ネットセキュリティニュース

◆「暗号化による情報漏えい対策」「無線LAN 危険回避対策」を学ぼう（IPA）（2014/03/27）

　情報処理推進機構（IPA）が情報セキュリティ対策についてわかりやすく解説する小冊子「対策のしおり」シリーズに、新たに「暗号化による＜情報漏えい＞対策のしおり」と「無線LAN＜危険回避＞対策のしおり」が加わった。どちらもIPAのサイトからダウンロードできる。

■暗号化による＜情報漏えい＞対策のしおり

　情報が漏えいすることを防止する有効な手段の一つが暗号化だ。このしおりでは、暗号化が行われる背景や、さまざまな場面で使われる暗号化のしくみと注意事項について、企業、組織、個人のユーザーを対象に、わかりやすく紹介している。

　「暗号化」されたデータを元に戻すことが「復号」だが、これさえ頭に入れておけば、暗号化について全く知識のない人にもわかるように書かれている。たとえば、重要な情報をメールで送りたいときには、その情報をメールの本文に記載するのではなく、ドキュメントにして暗号化し、添付ファイルで送受信する方法が手軽だ。Microsoft Officeを使ってドキュメントを暗号化する方法も説明されている。

　紛失や置き忘れ、盗難対策としての暗号化、無線LANを安全に利用するための暗号化についてもとりあげている。もっと詳しく知りたい人のための参考情報も役立つだろう。

・「暗号化による＜情報漏えい＞対策のしおり」を公開しました（IPA）
http://www.ipa.go.jp/security/keihatsu/announce20140320_2.html
・暗号化による＜情報漏えい＞対策のしおり[PDF]（IPA）
http://www.ipa.go.jp/security/antivirus/documents/12_crypt.pdf

■無線LAN＜危険回避＞対策のしおり

　無線LANを利用する際に、セキュリティ設定をきちんと行わないと、他人に勝手に利用されたり、なりすまし行為が行われたり、同じネットワーク上にある情報が抜き取られたりする危険性がある。このしおりでは、知っておくべきセキュリティ上の脅威と対策が紹介されている。

　対象は、主に企業や組織の無線LAN導入管理者だが、一般家庭で安易に無線LANを設置し、管理もせずに運用した場合のリスクについても触れられている。たとえば、子どもがオンラインゲームをするために、友達みんなが無線LANを使えるように認証が不要な設定（暗号化しない状態）にしてしまうケース。また、暗号化通信のための認証用のパスフレーズが、買ったままの無線LAN機器に貼りついているケース。パスフレーズを変更せずにそのまま使っているなら、それを見た人は無線LANに無許可で接続できてしまう。

　無線LANを利用する際の対策としては、まず、無線LAN装置(親機)が実装している最強の暗号化設定を利用すること。現状ではWPA2-PSKだ。パスフレーズについては、ブルートフォース攻撃（総当たり攻撃）対策として、20文字以上にすることを推奨している。パスフレーズは通常、機器に一度設定すると二度と入力することがないため、覚えやすくする、忘れにくくするといった考慮は不要だ。また、無線LAN装置(親機)に初期値として設定されているパスフレーズは、取扱説明書などがWebで公開されている可能性があるため、設定を変更するよう勧めている。変更したパスフレーズを忘れてしまった場合は、工場出荷状態に戻し、新たに設定しなおせばよい。

・「無線LAN＜危険回避＞対策のしおり」を公開しました（IPA）
http://www.ipa.go.jp/security/keihatsu/announce20140320_1.html
・無線LAN＜危険回避＞対策のしおり[PDF]（IPA）
http://www.ipa.go.jp/security/antivirus/documents/11_wireless_lan.pdf

（2014/03/27 ネットセキュリティニュース）

◆Wordの未修正の脆弱性を突くゼロデイ攻撃発生～「Fix It」の適用を（2014/03/25）

　マイクロソフトは25日、Wordの脆弱性を悪用する攻撃が確認されたとして、アドバイザリーと、攻撃を回避するための設定を自動的に行う「Fix it」を公開した。

　アドバイザリーなどによると、RTF（リッチテキストフォーマット）ファイルの処理に問題があり、任意のコードが実行されるおそれがある。マイクロソフトでは、Word 2010を狙った、限定的な標的型攻撃を確認しているという。

　脆弱性の影響を受けるのは、Word 2003/2007/2010/2013、Word Viewer、Office互換機能パック、Office for Mac 2011、SharePoint Server 2010/2013、Web Apps 2010、Web Apps Server 2013。

　細工が施されたRTFファイルを開く、プレビューする、あるいはRTFファイルを埋め込んだWebサイトを閲覧することにより、攻撃者に任意のコードを実行されるおそれがある。また、Outlook 2007/2010/2013の初期設定では、Wordをメールビューワーとして使うようになっているため、こちらも注意が必要だ。

　マイクロソフトでは、セキュリティ更新プログラムが提供されるまでの暫定措置として、WordでRTFコンテンツが開かないようにするためのツール「Microsoft Fix it 51010」や、脆弱性緩和ツール「Enhanced Mitigation Experience Toolkit」の適用を推奨している。

　Fix itを適用するには、下記「サポート技術情報（2953095）」にある「Enable」側のアイコン（Microsoft Fix it 51010）をダウンロード/実行する。適用する前の元の状態に戻すには、「Disable」側のアイコン（Microsoft Fix it 51011）をダウンロード/実行する。

（2014/03/25 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・Microsoft Security Advisory（2953095）［英文］
http://technet.microsoft.com/en-us/security/advisory/2953095
・サポート技術情報（2953095）［英文］
https://support.microsoft.com/kb/2953095

◆2013年の被害額は14億円～全銀協がネットバンキング犯罪対策特設サイト開設（2014/03/25）

　ネットバンキングのパスワードなどを盗み取り、口座から勝手に預金を引き出す犯罪が急増していることを受け、全国銀行協会では特設サイトを開設し、対策を呼びかけている。

　2013年にネットバンキングで不正送金された額は14億600万円で、2012年の約30倍にものぼった。全銀協の特設サイトでは、ネットバンキング犯罪の主な手口とセキュリティ対策を紹介しており、預金を守るためセキュリティ対策を始めようと呼びかけている。

　手口の例として挙げられているのは、「ウイルス感染」と「フィッシング」の2つ。ウイルスを使う手口では、犯人はまず、何らかの手段を使ってウイルスをユーザーのパソコンに送り込む。パソコンがウイルスに感染してしまうと、ネットバンキング利用時に偽の入力画面が表示されたり、メールを盗み見られたりする。ユーザーが偽画面に乱数表や合言葉などのパスワード情報を入力してしまう、あるいは銀行からのメールに記載されていたパスワード情報が盗み取られてしまうことにより、犯人にパスワード情報が渡ってしまい、口座から預金を引き出されてしまう。

　フィッシングサイトを使う手口とは、銀行を装った偽のメールを送るなどして、偽のホームページ（フィッシングサイト）へと誘導し、乱数表や合言葉などのパスワード情報を入力させて盗み取るというもの。

　預金を守るために紹介されている対策は3つ。1つ目はセキュリティ対策ソフトを導入し、最新の状態にしておくこと。OSやブラウザーも最新の状態にしておきたい。2つ目は、ワンタイムパスワードなど、銀行が導入、推奨しているセキュリティ対策を積極的に利用すること。払戻しなどの限度額も、必要な範囲内でできるだけ低く設定しておきたい。3つ目は、「パスワードは慎重に入力する」こと。偽のメールや偽の画面に注意するのはもちろんだが、そもそも銀行からIDやパスワードなどといった大切な情報をメールで照会することはない。銀行のホームページで偽のメールや偽の画面の具体例をチェックしておくことも勧められている。

（2014/03/25 ネットセキュリティニュース）

【関連URL】
・ネットバンキング犯罪対策特設サイト（全国銀行協会）
https://www.zenginkyo.or.jp/ib_hanzai/

◆知らぬ間に詐欺的通販サイトの運営者にされ、突然「代金返還請求」が（2014/03/24）

　「詐欺的な通販サイトの運営者として勝手に名前を使われ、そのサイトを利用した人から代金の返還請求を受けた」という相談が消費者センターに寄せられている。東京都消費者総合センターは12日、「私が詐欺サイトの運営者？　個人情報の悪用に注意！」を公表した。

　同センターに相談を寄せた人は全員、過去に不審な通販サイトを利用した経験があった。

　10歳代の女性のケースでは、全く知らない人から「あなたの通販サイトを利用して、キャラクターグッズを注文し代金を振り込んだが、商品が送られてこない。返金しなければ警察に被害届を出し法的手続きを行う」という内容証明郵便が送られてきた。その通販サイトを見ると、運営会社の住所が自分の住所、店舗運営責任者が自分の名前となっていたという。女性は以前、ある通販サイトを利用した際、名前と住所を送信した後で申込みをキャンセルしたことがあった。

　インターネットオークションに出品したいことが一度もない20歳代の女性は、全く知らない人から「インターネットオークションに出品した商品を落札しお金を振り込んだが、商品が届かない。返金してほしい」という内容証明郵便を受け取った。女性は以前、通販サイトで商品を購入しようとした際、何となく不審に思い、前払い代金を払わずにキャンセルしたことがあったという。

　インターネット上でも、詐欺サイトで勝手に名前を使われて困っているという相談や書き込みが見つかる。中には、自営業を営んでいるため自分のサイトに氏名や連絡先を載せておいたところ、知らぬ間に通販サイトの責任者にされていたという例もあり、不審な通販サイトを利用したことがなければ安心、というわけではないようだ。

■名前を使われてしまったら

　東京都消費者総合センターに寄せられたこれまでの相談では、内容証明郵便を発送した人には悪意がなく、相談者の住所や氏名をかたった虚偽の通販サイト等の被害者であると考えられるという。同センターは、請求を放置せず、差出人に対して「自分は無関係である」ことを主張しておくようアドバイスしている。

　ただし、詐欺グループが悪意を持って内容証明郵便を送ってくることも考えられる。まずは、都道府県警察本部のサイバー犯罪相談窓口に相談することを強くおすすめする。地元の消費生活センターまたは国民生活センターにも相談しよう。

（2014/03/24 ネットセキュリティニュース）

【関連URL】
・私が詐欺サイトの運営者？　個人情報の悪用に注意！（東京都）
http://www.shouhiseikatu.metro.tokyo.jp/sodan/kinkyu/20140312.html
・都道府県警察本部のサイバー犯罪相談窓口等一覧（警察庁）
http://www.npa.go.jp/cyber/soudan.htm
・全国の消費生活センター等（国民生活センター）
http://www.kokusen.go.jp/map/index.html

◆インターネット上の人権侵犯事件が急増、過去最高に（2014/03/20）

　インターネットを悪用した人権侵犯事件が急増していることがわかった。法務省が14日に発表した資料によると、2013年は過去最高となる957件の人権侵犯事件が発生し、内容はプライバシー侵害と名誉毀損が98％を占めた。

　同省の人権擁護機関は、被害を受けた人からの訴えを受けて救済に努めている。2013年に新規救済手続きを開始した人権侵犯事件の件数は2万2437件、処理件数は2万2172件だった。インターネット上の人権侵犯事件は高水準で推移しており、2013年は957件発生し、過去最高の件数となった。

　前年比では、42.6％の増加である。10年前と比較すると、人権相談件数は約6倍、人権侵犯事件数は約5倍増加している。2013年に発生した人権侵犯事件・957件の内訳は、プライバシー侵害事案が600件、名誉毀損事案が342件で、両者で全体の98.4％を占める。このうち136件に対して削除要請が行われた。

　プライバシー侵害の事例が2件、紹介されている。1件は、何者かが被害者になりすまして個人情報（顔写真、氏名、生年月日、住所の一部、携帯電話番号、メールアドレス）を掲載するとともに、被害者をかたった卑猥な内容の書き込みがなされた例で、法務局の相談電話「女性の人権ホットライン」に相談が寄せられた。もう1件は、子どもが同級生からいじめを受け、その様子を撮影した複数の動画がネット上の動画投稿サイトに掲載されたという例である。精神的な苦痛を被っているとして、法務局に相談がなされた。

　いずれも削除要請により削除されたが、いちど侵害された被害者の人権回復は難しいものがある。インターネットを悪用した人権侵害をしない・許さないモラルの構築が課題だ。

（2014/03/20 ネットセキュリティニュース）

【関連URL：法務省】
・平成25年における「人権侵犯事件」の状況について（概要）
http://www.moj.go.jp/JINKEN/jinken03_00176.html

◆モジラ、深刻な脆弱性を修正した「Firefox 28」公開（2014/03/19）

　モジラは18日、Webブラウザの最新版「Firefox 28.0」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「24.4.0」と、メールソフトの「Thunderbird 24.4.0」も同日公開されている。

　Firefox 28.0では、VP9でエンコードされた動画や、Opusを利用したWebM動画を再生できるようになり、HTML5のvideo要素やaudio要素で音量を調節できるようになったほか、脆弱性の修正も行われている。

　Firefox 28.0で修正された脆弱性は、重要度が4段階評価で最も高い「最高」5件、次に高い「高」3件、「中」7件、「低」3件の計18件。ESR版では、28.0と共通の「最高」5件、「高」3件、「中」2件の計10件が修正された。悪用されると任意のコードが実行されるおそれのある、危険な問題が複数含まれている。

　28.0とESR版に共通する重要度「最高」の脆弱性5件のうち4件は、先週開催されたHP Zero-Dayイニシアチブ主催のハッキングコンテスト「Pwn2Own」で報告されていた。

　それぞれの最新版は、自動更新機能を通じて配布されているほか、［ヘルプ］メニューの［Firefoxについて］を選択し、ダウンロードが完了したら[ダウンロードした更新を適用]ボタンをクリックすれば今すぐ更新できる。Android版は、[設定]→[Mozilla]→[Firefoxについて]の順に選択し[更新を確認]をタップする。

　ESR版Firefoxで修正された脆弱性は、同じエンジンを使用するメールソフトThunderbirdにも影響があり、こちらも最新版の「24.4.0」が公開されている。

（2014/03/19 ネットセキュリティニュース）

【関連URL：Mozilla Japan】
＜Firefox 28.0＞
・リリースノート（デスクトップ版）
http://www.mozilla.jp/firefox/28.0/releasenotes/
・リリースノート（Android版）
http://www.mozilla.jp/firefox/android/28.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html
＜Firefox ESR 24.4.0＞
・リリースノート
http://www.mozilla.jp/firefox/24.4.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefoxESR.html
＜Thunderbird 24.4.0＞
・リリースノート
http://www.mozilla.jp/thunderbird/24.4.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbird.html
【関連URL】
・Pwn2Own results for Wednesday (Day One)[英文]（Pwn2Own）
http://www.pwn2own.com/2014/03/pwn2own-results-for-wednesday-day-one/
・Pwn2Own results for Thursday (Day Two)[英文]（Pwn2Own）
http://www.pwn2own.com/2014/03/pwn2own-results-thursday-day-two/

◆IPA、「情報セキュリティ10大脅威」とその対策を発表（2014/03/19）

　情報処理推進機構（IPA）は17日、情報セキュリティ分野の専門家117名が選出した「2014年版情報セキュリティ10大脅威」を発表した。「標的型メールを用いた組織へのスパイ・諜報活動」、「不正ログイン・不正利用」、「ウェブサイトの改ざん」などが上位に選ばれ、手口や対策が詳しく解説されている。

　117名の専門家が審議し選出した「情報セキュリティ10大脅威」は次の通りだ。

1位「標的型メールを用いた組織へのスパイ・諜報活動
2位「不正ログイン・不正利用」
3位「ウェブサイトの改ざん」
4位「ウェブサービスからのユーザー情報の漏えい」
5位「オンラインバンキングからの不正送金」
6位「悪意あるスマートフォンアプリ」
7位「SNSへの軽率な情報公開」
8位「紛失や設定不備による情報漏えい」
9位「ウイルスを使った詐欺・恐喝」
10位「サービス妨害」

　発表資料では、これらの脅威について、「攻撃手口」「事例と傾向」「対策/対応」を詳述している。このうち、2位、3位、4位、5位、6位、9位の6件は「ウイルス・ハッキングによるサイバー犯罪」に分類され、かつ一般ユーザーが被害を受ける脅威であるため、対策の基本もほぼ共通する。

　これらの脅威に備える基本対策は、「OS・ソフトウェアの更新」「脆弱性対策」「ウイルス対策ソフトの導入」を実行すること。くわえて、「パスワードを使い回さない」「ワンタイムパスワード/二要素認証方式の利用」「データのバックアップ」に留意していただきたい。

（2014/03/19 ネットセキュリティニュース）

【関連URL：IPA】
・2014年版 情報セキュリティ10大脅威
http://www.ipa.go.jp/security/vuln/10threats2014.html
・2014年版情報セキュリティ10大脅威[PDF]
http://www.ipa.go.jp/files/000037151.pdf

◆グーグル、「Pwn2Own」報告の脆弱性を修正した「Google Chrome」の最新版公開（2014/03/17）

　グーグルは15日、複数の深刻な脆弱性を修正した「Google Chrome」の最新版を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。Windows、Mac、Linuxの最新版では4件、Android版では3件の脆弱性が修正されている。4段階評価の危険度は、いずれも最も高い「最高」。

　修正された脆弱性は、カナダのバンクーバーで先週開催されたセキュリティカンファレンス「CanSecWest 2014」で行われた、HP Zero-Dayイニシアチブ主催のハッキングコンテスト「Pwn2Own」で報告されたもの。2日間にわたって行われた今回のコンテストでは、Internet Explorer、Firefox、Safari、Adobe Flash、Adobe Readerといった主要なブラウザとプラグインが軒並み攻略されている。Chromeもまた、今回修正した脆弱性でサンドボックスを迂回され、コード実行に成功したと報告されている。

　最新版への更新は自動的に行われるほか、デスクトップ版ではGoogle Chromeのメニュー（右端のアイコン）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。更新後のバージョンは、Mac版とLinux版が「33.0.1750.152」、Windows版が「33.0.1750.154」となる。Android版は、数日以内にGoole Playで「33.0.1750.166」が入手できるとしている。

（2014/03/17 ネットセキュリティニュース）

【関連URL】
・Google Chrome Releases[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/03/stable-channel-update_14.html
・Chrome for Android Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/03/chrome-for-android-update.html
・Pwn2Own results for Wednesday (Day One)[英文]（Pwn2Own）
http://www.pwn2own.com/2014/03/pwn2own-results-for-wednesday-day-one/
・Pwn2Own results for Thursday (Day Two)[英文]（Pwn2Own）
http://www.pwn2own.com/2014/03/pwn2own-results-thursday-day-two/

◆アドビ、深刻な脆弱性を修正した「Shockwave Player 12.0.9.150」公開（2014/03/14）

　アドビシステムズは14日、深刻な脆弱性1件を修正した「Shockwave Player」の最新版「12.0.9.150」を公開した。対象となるのは、Windows版とMacintosh版の「12.0.7.149」およびそれ以前のバージョン。

　最新版では、メモリー破壊の脆弱性が修正された。コード実行につながるおそれのある危険なもので、悪用されるとシステムを乗っ取られる可能性がある。脆弱性の緊急度は4段階中で最も高い「critical」とされている。

　Shockwave Playerは、同社のオーサリングソフト「Director」で作成されたコンテンツを再生するプレーヤー。日本国内では、Flashコンテンツのようには普及していないため、インストールされていないパソコンも多い。

　Shockwave Playerがインストールされているかどうかは、下記の「Shockwave Playerのバージョン確認」ページで確認できる。このページのShockwave Playerのボックスでアニメーションが再生されない場合は、Shockwave Playerがインストールされていないので、プラグインのダウンロードやアップデートの必要はない。

　Shockwave Playerの最新版は、下記の「Shockwave Playerのダウンロード」ページで入手できる。

（2014/03/14 ネットセキュリティニュース）

【関連URL】
・Security update available for Adobe Shockwave Player［英文］
http://helpx.adobe.com/security/products/shockwave/apsb14-10.html
・Shockwave Playerのバージョン確認
http://www.adobe.com/jp/shockwave/welcome/
・Shockwave Playerのダウンロード
http://get.adobe.com/jp/shockwave/

◆グーグル、脆弱性7件を修正した「Google Chrome 33.0.1750.149」公開（2014/03/12）

　グーグルは12日、同社のWebブラウザ「Google Chrome」の最新安定版「33.0.1750.149」を公開した。対象となるのは、Windows、Mac、およびLinux。

　最新版では、クラッシュが起こる問題やバグが修正されたほか、7件の脆弱性が修正された。修正された脆弱性には、解放したメモリーの再利用など危険度の高いものも含まれている。

　このほかに、同梱のAdobe Flash Playerも最新の「12.0.0.77」に更新されている。

　最新版への更新は自動的に行われるほか、Google Chromeのメニュー（右端のアイコン）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。

（2014/03/12 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/03/stable-channel-update_11.html

◆アドビ、脆弱性2件を修正した「Flash Player」の最新版を公開（2014/03/12）

　アドビシステムズは11日、脆弱性2件を修正した「Flash Player」の最新版を公開した。対象となるのは、Windows版、Mac版、Linux版のFlash Player。

　更新後のバージョンはWindows版とMac版が「12.0.0.77」、Linux版が「11.2.202.346」となる。Flash Player 12系を利用できないWindowsとMac向けには、11.7系の最新版「11.7.700.272」が提供されている。

　最新版では、Same-Originポリシーが迂回される問題（CVE-2014-0503）、クリップボードの内容が読み取られる問題（CVE-2014-0504）の2件が修正されている。アドビはこれらの問題の緊急度を、4段階中で2番目に高い「Important」と位置付けている。

　システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルの「Flash Player」の[高度な設定]タブで確認できる。最新版は同社サイトで配布されている。

　Windows 8/8.1/RTに搭載されているInternet Explorer 10/11用のFlash Playerについては、Windows Updateを通じて最新版の「12.0.0.77」が配布されており、自動的に更新が行われる。Google Chrome用のFlash Playerについては、最新版の「12.0.0.77」を同梱した「Google Chrome 33.0.1750.149」が公開されており、こちらも自動的に更新される。

（2014/03/12 ネットセキュリティニュース）

【関連URL】
・APSB14-08：Security updates available for Adobe Flash Player［英文］（アドビ）
http://helpx.adobe.com/security/products/flash-player/apsb14-08.html
・Flash Playerのバージョン確認（アドビ）
http://www.adobe.com/jp/software/flash/about/
・Flash Playerのダウンロード（アドビ）
http://get.adobe.com/jp/flashplayer/
・マイクロソフトセキュリティアドバイザリ（2755801）Internet Explorer上のAdobe Flash Playerの脆弱性に対応する更新プログラム（マイクロソフト）
https://technet.microsoft.com/ja-jp/security/advisory/2755801
・Stable Channel Update［英文］（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/03/stable-channel-update_11.html

◆マイクロソフト、3月度の月例セキュリティパッチを公開（2014/03/12）

　マイクロソフトは12日、3月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。Windows、Windows Server、Internet Explorer、Silverlight 5（Mac版を含む）が影響を受ける。

　公開されたパッチは、深刻度が4段階評価で最も高い「緊急」2件と、次に高い「重要」3件の計5件。

【更新プログラムの内容】
＜緊急＞
・[MS14-012]Internet Explorer用累積パッチ：リモートコード実行の脆弱性
・[MS14-013]DirectShow：リモートコード実行の脆弱性

＜重要＞
・[MS14-014]Silverlight：セキュリティ機能バイパスの脆弱性
・[MS14-015]カーネルモードドライバー：特権昇格の脆弱性
・[MS14-016]Security Account Manager Remote（SAMR）プロトコル：セキュリティ機能バイパスの脆弱性

　このほか、Windows 8/8.1/RT/RT 8.1およびServer 2012/Server 2012 R2上のInternet Explorer 10/11に搭載されている「Adobe Flash Player」の更新プログラムと、新たに「Spacekito」「Wysotot」に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開された。

■[MS14-012]Internet Explorer用累積パッチについて

　このセキュリティ更新プログラムは、Internet Explorerの脆弱性18件を解決する。このうち1件の脆弱性は1月から悪用が始まっており、マイクロソフトではアドバイザリを公開して回避策を示すとともに、「Fix It」を提供していた。
　パッチ[MS14-012]の適用後は、実施していた回避策が不要となるので、元の状態に戻すことができる。「Fix it」を使用していた場合には、下記の「サポート技術情報 2934088」にある「無効にする」側のアイコン（マイクロソフト修正 51008）をダウンロード/実行すると元の状態に戻る。

（2014/03/12 ネットセキュリティニュース）

◆アップル、多数の脆弱性を修正した「iOS 7.1」を公開（2014/03/11）

　アップルは11日、同社のモバイル端末向けOSの最新版「iOS 7.1」を公開した。対象となるのは、iPhone 4以降、iPad 2以降、第5世代のiPod touch、iPad mini。

　最新版では、新機能の追加、機能の向上、バグの修正が行われたほか、22のコンポーネントで40件以上の脆弱性が修正された。悪用されるとコード実行につながるおそれのある、危険な脆弱性も多数修正されている。

　　レンダリングエンジン「WebKit」では、細工されたWebサイトで任意のコードが実行されるおそれがある問題を修正。画像処理の「ImageIO」や、「Office Viewer」においても、細工されたPDFファイルやTIFFファイルを閲覧したり、細工されたWordファイルを開いたりすることにより、任意のコードが実行されるおそれのある問題が修正されている。

　最新版への更新は、端末の「設定」アイコンから「一般」→「ソフトウェア・アップデート」と進むか、端末をパソコンに接続してiTunes経由で行う。

（2014/03/11 ネットセキュリティニュース）

【関連URL：アップル】
・About the security content of iOS 7.1［英文］
http://support.apple.com/kb/HT6162
・iOS 7.1［英文］
http://support.apple.com/kb/DL1732

◆XPサポート終了間近～MSが無償データ移行ツール提供、電話サポートも（2014/03/10）

　Windows XPのサポートが4月9日で終了する。XP搭載パソコンでは9日から、移行を促す通知が定期的に表示されるようになった。マイクロソフト（MS）ではまだXPを利用しているユーザーのために、データ移行ツールを無償提供すると発表した。Office搭載のWindows 8.1購入者を対象にした無償電話サポートも始まっている。

■移行を促すメッセージを毎月配信

　マイクロソフトでは9日から、Windows Updateからの通知を受け取るよう設定しているXPユーザーを対象に、移行の準備を進めるよう促すメッセージの配信を始めた。メッセージ内のリンクから、サポート終了に関する情報を集めた同社のWebサイトに行けるようになっている。

　メッセージではサポート終了日が「4月8日」とされているが、これは全世界統一で米国時間でのサポート終了日を表示しているため。日本でのサポート終了日は4月9日だ。メッセージは今後、毎月9日に表示される。

・Windows XP サポート終了に関する通知およびデータ移行ツールの提供（The Official Microsoft Japan Blog）
http://blogs.technet.com/b/microsoft_japan_corporate_blog/archive/2014/03/04/windows-xp.aspx

■データ移行ツールを無償提供～XPからWindows 8.1/ 8へデータ移行可能

　Windows XPパソコンから、Windows 8パソコン、またはWindows 8.1パソコンへデータを移行するためのツール「ファイナルパソコンデータ引越し eXPress」の無償提供がまもなく始まる。同ツールを使うと、メール、アドレス帳、お気に入り、音楽ファイル、個人作成データなどを転送できる。

　一般ユーザーがこれからパソコンを購入する場合、その多くはWindows 8.1パソコンだろう。Windows 8.1付属の「Windows転送ツール」は XPからの移行に対応していないため、XPから8.1に乗り換える場合、これまでは移行ツールを自分で購入するか、移行ツールが付属したパソコンを選ぶ、業者に移行を依頼するといった対応が必要だった。移行ツールの無料提供は、8.1にこれから乗り換える人には朗報だ。

　「ファイナルパソコンデータ引越し eXPress」は、今月中に「WindowsXP.com」からダウンロードできるようになる予定。

・Windows XP サポート終了に関する通知およびデータ移行ツールの提供（The Official Microsoft Japan Blog）
http://blogs.technet.com/b/microsoft_japan_corporate_blog/archive/2014/03/04/windows-xp.aspx

■「Office搭載パソコン乗り換えサポート窓口」開設～無償で電話サポート

　XPパソコンから「Windows 8.1とOffice 2013が搭載されたパソコン」へ買い替えた人を対象に、データ移行方法や初期設定に関して電話で無償サポートする「Office搭載パソコン乗り換えサポート窓口」が3日から開設されている。対象は、Windows XPパソコンを持っており、2014年3月3日～5月18日の期間に「Windows 8.1とOffice 2013が搭載されたパソコン」を新規購入した人。

　5月31日まで、期間中無休で午前9時30分～午後6時まで利用できる。最新パソコンへの移行にあたって不明な点や、不安を感じる部分について、わかりやすくかつ具体的に説明するという。専用Webサイト「安心して買い替えよう！新しいパソコンへの乗り換えサポート」も開設されている。図をたくさん使ってわかりやすく乗り換え手順が説明してあるので、まずサイトに沿って作業を進め、不明な点があれば電話サポートを受けるといいだろう。

・安心して買い替えよう！新しいパソコンへの乗り換えサポート（マイクロソフト）
http://www.microsoft.com/ja-jp/office/pipc/eos/default.aspx
・Office搭載パソコン乗り換えサポート窓口（マイクロソフト）
http://www.microsoft.com/ja-jp/office/pipc/eos/support/default.aspx
・Windows XP 搭載パソコンからの「Office 搭載パソコン乗り換えサポート窓口」を開設（マイクロソフト）
http://www.microsoft.com/ja-jp/news/Press/2014/Mar14/140303_support.aspx

（2014/03/10 ネットセキュリティニュース）

【関連URL】
・Windows XP/Office 2003 サポート終了のお知らせ （マイクロソフト）
http://www.microsoft.com/ja-jp/windows/lifecycle/xp_eos/consumer/default.aspx

◆マイクロソフト、3月の月例パッチは「緊急」2件「重要」3件（2014/03/07）

　マイクロソフトは7日、今月12日に公開を予定しているセキュリティ更新プログラム（修正パッチ）の概要を発表した。リリース予定の修正パッチは、4段階評価で深刻度が最も高い「緊急」2件、2番目に高い「重要」3件の計5件。

　「緊急」の脆弱性は、Internet Explorerに（IE）影響する問題と、RT以外の全てのWindowsに影響する問題。どちらもリモートからコードを実行されるおそれのあるもので、ゼロデイ攻撃に悪用されているIEの脆弱性も修正予定だという。

　「重要」の脆弱性は、全てのWindowsに影響する特権昇格の問題、Windows XP/Vistaおよび同世代のWindows Serverに影響するセキュリティが迂回される問題、Mac用およびWindows用のSilverlight 5に影響するセキュリティが迂回される問題、の計3件。

　このほかに「Windows Update」「Microsoft Update」などで、セキュリティ以外の優先度の高い更新プログラムと、「悪意のあるソフトウェアの削除ツール」の更新バージョンのリリースが予定されている。

（2014/03/07 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・マイクロソフト セキュリティ情報の事前通知 - 2014 年 3 月
http://technet.microsoft.com/ja-jp/security/bulletin/ms14-mar
・マイクロソフト セキュリティ アドバイザリ (2934088)Internet Explorer の脆弱性により、リモートでコードが実行される
http://technet.microsoft.com/ja-jp/security/advisory/2934088

◆不正ログイン（リスト型攻撃）被害相次ぐ～なりすまし投稿や不正購入多発（2014/03/06）

　先月末、大手サービスの不正ログイン被害が相次ぎ明らかになった。SNSの「mixi」、およびソフトバンクモバイルのユーザー向けWebサイト「My Softbank」でアカウント情報が突破され、怪しいURL記載の投稿や不正購入が多発した。また、不正ログインとは異なるが、光文社のECサイトが不正アクセスを受け、カード情報が漏えいした。

■mixiで不正ログイン約1万7000件、危険な「つぶやき」投稿多発

　ミクシィは2月28日、運営するSNS「mixi」に対し、外部から不正ログイン攻撃（リスト型）があったことを明らかにした。攻撃が行われたのは2月28日午前2時45分から午後2時で、28日午後5時現在で確認されている不正ログインIDは1万6972件。アカウント情報がのっとられたIDで、「mixiボイス」で身に覚えのない投稿がなされた。投稿内容は、不審なURLを示し、試用版のダウンロードを促すものとなっている。
　調査の結果、この不正ログインは同社サーバーへの不正アクセスによるアカウント情報流出ではなく、他社サービスから流出または不正取得されたアカウント情報が使われた可能性が高いという。同社は不正なつぶやきを削除し、該当ユーザーへパスワード変更を依頼、不正利用者のアクセス制限を実施するとともに、全ユーザーに対し、ログインメールアドレスとパスワードの厳重な管理を呼び掛けた。他社サービスと同じパスワードを使用している場合、長期間パスワードを変更していない場合は、変更を強くすすめている。
・mixiへの不正ログインに関するお知らせ（ミクシィ）
http://mixi.co.jp/press/2014/0228/12151/

■My SoftBankに不正ログイン344件、「iTunesコード」不正購入の被害多発

　ソフトバンクモバイルは2月28日、ユーザー向け専用サイト「My SoftBank」に対し、外部から不正ログイン攻撃（リスト型）があったことを明らかにした。攻撃が行われたのは2月24～25日で、確認されている不正ログインIDは344件。該当顧客の個人情報（氏名、携帯電話番号、固定電話番号、契約内容、利用状況）が流出した可能性がある。カード番号や銀行口座などの信用情報、および住所は流出していない。漏えいした個人情報を悪用して不正なコンテンツ購入が行われた可能性があり、ネットには「iTunesコード」が勝手に購入され請求が来ているという訴えが多数書き込まれている。
　調査の結果、同社サーバーからのID/パスワード漏えいは確認されず、外部で盗まれたと考えられるIDやパスワードをもとにリスト型攻撃が行われたことがわかった。同社は該当顧客に対して個別に連絡し、パスワードリセット処理を実施。身に覚えのない課金など不自然な点があれば、同社へ問い合わせるよう案内している。また、全ユーザーに対し、パスワードの定期的変更、利用サイトごとの複雑なパスワード設定を行うよう呼びかけている。
・お客さまへのMy SoftBankパスワード管理のお願いと不正アクセスへの対応について（ソフトバンクモバイル）
http://www.softbank.jp/corp/group/sbm/news/info/2014/20140228_01/

■光文社のECサイト：1160件のカード情報漏えいの可能性

光文社は2月28日、伊藤忠ファッションシステムと提携して運営する3つのECサイト「kokode.jp KOBUNSHA SELECT SHOP」、「女性自身百貨店」、「Mart SELECT SHOP」が不正アクセスを受け、顧客のカード情報が漏えいした可能性があると発表した。今年1月にカード会社から連絡を受けて調査を行った結果、その可能性が高いことが判明した。攻撃者は外部からシステムへ侵入し、クレジットカード情報が外部へ送信されるようにプログラムを改ざんしていた。最大1160件のカード情報（番号、名義人名、有効期限、セキュリティコード）が漏えいした可能性がある。対象となるのは、2013年12月29日から2014年1月21日の間に上記ECサイトでカード決済をした顧客で、同社は該当者に対し個別メールで連絡している。ECサイト会員は、ログイン後のMYページで該当の有無を確認できる。同社は、カードの利用明細を確認し、心当たりのない請求があった場合、利用したカード裏面に記載の電話番号に連絡するよう案内している。
・お客様のクレジットカード情報漏えいの可能性に関するご報告とお詫び[PDF]（光文社）
http://www.kobunsha.com/news/pdf/release_20140228.pdf

（2014/3/06 ネットセキュリティニュース）

◆グーグル、深刻な脆弱性を修正した「Google Chrome 33.0.1750.146」公開（2014/03/05）

　グーグルは4日、同社のWebブラウザ「Google Chrome」の最新安定版「33.0.1750.146」を公開した。対象となるのは、Windows、Mac、およびLinux。

　最新版では、開放したメモリーを再使用してしまう問題や、ヒープベースのバッファオーバーフローを引き起こす問題など、悪用されるとリモートからコードが実行されるおそれのある危険な問題を含む、計19件の脆弱性が修正された。

　最新版への更新は、自動的に行われるほか、Google Chromeのメニュー（右端のアイコン）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。

（2014/03/05 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/03/stable-channel-update.html

◆ファイル共有ソフトによる著作権法違反に注意～警察庁が33人を検挙（2014/03/04）

　警察庁は2月28日、ファイル共有ソフト等を使用した著作権法違反事件の一斉集中取り締まりを実施し、33人を検挙したと発表した。これを受けて著作権を管理する8団体は3月3日、警察庁はじめ関係各省庁と連携しつつ、著作権侵害行為を防ぐ活動を続けていくとの声明を出した。

　警察庁発表によると、全国の45都道府県警察は、ファイル共有ソフト等を通じた、映画、音楽、アニメ、漫画、ゲーム、ビジネスソフト等の著作権法違反事件について、2月25日から27日までの間、一斉集中取締りを実施した。この一斉集中取締りは、2009年から始まり、今年で5回目となる。今回は全国で123か所を捜索し、33人を検挙した。

　著作権を管理する8団体（下記）は、この一斉取締りを受け、今後もファイル共有ソフトを用いた著作権侵害行為の防止に向けた活動を推進していくと発表した。

・不正商品対策協議会（ACA）
http://www.aca.gr.jp/
・コンピュータソフトウェア著作権協会（ACCS）　
http://www2.accsjp.or.jp/criminal/2013/1138.php
・日本映画製作者連盟 (MPAJ)
http://www.eiren.org/
・日本映像ソフト協会（JVA）
http://www.jva-net.or.jp/news/news_140303/cover.pdf
・日本音楽著作権協会(JASRAC)
http://www.jasrac.or.jp/release/14/03_1.html
・日本国際映画著作権協会（JIMCA）　
http://www.jimca.co.jp/news/#201403030
・日本レコード協会（RIAJ）
http://www.riaj.or.jp/
・ザ・ソフトウェア・アライアンス(BSA)
http://bsa.or.jp/

　コンピュータソフトウェア著作権協会（ACCS）は33人のうち9人について、日本音楽著作権協会(JASRAC)は同じく5人について、被疑者の所在地と年齢、ファイル共有ソフトの種類、著作権侵害を受けたコンテンツの種類などを明らかにしている。

　ACCSが関連する9件の内訳は、「Share」7件、「Winny」1件、「PerfectDark」1件で、著作権が侵害されたコンテンツはアニメ5件、ゲーム（PSP）1件、漫画3件。JASRACが関連する5件は、「Cabos」4件、「Share」1件で、J-POP楽曲の音楽ファイルや、プロモーションビデオの動画ファイル等を大量にアップロードしていた。

　警察庁は、「インターネットを利用される皆様へ」として、「著作権者に無断で、音楽、映画、アニメ、ゲームソフトなどの著作物をファイル共有ソフトの利用者が自由にダウンロードできる状態にする行為は、著作権法違反」になるとして、違法行為を行わないよう注意を呼びかけている。

（2014/03/04 ネットセキュリティニュース）

【関連URL】
・ファイル共有ソフト等を利用した著作権法違反事件の一斉集中取締りの実施について[PDF]（警察庁）
http://www.npa.go.jp/cyber/warning/h26/140228.pdf
・ファイル共有ソフト等を使用した著作権法違反事件一斉集中取締りの実施について（ACAほか計8社連名）
http://www.aca.gr.jp/
・ファイル共有ソフト「Cabos」および「Share」を用いた著作権侵害音楽ファイルの違法アップロード者5名を逮捕（JASRAC）
http://www.jasrac.or.jp/release/14/03_2.html
・ACCS担当事件一覧（ACCS）
http://www2.accsjp.or.jp/criminal/pdf/140303.pdf