ネットセキュリティニュース

◆グーグル、深刻な脆弱性を修正した「Google Chrome 42.0.2311.135」公開（2015/04/30）

　グーグルは29日、深刻な脆弱性を修正した「Google Chrome」の最新安定版「42.0.2311.135」を公開した。対象となるのは、Windows、Mac、Linux。

　最新安定版では、深刻度が4段階評価の上から2番目「高」と評価されている、開放したメモリーを使用してしまう問題など、計5件の脆弱性が修正されている。

　最新版への更新は自動的に行われるほか、Chromeメニュー（右端のアイコン≡）から[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。

（2015/04/30 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/04/stable-channel-update_28.html

◆銀行とゲーム会社を装うフィッシング続く――新たな標的も（2015/04/30）

　中華系の攻撃者が仕掛けているとみられる、国内のユーザーを標的としたフィッシングが相変わらず続いている。今月は、オンラインバンキングのフィッシングに、新たな標的が加わった。

■オンラインバンキングを装うフィッシング

　オンラインバンキングを狙ったフィッシングは、今年1月に「三菱東京UFJ銀行」を装うものが約1週間行われた後しばらく鳴りをひそめていたが、今月半ばに復活した。2013年以来、同じようなメールと偽サイトが使われ続けているお馴染みのもので、今回のメールも、銀行からのメールとは思えない「こんにちは！」で始まるタイプだ。以前と違い、今年に入ってからの攻撃は短期間に集中しており、今月の攻撃も1月の攻撃も数日で終了している。

　ターゲットはもっぱら「三菱東京UFJ銀行」だが、今月は新たに「新生銀行」と「セブン銀行」が加わった。どちらも「三菱東京UFJ銀行」が稼働していた同じサーバー上に20日頃に開設されたが、当初は偽のログインページだけで、送金などの取引の際に必要となる、乱数表の入力ページが用意されていなかった。

　「新生銀行」と「セブン銀行」のフィッシングは、わずか1日で終了したが、22日からはリニューアルした「新生銀行」のフィッシングが始まった。偽サイトが乱数表を入力させる仕様にアップグレードしたのだ。偽のログインページに続き1行ずつ5回に分け、乱数表（セキュリティ・カード）の全項目を入力させるため、騙されてしまうと不正送金被害に直結してしまう状況となった。

　乱数表まで入力させる「新生銀行」のフィッシングもまた数日間で終了し、28日から「セブン銀行」のフィッシングが再開した。こちらの偽サイトも、偽のログインページに続き、5個ずつ2回に分け、乱数表（確認ナンバー）の全項目を入力させようとする仕様にアップグレードしており、30日現在も偽サイトは稼働中だ。「メールアドレスの確認」や「アカウントの確認」などと称して、偽のログインページに誘導しようとするメールには、くれぐれも注意していただきたい。

■オンラインゲームを装うフィッシング

　オンラインゲームのアカウントを狙うフィッシングは、相変わらず長期間にわたる執拗な攻撃が続いている。昨年末から2月中旬まで続いた「NCSOFT」、その後再開した「スクウェアエニックス」のフィッシングは現在も続いている。

　現在のターゲットは「スクウェアエニックス」だけのようだが、3月には「ハンゲーム」や「GAMECITY」のフィッシングが短期間行われており、「NCSOFT」も最後の攻撃からだいぶ間があいている。ターゲットの追加・変更が行われるかもしれないので、アカウントの確認などと称してログインページに誘導しようとするメールに引っ掛からないように注意していただきたい。

（2015/04/30 ネットセキュリティニュース）

【関連URL】
・セブン銀行を名乗りダイレクトバンキングサービスでのお取引きに必要な暗証番号等をだまし取るEメールにご注意ください。（セブン銀行）
http://www.sevenbank.co.jp/support/info_email.html
・フィッシング詐欺サイトへ誘導するメールやメッセージにご注意ください（スクウェアエニックス）
http://www.jp.square-enix.com/info/1308_attention.html

◆投稿写真からの情報漏えいに注意（IPA）――「Exif情報」の確認と削除方法（2015/04/28）

　情報処理推進機構（IPA）は27日、ブログやSNSで公開した写真が、プライバシーの侵害などの思わぬトラブルに発展することがあるとして、注意を呼びかけた。

　写真を投稿する際には、撮影した日時や場所、写っている人や物が、公開してしても問題ないものなのかどうかを十分検討し、必要な措置をとるよう心がけたい。IPAの発表内容に関しては、関連URLを参照していただき、ここでは注意すべき要点と追加情報をご紹介する。

＜撮影場所の特定に注意＞
　投稿した写真は、そこに写っているものや投稿内容から、撮影した日時や場所を特定される可能性がある。スマートフォンやデジタルカメラで撮影した場合には、撮影機器や撮影条件、GPSの位置情報などの様々な情報を記録した、Exif（イグジフ）情報と呼ばれるものが埋め込まれており、この情報から自宅の場所などを知られてしまうことも多い。場所を特定されたくない場合には、投稿前に写っているものをぼかすなどの画像処理を行うとともに、不要なExif情報を削除しておく必要がある。

＜一緒に写っている人に注意＞
　自分が写った写真が公開されてもよいのかどうかは、人によって判断が異なる。他人が写っている写真を勝手に投稿すると、人間関係にひびが入るだけでなく、肖像権やプライバシーの侵害によるトラブルに発展することもある。必ず事前に許可を得るか、写っている人が分からない様に画像処理を行う必要がある。

＜その他の写り込みに注意＞
　職場で写した投稿写真に、個人情報や機密情報を記載した書類などが写り込んでいたという事故が時々起きる。机の上や壁の掲示物、パソコンの画面などに、公開してはいけないものが写り込んでいないか、十分注意していただきたい。

■Exif情報の確認と削除方法

　Exif情報は、投稿先によって扱いが異なり、自動的に削除されるところもあれば、そのまま掲載されてしまうところもある。利用している投稿先でアップロード/ダウンロードを行い、Exif情報がどう処理されるかを事前に確認しておきたい。
　TwitterやFacebookのように、写真の位置情報は削除されるが、それとは別に投稿に位置情報を付加する機能を備えているサービスもある。この機能が有効になっていると、位置情報を取得できるスマートフォンなどから投稿した場合に、投稿場所の位置情報が公開されてしまうので注意が必要だ。
　写真に記録されたExif情報やこれに含まれる位置情報の表示や削除は、有料無料の様々なアプリが対応しているほか、システムの標準機能で行えるものもある。

＜Windows＞
　画像ファイルのプロパティを表示し、[詳細]タブを開くとExif情報が確認できる。[GPS]の項目がある場合には、位置情報が含まれているので注意したい。[プロパティや個人情報を削除]で、位置情報を含む任意の項目を削除することができる。

＜OS X＞
　画像ファイルをシステム標準の[プレビュー]で開くと、[ツール]→[インスペクタを表示]の[詳細情報]で表示できる。基本的なExif情報は、[Exif]タブで確認できる。[GPS]タブがある場合には、位置情報が記録されているので注意したい。[位置情報を削除]で削除することができる。

＜Android＞
　画像を扱えるアプリは機種ごとに異なるので、それぞれの端末のマニュアルで機能を確認していただきたい。多くの端末で標準または追加インストールされるGoogleの「フォト」の場合には、写真を表示してメニューの[詳細]を選択すると、位置情報が含まれている場合に撮影場所の地図と経緯度が表示される。削除機能はないので、対応アプリを別途用意していただきたい。
　端末の位置情報の管理に関しては、[設定]から[位置情報][位置情報サービス][位置情報アクセス][現在地送信機能]などのオプションを選択すると行うことができる。管理できるのは全体のON/OFFのみで、アプリに対する個別の設定はアプリ側の対応次第だ。

＜iOS＞
　位置情報が含まれているかどうかは、標準の「写真」アプリで確認できる。位置情報が含まれている場合には、写真を表示した際に住所が表示されるほか、[写真]から場所を選択して表示することもできる。削除機能は用意されていないので、対応アプリまたは「写真」アプリのプラグインを別途用意していただきたい。
　端末の位置情報の管理に関しては、[設定]→[プライバシー]→[位置情報サービス]で行うことができる。全体のON/OFF設定や自分の位置情報の共有設定、個々のアプリに対する利用の許可設定、個々のシステムサービスに対する利用の許可設定と、細かな管理が行える。

（2015/04/28 ネットセキュリティニュース）

【関連URL】
・2015年5月の呼びかけ「 ゴールデンウィーク（GW）の行楽写真を投稿する際はご注意を 」（IPA）
https://www.ipa.go.jp/security/txt/2015/05outline.html

◆アダルトサイト相談件数が年間10万件を超え、過去最多に（国民生活センター）（2015/04/28）

　国民生活センターは23日、全国の消費生活センターなどに寄せられた2014年度（2014年4月～2015年3月）のアダルトサイトに関する相談件数が10万件を超え、過去最多となったと発表した。

　アダルトサイトに関する相談の件数は、2011年度に過去最多となる9万5650件を記録。2012年度には6万5387件まで減少したものの、商品・サービス別の相談件数の1位をキープし続けており、2013年度は8万418件へと増加、2014年度はついに10万件を超え10万6279件となった。

■「支払い後」の相談が増加、「支払った金額」も高額化

　相談の多くは「有料だという認識がないままサイトを見ていたところ、突然、料金の請求画面が表示された。支払わなければならないか」といった、業者に支払う前のものが占めるという。しかし、すでに支払ってしまったという相談も2～3％の割合であり、2014年度は3.6％にあたる3802件へと増加した。支払ってしまった金額も、1件当たり平均約27万円へと上昇している。

■「女性」「60歳以上」からの相談が増加

　スマートフォンの利用者数はこの4～5年の間に急激に増え、携帯電話の利用者の約半分を占めるまでになった。そんな利用者数の増加と足並みを揃えるように、スマートフォン利用者からの相談件数が増え、2014年度は全体の44.7％にあたる4万7515件が、スマートフォンでのトラブルだった。
　また最近の傾向として、女性や高齢層からの相談増加がみられるという。アダルトサイトに関する相談の男女比は、2009年度は男性が73.2％、女性が26.8％だったのに対し、2014年度は男性67.9％、女性32.1％だった。スマートフォンに限定すると、女性の割合は38.5％とさらに高くなる。件数の増加率で見ると、男性が5年前の1.8倍（178.4％）なのに対し、女性は2.3倍（230.3％）だ。年齢の広がりも見られ、2009年度には7.6％だった60歳以上からの相談が、2014年度には21.3％と高くなっている。

■対応のポイントは「アクセスしない」「連絡しない」「支払わない」「相談する」

　センターが公開している報告書には、次のような事例が報告されている。
・業者からの架空請求メールに驚いて電話したところ、次々に利用料を請求され、高額な料金を支払ってしまった。
・タブレットで歌手の動画を見ようとして年齢確認ボタンをタップしたところ、突然アダルトサイトの会員登録完了の画面が表示された。
・アダルトサイトを見ていたら、請求画面の表示と同時にシャッター音がした。
　これらはいずれも、古くからある架空請求の手口ばかりだが、事情を知らない利用者がこうした場面に初めて遭遇するとパニックになり、適切な対応がとれなくなってしまうことがある。同センターは、次の3点をアドバイスしている。無料だと思っていても料金を請求されることがあるので、不用意にアクセスしないこと。業者に決して連絡をしないこと。お金は支払わずに、最寄りの消費生活センター等に相談すること。――「アクセスしない」「連絡しない」「支払わない」「相談する」が重要なのだ。センター関連の相談先は、下記の「全国の消費生活センター等」を参照していただきたい。

■支払ってしまった場合は「警察に相談」を

　すでに支払ってしまった場合や相手から脅されたりした場合には、直ちに最寄りの警察署に相談しよう。迅速に対処すれば、振り込んだお金を取り戻せることもあるし、被害の拡大を防ぐことができるかもしれない。警察署では、支払い前の相談や怪しいサイトを見かけたなどの情報提供も受け付けている。相談専用電話は、全国共通の短縮ダイヤル「＃9110」または、下記の「警察総合相談電話番号」を参照していただきたい。メールやWebサイトでの情報提供も受け付けているので、下記「都道府県警察本部のサイバー犯罪相談窓口等一覧」を参照していただきたい。

　アダルトサイトの不当請求や架空請求メールによる被害などは、振り込め詐欺救済法（犯罪利用預金口座等に係る資金による被害回復分配金の支払等に関する法律）の返還対象になっており、凍結した口座や残高の情報は、下記「振り込め詐欺救済法に基づく公告」のページで確認できる。

（2015/04/28 ネットセキュリティニュース）

【関連URL】
・アダルトサイトの相談が年間で10万件を突破！（国民生活センター）
http://www.kokusen.go.jp/news/data/n-20150423_1.html
・全国の消費生活センター等（国民生活センター）
http://www.kokusen.go.jp/map/index.html
・警察総合相談電話番号（警察庁）
https://www.npa.go.jp/safetylife/soudan/madoguchi.htm
・都道府県警察本部のサイバー犯罪相談窓口等一覧（警察庁）
http://www.npa.go.jp/cyber/soudan.htm
・振り込め詐欺救済法に基づく公告（預金保険機構）
http://furikomesagi.dic.go.jp/

◆グーグル、「AndroidシステムのWebView」の最新版を公開（2015/04/24）

　グーグルは23日、「AndroidシステムのWebView」の最新版「42.0.2311.129」を公開した。アップデートの対象は、Android 5.0以降。

　最新版では、安定性とセキュリティの修正を提供するとしており、何らかの脆弱性が修正されたとみられる。すでにGoogle Playを通じて配信されているので、Google Playストアのマイアプリ、または下記「AndroidシステムのWebView」のリンク先で、最新版に更新していただきたい。

　WebViewは、アプリがWebページを表示する際に用いるシステムの部品で、レンダリングエンジンと呼ばれているもの。Android 4.4からは、それまで採用していたWebKitベースのエンジンから、Google Chromeと同じChromiumベースのエンジンに変更。Android 5.0からは、OSに組み込まれていたWebViewをOSから切り離し、Google Play経由でアップデートできるようにした。

　レンダリングエンジンの欠陥は、通信端末にとっては致命的な事態を引き起こしかねない。ところが従来は、Googleが修正したものを各社が自社の端末のOSに反映し、端末に用意されているAndroid OSのアップデート機能を通じて更新しなければならなかった。OSのアップデートは端末ごとに対応が異なり、大幅に遅れたり、更新されないことも珍しくなかったりする。Android 5.0からは、OSのアップデートを待たずに対処できるようになったわけだ。

（2015/04/24 ネットセキュリティニュース）

【関連URL】
・Android WebView Stable Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/04/android-webview-stable-update.html
・AndroidシステムのWebView（Google Play）
https://play.google.com/store/apps/details?id=com.google.android.webview

◆4月中旬から国内金融機関装うフィッシング増加、警察庁が注意呼びかけ（2015/04/23）

　警察庁は21日、国内の金融機関を装うフィッシングサイトが4月中旬から増加しているとして注意を呼びかけた。

　国内の金融機関を装うフィッシングサイトは、今年1月下旬に観測されて以降は確認されていなかったが、4月中旬以降、再び増加しているという。同庁は正規サイトの見分け方などを再掲し、被害にあわないよう注意を呼びかけている。

　警察庁がフィッシングサイトへの注意喚起を出した21日、フィッシング対策協議会も「緊急情報」を2件、発出している。「セブン銀行」と「新生銀行」をかたるフィッシングサイトが稼働し、そこへ誘導するフィッシングメールが出回っているという情報だ。今年に入って同協議会が出した金機関を装うフィッシングの緊急情報は次の通り。

●フィッシング対策協議会の「緊急情報」
2015年04月21日 セブン銀行をかたるフィッシング
https://www.antiphishing.jp/news/alert/sevenbank20150421.html
2015年04月21日 新生銀行をかたるフィッシング
https://www.antiphishing.jp/news/alert/shinseibank20150421.html
2015年04月15日 三菱東京UFJ銀行をかたるフィッシング
https://www.antiphishing.jp/news/alert/mufg20150415.html
2015年01月23日 三菱東京UFJ銀行をかたるフィッシング
https://www.antiphishing.jp/news/alert/ufj20150123.html

　1月下旬に観測されたフィッシングサイトが、数か月のブランクをおいて4月中旬から再び増加しているという警察庁の情報と一致している。

●フィッシングサイトの特徴

　警察庁は、これらのフィッシングサイトの特徴をいくつか指摘している。1つは、「SSL/TLS」で暗号化されていないこと（暗号化されていれば、個人情報等を入力するときのサイトのURLは「https」で始まる）。もう1つは、フィッシングサイトのアドレスの多くに、「.cn.com」のドメインが含まれること。1つのサーバに複数のURLでフィッシングサイトが稼動している状況や、同一のURLでIP アドレスを変えながらフィッシングサイトが稼動している状況も確認されている。

●フィッシングサイトの見分け方

　警察庁は正規サイトを見分ける方法として、次の3項目を確認するよう勧めている。
(1) ブラウザに表示されているURLが正規のものであるか確認する。
(2) 個人情報等を入力する場合は、URLが「https」から始まることを確認する（SSL/TLS対応）。
(3) サイトの証明書を表示し、証明書の発行先が金融機関等の正規のサイト管理者であることを確認する。

　SSL/TLS対応の場合、https接続でURL欄に鍵マークが表示され、クリックすると証明書が表示される。国内金融機関の多くが対応しているEV SSLの場合は、https接続でURL欄にその金融機関名が緑色で表示される。地銀や信金などのオンラインバンキングでは、外部システムを利用していることが多く、その場合はその銀行名ではなく運営会社の名前が表示されることがあるので注意しよう。表示はブラウザによっても異なるため、詳細は次の記事を参照していただきたい。
・安全なインターネット通信を実現する「SSL/TLS」－－その仕組みと使い方（2015/05）
http://www.so-net.ne.jp/security/news/newstopics_201503.html

　フィッシング被害を防ぐには、不審なメールを開封しない、メール内のリンク先は安易にクリックしない、ウイルスに感染しないなど基本対策も重要だ。総合的対策については、次のガイドラインを参照されたい。
・フィッシング対策ガイドライン2014年度版[PDF]（フィッシング対策協議会）
https://www.antiphishing.jp/report/pdf/antiphishing_guide.pdf

（2015/04/23 ネットセキュリティニュース）

【関連URL：警察庁】
・平成27年4月21日金融機関のフィッシングサイトの増加について[PDF]
http://www.npa.go.jp/cyberpolice/detect/pdf/20150421.pdf
＜昨年の注意喚起＞
・平成26年6月30日金融機関等のフィッシングサイトの増加について[PDF]
http://www.npa.go.jp/cyberpolice/detect/pdf/20140630.pdf
・平成26年9月25日金融機関等のフィッシングサイトの増加について（第2報）[PDF]
http://www.npa.go.jp/cyberpolice/detect/pdf/20140925.pdf

◆コミュニティサイトでの犯罪被害が過去最悪に――無料通信アプリが影響（警察庁）（2015/04/22）

　コミュニティサイトを利用して性犯罪などの被害にあった18歳未満の児童数が2年連続で増加し、過去最悪の1421人となった。無料通信アプリのID交換掲示板が被害増加に影響している。アクセス手段の約8割はスマートフォンで、約9割がフィルタリングを利用していなかった。

　出会い系サイトの被害児童数が減少を続ける一方で、コミュニティサイトでの被害児童数は増加を続けている。2011年、2012年に減少の兆しを見せたものの、2013年に増加に転じ、2014年は統計を取り始めた2008年以降、最多の1421人（前年比128人増）となった。

●無料通信アプリの「ID交換掲示板」が被害増を後押し

　2年連続の被害増に大きく影響したのは、LINEなど無料通信アプリのID交換掲示板だ。無料通信アプリは、IDさえわかれば相手の電話番号やメールアドレスを知らなくても直接やり取りができる。ID交換掲示板を使えば、児童が見ず知らずの相手と出会い、直接連絡し合うことが可能になる。
　警察庁は、ID交換掲示板に起因する被害児童数を2012年から別枠でカウントしているが、2012年に36人だったものが2013年には352人に急増し、2014年も439人に増加した。しかし、この439人の内訳をみると、2014年の上半期が262人、下半期が177人となっており、減少への流れも見える。警察庁の要請を受けて関係各所がとった防止対策が、効果を上げているものと見られる。

●深刻な「重要犯罪」が前年比で46％増

　2014年にコミュニティサイトで被害にあった1421人の被害内容をみると、最多は「青少年保護育成条例違反」の711人、次いで「児童買春・ポルノ禁止法違反」618人、「児童福祉法違反」54人だった。いずれも性犯罪関連の条例・法律で、この3項目で計1384名、全体の97％となる。残りは「重要犯罪」に分類される被害で、「強姦」23人、「強制わいせつ」11人、「略取誘拐」3人、「殺人」1人という深刻な被害が発生した。前年比で46％の増加となった。

●アクセス手段の最多はスマホ、フィルタリングは9割以上が利用せず

　被害児童がコミュニティサイトへアクセスする際に使った手段は「スマートフォン」1118人が最多で、被害児童全体の78％を占める。次いで「携帯電話（+パソコン含む）」158人、「パソコン」43人、「その他」90人と続く。
　コミュニティサイトを利用することについて、保護者から注意を受けていなかったという被害児童は53.8％と半数を超え、9割以上がフィルタリングに加入していなかった。デジタルアーツの最新の調査では、10～18歳のフィルタリング利用率は48.6％となっており、被害児童の利用率の低さがわかる。

　警察庁は今後、コミュニティサイト事業者に被害防止対策を働きかけるとともに、スマートフォンを中心としたフィルタリングの普及活動、児童、保護者、学校関係者に対する広報啓発、サイバー補導の推進などに努めていくとしている。

（2015/04/22 ネットセキュリティニュース）

【関連URL】
・平成26年中の出会い系サイト及びコミュニティサイトに起因する事犯の現状と対策について[PDF]（警察庁）
http://www.npa.go.jp/cyber/statics/h26/h26_community-2.pdf
・未成年の携帯電話・スマートフォン利用実態調査[PDF]（デジタルアーツ）
http://www.daj.jp/company/release/data/2015/020901.pdf

◆モジラ、Webブラウザ「Firefox」の最新版「37.0.2」公開（2015/04/21）

　モジラは21日、Webブラウザ「Firefox」の最新版「37.0.2」を公開した。対象となるのは、Windows、Mac、Linuxである。Android用は先週から配信されている。

　最新版では、重要度「高」の脆弱性、1件が修正されている。この脆弱性は、プラグインの初期化に失敗した場合にメモリー破壊が起こる問題で、悪用されると任意のコードが実行されるおそれがあった。

　それぞれの最新版は自動更新機能を通じて配布されているほか、手動で今すぐ更新することもできる。

　デスクトップ版は、Windows用のメニューボタン「≡」をクリック→下段のヘルプボタン「？」をクリック→表示された[ヘルプ]メニューの[Firefoxについて]を選択する。または、[Alt]キーを押してメニューバーを表示し、[ヘルプ]メニューの[Firefoxについて]を選択する。OS X用はFirefoxメニューの[Firefoxについて]を選択する。

　Android版は15日から配信されており、メニューから[設定]→[Mozilla]→[Firefoxについて]の順に選択すると、使用中のバージョンが確認できる。[更新を確認]をタップすると、最新版の確認と更新が行える。

　ESR版およびメールソフトのThunderbirdについては、今回修正された脆弱性の影響はないようで、最新版は「31.6.0」のまま変わりない。

（2015/04/21 ネットセキュリティニュース）

【関連URL：Mozilla Japan】
・Firefox リリースノート
http://www.mozilla.jp/firefox/37.0.2/releasenotes/
・Android 版 Firefox リリースノート
http://www.mozilla.jp/firefox/android/37.0.2/releasenotes/
・Firefoxセキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html
・MFSA 2015-45: プラグイン初期化失敗時のメモリ破壊
http://www.mozilla-japan.org/security/announce/2015/mfsa2015-45.html

◆ネットで見つけた業者で格安航空券を手配、入金後にトラブル～東京都が注意喚起（2015/04/20）

　東京都は10日、「インターネットで見つけた旅行業者に格安の国内航空券手配を依頼し、代金を振り込んだが、航空会社には入金されておらず、業者との連絡もつかなくなった」という相談が寄せられているとして注意を呼びかけた。

　都に寄せられた相談事例では、50歳代の女性が旅行サイトから国内航空券を申し込み、翌日、代金を振り込んだ。旅行業者からは出発3日前までに予約番号を知らせるとのメールが来たが、その後の連絡はなく、航空会社に確認したところ、予約はあるが入金されていない状態だった。業者とは連絡がとれないという。

　20歳代の女性は、「格安の航空券を取り扱っている」という旅行業者のインターネットサイトを通じて、国内航空券の手配を依頼し、代金を支払った。業者からメールで予約番号が通知されたが、後日、航空会社に確認したところ、予約が勝手にキャンセルされていることが分かった。業者に電話をしたがつながらないという。

■業者と連絡がとれなくなった場合の対応

　都は、インターネットで手配を依頼した旅行業者と連絡がとれなくなった場合は、航空会社に直接、予約が入っているのかどうか、代金は入金済みなのかどうかを確認するようアドバイスしている。その際、業者から通知されてきた予約番号があれば、それも伝える。また、旅行業者に返金を求めるためには、メールのやりとり、領収書など、証拠となる資料が必要となるので、しっかりと保管しておきたい。

■ネットでの申込み・入金前に「旅行業登録」の確認を

　さらに都は、予約前に、業者が旅行業登録をしているかどうかを確かめるようすすめている。旅行業を営むためには、観光庁長官または都道府県知事の登録を受けることが必要となっている。登録旅行業者は業務の範囲等に応じて営業保証金を供託しており、旅行業者が倒産した場合等には、この営業保証金から旅行者に対して旅行代金が還付される。旅行業登録の確認方法については、関連URLの「旅行業登録制度について(概要)」を参照していただきたい。

　インターネットを通じた旅行の申し込みをめぐっては、観光庁でも注意を呼びかけている。旅行の申し込みを受け付けているサイトの中には、日本語のサイトであっても、日本に営業所をもたない外国の旅行会社が開設しているケースがあり、そうしたサイトで申し込んだ旅行については、日本の旅行業法その他の関係法令に基づく保護を受けることはできない。同庁は、利用する旅行会社が旅行業の登録を受けている旅行業者かどうか、登録番号を確認した上で、旅行の申し込みをするようすすめている。

（2015/04/20 ネットセキュリティニュース）

【関連URL】
・航空券の手配をネットで依頼した旅行業者と連絡が取れなくなった！～イザ！というときに慌てないために～（東京都）
http://www.shouhiseikatu.metro.tokyo.jp/sodan/kinkyu/150410.html
・旅行業登録制度について(概要)（東京の観光公式サイト GO TOKYO）
http://www.gotokyo.org/jp/administration/inter/tokanko4.html
・旅行の申し込みの際は、利用される旅行会社が旅行業の登録を受けていることの確認を忘れずに！(観光庁）
http://www.mlit.go.jp/kankocho/1102_mutouroku.html
・旅行業・宿泊業関係情報（旅行業者ネガティブ情報含む）（観光庁）
http://www.mlit.go.jp/kankocho/ryoko_info.html

◆オラクル、「JRE 8 Update 45」を公開 深刻な脆弱性を修正（2015/04/15）

　オラクルは米国時間14日、四半期ごとの定例アップデートの一環として、JRE（Java Runtime Environment：Java実行環境）の最新版、JRE 8 Update 45（1.8.0_45）を公開した。

　8 Update 45では、Update 40以前に影響する脆弱性13件が修正されている。そのうち3件は、脆弱性評価システム（CVSS）のスコアが最高値の「10.0」とされている危険性の高いものだ。悪用されると、外部からの攻撃でシステムが乗っ取られてしまうなどの深刻な被害が発生するおそれがある。

　また、脆弱性のうち11件は JRE 7のUpdate 76（1.7.0_76）以前にも影響があり、これを修正した7 Update 79が公開されている。

　対象となるのは、Windows、v10.7.3以降のMac OS X、Linux、Solaris。JREのアップデート機能（自動更新機能や、Javaコントロールパネルの[更新]タブの[今すぐ更新]ボタン）を使って更新できるほか、同社サイトから無料でダウンロードすることもできる

　なお、JRE 7の一般向けアップデートは今回が最後となる。4月30日には公式サポートも終わるので、今後もJREを使い続ける場合は、JRE 8へ早急に更新するようおすすめする。JREの自動更新が有効になっていれば、すでにJRE 8への更新とJRE 7の削除が自動的に行われている。JREが不要であれば、アンインストールも視野に入れよう。アンインストールの方法については、下記の「関連URL」を参照していただきたい。

（2015/04/15 ネットセキュリティニュース）

【関連URL】
・Oracle Critical Patch Update Advisory - April 2015［英文］（オラクル）
http://www.oracle.com/technetwork/topics/security/cpuapr2015-2365600.html
・Javaのバージョンの確認（オラクル）
http://www.java.com/ja/download/installed.jsp
・Javaのダウンロード（オラクル）
http://java.com/ja/download/
・Java 7のダウンロード（オラクル）
http://www.java.com/ja/download/manual_java7.jsp
・WindowsコンピュータからJavaをアンインストールするにはどうすればよいですか。（オラクル）
https://www.java.com/ja/download/help/uninstall_java.xml
・MacでJava 7およびそれ以降のバージョンをアンインストールするにはどうすればよいですか。（オラクル）
https://www.java.com/ja/download/help/mac_uninstall_java.xml
・公式サポートが終了する Java Platform, Standard Edition 7（Java SE 7）の利用者に向けた注意喚起（IPA）
http://www.ipa.go.jp/about/press/20150311.html

◆グーグル、深刻な脆弱性を修正した「Google Chrome 42」を公開（2015/04/15）

　グーグルは14日、深刻な脆弱性を修正した「Google Chrome」の最新安定版「42.0.2311.90」を公開した。対象となるのは、Windows、Mac、Linux。

　Chrome 42では、Push通知機能が追加されるなど、Webアプリ/拡張機能向けのAPI追加が行われたほか、45件の脆弱性が修正されている。修正された脆弱性には、クロスオリジンでの制限の迂回や、解放したメモリーにアクセスしてしまう問題など、深刻度が「最高」の脆弱性も複数含まれている。

　最新版への更新は自動的に行われるほか、Chromeメニュー（右端のアイコン≡）から[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。

（2015/04/15 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/04/stable-channel-update_14.html

◆アドビ、深刻な脆弱性を修正した「Flash Player」の最新版公開（2015/04/15）

　アドビシステムズは14日、深刻な脆弱性複数を修正した「Flash Player」の最新版を公開した。緊急度は、最も高い「クリティカル」。脆弱性のうち1件については、これを悪用するコードがすでに出回っている。

　アップデートの優先度は、Windows版、Mac版、Google Chrome搭載版、Internet Explorer搭載版で3段階中最も高い「1」、Linuxでは「3」とされている。

　最新版では、メモリー破壊の問題、解放したメモリーの再使用の問題など、コード実行につながるおそれのある脆弱性を含め、22件の脆弱性が修正されている。

　脆弱性の影響を受けるのは、Windows版とMacintosh版、Internet Explorer/Google Chrome内蔵版の「17.0.0.134」以前のバージョンと、Linux版の「11.2.202.451」以前のバージョンである。アップデート後は、それぞれ「17.0.0.169」「11.2.202.457」に更新される。延長サポート版の「13.0.0.277」以前のバージョンも影響を受けるため、最新の「13.0.0.281」が提供されている。

　システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルの「Flash Player」の[更新]タブで確認できる。最新版への更新は、Flash Playerの自動更新機能を通じて行われるほか、同社サイトからダウンロードすることもできる。

　Windows 8/8.1に搭載されているIE 10/11用のFlash Playerについては、準備が整い次第、最新版がWindows Updateを通じて配布され、自動的に更新が行われる。Google Chrome用のFlash Playerについては、最新版を同梱した「Google Chrome 42.0.2311.90」が公開されており、こちらも自動的に更新される。

（2015/04/15 ネットセキュリティニュース）

【関連URL】
・APSB15-06：Security updates available for Adobe Flash Player［英文］（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsb15-06.html
・Flash Playerのバージョン確認（アドビ）
http://www.adobe.com/jp/software/flash/about/
・Flash Playerのダウンロード（アドビ）
http://get.adobe.com/jp/flashplayer/
・マイクロソフトセキュリティアドバイザリ（2755801）：Internet Explorer上のAdobe Flash Playerの脆弱性に対応する更新プログラム（マイクロソフト）
https://technet.microsoft.com/library/security/2755801
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/04/stable-channel-update_14.html

◆マイクロソフト、4月度の月例セキュリティパッチを公開（2015/04/15）

　マイクロソフトは15日、4月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。

　公開されたパッチは、深刻度が4段階評価で最も高い「緊急」4件と、次に高い「重要」7件の計11件。Windows、Windows Server、Internet Explorer、Office、SharePoint Server、.NET Frameworkが影響を受ける。

【更新プログラムの内容】
＜緊急＞
・[MS15-032]Internet Explorer用累積パッチ：リモートコード実行の脆弱性
・[MS15-033]Office：リモートコード実行の脆弱性
・[MS15-034]HTTP.sys：リモートコード実行の脆弱性
・[MS15-035]Graphicsコンポーネント：リモートコード実行の脆弱性

＜重要＞
・[MS15-036]SharePoint Server：特権昇格の脆弱性
・[MS15-037]タスクスケジューラ：特権昇格の脆弱性
・[MS15-038]Windows：特権昇格の脆弱性
・[MS15-039]XMLコアサービス：セキュリティ機能バイパスの脆弱性
・[MS15-040]Active Directoryフェデレーションサービス：情報漏えいの脆弱性
・[MS15-041].NET Framework：情報漏えいの脆弱性
・[MS15-042]Hyper-V：サービス拒否の脆弱性

　緊急のOffice用パッチ（MS15-033）では5件の脆弱性を修正しているが、このうち1件については情報がすでに一般で公開されており、これを悪用しようとする限定的な攻撃も確認されている。

　このほか、新たに「Saluchtra」など4種に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開されている。Windows 8/8.1/RT/RT 8.1およびServer 2012/Server 2012 R2上のInternet Explorer 10/11に搭載されている「Adobe Flash Player」の更新プログラムも、準備が整い次第公開される予定だ。

（2015/04/15 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セーフティとセキュリティセンター
http://www.microsoft.com/ja-jp/security/default.aspx
・2015年4月のセキュリティ情報
https://technet.microsoft.com/ja-jp/library/security/ms15-apr
・セキュリティアドバイザリ（2755801）Internet Explorer上のAdobe Flash Playerの脆弱性に対応する更新プログラム
http://technet.microsoft.com/ja-jp/security/advisory/2755801

◆国内ネット銀ユーザー狙うマルウェア「WERDLOD」、1～3月に400件検出（2015/04/14）

　トレンドマイクロは10日、日本を標的とするオンライン銀行詐欺ツール「WERDLOD」について注意を呼びかけた。ネットバンキングで使用する認証情報を盗み取ろうとするマルウェア（ウイルス）で、同社では2015年1月から3月の間に国内で約400件を検出したという。

　攻撃者はまず、大手通販サービスを装う添付ファイル付きの迷惑メールをばらまく。トレンドマイクロでは通販サービスの名称を明らかにしていないが、実際は楽天市場を装ったメールで、「2015/02/10日付ご注文No.95193244」などという件名で、2月10日頃に出回った。添付されているRTFファイルを開き、「画像をダブルクリックして領収証をお受け取りください。」と書かれている通りに画像のアイコンをダブルクリックしてしまうと、WERDLODに感染する。楽天市場も2月12日にこのメールへの注意を呼びかけている。

　楽天を装ったRTFファイル付きの迷惑メールは、昨年12月にも「2014/12/8付ご注文」などの件名でばらまかれている。トレンドマイクロの昨年12月10日付のブログによると、12月8～9日の2日間で、このメールに添付されていたマルウェアが国内の800台以上から検出されたという。

■WERDLODに感染すると、どうなるか

　WERDLODに感染すると、国内の大手金融機関4行、地銀10行などを含む、26のJPドメインへのアクセスが、攻撃者の用意した不正なプロキシサーバーを経由するようになってしまう。これは、感染端末と正規のネットバンクのサーバーとの通信に割り込む「中間者攻撃」と呼ばれる手法だ。ユーザーは正規のネットバンクと通信しているつもりなのだが、実は攻撃者と通信しており、ユーザーが入力した情報は攻撃者に筒抜けとなっている。

　ただし、ネットバンキングサイトでは通常 HTTPS（HTTP over SSL/TLS）でアクセスするため、単に不正なプロキシサーバーを経由させるだけでは、「SSLサーバ証明書の検証エラー」が発生し、ブラウザに警告画面が表示されて、ユーザーに気付かれる。WERDLODは、不正なルート証明書をこっそりパソコンやブラウザの「信頼するルート証明書リスト」へインストールし、このエラーが発生しないようにしてしまう。

　WERDLOD自体は、情報を盗み取る活動を行わない。中間者攻撃を可能にするために設定変更を行うだけのもので、感染成立後は、起動する必要も常駐する必要もない。WERDLODの本体ファイルを削除しても、WERDLODの行った設定変更がそのままになっていれば、ユーザーは被害を受け続けることになる。

■現時点でユーザーにできること

　現時点では、WERDLODの被害を防ぐ対策として、ブラウザのアドレスバーが緑色であるかどうかの確認が有効だ。多くの金融機関ではEV SSL証明書を導入しており、接続時にはアドレスバーが緑色になる（ブラウザによっては、錠前マークと運営者名が緑色で表示される）。WERDLODに感染した端末からネットバンクにアクセスした場合、通常は緑色になるはずのアドレスバーが緑色にならないため、いつもと違うと気付く助けになる。

　「アドレスバーが緑色」「錠前マークと運営者名が緑色」とはどういう状態なのかは、下記の「ネットセキュリティニューストピックス」（2015年3月）を参照していただきたい。ただし今後、攻撃方法がアップデートされ、プロキシサーバーが不正なEV SSL証明書を提示するようになる可能性もある。そうなるとこの確認方法は役に立たない。今のところは有効な対策として意識しておきたい。

　メールの添付ファイルを安易に実行しないことも非常に大切だ。

（2015/04/14 ネットセキュリティニュース）

【関連URL】
・日本を標的とする新たなオンライン銀行詐欺ツール「WERDLOD」の手口を解説（Trend Micro Security Blog）
http://blog.trendmicro.co.jp/archives/11258
・12月8日から急増の請求書偽装スパム、主な狙いは国内銀行15行の認証情報か？（Trend Micro Security Blog）
http://blog.trendmicro.co.jp/archives/10558
・「invoice_10_02_2015.rtf」というファイルが添付されたメールにご注意ください（楽天市場）
http://ichiba.faq.rakuten.co.jp/app/answers/detail/a_id/26504

◆警視庁「ネットバンキングウイルス無力化作戦」実施――国内感染4万4000台（2015/04/13）

　警視庁は10日、「ネットバンキングウイルス無力化作戦」を始めたと発表した。作戦のターゲットは、国内のパソコン4万4000台の感染が確認されたウイルスVawtrak（ボートラック）。ウイルスが不正送金を実行できないように無力化し、感染端末の利用者にはプロバイダーを通じて駆除を依頼する。

　警視庁サイバー犯罪対策課によると、同課ではVawtrakの感染端末に関する情報を入手し、世界で約8万2000台、うち国内で約4万4000台の端末を特定した。セキュリティ企業の協力を得て、ウイルス感染端末の不正送金被害を防ぐための対応策を講じている。

　ウイルスをどのような方法で無力化するのかは、明らかにされていない。報道によると、同課は、昨年不正送金の被害にあった石川県の女性から感染端末の提供を受け、これを解析。感染端末に指令を送るC&Cサーバー（コマンド＆コントロールサーバー）のうち1台を特定し、制圧に成功した。このサーバーのログから感染端末を特定するとともに、不正送金が実行されないように、ウイルスを無力化する対策を行ったという。ウイルスの無力化については、セキュリティ企業のセキュアブレインが技術協力を行っている。

　さらに同作戦では、総務省および、日本データ通信協会テレコム・アイザック推進会議（Telecom-ISAC Japan）と連携して、感染端末の利用者に対しウイルスの駆除を依頼する。

　Telecom-ISAC Japanは、国内主要通信事業者、ISP（インターネットサービスプロバイダー）の業界団体である。総務省とTelecom-ISAC Japanでは、2013年から実施している「官民連携による国民のマルウェア対策支援プロジェクト(ACTIVE)」の取り組みを活用し、ACTIVEに参加する国内ISP事業者に情報を提供して、Vawtrakに感染している端末の利用者に注意喚起を行う。

　警視庁では、こうした連絡を受けた場合、ウイルス対策ソフトを導入し、ウイルス定義ファイルをアップデートした上でスキャンを行い、ウイルスを駆除するよう呼びかけている。同庁では、インターネットバンキングの不正送金に対する基本的な対策として、OSやソフトウェアを常に更新し、最新の状態で利用すること、金融機関が提供するセキュリティ対策を利用することなど、複数の対策を講じることを強く推奨している。

（2015/04/13 ネットセキュリティニュース）

【関連URL】
・ネットバンキングウイルス無力化作戦の実施について（警視庁）
http://www.keishicho.metro.tokyo.jp/haiteku/haiteku/haiteku504.htm
・インターネットバンキングに係るマルウェアへの感染者に対する注意喚起の実施（総務省）
http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000092.html
・インターネットバンキングに係るマルウェア（VAWTRAK）感染端末利用者に対する注意喚起について（Telecom-ISAC Japan）
https://www.telecom-isac.jp/news/news20150410.html
・インターネットバンキングに係るマルウェア（VAWTRAK）感染端末利用者に対する注意喚起について（ACTIVE）
http://www.active.go.jp/active/news/release/entry-231.html
・セキュアブレイン、警視庁の「ネットバンキングウイルス無力化作戦」に技術協力（セキュアブレイン）
http://www.securebrain.co.jp/about/news/2015/04/keishicho2.html

◆アップル、深刻な脆弱性を修正したOS X/Safari/iOSの最新版公開（2015/04/10）

　アップルは9日、Mac OS X Yosemite v10.10.3とMavericks/Mountain Lion用の「セキュリティアップデート 2015-004」、Webブラウザ「Safari」の最新版、モバイル端末用OSの最新版「iOS 8.3」を公開した。いずれも深刻な脆弱性の修正が含まれている。

■OS X Yosemite v10.10.3、Security Update 2015-004

　Yosemiteで75件（内包のSafariを除く）、MavericksとMountain Lionで62件の脆弱性が修正されている。細工されたWebサイトを閲覧すると任意のコードが実行されるおそれのある深刻な脆弱性の合修正が多数含まれている。
　アップデートは、自動更新や通知のクリック、または手動で「App Store」を確認する。Appleメニューから[App Store]を選択し、ツールバーの[アップデート]ボタンをクリックすると、利用可能なアップデートが表示される。
＜関連URL＞
・About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004［英文］（アップル）
https://support.apple.com/ja-jp/HT204659

■Safari 7.1.5/6.2.5

　Webページを描画するレンダリングエンジン「WebKit」で、任意のコードが実行されるおそれのある深刻な問題4件を含む、計8件の脆弱性が修正されている。
　「Safari 7.1.5」はOS X Mavericksに、「Safari 6.2.5」はOS X Mountain Lionに対応する。最新版への更新は、Appleメニューから[App Store]を選択し、ツールバーの[アップデート]ボタンをクリックする。
　なお、OS X Yosemite用の最新版「Safari 8.0.5」は、OS X 10.10.3に含まれている。
＜関連URL＞
・About the security content of Safari 8.0.5, Safari 7.1.5, and Safari 6.2.5 [英文]（アップル）
https://support.apple.com/ja-jp/HT204658

■iOS 8.3

　計58件の脆弱性が修正されている。任意のコードが実行されるおそれのある「WebKit」の問題21件など、深刻な問題の修正が多数含まれている。
　アップデートは、端末の[設定]アイコンから[一般]→[ソフトウェアアップデート]と進むか、端末をパソコンに接続してiTunes経由で行う。
＜関連URL＞
・About the security content of iOS 8.3［英文］（アップル）
https://support.apple.com/ja-jp/HT204661

（2015/04/10 ネットセキュリティニュース）

◆3月のフィッシング報告は693件、オンラインゲームが8割以上（対策協議会）（2015/04/09）

　フィッシング対策協議会は1日、2015年3月の月次報告書を公開した。報告件数、フィッシングサイトのURL件数ともに2月度より増加し、ブランド別ではオンラインゲームをかたるものが相変わらず8割以上を占めている。

　同協議会に寄せられた3月のフィッシング報告件数（海外含む）は、前月より195件増加して、693件となった。攻撃者がユーザーを誘導する偽サイトのURL件数（重複なし）は前月より52件増加して361件、フィッシングに悪用されたブランド件数（海外含む）は前月より1件増加して12件となった。

　ブランドの最多を占めるオンラインゲームは、昨年12月は全体の9割以上、今年1月は75％、2月は85％以上と推移し、3月は「8割以上」と報告されている。残りは、クレジットカードなど金融機関をかたるフィッシングだ。

　「フィッシングメールが出回っています」という緊急情報を、同協議会は3月に計4回（ゲームと金融機関が各2件）、発信している。

・ハンゲームをかたるフィッシング (2015/03/20)
https://www.antiphishing.jp/news/alert/hangame20150320.html
・セゾンNetアンサーをかたるフィッシング （2015/03/23）
https://www.antiphishing.jp/news/alert/saison20150323.html
・OMC Plus をかたるフィッシング（2015/03/30）
https://www.antiphishing.jp/news/alert/omc_plus_20150330.html
・GAMECITY をかたるフィッシング （2015/03/31）
https://www.antiphishing.jp/news/alert/gamecity_20150331.html

　これらの偽メールはすべて、不正アクセスなどのトラブルが発生したと嘘をつき、アカウントを確認したいなどの理由で偽サイトのURLをクリックさせ、IDなどの情報を入力させようとする。このようなフィッシングに釣られて、アカウント情報 (ID、パスワードなど) を入力することは絶対にしないよう、注意していただきたい。

　同協議会は、金融機関やオンラインゲームをかたるフィッシングメールが3月以降も続く可能性があるとして、注意を促している。

（2015/04/09 ネットセキュリティニュース）

【関連URL：フィッシング対策協議会】
・2015/03 フィッシング報告状況
http://www.antiphishing.jp/report/monthly/201503.html

◆原宿の巨大ポスターから新作映像、4コマ漫画まで幅広くセキュリティ広報（IPA）（2015/04/07）

　JR原宿駅の大型看板を使ったマンガポスターや、東京ビッグサイトで開催される「情報セキュリティEXPO」出展、「情報モラル・セキュリティコンクール」の作品募集など、IPA（情報処理推進機構）の広報活動が盛り上がりを見せている。新年度のスタートに向け、情報セキュリティ意識の再確認に役立てたい。

■原宿で胸キュン＠ラブストーリー：若者にパスワードの重要性アピール

　JR原宿駅の大型ボード17面に、「パスワード－－もっと強くキミを守りたい」と題し、青春マンガ「安心してネットやスマホを楽しむための胸キュン＠ラブストーリー」が展開されている。原宿の風物詩ともなっているイベント「原宿ファッションジョイボード文化展」にIPAが出展したもので、4月3日から9日までは線路側ボードでホームから見られた。4月10日からは道路側ボードで、竹下口に面した道路から見ることができる（10月8日まで）。スマホユーザーが急増している若年層に向けて、安易なパスワードではなく強いパスワードを使うことの重要性を訴えている。このユニークなポスターのスライドショーをIPAのサイトで閲覧できる。関連して、パスワードと安全な付き合い方を学ぶ「チョコっ＋パスワード」も一読しておこう。
・「マンガポスター」スライドショー
http://www.ipa.go.jp/security/keihatsu/munekyun-pw/slideshow/index.html
・チョコっと＋パスワード
http://www.ipa.go.jp/chocotto/pw.html

■「情報セキュリティEXPO」－－啓発資料やDVD-ROMを無償配布

　IPAは今年5月13～15日に東京ビッグサイトで開催される「情報セキュリティEXPO[春]」に出展し、サイバー攻撃対策や情報セキュリティの最新情報、教育・研修用教材などを紹介する。新作の啓発資料や啓発映像DVD-ROMを無償配布するなど、来訪者への特典も用意している。同EXPOは情報セキュリティ対策製品の商談を目的とした専門展で、一般ユーザーには、やや敷居が高い。しかし、特典資料のほとんどはPDFとして公開されているので、IPAのサイトからいつでもダウンロードできる。12本の映像を収納した「映像で知る情報セキュリティDVD-ROM」も、営利を目的としない用途であれば、無償で入手できる。同EXPOでの配布を皮切りに、5月下旬より順次配布開始予定だ。
・来訪者への特典資料一覧
http://www.ipa.go.jp/security/announce/ist_expo2015.html#haihubutu

■新作映像3本（企業向け・家庭向け・スマホユーザー向け）を公開

　IPAは、情報セキュリティを学ぶための映像コンテンツを、YouTube内の「IPA Channel」を通じて公開しており、3月31日には新作映像3本を新たに追加公開した。企業・組織の従業員向け「情報を漏らしたのは誰だ？ ～内部不正と情報漏えい対策～」、家庭ユーザー向け「陽だまり家族とパスワード ～自分を守る3つのポイント～」、スマホユーザー向け「検証！スマートフォンのワンクリック請求」の3本だ。この新作を含め12本の映像を収納した新DVD-ROMが、上記EXPOでの配布を皮切りに、5月下旬より順次配布される。予約受付け中なので、関心がある方は申し込んでみられてはいかがだろうか。
・情報セキュリティ啓発映像「内部不正と情報漏えい」「パスワード」「スマートフォンのワンクリック請求」の3本を公開
http://www.ipa.go.jp/security/keihatsu/videos/index.html

■「情報モラル・セキュリティコンクール」2015の作品募集開始

　児童や生徒（小・中・高校生、高専生）を対象に、情報モラルセキュリティをテーマとした標語やポスター、4コマ漫画等の作品を募る第11回IPA「ひろげよう情報モラル・セキュリティコンクール」2015の募集が4月1日から始まった。2015年のメインテーマは「スマホのルール」で、ほかに「SNS」「携帯電話／スマートフォン」「パソコン」「ウイルス」「ネットトラブル」「チェーンメール」「パスワード 」「ネットのルール／マナー」「著作権」「個人情報」「警察庁特別テーマ：ネットを通じて出会う危険」がテーマだ。2006年の第1回から現在まで、全国の学校から15万3296件の作品が寄せられている。応募は応募用紙をダウンロードし、個人または学校単位で申し込む（9月7日まで）。4月2日には4コマ漫画作成ツール（コミPo! 2015特別無料版）の提供も開始された。
・「4コマ漫画部門」の案内ページ
http://www.ipa.go.jp/security/event/hyogo/2015/manga.html

（2015/04/07 ネットセキュリティニュース）

【関連URL：IPA】
・JR原宿駅の大型看板17面に「パスワード強化」を訴求するポスターを展示（4月3日(金)より）
http://www.ipa.go.jp/security/keihatsu/munekyun-pw/
・第12回情報セキュリティEXPO[春]への出展のご案内
http://www.ipa.go.jp/security/announce/ist_expo2015.html
・第11回IPA「ひろげよう情報モラル・セキュリティコンクール」2015の作品募集を開始しました。
http://www.ipa.go.jp/security/event/hyogo/2015/

◆モジラ、深刻な脆弱性を修正した「Firefox 37.0.1」公開（2015/04/06）

　モジラは4日、Webブラウザ「Firefox」の最新版「37.0.1」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroidである。

　最新版では、重要度「最高」と「高」の脆弱性、計2件が修正されている。重要度「最高」の脆弱性は、サービス変更を通知する「HTTP Alternative Services」という仕組みを使うと、不正な証明書を使ったなりすましが行える問題があった。「高」の脆弱性は、Android版の「リーダーモード」を通じて、コンテンツの特権が渡ってしまう問題だった。

　それぞれの最新版は自動更新機能を通じて配布されているほか、手動で今すぐ更新することもできる。

　デスクトップ版は、Windowsがメニューボタン「≡」をクリック→下段のヘルプボタン「？」をクリック→表示された[ヘルプ]メニューの[Firefoxについて]を選択する（OS XはFirefoxメニューの[Firefoxについて]を選択）。

　Android版は、メニューから[設定]→[Mozilla]→[Firefoxについて]→[更新を確認]の順にタップする。

　ESR版およびメールソフトのThunderbirdについては、今回修正された脆弱性の影響はなく、「31.6.0」が最新版だ。

（2015/04/06 ネットセキュリティニュース）

【関連URL：Mozilla Japan】
・Firefox リリースノート
http://www.mozilla.jp/firefox/37.0.1/releasenotes/
・Android 版 Firefox リリースノート
http://www.mozilla.jp/firefox/android/37.0.1/releasenotes/
・Firefoxセキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html

◆グーグル、深刻な脆弱性を修正した「Google Chrome 41.0.2272.118」公開（2015/04/03）

　グーグルは2日、深刻な脆弱性を修正した「Google Chrome」の最新安定版「41.0.2272.118」を公開した。対象となるのは、Windows、Mac、Linux。

　最新安定版では、JavaScriptエンジンとゲームパッドAPI、IPC（InterProcess Communication：プロセス間通信）の問題を組み合わせると、不正な操作を防ぐための「サンドボックス」を迂回してリモートからコードが実行できる深刻度「最高」の脆弱性や、ハッキングコンテスト「Pwn2Own」で報告された深刻度「高」の脆弱性など、計4件の脆弱性が修正されている。悪用されるとシステムが乗っ取られるなどの深刻な事態を招くおそれがある。

　最新版への更新は自動的に行われるほか、Chromeメニュー（右端のアイコン≡）から[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。

（2015/04/03 ネットセキュリティニュース）

【関連URL】
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/04/stable-channel-update.html

◆スマホユーザー狙う近頃のワンクリック詐欺――騙されないための対処法（IPA）（2015/04/02）

　IPA（情報処理推進機構）は1日、スマートフォン（スマホ）ユーザーを狙ったワンクリック詐欺の新しい手口が確認されているとして注意を呼びかけた。焦って業者に電話したりメールしたりするのは厳禁だ。

　ワンクリック詐欺は、Webサイトで年齢認証などを求められてタップすると、突然登録完了画面が現れ、高額な料金の支払いを要求される架空請求のひとつ。IPAの相談窓口に寄せられるワンクリック詐欺の相談件数は、ピークだった2010年と比べると半分以下に減少したものの、今もなお月平均300件近い相談が寄せられている。昨年からは、スマホユーザーからのものが増えており、全体の2割から3割近くを占めるようになった。

■シャッター音で「写真を撮られた？」と焦らせる詐欺サイト

　これまでの相談は「請求画面が表示された」というものだったが、昨年末からは「請求画面の表示と同時に写真を撮られてしまったようだ」という相談が寄せられるようになったという。これは、携帯やスマホ向けのワンクリック詐欺サイトで、古くから使われている手口のひとつだ。シャッター音のデータを再生することによって、カメラが作動したように見せかけ、自分の写真を撮られてしまったとユーザーに誤認させようとする。
　ワンクリック詐欺サイトでは、アクセス先のWebサイトが利用できる、アクセス者のIPアドレスやブラウザ情報などを画面に表示し、あたかも個人を特定したかのように見せかけて不安を煽る手口が使われる。携帯やスマホ向けの詐欺サイトでは、その一環としてシャッター音を再生したり、バイブ機能を作動させたりする手口も使われる。閲覧中のサイトからスマホのカメラを遠隔操作するようなことはできないので、シャッター音が鳴っても焦らないでいただきたい。

■えんえんとループする「ブラクラ」入り詐欺サイト

　最近のワンクリック詐欺サイトは、以前のように直接銀行口座を表示して振り込ませようとするところはほとんど無く、電話やメールで連絡させようとするのが主流だ。ページにある「問い合わせ」「誤作動登録による削除申請」「クーリングオフの適用申請」「誤作動登録による削除申請」「自動退会処理の申請」「登録情報の削除依頼」など、何をタップしても、メールソフトやダイヤルソフトを起動し、メールを送ったり電話をかけたりしようとする。
　IPAが紹介している事例は、シマンテックやカスペルスキーが報告している、電話をかけさせようとするタイプをさらに悪質化したもの。古くからある、いわゆるブラクラ（ブラウザークラッシャー）の手法を登録完了ページにとり入れたもので、まずは9万9800円の料金、会員ID、問い合わせ先の電話番号などを記載したポップアップウィンドウを表示する。[OK]をタップしてポップアップを閉じると、ダイヤラが起動し、指定した電話番号に「186」付きで電話をかけさせようとする。「186」は、発信者番号が非通知設定でも相手に通知するかけ方だ。ダイヤラをキャンセルすると、ブラウザに戻って先のポップアップが再表示される。[OK]でまたダイヤラという具合に、えんえんとループするように作られている。ユーザーが発信するまでブラウザが使えないと思い込んで発信してしまうと、相手の思うつぼだ。発信してもキャンセルしてもループは終わらず、自分の電話番号を相手に通知してしまうことになる。

■請求画面が表示された場合の対処法

　IPAは、このような請求画面が表示された場合の対処として、慌てずにブラウザの表示から請求画面を消すことと、業者には絶対に連絡を取らないことをあげている。もし連絡をしてしまった場合や契約の成立に関して不安を感じる場合には、最寄りの消費生活センターに相談するよう呼びかけている。
　請求画面の消し方は、ブラウザのタブが操作できる場合にはタブを閉じればよい。ブラクラ入りのページの場合には、環境によってはタブを操作できなかったり、ブラウザを操作できなかったりすることがある。このような場合には、ブラウザの強制終了や閲覧履歴などの消去で対処できる。具体的な操作方法は、IPAの情報やネットセキュリティニュース1月30日付の記事を参照していただきたい。

（2015/04/02 ネットセキュリティニュース）

【関連URL】
・2015年4月の呼びかけ「スマートフォンでのワンクリック請求の新しい手口にご用心」（IPA）
http://www.ipa.go.jp/security/txt/2015/04outline.html
・スマートフォンのブラウザをロックするように進化したワンクリック詐欺（シマンテック）
http://www.symantec.com/connect/ja/blogs-369
・ワンクリック詐欺で慌てた話（カスペルスキー）
http://blog.kaspersky.co.jp/how-i-got-rattled-facing-a-scam-online/6757/

◆モジラ、深刻な脆弱性を修正した「Firefox 37」公開（2015/04/01）

　モジラは1日、Webブラウザ「Firefox」の最新版「37.0」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「31.6.0」も公開されている。

　デスクトップ版Firefox 37.0では、電子証明書の失効に迅速に対応できるようにするための「OneCRL」の搭載などの新機能に加え、13件の脆弱性が修正されている。修正された脆弱性の重要度は、4段階評価で最も高い「最高」が4件、次に高い「高」2件、「中」5件、「低」2件である。メモリ破壊の問題や解放したメモリを使用してしまう問題といった、悪用されると任意のコードが実行されるおそれのある危険な脆弱性が含まれている。

　ESR版31.6.0では、36.0と共通する「最高」2件、「高」2件、「中」1件の計5件の脆弱性が修正されている。ESR版Firefoxで修正された脆弱性は、同じエンジンを使用するメールソフトThunderbirdにも影響があり、準備が整い次第「31.6.0」が公開される予定だ。

　それぞれの最新版は自動更新機能を通じて配布されているほか、手動で今すぐ更新することもできる。

　デスクトップ版は、Windowsがメニューボタン「≡」をクリック→下段のヘルプボタン「？」をクリック→表示された[ヘルプ]メニューの[Firefoxについて]を選択する。OS Xは、1日16時時点ではまだ配信されていないようだが、準備が整えばFirefoxメニューの[Firefoxについて]を選択すると最新版の確認と更新が行える。今すぐ更新したい方は、Firfoxのダウンロードページで最新版が入手できる。

　Android版は、メニューから[設定]→[Mozilla]→[Firefoxについて]→[更新を確認]の順にタップする。Thunderbirdは、[ヘルプ]メニューの[Thunderbirdについて]を選択すると、最新版の確認と更新が行える。

（2015/04/01 ネットセキュリティニュース）

【関連URL：モジラ】
＜Firefox 37.0＞
・リリースノート（デスクトップ版）
http://www.mozilla.jp/firefox/37.0/releasenotes/
・リリースノート（Android版）
http://www.mozilla.jp/firefox/android/37.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html
・各国語版の Firefox をダウンロード
https://www.mozilla.org/ja/firefox/all/
＜Firefox ESR 31.6.0＞
・リリースノート
http://www.mozilla.jp/firefox/31.6.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/firefoxESR.html
＜Thunderbird 31.6.0＞
・リリースノート
http://www.mozilla.jp/thunderbird/31.6.0/releasenotes/
・セキュリティアドバイザリ
http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbird.html