ネットセキュリティニュース

◆マイクロソフト、IEの「SSL 3.0」無効化する「Fix it」公開（2014/10/31）

　マイクロソフトは30日、Internet Explorer（IE）の「SSL 3.0」を無効にする設定を自動的に行う、「Fix it」を公開した。

　「SSL 3.0」は、暗号化通信に用いられる古い手順のひとつ。この「SSL 3.0」には、暗号を解読されるおそれのある問題があり、この問題が公になった今月15日頃から、関連企業や機関が注意を呼びかけ、ネットニュースでも盛んにとり上げられていた。プードル（POODLE：Padding Oracle On Downgraded Legacy Encryption）と呼ばれている問題がそれだ。

　「SSL 3.0」は、現在はほとんど使用されないが、互換性のために今もなお広くサポートされており、通信の途中に割り込み、これを選択させて攻撃を行う。実際に攻撃を成功させるためには、高いハードルを超えなければならず、不特定の相手からは得られるものの少ない、割に合わない攻撃であり、一般の方がこの悪用攻撃を受け何らかの被害が発生する可能性は、ほとんどないと思われる。

　攻撃は、Webサーバーなどのサーバー側と、ブラウザなどのクライアント側の双方が「SSL 3.0」に対応している場合にのみ成立する。したがって、どちらか一方が無効にしていれば、攻撃されることはない。

　マイクロソフトが今回公開した「Fix it」は、IEの「SSL 3.0」を無効にする。Fix itを適用するには、下記「サポート技術情報 3009008」のページにある「Fix it」アイコンの左側、「Disable SSL 3.0 in Internet Explorer」側のアイコン（Microsoft Fix it 51024）をダウンロード/実行する。「Restore the original settings of SSL 3.0 in Internet Explorer」と書かれた右側のアイコン（Microsoft Fix it 51025）をダウンロード/実行すると、適用する前の元の状態に戻す。

（2014/10/31 ネットセキュリティニュース）

【関連情報】
・セキュリティアドバイザリ 3009008：SSL 3.0 の脆弱性により、情報漏えいが起こる（マイクロソフト）
https://technet.microsoft.com/ja-jp/library/security/3009008
・サポート技術情報 3009008（マイクロソフト）
https://support.microsoft.com/kb/3009008/ja
・SSL 3.0 の脆弱性対策について(CVE-2014-3566)（IPA）
http://www.ipa.go.jp/security/announce/20141017-ssl.html

◆もうひとつのフィッシング被害～不正アクセス受け偽サイト設置（2014/10/30）

　フィッシングといえば、偽サイトに誘導されアカウント情報などをだまし取られてしまう被害ばかりに目が行きがちだが、管理サイトが不正アクセスを受け、勝手に偽サイトを置かれてしまうという別の被害にも注目したい。

　不正アクセスを受けたとみられる国内のWebサイトに設置されたフィッシンサイト本体の数は、筆者が今年に入ってから確認したものだけでも500件近くある。サイトの利用者には直接影響が及ばないためか、ほとんど公表されることはないが、相当数のWebサイトが被害にあっている。そんな中から、数少ない最近の公表事例をご紹介する。

■「産経health」に「Yahoo!」「Goole」「AOL」の偽サイト

　産経新聞社は10月29日、同社が運営する医療・健康情報サイト「産経health（ヘルス）」が外部から書き換えられていた可能性が高いとして、同サイトを閉鎖した。同サイトの管理委託先から連絡を受けて発覚したもので、ネット上では前日の深夜、「同サイトにフィッシング詐欺ページがたくさん作成されている」との報告があがっていた。編集部で調査したところ、26日夜から29日未明にかけ、「Goole」と「AOL」の偽サイトが各1セットと、「Yahoo!」の偽サイトが11セット設置されていた。
　偽サイトはいずれも英語版で、アカウント情報のみをだまし取ろうとする単純なもの。国内のユーザーにフィッシングメールが送られたという報告はなく、海外で行われたフィッシングの偽サイトとみられる。原因や被害の状況については現在同社が調査を進めている段階だが、偽サイトはWordPressの階層下に置かれており、WordPressがらみの問題で設置された可能性がある。

＜関連URL：産経新聞社＞
・医療・情報サイト「産経health」を閉鎖しました[PDF]
http://sankei.jp/pdf/20141029_health.pdf

■防災科学技術研究所の「防災コンテスト」に「PayPal」の偽サイト

　独立行政法人・防災科学技術研究所は8月11日、「防災コンテスト」の参加者申し込みサイトにフィッシングサイトが置かれていたことを公表。その後の調査結果を9月9日に公表した。同サイトに「PayPal」の偽サイトが設置されていることは、8月9日に判明した。偽サイトは、英語版のログインページに続いて、クレジットカード情報を入力させようとするもので、海外のフィッシングに使われたものとみられる。その後の調査で、参加者申し込みサイトの一部で利用していた外部ライブラリに脆弱性があったことが確認され、同研究所は、これを悪用してフィッシングサイトを設置したものとみている。

＜関連URL：防災科学技術研究所＞
・緊急メンテナンスについて
http://risk.bosai.go.jp/maintenance.html
・本件に関するプレスリリース（第一報：8/11付）[PDF]
http://www.bosai.go.jp/press/2014/pdf/20140811_01.pdf
・本件に関するプレスリリース（第二報：9/9付）[PDF]
http://www.bosai.go.jp/press/2014/pdf/20140909_01.pdf

■国内ISPのアクセス回線に「Facebook」の偽サイト

　フィッシング対策協議会は10月7日、「Facebook」をかたるフィッシングサイトが稼働しているとして注意を呼びかけた。この偽サイトは、国内ISPのアクセス回線上で、遅くとも今月4日には稼働していた。偽サイトがアクセス回線上に設置される同様のケースには、10月29日朝まで稼働していた「三菱東京UFJ銀行」の偽サイトがあるが、同行のフィッシングと違い、国内のユーザーにフィッシングメールが送られた報告はなく、偽サイトも日本語化されていない。海外のフィッシングで使用された偽サイトの残骸が、同協議会に報告されたのだろう。偽サイトは、10月25日まで稼働を続けたが、その間もフィッシングが行われたという報告はあがっていない。
　同協議会の注意喚起にはこうした事情は記載されておらず、通常のフィッシングと同様のアカウント情報を入力しないよう呼びかけるものだったが、誘導されない偽サイトに危険性はない。これもまた産経新聞社や防災科学技術研究所と同じく、設置されることに注意する事案である。
　回線を管理するISPからは、原因等についての報告は特にない。考えられるのは、攻撃者グループの一員が自ら行っているケースと、ウイルスに感染したパソコンが外部から操られているケース、自宅に設置したサーバーが不正アクセスされたケースである。

＜関連URL：フィッシング対策協議会＞
・Facebook をかたるフィッシング (2014/10/07)
https://www.antiphishing.jp/news/alert/facebook_20141007.html

■原因究明と対処を――脆弱性の悪用か、管理アカウントの漏えいか

　Webサイトなどに意図しない偽サイトが置かれてしまった場合には、何らかの問題が発生しているはずなので、原因を究明し対処する必要がある。公開サイトや自宅サーバーが不正アクセスを受けるケースでは、サイトの脆弱性が悪用されていないか、管理アカウントが破られていないかに注意する。前者は、最新版に更新するなどして、脆弱性を修正するのが急務だ。後者は、ウイルス感染やフィッシングなどでアカウントを窃取されていないか、安易なパスワードが破られていないかといったことに注意し、パスワードを変更することで対処する。管理アカウントがウイルスに窃取されている場合には、感染パソコンでパスワード変更を行わないよう、くれぐれも注意していただきたい。

　不正アクセスの手段として意外と多いのが、WordPressなどのコンテンツ管理システムの管理アカウントが、初期設定のまま使われているケースだ。使用していないにも関わらずインストールだけ行われているサイトをしばしば見かける。使用するつもりなら、設定や管理、その後の更新などを正しく行い、使用しないのであれば、すみやかに停止する必要がある。

　ウイルスの中には、感染すると外部からパソコンを操作されてしまうタイプのものがある。数年前には、この手のウイルスに感染し、勝手にフィッシングサイトにしてしまう大規模な攻撃が行われ、国内でも悪用されるパソコンが続出した。最近はそうした大規模なものは聞かないが、パソコンを遠隔操作されてしまうと、偽サイトを勝手に開設されてしまうことがある。悪用されないようにするためには、日頃からのウイルス対策が重要だ。
（2014/10/30 ネットセキュリティニュース）

◆アカウントやカード情報狙うフィッシング横行、銀行とゲームが標的に（2014/10/29）

　実在する企業やサービスなどを装う偽のWebサイトに誘導し、アカウント情報やクレジットカード情報などをだまし取ろうとするフィッシングメールが、不特定多数のユーザーに送られている。直近に行われた、オンラインバンキングとオンラインゲームのフィッシングをご紹介する。オンラインゲームの偽サイトは29日15時現在も稼働しており、注意が必要だ。

■三菱東京UFJ銀行をかたるフィッシング

　同行のログインページを模した偽サイトに誘導し、オンラインバンキングのアカウント情報と、取引に必要な乱数表の数字を全て入力させようとするフィッシングが、昨年11月から断続的に続いている。

　今年9月からの攻撃が今月初めにいったん途絶えた後、今月19日から再びフィッシングメールが飛来している。メールは、「メールアドレスの確認」「本人認証サービス」といった件名で不特定多数に送られており、アカウントの認証と称してリンクをクリックさせようとする。メールに記載されたリンクは、見た目を公式サイトのURLに偽装しているが、クリックすると直接、または不正アクセスを受けた一般のWebサイトを経由して、本物そっくりに作られた偽のログインページを開く。

　EV SSLに対応している本物のログインページは、アドレスバーの横に銀行名（The Bank of Tokyo-Mitsubishi UFJ, Ltd.）が緑色で表示されるが、偽サイトには表示されないので、ここをチェックすれば本物と偽物が一目で分かる。

　偽サイトのURLには、見た目を似せるために本物のサイトのドメイン名「ｍｕｆｇ．ｊｐ」が織り込まれているが全くの別物だ。19日以降の攻撃では、URLに次のようなパターンのホスト名が使用されている。

　ｂｋ．ｍｕｆｇ．ｊｐ．●●●．ｃｎ．ｃｏｍ
　ｂｋ．ｍｕｆｇ．ｊｐ．●●●．ｐｗ
　ｂｋ．ｍｕｆｇ．ｊｐ．●●●●．ｃｃ
　ｂｋ．ｍｕｆｇ．ｊｐ．●●●●．ｃｏ．ｉｎ
　ｂｋ．ｍｕｆｇ．ｊｐ．●●●●●．ｃｏｍ

　ホスト名は、Webサイトにアクセスするために使用する名前のこと。ブラウザのアドレスバーに表示されるURLの「//」から最初の「/」までがそれだ。ドメイン名は、「/」の直前の部分で、この例でいう●以降の部分がそれだ。これらドメイン名は、誰でも取得することができ、Webサイトなどに使用することができる。同行のフィッシングでは、攻撃者が連日新しいドメイン名を取得し、偽サイトに新しいホスト名を割り当てながら攻撃を続けて来た。19～28日間に偽サイトに使われたドメインは、筆者が確認したものだけでも40種類。うち6種類が今朝（10月29日朝）まで有効だったが、昼前から全てアクセスできなくなっている。休止するか続行するかは、現時点では分からないので、今後も警戒を続けていただきたい。

　EV SSLの銀行名表示、アドレスバーに表示されるドメイン名、ログイン直後に乱数表の数字を1行（10桁）ずつ全て入力させようとするあり得ない挙動など、要所要所に注意を払えば、たとえフィッシングメールに騙されても、偽物に気付くことができるはずだ。

＜関連URL＞
・【インターネットバンキング】パスワード等を入力させる偽メールが届いても、絶対に入力しないでください！（平成26年10月20日更新）（三菱東京UFJ銀行）
http://www.bk.mufg.jp/info/phishing/20131118.html
・[10/21 更新]三菱東京UFJ銀行をかたるフィッシング(2014/09/19)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/ufj20140919.html
・三菱東京UFJをかたるフィッシングメールにご注意ください（キヤノンITソリューションズ）
http://canon-its.jp/eset/malware_info/news/141024/

■スクウェア・エニックスをかたるフィッシング

　ドラゴンクエストⅩプレイヤー専用サイト「目覚めし冒険者の広場」のログインページを模した偽サイトに誘導し、アカウント情報と生年月日を入力させようとするフィッシングは、三菱東京UFJ銀行のフィッシングの半年前から断続的に続いている。一時期は、同じサーバー上に偽サイトが開設されていたこともある。

　今年8月中旬に行われた攻撃以降、しばらく途絶えていたが、「常確認のお願い」という件名のメールが27日から飛来している。「常確認」は、「異常確認」の間違いと思われるが、以前からこの状態。「安全確認」や「アカウント確認」などのバリエーションもこれまでに使われている。

　今回送られているフィッシングメールは、アカウントが取引に利用されているおそれがあるので確認するよう促し、リンクをクリックさせようとする。リンクは、見た目を公式サイトのURLに偽装しているが、クリックすると公式サイトのドメイン「square-enix.com」とは全く異なるドメインの偽サイトへと誘導し、本物そっくりに作られた偽のログインページを開く。

　偽サイトのURLには、「目覚めし冒険者の広場」のホスト名「ｈｉｒｏｂａ．ｄｑｘ．ｊｐ」を織り込んだ次のようなホスト名が使われており、「●●」を変えた多数のホスト名が投入されている。（●は任意のアルファベット1文字）

　ｈｉｒｏｂａ．ｄｑｘ．ｊｐ．●●．ｖｉｐａｍｃ．ｃｏｍ

　偽サイトは、10月29日15時現在も稼働している。攻撃者のこれまでの攻撃パターンからは、攻撃が単発で終わらず継続する可能性があるので、しばらくの間は警戒を続けていただきたい。

　同社の管理サイトには複数のログインページがあるが、いずれもSSLに対応しているので、ブラウザに錠前マークが表示される。スクウェア・エニックスアカウント管理システムの場合には、EV SSL対応なので、アドレスバーの横に同社の社名（SQUARE ENIX CO., LTD.）が緑色で表示される。

＜関連URL＞
・フィッシング詐欺サイトへ誘導するメールやメッセージにご注意ください（スクウェア・エニックス）
http://www.jp.square-enix.com/info/1308_attention.html
・[10/28 更新] スクウェア・エニックス （ドラゴンクエスト X） をかたるフィッシング (2014/06/11)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/square_enix20140611.html

（2014/10/29 ネットセキュリティニュース）

◆上半期のネットバンキング被害は1166件・17億1400万円（金融庁）（2014/10/28）

　金融庁は23日、本年度第1四半期（4～6月）のインターネットバンキング不正払戻し被害の発生状況を取りまとめた。この調査は、全国銀行協会の同様の調査よりも対象が多く、警察庁がまとめた不正送金被害の発生状況とよく似た結果を示している

　インターネットバンキングの不正払戻しは、ウイルスなどによる不正送金被害が広がった2013年6月頃から急増し、昨年度の第4四半期（2014年1～3月）には、被害件数677件、被害金額9億4200万円と、ともに四半期ベースでの過去最悪を記録している。本年度第1四半期は、被害件数489件、被害金額7億7200万円と、最悪だった前期から回復を見せるも、依然として被害はハイペースで増え続けている。

　金融庁の集計は、4月～3月末を1年としているので、現状は、過去最悪だった昨年度からようやく回復の兆しが見え始めたといったところだろうか。先に出された警察庁のまとめも同じような傾向を示しているが、1～12月が1年であるため、少々印象が異なるかもしれない。

　今回の金融庁の調査結果を警察庁の集計期間に揃えると次のようになる。1～12月の通年では、間違いなく過去最悪の1年になってしまうことだろう。

期間　　　　　金融庁／警察庁
2014年上半期　1166件（17億1400万円）／1254件（18億5200万円）
2013年下半期　1093件（11億円）／1098件（11億9300万円）
2013年上半期　229件（2億4100万円）／217件（2億1300万円）

■改善する被害と悪化する被害

　第1四半期から第2四半期にかけての回復傾向は、被害の中心だった個人口座と主要行の被害改善によるところが大きい。個人口座の被害件数は、前四半期の634件から434件（68.5％）、被害金額は7億7900万円から4億6300万円（59.4％）へと減少。主要行の被害件数は、前四半期の639件から416件（65.1％）、被害金額は7億8500万円から4億6200万円（58.9％）へと減少しており、かなり改善されたことが分かる。

　ところが、法人口座と主要行以外（地銀や信金）の被害に目を向けると、状況は一変する。法人口座の被害件数は、前四半期の43件から55件（127.9％）へ、被害金額は1億6200万円から3億900万円（190.7％）へと増加。主要行以外の被害件数は、前四半期の38件から73件（192.1％）へ、被害金額は1億5700万円から3億1000万円（197.5％）へと増加と、大幅に悪化しているのだ。

　この数字の変化は、地方の企業に被害が広がっていることを示している。本四半期の個人口座の平均被害額106万円に対し、法人口座は562万円と被害額が大きくなる傾向にある。今後の動向次第では、せっかく見えはじめた回復の兆しが台無しになってしまうかもしれない。

（2014/10/28 ネットセキュリティニュース）

【関連URL】
・偽造キャッシュカード等による被害発生等の状況について（金融庁）
http://www.fsa.go.jp/news/26/ginkou/20141023-3.html
・平成26年上半期のインターネットバンキングに係る不正送金事犯の発生状況等について[PDF]（警察庁）
http://www.npa.go.jp/cyber/pdf/H260904_banking.pdf

◆「LINE」から「Skype」へ、広がる電子マネー購入詐欺（2014/10/27）

　無料の通話・メッセージアプリ「LINE（ライン）」上で、5月頃から多発している電子マネー購入詐欺が、同種のアプリ「Skype（スカイプ）」上にも波及してきたようだ。ネット上では先週から、Skypeでの被害が相次ぎ報告されている。

　電子マネー購入詐欺は、LINEのアカウントを乗っ取った犯人が本人になりすまし、登録されている友人にメッセージを送り、コンビニで電子マネー（WebMoneyやiTunesカード）の購入を依頼するもの。電子マネーは、プリペイドカードの形で販売されており、カードに記載されている番号を使用して額面の金額をユーザーのウォレット（財布）にチャージする仕組みになっている。犯人はこの番号を送るよう指示し、電子マネーをだまし取ろうとする。LINEからは、乗っ取られたアカウント数などの公式発表は無いが、被害総額は数千万円規模にのぼる（都道府県警の報道発表を集計）。

　先週から相次いで報告されているのは、この手口を場所をSkype上に移してなぞったもの。なりすました犯人からは、「今都合がいいですか？」などというメッセージが届き、これに答えると、「近くのコンビニでiTunesカードを買って頂けませんか？」というような購入依頼がくるそうだ。このような電子マネーの購入依頼が来た場合には、なりすましの可能性を疑い、必ず電話などの別の手段を使って本人に確認していただきたい。

■アカウント乗っ取り対策を

　Skypeのアカウントが乗っ取られてしまった原因については、確かなことは分かっていないが、ウイルス感染やフィッシング、覗き見などのソーシャルエンジニアリング的な手法によるアカウント情報（ID/パスワード）の窃取、他社から流出したアカウント情報のリストを使った不正ログイン攻撃などが考えられる。特に最近は、最後のリスト攻撃による不正ログインが頻発しているので、推測されることのない強固なパスワードを、他社と重複しないように設定するよう心がけたい。

　Skypeの場合には、Skype本来のアカウント（Skype名とパスワード）のほかに、MicrosftアカウントやFacebookのアカウントと連携させることもできる。連携している場合には、連携しているアカウントが破られると、Skypeも悪用されてしまうので、それぞれのアカウントについて、問題が発生していないかどうか確認していただきたい。

（2014/10/27 ネットセキュリティニュース）

【関連記事：ネットセキュリティニュース】
・止まない不正ログイン、二次被害続く「LINE」～原因を知って対策を（2014/06/25）
・不正ログイン（リスト型攻撃）相次ぐ～パスワードの使い回しに注意（2014/06/18）

◆第3四半期のウイルス・不正アクセス届出状況～パスワード管理に注意（IPA）（2014/10/24）

　IPA（情報処理推進機構）は24日、第3四半期（7～9月）のウイルスおよび不正アクセスの届出状況、相談受付状況について発表した。

　ネットバンク不正送金に悪用される不正プログラム「Bancos」の検出数は減少し、不正サイトにリダイレクトさせる「Redirect」が急増、偽セキュリティソフト「Fakeav」も増加した。不正アクセスでは不正ログインによる被害が目立ち、IPAはパスワードの適切な設定と管理の重要性を訴えている。

■ウイルス/不正プログラム検出状況：「Redirect」急増、「Bancos」減少

　ウイルス検出数は、前期（2014年第2四半期）の1万7474個から1万9648個へ、2174個（約12％）増加した。最も検出数が多いウイルスは W32/Netsky（8395個）で、増加が目立つのは W32/Bagle（2384個）と W32/Mytob（1796個）だ。W32/Bagle は前期から約365％、 W32/Mytobは同約139％増加している。いずれもメールに添付して拡散するウイルスで、メールを使って大量にばら撒かれていると考えられるという。

　不正プログラム検出数は、前期の7万3741個から9万8345個へ、2万4604個（約33％）増加した。増加の主要因は、不正サイトにリダイレクトさせる「Redirect」と、偽セキュリティソフト「Fakeav」の増加だ。Redirectは、9月の検出数（1万1997個）だけで前期の検出数（7196個）を上回った。急増の理由は不明だが、不正サイトに誘導後、別のウイルスに感染させることが目的と考えられるという。

　Redirect はウイルス/不正プログラムを合わせた検出数でも第1位となっている。前期の検出数最多はネットバンキングのログイン情報を窃取する不正プログラム「Bancos」だが、今期の検出数（5540個）は前期（1万6086個）から約66％減少となった。

■不正アクセス届出状況：不正ログインによる被害目立つ

　不正アクセス届出総数は27件で、前期（37件）より約27％減少した。内訳は、「DoS」6件、「なりすまし」7件、「侵入」3件、「不正プログラム埋込」1件など。 「なりすまし」のうち2件は、オンラインゲームへの不正ログインで、そのうち1件ではゲーム内の課金アイテムを不正購入され、金銭被害が発生した。また、スパムメール送信の踏み台とされる被害は5件あり、うちアカウント情報の不正利用による被害が3件あった（ほか2件はメーリングリストやWebコンテンツ管理システムの脆弱性悪用による）。その他、Web改ざんやパスワードリスト攻撃による被害の届出もあり、不正ログインを原因とする被害が散見された。

　こうした不正ログインによる被害を防ぐには、パスワードの適切な設定と管理が重要であるとして、IPAは「推測が容易なパスワードを設定していないか」「パスワードを使い回していないか」など、いま一度パスワードの適切な設定と管理方法を確認するよう推奨している。

■相談受付状況：最多は「ワンクリック請求」、ネットバンク関連は減少

　ウイルス・不正アクセス関連の相談総件数は4044件で、前期の4426件より約9％減少した。相談員による対応件数は1637件で、うち最も多いのは「ワンクリック請求」903件だった。その他「ソフトウェア購入を促し、クレジットカード番号等を入力させる手口」に関する相談が122件、「スマートフォン」に関する相談が272件など。「インターネットバンキング」関連相談は前期67件から15件に減少した（うち不正画面を表示するウイルス感染に関するものは9件で、前期44件から約80％減少）。身代金型ウイルス「ランサムウェア」は前期14件から3件に減少した。

（2014/10/24 ネットセキュリティニュース）

【関連URL】
・「コンピュータウイルス・不正アクセスの届出状況および相談状況 [2014年第3四半期（7月～9月）]」を公開しました。 (2014-10-24 12:38)
http://www.ipa.go.jp/security/txt/2014/q3outline.html

◆UPnP対応機器がDDoS攻撃の踏み台に～警察庁が注意呼びかけ（2014/10/23）

　UPnPに対応したネットワーク機器を、DDoS攻撃の踏み台に悪用しようとする攻撃が増加しているとして、警察庁などが注意を呼びかけている。どういう攻撃なのか、一般のパソコンユーザーには影響するのか、そのチェック方法や対応策をまとめた。

　UPnP（Universal Plug and Play）は、ネットワークに接続した機器の設定や制御を、機器間で自動的に行えるようにする仕組みのこと。同庁の発表によると、このUPnPで使用されている、対応機器を検出するサービス「SSDP（Simple Service Discovery Protocol）」を悪用したリフレクター攻撃が確認されているという。

■「リフレクター攻撃」とは

　リフレクター攻撃は、攻撃対象を送信元に偽装した問合せを機器に送り、攻撃対象に応答を送り返させることによって負荷をかける攻撃のこと。SSDPでは、問合せの30倍くらいの大きさの応答を返すので、攻撃対象に直接データを送信するよりも、対応機器を悪用した方が攻撃対象に効率よく大量のデータを送り付け、サービス不能（DoS：Denial of Service）に追い込むことができる。

　同庁の発表資料によると、このSSDPと見られるアクセス件数が9月から急増しており、攻撃の踏み台探しが活発化している様子がうかがえる。同庁では、10月上旬、対策が不十分なネットワーク機器を踏み台として、特定のホストに対して攻撃が行われた事例を確認しており、今後も同様の手法を使用した攻撃が発生する可能性がある。使用しているネットワーク機器が攻撃に悪用されることがないよう、チェックと対策を実施しておきたい。
■チェックと対策

　ルーターやメディアサーバー、ネットワーク対応ドライブ、Webカメラ、プリンターなど、ネットワークに接続する様々な機器がUPnPに対応している。これらの機器がインターネット回線に接続され、インターネット側からの要求に応答してしまうと、リフレクター攻撃の踏み台に悪用される可能性がある。悪用を防ぐには、SSDPを遮断する、UPnPを無効にする、といった対策が有効だ。具体的には、以下の事項を検討していただきたい。

＜簡単なチェック方法＞
　セキュリティ企業のRapid7社が提供する、「UPnP Check」のページ（下記）を利用すると、インターネット回線に接続している機器が、インターネット側からのUPnPを受け付けてしまうかどうかを簡単にチェックできる。
　このページの「Scan My Router」をクリックし、「Congratulations! Your router did not respond to a UPnP discovery request. 」と表示されれば、インターネット側のUPnPは無効なので、悪用される心配はない。診断の対象は、操作した機器がインターネットに直結している場合にはその機器、ルーターを介して接続している場合にはルーターだ。
・UPnP Check[英文]（Rapid7）
http://upnp-check.rapid7.com/

＜UPnP対応機器はルーターで守る＞
　「ルーター」は、インターネットとホームネットワーク（LAN）の間に設置し、ネットワーク間の通信を中継する機器だ。「ブロードバンドルーター」などと呼ばれている有線接続の製品のほか、無線LANの親機がルーターを兼ねていることも多い。このルーターには、インターネット側からのアクセスを遮断する機能がある。UPnP対応機器をルーターの内側（LAN側）に接続しておけば、外部から直接アクセスすることができないので、悪用を避けられる。

＜UPnP対応のルーターの場合＞
　ルーターのUPnPは、通常はLAN側のみにサービスを提供するようになっているので、インターネット回線に直接接続していても安全だ。ところが、一部にインターネット側からもUPnPを受け付けてしまう危険な製品があり、このタイプは、リフレクター攻撃の踏み台に悪用されてしまう。このようなルーターは、ファームウェアーのアップデートで対処されていることが多いので、まずはルーターのファームウェアーを最新の状態にすることを検討したい。

＜ネット直結機器はUPnPを無効に＞
　インターネット側からのUPnPを受け付けてしまうルーターや、UPnP対応機器を止むを得ずインターネットに直結しなければならない場合には、UPnPを無効にできるかどうかを検討する。ルーターの場合は、インターネット側が無効にできればよい。無効にできない場合には、リフレクター攻撃の踏み台に悪用されるだけでなく、機器の操作や設定変更などを外部から行われてしまう可能性があるので、インターネットに直接接続した状態での使用は、控えていただきたい。

（2014/10/23 ネットセキュリティニュース）

【関連URL】
・UPnPに対応したネットワーク機器を踏み台としたSSDPリフレクター攻撃に対する注意喚起について[PDF]（警察庁）
http://www.npa.go.jp/cyberpolice/detect/pdf/20141017.pdf
・アカマイ、新しいサイバーセキュリティThreat Advisoryを発行UPnP機器を使用するDDoS攻撃について警告（アカマイ）
http://www.akamai.co.jp/enja/html/about/press/releases/2014/press_jp.html?pr=101614

◆【ゼロデイ攻撃】OLEの未修正の脆弱性を突く攻撃発生～「Fix It」の適用を（2014/10/22）

　マイクロソフトは22日、OLEの未修正の脆弱性を悪用した攻撃が発生しているとして、セキュリティアドバイザリと、脆弱性攻撃を回避するための設定を自動的に行う「Fix it」を公開した。

　OLE（Object Linking and Embedding） は、Windowsが備えるアプリケーションを連携するための仕組みのこと。文書内に別のアプリケーションで作成したデータを「OLEオブジェクト」として埋め込む機能などが、このOLEによって実現されている。

　アドバイザリによると、OLEに関連した未修正のリモートコード実行の脆弱性があり、PowerPointを介して脆弱性を悪用しようとする限定的な標的型攻撃が確認されたという。この脆弱性は、Windows Server 2003を除く全てのWindowsに影響し、細工されたOLEオブジェクトを含むOfficeファイルを開くと、ウイルスに感染してしまう可能性がある。ただし、規定で有効になっている「ユーザーアカウント制御（UAC)）」により、実行前にプロンプトが表示される。

　マイクロソフトでは、セキュリティ更新プログラムが提供されるまでの暫定的な回避策として、脆弱性の悪用を阻止する「OLEパッケージShim回避策」を用意。回避策の有効化/無効化を行う「Fix it」を下記「サポート技術情報 3010060」のページで公開している。このページの「Apply」側のアイコン（Microsoft Fix it 51026）をダウンロード/実行すると回避策が適用される。「Remove」側のアイコン（Microsoft Fix it 51027）をダウンロード/実行すると、適用した回避策が無効になる。

（2014/10/22 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セキュリティアドバイザリ 3010060：Microsoft OLE の脆弱性により、リモートでコードが実行される
https://technet.microsoft.com/library/security/3010060
・サポート技術情報 3010060
https://support.microsoft.com/kb/3010060
・セキュリティアドバイザリ 3010060「Microsoft OLE の脆弱性により、リモートでコードが実行される」 を公開（日本のセキュリティチーム）
http://blogs.technet.com/b/jpsecurity/archive/2014/10/22/advisory-3010060.aspx

◆「情報セキュリティ国際キャンペーン」開催中（NISC）（2014/10/22）

　内閣官房情報セキュリティセンター（NISC）が、「情報セキュリティ国際キャンペーン」を10月末までの予定で開催中だ。毎年2月に行われる「情報セキュリティ月間」とは別に 2012年からスタートしたもので、“諸外国との連携”をテーマとしたイベントや、セキュリティ情報の提供が行われている。

■諸外国との連携イベント：2つの国際シンポジウム

　「日･ASEAN情報セキュリティ国際シンポジウム」が10月9日に開催された。情報セキュリティを担う人材の育成をテーマとする第一部では、ブルネイ、カンボジア、インドネシア、ラオス、フィリピンの関係者がパネリストとして参加。重要インフラ防護の現状と課題をテーマとする第二部では、マレーシア、ミャンマー、シンガポール、タイ、ベトナムの関係者がパネリストとして参加した。各国の講演内容はPDFファイルにまとめられ、下記「Agenda」ページで閲覧できる。

・日･ASEAN情報セキュリティ国際シンポジウム（NISC）
http://www.nisc.go.jp/security-site/campaign/ajsympo/index.html
・ASEAN-Japan Cybersecurity International Symposium「Agenda」
http://www.nisc.go.jp/security-site/campaign/ajsympo/agenda.html

　今月末に開催される「日米サイバーセキュリティシンポジウム」は、高度なスキルをもつセキュリティ人材として期待される学生や若手エンジニアを対象に企画された。日米両政府の関係者がそれぞれのサイバーセキュリティ戦略について解説するほか、最先端ICT企業の取組み紹介や、若手トップエンジニアらによるディスカッションが行われ、最先端の知見共有を目指す。
・日米サイバーセキュリティシンポジウム（NISC）
http://www.nisc.go.jp/security-site/campaign/ussympo/index.html

■一般向けの情報セキュリティ対策：リーフレットや動画を案内

　一般向けには、情報セキュリティのために特に取り組んでほしい対策として、「個人情報等の重要な情報の扱いは慎重に」「パソコン等は常に最新のセキュリティ状態に」「不審なサイトやメールにアクセスしない」の3つを掲げ、注意点や対策などをわかりやすくまとめたリーフレットや啓発動画、クイズなどが案内されている。リーフレットはPDF版をダウンロードでき、啓発動画やクイズはWebサイトで楽しむことができる。

・情報セキュリティ国際キャンペーン日本語版リーフレット[PDF]
http://www.nisc.go.jp/security-site/campaign/images/country/Japan_doc2013.pdf
・NISC情報セキュリティ意識啓発動画ポータル
http://www.youtube.com/user/NISCchannel
・クイズに挑戦！
http://www.ipa.go.jp/security/kokokara/quiz/index.html

　啓発動画は、小学生向けのアニメ「キミはどっち？」、中高生向けの「ほんとにあったセキュリティの話」、リタイア後にパソコンを始めた熟年層などを対象とした「これだけは知っておきたい！インターネット安全教室」など、年齢やライフステージを考慮した内容が用意されている。クイズも「小学生向け」「中高生・ホームユーザー向け」「社会人向け」と分かれているので、この機会に試してみてはいかがだろうか。

（2014/10/23 ネットセキュリティニュース）

【関連URL】
・情報セキュリティ国際キャンペーン（NISC）
http://www.nisc.go.jp/security-site/campaign/index.html
・サイバー犯罪対策国際キャンペーン特集（警察庁）
http://www.npa.go.jp/cyber/international/index.html
・ここからセキュリティ！（IPA）
http://www.ipa.go.jp/security/kokokara/index.html

◆アップル、脆弱性の修正を含む「iOS 8.1」を公開（2014/10/21）

　アップルは21日、モバイル端末向けOSの最新版「iOS 8.1」を公開した。iCloudフォトライブラリへのアクセスやiPadとMacでのSMSメッセージ送受信などの新機能、機能改善、バグの修正が含まれており、5件の脆弱性が修正されている。

　修正された脆弱性は、不正なBluetooth機器がペアリングできる問題、ファイルの暗号化保護が不十分だった問題、iCloudデータアクセスクライアントの情報漏えい問題、パスワードなども記憶してしまうQuickTypeの問題、暗号が破られるおそれのあるSSL 3.0の問題の5件。

　アップデートの対象となるのは、iPhone 4s以降、iPad 2以降、iPad mini以降、第5世代のiPod touch。最新版への更新は、端末の「設定」アイコンから「一般」→「ソフトウェア・アップデート」と進むか、端末をパソコンに接続し、iTunes経由で行う。

（2014/10/21 ネットセキュリティニュース）

【関連URL】
・About the security content of iOS 8.1[英文]（アップル）
http://support.apple.com/kb/HT6541

◆アップル、脆弱性を修正したOS XやiTunesの最新版を公開（2014/10/20）

　アップルは17日、OS Xの最新版Yosemite（v10.10）とOS X Server v4.0、SSL 3.0の脆弱性を修正する「セキュリティアップデート 2014-005」およびOS X Server v2.2.5/3.2.2、Windows版iTunes 12.0.1を公開した。

■OS X Yosemite v10.10、OS X Server v4.0

　新製品の発売に合わせて公開された、OS Xの最新版Yosemite（ヨセミテ）では、インターフェイスの刷新やiOSとの連携強化、新機能の搭載などに加え、45件の脆弱性が修正さた。修正された脆弱性には、リモートから任意のコードが実行できる問題や、システム権限でコードを実行できる問題など、深刻なものが多数含まれている。
　OS X Yosemiteに対応するOS X Serverの最新版「4.0」では、18件の脆弱性を修正。こちらも、リモートコード実行の脆弱性が含まれている。
　OS X Yosemiteのアップグレード対象となる機種は、iMac（Mid 2007以降）、MacBook（Late 2008アルミニウム製、またはEarly 2009以降）、MacBook Pro（Mid/Late 2007以降）、MacBook Air（Late 2008以降）、Mac mini（Early 2009以降）、Mac Pro（Early 2008以降）、Xserve（Early 2009）。対象OSは、OS X Snow Leopard（v10.6.8）、OS X Lion（v10.7）、OS X Mountain Lion（v10.8）、OS X Mavericks（v10.9）。Mac App StoreのOS X Yosemiteページから無料（OS X Server 4.0は2,000円）でダウンロードできるほか、最寄りのApple Storeでもアップグレードできる。
＜関連URL＞
・About the security content of OS X Yosemite v10.10[英文]（アップル）
http://support.apple.com/kb/HT6535
・About the security content of OS X Server v4.0[英文]（アップル）
http://support.apple.com/kb/HT6536

■「セキュリティアップデート 2014-005」、OS X Server v2.2.5/3.2.2

　OS X Mountain Lion（v10.8.5）、OS X Mavericks（v10.9.5）向けの「セキュリティアップデート 2014-005」、およびこれらに対応するOS X Server v2.2.5/3.2.2では、暗号化通信で使用されるプロトコル「SSL 3.0」が解読されてしまう脆弱性に対処した。「セキュリティアップデート 2014-005」には、「サポートダウンロード」ページで先行公開していた、「bash」の脆弱性修正も含まれている。
　アップデータは、アップルメニューの「ソフトウェア・アップデート」で自動インストールできるほか、同社の「サポートダウンロード」ページからも入手できる。
＜関連URL＞
・About Security Update 2014-005[英文]（アップル）
http://support.apple.com/kb/HT6531
・About the security content of OS X Server v2.2.5[英文]（アップル）
http://support.apple.com/kb/HT6529
・About the security content of OS X Server v3.2.2[英文]（アップル）
http://support.apple.com/kb/HT6527
【関連記事：ネットセキュリティニュース】
・アップル、深刻な脆弱性を修正したOS X用「bash」のアップデータ公開
http://security-t.blog.so-net.ne.jp/2014-09-30

■Windows版「iTunes 12.0.1」

　レンダリングエンジン「Webkit」に含まれる脆弱性83件が修正された。これらは、昨年12月から今年9月にかけてMacやiOS端末などで修正され、Windows版では未修正だったもの。メモリー破壊を引き起こす深刻なものが多数含まれており、細工されたWebサイトを閲覧するだけで任意のコードを実行されるおそれがあった。
　最新版への更新は、iTunesのヘルプメニューにある「更新プログラムを確認」、または同梱の「Apple Software Update」で行えるほか、同社のサイトからダウンロードすることもできる。
＜関連URL＞
・About the security content of iTunes 12.0.1[英文]（アップル）
http://support.apple.com/kb/HT6537

（2014/10/20 ネットセキュリティニュース）

◆モジラ、深刻な脆弱性を修正した「Firefox 33」公開（2014/10/16）

　モジラは15日、Webブラウザ「Firefox」の最新版「33.0」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「31.2.0」と、メールソフト「Thunderbird」の「31.2.0」も同時に公開されている。

　デスクトップ版Firefox 33.0では、新機能が追加されたほか、9件の脆弱性が修正されている。脆弱性の重要度は、4段階評価で最も高い「最高」が3件、次に高い「高」が4件、「中」が2件。悪用されると任意のコードが実行されるおそれのある、危険な問題が含まれている。

　ESR版では、33.0と共通する「最高」3件、「高」3件、「中」1件、計7件の脆弱性が修正された。

　ESR版Firefoxで修正された脆弱性は、同じエンジンを使用するメールソフトThunderbirdにも影響があり、こちらも最新版の「31.2.0」が公開されている。

（2014/10/16 ネットセキュリティニュース）

【関連URL：モジラ】
＜Firefox 33.0＞
・リリースノート（デスクトップ版）
http://www.mozilla.jp/firefox/33.0/releasenotes/
・Firefox Notes（Desktop）[英文]
https://www.mozilla.org/en-US/firefox/33.0/releasenotes/
・リリースノート（Android版）
http://www.mozilla.jp/firefox/android/33.0/releasenotes/
・Firefox Notes（Mobile）[英文]
https://www.mozilla.org/en-US/mobile/33.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html
＜Firefox ESR 31.2.0＞
・リリースノート
http://www.mozilla.jp/firefox/31.2.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefoxESR.html
・Firefox ESRのダウンロード
https://www.mozilla.org/ja/firefox/organizations/all/
＜Thunderbird 31.2.0＞
・リリースノート
http://www.mozilla.jp/thunderbird/31.2.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbird.html

◆オラクル、深刻な脆弱性を修正した「JRE 8」「JRE 7」の最新版公開（2014/10/16）

　オラクルは15日、複数の脆弱性を修正したJRE（Java Runtime Environment：Java実行環境）の最新版、JRE 8 Update 25（1.8.0_25）とJRE 7 Update 71（1.7.0_71）を公開した。これまで、JREの推奨バージョンは7系だったが、今回のリリースからは8系となっている。

　対象となるのは、Windows、Mac、Linux、Solaris。8 Update 25、7 Update 71ともに多数の脆弱性が修正されており、脆弱性評価システム「CVSS」のスコアが最高値の10.0とされている深刻な脆弱性も含まれている。同社は、全てのユーザーに最新版への更新を推奨している。

　現在JRE 7を使用中で、JRE 8に移行する場合は、下記のダウンロードページで配布されている最新の8 Update 25をダウンロード、インストールする。

　何らかの事情でJRE 7を使い続けたい場合は、アップデート機能（自動更新機能や、Javaコントロールパネルの[更新]タブの[今すぐ更新]ボタン）を使って更新できる。同社のサイトからJRE 7の最新版をダウンロードすることもできる。

　なお同日、JRE 7 Update 72も公開されているが、こちらは開発者や、特定の問題を抱えたユーザーを対象としており、一般ユーザーは7 Update 71を利用するよう推奨されている。

　JREのアップデート方法、現在使用しているバージョンの確認方法および、安全に使うための設定については、2014年6月のトピックス内でご紹介しているので、参考にしていただきたい。

（2014/10/16 ネットセキュリティニュース）

【関連URL：オラクル】
・Oracle Critical Patch Update Advisory - October 2014[英文]
http://www.oracle.com/technetwork/topics/security/cpuoct2014-1972960.html
・Javaのダウンロード
http://java.com/ja/download/
・Java 7のダウンロード
http://www.java.com/ja/download/manual_java7.jsp
・古いバージョンのJavaをシステムからアンインストールしなければならないのはなぜですか。
http://www.java.com/ja/download/faq/remove_olderversions.xml

◆アドビ、深刻な脆弱性を修正した「Flash Player」の最新版公開（2014/10/15）

　アドビシステムズは14日、3件の脆弱性を修正した「Flash Player」の最新版を公開した。緊急度は、最も高い「クリティカル」である。

　アップデートの優先度は、Windows版、Mac版、Google Chrome搭載版、Internet Explorer搭載版で最も高い「優先度1」とされており、すでに攻撃の対象となっているか、攻撃対象となる危険性が高いことを示している。

　最新版では、メモリー破壊の問題2件と、整数オーバーフローの問題1件が修正されている。これらは、コード実行につながるおそれのある危険度の高い脆弱性だ。

　アップデートの対象となるのは、Windows版、Mac版、Linux版のFlash Playerで、更新後のバージョンはWindows版とMac版が「15.0.0.189」、Linux版が「11.2.202.411」となる。Flash Player 15を利用できないWindowsとMac向けには、13系の最新版「13.0.0.250」が提供されている。

　システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルの「Flash Player」の[高度な設定]タブで確認できる。最新版は同社サイトで配布されている。

　Windows 8/8.1に搭載されているInternet Explorer 10/11用のFlash Playerについては、Windows Updateを通じて「15.0.0.189」が配布されており、自動的に更新が行われる。Google Chrome用のFlash Playerについては、最新の「15.0.0.189」を同梱した「Google Chrome 38.0.2125.104」が公開されており、こちらも自動的に更新される。

（2014/10/15 ネットセキュリティニュース）

【関連URL】
・APSB14-22 Security updates available for Adobe Flash Player[英文]（アドビ）
http://helpx.adobe.com/security/products/flash-player/apsb14-22.html
・Flash Playerのバージョン確認（アドビ）
http://www.adobe.com/jp/software/flash/about/
・Flash Playerのダウンロード（アドビ）
http://get.adobe.com/jp/flashplayer/
・マイクロソフトセキュリティアドバイザリ（2755801）Internet Explorer上のAdobe Flash Playerの脆弱性に対応する更新プログラム（マイクロソフト）
https://technet.microsoft.com/ja-jp/security/advisory/2755801
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/10/stable-channel-update_14.html

◆グーグル、「Google Chrome 38.0.2125.104」公開（2014/10/15）

　グーグルは14日（米国時間）、同社のWebブラウザ「Google Chrome」の最新安定版「38.0.2125.104」を公開した。対象となるのは、Windows、Mac、Linux。

　最新版への更新は自動的に行われるほか、メニュー（右端のアイコン≡）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。

　最新版では複数のバグが修正されたほか、内蔵のFlash Playerが最新の「15.0.0.189」に更新された。Flash Player最新版では、コード実行につながるおそれのある深刻な脆弱性複数が修正されている。

（2014/10/15 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/10/stable-channel-update_14.html
・APSB14-22 Security updates available for Adobe Flash Player[英文]（アド
ビ）
http://helpx.adobe.com/security/products/flash-player/apsb14-22.html

◆マイクロソフト、10月度の月例セキュリティパッチを公開（2014/10/15）

　マイクロソフトは15日、10月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。公開されたパッチは、深刻度が4段階評価で最も高い「緊急」3件と、次に高い「重要」5件の計8件。

　影響を受けるのは、Windows、Windows Server、Internet Explorer、Office、Word、アプリケーション実行環境「.NET Framework」、Webアプリケーション実行環境「ASP.NET MVC」である。

　更新プログラムの内容は次の通りで、Internet Explorerの脆弱性の一部、カーネルモードドライバーの脆弱性、Windows OLEの脆弱性は、すでに悪用が確認されている。

【更新プログラムの内容】
＜緊急＞
・[MS14-056]Internet Explorer用累積パッチ：リモートコード実行の脆弱性
・[MS14-057].NET Framework：リモートコード実行の脆弱性
・[MS14-058]カーネルモードドライバー：リモートコード実行の脆弱性

＜重要＞
・[MS14-059]ASP.NET MVC：セキュリティ機能バイパスの脆弱性
・[MS14-060]Windows OLE：リモートコード実行の脆弱性
・[MS14-061]WordおよびOffice Web Apps：リモートコード実行の脆弱性
・[MS14-062]メッセージキューサービス：特権昇格の脆弱性
・[MS14-063]FAT32ディスクパーティションドライバー：特権昇格の脆弱性

　このほか、Windows 8/8.1/RT/RT 8.1およびServer 2012/Server 2012 R2上のInternet Explorer 10/11に搭載されている「Adobe Flash Player」の更新プログラムと、新たに「Derusbi」など6種に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開された。

　なお、10日の事前通知で「セキュリティ情報4」として公開が予告されていたパッチは、問題が確認されたため、公開が延期されている。

（2014/10/15 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セーフティとセキュリティセンター
http://www.microsoft.com/ja-jp/security/default.aspx
・2014年10月のセキュリティ情報
https://technet.microsoft.com/ja-jp/library/security/ms14-oct
・2014年10月のセキュリティ情報（月例）-MS14-056～MS14-063
http://blogs.technet.com/b/jpsecurity/archive/2014/10/15/201410-security-bulletin.aspx
・セキュリティアドバイザリ（2755801）Internet Explorer上のAdobe Flash Playerの脆弱性に対応する更新プログラム
http://technet.microsoft.com/ja-jp/security/advisory/2755801

◆青少年のネットリテラシー能力等について調査結果を公表（総務省）（2014/10/14）

　総務省は9月30日、青少年のネットリテラシーに関する実態調査の結果をとりまとめた「平成26年度 青少年のインターネット・リテラシー指標等」を公表した。調査は今回が3回目。テストの正答率は年々上昇しており、リスク対応能力の向上がみられる。

　総務省では、青少年がインターネット上の危険・脅威に対応するための能力を数値化するテストを2011年度に開発し、2012年度から協力校で実施している。携帯電話やスマートフォンがおおむね青少年にいきわたる高校1年生までに身に着けて欲しいリスク回避能力を、3つの大分類、7つの中分類に整理し、多肢選択式で答えさせるもので、大分類は以下の通り。
1.インターネット上の違法コンテンツ、有害コンテンツに適切に対処できる能力
2.インターネット上で適切にコミュニケーションできる能力
3.プライバシー保護や適切なセキュリティ対策ができる能力

　今年は6月から7月にかけて全国の高等学校1年生相当（3672名）にテストを実施。併せて、利用している機器やトラブル経験の有無等についてアンケートを行い、結果をクロス集計し、分析した。

■リスク対応能力は年々向上

　テストの正答率は70.2％で、昨年度（68.9％）より1.3ポイント上昇した。どの分類においても平均点が昨年度と同等かそれ以上となっており、年々、リスク対応能力の向上がみられる。一方で、「電子商取引の問題を理解し、適切に対応できる能力」と、「適切なセキュリティ対策を講じて利用できる」については正答率が低く、更なる啓発が必要とされている。

■スマートフォン保有者が88％、利用時間は他の機器より長め

　スマートフォン保有者は全体の88.1％で、昨年度（84％）より上昇。インターネットに接続する際、最もよく利用する機器についても、スマートフォンが全体の80.1％と昨年度（75％）より上昇した。1日当たりの平均利用時間は、スマートフォン以外は平日、休日共に1時間未満が最も多いが、スマートフォンでは平日で1～2時間、休日で2～3時間の利用が最も多く、他の機器に比べ長時間となっている。

■フィルタリングの意義を71％が理解

　フィルタリングの認知度は年々高くなっており、今回は72.5％が知っていると回答。知っているとした青少年のフィルタリング利用率は55％だった。

　スマートフォン利用者にフィルタリングのイメージをたずねたところ、71.4％が「安心にインターネットを使うことを可能にしてくれるもの」としてその意義を理解し、プラスのイメージでとらえていた。

　また、フィルタリングの意義について理解している青少年の方が、フィルタリングを邪魔なものと考えたり、フィルタリングをそもそもよく知らないとしたりした青少年よりも、テストの正答率が相対的に高かった。

■「家庭のルールがある」とリテラシーが高い傾向

　スマートフォンやSNSを利用する際の家庭のルールがあるとした青少年は41.7％だった。ルールがある青少年の方が、ルールがない青少年よりも、テストの正答率が相対的に高かった。また、ルールがある青少年のフィルタリング利用率は51.8％だったのに対し、ルールのない青少年の利用率は38.2％と低いことも明らかになっている。

　同まとめは、これらの調査結果から、「フィルタリングの必要性、意義などを青少年自ら考える機会を設けること」、「正しいリスク認識、家庭でのルールづくり、フィルタリングの意義など、保護者の意識を高めること」などが、青少年のネットリテラシー能力を高めるために重要と結論付けている。

（2014/10/14 ネットセキュリティニュース）

【関連URL：総務省】
・「平成26年度 青少年のインターネット・リテラシー指標等」の公表
http://www.soumu.go.jp/menu_news/s-news/01kiban08_02000147.html
・平成26年度 青少年のインターネット・リテラシー指標等[PDF]
http://www.soumu.go.jp/main_content/000315097.pdf

◆マイクロソフト、10月の月例パッチは「緊急」3件を含む9件（2014/10/10）

　マイクロソフトは10日、今月15日に公開を予定しているセキュリティ更新プログラム（修正パッチ）の概要を発表した。リリース予定の修正パッチは、4段階評価で深刻度が最も高い「緊急」3件、2番目に高い「重要」5件、3番目に高い「警告」1件の計9件。

　「緊急」の脆弱性は、Internet Explorer（IE）、Windows、アプリケーション実況環境「.NET Framework」に影響する問題各1件の計3件。いずれも、リモートからコードが実行されるおそれがある。

　「重要」の脆弱性は、Windowsに影響するリモートコード実行の問題、WordやOfficeに影響するリモートコード実行の問題、Windows Serverに影響する特権昇格の問題、WindowsとWindows Serverに影響する特権昇格の問題、Webアプリケーション実行環境「ASP.NET」に影響するセキュリティが迂回される問題の計5件。

　「警告」の脆弱性は、WindowsとWindows Server、Officeに影響する特権昇格の問題1件。

　このほかに、「Windows Update」「Microsoft Update」などで、セキュリティ以外の更新プログラムと、「悪意のあるソフトウェアの削除ツール」の更新バージョンのリリースが予定されている。

（2014/10/10 ネットセキュリティニュース）

【関連URL】
・2014年10月のマイクロソフト セキュリティ情報事前通知（マイクロソフト）
https://technet.microsoft.com/ja-jp/library/security/ms14-Oct
・2014年10月15日のセキュリティ リリース予定 (月例)（日本のセキュリティチーム）
http://blogs.technet.com/b/jpsecurity/archive/2014/10/10/201410-security-bulletin-advanced-notification.aspx

◆グーグル、多数の脆弱性を修正した「Google Chrome 38」を公開（2014/10/08）

　グーグルは8日、多数の脆弱性を修正した「Google Chrome」の最新安定版「38.0.2125.101」を公開した。対象となるのは、Windows、Mac、Linux。

　最新版では、新たなAPIの追加などに加え、計159件の脆弱性が修正された。うち113件は、比較的軽微な問題だが、JavaScriptエンジンとプロセス間通信で発生する問題や、PDFレンダリングエンジンで起きるメモリーエラーの問題、解放したメモリーを再使用してしまう問題など、悪用されると任意のコードが実行されるおそれのある危険な問題も含まれている。

　最新版への更新は自動的に行われるほか、メニュー（右端のアイコン≡）から「Google Chromeについて」を選択すると、ただちに最新版の確認とアップデートが行える。

（2014/10/08 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update［英文］（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2014/10/stable-channel-update.html

◆有名人のインターネット検索に注意、高確率で危険サイトに誘導（マカフィー）（2014/10/08）

　セキュリティ企業のマカフィーは7日、米国人の間で最も検索されている有名人とその検索リスクを調べる「インターネット検索で最もリスクの高い有名人」の調査結果を発表した。米国の人気番組で司会を務めるコメディアンのジミー・キンメルが1位で、彼の名前で検索すると、約1/5の確率で悪意あるサイトにたどり着くという。

　この調査は同社が毎年一度行っているもので、今年は8年目。今回の調査では、コメディアンとミュージシャンのインターネット検索が最もリスクが高いことがわかった。上位10人をみると、1位のジミー・キンメルと9位のチェルシー・ハンドラーがコメディアンで、他の8人は全員ミュージシャンだ。

■有名人への関心を悪用して危険サイトに誘導

　有名人の名前と「動画」や「写真」という単語の組み合わせは、最も頻繁に使用される検索用語だ。サイバー犯罪者は、こうした有名人に関心を持つ一般人の心理を悪用し、検索結果から罠を仕掛けたサイトに誘い込み、パスワードや個人情報を盗もうとする。
　同社の調査では、ジミー・キンメルの最新の写真やダウンロード可能なコンテンツを検索すると、19.38％の確率で、スパイウェア、アドウェア、スパム、フィッシング、ウイルスなどの脅威が潜むWebサイトにたどり着く。ちなみに、危険順位2位以下の有名人の確率をみると、19.33％から16.67％まで、僅差で並んでいる。

■インターネット検索を安全に実行する方法

　同社は、検索を安全に行うために、次の方法をアドバイスしている。
・外部リンクのクリックは慎重に。コンテンツのダウンロードは公式Webサイトに直接アクセスする
・危険なサイトやリンクを事前に通知するWeb保護の機能を必ず利用する。
・常識だが、疑わしいサイトから動画をダウンロードしない。見たいと思うニュース動画のほとんどは、公式サイトで簡単に見つけることができる
・「無料ダウンロード」は、ウイルスが最も好む検索用語
・携帯電話などのモバイル端末は、必ずパスワードで保護する
・詳細コンテンツにアクセスするために、情報（クレジットカード、メールアドレス、住所、Facebookのログイン名などの情報）を要求されても、入力しない。

（2014/10/08 ネットセキュリティニュース）

【関連URL：マカフィー】
・2014年版「インターネット検索で最もリスクの高い有名人」を発表 1位は著名司会者／コメディアンのジミー・キンメル
http://www.mcafee.com/japan/about/prelease/pr_14b.asp?pr=14/10/07

◆Facebookかたるフィッシング発生、入力求めるログイン画面に注意（対策協議会）（2014/10/08）

　フィッシング対策協議会は7日、「Facebook」をかたるフィッシングサイトが稼働しているとして、注意を呼びかけた。

　このフィッシングサイトは、URL末尾を「facebook.com/」として、Facebookのログインページを装っている。アクセスすると、「Email or Phone：」「Password：」の後に空欄を示す画面が現れ、ユーザーに入力を促す。

　同協議会は、このようなフィッシングサイトで、アカウント情報 (メールアドレス、電話番号、パスワードなど) を絶対に入力しないよう注意を呼びかけている。

　7日午後3時現在、この偽サイトは稼働中で、JPCERT/CC にサイト閉鎖のための調査を依頼している。閉鎖された後も、類似のフィッシングサイトが公開される可能性があるため、引き続き注意していただきたい。

（2014/10/08 ネットセキュリティニュース）

【関連URL：フィッシング対策協議会】
・Facebook をかたるフィッシング (2014/10/07)
https://www.antiphishing.jp/news/alert/facebook_20141007.html

◆「少年からのシグナル」～SNSやアプリ起因の凶悪犯罪に注意（警察庁）（2014/10/07）

　警察庁は先月末、青少年の非行と犯罪被害の現状をふまえ、対策を呼びかける「少年からのシグナル」を公開した。インターネットのコミュニティサイトやスマートフォンのアプリを通じて、10代の子どもたちが重大な被害にあうケースが目立っているという。

　公開されたPDF版「少年からのシグナル」は、前編「少年非行と犯罪被害の情勢」と、後篇「少年の非行を防止し、犯罪被害から守る取組み」に分かれ、前編で非行と犯罪被害の状況を明らかにし、後篇で警察庁の取組みを述べている。

■コミュニティサイトやアプリを介し、凶悪な犯罪被害が発生

　「少年の福祉を害する犯罪」の章では、インターネットのコミュニティサイト（SNS、プロフィールサイトなど）やスマートフォン（スマホ）のアプリケーションを通じて遭遇する、児童の犯罪被害が詳述されている。これらを通じてコンタクトした児童の弱点につけこみ、いわれのない罰金を科したり、脅しによって組織的に支配し、監禁したり、全国を連れ回して売春等を強要するなど、極めて悪質な犯罪が発生しているという。

　実際に起きている被害として、12歳から17歳の児童の被害例7件が紹介されている。「モデル募集のブログを通じて知り合った男性」、「携帯電話のレンタルブログサービスで知り合った同学年の少女（成年男性のなりすまし）」、「インターネットを通じて知り合った15歳の少年（成人男性のなりすまし）」、「出会い系サイトで知り合った援助交際の相手」など、ネットでの出会いが犯罪被害にあうきっかけとなっている。見知らぬ相手の言葉を安易に信じて交流した結果、裸の写真や動画をネット上に掲載・販売されるなど、起きてはならない深刻な被害が発生してしまっている。

■サイバーパトロールで積極的取締り

　インターネット上に流出した写真や動画は事実上回収不可能であり、被害児童の苦しみは将来にわたり続くことになる。警察は、児童買春児童ポルノ禁止法（正式名称：児童買春、児童ポルノに係る行為等の規制及び処罰並びに児童の保護等に関する法律）により、これら犯罪行為の積極的取締りを行っている。その一つが「サイバー補導」で、ネット上に援助交際を求めるなどの不適切な書き込みを行った児童をサイバーパトロールによって発見し、当該児童に接触して直接指導を行う。昨年は158人の児童が補導されたという。
　同法については、いわゆる児童ポルノの単純所持の禁止規定や盗撮による児童ポルノ製造の処罰規定等を盛り込んだ改正法が、今年7月から施行されている。

■スマホのフィルタリング設定を確実に

　子どもの犯罪被害防止にはフィルタリングが有効だ。しかし、十分に普及しているとはいえず、特にスマホは、(1)携帯電話回線による接続、(2)無線LAN回線による接続、(3)アプリによる接続、の3つに対応しなければならず、保護者にとっても設定のハードルが高い。適切な設定がなされないまま子どもにスマホの使用を許した場合、犯罪被害にあう危険性は高まる。警察は、スマホを含めた携帯電話への適切なフィルタリングの利用を呼びかけている。

　警察庁は、全国に設置されている「ヤングテレホンコーナー」で、少年や保護者等から、非行、家出、いじめ等少年問題に関するあらゆる相談を受け付けている。「匿名通報フリーコール」（月～金、9：30～18：15）、24時間オンライン受付の「ウェブ匿名通報」も利用できるので、下欄資料を参照いただきたい。

（2014/10/07 ネットセキュリティニュース）

【関連URL：警察庁】
・少年からのシグナル[PDF]（平成26年）
http://www.npa.go.jp/safetylife/syonen/signal/SIGNAL2014.pdf
・平成26年上半期の出会い系サイト及びコミュニティサイトに起因する事犯の現状と対策について[PDF]
http://www.npa.go.jp/cyber/statics/h26/pdf02-1.pdf
・児童虐待及び福祉犯の検挙状況等（平成26年上半期）[PDF]
http://www.npa.go.jp/safetylife/syonen/jidougyakutai_fukushihan_kenkyoH26_1.pdf
・インターネット上の違法情報・有害情報はこちらへ
http://www.internethotline.jp/

◆クラウドサービスからの情報漏えいに注意（IPA）（2014/10/03）

　アップルのクラウドサービス「iCloud」から流出した女優やモデル、歌手のプライベート写真が、海外のネット掲示板に投稿されたことを受けて、IPA（情報処理推進機構）は1日、クラウドサービスからの情報漏えいに注意するよう呼びかけた。

　アップルの公式発表によると、ユーザー名、パスワード、セキュリティのための質問を対象とした、非常に的を絞った攻撃により、特定の著名人のアカウントが乗っ取られたことによる流出だとしている。

　クラウドサービスはインターネットを通じてデータの保管やソフトウェア利用を提供するサービスの総称で、ネットに接続できればどの端末からでもサービスを利用できるのが特徴だ。便利な反面、アカウント情報が第三者の手に渡ってしまうと、クラウドサービスに不正ログインされてしまい、情報漏えいの被害にあう可能性がある。

　IPAは、他のインターネットサービスと同様に、クラウドサービスの利用においても、IDとパスワードを適切に管理することが重要だとし、安易に推測できるパスワードを使用しない、パスワードを使い回さない、IDとパスワードの入力は、確実に本物と判断できるサイト上でのみ行う（フィッシング対策）、セキュリティオプション（ログイン通知、二段階認証など）が提供されている場合は積極的に採用することを対策として推奨している。

　また、利用するクラウドサービスの特性を理解して、使用の判断を慎重に行うことも重要だといい、クラウドにアップロードする対象を必要のあるものだけに限定することで、もし不正ログインされても、漏えいする情報を最小限に抑えることができるとアドバイスしている。

■iOS端末とiCloudの関係

　IPAの発表文では、iCloudでの写真流出の概要や、iOS端末でのiCloudの設定方法なども図解されているので、iPhoneやiPadなどを利用されている方は参考にするとよい。ここでは、欠けている事項を補足しておくので、併せて読んでいただきたい。

・「自分のフォトストリーム」の初期値は有効
　iCloudは、iOSの利用開始時に使用するかどうかを尋ねてくる（後で設定することも可）。「iCloudを使用」を選びアカウントを設定すると、iCloudが利用できるようになると同時に、最新の写真をiCloudに自動的にアップロードする機能「自分のフォトストリーム」が有効になる。この機能は、ディフォルトで有効になってしまうので、アップロードするつもりのない方は、自分で無効にしておかなければいけない。

・フォトストリームから特定の写真を削除
　「自分のフォトストリーム」を有効にしていると、最新の写真が最大30日間iCloudに保管されるが、期限を待たずに特定の写真を削除することもできる。端末の[写真]アプリを開き、「アルバム」の「自分のフォトストリーム」（iOS 8では「最後に追加した項目」）から削除すればよい。ここで削除してもフォトストリーム上から削除されるだけで、端末内の写真には影響しない。

・写真を含む「iCloudバックアップ」
　iOS端末は、iTunesをインストールしたパソコン内、またはiCloud上にバックアップを保存しておくことができる。iCloud上に保存する「iCloudバックアップ」を使用した場合には、特に指定しなければバックアップに写真が含まれているので注意したい。
　ディフォルトでバックアップ対象に含まれる「フォトライブラリ」は、端末内の全ての写真の原本がiCloud上に送られることを意味する。フォトストリームのように、他の端末に自動配信されることはないが、自分のiCloudに不正アクセスされると、バックアップから写真を復元されてしまう可能性がある。

・「iCloud」が二段階認証に対応
　アップルでは、二段階認証にあたる「2ステップ確認」をサポートしている。ところが流出事件が起きた時点では、この「2ステップ確認」を設定していても、iCloudは対象外だった。ID/パスワード認証が通れば、「フォトストリーム」を別の端末に同期したり、保存されているバックアップを復元したりできたのだ。
　流出事件を受けてアップルは、9月17日、iCloudのセキュリティ向上の一環として、iCloudでも「2ステップ確認」が機能するようにした。あらかじめSMS対応の携帯電話やスマートフォンを登録して「2ステップ確認」を有効にしておけば、iCloudを利用する際にも、通常のID/パスワード認証に加えて、SMSで送られて来る4桁の確認コードの入力を求めるようになった。「2ステップ確認」を設定しておけば、ID/パスワードが破られても、もはや写真が流出するようななことはない。

（2014/10/03 ネットセキュリティニュース）

【関連URL】
・「クラウドサービスからの情報漏えいに注意！」～スマートフォンで撮影した写真の保存先と公開範囲を意識していますか？～（IPA）
http://www.ipa.go.jp/security/txt/2014/10outline.html
・著名人の写真に関する調査状況の報告（アップル）
https://www.apple.com/jp/pr/library/2014/09/02Apple-Media-Advisory.html
・iCloud: iCloudとは
http://support.apple.com/kb/PH2608?viewlocale=ja_JP
・iCloud: 自分のフォトストリームの概要
http://support.apple.com/kb/PH13692?viewlocale=ja_JP
・iCloud：「自分のフォトストリーム」から写真を削除する方法
http://support.apple.com/kb/HT5125?viewlocale=ja_JP
・iOS 8 で写真を探す方法
http://support.apple.com/kb/HT6464?viewlocale=ja_JP
・iCloud：「自分のフォトストリーム」に関してよくお問い合わせいただく質問 (FAQ)
http://support.apple.com/kb/ht4486?viewlocale=ja_JP
・iCloud: iOSデバイスをiCloudにバックアップする
http://support.apple.com/kb/PH12520?viewlocale=ja_JP
・iOS のバックアップ方法を選択する (iOS デバイスのバックアップに iTunes と iCloud のどちらを使うべきか)
http://support.apple.com/kb/HT5262?viewlocale=ja_JP
・Apple IDの2ステップ確認についてよくお問い合わせいただく質問 (FAQ)（アップル）
http://support.apple.com/kb/HT5570?viewlocale=ja_JP

◆公共機関などを装う迷惑メールに注意～出会い系サイトに誘導（2014/10/03）

　公共機関などを装ったそれらしい内容のメールを送りつけ、記載したリンクをクリックさせようとする迷惑メールが不特定多数に送られており、なりすまされた機関などが注意を呼び掛けている。

　実在する企業や機関になりすまし、リンクをクリックさせようとするメールといえば、アカウント情報やクレジットカード情報をだまし取るフィッシングメールや、誘導先で悪質なプログラムをインストールさせようとするウイルスメールなどがその代表だ。国内の場合は、この手のメールで圧倒的多数を占めるのが、出会い系サイトの勧誘メールである。

　気象庁は9月24日付で緊急地震速報を装った迷惑メールの注意喚起を、NHKは9月3日付で同協会からの重要なお知らせを装った迷惑メールの注意喚起を出している。どちらもリンク先について具体的なことを記載していないが、この時期に送られたこれらメールのリンクをクリックすると、中継サイトを経て出会い系サイトへと誘導されるようになっていた。

■なりすましが横行する出会い系の勧誘メール

　国内の迷惑メールの中で最も多いのが出会い系の勧誘メールだ。とりわけ多いのが、いわゆる“さくら”からのメッセージだが、実在する企業などになりすましたものも、しばしば送信されている。SNSのお知らせ、宅配便の不在通知、通販サイトの注文確認、携帯電話会社からのお知らせなど、これまでにも様々ななりすましメールが、出会い系サイトの勧誘に使われている。

　最近目に付くのが、公共機関を装うタイプだ。先の気象庁やNHKのほかにも、水道局の断水のお知らせを装うものや自治会からのお知らせを装うものなどがあり、「日本郵送便」のような紛らわしい名前や「放射能センター」といったそれらしい名前が使われることもある。

　悪質な出会い系サイトは、様々な手段を使って、ユーザーを登録させようとする。無料をうたうところも多いが、最終的にはポイント制の有料サイトに誘導するのが目的だ。中には、メールのリンクをクリックしただけで入会が完了し、料金を請求されるクリック詐欺まがいのところもあるという。

（2014/10/03 ネットセキュリティニュース）

【関連URL】
・緊急地震速報を装った迷惑メールにご注意下さい（気象庁）
http://www.jma.go.jp/jma/press/1409/24a/eewmail_20140924.html
・NHKを装った不審なメールにご注意ください[PDF]（NHK）
http://www.nhk.or.jp/pr/keiei/otherpress/pdf/20140903.pdf
・水道局を騙るメールにご注意ください！（名古屋市上下水道局）
http://www.water.city.nagoya.jp/category/10600onegai/12574.html
・水道局を騙るメールにご注意ください！（志木市）
http://www.city.shiki.lg.jp/37,57168,150,591.html
・水道局を騙るメールにご注意ください！（千葉県）
http://www.pref.chiba.lg.jp/suidou/gyoumu/mailchuui.html

◆後を絶たない不正ログイン～今年の被害総数79万件に（2014/10/02）

　何らかの方法で入手したIDとパスワードのリストを使い、サービスへのログインを試みる不正ログイン被害が後を絶たない。9月に公表されたものだけでも、5つのサービスで8万件を超えるアカウントが被害を受けている。

　9月に被害を受けた各社の公表内容は、別掲のとおり（下欄参照）。いずれも、ID/パスワードが自社から流出したことは確認できておらず、外部から取得したID/パスワードを使用したなりすましログインと結論付けている。

　この手の攻撃は、2011年頃から顕著になりはじめており、特に去年から今年にかけは、被害規模の大きな攻撃が相次いでいる。これまでに公表された不正ログインの被害件数を集計してみたところ、昨年は10万件を超える被害を出した事例が3件あり、1年間の被害総数は約85万件だった。今年も、6月
に20万件を超える大規模な被害が相次ぎ報告されており、9月末時点での被害総数は約79万件となっている。

■不正ログイン対策

　複数のサービスのアカウントを持っているユーザーは、覚えきれないといった理由から、同じID/パスワードを登録してしまうことがある。ID/パスワードリストを使用した攻撃は、この点に目を付けたもの。同じID/パスワードを使いまわしているユーザーを狙った攻撃なので、使いまわしていなければ被害を受けることはない。ただし、使いまわしさえしなければ、不正ログイン被害を回避できるというわけではない。

　使いまわし以前にやっておかなければいけない最重要課題が、強固なパスワードの設定だ。あなた自身の情報から類推しやすいものやパスワードに使われがちな単語は避け、機械的なパスワード破りに耐えられるように、多くの文字種を使った長いパスワードを設定する。これが、ID/パスワードリストを使用した攻撃以前から行われていた、そして現在も行われている別の不正ログイン攻撃に対する対策だ。

　類推しやすいものを避けるのは、あなたを知っている人やあなたのプロフィールや書き込みを見た人からの攻撃への耐性を高める。パスワードに使われがちな単語を避けるのは、この手のパスワードリストを使った攻撃への耐性を高める。多くの文字種を使った長いパスワードは、1文字ずつ文字を変えて試行する総当たり攻撃への耐性を高める。一般には、英字の大文字と小文字、数字、記号を織り交ぜた8文字以上が安全ラインとされており、文字種に制限がある場合は、パスワードを長くしてカバーする。例えば、記号が使用できないなら9文字に、さらに大文字小文字が区別されないなら11文字に、数字だけしか使用できない場合には16文字にすると、全文字種を使った8文字のパスワードと同等の総当たり攻撃への耐性が得られる。

　強固なパスワードを設定したうえで、さらに使いまわさないようにすると、所持しているアカウント数が増えるに連れて、記憶しておくのが難しくなってしまう。覚えきれないなら、別の方法で管理すればよい。メモしておくのもひとつの方法だし、パスワードを管理する専用ソフトも多数ある。

（2014/10/02 ネットセキュリティニュース）

【関連URL】
・docomo IDへの不正ログインに関するお知らせ（NTTドコモ）
https://www.nttdocomo.co.jp/info/notice/pages/140930_00.html
・Webサービス会員情報への不正ログインに関するお知らせ（佐川急便）
http://www2.sagawa-exp.co.jp/information/detail/58/
・クロネコメンバーズWebサービスへの不正ログインに関するお知らせ（ヤマト運輸）
http://www.yamato-hd.co.jp/news/h26/h26_43_01news.html
・My JR-EASTへの不正ログイン発生とサービス停止等のご案内[PDF]（JR東日本）
http://www.jreast.co.jp/pdf/20140912_myjreast.pdf
・「なりすましログイン」への対応に関して（リクルートホールディングス）
http://www.recruit.jp/news_data/notification/20140908_7754.html