ネットセキュリティニュース

◆スマホアプリ決済でクレカ不正使用相次ぐ――PayPay利用に限らず被害発生（2018/12/21）

　12月11日頃から、PayPayでクレジットカードを不正使用されたとの声がネット上で聞かれるようになった。被害は、PayPay利用のいかんにかかわらず発生しており、勝手に数十万円の買い物をされた被害者も出ている。

　PayPayとは、ヤフーとソフトバンクの合弁会社が10月に始めたばかりの、スマートフォンのアプリを使った決済サービスのこと。アプリにあらかじめチャージしておいた残高や登録したクレジットカードなどを使い、実店舗でもキャッシュレス決済が行える。

実店舗が舞台のネット犯罪

　12月4日から総額100億円を還元する「100億円あげちゃうキャンペーン」を実施したが、クレジットカードの不正使用はその最中に起きた。同社からの情報流出はなく、被害がPayPay利用のいかんにかかわらず発生していることから、第三者が何らかの方法で入手したカード情報を勝手にアプリに登録し、家電量販店などで使用したものとみられる。最近起きたポイントカードアプリの不正使用や、コンビニ受け取りを悪用した通販の不正購入とも通ずる、実店舗が舞台のネット犯罪だ。

原因は不明だがアプリの仕様に不備も

　不正使用されたカード情報の出所は、今のところ判明していない。PayPayで利用できるクレジットカードは、各カード発行会社のVISAとMastercard、およびYahoo! JAPANカードなので、これらをお持ちの方は、カード会社の利用明細に注意したい。もし身に覚えのないPayPayからの請求が見つかったら、速やかにカード会社に連絡していただきたい。

アプリ登録者やクレカ名義人の情報なし

　不正使用を引き起こした要因として、PayPay側のセキュリティの甘さがいくつか指摘されている。アプリに携帯電話番号とクレジットカード情報（クレジットカード番号、有効期限、セキュリティコード）を登録すれば決済できるようになる。アプリの登録者やクレジットカードの名義人の情報がないので、店頭で本人なのか成りすましなのかは分からず、高額商品を購入して持ち帰られてしまうと足が付きにくい。

オンライン時の本人認証サービスなし

　同種の決済サービスである「d払い」や「LINE Pay」では、クレジットカードの登録時に、カード会社が提供するオンライン時の本人認証サービスを利用しているが、PayPayは利用していない。本人認証サービスは、Visaが「VISA認証サービス」、Mastercardが「Mastercard SecureCode」、JCBが「J/Secure」、American Expressが「American Express SafeKey」と呼んでいるもので、カード利用時に各カード会社のサイトに移動し、事前に登録したパスワードや使い捨てのワンタイムパスワードで認証を行い、カードの持ち主本人であることを確認する。

制限なしだったセキュリティコード入力

　アプリ側に「楽天ペイ」のようなセキュリティコードの入力制限がなかったので、カード会社側が不正を検出しない限り、際限なく試行できた。セキュリティコードは、カードの裏面などに記載された3～4桁の数字のこと。カードの磁気情報に含まれていないため、磁気情報を読み取るスキミングによる不正使用防止に効果がある。これが際限なく入力できると、次々に試行することで探り当てることができてしまう。これについては、アプリが更新され、現在は入力制限が付いた。

四半期で45億円にものぼる番号盗用型クレカ被害

　クレジットカードの不正使用は、今回に限った問題ではない。日本クレジット協会がまとめた番号盗用型の不正使用被害額は、2017年第一四半期に前期の20億7千万円から40億3千万円に跳ね上がり、その後も45億円前後の高止まりが続いている。カード情報の流出はたびたび起き、カード情報を狙うフィッシングも横行している。

　プラスチックのカードを所持している前提がネットの普及で崩れ、スマホアプリの台頭で今度は店頭からも姿を消そうとしている今、カード会社と決済サービスは一丸となり、より安全性の高いサービスの提供に努めていただきたい。私たちユーザーにできることは、利用明細の確認を怠らないことと、騙されないようにすることだ。

（2018/12/21 ネットセキュリティニュース）

【関連URL：PayPay】
・身に覚えのないクレジットカードの請求がきたら（12月14日）
https://www.paypay-corp.co.jp/notice/20181214/01/
PayPayアプリ アップデートのお願い（12月18日）
https://www.paypay-corp.co.jp/notice/20181218/01/
・お客様へのお詫び（12月19日）
https://www.paypay-corp.co.jp/notice/20181219/01/

◆マイクロソフト、ゼロデイ攻撃に対処するIEのセキュリティアップデートを緊急公開（2018/12/20）

　マイクロソフトは20日、未修正の脆弱性攻撃に対処するInternet Explorer（IE）のセキュリティアップデートを緊急公開した。影響を受けるのは、各Windows用のIE 9、10、11。

　同社のセキュリティ更新プログラムガイドによると、IEのスクリプトエンジンに問題があり、メモリ破壊が発生するという。悪用されると、細工したWebページを表示するだけで、閲覧中のユーザーの権限で任意のコードが実行されるおそれがある。深刻度は、4段階中最も高い「緊急」。この脆弱性を悪用した限定的な攻撃が発生しており、早急なアップデートが推奨される。

　アップデートは、Windows Updateを通じて自動的に行われているほか、[設定]などから[Windows Update]を開き、[更新プログラムのチェック]または[更新プログラムの確認]をクリックすれば、直ちに更新する事も可能だ。

（2018/12/20 ネットセキュリティニュース）

【関連URL：マイクロソフト】
・セーフティとセキュリティセンター
https://www.microsoft.com/ja-jp/safety/default.aspx
・セキュリティ更新プログラムガイド
https://portal.msrc.microsoft.com/ja-jp/
・CVE-2018-8653 | スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2018-8653

◆「アダルトサイト閲覧」で脅す脅迫メールに新展開、ランサムウェアを配布（2018/12/14）

　「あなたがアダルトサイトを閲覧している姿を撮影した。ばらまかれたくなければ口止め料を仮想通貨で支払え」と脅すメールが送り付けられている。セクストーション（性的脅迫）と呼ばれる手口を使った、海外発祥の詐欺メールだ。先週、新たなタイプのセクストーションメールが米国を中心に数千通ばらまかれたことがわかった。

　米Proofpointが7日（現地時間）に伝えた。同社によると、5日にばらまかれたのは、リンクをクリックさせてランサムウェア「GandCrab」に感染させようと目論む英文のメールだ。

　同社が公開した情報によると、文面はこれまで出回っていたメールとよく似ているが、大きな違いは「証拠を見せる」としてURLをクリックさせようとしていることだ。サンプルとして挙げられているメールを見ると、攻撃者は、あなたが見ていたアダルトサイトのスクリーンショットと、それを見ているあなたの様子のスクリーンショットをつなぎ合わせて画像を作ったと主張。パワーポイントでプレゼンテーションビデオにしたので、リンクをクリックして見てみろと誘っている。

　米Proofpointが7日（現地時間）に伝えた。同社によると、5日にばらまかれたのは、リンクをクリックさせてランサムウェア「GandCrab」に感染させようと目論む英文のメールだ。 　同社が公開した情報によると、文面はこれまで出回っていたメールとよく似ているが、大きな違いは「証拠を見せる」としてURLをクリックさせようとしていることだ。サンプルとして挙げられているメールを見ると、攻撃者は、あなたが見ていたアダルトサイトのスクリーンショットと、それを見ているあなたの様子のスクリーンショットをつなぎ合わせて画像を作ったと主張。パワーポイントでプレゼンテーションビデオにしたので、リンクをクリックして見てみろと誘っている。
情報を盗むマルウェアと、“身代金”を要求するランサムウェアに感染
　リンク先には「Foto_Client89661_01.zip」というファイルが用意されている。このZIPファイルをダウンロードして開くと、情報を盗み取るマルウェア「AZORult」と、ランサムウェアの「GandCrab」に感染してしまう。

　「GandCrab」はファイルを暗号化して開けなくするタイプのランサムウェア。今回の件では、感染した場合、ファイルを元に戻してほしければ500ドルをビットコインまたはDASH（ダッシュコイン）で支払うように要求される。

　「GandCrab」には複数のバージョンがあり、うちいくつかについては複合ツールが公開されているが、この件で使われている「バージョン 5.0.4」には対応していない。

脅迫メールが日本語化され国内でばらまかれる可能性
　今のところ、国内ではこの新タイプのセクストーションメールは確認されていない。しかし、もともと海外で使われていたセクストーションの手口が日本に入り込み広がったことから考えて、このURL付きのメールが将来、日本語化されてばらまかれることも考えられる。

　セキュリティ関連の情報を発信するJPCERTコーディネーションセンター（JPCERT/CC）も、「このような脅迫メールが今後、日本語で日本国内に送られる可能性がある」として、「このようなメールを受信した場合は攻撃者の要求には応じず、冷静に対応を。メール本文にURLが含まれていても、クリックしないで」と呼びかけている。

（2018/12/14 ネットセキュリティニュース）

【関連URL】
・Sextortion with a side of ransomware[英文]（Proofpoint）
https://www.proofpoint.com/us/threat-insight/post/sextortion-side-ransomware
・マルウエアへの感染を誘導し、仮想通貨を要求する脅迫メールについて（JPCERT/CC）
http://www.jpcert.or.jp/newsflash/2018121101.html

◆グーグル、脆弱性を修正した「Google Chrome 71.0.3578.98」公開（2018/12/13）

　グーグルは13日、脆弱性1件を修正した「Google Chrome 71」の最新安定版「71.0.3578.98」を公開した。対象は、Windows、Mac、およびLinuxである。

　最新版では、PDFファイルを扱う「PDFium」で発生する、解放したメモリにアクセスしてしまう問題が修正されている。同社はChrome 70でこの問題に対処していたが、今回、追加の修正が行われた。問題の深刻度は、4段階中2番目に高い「高」としている。

更新方法
　最新版への更新は自動的に行われるほか、メニューの[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。Mac版はChromeメニューから、Windows版は右端の設定アイコン→[ヘルプ]と進むと選択できる。

　最新版はブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

（2018/12/13 ネットセキュリティニュース）

【関連URL：Google】
・Stable Channel Update for Desktop[英文]
https://chromereleases.googleblog.com/2018/12/stable-channel-update-for-desktop_12.html

◆モジラ、深刻な脆弱性を修正した「Firefox 64」を公開（2018/12/12）

　モジラは12日、Webブラウザ「Firefox」の最新版「Firefox 64」を公開した。対象となるのは、Windows、Mac、Linux、Android。法人向けの延長サポート版（ESR）「60.4」も公開されている。

　Firefox 64では、タブの複数選択など新機能が追加され、パフォーマンスの改善が図られたほか、11件の脆弱性が修正されている。修正された脆弱性は、深刻度が4段階評価で最も高い「最高」が2件、次に高い「高」が5件、「中」が3件、「低」が1件。深刻度「最高」の脆弱性2件はメモリー破壊を引き起こす危険なもので、悪用されると任意のコードが実行されるおそれがある。

　ESR 60.4では、64と共通する「最高」1件、「高」4件、「低」1件の計6件の脆弱性が修正されている。

更新後のバージョン表示（デスクトップ版）：メニューボタン「≡」から[ヘルプ]→[Firefoxについて]を選択すると表示される

■更新方法

　デスクトップ用の最新版は、自動更新機能を通じて配布されているほか、今すぐ手動で更新することもできる。手動更新は、WindowsではFirefoxのメニューボタン「≡」をクリックし、[ヘルプ]→[Firefoxについて]を選択する。または、[Alt]キーを押してメニューバーを表示し、[ヘルプ]メニューの[Firefoxについて]を選択する。macOSでは、Firefoxメニューの[Firefoxについて]を選択する。

　自動や手動で更新したデスクトップ版のFirefoxは、ブラウザの再起動後に最新版が利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

　Android用の最新版は、準備が整い次第「Google Play」から順次配信される。アプリの自動更新が有効に設定されている場合には自動的に更新されるほか、「Google Play」の「マイアプリ＆ゲーム」で「アップデート」を表示すると、手動で更新できる。

（2018/12/12 ネットセキュリティニュース）

【関連URL：モジラ】
＜Firefox 64.0＞
・リリースノート（デスクトップ版）
https://www.mozilla.jp/firefox/64.0/releasenotes/
・リリースノート（Android版）
https://www.mozilla.jp/firefox/android/64.0/releasenotes/
・Security vulnerabilities fixed in Firefox 64
https://www.mozilla.org/en-US/security/advisories/mfsa2018-29/

＜Firefox ESR 60.4＞
・リリースノート
https://www.mozilla.jp/firefox/60.4.0/releasenotes/
・Security vulnerabilities fixed in Firefox ESR 60.4
https://www.mozilla.org/en-US/security/advisories/mfsa2018-30/

◆アドビ、深刻な脆弱性を多数修正したAcrobat Readerの最新版公開（2018/12/12）

　アドビシステムズは12日、PDF閲覧ソフト「Acrobat Reader」の最新版を公開した。深刻な脆弱性が多数修正されており、同社では早めにアップデートするよう呼びかけている。

　アップデートの対象となるのは、Windows版とMac版のAcrobat Reader DCおよびAcrobat Reader 2017。更新後のバージョンは、Acrobat Reader DCが「2019.010.20064」に、Acrobat Reader 2017が「2017.011.30110」に、Acrobat Reader DC（Classic 2015）が「2015.006.30461」になる。

更新後のバージョンとアップデートの優先度（「Adobe Security Bulletin」より）

　アップデートの優先度は、3段階で2番目に高い「2」。これは、過去に攻撃リスクが高いとされたことのあるタイプの脆弱性の修正ではあるが、現時点では攻撃対象になっているとの報告はなく、過去の実績から見ると今後悪用される可能性は低いということを示している。30日以内といった短期の間にアップデートすることが推奨されている。

　最新版では、解放したメモリにアクセスしてしまう問題、範囲外のメモリに書き込める問題、ヒープベースのオーバーフローなどコード実行につながるおそれのあるものを含め、87件の脆弱性が修正されている。修正された脆弱性のうち39件は、緊急度が3段階で最も高い「クリティカル」とされている。残り48件は2番目に高い「重要」。

■バージョンの確認と更新

　現在使用しているバージョンは、Acrobat Readerを起動し、[ヘルプ]メニューの[Adobe AcrobatReader DCについて（または Acrobat Reader 2017について）]で確認できる。
　最新版への更新は、[ヘルプ]メニューの[アップデートの有無をチェック]から実行できるほか、同社のサイトから最新のAcrobat Reader DCをダウンロードすることもできる。

（2018/12/12 ネットセキュリティニュース）

【関連URL：アドビ】
・Security bulletin for Adobe Acrobat and Reader | APSB18-41 [英文]
https://helpx.adobe.com/security/products/acrobat/apsb18-41.html
・Adobe Acrobat Reader DCのダウンロード
https://get.adobe.com/jp/reader/

◆マイクロソフト、12月度の月例セキュリティパッチを公開（2018/12/12）

　マイクロソフトは12日、12月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。深刻な脆弱性が多数修正されており、同社はできるだけ早期にパッチを適用するよう呼びかけている。

　公開されたパッチは、深刻度が4段階評価で最も高い「緊急」7件と、次に高い「重要」6件の計13件。Windows、Edge、Internet Explorer、Office、Office ServicesとWeb Apps、ChakraCore、.NET Framework、Dynamics NAV、Exchange Server、Visual Studio、Azure Pack（WAP）が影響を受ける。アドビが5日に公開したFlash Player用のパッチも、今回のパッチに含まれている。

【更新プログラムの内容】
＜緊急＞
・Windows 10（Edgeを除く）：リモートコード実行の脆弱性
・Edge：リモートコード実行の脆弱性
・Windows Server 2019/2016とServer Coreインストール：リモートコード実行の脆弱性
・Windows 8.1/7とWindows Server 2012/2008 R2/2008：リモートコード実行の脆弱性
・Internet Explorer：リモートコード実行の脆弱性
・.NET Framework：リモートコード実行の脆弱性
・ChakraCore：リモートコード実行の脆弱性

＜重要＞
・Office関連のソフトウェア：リモートコード実行の脆弱性
・SharePoint関連のソフトウェア：リモートコード実行の脆弱性
・Exchange Server：改ざんの脆弱性
・Visual Studio：特権昇格の脆弱性
・Dynamics NAV：なりすましの脆弱性
・Azure Pack：リモートコード実行の脆弱性

　Windowsに影響するカーネルの特権昇格の脆弱性（CVE-2018-8611）は、すでに悪用が確認されている。また、.NET Frameworkのサービス拒否の脆弱性（CVE-2018-8517）については情報がパッチの提供前に一般に公開されていたが、悪用する攻撃は確認されていない。

　このほか、新たに「ChChes」「RedLeaves」など5種に対応した「悪意のあるソフトウェアの削除ツール」の更新バージョンが公開されている。

（2018/12/12 ネットセキュリティニュース）

【関連URL】
・セーフティとセキュリティセンター（マイクロソフト）
https://www.microsoft.com/ja-jp/safety/default.aspx
・セキュリティ更新プログラムガイド（マイクロソフト）
https://portal.msrc.microsoft.com/ja-jp/
・2018年12月のセキュリティ更新プログラム（月例）（マイクロソフト）
https://blogs.technet.microsoft.com/jpsecurity/2018/12/12/201812-security-updates/
・Flash Player に関するセキュリティアップデート公開 | APSB18-42（アドビ）
https://helpx.adobe.com/jp/security/products/flash-player/apsb18-42.html

◆＜最新フィッシング事情＞アップル、アマゾン、LINE、佐川急便を装うフィッシング連日発生、LINE乗っ取りで"友だち"に被害も（2018/12/11）

フィッシングとは、実在する企業やサービスなどを装うメールやSMSなどをユーザーに送りつけ、偽のWebサイトに誘導してログイン情報やクレジットカード情報などを騙し取る行為のことです。国内ユーザーを狙う攻撃が観測されるようになってから10年以上が経ちますが、攻撃は年々激化しています。11月は、アップル、アマゾン、LINE、佐川急便を装うメールやSMSが連日ばらまかれ、携帯電話の事業者を装うフィッシングも頻繁に行われました。

最新フィッシング事情

　フィッシング対策協議会がまとめた2018年11月の月次報告によると、同協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より552件増加し1652件となりました。ユニークなURL件数は前月より211件増加し1096件、悪用されたブランド件数 (海外含む) は5件減少し36件となりました。同協議会からは、アマゾン、アップル、ペイパル、VISA/MasterCard認証センターの計4回の緊急情報が出ました。
　総評では、佐川急便の不在通知を装うSMSやキャリア決済の不正利用を目的としたフィッシングメール、アップル、アマゾン、LINE、ペイパルのフィッシングの報告が多くあったとしています。総評には、アップルのメールが一度に多くの受信者へ大量配信され注意が必要とありますが、おそらくボットネットを使ったフィッシングメールの配信再開のことを指していると思われます。配信状況は、日本サイバー犯罪対策センター（JC3）のWebサイトで逐次公開されており、協議会からは、11月13日付けで緊急情報が出ています。

・2018/11 フィッシング報告状況
https://www.antiphishing.jp/report/monthly/201811.html
・ボットネットが大規模にばらまく悪質な迷惑メールに注意（セキュリティ通信）
（2018/11/30）

クレジットカード情報を狙うフィッシング

　国内のユーザーを標的としたフィッシングのほとんどは、最終的には金銭を得ることを目的としています。2013年頃から急増したオンラインバンキングのアカウントを狙ったフィッシングは、2016年上半期でほぼ収束し、その代わりに主流となったのが、クレジットカード情報を騙し取るフィッシングです。断続的に行われているクレジットカード会社を装うフィッシングはもちろん、多発しているアップルやアマゾンを装うフィッシングもまた、クレジットカード情報を騙し取ろうとします。

カード会社

　11月は、楽天カードと三菱UFJニコス（MUFGカード）、クレディセゾンのフィッシングが観測されました。
　楽天カードを装うフィッシングメールは、「【楽●天】緊急！パスワード初期化のご連絡」という件名のメールをばらまかれました。第三者に不正ログインされた可能性があるのでパスワードをリセットしたから再設定するよう求める内容で、偽サイトへと誘導します。本物そっくりのログインページにログインさせ、クレジットカード情報を入力させるよくある手口です。この攻撃者は、ほかにも色々と手掛けおり、ヤフーや携帯電話の事業者を装うフィッシングでも、パスワードのリセットを理由に誘導する、よく似た件名と同じような文面のメールを使用しています。

　11月に観測されたMUFGカードのフィッシングは、三菱UFJ銀行を装う「通知」という件名と、三菱UFJニコスを装う「三菱UFJニコス-通知」という件名のメールが数回ばらまかれました。「アカウントの有効期限が切れました。MUFGカードWEBサービスにログインしてください」という内容と「持続する」と書かれたボタンだけのシンプルなメールで、偽サイトへと誘導します。こちらも、偽の会員サイトにログインさせ、クレカ情報を騙し取ろうとします。

　クレディセゾンのNetアンサーを装うフィッシングメールは、「あなたのカードを再アクティブ化」という件名でばらまかれました。予期しない活動が検出されたのでセキュリティを無効にしたから、アクセスを可能にするためにロックを解除するよう求め、偽サイトへと誘導します。こちらも、偽の会員サイトにログインさせ、クレカ情報を騙し取ろうとします。

最新フィッシング事情

　協議会は11月9日付けで「3D セキュア (本人認証サービス) の認証情報を詐取することを目的としたフィッシング」という緊急情報を出しました。これは、VISA/MasterCard認証サービスを装い、カード確認に関する問題が検出されたためカードをロックしたので確認するよう求め偽サイトへと誘導するフィッシングメールで、「Your credit card has been suspended」や「Your (Credit Card) has been suspended」という件名でばらまかれました。この本人認証サービスは、オンラインサービスの決済時に、カードの持ち主であることを確認する、カード会社が提供するセキュリティサービスです。対応サイトで決済情報を入力すると、各カード会社のサイトに移動してパスワード認証を行います。したがって、カード情報と本人認証のパスワードを一緒に入力することはないのが原則なのですが、徹底されてはいません。一部のサイトでは、決済時にカード情報を一緒にパスワードを入力させるところがありますが、本人認証サービス側でカード情報を一緒に入力することはありません。

・3D セキュア (本人認証サービス) の認証情報を詐取することを目的としたフィッシング (2018/11/09)
https://www.antiphishing.jp/news/alert/3dsecure_20181109.html

アップルとアマゾン

　アップルとアマゾンのフィッシングは、複数のグループが連日仕掛けています。メールの種類も量も多いので紹介しきれませんが、大きく分けると2つの手口があります。

　ひとつは、不正ログインや登録情報の変更・不備などの、アカウントに関する問題を理由に偽サイトへと誘導する手口です。早く確認しないと閉鎖するなどと言って、慌てさせるものも多数あります。もうひとつは、身に覚えのない購入通知を装う手口で、驚いてキャンセルしようとする心理を突いて偽サイトへと誘導します。誘導後は、ほとんどが偽サイトにログインさせ、クレジットカード情報などを騙し取ろうとしますが、偽アマゾンの中に、いきなりカード情報の入力を求めるものがありました。

　協議会が11月13日付けで出したアップルのフィッシング情報は、いきなりカード情報を入力するように見えますが、実際は、この前にログインページがあります。ログインページのない偽アップルは、ありませんでした。

・Amazon をかたるフィッシング (2018/11/30)
https://www.antiphishing.jp/news/alert/amazon_20181130.html
・Apple をかたるフィッシング (2018/11/13)
https://www.antiphishing.jp/news/alert/apple_20181113.html

ペイパル

ペイパルのフィッシングは、海外で盛んに行われていますが、よくできた日本語メールはあまり見かけません。来るのは、出来の悪い日本語メールや英文のメールばかりで、誘導先が日本語化されていないこともあります。協議会が11月12日付で出した緊急情報もこのタイプらしく、誘導先は英語版に見えます。この偽サイトの場合は、機械的なアクセス防止用に設けたCAPTCHA（キャプチャ）ページだけが多国語対応ですが、PayPalのフィッシングサイトの中には、本体が日本語を含む多国語対応のものあります。

・PayPal をかたるフィッシング (2018/11/12)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/paypal_20181112.html

キャリア決済を狙うフィッシング

　今年を代表する最も特徴的な攻撃が、キャリア決済を狙うフィッシングです。キャリア決済は、携帯電話の通信事業者が提供する決済サービスで、利用分は月々の料金と一緒に引き落とされる仕組みです。ソフトバンクでは「まとめて支払い」、KDDIでは「auかんたん決済」、NTTドコモでは「d払い」「ドコモ払い（旧ケータイ払い）」「spモード決済」などと呼んでいます。これらは、対応サイトでクレジットカードと同じように利用することができ、それに目を付けた攻撃者が、今年2月頃から決済を提供する通信事業者側と、決済方法に利用できるサービス側の両方の手口でフィッシングを仕掛けるようになりました。

　提供する側を狙う手口では、各社の会員サイトの偽のログインページにログインさせてアカウント情報を盗み、ユーザーになりすまして公式サービスを勝手に使います。ID/パスワードだけではログインできない2段階認証を設定したユーザーに対しては、裏で公式サイトに中継することで2段階認証を破ってしまう仕組みを用意し、各種設定変更に必要な契約時に設定した暗唱番号まで騙し取ろうとする、悪質極まりないフィッシングが現在も続いています。11月は、NTTドコモが集中砲火を浴びました。同社の「d払い」は、街のコンビニなどの実店舗でも支払いに利用でき、電話番号あてに送金できる「ドコモ口座」というサービスもあり、こうした多様性が狙われる一因になっているのかも知れません。

　決済方法に利用しているサービス側を狙う手口では、アカウントにキャリア決済を登録することで、iTunesやApp Storeの支払いに利用できるようになる、アップルのサービスが狙われました。キャリア決済の登録に必要な電話番号と、その電話番号あてにSMSで送られてくるコードを騙し取ると、ユーザーのキャリア決済が第三者のApple IDの支払い方法に登録され、勝手に使われてしまうのです。この手口は、通信事業者各社を装うフィッシングで使われたほか、佐川急便の不在通知を装うSMS誘導先に、iPhoneなどのiOS端末（以後iPhone）でアクセスした場合にも使われています。

　この佐川急便を装うSMSは、当初はAndroid端末に偽アプリをインストールさせることが目的の攻撃でしたが、今年8月からiPhoneをフィッシングサイトへと誘導するようになりました。iPhoneでアクセスした場合には、「Apple社から送られた製品はセキュリティ許可の認証が必要となります」と言って、携帯番号とSMSで届くコードの入力を求める「携帯番号認証」と書かれた入力ページか、Apple IDとパスワードの入力を求める「Apple認証」と書かれた入力ページが出現します。

LINEを乗っ取り、"友だち"から
プリペイドカード騙し取るフィッシング

　丸2年間続いているLINEを装うフィッシングは、「LINE緊急問題」「LINE安全認証」「ログイン保護を設置」「重要：必ずお読みください」「緊急二段階パスワードの設置」などの色々な件名のメールが、毎日のようにばらまかれています。異常ログインされたので検証するよう求める内容や、アカウントを保護するために二段階バスワードやログイン保護の設定を求める内容で、偽サイトへと誘導します。

　一般の方が利用しているLINEでは、機種変更などのアカウントにログインする場合にメールアドレスを登録しますが必須ではありません。登録した場合も、登録時に確認用のメールが届く以外に、LINEからメールが来ることはありません。LINEからの本物の通知は、LINEの公式アカウントからLINEのメッセージで届きます。

　このLINEのフィッシングは、11月は2種類の攻撃が、観測されました。両者の見た目はほとんど変わりませんが、片方は、開設に海外のサーバーを使用した「.com」や「.cn」ドメインの偽サイトであるのに対し、もう一方は、国内のレンタルサーバーを使用した「.jp」ドメインの偽サイトです。

　どちらも手口は同じで、LINEの偽ログインページにログインさせ、電話番号とSMSで届く認証暗号を入力させようとします。これは、機種変更時にLINEをアカウントごと他の端末に移す手順そのものです。指示に従って操作すると、LINEのアカウントが乗っ取られ、自身の端末からは利用できなくなってしまいます。

　LINEを乗っ取った攻撃者は、登録されている「友だち」にあなたになりすまして、「近くのコンビニでWebmoneyのポイントカード買ってくれる？」というようなメッセージを送ります。Webmoneyは電子マネーのひとつで、相手は購入したカードの番号を写真に撮って送るよう求めます。指示に従うと、カードの額面の金額が相手の手に渡ってしまいます。LINEを装うフィッシングは、自身のLINEが乗っ取られて利用できなくなるだけでなく、友だちにまで迷惑が及ぶことになります。

TEXT：現代フォーラム/鈴木

◆不正アクセスによる情報流出相次ぐ――クレジットカードの不正利用被害も発生（2018/12/11 ）

　不正アクセスを受けて情報が流出する事故が相次いで報告された。クレジットカードが不正に利用される被害も発生している。

■「エディットモード」クレカ情報1万4679件流出のおそれ

　ゲームをモチーフにしたTシャツやグッズの販売等を行うエディットモード（京都市下京区）は7日、外部から不正なアクセスを受け、2018年3月7日から7月11日の間に新規申込みをした顧客のクレジットカード情報が最大1万4679件流出した可能性があると発表した。氏名、カード番号、有効期限、セキュリティコードが含まれている。
　同社によると、ほとんどはカードの有効性を確認する目的で入力された情報と考えられ、上記期間内で実際に決済が成立している注文は2169件だった。1月にサイトのアップデートを行った後、アップデート依頼先の不手際により外部から簡単にアクセスができる状態になっていた。同社は7月11日にカード会社から指摘を受けて事態を把握。決済代行会社と協議するなどした結果、対応準備が整うのを待って同日、流出を公表したという。監督官庁と警察には10月に報告済み。対象者には書面で報告した。
・不正アクセスによる個人情報流出に関しまして（エディットモード）
https://editmode.jp/maintenance
・不正アクセスによる個人情報流出に関しまして（エディットモード）
https://editmode.shop-pro.jp/?mode=f2

■「農家のおしごとナビ」全会員の情報流出のおそれ

　農業分野に特化した人材事業などを行うあぐりーん（千葉市中央区）は4日、同社が運営する農業求人サイト「農家のおしごとナビ」から会員の情報が流出したおそれがあると発表した。
　同社によると、同社のみに登録した情報を使った外国語の迷惑メールや郵便物を受け取ったと11月19日に会員から指摘があり、調査を実施。継続的に外部からサイバー攻撃を受けていたことが判明し、システムの脆弱性を突かれて情報が流出した可能性が高いと判断したという。11月30日以前に登録をした会員全員のメールアドレス、パスワード、生年月日、その他に会員自身が登録した情報が流出したおそれがある。同社は監督官庁への報告と警察への届出を検討している。
・会員情報の漏えいの可能性に関するご報告とお詫び（あぐりーん）
https://www.agreen.jp/whatsnew/news.php?id=1955

■「ZOWHOW」クレカ情報397件流出のおそれ､不正利用も

　造形材料を販売する新日本造形（本社：東京都台東区）は11月27日、同社が運営するネットショップ「ZOWHOW」が不正アクセスを受け、顧客のクレジットカード情報397件が流出した可能性があると発表した。
　同社によると、システムの脆弱性を突かれた。流出の対象は2018年4月25日から7月18日の間にカード決済をした顧客で、名義人名、カード番号、有効期限、セキュリティコードが含まれている。一部顧客のカード情報が不正利用された可能性もある。同社は7月18日に決済代行会社から指摘を受けて事態を把握。第三者機関の最終調査報告を受け、発表に至ったという。監督官庁と警察に報告済み。対象者にはメールと書面で連絡した。
・弊社が運営する「ZOWHOW」への不正アクセスによる個人情報流出に関するお詫びとお知らせ[PDF]（新日本造形）
https://www.zowhow.com/media/wysiwyg/recipe/zow/20181127_zowhow-pil/20181127_zowhow-pil.pdf

■「リガク」会員情報のべ9885件流出のおそれ

　科学機器製造販売のリガク（本社：東京都昭島市）は11月26日、外部から2度不正アクセスを受け、同社会員の個人情報が流出したと発表した。
　同社によると、8月9日には会員のメールアドレスとパスワード9655件が流出。9月7日にはメールアドレス、氏名、所属先の住所と電話番号、役職、年齢層、専門分野、分析対象などの情報がのべ230件流出し、50名分のパスワードも含まれていた。両件とも、どの会員の情報が流出したかについては特定できていない。会員には10月に事態を連絡した。
・不正アクセスによるお客様情報流出に関するお詫びと調査結果について（リガク）
https://www.rigaku.co.jp/rigaku.com/news/181126.html

■「ココサブ」顧客のメールアドレス2万7916件流出のおそれ

　ブライダル関連商品の販売等を行う麻田（富山県高岡市）は11月14日、同社が運営するネットショップ「ココサブ」が不正アクセスを受け、顧客のメールアドレス2万7916件が流出した可能性があると発表した。
　同社によると、6月11日にサイト管理の委託先がSQLインジェクションによる不正アクセスを確認し、このアクセスを遮断して原因となった脆弱性を修正。その後の調査で、2018年4月23日から6月11日までの間にサイトが不正アクセスを受け、顧客のメールアドレスの一部が流出した可能性があることが判明した。対象は2013年1月15日から2018年6月11日までの間に商品を購入、または無料サンプルを請求した人で、事態についてメールで報告を行っている。監督官庁と警察に報告と相談を行ったという。
・不正アクセスによるお客様メールアドレス流出の可能性に関するお詫びとお知らせ[PDF]（麻田）
https://www.cocosab.com/user_data/20181114/20181114.pdf

■「伊織ネットショップ」クレカ情報2145件流出のおそれ、不正利用も

　タオル製造販売の伊織（愛媛県松山市）は10月24日、運営する「伊織ネットショップ」が不正アクセスを受け、顧客のクレジットカード情報2145件が流出したおそれがあると発表した。
　同社によると、8月22日、同サイトで偽のクレジットカード決済外面へジャンプする現象が確認されたため調査を実施。その結果、システムの脆弱性を突かれて第三者に侵入され、ページが改ざんされていたことが判明した。該当するのは2018年5月8日から8月22日までの購入者で、最大でのべ2145名。特に8月19日から22日までの期間の購入者については、情報が流出した可能性が非常に高いという。
　偽画面に入力したカード会員名、カード番号、有効期限、セキュリティコードが流出の対象だ。一部顧客のカード情報が不正利用された可能性もある。同社は第三者機関の調査完了を受け同日、情報を公開した。対象者にはメールや電話で報告した。
・【重要】クレジットカード情報流出についてのお知らせ（伊織ネットショップ）
https://www.i-ori.jp/wordpress/iori-press-release/20181024-0-37803.html

■「DLmarket」会員情報56万1625件流出のおそれ

　デジタルコンテンツを扱うマーケットプレイス「DLmarket」を運営するディー・エル・マーケット（東京都渋谷区）は10月22日、使用しているサーバーが外部から不正アクセスを受け、会員情報56万1625件が流出したおそれがあると発表した。
　同社によると、10月17日に異常を検知したため調査を行ったところ、事態が判明した。流出した可能性があるのはダウンロード会員登録をした顧客の情報で、メールアドレス、氏名、会員ID。パスワードは流出していない。対象者にはメールで連絡した。
・不正アクセスによる個人情報流出の可能性について[PDF]（ディー・エル・マーケット）
http://www.dlmarket.co.jp/info/20181022.pdf

■「メジカルビュー」会員のアカウント情報5815件流出

　医学書専門の出版社メジカルビュー（東京都新宿区）は10月12日、サイトが不正アクセスを受け、一部会員のメールアドレスとパスワードが流出したと発表した。
　同社によると、同社に会員登録した人と、『動画でチェック! 乳腺エコー/運動器関節エコー』のユーザー登録を行った人のメールアドレスとパスワードが記載されたファイルが、海外のWebサイトに掲載されていた。ファイルはすでに削除されている。同社はサイトの脆弱性の調査を専門の調査会社に依頼し、改修作業を行うという。監督官庁に報告済みで、警察に被害届を出す予定。対象者にはメールと書面で連絡する。
・メールアドレスおよびパスワード情報流出のお詫びとご報告（メジカルビュー）
http://www.medicalview.co.jp/imp/memb.php

（2018/12/11 ネットセキュリティニュース）

◆アップル、脆弱性を修正した「macOS」や「iOS」などの最新版を公開（2018/12/06）

　アップルは6日、深刻な脆弱性を修正したmacOS Mojaveの最新版と、Sierra、High Sierra用のセキュリティアップデート、Safari、iOS、Windows用iTunesとiCloudの最新版を公開した。脆弱性の修正が含まれているので、早急に更新していただきたい。

　最新版へのアップデートは、Macは自動更新や通知をクリックするか手動で行う。macOS Mojaveは、Appleメニューから[システム環境設定]を選択し、[ソフトウェアアップデート]」をクリックする。Sierra、High Sierraは、Appleメニューから[App Store]を選択し、ツールバーの[アップデート]ボタンをクリックすると、利用可能なアップデートが表示される。

　iPhoneやiPadなどのiOS端末は、[設定]アイコンから[一般]→[ソフトウェア・アップデート]と進むか、端末をパソコンに接続し、iTunes経由で行う。

　Windows用のソフトウェアは、iTunesやiCloudと一緒にインストールされている「Apple Software Update」で行う。

■macOS Mojave 10.14.2、セキュリティアップデート2018-003 High Sierra、セキュリティアップデート2018-006 Sierra

　Mac用OSの最新版「macOS Mojave 10.14.2」では、Wi-Fi通話時のRTT（リアルタイムテキスト）への対応などの新機能に加え、CVEベースで12件（同梱のSafariを除く）の脆弱性が修正されている。修正された脆弱性には、マルウェア（ウイルス）感染に悪用されるおそれのあるコード実行の脆弱性や特権昇格の脆弱性など、深刻な問題が含まれている。
　High Sierra用の「セキュリティアップデート2018-003」では8件、Sierra用の「セキュリティアップデート2018-006」では7件の脆弱性が修正されており、コード実行や特権昇格などの危険度の高い脆弱性の修正が含まれている。

・About the security content of macOS Mojave 10.14.2, Security Update 2018-003 High Sierra, Security Update 2018-006 Sierra
https://support.apple.com/ja-jp/HT209341

■Safari 12.0.2

　macOS Mojaveに同梱されているWebブラウザSafariの最新版「12.0.2」が、High SierraとSierra用に提供されている。
　最新版では、Webページを描画するレンダリングエンジン「WebKit」の脆弱性6件と、アドレスバーやユーザーインターフェイス、閲覧履歴に関する問題各1件の計9件の脆弱性が修正されている。WebKitの脆弱性は、いずれもマルウェア感染につながるおそれのある、コード実行の脆弱性だ。

・About the security content of Safari 12.0.2
https://support.apple.com/ja-jp/HT209344

■iOS 12.1.1

　モバイル端末用OSの最新版「iOS 12.1.1」では、iPhone XRで触覚タッチを使った通知のプレビューが可能になるなどの機能の追加や改善などに加え、20件の脆弱性が修正されている。うち16件は、macOSやSafariと共通の脆弱性で、マルウェア感染につながるおそれがある危険な問題が多数含まれている。

・About the security content of iOS 12.1.1
https://support.apple.com/ja-jp/HT209340

■Windows用iTunes 12.9.2、iCloud 7.9

　iPhoneなどのiOS端末と連携するメディア管理・再生ソフトの「iTunes」と、同社のクラウドサービス「iCloud」のクライアントソフトについては、Windows版も提供されている。
　最新版の「iTunes 12.9.2 for Windows」と「iCloud for Windows 7.9」では、SafariやiOSと共通するWebKitの脆弱性がで8件が修正されている。WebKitの脆弱性には、マルウェア感染につながるおそれがある危険な脆弱性だ。

・About the security content of iTunes 12.9.2 for Windows
https://support.apple.com/ja-jp/HT209345
・About the security content of iCloud for Windows 7.9
https://support.apple.com/ja-jp/HT209346

（2018/12/06 ネットセキュリティニュース）

◆アドビ、ゼロデイ攻撃に対処する「Flash Player」の最新版公開（2018/12/06）

　アドビシステムズは5日深夜、コンテンツ再生ソフト「Flash Player」の最新版「32.0.0.101」を、緊急公開した。攻撃に悪用されている深刻な脆弱性が修正されており、同社は直ちにアップデートするよう呼びかけている。

　脆弱性の影響を受けるのは、Windows版、Macintosh版、Linux版、Google Chrome搭載版、Internet Explorer/Edge搭載版の Flash Player「31.0.0.153」およびそれ以前のバージョンと、Windows版のFlash Playerのインストーラー「31.0.0.108」およびそれ以前のバージョン。

■直ちにアップデートを

　Flash Player本体の修正された脆弱性は、解放したメモリーを使用してしまう問題1件で、悪用されると任意のコードが実行されるおそれがある。緊急度は、3段階中で最も高い「クリティカル」。アップデートの優先度評価は、Linux版以外が3段階中最も高い「1」。

　Microsoft Wordの文書ファイルとActive X版のFlash Playerを組み合わせ、限定的な攻撃に悪用されているとの情報があり、直ちにアップデートすることが推奨される。

　修正されたインストーラーの脆弱性は、安全でないライブラリ（DLL）をロードする問題。WindowsのDLL検索に起因する脆弱性で、ロードするDLLを置き換えるDLLハイジャックのおそれがある。緊急度は、3段階中上から2番目の「重要」。

■バージョン確認と最新版への更新方法

　システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルやシステム環境設定の「Flash Player」の[更新]タブで確認できる。最新版への更新はFlash Playerの自動更新機能を通じて行われるほか、同社サイトからダウンロードすることもできる。

　Google Chromeに搭載されているFlash Playerについては、自動更新機能を通じて最新版が配信されている。すぐに更新したい場合には、コンポーネント画面を開いて「Adobe Flash Player」の[アップデートを確認]ボタンを押す。コンポーネント画面は、アドレスバーに chrome://components と入力してEnterキーを押すと開く。

　Windows 8.1/10に搭載されているInternet Explorer 11、およびEdge用のFlash Playerについては、Windows Updateを通じて最新版が配信されている。直ちに更新する場合は、[設定]などから[Windows Update]を開き、[更新プログラムのチェック]または[更新プログラムの確認]をクリックする。

【関連URL】
・Security updates available for Flash Player | APSB18-42[英文]（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsb18-42.html
・Flash Playerのバージョン確認（アドビ）
https://get.adobe.com/jp/flashplayer/about/
・Flash Playerのダウンロード（アドビ）
https://get.adobe.com/jp/flashplayer/
・Adobe Flash Player のセキュリティ更新プログラム: 2018 年 12 月 5日（マイクロソフト）
https://support.microsoft.com/ja-jp/help/4471331/security-update-for-adobe-flash-player

（2018/12/06 ネットセキュリティニュース）

◆グーグル、深刻な脆弱性の修正を含む「Google Chrome 71」公開（2018/12/05）

　グーグルは5日、深刻な脆弱性の修正を含む「Google Chrome 71」の最新安定版「71.0.3578.80」を公開した。対象は、Windows、Mac、およびLinux。

　Google Chrome 71では、悪質な広告表示が続くサイトで全ての広告を削除する機能や、不明瞭な説明で登録させようとするサブスクリプション（定期購入）サイトの警告機能などが追加されたほか、深刻度が5段階評価の上から2番目に高い「高」の脆弱性を含む計43件の脆弱性が修正された。

　「高」の脆弱性には、JavaScriptエンジン「V8」で範囲外のメモリーに書き込める問題。PDFファイルを扱う「PDFium」やWebページのレンダリングエンジン「Blink」、オーディオ機能「WebAudio」などで発生する、解放したメモリーにアクセスする問題。Blinkや2D画像のレンダリングエンジン「Skia」、ブラウザ上に直接図を描く「Canvas」で発生するヒープベースのバッファオーバーフロー問題などのメモリーがらみの深刻な脆弱性で、マルウェア（ウイルス）感染に悪用されるおそれがある。

　最新版への更新は自動的に行われるほか、メニューの[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。Mac版はChromeメニューから、Windows版は右端の設定アイコン→[ヘルプ]と進むと選択できる。

　最新版はブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

　このほかに、Google Chromeに搭載されているFlash Playerの最新版「32.0.0.101」が自動更新機能を通じて配信されている。Chromeを手動で更新した場合には、コンポーネント画面を開いて「Adobe Flash Player」の[アップデートを確認]ボタンを押し、最新版に更新していただきたい。コンポーネント画面は、アドレスバーに chrome://components と入力してEnterキーを押すと開く。

　Flash Player 32.0.0.101は、執筆時点でChrome搭載版しか提供されていない。アドビシステムズからの修正情報はまだ出ていないため更新内容は不明だが、深刻な脆弱性が修正されている可能性がある。

【関連URL：グーグル】
・Stable Channel Update for Desktop[英文]
https://chromereleases.googleblog.com/2018/12/stable-channel-update-for-desktop.html

（2018/12/05 ネットセキュリティニュース）

◆宅配便の不在通知を装うSMSが再び増加――AndroidとiPhoneで異なる被害（2018/12/04）

　昨年末から続いている宅配便の不在通知を装うショートメッセージ（SMS）のばらまきが、10月以降急増したことを受けて、情報処理推進機構（IPA）は11月29日、注意を呼びかける「安心相談窓口だより」を公開した。

■偽SMSの文面と2つの手口

　問題のSMSの文面は、「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。下記よりご確認ください。http://sagawa-●●.com」（●●は2～4文字の英字）というものである。昼夜を問わず不特定多数の携帯電話番号あてに連日送られており、記載のURLを開くと、佐川急便の公式サイトを模した偽サイトへと誘導される。

　昨年末に始まったこのSMSのばらまきは、Android端末に偽アプリをインストールさせようとするもので、今年7月から8月にかけて急増した。7月末には、iPhoneやiPad等のiOS端末（以下iPhone）でアクセスした場合に、ソフトバンクの会員サイト「My SoftBank」のアカウントを詐取するフィッシングサイトに転送される事例が確認され、iPhoneユーザーにも被害が及ぶようになった。

　ソフトバンクのフィッシングサイトへの転送は数日間で中止されたが、それに代わり電話番号とSMSで届くApple Store/iTunesの認証コードを詐取する、キャリア決済を狙うフィッシングが始まった。さらに10月には、Apple IDとパスワードの詐取を狙うフィッシングサイトへの転送先も確認されるようになった。

　IPAに寄せられた「佐川急便をかたる偽SMS」に関する相談件数は、6月0件、7月110件、8月77件、9月24件、10月169件、11月182件（11/27時点）と推移している。12月に入ってからも、毎日新しいURLを数個使用し、SMSをばらまき続けている。

■Android：偽アプリのインストールに注意

　SMSに記載されたURLをAndroid端末で開くと、偽サイトの画面が表示されると同時に、ファイルのダウンロードを始めようとする。このファイルは、「sagawa.apk」というアプリをインストールするためのパッケージファイルだ。偽サイトには、「設定マニュアル」と書かれたインストール手順が記載されている。この手順に従ってアプリをインストールしてしまった人からは、「自身の端末から佐川急便の不在通知を装うSMSが大量に送信された」「その直後から見知らぬ人から問い合わせや苦情の電話、SMSが殺到した」「キャリア決済で勝手にiTuneカードが購入された」といった被害が報告されている。

　Android端末のマルウェア（ウイルス）は、ユーザーにアプリをインストールさせることで端末に感染する。ファイルのダウンロード時やインストール時には、警告画面が表示されるので、必ずキャンセルを選択していただきたい。インストールしていなければ被害は生じない。

＜不明なアプリのインストールを許可しない＞
　標準設定のAndroid端末は、公式ストア以外の場所で配布されているアプリはインストールをブロックするようになっている。以前に許可し、そのままになっている場合や、この偽サイトの指示に従って操作し、許可してしまった場合には、インストールされてしまうので注意したい。

　Android 8.0より前のシステムの場合は、[設定]アイコンから[セキュリティ]などのメニューにある[提供元不明のアプリ]の「インストールを許可する」を確認しよう。もしオンになっていたら必ずオフにしておく。

　Android 8.0以降のシステムは、[設定]アイコンから[アプリと通知]などのメニューに進み、[特別なアプリアクセス]→[不明なアプリのインストール]をタップすると、インストールを行う可能性のあるアプリが一覧表示される。[許可]になっているアプリがあったらタップし、[この提供元のアプリを許可]や[この提供元のアプリを信頼する] をオフにする。Webサイトからのダウンロードは、Chromeなどの使用しているブラウザが行うので、必ずオフにしておこう。

＜インストールしてしまったら＞
　偽アプリをインストールしてしまった場合には、まずはスマートフォンを機内モードにして全ての通信を遮断し、被害の拡大を止める。機内モードの状態で、[設定]からアプリ関連のメニューに進み、アプリの一覧から飛脚マークの佐川急便のアイコンが付いた「宅急便」というアプリを探し、アンインストールを実施する。

　キャリア決済が使用されていないか確認し、使われた場合は、通信事業者と購入先に相談する。端末内に保存しているアカウントにアクセスされていないかどうか確認し、必要ならパスワードの変更などを行う。

■iPhone：フィッシングに注意

　SMSに記載されたURLをiPhoneで開くと、「設定マニュアル」のない別のURLの偽サイトの画面が表示される。サイト内をタップすると、「Appleの認証」または「携帯電話の認証」と書かれた入力ページが表示される。「Apple社から送られた製品はセキュリティ許可の認証が必要となります」などと、もっともらしい文言で入力を促すので騙されないよう注意したい。

＜Appleの認証＞
　Apple IDに侵入しようとする手口で、Apple IDとパスワードの入力を求めてくる。誤ってこれらを入力してしまうと、アップルが提供する各種サービスに不正ログインされるおそれがある。Apple IDとパスワードは、アップルの公式サイト以外で入力してはいけない。入力してよい同社のサイトは、アドレスバーに錠前マークが表示された、「apple.com」または「icloud.com」ドメインのサイトだけだ。

　このフィッシングは、Apple IDとパスワードを詐取するだけで、2ファクタ認証や2ステップ認証を突破しようとはしない。これらを設定している場合には、不正ログインされる心配はない。未設定の方は、必ず設定しておこう。なお、Apple IDとパスワードを入力してしまった場合は、攻撃者の手に渡ってしまっているので、念のためパスワードを変更しておく。同じID/パスワードの組み合わせを他のサービスでも使用している場合は、それらも全て再設定する。パスワードはサービスごとに異なるものを設定していただきたい

＜携帯電話の認証＞
　ユーザーのキャリア決済を使い込む手口で、電話番号を入力して[認証コード送信]をタップすると、SMSで4桁のコードが届く。SMSで送られてくるこの種のコードは、電話番号の持ち主の確認や本人の承認に用いられる。電話番号とコードは、認証や承認を行おうとしているサービスの公式サイト、または公式アプリ以外では、決して入力してはいけない。

　このフィッシングサイトでこれらを渡してしまうと、攻撃者のApple IDの決済方法に、自身のキャリア決済が登録され、勝手使われてしまう。入力してしまった場合には、キャリア決済が発生していないかどうかを確認し、発生している場合は、通信事業者と購入先に相談する。　

【関連URL】
・宅配便業者をかたる偽ショートメッセージに関する新たな手口が出現し、iPhoneも標的に（IPA）
https://www.ipa.go.jp/security/anshin/mgdayori20181129.html

（2018/12/04 ネットセキュリティニュース）