ネットセキュリティニュース

◆連日ばらまかれている宅配便「偽不在通知」に新たな動き――「DNS設定改ざん」攻撃でスマホ情報漏えいの恐れ（2019/02/26）

　宅配便の不在通知を装うSMSのばらまきが、相変わらず続いている。本物そっくりの偽サイトに誘導し、マルウェア感染やフィッシングを仕掛けてくる攻撃だ。その攻撃に使われている紛らわしいドメインを使った、新たな攻撃（DNS設定改ざん）の動きがある。

■連日続く佐川急便を装う偽の不在通知SMS

　「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。下記よりご確認ください。」というSMSが連日ばらまかれている。Android端末でアクセスすると、偽の「宅急便」アプリ（sagawa.apk）をインストールさせようとし、iPhoneなどのiOS端末でアクセスすると、Apple IDを騙し取るフィッシングを仕掛ける。

　騙されて偽アプリをインストールしてしまう人が後を絶たず、「連絡先などの端末内の情報を盗まれる」、「偽の不在通知SMSを勝手に送信される」、「キャリア決済が使い込まれる」などの被害が報告されている。

　一連の攻撃は、2017年12月から断続的に観測されていたが、2018年7月、偽アプリがインストールされたAndroid端末が不在通知を装うSMSを一斉に送信するようになり、激化した。8月には、誘導先にiPhone用のフィッシングサイトが用意され、その後しばらく小康状態が続いたが、10月から再びSMSのばらまきが増加し現在に至っている。

■偽佐川ドメインに「DNS設定改ざん攻撃」用のコンテンツ出現

　SMSの誘導先には、主に「sagawa-●●●.com」（●●●は数文字の英字）という形式のドメイン（インターネット上の名前）が使われているが、今月14日からは過去に使用したドメインに、これまでの攻撃とは違うコンテンツが出現した。昨年3月、無線LAN（Wi-Fi）ルーターのDNS設定が書き換えられ、Android用の不正なアプリをダウンロードさせようとする問題が国内で発生し問題になったが、その時に使われたコンテンツが偽佐川急便のドメインに仕掛けられたのだ。

●「DNS設定改ざん攻撃」とは？

　DNS（Domain Name System：ディーエヌエス）は、アクセス先の名前を実際の通信で使用する住所にあたるIPアドレスに変換する「名前解決」などの機能を提供している。ルーターには、どこに問い合わせるのかというDNS情報が設定されている。この問い合わせ先を、攻撃者が用意したサーバーに書き換えられてしまうと、端末をどこに接続させるかが攻撃者の意のままになる。正規サイトの名前の問い合わせに対し、嘘の住所を教えられると、正しいURLで偽サイトへと誘導されてしまう。

●偽佐川急便のドメインに仕掛けられたコンテンツとは？

　偽佐川急便のドメインに仕掛けられたのは、その誘導先となる偽サイトのコンテンツで、日本語を含む27か国語に対応したもの。Android端末でアクセスすると、「Facebook拡張ツールバッグを取付て安全性及び使用流暢性を向上します。」と表示し、偽の「Facebook」アプリ（facebook1.0.23.apk）をインストールさせようとする。このコンテンツには、他の端末用に仮想通貨のマイニング機能も用意されているが、現時点では、動作しないようになっていた。

　iPhoneなどのiOS端末用には、Appleのフィッシングサイトに誘導する仕組みが用意されており、攻撃者のDNS設定でアクセスした場合には、アップルのフィッシングサイトに誘導されるとみられる。

▲DNS設定改ざん攻撃用のコンテンツ：Android端末でアクセスした場合（左）、iPhoneでアクセスした場合（右）

　これらの一連の攻撃については、カスペルスキー公式ブログの以下の記事に詳しい。

＜参考URL：カスペルスキー公式ブログ＞
・ルーターのDNS改竄によりダウンロードされる「facebook.apk」の内部構造を読み解く
https://blog.kaspersky.co.jp/malicious-facebook-apk/19968/
・DNS設定を乗っ取りAndroidデバイスに感染するRoaming Mantis
https://blog.kaspersky.co.jp/roaming-mantis/20105/
・Roaming Mantis続報：さらなる多言語化、フィッシング、そしてマイニング
https://blog.kaspersky.co.jp/roaming-mantis-update/20383/
・Roaming Mantis：iOSでの仮想通貨マイニングと、悪意あるコンテンツ配信システムを介した拡散
https://blog.kaspersky.co.jp/roaming-mantis-new-methods/21749/

■騙されてインストールすると、端末内から外部に情報漏えい

　一連の攻撃に使われているAndroid用の偽アプリを、カスペルスキーでは「Roaming Mantis」と呼んでおり、前掲のカスペルスキー公式ブログの記事「Roaming Mantis：iOSでの仮想通貨マイニングと、悪意あるコンテンツ配信システムを介した拡散」では、「タイプA」と「タイプB」の2種類のRoaming Mantisを紹介している。

　前述の「Facebook」アプリ（facebook1.0.23.apk）はタイプA、佐川急便の偽サイトで最近ばらまかれていた「宅急便」アプリ（sagawa.apk）はタイプBだ。14日以降は、SMSの誘導先にタイプAの「宅急便」アプリをばらまく偽サイトも出現している。

　どちらも、感染すると端末内から連絡先のデータなどを外部に送信する機能やSMSを監視する機能を有しているという。くれぐれも騙されてインストールしないよう注意していただきたい。

■対策１：公式サイト以外でアプリをインストールしない

　標準設定のAndroid端末は、公式ストア以外の場所で配布されているアプリのインストールをブロックするようになっている。以前に許可し、そのままになっている場合や、この偽サイトの指示に従って操作し、許可してしまわなければ、勝手にインストールされるようなことはない。

●公式サイト以外のアプリをインストール不可とする方法

　Android 8.0より前のシステムの場合は、[設定]アイコンから[セキュリティ]などのメニューにある[提供元不明のアプリ]の「インストールを許可する」を確認しよう。もしオンになっていたら必ずオフにしておく。

　Android 8.0以降のシステムは、アプリごとにインストールの許可を与える。[設定]アイコンから[アプリと通知]などのメニューに進み、[特別なアプリアクセス]→[不明なアプリのインストール]をタップすると、インストールを行う可能性のあるアプリが一覧表示される。[許可]になっているアプリがあったらタップし、[この提供元のアプリを許可]や[この提供元のアプリを信頼する] をオフにする。Webサイトからのダウンロードは、使用しているChromeなどのブラウザが行うので、必ずオフにしておこう。

■対策２：インストールしてしまったアプリはアンインストールする

　偽アプリを誤ってインストールしてしまった場合には、通信を強制停止し、インストールしてしまったアプリをアンインストールする必要がある。

●通信を強制停止し、アプリをアンインストールする方法

　スマホは、「機内モード」にすると通信機能が全てオフになるので、データ通信やSMSの送受信、電話の着信などが全て停止する。アンインストールは、[設定]アイコンから[アプリと通知]などのアプリ関連メニューに進み、全てのアプリ情報を表示、アプリをタップすると、アンインストールが選択できる。

■対策３：「DNS設定改ざん攻撃」に備える

　DNS設定改ざん攻撃用のコンテンツがインターネット上で確認されたが、実際に改ざん攻撃が行われているかどうかは不明だ。起こり得るさまざまな攻撃には、下記記事の「IoT機器の安全対策：ルーターを守る４つのポイント」が対策になるのでぜひ実施していただきたい。

・ネット接続機器への「一斉調査」始まる――家庭のIoT機器をサイバー攻撃から守る「４つのポイント」

（2019/02/26 ネットセキュリティニュース）

TEXT：現代フォーラム／鈴木直美

◆アドビ、深刻な脆弱性を再修正したAcrobat Readerの最新版公開（2019/02/22）

　アドビシステムズは22日、PDF閲覧ソフト「Acrobat Reader」の最新版を公開した。今月12日に公開したアップデートでは、修正が不十分だったため、再修正したという。

■修正の内容

　問題の脆弱性は（CVE-2019-7089）は、細工したPDFファイルを開くとハッシュ化されたパスワードが漏えいする可能性があるとういうもの。12日のアップデートで修正したものの、回避作があるとの報告を受けたため、再修正したという。

　脆弱性の緊急度は、3段階で最も高い「クリティカル」、優先度は3段階で2番目に高い「2」。これは、過去に攻撃リスクが高いとされたことのあるタイプの脆弱性の修正ではあるが、現時点で攻撃対象になっているとの報告はなく、過去の実績から今後悪用される可能性は低いことを示している。例えば30日以内といった、短期の間にアップデートすることが推奨されている。

　アップデートの対象となるのは、Windows版とMac版のAcrobat Reader DCおよびWindows版のAcrobat Reader DC 2017（Classic 2017）、Acrobat Reader DC（Classic 2015）。　更新後のバージョンは、Acrobat Reader DCが「2019.010.20098」に、Acrobat Reader DC 2017（Classic 2017）が「2017.011.30127」に、Acrobat Reader DC（Classic 2015）が「2015.006.30482」になる。

 

■バージョンの確認と更新

　現在使用しているバージョンは、Acrobat Readerを起動し、[ヘルプ]メニューの[Adobe AcrobatReader DCについて（または Acrobat Reader 2017について）]で確認できる。　最新版への更新は、[ヘルプ]メニューの[アップデートの有無をチェック]から実行できるほか、同社のサイトから最新のAcrobat Reader DCをダウンロードすることもできる。

 

・Security Updates available for Adobe Acrobat and Reader | APSB19-13[英文]（アドビ）

https://helpx.adobe.com/security/products/acrobat/apsb19-13.html

（2019/02/22  ネットセキュリティニュース）

TEXT：現代フォーラム

◆クレジットカード情報の不正利用高止まり、「スマホ決済」悪用急増――ユーザーにできる対策は？（2019/02/22）

　2017年に跳ね上がったクレジットカードの不正利用被害が高止まりしている。スマホ決済サービスの台頭で、店頭で不正利用される被害も相次いでいる。不正利用の監視体制や補償も行き届いているが、面倒には巻き込まれないのが一番だ。ユーザーにできる対策を知っておこう。

 

■クレジットカード番号盗用による被害は131.8億円

　日本クレジットカード協会がまとめた2018年1月から9月までのクレジットカードの番号盗用による被害は131.8億円（前年同期130.3億円）と、増加傾向にある。2017年に前年の1.7倍に被害額が跳ね上がって以来の高止まりで、不正利用被害全体の約8割を番号盗用による被害が占めている。その背景には、ネット通販の利用者拡大と相次ぐ情報流出、詐欺サイトやフィッシングなどが考えられる。

▼クレジットカード番号盗用被害額推移（単位：億円）

　出典：クレジットカード不正利用被害の集計結果について[PDF]（日本クレジット協会）
https://www.j-credit.or.jp/download/news20181228b.pdf

 

■「通販サイト」からの流出――偽の決済画面を仕掛けるケースも

　ネット通販では、攻撃を受けてサイトに保存されていたクレカ情報が流出する事例が多いが、最近は、サイトが改ざんされ偽の決済画面に移動する仕掛けが埋め込まれる事例が見られるようになった。下記は不正アクセスによる情報流出の事例を紹介した記事だが、両方のケースを紹介している。

・不正アクセスによる情報流出相次ぐ――クレジットカードの不正利用被害も発生

●対策：「身に覚えのない請求」の早期発見に注力を

　どちらのケースでもユーザー側での対策は難しいので、カード会社の明細を必ず確認し、身に覚えのない請求の早期発見に努めたい。見つかった場合には、速やかにカード会社に連絡し指示を仰ごう。

　なお、下記の記事では「不正利用に気づいたときの対処方法」として「警察に被害届を出しましょう」と書かれているが、このようなケースでは、利用者に被害が及んでいないため、被害届を出すことはできない（情報提供は可能）。早まったことはせず、カード会社の指示に従い、落ち着いて行動していただきたい。

・クレジットカードの番号を悪用されないためには？ネット通販利用時の注意点

　流出したとの連絡を受けた場合も同様、身に覚えのない請求の確認に注力していただきたい。慌てなくても、通販会社やカード会社が万全の態勢で対処し、不正利用の全額補償と、必要があれば無償でカードを再発行してくれる。

 

■「詐欺サイト」からの流出――“安さ”で引っ張る手口に注意

　通販サイトになりすまして、クレジットカード情報を騙し取る詐欺サイトがある。多くの場合、検索サイトで商品を検索し、安さにつられて購入しようとすると、この手のクレカ情報を騙し取る詐欺サイトや、代金を騙し取る詐欺サイトにおびき寄せられてしまうので注意したい。通販系には、いろいろなタイプの詐欺サイトがあるが、大筋は同じだ。

●対策：サイトの“怪しさ”を見抜くポイント

　詐欺サイトを見抜く方法としては、次の記事の「トラブルにあわないためのチェックポイント」が参考になるだろう。「チェックポイント1」に記載されている「サイト内の情報を確認する」だけでも、販売サイトとしての怪しさをチェックできるはずだ。

・「商品が届かない」「偽物が届いた」――冬季に多発する悪質通販サイトに注意

■「フィッシング」による流出――偽会員サイトや大手サービス成りすまし

　クレジットカード会社を装い、偽の会員サイトに誘導してクレカ情報などを騙し取るフィッシングが、2016年ごろから急増した。昨年はさらに急増し、前年の3倍以上に膨れ上がった。昨年とくに多かったのが、楽天カード、クレディセゾン、三菱UFJニコスのフィッシングだ。「不正ログインされた可能性があるのでパスワードをリセットしたから再設定するように」と求め、カード情報などを再登録させる手口がよく使われた。

　これらをはるかに上回る勢いで増殖したのが、クレジットカードを利用するサービスに成りすましたフィッシングだ。支払い情報の更新や本人確認などと称して、クレジットカードを求める手口がよく使われ、アマゾン、アップル、ヤフーが頻繁に狙われた。

●対策：ありえない「クレカ情報入力」要求に従わない

　これらのサービスでは、商品や有料サービスなどの購入時にクレカ情報を入力するのが基本だ。サービス側からユーザーにクレカ情報を求めるようなことはないので、騙されないよう注意したい。ログインやクレカ情報を求めるメールが届いたら、サポート窓口に問い合わせるか、公式サイトで確認することをおすすめする。

 

■悪用される「スマホ決済」――店頭での不正購入相次ぐ

　盗まれたクレカ情報は、犯罪者自身やクレカ情報の転売先で支払いに不正利用されることになる。不正利用の手口として昨年から相次いでいるのが、「スマホ決済」の悪用だ。クレカ情報は、そのままではオンラインなどの非対面の決済でしか利用できないが、スマートフォンをカード代わりに使えるスマホ決済に登録することで、店頭でも利用できるようになる。

●「スマホ決済」悪用で逮捕：店頭でポータブルHDDを騙し取る

　愛知県警は2月12日、不正に入手した他人名義のクレカ情報をスマホ決済サービスに登録し、同サービスのバーコード画像を表示して店員に読み取らせ、ポータブルハードディスクを騙し取ったとして、名古屋市内の男2人を逮捕したと発表した。悪用されたのは、ヤフーが昨年6月に始めた「Yahoo!ウォレット」や「Yahoo!マネー」を使ったスマホ決済サービス「ヤフーアプリ支払い」だという。

●後継の「PayPay」でも不正利用：家電量販店などで数万～数十万円の買い物

　この「ヤフーアプリ支払い」は昨年11月、「PayPay」に受け継がれる形で終了。翌12月には、後継の「PayPay」でクレカの不正利用が相次ぎ問題となった。何らかの方法で入手したカード情報を勝手にアプリに登録し、使用したとみられる。対応するコンビニや家電量販店で数万から数十万円の買い物をされたという報告が相次ぎ、PayPayはその後、後述する「3Dセキュア」への対応や利用額の制限などの対策を打ち出している。

●NTTドコモ「iD」でも不正利用：家電量販店などで数万～数十万円使い込み

　今月17日から19日にかけて行われた三井住友カードのフィッシングでは、NTTドコモのスマホ決済「iD」が悪用されたとみられる不正購入が報告されている。昨年のPayPayと同様、コンビニや家電量販店で数万から数十万円単位で使い込まれたという。

・スマホアプリ決済でクレカ不正使用相次ぐ――PayPay利用に限らず被害発生(12/21)

・「三井住友カード」を名乗る不審なメールにご注意ください

・クレジットカードご利用時の上限金額について（2019年2月12日時点）PayPay

 

■対策としての「3Dセキュア」――ワンタイムPWの採用も進展

　「3Dセキュア」とは、Visaが「VISA認証サービス」、Mastercardが「Mastercard SecureCode」、JCBが「J/Secure」、American Expressが「American Express SafeKey」と呼んでいるもので、カード利用時に各カード会社のサイトでパスワード認証を行い、カードの持ち主本人であることを確認する。

　プラスチックのカードで支払う際のサインや暗証番号に相当する、オンライン用の本人確認手段だ。必須というわけではなく、アマゾンや楽天市場のように、大手でも未対応のところは多いものの、対応サービスはパスワードがないと利用できなくなるので、安全性はそれなりに向上する。スマホ決済も同様で、パスワードがないクレジットカードは登録できない（「PayPay」は利用額が5000円に制限される）。

▼3Dセキュアのパスワードを詐取するアマゾンのフィッシングサイト（左）、60秒で無効になるワンタイムパスワードを自動生成するアプリ（右）

　詐欺サイトやフィッシングの中には、この3Dセキュアのパスワードまで詐取するところが数多くある。その対抗策として3Dセキュアにもワンタイムパスワードの採用が進められている。American Expressはメールで届き、三井住友カードやJCBなどはアプリで生成する方式だ。ワンタイムパスワードは、詐取されても短時間で無効になるので、より高い安全性が期待できる。

（2019/02/22 ネットセキュリティニュース）

現代フォーラム／鈴木直美

◆パスワード最前線(2) パスワード不要の「パスワードレス認証」広がる――アプリや指紋・顔などで安全ログイン（2019/02/21）

　端末へのログインや画面ロックの解除に、顔や指紋などの生体認証が利用できる製品が増えてきた。パスワードや暗証番号は使わずに、端末に顔を向けたりタッチしたりするだけで、一瞬で認証が完了する便利な機能だ。そんなパスワードを使わない「パスワードレス認証」がインターネットのサービスにも広がり始めている。

 

■マイクロソフトのパスワードレス認証

　マイクロソフトが提供するパスワードレス認証サービスは2つある。1つは、パスワードを使わずにアプリでログインを承認する方法で、一昨年から提供されている。もう1つは、Windows Hello（Windows10の認証機能）やセキュリティキーを使う方法で、昨秋から提供されていたもの。日本語サイトではしばらく未サポートのままだったが、ようやく利用できるようになった。

●スマホ用「認証アプリ」でログイン

　同社が無料で提供しているスマートフォン用の認証アプリ「Microsoft Authenticator（マイクロソフト・オーセンティケーター）」と連携したログイン方法で、アプリに届くサインイン要求メッセージを承認するとログインできる。アプリ（iPhoneなどのiOS用とAndroid用のどちらも可）をアカウントの2段階認証の認証アプリとして登録し、ログイン時にアプリを使用すると、アプリに要求メッセージが届く。

　アプリ側での承認は、端末の指紋認証や暗証番号などでロックを解除できることが条件になっている。端末を所持し、なおかつロックを解除できるという2要素で保護されているわけだ。さらに初回の承認時のみ、ログインしようとしている側の端末に表示される2桁の数字を、アプリ側で選択するというひと手間が加わる。ログインする環境が変わらない限り、2回目以降にこの手順はない。このプロセスの有無で、自身がログインしようとしているのか、騙されて別の環境でのログインを手助けしているのかが判別ができる。

▲マイクロソフトが提供するアプリでログインを承認する方法：（上）初回承認時のみ、ログインしようとしている側の端末に表示される2桁の数字を認証アプリ側で選択する。（下）2回目以降は、認証アプリに届くサインイン要求を承認するとログインできる。

 

●「Windows Hello」または「セキュリティキー」でログイン

　Windows Helloは、Windows 10がサポートする指紋認証などを使用する認証機能のこと。対応パソコンやWindows Hello互換の認証機器をセットアップし、同社のブラウザ「Microsoft Edge」を使用すると、パスワードの代わりに認証に使えるようになる。

　セキュリティキーは、FIDO2（前編で述べた認証規格FIDO U2FおよびFIDO UAFの拡張規格）に対応した製品なら単体で、Windows Helloに対応した製品の場合はWindows Hello経由で、Microsoftアカウントに登録する。Microsoftアカウントのサインインオプションで「Windows Helloまたはセキュリティキーを使用してサインイン」を選択すると、登録したWindows Helloやセキュリティキーを使ってログインできる（下図参照）。

▲マイクロソフトが提供するWindows Helloまたはセキュリティキーでログインする方法：（左）サインインオプション。（右）認証画面。

 

■ヤフーのパスワードレス認証　

ヤフーが提供するパスワードレス認証のうち、2種類のサービスをご紹介する。従来のパスワードは使わず、SMSやメールに届く「確認コード」を使ってYahoo IDにログインする方法と、スマートフォンの「指紋認証」などを使う方法だ。ソフトバンクのスマートフォンを使用している場合は、操作不要の「スマートログイン」も利用できる。確認コードを使うログインやスマートログインを設定すると、従来からのパスワード認証を無効化することも可能だ。

▼ヤフーのパスワードレス認証：（左）SMSの確認コード。（右）指紋認証

 

●「確認コード」でログイン

　SMSやメールを使う2段階認証から1段階目のパスワード認証を無くした方式で、登録した電話番号やメールアドレス宛てに届く数字を入力してログインする。SMSからの自動入力に対応したiPhoneなら、ワンタップで快適にログインできる。

　SMSやメールで届く数字は毎回異なるので、即座に使われない限り不正ログインはできない。ただし、SMSはスマートフォンとSIMカードのセキュリティ次第で、メールは送信先のメールアカウントのセキュリティ次第で、コードを取得されるおそれがある。ユーザーが騙されてしまった場合やマルウェア感染にも弱い。

●「指紋」「顔」などでログイン

　前編で述べた「FIDO」を使ったログインを提供する。事前にサービスに登録しておいた端末上で指紋認証などを行えば、オンラインのサービスにログインできる仕組みだ。

　現時点では、Android端末上のGoogle Chromeからのログインでしか利用できないという制約があるが、前述の確認コードの弱点はなくなり、簡単でありながら安全性は高い。ただし、確認コードでのログインは無効にできないので、騙されたユーザーが操作して攻撃者をログインさせてしまう余地は残る。

 

■「パスワードを覚えなくてよい世界」へ

　一昨年から始まったパスワードを使わないログインは、ようやく環境が整い始めたところだが、パスワードレスの世界が垣間見えただろうか。今後のアップルの参入と対応サービスの拡大次第ではあるが、パスワードを覚えなくてもよい世界は、すぐそこまで来ているのかもしれない。

（2019/02/21 ネットセキュリティニュース）

現代フォーラム／鈴木直美

◆パスワード最前線(1) 破られる「ワンタイムパスワード」、突破を阻止する「セキュリティキー」（2019/02/20）

　アカウントのセキュリティを強化する「2段階認証（ワンタイムパスワード）」を破る攻撃が、国内で多発している。SMSやメールの盗み見、電話での聞き出し、フィッシングなど、攻撃者はさまざまな方法で2段階目の認証を突破しようとしている。

■破られる二段階認証（ワンタイムパスワード）

　現在主流のパスワード認証は、何らかの方法で攻撃者にパスワードを入手されたり、安易なパスワードを推定されたりすると、本人になりすましてログインされてしまう。そこでもう一段階別の認証を追加し、パスワードが破られても侵入できないように強化するのが「二段階認証」だ。

●「ワンタイムパスワード」の仕組み

　二段階目の認証には、専用のハードウェアやアプリ、メール、SMS、音声通話などを使い、認証に使用する数桁の数字（以後、認証コードと呼ぶ）をそのつど送ったり生成したりするのが一般的だ。認証コードは、数十秒から数分で無効になる使い捨てのワンタイムパスワードなので、盗んだものを後で使おうとしても役に立たない。

●ワンタイムパスワードを突破する「リアルタイム攻撃」

　ところが、盗んだ認証コードを即座に使用する、リアルタイム攻撃には脆弱で、簡単に破られてしまう。昨年から頻発している通信会社や銀行を装うフィッシング、SMSやメールを盗み取るマルウェア感染で、この方法が用いられているほか、銀行や仮想通貨の取引所の関係者を装い、電話で聞き出す手口も使われているという。

▼2段階認証を突破しようとするフィッシングサイト：NTTドコモ（左上）、ソフトバンク（右上）、au（左下）、三井住友銀行、(右下)

 

　認証コード（ワンタイムパスワード）は、公式サイトにログインする時や、ネットバンキングで送金する時など、限られた場面でしか使用しない。電話で尋ねるようなことはなく、公式サイトと公式アプリ以外で入力を求められることもないので、偽者に騙されないよう細心の注意をはらっていただきたい。

 

■突破を阻止する2段階認証（セキュリティキー）

　一部のサービスでは、2段階目の認証にFIDO（Fast IDentity Online：ファイド）のU2F（Universal 2nd Factor：ユーツーエフ）という仕様に準拠した、「セキュリティキー」と呼んでいる物理的なキーを使用することができる。これは、端末のUSBポートに挿したり、無線のBluetoothやNFC経由で接続したりする認証専用の小さな機器で、対応サービスのアカウントに登録すると、これを使用して2段階目の認証が行えるようになる。

▼セキュリティキー（指先で触れている青い長方形）をUSBポートに挿入して使用する（写真出所：https://www.yubico.com/press/images/）

 

●「セキュリティキー」を使う2段階認証

　1段階目のパスワード認証が通ると、2段階目の認証コードの入力画面の代わりに、セキュリティキーの操作を促す画面が表示される。指示に従って操作すればログイン完了だ。

▼Googleアカウントの2段階認証プロセス：コード入力の場合（左）、セキュリティキーの場合（右）

　セキュリティキーを使う2段階認証では、ログインできるのは、アカウントに登録したセキュリティキーを接続している端末のみ。認証コードのように攻撃者に横取りされて使われることはなく、騙されたユーザーの操作で攻撃者の端末をログインさせてしまうようなことにもならない。ログイン情報と物理キーの両方を盗まれない限り、アカウントは守られる。

 

●セキュリティキーを利用できるサービス

　2段階認証にセキュリティキーを利用できるサービスは、グーグル、フェイスブック、ツイッター、ドロップボックスなど。ブラウザは、Google Chrome、Opera、Firefox、Microsoft Edgeが対応している。

●「パスワードレス認証」の登場

　FIDOにはもうひとつ、機器側で指紋や暗証番号などを使って認証を行う、UAF（Universal Authentication Framework：ユーエーエフ）という仕様がある。これを使い端末側で認証を行うことで、パスワードなしで利用できるサービスが出始めている。

　続編となる次の記事では、マイクロソフトやヤフーが提供する「パスワードレス認証」をご紹介する。さまざまなネットサービスが、パスワードなしで安全に利用できる日が来るかもしれない。

（2019/02/20 ネットセキュリティニュース）

現代フォーラム／鈴木直美

◆「スマホ副業7日で20万稼げる」は虚――消費者庁が“儲かる副業”詐欺に注意呼びかけ（2019/02/15）

　消費者庁は13日、「在宅スマホ副業で7日で20万円稼げる人続出中！」などとうたい、システム使用料として多額の費用を支払わせていた事業者「トップ」（東京都渋谷区）について、注意を呼びかけた。

　同庁の発表や報道によると、トップはSNSのInstagram上に宣伝用のアカウントを作成。興味をもって連絡してきた人に「在宅スマホ副業で7日で20万円稼げる人続出中！」「10名様限定追加募集！」「今なら無料モニターを体験できます」などとメッセージを送り、LINEの友だち登録を促していた。

■「無料モニター」を騙しの道具に、約9000万円売り上げ

　「無料モニター」とは、同社が運用する、Instagramに写真を自動投稿して集客するシステムを、2時間使用できるというもの。投稿を見て連絡してきた人に対し、LINEを通じて情報商材を送信すると、「1件につき報酬が5000円発生する」と説明していた。2時間のうちに複数の人から連絡がくるため（実際はサクラ）、簡単に数万円を稼げると思わせるような仕組みになっていた。

●モニター終了後に高額使用料提示、「すぐ元が取れる」と説明

　モニター期間が終了すると、発生した報酬の受け取り方や情報商材の渡し方などを「電話で説明したい」と、同社からLINEメッセージが届く。同社はこの電話で初めて、自動システムを使うには20万円が必要だと明かし、「10日間で元が取れる」「月に100万円稼ぐ人もいる」などと執拗に勧誘していた。

●若い女性や主婦、大学生、会社員の“成功体験談”多数掲載

　同社はサイト上で、若い女性の写真を多数使い、子育てがあり働けない、旦那に内緒で貯金したい、毎月カツカツで余裕がないといった不満を解決できるとして、「超即金でプチリッチ生活をスタート！」などと誘っていた。また、「自宅で仕事できるのは嬉しいです！」という主婦、「お金も欲しいけど遊ぶ時間もほしい！」という大学生、「仕事をつづけながら両立できます！」という会社員の、それぞれ数十万円を稼いだという体験談を掲載していた。

　消費者庁によると、このビジネスで収益を上げた人は一人もいなかった。また、同社サイトに掲載されていた成功事例や体験談等も根拠のないものだった。報道によると、トップは同庁に対し、約9000万円の売り上げがあったと話しているという。

 

■「反響の大きさアピール」や「契約時の高額支払い」に注意

　同庁は、多額のお金が必要になることをあらかじめ明示せず、無料モニターや研修を通じて反響が大きいことを消費者にアピールし、契約時になって突然、多額のお金の支払いを求める事業者には十分注意してほしいとして、お金を支払う前に費用の内訳やその適否を書面でしっかり確認してほしいと呼びかけている。

●SNSに「副業で儲けている」と投稿し誘引するケースも

　さらに、SNSなどに、あたかも自分自身が副業で利益を上げているような投稿をし、興味を持った消費者を広告用のサイトに誘導する事業者も存在するので、副業に関する個人の投稿にも十分注意してほしいとしている。

　また、不安な点や不審な点、困ったことなどがあれば、最寄りの消費生活センター（電話番号「188」番）や警察相談電話（短縮ダイヤル「#9110」番）に相談するよう呼びかけている。

（2019/02/15 ネットセキュリティニュース）

【関連URL】
・「在宅スマホ副業で7日で20万円稼げる人続出中！」などとうたい、多額の金銭を支払わせる事業者に関する注意喚起[PDF]（消費者庁）
https://www.caa.go.jp/policies/policy/consumer_policy/release/2018/pdf/release_2018_190213_0001.pdf

◆最新フィッシング事情（2）「キャリア決済」は対策が奏功、活発化した銀行偽サイトの「不正送金」被害に注意（2019/02/14）

　国内のユーザーを狙った1月のフィッシングは、すっかり定番化した4つのブランドのほかに、通信会社と銀行になりすましたSMSが頻繁にばらまかれました。騙されると金銭被害に直結する危険度の高いフィッシングで、実際に被害が多数出ているようです。

 

■「キャリア決済」狙うフィッシングは対策奏功、しかし油断は禁物

　携帯通信事業者を装うフィッシングや佐川急便を装うフィッシングでは、通信事業者が提供する「キャリア決済」がよく狙われました。このサービスは、対応サイトなどでクレジットカードのように決済に利用でき、利用分は月々の電話料金と一緒に引き落とされる仕組みです。

●姿を消した代表的なフィッシング手口

　キャリア決済狙いの代表的なフィッシングのひとつが、電話番号とSMSで届くコードを詐取する手口です。この2つの情報があれば、騙されたユーザーのキャリア決済を任意のApple IDの支払い方法に登録でき、App Store/iTunesで買い物ができたのです。約1年前から盛んに行われたフィッシングでしたが、何らかの対策が行われたようで、すっかり姿を消しました。

●マイページに侵入する手口も「キャリア回線限定決済」で歯止め

　通信事業者のマイページのアカウントに侵入する手口でも、キャリア決済が使い込まれる被害が多発しました。換金性の高いオンラインゲームのコインが購入されたようですが、決済をキャリア回線限定（Wi-Fiを切る）にするなどの対策が実施され、歯止めがかかったようです。Wi-Fi経由のアクセスと違い、キャリア回線経由では、通信事業者がアクセスしている自社のユーザーの端末を特定することができます。正当なユーザーの端末以外からのキャリア決済を排除すれば、不正利用が一掃されます。

●NTTドコモの「d払い」不正利用も収束へ

　NTTドコモのキャリア決済「d払い」は、街のお店でも利用することができます。昨年9月にはローソン、12月にはファミリーマートがd払いに対応し、使えるお店が一気に増えました。これに呼応するように、NTTドコモのdアカウントを狙うフィッシングが増え、店頭でd払いが不正に使われたという被害が、ネット上に投稿されるようになりました。

　スマートフォンの「d払いアプリ」にdアカウントでログインすると、当人になりすまして店頭でd払いが使えるため、フィッシングの餌食になったのでしょう。d払いでは、クレジットカードと同様、換金性の高いプリペイド式の電子マネー（ギフトカード)を購入することはできませんが、それに準じた高額で換金性の高いタバコが、数万円単位で買われたようです。

　NTTドコモは、d払いアプリの不正利用対策として1月22日より、ドコモ回線のユーザーが同アプリの初期設定や支払方法の変更を行う際に、ドコモ回線での接続を必須としました。前掲のオンラインゲームでの不正購入と同様の措置で、これが奏功したらしく、同社を装うフィッシングSMSのばらまきは収束しました。

●「攻撃の本体」は健在

　2月8日には、中国人グループによるd払いアプリを悪用した詐欺事件で、埼玉県警が中国籍の男女3人を逮捕したとの報道がありました。上述のようにフィッシングでキャリア決済が悪用されないよう対策が進み、実行犯の摘発もありました。しかし、フィッシングを仕掛けている本体はいまだ健在なので、まだまだ油断できません。

・auかんたん決済によるハンコイン購入について（ハンゲーム）
http://info.hangame.co.jp/index.nhn?m=detail&infono=13544
・【再開】ドコモケータイ払いによるハンコイン購入について（ハンゲーム）
http://info.hangame.co.jp/index.nhn?m=detail&infono=13178
・【再開】SoftBank Y!mobileまとめて支払い（ハンゲーム）
http://info.hangame.co.jp/index.nhn?m=detail&infono=13273
・d払いアプリ設定時の認証強化について（NTTドコモ）
https://service.smt.docomo.ne.jp/keitai_payment/info/info_20190121.html

 

■「不正送金」狙うオンラインバンキングのフィッシング

　2年ぶりに復活したオンラインバンキングの「不正送金」が目当てとみられるフィッシングが、1月に入ってからも頻繁に観測されました。前月から続く三井住友銀行に加え、短期間でしたがジャパンネット銀行も標的になりました。

●同文SMSで誘導する偽サイト、営業は「9時から15時まで」

　どちらも「注意:ダイレクトのパスワードが翌日に失効し、△△△△のメンテナンスサイト （URL）により、更新をお願いします。」という文面のSMSで誘導します。このフィッシングの特徴として、銀行の窓口業務と同じ「9時から15時の営業」という点があげられます。開店時刻の9時になるとSMSをばらまき、偽サイトへの誘導を開始、閉店時刻の15時までには偽サイトも閉店してしまいます。ジャパンネット銀行の偽サイトは、営業時間内に間に合わず、稼働中のものを確認できませんでしたが、わずか6時間の稼働では、同行やセキュリティソフトの対応も難しそうです。

●裏で本物のオンラインバンキングを操作し不正送金

　三井住友銀行の事例では、偽のログインページにログインすると、「第一暗証」というログイン用の4桁の暗証番号の変更を求めてきます。この変更手続では、最後にパスワードカードに表示されたワンタイムパスワードを入力させます。騙されてここまで入力してしまうと、裏で本物のオンラインバンキングを操作し、任意の口座に任意の金額を振込むことができます。振込先の口座には即時入金されるので、直ちに引き出したり、別の口座に振込んだりすることが可能になります。

　ジャパンネット銀行を装うフィッシングも、おそらく同じ不正送金を狙ったものと思われますが、何らかの手を打ったのか三井住友銀行ほどは長続きせず、1月下旬の1週間だけで収束しました。三井住友銀行の方は、2月に入ってからも続いているので、被害が出ているおそれがあります。

・フィッシングメールによる不正送金（三井住友銀行）
https://www.smbc.co.jp/security/attention/phishingmail/
・ジャパンネット銀行を騙るフィッシングメール（SMS）にご注意ください
https://www.japannetbank.co.jp/news/general2019/190125.html

（2019/02/14 ネットセキュリティニュース）

◆最新フィッシング事情（1）連日続いた四大ブランド攻撃――不在通知装う偽佐川急便、電子マネー騙し取るライン乗っ取り（2019/02/14）

　フィッシングは、実在する企業やサービスを装い、メールやSMSでユーザーを偽のWebサイトに誘導するなどして、ログイン情報やクレジットカード情報などを騙し取る行為のことです。年末年始の長期休暇を迎えた1月も、複数のブランドのフィッシングが元日から連日続きました。

■フィッシング報告件数は1713件、緊急情報は2回

　フィッシング対策協議会がまとめた2019年1月の月次報告によると、同協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より171件減少し1713件、ユニークなURL件数は前月より207件減少し1052件、悪用されたブランド件数 (海外含む) は1件増加し39件となりました。同協議会から出された緊急情報は、クレジットカード情報を狙う三井住友銀行とアマゾンの2件でした。

 

■連日続いた四大ブランドのフィッシング

　同協議会の総評では、アップル、アマゾンをかたるフィッシングの報告を多く受領し、宅配業者の不在通知を装う不審なSMSから誘導されるフィッシングサイトの報告も続いているとしています。

●不在通知装う「偽佐川急便」SMSが連日ばらまかれる

　不在通知を装うSMSは、12月に偽ヤマト運輸が1日だけばらまかれましたが、その後は相変わらず偽佐川急便だけが休みなく続いています。文面はこれまでと同様「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。下記よりご確認ください。（URL）」という内容です。記載された（URL）をタップすると、佐川急便の偽サイトに誘導され、Android端末には偽アプリのインストールを、iPhoneにはフィッシングを仕掛けます。

●“友だち”から電子マネー騙し取る「LINEフィッシング」連日続く

　同協議会の総評にはありませんが、LINEを装うフィッシングも連日のように続きました。LINEを乗っ取り、本人になりすましたメッセージを友だちに送って電子マネーを騙し取るフィッシングです。

●NTTドコモと三井住友銀を装うフィッシング高止まり

　上述の四大ブランドに加え、NTTドコモと三井住友銀行を装うフィッシングも高頻度で行われ、昨年来の高止まりが1月も続きました。

▲1月に多発した4大ブランドと次点2ブランドのフィッシングサイト例：アップル（上左）、アマゾン（上中）、佐川急便（上右）、LINE（下左）、NTTドコモ（下中）、三井住友銀行（下右）

 

●ランサムウェアに感染させるマルウェアメール

　なお，同協議会の総評では、フィッシング以外の事例として、メール本文が顔文字のみでランサムウェアのインストールへ誘導するzipファイルが添付されたメールの大量配信が報告されています。これについての詳細は、当欄の『ランサムウェア「GandCrab」に感染させるマルウェアメール、元日から出回る』（ 2019/01/11）をご参照ください。

・2019/01 フィッシング報告状況（フィッシング対策協議会）
https://www.antiphishing.jp/report/monthly/201901.html
・三井住友銀行をかたるフィッシング (2019/01/17)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/smbc_20190117.html
・Amazon をかたるフィッシング (2019/01/15)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/amazon_20190115.html
・ランサムウェア「GandCrab」に感染させるマルウェアメール、元日から出回る（ネットセキュリティニュース）

（2019/02/14 ネットセキュリティニュース）

◆モジラ、深刻な脆弱性を修正した「Firefox 65.0.1」を公開（2019/02/13）

モジラは13日、Webブラウザ「Firefox」の最新版「65.0.1」を公開した。対象となるのは、Windows、Mac、Linux、およびAndroid。法人向けの延長サポート版（ESR）「60.5.1」も公開されている。

■更新内容

　最新版では、不具合への対処と、脆弱性3件の修正が行われた。脆弱性の深刻度は、いずれも4段階中で2番目に高い「高」とされている。脆弱性が悪用されると、アプリが異常終了したり、異なるサイト間の制限を突破されて画像を盗み見られたりするおそれがある。ESR 60.5.1では、65.0.1と共通する2件を含め、3件の脆弱性が修正されている。

■更新方法

　デスクトップ用の最新版は、自動更新機能を通じて配布されているほか、今すぐ手動で更新することもできる。手動更新は、Windowsではメニューボタン「≡」をクリックし、[ヘルプ]→[Firefoxについて]を選択する。または、[Alt]キーを押してメニューバーを表示し、[ヘルプ]メニューの[Firefoxについて]を選択する。macOSでは、Firefoxメニューの[Firefoxについて]を選択する。

　自動や手動で更新したデスクトップ版のFirefoxは、ブラウザの再起動後に最新版が利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

　Android用の最新版は、「Google Play」で配信されている。アプリの自動更新が有効に設定されている場合は自動的に更新されるほか、「Google Play」の「マイアプリ＆ゲーム」で「アップデート」を表示すると、手動で更新できる。

（2019/02/13 ネットセキュリティニュース）

◆アドビ、脆弱性を修正したFlash PlayerとAcrobat Readerの最新版公開（2019/02/13）

　アドビシステムズは12日、コンテンツ再生ソフトの「Flash Player」および、PDF閲覧ソフト「Acrobat Reader」の最新版を公開した。同社は早めにアップデートするよう呼びかけている。

■Flash Player

　Windows版、Mac版、Linux版、Google Chrome搭載版の「32.0.0.142」、およびInternet Explorer/Edge搭載版の「32.0.0.144」が公開された。

●修正内容
　最新版では、情報漏えいにつながるおそれのある、領域外のメモリーにアクセスしてしまう問題が修正されている。アップデートの優先度評価は、Linex版が3段階中最も低い「3」で任意のタイミングでの適用となっているが、それ以外は「2」で、早めのアップデートが推奨されている。

●バージョン確認と更新の方法
　システムにインストールされているFlashPlayerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルやシステム環境設定の「Flash Player」の[更新]タブで確認できる。最新版への更新はFlash Playerの自動更新機能を通じて行われるほか、同社サイトからダウンロードすることもできる。

　Google Chromeに搭載されているFlash Playerについては、自動更新機能を通じて最新版が配信されている。すぐに更新したい場合には、コンポーネント画面を開いて「Adobe Flash Player」の[アップデートを確認]ボタンを押す。コンポーネント画面は、アドレスバーに chrome://components と入力してEnterキーを押すと開く。

　Windows 8.1/10に搭載されているInternet Explorer 11およびEdge用のFlash Playerについては、Windows Updateを通じて最新版が配信されている。直ちに更新する場合は、コントロールパネルなどから[Windows Update]を開き、[更新プログラムの確認]または[更新プログラムのチェック]をクリックする。

・Security updates available for Flash Player | APSB19-06[英文]（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsb19-06.html
・Flash Playerのバージョン確認（アドビ）
https://get.adobe.com/jp/flashplayer/about/
・Flash Playerのダウンロード（アドビ）
https://get.adobe.com/jp/flashplayer/
・ADV190003 | 2019年2月のAdobe Flashのセキュリティ更新プログラム（マイクロソフト）
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV190003

■Acrobat Reader

　Windows版とMac版のAcrobat Reader DCおよび、Acrobat Reader 2017の最新版が公開された。更新後のバージョンは、Acrobat Readerが「2019.010.20091」、Acrobat Reader 2017が「2017.011.30120」、Acrobat Reader DC（Classic 2015）が「2015.006.30475」。

●修正内容
　最新版では、緊急度が「クリティカル」の脆弱性43件と、「重要」の脆弱性28件が修正されている。これらを悪用されると、任意のコード実行や情報漏えい、特権の昇格につながるおそれがある。アップデートの優先度は3段階中2番目に高い「2」で、早めのアップデートが推奨されている。

●バージョン確認と更新の方法
　現在使用しているバージョンは、Acrobat Readerを起動し、[ヘルプ]メニューの[Adobe AcrobatReader DCについて（または Acrobat Reader 2017について）]で確認できる。最新版への更新は、[ヘルプ]メニューの[アップデートの有無をチェック]から実行できるほか、同社のサイトから最新のAcrobat Reader DCをダウンロードすることもできる。

・Security updates available for Adobe Acrobat and Reader | APSB19-07[英文]（アドビ）
https://helpx.adobe.com/security/products/acrobat/apsb19-07.html
・Adobe Acrobat Reader DCのダウンロード（アドビ）
https://get.adobe.com/jp/reader/

（2019/02/13 ネットセキュリティニュース）

◆マイクロソフト、2月度の月例セキュリティパッチを公開（2019/02/13）

　マイクロソフトは13日、2月度の月例セキュリティパッチ（セキュリティ更新プログラム）を公開した。深刻な脆弱性が多数修正されており、同社はできるだけ早期にパッチを適用するよう呼びかけている。

　公開されたパッチは、深刻度が4段階評価で最も高い「緊急」8件と、次に高い「重要」6件の計14件。Windows、Windows Server、Internet Explorer、Edge、OfficeとOffice ServersおよびWeb Apps、ChakraCore、.NET Framework、Exchange Server、Visual StudioとVisual Studio Code、Azure IoT SDK、Dynamics、Team Foundation Server、Adobe Flash Playerが影響を受ける。

■更新プログラムの内容

＜緊急＞
・Windows 10（Edgeを除く）：リモートコード実行の脆弱性
・Windows Server 2019/2016とServer Coreインストール：リモートコード実行の脆弱性
・Windows 8.1/7およびWindows Server 2012 R2/2012/2008 R2/2008：リモートコード実行の脆弱性
・Edge：リモートコード実行の脆弱性
・Internet Explorer：リモートコード実行の脆弱性
・SharePoint関連のソフトウェア：リモートコード実行の脆弱性
・Adobe Flash Player：リモートコード実行の脆弱性
・ChakraCore：リモートコード実行の脆弱性

＜重要＞
・Office関連のソフトウェア：リモートコード実行の脆弱性
・.NET Framework：リモートコード実行の脆弱性
・Visual Studio：リモートコード実行の脆弱性
・Exchange Server：特権昇格の脆弱性
・Team Foundation Server：なりすましの脆弱性
・Java SDK for Azure IoT：特権昇格の脆弱性

■悪用が確認されている脆弱性など

　Internet Explorerの情報漏えいの脆弱性（CVE-2019-0676）は、すでに悪用が確認されている。また、Exchange Serverの特権昇格の脆弱性（CVE-2019-0686）など4件については、情報がパッチの提供前に一般に公開されていたが、悪用は確認されていない。このExchange Serverの脆弱性は、別の問題と組み合わせると悪用が可能だったため、マイクロソフトは6日にセキュリティアドバイザリ（ADV190007）を公開し、回避策を紹介していた。

（2019/02/13 ネットセキュリティニュース）

◆ラグビーW杯チケットの非公式販売サイトに注意――検索の上位表示で誤認を誘う手口、「確定申告」も要注意（2019/02/12）

　「ラグビーワールドカップ2019日本大会」のチケットを非公式サイトで購入してしまったというトラブル相談が相次いでいる。紛らわしい検索結果から公式と誤認してしまうもので、「確定申告」でも類似の手口が使われており、注意が必要だ。

■非公式サイト購入チケットは無効、誤認招く「広告」に注意

　9月に開幕するラグビーワールドカップ2019日本大会のチケットを、非公式のサイトで購入してしまったという相談が各地の消費者相談センターに寄せられている。同大会では、非公式のサイトで販売されたチケットは利用できないことになっている。

●検索で上部に表示され、公式販売サイトと誤認

　国民生活センターや東京都の注意喚起によると、「ラグビーワールドカップ2019日本大会」などと検索した際に、上部に表示された非公式のチケット販売サイトの広告を見て、公式チケット販売サイトが検索結果として表示されていると思い込んで、注文してしまうケースがみられるという。

●「売り切れ間近」で慌てて注文、気づいた時はすでに遅し

　国民生活センターが公表した相談事例では、20歳代の女性がチケットサイトにアクセスしたところ、「売り切れ間近」などと表示されたため焦ってしまい、慌ててチケットを注文。注文確認メールにドル建てで料金が書かれており、手数料の負担も必要と記載されていたため不審に思い調べたところ、自分が申し込んだのは公式チケット販売サイトではなく、海外のチケット転売仲介サイトだったことがわかったという。

●トラブルにあった場合――すぐに相談やキャンセルの申し出を

　国民生活センターは、チケット購入トラブルにあった場合は、すぐに最寄りの消費生活センター等に相談するようアドバイスしている。また東京都は、誤って転売仲介サイトでチケットを申し込んでしまった場合は、事業者に、公式サイトの転売チケットは無効だという案内を伝えて、キャンセルを申し出てみるようにと勧めている。

　ラグビーワールドカップ2019組織委員会の公式ホームページでは、非公式チケット販売サイトの名称を具体的に挙げ、「これらのウェブサイトで販売されているチケットは利用できませんのでご注意ください。」と注意が呼びかけられている。

　なお現在も、「ラグビー　チケット」などと検索すると転売サイトの広告が最上部に掲載され、同大会のチケットを購入するよう誘っている。

・非公式チケット販売サイト一覧（ラグビーワールドカップ2019組織委員会）
https://info.tickets.rugbyworldcup.com/unofficial-tickets-ja/
・公式チケット販売サイト（ラグビーワールドカップ2019組織委員会）
https://tickets.rugbyworldcup.com
・ラグビーワールドカップ2019日本大会のチケット購入トラブルに注意！－チケットを購入する際には公式チケット販売サイトであることを確認しましょう！－（国民生活センター）
http://www.kokusen.go.jp/news/data/n-20190207_1.html
・「ラグビーワールドカップ2019日本大会 公式チケットサイト」以外のウェブサイトでのチケット購入は気を付けましょう！（東京都）
https://www.shouhiseikatu.metro.tokyo.jp/sodan/kinkyu/190201.html

■「確定申告」でも類似の手口、誤認誘う広告に注意

　この時期、2018年分の確定申告に向け準備を始めた方も多いと思われるが、検索サイトで「確定申告」「e‐Tax」（国税電子申告・納税システム）などと検索すると、公式サイトだと誤認させてクリックを誘うような広告がいくつも表示される状態だったことが話題になっている。

●「国税庁」「確定申告作成コーナー」で検索、誤解招く広告多数表示

　ネット上でこの問題について語られ始めた今月7日ごろには、ある検索エンジンで“確定申告”と検索すると、「公式サイト」「国税 庁ホームページ」などと名乗る広告が表示される状態になっていた。また、“e-Tax”で検索すると、「確定申告書作成コーナー 国税庁」と書かれた広告が複数表示されていた。この検索エンジンでは、現在はこのような誤認を誘う広告は表示されなくなっている。

　しかし、別の検索エンジンでは11日15時の時点で、“確定申告書作成コーナー”と検索すると「確定申告書等作成コーナーはこちら」という広告が表示され、“国税庁”と検索すると「確定申告書作成コーナー／国税庁」「確定申告 国税庁」と名乗る広告が表示される状態となっている。「広告」と小さく表示されてはいるのだが、検索結果の最上部に現れることから、うっかり公式サイトだと思い込んでアクセスしてしまう方もいると思われる。

●[今すぐ開始]や、[ここをクリック]で誘う怪しいアプリのダウンロード

　表示されている広告をクリックして誘導先を調べてみたところ、あるサイトでは「早速、確定申告書を作成する！」と書かれているすぐ下に、[今すぐ開始]と書かれた大きな赤いボタンが設置されていた。よく見ると「From Doc to PDF」というアプリをダウンロードさせようとする広告が表示されているとわかるのだが、目立つボタンをわざとまぎらわしい位置に配置し、誤ってクリックするように仕向けていると思われる。この[今すぐ開始]ボタンは、「確定申告書等作成コーナーで確定申告するならこちら」「所得税の確定申告をするならこちら」と書かれたすぐ下にも配置されていた。

　また、「（国税庁）作成コーナートップはこちら」と書かれたすぐ下には、[ここをクリック]という緑色の大きなボタンが置かれており、こちらは「Search Forms Online」というアプリの広告だった。どちらもインストールする必要がまったくないアプリで、ブラウザを乗っ取って起動時のホームページを勝手に変えてしまうという報告が多数、ネット上で見つかる。

　なお誤解を招かぬよう、誘導先のサイトでは、怪しい所の全くない、正規のソフトやサービスの広告も表示されていたことをお伝えしておきたい。

■過去のトラブル事例：行政窓口を装うサイトや攻撃サイト等へ誘導

　誤認を誘う広告から想定外のサイトにアクセスしてしまった結果、以下のようなトラブルが発生している。

・架空請求に困って相談窓口を検索した結果、行政の公式窓口だと思って相談したら料金を請求された
・個人情報をだまし取るフィッシングサイトに誘導された
・マルウェア（ウイルス）に感染させる攻撃サイトを開いてしまった

　検索結果には広告が表示されることがあるということと、全く問題のない広告に交じって、悪質な広告が表示されることがあるということを知っておきたい。

（2019/02/12 ネットセキュリティニュース）

◆グーグル、脆弱性を修正した「Google Chrome 72.0.3626.96」公開（2019/02/12）

　グーグルは7日、脆弱性1件を修正した「Google Chrome 72」の最新安定版「72.0.3626.96」を公開した。対象は、Windows、Mac、およびLinux。

■更新内容

　外部の研究者からJavaScriptエンジン「V8」の実装が不適切だと指摘を受け、これを修正した。脆弱性の深刻度は、4段階中3番目に高い「中」とされている。

■更新方法

　最新版への更新は自動的に行われるほか、メニューの[Google Chromeについて]を選択すると、ただちに最新版の確認とアップデートが行える。Mac版はChromeメニューから、Windows版は右端の設定アイコン→[ヘルプ]と進むと選択できる。

　最新版はブラウザの再起動後に利用できるようになるので、ブラウザを起動したままでいる方は注意していただきたい。

●Android版「72.0.3626.96」も配信開始
　なお、安定性とパフォーマンスを改善したAndroid版「72.0.3626.96」の配信も始まっている。アプリを自動更新するように設定されている場合は、自動的に更新が行われる。手動更新は、[Playストア]アイコンを開き、メニュー（≡）の[マイアプリ＆ゲーム]の[アップデート]で行える。

（2019/02/12 ネットセキュリティニュース）

【関連URL：グーグル】
・Stable Channel Update for Desktop[英文]
https://chromereleases.googleblog.com/2019/02/stable-channel-update-for-desktop.html
・Chrome for Android Update[英文]
https://chromereleases.googleblog.com/2019/02/chrome-for-android-update.html

◆アップル、FaceTimeの問題を修正した「iOS」の最新版などを公開（2019/02/08）

　アップルは8日、ビデオ通話「FaceTime」の脆弱性などを修正した、macOS Mojave 10.14.3用の追加アップデートと、iOSの最新版 12.1.4を公開した。

■macOS Mojave 10.14.3 追加アップデート

　「macOS Mojave 10.14.3 追加アップデート」では、ビデオ通話「FaceTime」の問題2件と、アプリにシステムの基本機能を提供する「Foundation」の問題1件の計3件の脆弱性が修正された。

　「FaceTime」の脆弱性は、複数の相手と同時にビデオ通話が行えるグループ FaceTimeで、呼び出した側が呼び出された側に応答させることができる問題と、Live Photosに関する問題である。「Foundation」の脆弱性は、アプリケーションが昇格した権限を取得できる問題だ。

　最新版へのアップデートは、「自動更新」や「通知」をクリックするか、Appleメニューで[システム環境設定]を選択し、[ソフトウェアアップデート]をクリックする。

＜関連URL＞
・macOS Mojave 10.14.3 追加アップデートのセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT209521

■iOS 12.1.4

　「iOS 12.1.4」では、「macOS Mojave 10.14.3 追加アップデート」で修正された3件の脆弱性に加え、「IOKit」で発生するメモリ破壊の問題1件が修正されている。IOKitは、システムに接続する各種機器の制御機能を提供する部分で、脆弱性が悪用されると、システムの中枢であるカーネルの特権で任意のコードが実行されるおそれがある。

　最新版へのアップデートは、[設定]アイコンから[一般]→[ソフトウェア・アップデート]と進むか、端末をパソコンに接続し、iTunes経由で行う。

＜関連URL＞
・iOS 12.1.4のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT209520

（2019/02/08 ネットセキュリティニュース）

◆ネット接続機器への「無差別侵入調査」始まる――家庭のIoT機器をサイバー攻撃から守る「４つのポイント」（2019/02/08）

　インターネットに接続した機器が外部から侵入され、サイバー攻撃に悪用される問題が相次いでいる。そうした事態を未然に防ぐために、パスワード設定に不備のある機器を調査し、当該機器を使用しているユーザーに注意喚起を行うプロジェクト「NOTICE（National Operation Towards IoT Clean Environment）」の調査が2月20日から始まる。

　サイバー攻撃は、インターネット上のサーバーやユーザーのパソコン、スマートフォンにとどまらず、インターネットに接続されたありとあらゆる機器（IoT機器）に魔の手を伸ばしている。

■最近の事例：IoT機器を標的としたサイバー攻撃

　昨年3月には、家庭のWi-Fiルーターの情報が改ざんされ、パソコンやスマートフォンでインターネットにアクセスしようとすると、マルウェアのダウンロードやフィッシング、仮想通貨のマイニングなどが不正に行わる問題が発生した。

　同5月には、ルーターに感染するマルウェア「VPNFilter」が見つかり、感染機器が外部から操られ、感染活動やサイバー攻撃を仕掛けることが報告された。同様のものには、2016年に見つかり、かつてないほどの大規模なDDoS攻撃（サービス拒否攻撃）に使われた「Mirai」もあり、その亜種は今もなお活動を続けている。

 

■プロジェクト「NOTICE」誕生

　近年増えつつある、ネットに接続されたさまざまな機器を悪用するサイバー攻撃への対策として、総務省と国立研究開発法人情報通信研究機構（NICT）、および電気通信事業者とが連携した「NOTICE」というプロジェクトが誕生した。

　このプロジェクトでは、攻撃に悪用されるおそれのある機器の調査をNICTが行い、当該機器の情報をICT-ISAC（アイシーティ・アイザック）を通じて各電気通信事業者に提供、電気通信事業者が機器の所有者を特定して設定変更などの注意喚起を行う。

 

■調査の概要――「攻撃者と同じ手口」でアクセスを確認

　NICTの調査は、国内のユーザーが使用する約2億個のインターネット接続回線に対し外部から接続を試み（ユーザーのIPアドレスに対しポートスキャンを行う）、パスワードによる認証要求があったものについては、過去のサイバー攻撃に使われたID/パスワード（機器の初期設定や単純なもの）の組合せなど約100通りを入力してアクセス可能かどうかを確認する。

　ユーザーがインターネットに繋いでいる機器に対し、攻撃者が侵入するのと同じ手口を使い、攻撃を仕掛けるわけだ。これは、「不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）」に抵触する不正アクセス行為だが、2018年に改正・施行された「国立研究開発法人情報通信研究機構法」で、一定の規定内で行う今回の行為を「特定アクセス行為」と定め、不正アクセス禁止法の対象から除外されることになった。

　今回のプロジェクトに向けて「電気通信事業法」も改正されており、提供された情報をもとに攻撃に悪用されるおそれのある機器の所有者を特定し、対処を求める通知を行うことが規定されている。

 

■調査目的は「問題ある機器」を見つけ出すこと

　2月20日から始まる調査では、パスワードがない、あっても初期設定や「123456」などの単純なパスワードを使用している問題のある機器を見つけ出すもので、該当者には後日、接続先のプロバイダから直接、注意を促す通知が来ることになっている。

　機器にアクセスするためのパスワードを、独自の複雑なものに変更している方は、調査が始まっても何事もない。そうでない方は、問題の機器が見つかるとプロバイダから通知があるので、指示に従っていただきたい。

 

■“なりすましメール”に注意

　注意しなければいけないのは、このようなイベントに便乗した、なりすましメールが横行する可能性がある点だ。このようなプロジェクトがあることと、プロバイダ以外から通知が来ることはないことを覚えておき、偽者に騙されないよう警戒していただきたい。不審に感じたらプロバイダの窓口に直接問い合わせよう。

 

■IoT機器の安全対策：ルーターを守る４つのポイント

　ほとんどの家庭では、ルーターやルーター機能を持つWi-Fi親機をインターネット回線に接続し、他の機器は、ルーター経由でインターネットを利用している。ルーターの配下に接続されている全ての機器が、調査対象および攻撃対象になり得るが、筆頭となるのは、インターネットに直結しているこのルーターだ。

　ルーターには外部からの攻撃を防ぐファイアーウィール機能を搭載しており、正しく機能していれば、家庭内で使用している他の機器に対する外部からの直接攻撃を防いでくれる。ルーターが安全に機能するよう、以下の4点に注意していただきたい。

▲ルーターの設定例

(1) 管理画面に強固なパスワードを
　ルーター等の設定変更などを行う管理画面へのアクセスを防ぐために、強固なパスワードを設定する。出荷時のデフォルトのパスワードは、マニュアル等に記載された誰でも知り得る情報であることが多いので、そのまま使用せず必ず変更する。

(2) 外部から利用する機能は可能なかぎり無効に
　インターネット側からアクセスできるリモート管理機能などが有効になっていることがあるので、利用しないものは全て無効にしておく。ネットに接続するタイプのカメラやプリンターなども、外部からアクセスする機能を備えていることがある。リスク軽減には、それらの無効化や次のUPnPの無効かも検討する。

(3) 不要であればUPnPを無効に
　UPnP（Universal Plug and Play ）は、ネットワークに接続した機器どうしが直接通信し、必要な設定などを自動的に行う仕組みのこと。ルーターのUPnPが有効になっていると、家庭内の対応機器やアプリなどが、外部からのアクセスを受け入れられるようにルーターの設定を変えてしまうことがある。知らない間に外部から接続できるようになってしまうので、不都合がなければUPnPは無効にしておく。

(4) ファームウェアの更新を忘れずに
　機器内部のソフトウェア（ファームウェア）にセキュリティ上の欠陥（脆弱性）があると、行えないはずの外部からの操作などが行えてしまうことがある。こうした問題が見つかると、メーカーから修正版が提供されるので、必ずアップデートする

（2019/02/08 ネットセキュリティニュース）

【関連URL】
・「NOTICE」公式サイト
https://notice.go.jp/
・IoT機器調査及び利用者への注意喚起の取組「NOTICE」の実施（総務省）
http://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00011.html
・認定送信型対電気通信設備サイバー攻撃対処協会の認定（総務省）
http://www.soumu.go.jp/menu_news/s-news/01kiban18_01000057.html
・IoT機器調査及び利用者への注意喚起の取組「NOTICE」の実施（NICT）
https://www.nict.go.jp/press/2019/02/01-1.html
・（総務大臣による）認定送信型対電気通信設備サイバー攻撃対処協会の認定について（ICT-ISAC）
https://www.ict-isac.jp/news/news20190108.html

◆アカウント情報流出相次ぐ――強いパスワード設定と使い回し禁止、追加認証で二次被害対策を（2019/02/05）

　国内のサービスで顧客情報の流出が相次いでいる。流出した情報の中には、ログイン用のIDやメールアドレスとパスワードが含まれているものもある。流出元では発覚後に安全策を実施したが、他のサービスなどへの二次被害の拡大が懸念される。

 

■最近のアカウント情報流出事故

●12月4日発表：あぐりーん「農家のおしごとナビ」
　農業求人サイト「農家のおしごとナビ」に、2018年11月30日以前に登録した全会員の登録情報（メールアドレス、パスワード、生年月日、その他本人が当該ウェブサイトに登録した情報）が流出した疑いがある。流出範囲については不明確という。

・会員情報の漏えいの可能性に関するご報告とお詫び
https://www.agreen.jp/whatsnew/news.php?id=1955

●1月18日発表：デジサーフ「波通」
　サーファー向けにサーフポイントのライブカメラと波情報などを提供するサイト「波通」に登録した、メールアドレスとパスワード1万9700件の流出が確認された。

・個人情報漏えいに関するお詫びとご報告[PDF]
https://digisurf.co.jp/wp-content/themes/digisurf-20170703/images/namitsu20190118.pdf

●1月25-28日発表：オージス総研「宅ふぁいる便」
　ファイル転送サービス「宅ふぁいる便」が不正アクセスを受け、2005年以降の全登録者の氏名（ふりがな）、ログイン用メールアドレス、ログインパスワード、生年月日、性別など、約480万件が流出した。ファイルの流出については不明という。

・「宅ふぁいる便」サービスにおける不正アクセスによる、お客さま情報の漏洩について（お詫びとお願い）
https://www.filesend.to/

●1月30日発表：ユニクロ
　同社の商品開発や販売促進の社外協力者804名の個人情報を管理するWebサイトのURL、ユーザーID、パスワードが、2017年9月1日から2019年1月16日早朝までインターネット上で閲覧可能な状態だった。

・一部の社外協力者の個人情報流出の可能性に関するお知らせとお詫び
https://www.uniqlo.com/jp/corp/pressrelease/2019/01/19013008_uq.html

●1月29-31日発表：ジラフ「Peing-質問箱」
　Twitterなどと連携して匿名の質問を受け付けるサービス「Peing-質問箱」に登録していたメールアドレスやパスワード、連携先のアクセストークンなどが、インターネット上に公開されていた。最大流出件数は、メールアドレス149万7967件。パスワード94万9480件。流出したパスワードは、元のパスワードに復元できない一定の値「ハッシュ値」に変換したデータと、強度を上げるために付加する「ソルト情報」が流出している。そのままでは、ログイン情報として利用できないが、過去に元のパスワードが割り出された事例がいくつもある。

・Peing-質問箱-に関するお詫びと詳細のご説明（第一報）
http://jiraffe.co.jp/news/2019/01/29/1295/
・Peing-質問箱-における情報漏洩についてお詫びとご説明（第二報）
http://jiraffe.co.jp/news/2019/01/31/1321/

 

■想定される二次被害：迷惑メールや架空請求、リスト攻撃など

　メールアドレスが流出している場合には、そのメールアドレスあてに不審なメールや迷惑メールが届くようになるかもしれない。個人情報と一緒に流出している場合には、本物と見紛う信ぴょう性の高い詐欺メールなどが届くこともある。

　「〇〇様」と名指しで届くフィッシングメールや架空請求などは、国内でもたびたび確認されている。メールサービスやセキュリティソフトのフィルタリング機能で、ある程度軽減できるものの、メールアドレスの変更以外に抜本的な対策はない。騙されないようくれぐれも注意していただきたい。

　ログイン用のIDやメールアドレスとパスワードの組合せを、他のサービスでも使用している場合には、ID・パスワードのリストを用いて機械的なログインを試行する「リスト攻撃」により、別のサービスが不正ログインされるおそれがある。心当たりがある方は、使い回しているパスワードを速やかに変更していただきたい。

 

■対策：強いパスワード設定と使い回し禁止、追加認証機能の利用を

　パスワードは、類推されない複雑で長いパスワードを設定し、同じパスワードを使い回さないようにする。

　サービス側に「2段階認証」や「多要素認証」などと呼ばれる追加の認証機能が用意されている場合には、積極的に利用していただきたい。登録と初回のログイン時に若干手間がかかるが、パスワード認証だけではログインできなくなるので、アカウント情報流出時の極めて有効な対策になる。

（2019/02/05 ネットセキュリティニュース）