrobatは11月15日の週に公開を予定している。

　すでに攻撃が行われているAdobe Readerについては、当面の間、内蔵プレーヤー「authplay.dll」を削除またはりネームし、脆弱性攻撃を回避できるようにしておきたい。Windows版Adobe Readerの場合は通常、「C:\Program Files\Adobe\Reader 9.0\Reader\authplay.dll」に置かれている。他の環境については、同社のアドバイザリを参照していただきたい。

　Flash Playerを狙った攻撃は今のところ確認されていないようだが、同プラグインを無効にしておけば攻撃を受けても回避できる。Internet Explorerを利用している場合には、インターネットオプションのセキュリティレベルを「高」にし、閲覧しても安全だと確信できるサイトを「信頼済みサイト」に登録するのが手っ取り早い。

（2010/10/29 ネットセキュリティニュース）

■Security Advisory for Adobe Flash Player, Adobe Reader and Acrobat[英文]（Adobe）
http://www.adobe.com/support/security/advisories/apsa10-05.html

◆【ゼロデイ攻撃】モジラ、重大脆弱性に対処した「Firefox 3.6.12」緊急公開（2010/10/28）

　Mozilla Japanは28日、コード実行のおそれがある重大な脆弱性を修正した、Firefoxの最新版「3.6.12」を公開した。

　修正された脆弱性は、JavaScriptを使って特定の操作を行うと、ヒープベースのバッファオーバーフローが発生するというもの。ノルウェーのTelenor SOCが25日、顧客ネットワークに対する不正侵入の形跡を調査中に発見したもので、Windows XP上のFirefox 3.6の特定バージョンを狙った脆弱攻撃が行われていたという。

　この脆弱性自体は、すべてのプラットホームのFirefox 3.6/3.5、Thunderbird 3.1/3.0に共通するもので、Windows版、Mac版、Linux版それぞれの最新版がリリースされている。最新版は、自動アップデート機能を通じて配布されているほか、Mozilla JapanのWebサイト、[ヘルプ]メニューの[ソフトウェアの更新を確認]でも入手することができる。

　Telenor SOCの報告などによると、ノルウェー・ノーベル委員会が運営するノーベル平和賞の公式サイトが、先週末に台湾からの不正アクセスを受けて改ざんされた。改ざんされた同サイトには、閲覧者をウイルスに感染させるためのiFrameタグが埋め込まれた。同サイトを閲覧すると、見えないiFrame内で台湾の攻撃サーバーにアクセスし、不正なJavaScriptが実行された。閲覧者のブラウザがWindows XP上のFirefox 3.6.8～3.6.11の場合にのみ脆弱性攻撃が行われ、システムにバックドアを仕掛けるトロイの木馬がインストールされたという。

（2010/10/28 ネットセキュリティニュース）

■リリースノート（Mozilla Japan）
・Firefox 3.6.12
http://mozilla.jp/firefox/3.6.12/releasenotes/
・Firefox 3.6.12
http://mozilla.jp/firefox/3.6.12/releasenotes/
・Firefox 3.5.15
http://mozilla.jp/firefox/3.5.15/releasenotes/
・Thunderbird 3.1.6
http://mozilla.jp/thunderbird/3.1.6/releasenotes/
・Thunderbird 3.0.10
http://mozilla.jp/thunderbird/3.0.10/releasenotes/
■MFSA 2010-73：document.write と DOM 挿入の組み合わせによるヒープバッファオーバーフロー（Mozilla Japan）
http://www.mozilla-japan.org/security/announce/2010/mfsa2010-73.html
■Firefox 3.5 と 3.6 の重大な脆弱性について（Mozilla Japan ブログ）
http://mozilla.jp/blog/entry/6027/
■nobelpeaceprize.org kompromittert[ノルウェー語]（TSOC-blogg）
http://telenorsoc.blogspot.com/2010/10/nobelpeaceprizeorg-kompromittert.html

◆携帯サイト「なりすまし」脆弱性(2) 個体識別番号悪用で不正ログインの危険（2010/10/27）

　今回のヤマト運輸の事故は意図せず起きてしまったものだが、同様の脆弱性をもつ携帯サイトでは、個体識別番号を悪用した不正ログインの危険が常に付きまとう。グローバルセキュリティエキスパートのタイガーチームサービス事業部が、今年8月～9にかけて行った調査によると、この問題を抱えている携帯サイトは、ヤマト運輸ばかりではないようだ。

■危険が潜む個体識別番号

　この調査は、無作為に選んだ国内企業101社のうち、携帯サイトを運営している67社・136個のURLを対象に、「かんたんログイン機能」の実装状況とアクセス制御状況を調べたものである。
　136個のURLのうち47個（34.6％）は、一般回線経由のパソコンから直接アクセスすることができ、27個（19.9％）は携帯電話端末のふりをするとアクセス可能になったという。認証機能のあるところは61個あり、うち9個がかんたんログイン機能を提供。同機能のうち5個は、携帯電話端末以外からも利用できる危険な状態だった。
　MM総研がまとめた今年度上期の「国内携帯電話端末出荷概況」によると、総出荷台数は前年同期比12.3％増の1913万台。うち11.7％の223万台をスマートフォンが占めており、上半期だけで昨年度1年間の出荷台数234万台に迫る勢いだ。

　スマートフォンの存在は、個体識別番号に頼る「かんたんログイン/クイックログイン」のために排除できるような規模では、もはやなくなっている。排除すべきは、セキュリティ上の問題ばかりか、プライバシー上の問題も指摘されている個体識別番号の方であり、携帯サイトも本来のCookieを使った制御への移行が望まれる。

（2010/10/27 ネットセキュリティニュース）

【関連URL】
・かんたんログイン機能の実装状況に関する調査結果[PDF]（グローバルセキュリティエキスパート）
http://www.gsx.co.jp/tts/activity/101006.pdf
・2010年度上期国内携帯電話端末出荷概況（MM総研）
http://www.m2ri.jp/newsreleases/main.php?id=010120101026500

◆携帯サイト「なりすまし」脆弱性(1) ヤマト運輸、個人情報が閲覧可能に（2010/10/27）

　ヤマト運輸は25日、同社が提供する携帯版「クロネコメンバーズのWebサービス」で、一部のスマートフォンから特定のアプリケーションを利用して「クイックログイン機能」を利用すると、本人とは別のユーザーでログインできてしまう問題があったことを明らかにした。

　今月12日に外部からの通報で発覚し、同社は19日に同機能を一時停止。パスワード入力が必須となるようシステムを改修し、25日より同機能の提供を再開した。同社の調査では、1名のユーザーが2名のユーザーからログインされたことが確認されたという。

■携帯サイトのクイックログイン～「個体識別番号」でユーザー識別

　同社の携帯サイトで提供されていたクイックログイン機能は、ID/パスワードを入力することなく、ボタンを押すだけでログインできる機能で、サイトによっては「かんたんログイン」とも呼ばれている。パソコン向けのサイトで提供される同種の機能は、WebサイトがユーザーのパソコンにCookie（クッキー）と呼ばれる情報を持たせ（Webサイト-ブラウザ間で自動的に行われる）、この情報を使ってユーザーを識別する。これに対し、携帯サイトでは携帯電話端末が持つ個体識別番号（サブスクライバーID、契約者固有ID、端末IDなどとも）を利用して識別しようとするところが多く、同社の携帯サイトの機能もこれを利用したものだった。
　個体識別番号は、端末ごとに異なるものが固定的に割り当てられており、携帯電話端末側では通常、勝手に変更することができないようになっている。ところが、自由度の高いパソコンやスマートフォンでは、携帯電話端末のふりをして任意の個体識別番号を送ることができてしまうため、携帯サイトではそのようなアクセスを排除し、携帯電話端末からのアクセスのみに制限する仕組みも用意しなければならない。ところが、同社の携帯サイトではそのようなアクセス制御は行っておらず、パソコンやスマートフォンからでも自由にアクセスできるようになっていた。
　この問題に遭遇した発見者のブログによると、今月6日、iPhoneのSBrowserを使って同サイトにアクセスし、「クイックログイン」というボタンをたまたま押してみたところ、見知らぬ他人のIDが出てきてしまい、IDやパスワードの入力を求められることなく、メールアドレスや名前、電話番号、住所などが閲覧できてしまったという。

■「SBrowser」でアクセス～異なる個体識別番号を自動生成

　SBrowserは、携帯サイトの開発者がサイトのテストに使うことを想定して作られたブラウザで、ソフトバンク携帯のふりをしてWebサイトにアクセスすることができる。これを使うと、iPhone搭載のブラウザ「Safari」では閲覧できなかった携帯サイトの一部が閲覧できるようになるため、便利なブラウザとして利用する一般のユーザーも多い。
　SBrowserでは、ボタンを押すごとに異なる個体識別番号を自動生成する仕組みになっていたが、異なるユーザー間で同じものを設定してしまったため、今回のサイトの問題が露呈した。発見者が「クイックログイン」ボタンを押した時には、すでに別のユーザーが同じ個体識別番号で登録済みだったため、そのユーザーとしてログインしてしまったのだ。

（2010/10/27 ネットセキュリティニュース）

【関連URL】
・携帯版「クロネコメンバーズのWebサービス」クイックログイン機能の脆弱性への対応について（ヤマト運輸）
http://www.kuronekoyamato.co.jp/info/info_101025.html

【関連記事：ネットセキュリティニュース】
・相次ぐホームページからの個人情報流出～7月以降、8件が明らかに（2010/10/15）

◆正規サイト改ざん：国内サイトに広まる新たな改ざんコード汚染（2010/10/25）

　トレンドマイクロは22日、「mstmp」や「lib.dll」といったファイル名で拡散する不正プログラムの攻撃が国内で広まっているとして、同社の公式ブログで注意を呼びかけた。同社のサポートセンターでは、10月14日以降、100社を超える法人ユーザーから感染被害の報告を受けているという。
　公式ブログによると、改ざんされた正規サイトに仕掛けられたコードによって不正サイトへリダイレクトされ、Javaの脆弱性を悪用して悪質なプログラムが実行されるという。攻撃の最終的な意図は不明だが、感染報告の大半は日本国内に集中しており、同社は日本を標的としたターゲット攻撃である可能性も考えられるとしている。

■埋め込みコードは意味不明な単語が並ぶ難読化されたJavaScript

　同社のブログには、正規サイトに挿入された難読化されたJavaScriptと、それを可読化したものが掲載されている。画像にぼかしが入っているため不鮮明だが、おそらくこのコードは、「＜script＞var 変数名=…」で始まり、意味不明な単語（スペースで区切られた1～10数文字の意味のないアルファベット）が大量に続くのが特徴の難読化コードとみられる。このスクリプトが実行されると、意味不明な単語から「iframe」タグを書き込むJavaScriptが生成され、ページ内に1×1ドットのほとんど見えない微小なフレームを作成。フレーム内に外部サイトの「count数字.pnp」というページを読み込む仕掛けになっている。
　このコードは、これまでは主に海外の改ざんサイトで観測されたものだが、今月半ば頃からは国内のサイトでも埋め込まれているケースがいくつか見つかっており、国内での汚染が広がりつつあるようだ。コードの埋め込み場所は、ページ末尾の「/body」タグの直前。埋め込みコードのサンプルは、TippingPoint DVLabsが先月公開した「2010 Top CyberSecurity Risks Report」の10～11ページに、全体の様子が分かる鮮明なものが掲載されている。

■リダイレクションサービスを悪用し攻撃サーバーに誘導

　トレンドマイクロの報告と同じ攻撃者かどうかは不明だが、編集部が12日未明に国内の改ざんサイトから追跡したものは、オーストリアの「.com」サーバーに置かれた「count数字.pnp」から、「co.cc」を使用してウクライナの攻撃サーバーにリダイレクトする仕組みになっていた。「co.cc」は、サーバーのIPアドレスを「サブドメイン名.co.cc」という形で任意のホスト名に割り当て、このホスト名でアクセスできるようにするリダイレクションサービスのひとつ。見かけのURLを頻繁に変更したり、大量の使い捨てURLを作成することができるため、ウイルス配布やフィッシングなどに悪用されることも多く、先月起きたマイクロアド社の広告配信サーバー改ざんでも、攻撃サーバーへの誘導に「ipq.co」という同種のサービスが悪用された。

■脆弱性攻撃を仕掛け「偽セキュリティソフト」などをインストール

　攻撃サイトは、アクセスしたタイミングやユーザー環境によって異なる攻撃を仕掛けてくるようだが、編集部の調査時点では、MDAC、Windowsのヘルプとサポートセンター、Java Deployment Toolkitの脆弱性攻撃を仕掛ける難読化されたJavaScriptが投下された。攻撃が成功すると、さまざまなウイルスのインストーラー役となるドロッパー型のウイルスを実行する。このドロッパーには、「Bredolab」「Zbot」「Waledac」「FakeAV」「Kazy」「Kryptik」など各社各様のウイルス名が付けられており、ドロッパーがインストールするウイルスには、偽セキュリティソフト「Security Tool」も含まれている。

　今回、編集部で確認できた攻撃コードは、いずれも修正済みの脆弱性を狙ったものなので、Windowsやプラグインを最新の状態にしていれば、改ざんサイトを閲覧してもウイルスに感染することはない。下記の関連記事にある「6つの約束」を必ず実行し、攻撃に備えていただきたい。

（2010/10/25 ネットセキュリティニュース）

【関連URL】
・国内100社以上で感染被害を確認。”mstmp” ”lib.dll” のファイル名で拡散する不正プログラム（Trend Micro Security Blog）
http://blog.trendmicro.co.jp/archives/3723
・2010 Top CyberSecurity Risks Report[英文][PDF]（TippingPoint DVLabs）
http://dvlabs.tippingpoint.com/toprisks2010

【関連記事：ネットセキュリティニュースコラム】
・初心者必見！ 究極の感染対策「6つの約束」を実行しよう

◆アドビ「Shockwave Player」に未修整の危険な脆弱性～実証コードが公開（2010/10/25）

　「Shockwave Player」の未修整の脆弱性を突く実証コードが21日夜、インターネット上で公開されたのを受け、アドビシステムズはアドバイザリーを出し注意を呼び掛けた。

　Shockwave Playerは、同社のオーサリングソフト「Director」で作成されたコンテンツ、Directorムービー（.DIR .DCR）を再生するプレーヤー。今回明らかになった脆弱性は、DirectorムービーのrcsLチャンク（ファイル内の「rcsL」という名前が付いたデータブロック）が持つ非公開値を操作することによってメモリ破壊が発生するというもの。悪用されると、クラッシュやコード実行のおそれがある。

　影響を受けるのは、Windows版とMac版の最新版「11.5.8.612」、およびそれ以前のバージョン。同社では、アップデートに向けて脆弱性の修正に取り組んでいる。

　Shockwave Playerは、同社のFlash Playerのようには普及しておらず、脆弱性が狙われることも少ない。ところが今回は、詳細な脆弱性情報とともに実際に脆弱性を突いて電卓を起動してみせるWindows用の実証コードも公開されており、Webページを閲覧するだけで悪質なプログラムをダウンロード/実行させる、ドライブバイダウンロード攻撃への悪用が懸念される。

　当面の対策としては、Shockwave Playerを一時アンインストールするか、同プラグインを無効化しておく。Internet Explorerを利用している場合には、インターネットオプションのセキュリティレベルを「高」にし、閲覧しても安全だと確信できるサイトを「信頼済みサイト」に登録するのが手っ取り早い。

（2010/10/25 ネットセキュリティニュース）

■APSA10-04: Security Advisory for Adobe Shockwave Player[英文]（アドビ）
http://www.adobe.com/support/security/advisories/apsa10-04.html

◆アップル、Mac OS X用Javaの深刻な脆弱性を修正したアップデート公開（2010/10/22）

　アップルは20日(米国時間）、Mac OS X 用Javaのアップデートを公開した。対象となるOSはMac OS X 10.6.4、および10.5.8。

　今回のアップデートは、Javaの深刻な脆弱性に対処したもの。オラクルが今月12日に公開したJREの最新版「JRE 6 Update 22（1.6.0_22）」に相当するもので、Mac OSのみに影響する脆弱性も2件、修正された。

　これまでのバージョンでは任意のコードが実行される可能性があるため、当該ユーザーは早急にアップデートされたい。

　アップルメニューの「ソフトウェア・アップデート」で自動インストールできるほか、同社の「サポートダウンロード」ページから、各OS用のアップデータが入手できる。

（2010/10/22　ネットセキュリティニュース）

■アップルの関連URL
・Java for Mac OS X 10.6 Update 3 について
http://support.apple.com/kb/HT4297?viewlocale=ja_JP
・Java for Mac OS X 10.5 Update 8について
http://support.apple.com/kb/HT4296?viewlocale=ja_JP
・サポートダウンロード
http://support.apple.com/ja_JP/downloads/　

【関連記事：ネットセキュリティニュース】
・オラクル、JREの最新版「6 Update 22」公開（2010/10/14）

◆子どもの安全対策～グリーが対策強化、背景にコミュニティサイトの危険（2010/10/21）

　大規模ソーシャルネットワーキングサービス（SNS）の「GREE」を運営するグリー（本社：東京都港区）は18日、青少年の保護・健全育成のために、年齢別の機能制限、サイトパトロールを強化したと発表した。また、今月オープンしたばかりの小中学生向けSNSサイト「はてなランド」は、早々に運営終了の判断を下した。

　SNSやプロフ、ゲームサイトなどのユーザー参加型コミュニティサイトが”出会い系サイト”として利用されるなど、子どもにとって注意を要する場となっていることが背景にあるとみられる。マカフィーが先月公開した「高校生のCGM（消費者生成メディア）利用実態」調査結果からも、思春期の青少年のネット利用の危うさが見えてくる。

■SNS「GREE」の規制強化

　GREEは会員数2000万人を超える大規模SNSで、これまでも規模の拡大に応じてパトロールや年齢別の機能制限などの対策を強化してきた。今回の対策強化では、サイバーパトロールでは「面識のない異性との出会いなどを目的とした利用・投稿への監視」、年齢別機能制限では「面識のない異性との出会いなどを防止するため、メール送信において年齢別の利用制限を強化・細分化」があげられている。
　GREEではこれまで、18歳以上と18歳未満の利用者間での送受信が規制されていただけだったが、今回の規制強化で13歳未満はメールの送受信を不可とし、13歳以上も互いにメールを送受信できる年齢層を細分化した。年齢詐称を防ぐための規制も強化する。
■小中学生向けSNSサイト「はてなランド」閉鎖へ

　今月1日にスタートしたばかりの小中学生向けSNSサイト「はてなランド」が、早くも15日に運営を終了した。運営していた「はてな」（本社：京都市中京区）は、終了理由について、ユーザーが安心して楽しめると同時に、保護者にも安心してもらえるようにするために、サービス内容の見直しや新たな別のサービスとして検討をするためとしている。

■抵抗がない？　個人情報の書き込みや顔写真の掲載

　マカフィーが先月発表した「高校生のCGM（消費者生成メディア）利用実態」調査からは、思春期の青少年のネット利用の危うさが見えてくる。15～18歳の高校生・高専の男女1030人に対し、9月10日から3日間、インターネットで行った調査である。
　内容をみると、高校生がよく発言や書き込みをしているトップスリーは、ブログ（47.5%）、Twitter（27.9%）、チャット（27.1%）で、mixi（25.7%）、プロフ（25.0%）がこれに続いている。
　書き込みをしたことのある高校生のうち、約半数（47.3%）が、自分や他人に関する個人情報を書き込んだことがあると回答している。とくに女子高校生の約3人に1人が自分の写真（30.4%）を、約4人に1人が自分の氏名（25.5%）を書き込んでいるという。自分を守る大切さや具体的な自己防衛策が身についていないことが浮き彫りになった形だ。
　さらに高校生の半数以上が、誹謗中傷・デマ（53.7%）、わいせつな内容（50.7%）などの有害情報に接しているばかりか、犯罪行為の呼びかけ（13.6%）や、薬物・危険物の販売（5.9%）など、違法性の強い危険な情報にも遭遇していることも明らかになった。

　コミュニティサイトのサービス提供側が年齢制限やサイトパトロールを強化することは重要だ。同時に、セキュリティの必要性や身を守る具体策などを子どもたちに教える安全教育も欠かせない。それはサービス提供側だけでなく、家庭や学校、社会全体で進めていかなければならない課題だろう。

（2010/10/21 ネットセキュリティニュース）

■青少年の保護・健全育成に向けた取り組み強化のお知らせ～ サイトパトロールおよび年齢別の機能制限の強化 ～（グリー）
http://gree.co.jp/news/press/2010/1018.html
■はてなランドユーザーの皆様へ
http://l.hatena.ne.jp/
■マカフィー、「高校生のCGM（消費者生成メディア）利用実態」調査結果を発表（マカフィー）
http://www.mcafee.com/japan/about/prelease/pr_10b.asp?pr=10/09/22-1

【関連記事：ネットセキュリティニュースコラム】
・子どもが悩むネットトラブル～夏休みを安全に過ごすために

◆モジラ、9件の脆弱性を修正した「Firefox 3.6.11」公開（2010/10/20）

　Mozilla は19日(米国時間）、9件の脆弱性を修正したWebブラウザ「Firefox」の最新版「3.6.11」を公開した。自動アップデート機能を通じて配布されている他、Mozilla JapanのWebサイトや、[ヘルプ]メニューの[ソフトウェアの更新を確認]により、手動で入手することもできる。

　最新版では、Windows プラットホームにおける DLL 読み込みやバッファオーバーフローなどのメモリー破壊を伴う脆弱性など、コード実行の可能性のある重要度が「最高」と評価される5件の他、「高」2件、「中」1件、「低」1件、計9件の脆弱性が修正された。

　セキュリティ更新の終了が予定されている「Firefox 3.5」についても同様に9件の脆弱性を修正した「3.5.14」も同時に公開されている。当初8月までと予定されていた サポートは当面延長されるが、近日中に終了するので、今後のメンテナンス継続が確実な最新版「Firefox 3.6」への移行をおすすめする。

　なお、Mozilla のメールソフト「Thunderbird」の最新版「3.1.5／3.0.9」も公開された。Webブラウザと同様の脆弱性のうち計8件が修正されている。

（2010/10/20 ネットセキュリティニュース）

■Firefox 3.6.11/3.5.14 （Mozilla）
・Firefox 3.6.11 リリースノート
http://mozilla.jp/firefox/3.6.11/releasenotes/
・Firefox 3.6 セキュリティアドバイザリ
http://www.mozilla.org/security/known-vulnerabilities/firefox36.html#firefox3.6.11
・Firefox 3.5.14 リリースノート
http://mozilla.jp/firefox/3.5.14/releasenotes/
・Firefox 3.5 セキュリティアドバイザリ
http://www.mozilla.org/security/known-vulnerabilities/firefox35.html#firefox3.5.14

■Thunderbird 3.1.5 （Mozilla ）
・Mozilla Thunderbird 3.1.3 リリースノート
http://mozilla.jp/thunderbird/3.1.5/releasenotes/
・Thunderbird 3.5 セキュリティアドバイザリ
http://www.mozilla.org/security/known-vulnerabilities/thunderbird31.html#thunderbird3.1.3
・Mozilla Thunderbird 3.0.9 リリースノート
http://mozilla.jp/thunderbird/3.0.9/releasenotes/
・ セキュリティアドバイザリ
http://www.mozilla.org/security/known-vulnerabilities/thunderbird30.html#thunderbird3.0.9

◆著作権法違反：掲示板やネットオークションを悪用し海賊版音楽DVD/CD販売（2010/10/19）

　今月6日、掲示板で海賊版音楽DVDの購入を募った東京都の男性と愛媛県の女性が検挙された。1日には、オークション販売を目的に音楽CD/DVD海賊版を所持していたとして、埼玉県の男性が送検されている。掲示板やネットオークションでの海賊版販売にだまされることがないよう、十分に注意していただきたい。

■掲示板サイトで海賊版の音楽DVDを販売、東京都の男性を逮捕

　山形県警察本部および天童警察署は6日、ネット掲示板で注文を募り、DVDの海賊版を販売したとして、東京都葛飾区の男性（41歳）を著作権法違反容疑で逮捕した。日本レコード協会（RIAJ）が8日付のリリースで明らかにした。
　同協会のリリースや報道等によると、容疑者は8月中旬、エイベックス・エンタテインメント（東京都港区）、ジャニーズ・エンタテイメント（東京都渋谷区）、ジェイ・ストーム（東京都渋谷区）が著作権をもつ音楽DVDを無断で複製し、山形市内に住む男性に販売した疑いがもたれている。自宅からは多数の複製されたDVDが押収されたという。
・山形県および愛媛県で海賊版DVD販売の容疑者を逮捕・送致（日本レコード協会）
http://www.riaj.or.jp/release/2010/pr101008_2.html

■掲示板サイトで海賊版の音楽DVDを販売、愛媛県の女性を送検

　愛媛県警察本部および松山東警察署は6日、ネット掲示板で注文を募り、DVDの海賊版を販売したとして、愛媛県松山市の女性（18歳）を著作権法違反容疑で松山地方検察庁に送検した。前掲の事件と同じくRIAJが8日付けリリースで明らかにした。
　それによると、容疑者は、エイベックス・エンタテインメント（東京都港区）が権利をもつ音楽DVDを無断複製し、3月中旬と5月下旬の2度にわたり販売した疑いがもたれている。
・山形県および愛媛県で海賊版DVD販売の容疑者を逮捕・送致（日本レコード協会）
http://www.riaj.or.jp/release/2010/pr101008_2.html

■オークション販売を目的に音楽CD/DVD海賊版を所持、埼玉県の男性を送検

　愛知県東海警察署は1日、音楽CDやDVDの海賊版を販売目的で所持していたとして、埼玉県狭山市の男性（36歳）を、著作権法違反（無断複製物の頒布目的所持）容疑で名古屋地方検察庁半田支部に書類送検した。日本音楽著作権協会(JASRAC)が同日付けリリースで明らかにした。
　それによると男性は、東京都立川市内で経営している整体院内において、のべ577曲を収録したCD-R38枚、DVD-R10枚を所持していた。警察の調べで、男性はインターネットのサイトからダウンロードした音源を元に海賊版を作成し、「レア未発売音源・映像」と称してネットオークション出品商品に添付して販売していたことがわかっている。
　ダウンロードした著作物を個人で所持するだけでは著作権法違反にはならないが、このケースでは販売目的の所持であったため検挙に至ったとみられる。
・愛知県東海警察署が海賊版音楽CD、DVDをネットオークションで販売する目的で所持していた男性を送致（日本音楽著作権協会）
http://www.jasrac.or.jp/release/10/10_1.html

（2010/10/19 ネットセキュリティニュース）

◆著作権法違反：Perfect Darkでアニメ、Shareで音楽ファイルを無断公開（2010/10/18）

　今月7日、ファイル共有ソフトを悪用した著作権法違反で、千葉県の女性、東京都の男性が検挙された。前者は「Perfect　Dark」を使ってテレビアニメを、後者は「Share」を使って音楽ファイルを無断公開し、不特定多数がダウンロードできるようにしていた。

■「Perfect　Dark」でテレビアニメを無断公開、千葉県の女性を逮捕

　岡山県、京都府、佐賀県、3府県警の合同捜査班は7日、ファイル共有ソフトのPerfect　Dark（パーフェクトダーク）を使い、テレビ放映されたアニメ作品を無断公開したとして、千葉県在住の女性（42歳）を著作権法違反（公衆送信権侵害）容疑で逮捕した。
　逮捕容疑は、8月23日から翌24日頃、Perfect　Darkを利用してアニプレックス（東京都千代田区）等が著作権をもつアニメ「みつどもえ第8話」「セキ レイ第8話」「世紀末オカルト学院第8話」の3作品を無断公開し、不特定多数がダウンロードできるようにした疑い。
　容疑者は他にもテレビで放送された動画を多数公開していた疑いがあり、調べが進められているという。
・ファイル共有ソフト「Perfect　Dark」を利用して著作権を侵害した女を逮捕（10月8日、岡山中央署）（岡山県警、10月12日掲載）
http://www.pref.okayama.jp/kenkei/hodo/hodo.html

■「Share」で音楽ファイルを無断公開、東京都の男性を書類送検

　北海道旭川方面留萌警察署は7日、ファイル共有ソフトのShare（シェア）を使い、音楽ファイルを無断公開したとして、東京都在住の男性（44歳）を著作権法違反（公衆送信権侵害）容疑で、旭川地方検察庁に書類送検した。日本音楽著作権協会（JASRAC）、日本レコード協会（RIAJ）が、それぞれ7日、8日付リリースで明らかにした。
　両協会の発表によると、容疑者は8月18日頃、Shareを利用してソニー・ミュージックレコーズ（東京都千代田区）が著作隣接権をもち、JASRACが管理する音楽を無断公開し、不特定多数がダウンロードできるようにした疑い。
　容疑者はこれ以前に、わいせつ図画を同じくShareを利用して不特定多数に公開した容疑で9月13日に同署に逮捕され、同検察庁に送検されていたため、追送検となった。
・ファイル共有ソフト「Share」を用いた著作権侵害、音楽ファイルの違法アップロード者を書類送致（日本音楽著作権協会）
http://www.jasrac.or.jp/release/10/10_2.html
・ファイル共有ソフト「Share」を悪用した不正アップロードで容疑者送致（日本レコード協会）
http://www.riaj.or.jp/release/2010/pr101008_1.html

（2010/10/18 ネットセキュリティニュース）

◆相次ぐホームページからの個人情報流出～7月以降、9件が明らかに（2010/10/15）

　個人情報がホームページ（HP）から閲覧可能になる事故が相次いでいる。代表的なパターンとしては、(1) セッション管理の不備により他人の登録情報が表示される状態だった、(2) 外部から見えないはずのファイルがアクセス制限のミスにより誰でも見られる状態だった、(3) 塗りつぶしたはずの個人情報が操作次第で見えてしまう状態だった、という3パターンが挙げられる。
　以下、今年7月以降に公表された9件についてまとめた。

■愛知県建築士事務所協会名古屋支部、HPで個人情報671件が閲覧可能に

　名古屋市から委託を受けて同市民間木造住宅耐震診断業務を行っている愛知県建築士事務所協会名古屋支部（名古屋市中区）は10月13日、2009年4月1日から同年12月4日までに耐震診断を受け付けた671件について、申込者の住所、氏名等がインターネット上に流出したと発表した。同支部では、2009年12月10日から今月12日までの間、同業務完了報告書の受理状況を示すリストをHPに掲載。同リストには診断申込者の個人情報も含まれており、HPにはこれを非表示にして掲載していたが、パソコン上の操作によって表示が可能となっていた。
・お詫び（愛知県建築士事務所協会名古屋支部）
http://www.ajknagoya.com/

■モビリティランド、通販サイトで顧客の個人情報が閲覧可能に

　モータースポーツ施設の鈴鹿サーキットランドとツインリンクもてぎを運営するモビリティランド（本社：三重県鈴鹿市）は9月28日、同社のオンラインショッピングサイト「MOBILITY STATION」において、顧客の購入履歴が他の顧客から閲覧できる状態だったと発表した。該当者は61名。同社によると、閲覧可能だったのは顧客のメールアドレス、購入履歴と、顧客および商品届け先の住所、氏名、電話番号。会員メニューの購入履歴照会画面で自分の購入履歴を照会後、URLに任意の申し込み番号を入れ込むと、他顧客の情報が閲覧できる状態となっていた。
・お客様情報の取扱いに関するお詫びとご報告（モビリティランド）
http://www.mobilityland.co.jp/onlineshop/20100928/

■福井大学、卒業生774名の個人情報がHPで閲覧可能に

　福井大学（福井県福井市）は9月28日、工学部生物応用化学科の1998～2009年度の卒業生774名について、卒業年、氏名、自宅住所と電話番号がインターネット上で閲覧可能な状態になっていたと発表した。同大学によると、OB会開催の準備をしていた同学科の担当職員が、関係者のリストアップ作業を学生に依頼するために9月10日、HP上に卒業生のデータを掲載。この際、外部からは分からないようにしたはずだったが、9月26日に匿名の通報があり、外部から閲覧可能であることが発覚した。
・本学卒業生に係る個人情報の流出について[PDF]（福井大学）
http://www.u-fukui.ac.jp/news_release/2010/09.28.pdf

■Yahoo！モバゲー、β版で他利用者の情報が閲覧可能に

　ヤフー（本社：東京都港区）とディー・エヌ・エー（本社：東京都渋谷区）は9月24日、試験提供中だった「Yahoo!モバゲーβ版」において、9月22日午後0時50分から9月23日午後9時30分の間、一部顧客のモバゲーIDに紐づくページが他の利用者から閲覧可能な状態となり、性別、地域など一部登録情報の閲覧や、その他の利用が可能な状態だったと発表した。該当者は10名。発表によると、ID登録処理時における誤った設定により、一部のユーザーが携帯電話機からモバイル版モバゲータウン上で会員登録を行った際、上記の状態となっていた。
・「Yahoo!モバゲーβ版」での障害に関するお詫び（ディー・エヌ・エー）
http://blog.dena.ne.jp/press/archives/2010/09/yahoo.html
・「Yahoo!モバゲーβ版」での障害に関するお詫び（ヤフー）
http://pr.yahoo.co.jp/release/2010/0924a.html

■ジェイアイエヌ、オンラインショップで顧客の登録情報が閲覧可能に

　眼鏡等を販売するジェイアイエヌ（東京本社：東京都港区）は9月14日、同社が運営するオンラインショップ「JINS ONLINE SHOP」において、9月1日午前1時頃～9月2日午後10時頃までの間、特定の操作を行うと会員やメールマガジン会員の登録情報が第三者から閲覧できる状態になっていたと発表した。同ショップは新システムを使用して9月1日にリニューアルオープンしたが、同システムに不具合が生じたため調査を行ったところ、上記事態が判明した。発表の時点では個人情報の流出は確認されておらず、実際に流出があったかどうか調査を継続中だという。
・個人情報流出の可能性についてのお知らせとお詫び[PDF]（ジェイアイエヌ）
http://eir.eol.co.jp/EIRNavi/View.aspx?cat=tdnet&sid=828777&code=3046#xml=http://eir.eol.co.jp:80/EIRNavi/DocumentNavigator/View/Pdf

■一休、携帯サイトで他人の予約情報が閲覧可能に

　ホテル・旅館の予約サイト「一休.com」を運営する一休（本社：東京都港区）は7月28日、7月7日午前0時から12日午後5時30分までの間、一休.com携帯サイトで他の顧客の氏名、住所、電話番号、メールアドレスを含む予約情報が閲覧可能となっていたと発表した。該当者は122名。NTTドコモの「iMENU」で検索を行い、検索結果から一休.comにログインして予約関連の操作を行った場合、アクセス後30分以内にiメニューサイト検索結果を経由して「Myページ」にアクセスした他の顧客から情報が閲覧可能となっていた。
・お客様情報の取扱いに関するお詫びとご報告[PDF]（一休）
http://www.c-direct.ne.jp/public/japanese/uj/pdf/10102450/20100728187820.pdf

■オーガスタファミリークラブ、他の顧客情報が閲覧可能に

　音楽制作プロダクション オフィスオーガスタ（東京都渋谷区）が運営する通販サイト「オーガスタファミリークラブ」は7月21日、通販システムの不具合により、7月9日午後9時～翌午前0時、または7月10日午後4時～7月11日正午までに同サイトへ携帯電話でアクセスして注文情報確認画面表示を行った顧客の一部について、住所、氏名、電話番号、メールアドレス、クレジットカード情報が他の顧客から閲覧可能になっていたと発表した。同社によると、アクセス中の顧客を識別する管理情報が正常に発行されないケースがあり、別の顧客の個人情報が携帯電話の画面に一時表示される状態となっていた。
・【オーガスタファミリークラブ】個人情報流出のご報告とお詫び（オーガスタファミリークラブ）
https://www.augfc.net/webshop/apologize.html

■宮崎大学、学生情報がHPで閲覧可能に

　宮崎大学（宮崎県宮崎市）は7月16日、学生の氏名、学籍番号等の個人情報がインターネット上に流出していたと発表した。同大学によると、同大工学部の教員が作成、管理しているHPの一部に、当該教員が学生への連絡、周知用として使用している部分があったが、そのエリアが適切に管理されていなかったため、掲載されていた情報が外部から閲覧可能となっていた。
・本学教員による不適切な情報管理について[PDF]（お詫び）
http://www.miyazaki-u.ac.jp/news/2010/0716.pdf

■徳島大学、学生の名簿などがHPで閲覧可能に

　徳島大学（徳島県徳島市）は7月7日、2002年度から2009年度までに在籍した学生817名の氏名、学籍番号や退学、休学、留年状況に関する情報などが、HP上で外部から閲覧できる状態になっていたと発表した。同大によると、総合科学部の教員が2006年4月から、学部内委員会を運営するための資料として収集した同学部学生の個人情報を、学部が管理するサーバーの外部から閲覧可能な部分に保存していた。
・不適切な個人情報管理について（お詫び）（徳島大学）
http://www.tokushima-u.ac.jp/article/0018504.html

（2010/10/15 ネットセキュリティニュース）

◆迷惑メール：出会い系業者 BEAR を消費者庁が行政処分、特定商取引法違反で（2010/10/15）

　消費者庁は14日、特定商取引法に反し、自社が運営する出会い系サイトを広告宣伝するメールを送信していたBEAR（神奈川県川崎市）に対して指示処分を行った。

　同庁によると、同社は自ら運営する出会い系サイト「happy！」を広告宣伝するメールを送信していたが、その際、以下の違反行為があった。

・オプトイン規制違反（法第12条の3第1項）
　同社は、事前に受信者から請求または承諾を得ることなく電子メール広告を送信していた。同庁が用意している端末機には、6月2日以降、「happy!」に誘導するメールが約300件送られていた。

・電子メール広告の提供を受けない旨の意思を表示するために必要な事項の表示義務違反（法第12条の3第4項（法施行規則第11条の6））
　電子メール広告を送信する場合は、消費者が配信拒否の手続きをネット上で行えるよう、メールアドレスまたはULR等をメール内にわかりやすく表示しなければならない。しかし同社はこれに違反していた。

・広告における表示義務違反（法第11条第5号（法施行規則第8条第1号））
　出会い系サイト事業者である同社は、通信販売業者に該当する。通信販売に関するサービスの広告を行う際は、広告内にサービス提供事業者の住所と電話番号を表示しなければならないが、同社はこれに違反していた。

　このため同庁は同社に対し、特定商取引法第14条第1項の規定に基づき、上記3点の改善を指示した。

【特定商取引法とは】
　訪問販売、通信販売など、消費者トラブルを生じやすい取引類型を対象に、事業者が守るべきルールと、クーリング・オフ等の消費者を守るルールを定めた法律。同法により、2008年12月1日以降、あらかじめ請求や承諾をしていない者に対する電子メール広告の提供が原則として禁止されている（オプトイン規制）。
　特定商取引法と迷惑メールについては、経済産業省サイト内の消費生活安全ガイドが分かりやすいので参照されたい（下記）。同ガイドには、迷惑メールを受け取った場合の対処方法も記載されている。

（2010/10/15 ネットセキュリティニュース）

■特定商取引法違反の通信販売業者に対する指示処分について[PDF]（消費者庁）
http://www.caa.go.jp/trade/pdf/101014kouhyou.pdf
■消費生活安全ガイド 迷惑メール（経済産業省）
http://www.no-trouble.jp/#1500000

◆オラクル、JREの最新版「6 Update 22」公開（2010/10/14）

　オラクルは12日（米国時間）、複数の脆弱性を修正したJRE（Java Runtime Environment：Java実行環境）の最新版、JRE 6 Update 22（1.6.0_22）を公開した。

　最新版では、29件の脆弱性が修正されている。このうち15件は、脆弱性の深刻度を評価するシステム“共通脆弱性評価システム（CVSS v2）”のCVSS基本値が、最高値の10となっている。オラクルでは、できるだけ早く最新版へ更新するようユーザーに呼びかけている。

　JREは、ドライブバイダウンロード攻撃を行う攻撃者が好んで脆弱性悪用を図るソフトの一つ。先月24日の広告配信サーバーを改ざんして行われた攻撃でも、JREの脆弱性が狙われていた。今回明らかにされた脆弱性も、いつ悪用が始まるかわからない。古いJREがパソコンに入っていないかどうか早急に確認するようおすすめする。

　現在パソコンにインストールされているJREのバージョンは、下記の「Javaソフトウェアのインストール状況のテスト」ページで確認できる。Javaコントロールパネル（パソコンのコントロールパネルのJavaアイコンから開ける）でも確認できるし、コマンドプロンプトで「java -fullversion」と入力してEnterキーを押しても分かる。

　JREの最新版は、アップデート機能（自動更新機能や、Javaコントロールパネルの[アップデート]タブの[今すぐアップデート]ボタン）により入手できるほか、同社サイトから無料でダウンロードすることもできる。

（2010/10/14 ネットセキュリティニュース）

■Javaソフトウェアのインストール状況のテスト
http://www.java.com/ja/download/installed.jsp
■Javaのダウンロード
http://java.com/ja/download/
■Java Platform, Standard Edition 6 Update Release Notes[英文]（オラクル）
http://www.oracle.com/technetwork/java/javase/6u22releasenotes-176121.html
■Oracle Java SE and Java for Business Critical Patch Update Advisory - October 2010[英文]（オラクル）
http://www.oracle.com/technetwork/topics/security/javacpuoct2010-176258.html
＜参考＞
・脆弱性の深刻度評価の新バージョンCVSS v2について（IPA）
http://www.ipa.go.jp/security/vuln/SeverityLevel2.html

【関連記事：ネットセキュリティニュース】
・9月のサイト改ざん(1)：広告配信サーバー改ざん、配信先で偽セキュリティソフト被害（2010/10/07）

◆マスターカードをかたるフィッシングメールに注意（2010/10/13）

　マスターカードをかたる英文のフィッシングメールが10日から11日にかけて国内ユーザーのもとに舞い込み、フィッシング対策協議会が12日、緊急情報を発して注意を呼びかけている。

　今回出回っているフィッシングメールは、今年2月、4月、6月、8月に出回ったメールと同一の人物/グループがばら撒いていると思われる。メールの差出人は「mastercard@[数桁の数字].com」。編集部では、以下の件名のメールを確認している。

Message Regarding Your MasterCard
MasterCard Account Holder
Important MasterCard Alert
MasterCard Alert
Regarding Your MasterCardbｒ

　メールをHTML形式で表示させると、上部にマスターカードのロゴが置かれている。メール本文には、これまでと同様に「オンラインシステムをアップデートしたので、アカウント情報の更新が必要だ」と書かれている。メール内のリンクをクリックさせて偽サイトへ誘導し、個人情報を記入させて騙し取ろうという魂胆だ。

　リンク先の偽サイトは、デザインがこれまでのものと異なるが、氏名や住所、生年月日、メールアドレスなどの個人情報や、カード情報を入力させようとしていることに変わりはない。ただし今回は、主に使用しているカード、補助的に使用しているカードの2枚について情報を要求している。

　偽サイトは、これまでと同様に、不正アクセスを受けた一般のWebサイトに置かれている。編集部では、偽サイトが置かれているサイトを13か所確認。13サイトそれぞれに、5つの偽サイトが設置されている。偽サイトのうちいくつかは13日午前の段階でまだ稼働しているが、その多くは、Webブラウザーがフィッシングサイトだと検知してブロックしてくれる。

　メールも偽サイトも英文なので、国内ユーザーがだまされる可能性は低いと思われるが、うっかりURLをクリックしたり、大切な情報を入力したりすることのないよう注意していただきたい。カード会社や金融機関が、口座や個人情報をたずねるメールを送ることはない。こうした内容のメールを受け取ったら、ただちに削除するに限る。

（2010/10/13 ネットセキュリティニュース）

■MasterCard（マスターカード）を騙るフィッシング(2010/10/12)（フィッシング対策協議会）
http://www.antiphishing.jp/alert/alert464.html

◆マイクロソフト、10月度の月例セキュリティパッチを公開（2010/10/13）

　マイクロソフトは13日、10月度の月例セキュリティパッチを公開した。公開されたパッチは、最も深刻な「緊急」4件を含む16件。Windows、Windows Server、Internet Explorer、Windows Media Player、Word、Excel、.NET Framework、SharePointが影響を受ける。

【更新プログラムの内容】
［緊急］
・Internet Explorer用累積パッチ：リモートでコードが実行される脆弱性
・Windows Media Playerネットワーク共有サービス：リモートでコードが実行される脆弱性
・Embedded OpenTypeフォントエンジン：リモートでコードが実行される脆弱性
・.NET Framework：リモートでコードが実行される脆弱性

［重要］
・SafeHTML：情報漏えいが起こる脆弱性
・Windowsカーネルモードドライバー：特権が昇格される脆弱性
・OpenTypeフォント（OTF）形式ドライバー：特権が昇格される脆弱性
・Word：リモートでコードが実行される脆弱性
・Excel：リモートでコードが実行される脆弱性
・Windowsコモンコントロールライブラリ：リモートでコードが実行される脆弱性
・Windows Media Player：リモートでコードが実行される脆弱性
・WindowsシェルとワードパッドのCOMの検証：リモートでコードが実行される脆弱性
・Windowsローカルプロシージャーコール：特権が昇格される脆弱性
・SChannel：サービス拒否が起こる脆弱性

［警告］
・Microsoft Foundation Classes：リモートでコードが実行される脆弱性
・Windows共有クラスターディスク：改ざんが起こる脆弱性

　[重要]に分類されているWindowsカーネルモードドライバー用のパッチは、ウイルス「Stuxnet」が悪用していた脆弱性のうち、1件を修正する。

　このほか、新たにZbotに対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンも公開された。

（2010/10/13 ネットセキュリティニュース）

■マイクロソフト セキュリティ ホーム（マイクロソフト）
http://www.microsoft.com/japan/security/default.mspx
■2010年10月のセキュリティ情報（マイクロソフト）
http://www.microsoft.com/japan/technet/security/bulletin/ms10-oct.mspx
■Microsoft Update
http://windowsupdate.microsoft.com/
■October 2010 Security Bulletin Release[英文]（Microsoft Security Response Center）
http://blogs.technet.com/b/msrc/archive/2010/10/11/october-2010-security-bulletin-release.aspx

◆[P2P]情報流出：神奈川県警の会議録/不動産管理会社の顧客情報約20万件（2010/10/12）

　ファイル共有ソフトを介した情報流出が2件、明らかとなった。神奈川県警の給与システム開発に関する会議の記録がWinny（ウィニー）のネットワーク上に流出したほか、不動産管理会社からは、約20万件という大量の顧客情報が流出している。

　ファイル共有ソフトを介した情報流出をめぐる報道は、2006年をピークに減少の一途をたどっている。しかし、流出事故は今もあちらこちらで繰り返されている。ファイル共有ソフトの怖さについては下記の「関連記事：トピックス」にまとめてあるので、ぜひご覧いただきたい。

■神奈川県警、業務委託先から会議録が流出

　神奈川県警の給与管理システム開発に関する会議の記録が、Winnyのネットワーク上に流出したことが5日、わかった。流出元は、同システムの開発を委託されていた日本IBM（本社：東京都中央区）の下請け業者とみられている。
　県警によると、流出したのは2003年12月の会議録。下請け業者が作成したもので、業者の個人パソコンがウイルスに感染したため、情報が流出したという。
　この件については4日、流出の事実がネット掲示板上で指摘されていた。
　なお、2008年11月に、神奈川県立高校の2006年度における全生徒約11万人の個人情報がWinnyを介して流出しているが、この件にも日本IBMが関わっている。こちらは同県の授業料徴収システムに関連した流出事故だが、同社がシステムの開発を受託、業務孫請け会社社員のパソコンが流出元だった。
・神奈川県警
http://www.police.pref.kanagawa.jp/
・日本IBM
http://www.ibm.com/jp/ja/

■リロ・ホールディング、顧客情報約20万件が流出

　不動産管理等を行うリロ・ホールディング（本社：東京都新宿区）と、同社子会社で借り上げ社宅の管理業務を行うリロケーション・ジャパン（本社：東京都新宿区）は9月22日、リロケーション・ジャパンの顧客情報約20万件がファイル共有ソフトを介してネット上に流出したと発表した。
　発表によると、流出したのは、賃貸物件所有者の氏名、住所など6万5534件分と、物件入居者の氏名や住所など12万9598件分。
　流出元、流出経路については調査中で、調査によって判明した事実や再発防止策などについては随時報告するとしている。両社は流出の事実を8月25日に確認していたが、情報の拡散と二次被害の発生を防止するため公表を控えていたという。
・お客様情報の流出に関するお知らせ[PDF]（リロ・ホールディング）
http://www.relo.jp/news/pdf/20100922.pdf
・お客様情報の流出に関するお詫びとお知らせ[PDF]（リロケーション・ジャパン）
http://www.relocation.jp/pdf/20100922.pdf

（2010/10/12 ネットセキュリティニュース）

【関連記事：コラム】
・情報流出による大騒動５連発！ その原因とユーザー心得（2010/06）
・痛恨の個人情報流出～先輩たちの「痛恨ミス」に学ぶ事故防止策（2010/03）

◆マイクロソフト、10月の修正パッチは「緊急」4件を含む16件（2010/10/08）

  マイクロソフトは8日、今月13日に公開が予定されているセキュリティ更新プログラムの概要を発表した。

　リリース予定のセキュリティ更新プログラムは計16件で、Windows、Internet Explorerに影響する「緊急」4件、Windows、Office、サーバーソフトに影響する「重要」10件、Windowsに影響する「警告」2件。

　XP、Vista、7、Server 2003/2008/2008 R2 には「緊急」「重要」「警告」にランクされる脆弱性が、Office、SharePoint、Web Appsには「重要」にランクされる脆弱性が含まれる。これらの製品に存在する計49件の脆弱性が、13日に公開される更新プログラムで修正される。

　このほか、「Windows Update」「Microsoft Update」などでセキュリティ以外の優先度の高い更新プログラムと「悪意のあるソフトウェアの削除ツール」の更新バージョンのリリースを予定している。

（2010/10/08　ネットセキュリティニュース）

■マイクロソフトのリリース
・セキュリティ情報の事前通知 - 2010年 10月
http://www.microsoft.com/japan/technet/security/bulletin/ms10-oct.mspx
・セキュリティ情報の事前通知
http://www.microsoft.com/japan/technet/security/bulletin/advance.mspx

◆9月のサイト改ざん(4)：訪問の心あたりはありませんか～新告知サイト11件（2010/10/07）

  9月に報告された新たな告知サイトをご紹介する。改ざん事実を明らかにし、閲覧者に謝罪して対策を呼びかけているサイトである。こうした告知を行う良心的サイトは一部であり、隠ぺいしたり放置されている改ざん・再改ざんサイトが多数あることに留意したい。

【改ざんサイト一覧】

＜マイクロアド関連＞
※以下5サイトは、マイクロアド関連で改ざん被害を受けたサイトで、本通信9月28日付「改ざん告知サイト」一覧の未掲載分である。

■全国新聞ネット（2010年9月27日発表）
場所：47NEWS（www.47news.jp）
告知：広告配信サーバー障害について
http://www.47news.jp/ad/microad.html

■薬事日報社（2010年9月27日発表）
場所：医療・医薬情報 業界インデックス（www.yakuji.jp）
告知：【お詫び】外部広告配信システムの障害について（薬事日報社）
http://www.yakuji.jp/entry4974.html

■マガジンワールド（2010年9月27日発表）
場所：マガジンワールド（magazineworld.jp）
告知：広告配信用外部委託サーバーの障害について
http://magazineworld.jp/info/100927/

■チャンスイット（2010年9月27日発表）
場所：チャンスイット（www.chance.com）
告知：外部配信広告サーバーの障害について
http://ameblo.jp/chanceit/entry-10660558139.html

＜Gumblar.x/8080/その他＞
■キューデン・エコソル（2010年9月28日発表）
種別：不明
期間：2010年9月25日0時～9月27日18時10分
場所：同社ホームページ（www.q-ecosol.co.jp）
告知：ホームページに関する報告とお詫び（九州電力）
http://www.kyuden.co.jp/company_outline_group_owabi

■内田洋行（2010年9月28日発表）
種別：不明（偽セキュリティソフトの押売りサイトに誘導）
期間：2010年9月21日6時50分～11時頃
場所：学びの場.com（www.manabinoba.com）
告知：学校・授業をより良くする教育ネットワーク
http://www.manabinoba.com/

■ネイルラボ（2010年9月22日発表）
種別：不明
期間：2010年9月17日20時35分～2010年9月21日16時30分
場所：同社ホームページ（www.naillabo.com）
告知：ネイルラボホームページ表示に関する報告とお詫び＜削除済み＞
http://www.naillabo.com/info/information100922.php

■コシイプレザービング（2010年9月17日発表）
種別：8080
期間：2010年8月30日～9月3日
場所：「ハウスガードシステム」ホームページ
告知：ホームページの改ざんに関するお詫び
http://www.house-g.com/utility/press20100917.html

■社団法人宝生会（2010年9月9日発表）
種別：8080
期間：2010年8月中旬～
場所：宝生能楽堂ホームページ（www.hosho.or.jp）
告知：当HPのウィルス感染についてのお詫び（宝生能楽堂）
http://www.hosho.or.jp/owabi.html

■ヨーヨーカンパニー（2010年9月6日発表）
種別：不明
期間：2010年9月3日0時～9月3日23時59分
場所：ヨーヨーストア「リワインド」ホームページ
告知：弊店サイトをご利用、閲覧いただいているお客様へ大切なご報告とお詫び
http://www.yoyostorerewind.com/jp/about-alart1

■スモリ工業（2010年9月2日発表）
種別：8080
期間：2010年8月30日4時20～9月2日11時30分
場所：同社ホームページ（www.sumori.jp）
告知：ホームページに関する報告とお詫び
http://www.sumori.jp/news/index.php?e=81

（2010/10/07 ネットセキュリティニュース）

◆9月のサイト改ざん(3)：中国からのハッキングがマスコミで話題に（2010/10/07）

　ハッカー（クラッカー）が不正アクセスに成功したサイトに署名入りのファイルを設置していくタイプのサイト改ざんは、普段はほとんど話題にのぼることがない。ところが9月は、中国のハッカーグループの仕業とみられる改ざんがマスコミに積極的にとり上げられ、話題になった。この手のハッキングは日常的に起きていることなのだが、今回は「中国紅客連盟」と名乗るハッカーグループが日本に対するサイバー攻撃を予告していたり、海上保安庁の巡視船と中国漁船が尖閣諸島沖で衝突する事件が起きたこともあり、ハッカーたちがサイトに残した中華印のハッキング看板が、マスコミの興味をそそってしまったようだ。

　改ざんされた日本関係のサイトをまとめたリストが掲載されたことも手伝って、9月中旬から下旬にかけては、中国からのハッキングが次々に報道された。ニュースでとり上げられたのは、金沢大学附属高等学校、同一サーバー上で運営していた徳島県神山町と佐那河内村の地図情報サイト。神戸市の関連団体「神戸フィルムオフィス」、山口大学工学部の研究室のサイトと、知名度のある公的なところばかりだが、「日本釣振興会」という異色なものもとり上げられた。名称に魚釣島の「釣」の字が入っている点が、気に入られたようだ。

　今回の一連の報道は、中国のグループがこの時期に行った、日本の公的機関のサイト改ざんだけを抽出したものだという点に注意していただきたい。ハッカーが署名ページを設置していくこの種のサイト改ざんは日常茶飯事であり、ターゲットも無差別。それは、中国のグループに限っても同じで、この時期以前も、その後も、この種のサイト改ざんは続いている。被害は公的機関に限ったものではなく、一般企業や個人のサイトが多数を占めており、中国を含む世界中のサイトに被害が及んでいる。

　この種のサイト改ざんは、いずれもハッキングできたことをアピールするのが目的であり、ウイルス感染や個人情報流出といった他の被害を伴うケースはめったにない。トップページが書き換えられたり、看板用の無害なファイルを設置される程度で済むのが常だが、だからといって安心してはいけない。外部からできないはずのことができたのは、システムに何らかの問題があるからだ。サーバーソフトに脆弱性はないか、安易なパスワードを使用していないかなど、不正アクセスの原因を突き止めて解決しておかないと、また同じように改ざんされたり、それが別の攻撃者の目にとまり、別の目的の不正アクセスに発展する可能性がある。

（2010/10/07 ネットセキュリティニュース）

【関連URL】
・ホームページが改ざんされたことについて（神山町）
http://www.town.kamiyama.lg.jp/life/life_detail.php?hdnSKBN=A&hdnKey=943

◆9月のサイト改ざん(2)：Adobe Readerのゼロデイ攻撃を仕掛ける改ざんも出現（2010/10/07）

　9月上旬には、アドビシステムズの「Adobe Reader」と「Flash Player」で、未修整の脆弱性を狙うゼロデイ攻撃が確認された。後発のFlash Playerの脆弱性は、9月20日にアップデートされたが、Adobe Readerは約1か月間にわたって放置状態が続き、細工した添付ファイルを開かせようとする標的型攻撃は、日本国内のユーザーも直撃。先週には、とうとう改ざんサイトの誘導先にも攻撃コードが実装される状態になった。

　先の改ざん広告の誘導先では、Adobe Readerのゼロデイ攻撃は使われなかったようだが、別の改ざんサイトの誘導先で9月28日頃から、ゼロデイ脆弱性を悪用したドライブ・バイ・ダウンロード攻撃が確認されている。悪用されているのは、アドビが9月8日にアドバイザリをリリースした、フォントファイルの処理でバッファオーバーフローが発生する脆弱性（CVE-2010-2883）。昨日ようやく修正版がリリースされたので、必ずアップデートを実行していただきたい。

　脆弱性が未修整のまま攻撃が始まってしまうゼロデイ攻撃の場合には、たとえ最新のソフトウェアを使用していても、攻撃を受ければセキュリティを突破され、ウイルスの侵入を許してしまうことになる。脆弱性の存在は通常、それを修正した後に公表されるのものだが、「第三者によって公表される」->「悪用方法が発見される」->「攻撃が始まる」->「攻撃コードが出回る」といった危険な状態が先行してしまった場合は特別で、ユーザーが回避策や軽減策をとれるように、各社がセキュリティアドバイザリをリリースする。アドバイザリが出るのは、危機が迫っているか、すでに危険な状態にある証なので、パソコンをお使いの方は、アップデート情報のみならず、各社からその都度出されるアドバイザリにも注意を払っていただきたい。

　脆弱性の中には、問題のソフトウェアをアンインストールする以外に回避策がないものもあるが、設定の変更などで影響を軽減したり、ウイルス感染を回避できるものも多い。今回のAdobe Readerの脆弱性を突く細工されたPDFファイルの場合には、本通信9月10日付の記事でお伝えしたように、Adobe ReaderのAcrobat JavaScriptを無効に設定しておくのが有効な軽減策だ。脆弱性が存在しないのと同等の状態にはならないが、Acrobat JavaScriptの無効化によって、ファイルに埋め込まれた悪質なコードの実行が阻止でき、ウイルス感染を防ぐことができる。常にアドバイザリにも注意を払い、事前に回避策や軽減策をとっていれば、万が一攻撃を受けてもウイルス感染という最悪の事態が回避できるのだ。

　Webサイトを通じたドライブ・バイ・ダウンロード攻撃は、ウイルスの主要な感染手段になっており、今回のようなゼロデイ攻撃もしばしば発生している。ウイルス感染の手段に悪用されそうな脆弱性については、本通信でもその都度積極的にとり上げ、回避策などをお伝えしているので、ぜひ参考にしていただきたい。

（2010/10/07 ネットセキュリティニュース）

【関連URL】
・ドライブ・バイ・ダウンロード攻撃によるAdobe Readerゼロデイ脆弱性の悪用（IBM Tokyo SOC Report）
https://www-950.ibm.com/blogs/tokyo-soc/entry/adobe_0day_20100928?lang=ja
・Adobe Readerのゼロデイ脆弱性を悪用する標的型攻撃（IBM Tokyo SOC Report）
https://www-950.ibm.com/blogs/tokyo-soc/entry/adobe_0day_20100922?lang=ja

◆9月のサイト改ざん(1)：広告配信サーバー改ざん、配信先で偽セキュリティソフト被害（2010/10/07）

　9月24日夜、マイクロアドが提供する広告配信サーバーが改ざん被害を受け、多数のメディアが影響を受けた。98サイトに向けて配信したバナー広告に、攻撃サイトへと誘導する不正なリンクが埋め込まれてしまったため、配信先の広告入りページが実質改ざんされてしまったのだ。

　誘導先の攻撃サイトには、WindowsやAdobe Reader、Adobe Flash 、JRE（Java Runtime Environment）の脆弱性を突く攻撃コードが仕掛けられており、未更新の古いバージョンを使用している場合には、「Security Tool」という偽セキュリティソフトを自動的にインストールする仕掛けになっていた。

　偽セキュリティソフトのキャンペーンには、ブラウザ上で偽のスキャンを行い、ウイルスが見つかったとして、ユーザー自身に偽ソフトをダウンロード/インストールさせようとするものもあるが、今回のものは、Gumblarや8080と同じドライブ・バイ・ダウンロード攻撃とよばれるもの。使用しているソフトウェアが最新状態なら何の影響もないのだが、脆弱性が残っていると、ユーザーの意思と関係なく偽セキュリティソフトが強制的にインストールされてしまうことになる。

　今回の攻撃でインストールされたのは、この偽セキュリティソフトだけだったので、被害は限定的で感染したかどうかも容易に把握できた。しかし、ドライブ・バイ・ダウンロード攻撃で何を強制導入させるかは攻撃者次第。スパイウェアやボットなどのシステムに潜伏するタイプのウイルスだったら、感染したことに気付かないまま、個人情報やアカウント情報を盗み取られたり、パソコンを外部から操られてしまうことになる。

　告知サイトは減ったものの、依然としてGumblarや8080系の誘導リンクが埋め込まれた国内の改ざんサイトは多く、この他にも複数のサイト改ざんが行われている。その多くは、ドライブ・バイ・ダウンロードによるウイルス感染を狙ったもので、脆弱性のない最新のソフトウエアを使用することで攻撃を回避できる。下記の関連記事が示す「6つの約束」を必ず実行し、攻撃に備えていただきたい。

（2010/10/07 ネットセキュリティニュース）

【関連URL】
・攻撃用ツールキットを使用した Web サイト経由での攻撃に関する注意喚起（JPCERT/CC）
http://www.jpcert.or.jp/at/2010/at100025.txt

◆アドビ、深刻な脆弱性を修正した Adobe Reader／Acrobatの最新版を公開（2010/10/06）

　米アドビシステムズは5日（米国時間）、予告どおりAdobe ReaderとAcrobatの定例外セキュリティアップデータを公開した。

　対象となるのは、Adobe Reader（Windows、Macintosh、UNIX版）と、Acrobat（Windows、Macintosh版）の「9.3.4」以前のバージョン。アップデータ適用後の最新バージョンは「9.4」となる。8.x系は「8.2.4」以前が対象となり、最新バージョンは「8.2.5」となる。

　同社は先月8日、Adobe Reader/Acrobatの新たな脆弱性に対するゼロデイ攻撃が始まっていることを明らかにし、アドバイザリを公開。危険度は最も深刻なCriticalで、PDFファイルを開くと任意のコードを実行されるおそれがあった。

　また、Adobe ReaderにはFlash Playerが内蔵されているが、先月13日、Flash Player を標的とする攻撃が確認された。同20日にはその脆弱性を修正した最新版が公開されたが、「9.3.4」以前のバージョンには修正以前のFlash Player の脆弱性も含まれている。

　今回のアップデートでは23件の脆弱性が修正され、上記2件の深刻な脆弱性も修正された。Adobe Reader/Acrobatをインストールされている方は、至急アップデートしておくことをおすすめする。

　最新版への更新は、製品の「ヘルプ」メニューの「アップデートの有無をチェック」で行える。また、Adobeのサイトからも最新版がダウンロードできる。

（2010/10/06 ネットセキュリティニュース）

【関連URL】
・Security updates available for Adobe Reader and Acrobat[英文]（Adobe）
http://www.adobe.com/support/security/bulletins/apsb10-21.html
・Adobe Flash Player用セキュリティアップデート公開（アドビ）
http://www.adobe.com/jp/support/security/bulletins/apsb10-22.html

【関連記事：ネットセキュリティニュース】
・アドビ、深刻な脆弱性を修正した「Flash player」の最新版を公開（2010/09/21)
・Flash Playerに未修正の深刻な脆弱性、攻撃も確認～Adobe Readerにも影響（2010/09/15)
・【ゼロデイ攻撃】Adobe Readerの未修整の脆弱性狙うトロイの木馬（2010/09/10)

◆相談件数首位はワンクリック不正請求、メール送信型ウイルスに注意（IPA）（2010/10/05）

  情報処理推進機構セキュリティセンター（IPA/ISEC）は5日、2010年9月のコンピュータウイルス、不正アクセスの届出状況のまとめを発表した。また、9月上旬に感染の流行が警告されていた「大量メール送信型ウイルス」について紹介し、対策を呼びかけている。

■相談件数トップは変わらず「ワンクリック不正請求」

　9月のウイルスの検出数は約3.4万個で、8月（約4.5万個）と比べ 23.1％減少した。届出件数は1082件で、8月（1177件）から8.1%減少した。検出数1位は W32/Netsky（約2.7万個）、2位は W32/Mydoom（約4千個）、3位はW32/Waledac（約1千個）。
　不正プログラムは、MALSCRIPTやFAKEAVの急増事例が確認された。FAKEAVは偽セキュリティ対策ソフトで、先月も急増事例が確認されている。MALSCRIPTは、ホームページなどのHTMLファイルに悪質なスクリプトが含まれる場合に検知される。このようなページを脆弱性が解消されていないパソコンで閲覧すると、それだけでウイルスに感染する可能性がある。IPAは日頃から脆弱性対策をしておくことを勧めている。
　不正アクセスの届出件数は15件で、そのうち被害があったものは、侵入5件、DoS攻撃2件、不正プログラム埋め込み2件、その他1件の計10件。侵入被害5件の内訳は、Webページの改ざん3件、外部攻撃ツールを埋め込まれ踏み台に悪用されたもの2件。不正プログラム埋め込み被害の2件はどちらも、LAN接続パソコンがウイルスに感染し、外部ネットワークなどにアクセスを試みていた。
　ウイルスや不正アクセス関連の相談総件数は2102件。うち「ワンクリック請求」に関する相談が820件（8月935件）、「セキュリティ対策ソフトの押し売り」に関する相談が13件（8月15件）、Winnyに関連する相談3件（8月4件）、「情報詐取を目的として特定の組織に送られる不審なメール」に関する相談が2件（8月同数）など。

■メールやUSBメモリ等で拡散する「VBMania」～対策は多段階で

　IPAは今回、VBMania（ブイビーマニア）と呼ばれるウイルスについて解説している。9月上旬に感染流行の注意喚起がなされていた「大量メール送信型ウイルス」の名称の1つで、現在は収束しているが、対策に漏れがないかどうか確認するよう注意を促している。
・メール、USBメモリ、共有フォルダで感染拡大
　VBMania は、罠が仕掛けられたメールで拡散を試みる。罠はメール文中に記されたリンクで、リンク先はPDF ファイルや動画ファイルに見えるよう細工されている。仕掛けられたリンクをクリックするとVBMania ウイルスのダウンロードが行われ、Windows やメールソフトからの警告を無視して操作を続けると、ウイルスに感染させられてしまう。この感染パソコンを起点として、USBメモリや、LAN 上の共有フォルダを経由する感染が連鎖していく。

・被害者のアドレス帳を使った無差別送信も
　感染パソコンン内のメールソフトのアドレス帳を利用した無差別送信も行われる。感染パソコンの主のメールアドレスを送信者として、アドレス帳に登録してある人たちに罠を仕掛けたメールがばらまかれる。そこで感染したパソコンでまた同じ活動が繰り返され、大量の罠メールが流通することになる。

・対策ソフトの働きを妨害
　感染パソコンにインストールされているウイルス対策ソフトやセキュリティソフトの動作を妨害し、無効化させようとしたり、インターネットから別のウイルスをダウンロードして感染させようとする動作も確認されている。

・多段階の基本対策が必要
　対策としては、基本的ウイルス対策／迷惑メール対策を多段階で実施することがすすめられる。「ISP の迷惑メールフィルタリングサービス」「ウイルス対策ソフトによる防御」「メールソフトの迷惑メール対策機能」の利用、そして「不審なメールを開かない・クリックしない」という基本中の基本対策の実行である。USB メモリからの感染を防ぐには、Windows に搭載されている「自動実行」機能を無効化することも有効だ。

　IPAは、VBMania ウイルスに感染した場合の対処法として、まず無償提供のウイルス駆除ツールを試みること、ウイルス駆除後はパソコンの初期化が安全であるとしている。

（2010/10/05 ネットセキュリティニュース）

【関連URL】
・コンピュータウイルス・不正アクセスの届出状況[2010年9月分]について[PDF]（IPA）
http://www.ipa.go.jp/security/txt/2010/documents/summary1010.pdf
・「Windowsでの「自動実行」機能の無効化手順（IPA）
http://www.ipa.go.jp/security/virus/autorun/
・ウイルス駆除ツール（マカフィー）
http://www.mcafee.com/japan/security/stinger.asp
※ 「W32/VBMania@MM Stinger」というリンクから駆除ツールがダウンロード可能

◆著作権法違反～携帯向けレンタル掲示板で着うた/ShareでPSP用ゲームソフト（2010/10/04）

　先月末、著作権者に無断で音楽やゲームソフトをアップロードした著作権法違反での逮捕が相次いだ。音楽では携帯電話向けレンタル掲示板の運営者と利用者が、ゲームソフトではShareの愛用者が逮捕されている。

■携帯電話向けレンタル掲示板の運営者と利用者、違法アップロードで逮捕

　滋賀県草津警察署は9月28日、携帯電話向けレンタル掲示板に音楽ファイルを著作権者に無断でアップロードし、不特定多数がダウンロードできる状態にしていたとして、著作隣接権侵害の容疑で、男性2人（39歳と36歳）を逮捕した。日本レコード協会（RIAJ）が9月29日付のリリースで明らかにした。
　RIAJによると、男性2名は携帯電話向けレンタル掲示板「ゴリメロ歌手別投稿板（ドコモ専用：着うた／着メロ）」を運営し、エピックレコードジャパン（東京都港区）などが権利をもつ音楽ファイルを無断でアップロードしていた。同署は9月14日、同掲示板に音楽ファイルをアップロードしていた別の男性1名（40歳）も同容疑で逮捕し、調べを進めている。
　同掲示板は昨年5月に開設され、今年年6月現在までに違法アップロードされた音楽ファイルは約3万9500本にのぼり、累計アクセス数は2億を超えるという。
・携帯電話向け違法音楽配信でレンタル掲示板の管理者らを逮捕（RIAJ）
http://www.riaj.or.jp/release/2010/pr100929.html

■Shareを通じてPSP用ゲームソフトを違法アップロード、男性を逮捕

　愛知県警生活経済課と刈谷署は9月27日、ファイル共有ソフトのShareを使って、PSP（プレイステーションポータブル）用ゲームソフトを不特定多数がダウンロードできる状態にしていたとして、送信可能にしていた男性（42歳）を、著作権法違反容疑で逮捕、29日に名古屋地検岡崎支部に送致した。コンピュータソフトウェア著作権協会（ACCS）が9月29日付のリリースで明らかにした。
　ACCSによると、容疑者は5月11日および28日、ソニー・コンピュータエンタテインメントが著作権をもつゲームソフト「勇者のくせになまいきだ：3D」、カプコンユーエスエーインクが著作権をもつゲームソフト「ストリートファイターZERO3↑↑」を、Shareを通じて不特定多数に送信できるようにしていた。
　今年7月、愛知県警の捜査員がサイバーパトロールで発見し、ACCSを通じて著作権者に連絡。8月17日には家宅捜索が行われ、パソコン6台、改造PSP本体1台などが押収された。容疑者はWinnyやShareの使い手で、逮捕時点ではShareのみを使用。PSP用ゲームソフト、PSPで見られるようにエンコードされたアニメ、映画、テレビ番組等を中心に、1600ファイル以上を送信可能な状態にしていたという。
　容疑者はShareを通じてわいせつ画像情報もアップロードしており、わいせつ物公然陳列の容疑でも逮捕された。
・PSPソフトの違法アップロード、全国初の摘発（ACCS）
http://www2.accsjp.or.jp/criminal/2010/1019.php

（2010/10/04 ネットセキュリティニュース）

◆直輸入無線機器にご用心、「技適マーク」のない製品を使うと電波法違反（2010/10/01）

　大阪・日本橋の電器店が9月22日、大阪府警の家宅捜索を受け、店長ら3人が電波法違反（無線を局の無許可開設）ほうじょ容疑で逮捕された。同店は、無線LANの暗号を解読するソフトを同梱した台湾製の高出力無線LANアダプターを、他人の無線LANにタダ乗りできる「無銭LAN」などと称して販売しており、購入者が同法に違反するのを助けた疑い。

■無線LANは「技適マーク」必須

　無線電波を発射（送信）する場合には、総務大臣の免許を受けなければならないのが原則である。ただし全てが免許制では、一般の方が手軽に無線を使用できなくなってしまうので、いくつかの例外規定がある。たとえばラジコンやワイヤレスマイクなどの発射する電波が極めて微弱なものは、免許不要で使うことができる。
　パソコン関係でよく使われる無線LANやBluetoothは、微弱無線よりも大きな出力の機器だが、一定の条件にかなった製品であれば免許なしで利用できる。これらは「特定小電力無線」といって、国が定める技術基準に適合した機器であるという認証機関の証明があれば、免許が不要になるのだ。免許不要の製品かどうかは、下記「技術基準適合証明等を受けた機器の検索」ページにある、いわゆる「技適マーク」の有無で識別できる。この技適マークが付いていれば、無免許で使ってもよいのだ。
　摘発された大阪・日本橋の電器店が販売していたのは、技適マークどころか、技術基準にも適合しない大出力の製品だったのだが、仮に技術基準に適合している製品であっても、証明を受けないまま使ってしまうと電波法違反になるので注意しなければいけない。大阪・日本橋や秋葉原界隈の電気店、オンラインショップなどでは、今回問題となった製品をはじめ、技術基準適合証明を受けないまま売られているとみられる海外製品が多数見受けられる。技適マークが付いていることが免許不要の必須条件なので、無線LANやBluetoothに対応した機器を購入する際には、くれぐれも注意していただきたい。

■無線LANの暗号化方式にも注意

　今回の摘発では、製品に無線LANの暗号を解読するソフト（正確には解析機能付きのOS）が付いていたという点にも注意したい。無線LANには通信を暗号化する機能があり、盗聴や侵入を防いでくれる。暗号化方式にはは、いくつかの種類があるが、初期の規格に採用されたWEP（Wired Equivalent Privacy）は、現在では簡単に破られてしまうのだ。
　問題となった製品には、このWEPを破って暗号化キー（パスワード）を盗み出すソフトが付属しており、これを使うと数分から数十分で暗号化キーが取得できるという。WEPを破って他人の無線を使うのは電波法に抵触する行為だが、そのようなツールやツール付きの製品までが大量に出回っているということを、無線LANを使う側は認識しておかなければならない。最近の無線LAN製品ならば、WEP以外にもWPA（Wi-Fi Protected Access）やその改良版のWPA2もサポートしているので、より堅牢な暗号化方式を使うようにしていただきたい。
　暗号化なしやWEP方式の無線LANは、知らない間に「無銭LAN」などと呼んでる人たちのネット接続用に使われてしまうほか、通信内容が盗聴されたり、あなたのパソコンに侵入されるおそれもある。

（2010/10/01 ネットセキュリティニュース）

■関連URL
・技適マーク、無線機の購入・使用に関すること（総務省・電波利用ホームページ）
http://www.tele.soumu.go.jp/j/adm/monitoring/summary/qa/giteki_mark/index.htm
・技術基準適合証明等を受けた機器の検索（総務省・電波利用ホームページ）
http://www.tele.soumu.go.jp/giteki/SearchServlet?pageID=js01
・一般家庭における無線LANのセキュリティに関する注意（IPA）
http://www.ipa.go.jp/security/ciadr/wirelesslan.html
・電波法（e-Gov）
http://law.e-gov.go.jp/htmldata/S25/S25HO131.html

◆岡崎市・えびの市立図書館の利用者情報流出～原因はシステム委託先のミス（2010/10/01）

　岡崎市立中央図書館（愛知県岡崎市）と、えびの市民図書館の利用者の個人情報が、インターネット上に流出していたことがわかった。両図書館は、三菱電機インフォメーションシステムズ（MDIS、本社：東京都港区）が開発・販売する図書館システムを使用しており、同システムの保守・管理は千代田興産（本社：福岡市中央区）が行っているが、情報流出は両社のミスによるものだった。

　岡崎市立中央図書館からは、2005年6月時点の本の未返却者リスト159名分と、予約取置本リスト4名分が流出。えびの市民図書館からは、昨年1月時点の未返却者リスト116名分が流出している。リストには、利用者の氏名、年齢、電話番号、書名などが記載されていた。

　えびの市のデータは同市のサーバーから流出したものだったが、岡崎市のデータは、MDISが他の37の図書館に納入したシステムに誤って混入したものだった。この混入された利用者情報が、えびの市民図書館と篠栗町立図書館（福岡県篠栗町）の2つの図書館システムからインターネット上に流出した。

　流出元となった2つの図書館システムの保守・管理を行っている千代田興産は、今年7月下旬から8月上旬にかけ、これらのサーバーのFTP設定を、パスワードなしで誰でも自由に読み書きできる匿名FTP（Anonymous FTP）の状態で運用していた。このため、システムに混入していた岡崎市立中央図書館のデータが、両方のサーバーから流出する結果となった。実際に、それぞれから数人がデータをダウンロードしていたという。

●図書館利用者情報流出の背景

・図書館利用者が「業務妨害」容疑で逮捕
　ことの発端は、今年5月、岡崎市立中央図書館にアクセスを繰り返したとして、同図書館を利用していた男性が業務妨害容疑で逮捕されたことに始まる。男性は、図書館のシステムが使いにくかったため、自分専用のシステムを作ろうと思い、毎秒1回程度のアクセスを繰り返すプログラムを作って図書館のサーバーから蔵書情報を取得していた。これが図書館のシステムダウンを引き起こしたというのが、男性の容疑だった。
　毎秒1回程度のアクセスは、手動でのアクセスよりも高速ではあるが、検索エンジンのクローラーやブラウザの先読み機能よりもずっと穏やかなものである。ネットでは、それでダウンするシステムのほうがおかしいのではと指摘する声が多かった。男性は20日間こう留された後、不起訴（起訴猶予処分）となった。男性は事の顛末と疑問をブログに綴っており、ネット上では図書館のシステム側の問題を追及する動きが活発化していった。

・匿名FTPシステムの発見～図書館システムの不具合が明らかに
　そうしたなか、今回の利用者情報の直接の流出元となった、2つの匿名FTPのシステムが発見された。この匿名FTPから、問題視されていた図書館システムがダウンロードされ、複数の専門家がプログラムを分析した。その結果、図書館のシステムダウンを引き起こした原因は図書館システム側の不具合にあり、男性のプログラムの問題ではないことが明らかにされた。この一連の経緯については、8月下旬の朝日新聞に掲載されている。
　朝日新聞は匿名FTPの問題についても取り上げており、報道を受けた篠栗町は、「当ホームページ内には元々個人情報のデータは含まれておりませんので、個人情報の流出はありません」というコメントをホームページに掲載していた。町としては、そこに別の自治体（岡崎市）の個人情報が混入しているなど想定外のことだったろう。しかし、システムの管理者側もそれに気付かなかったのだろうか。

・匿名FTPの流出物から利用者情報を発見～流出事件公表へ
　それから1か月後の9月25日、図書館事件を追及していた方のひとりが、匿名FTPの流出物の中から利用者情報が見つかったことをTwitterでつぶやいた。27日、岡崎市にシステム管理業者から情報流出の報告があり、市とMDISは28日、記者会見を開いて流出事実を公表した。えびの市民図書館の利用者情報も同時に流出し、同時期に発見されている。発見者は報道関係に通報していたというが、MDISが28日付で出したリリースでは、えびの市については触れていない。同日の宮崎放送やNHK宮崎放送局のローカルニュースが、それを伝えていた。

（2010/10/01 ネットセキュリティニュース）

■図書館利用者情報の流出がありました。（岡崎市）
http://www.city.okazaki.aichi.jp/appli/06/wp06_view.asp?hdnBangou=9621
■弊社図書館システムにおける個人情報の混入及び流出について（三菱電機インフォメーションシステムズ）
http://www.mdis.co.jp/news/press/2010/0928.html
■子会社の個人情報漏洩について（三菱電機）
http://www.mitsubishielectric.co.jp/oshirase/20100928/