is702 2019-10-21T00:00:00+09:00 インターネット・セキュリティ・ナレッジ 日本政府、2020年度のサイバーセキュリティ関連予算は881億円超 内閣サイバーセキュリティセンター(NISC)は10月18日、政府のサイバーセキュリティに関する予算(令和2年度予算概算要求)について、各省庁の概算要求および施策例を取りまとめた資料を公開しました。 2019-10-21T00:00:00+09:00
それによると、サイバーセキュリティに関する2020年度(令和2年度)予算の概算要求額は、政府全体で881.1億円となる見通しです。前年度当初予算額712.9億円から170億円近い増額となっています。

省庁別の主な施策のうち、予算額が大きなものとしては、防衛省「システム・ネットワークの充実・強化」176.5億円、および「サイバーに関する最新技術の活用」44.6億円が、新規計上されました。なお新規の計上としては、警察庁「サイバーセキュリティ対策に係る教養の充実等」9.3億円もあがっています。

そのほか、内閣官房「内閣サイバーセキュリティセンター予算」40.5億円(前年度当初予算24.9億円)、経済産業省「サイバーセキュリティ経済基盤構築事業」21.5億円(同21.0億円)および「産業系サイバーセキュリティ推進事業」20.0億円(同19.3億円)、個人情報保護委員会「特定個人情報(マイナンバーをその内容に含む個人情報)に係るセキュリティの確保を図るための委員会における監視・監督体制の拡充及び強化」17.8億円(同11.7億円)等が、前年から引き続き計上されています。

近年の大規模サイバー攻撃には、国家が関わっているとされる事例も多く、“国家防衛としてのサイバーセキュリティ”が重要となってきています。そうした背景を受け、今回防衛省に大型予算が割り当てられる模様です。具体的には、陸上自衛隊が運用する全システム・ ネットワークの効率化、AIを活用したサイバー攻撃対処システムの構築等を行う方針です。

同資料は、内閣サイバーセキュリティセンターサイトよりPDFファイルがダウンロード・閲覧可能です。
]]>
https://is702.jp/main/images/news/img_news1.jpg
4年連続年平均被害額2億円超に、法人組織におけるセキュリティ実態調査2019 トレンドマイクロは10月16日、公式ブログで「法人の年間平均被害総額は4年連続2億円を超える」と題する記事を公開しました。あわせて調査レポート「法人組織におけるセキュリティ実態調査2019年版」が公開されており、それを元にした内容です。 2019-10-17T00:00:00+09:00
法人組織でセキュリティインシデントが発生した場合、情報漏えいやシステム・サービス停止、あるいは賠償や訴訟といった被害が発生します。「法人組織におけるセキュリティ実態調査2019年版」は、2018年4月~2019年3月の1年間について、セキュリティインシデントによる被害状況およびセキュリティの対策状況を、国内の官公庁・自治体・企業の担当者にアンケートしたものです(回答者数1,431人)。
それによると、何らかのセキュリティインシデントにより重大被害が発生した割合は36.3%で、前年より改善していました。業種別で見ると、「中央省庁」における重大被害発生率が67.4%と他業種と比べて高く、原因は、「遠隔操作ツール」の侵入・感染によるインシデント発生率が高いことが挙げられています。さらに、金融、情報サービス・通信プロバイダもインシデント発生率は高くなっていました。これは機密性の高い情報を多く取り扱っている業種がサイバー犯罪者に狙われやすいことなどが考えられます。また、他業種と比べセキュリティ意識が高く、対策が進んでいることからも、サイバー攻撃を受けた場合に気づきやすいことも発生率が高く出ている要因の一つだと推測されています。裏を返せば、発生率が低い業種は安全というわけではなく、対策が進んでいないことによって、単にサイバー攻撃を受けたことに気づけていないだけの可能性があることを示唆しています。

重大被害の内容で見ると、上位5つは「従業員・職員に関する情報漏えい」「顧客に関する個人情報の漏えい」「業務提携先情報の漏えい」「技術情報の漏えい」「事業戦略に関する情報の漏えい」でした。6位は「内部犯による情報流出」で、事故・過失・故意等の原因に関係なく、上位を“重要情報の漏えい”が占めたことになります。7位の「ランサムウェアによるデータ暗号化」は、昨年の7.2%から減少して5.1%となりましたが、これも引き続き重要課題と考えられます。そのほかビジネスメール詐欺(BEC)による被害もいまだ発生しています。

こうした重大被害による年間平均被害総額は約2.4億円で、4年連続で2億円超の状態が続いています。また業種別で見た場合、「出版・放送・印刷」が重大被害発生率は低いにもかかわらず、年間平均被害総額が約4.2億円と、「中央省庁」や「金融」以上に大きな被害額を出していることが明らかとなりました。同様の傾向は「医療」にも見てとれます。

「法人組織におけるセキュリティ実態調査2019年版」全文は、トレンドマイクロのサイトよりPDFファイルとしてダウンロードが可能です。最新動向を自組織や取引先などにおけるセキュリティ対策にお役立てください。



重大被害による年間平均被害総額(業種別)

重大被害による年間平均被害総額(業種別)


]]>
https://is702.jp/main/images/news/img_news40.jpg
オンラインゲームのアイテムを盗まれる!? オンライン対戦ゲームで負かされたツトムの友人は… 2019-10-17T00:00:00+09:00
ひろしとアカリのセキュリティ事情

オンラインゲームのアイテムを盗まれる!?

2019/10/17

インターネットサービスのアカウント乗っ取りに注意

オンラインゲームのアカウントを乗っ取られ、ゲーム内のアイテムや通貨などを盗まれてしまう被害が報道されています。時間やお金を費やしてようやく手に入れたアイテムなどを突然失ってしまった被害者のショックは大きいでしょう。

こうした被害に遭う原因の多くは、オンラインゲームの認証を突破されてしまったことにあります。悪意のある第三者は、フィッシング詐欺などの方法で認証情報(IDとパスワード)をだまし取ったり、複数のインターネットサービスで使い回されている認証情報を何らかの方法で入手したりしてアカウントに不正ログインし、アイテムなどを奪い取るのです。

自衛策の基本は、アカウントを厳重に管理することです。オンラインゲームを含め、複数のインターネットサービスごとに異なるIDとパスワードの組み合わせを使用してください。ただし、IDとパスワードによる1要素の認証方法では、第三者にIDとパスワードを探り当てられたり、盗まれたりしてしまうと認証を破られてしまいます。IDとパスワード以外の認証方法(多要素認証)が用意されている場合、それらも併せて利用しましょう。
また、ゲーム内チャット経由でのトレード話やリンク先への誘導にも十分に注意してください。

普段からオンラインゲーム事業者やセキュリティ事業者などが公表する注意喚起情報に目を通し、詐欺の手口を知っておくことも大切です。アカウント乗っ取りによる被害を防ぐための7つのポイントを確認しておきましょう。

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3567_l.jpg
App StoreとGoogle Playに数百の偽アプリを確認、日本も標的に トレンドマイクロは10月15日、公式ブログで「『App Store』と『Google Play』上で偽ギャンブルアプリが多数拡散」と題する記事を公開しました。 2019-10-16T00:00:00+09:00
それによると、正規アプリストアであるApp StoreおよびGoogle Play上で、アプリ概要欄の説明と内容が違うコンテンツを含む数百の偽アプリが確認されたとのことです。AppleとGoogleは、連絡を受けて偽アプリをすべてアプリストアから削除しています。

これらの偽アプリは正規アプリの名前や機能を真似ており、表面上は一般的なアプリを装ってさまざまなカテゴリで公開されていました。しかし、実際のアプリはギャンブルアプリの側面を隠し持っていました。
確認された偽アプリは日本のアプリストア上でもダウンロード可能で、一部のアプリ概要欄では日本語も使用されていました。さらに、App Storeのアプリランキング100位圏内に入るほどの人気でした。一方、これらは正規アプリストアから以外にも、ギャンブルサイト等からの誘導も確認されていたため、ギャンブルアプリだと分かった上でインストールした利用者もいる可能性があります。

今回確認された偽アプリを起動すると、天気情報や娯楽といった、他の正規アプリ同様の画面を表示します。しかし、外部サーバから読み込む設定によってはギャンブルアプリ画面が表示されます。偽アプリは「スイッチ」機能を持っており、隠し持っているギャンブルアプリ画面の表示および非表示設定を、いつでも変更できます。これにより正規アプリストアの審査を突破したと考えられます。

トレンドマイクロの調査の時点では、これらの偽アプリはギャンブルアプリ画面を読み込むだけで、ユーザに不利益を与えるような不正な活動は確認されていません。しかし、実質的な被害が確認されていないからと言って必ずしも安全とは言えないうえ、地域によってはそもそもギャンブルアプリ自体の利用が制限されています。また、偽装に使われた正規アプリのブランド価値や利益を損なうことにもなります。
利用者は正規アプリストアであっても、インストール前にアプリの詳細やレビュー、開発元を確認してからインストールするようにしましょう。Android OSを搭載するスマホについては、セキュリティアプリをインストールして最新の状態を保ち、不正なアプリをインストールしてしまうリスクを下げると共に、定期的にデバイスのスキャンを行って不正なアプリが入り込んでいないか確認することも有効な対策です。


偽アプリの一例。一見普通のアプリ(左)がまったく別のギャンブルアプリに切り替わる(右)

偽アプリの一例。一見普通のアプリ(左)がまったく別のギャンブルアプリに切り替わる(右)

]]>
https://is702.jp/main/images/news/S191016.png
残り3か月、サポートが終了するWindows 7/Windows Server 2008利用者は早急に移行を 独立行政法人情報処理推進機構(IPA)は10月10日、3か月後に迫ってきた「Windows 7」「Windows Server 2008」「Windows Server 2008 R2」のサポート終了について、あらためて注意を呼びかけました。 2019-10-11T00:00:00+09:00
マイクロソフトが提供するOS「Windows 7」と「Windows Server 2008」「Windows Server 2008 R2」は、2020年1月15日(米国時間1月14日)にサポートが終了します。以降はセキュリティ更新プログラムが提供されなくなり、脆弱性が発覚しても基本的には修正されません。なお2020年10月14日(米国時間10月13日)には、「Office 2010」のサポートも終了します。

これらの製品には、現在もまだ、さまざまな脆弱性が隠れていると考えられます。今年の上半期(2019年1月~6月末)の間も、Windows 7では計158件、Windows Server 2008、2008 R2では同じく計158件の脆弱性が、JVN iPediaに登録されています。しかも過半数が、深刻度の高いレベル3でした。

サポートが終了したOS、そのうえで動作するソフトウェアを使い続けるということは、こうした危険な脆弱性をずっと抱え込むことを示します。特に日本では、2020年にオリンピック等が控えており、サイバー攻撃の増加が懸念されます。該当ソフトウェア製品のユーザは、サポートが提供されている最新版に、移行を完了させてください。マイクロソフトでは、手引きとなるページを公開していますので、こちらも参考にしてください。

脆弱性を悪用したサイバー攻撃によるリスクを下げるには、OSやソフト、セキュリティソフトやアプリを最新の状態に保って利用することが重要です。利用者はスケジュールに余裕をもって対策を行いましょう。


OSサポート終了に向けた各種ソフトウェア製品の更新計画の例(IPAの発表資料より)<br />

OSサポート終了に向けた各種ソフトウェア製品の更新計画の例(IPAの発表資料より)

]]>
https://is702.jp/main/images/news/S191011.png
Amazon、出品から偽造品を排除する「Project Zero」を日本でも開始 Amazonは10月9日、偽造品の撲滅を目的とする取り組み「Project Zero」を日本でも開始しました。 2019-10-10T00:00:00+09:00
ネットショッピング最大手であるAmazonですが、第三者の販売者もマーケットプレイスを通じて出品を行っており、正規品・真性品ではなく偽造品が紛れて販売されているケースがあります。「Project Zero」は、自動プロテクション機能、セルフサービスの偽造品削除ツール、商品のシリアル化の3つの対策により、Amazonの出品から偽造品を排除しようというプロジェクトです。

Project Zeroは、2019年より米国および欧州(フランス、ドイツ、イタリア、スペイン、イギリス)でスタートし、現在合計6,000超のブランドが登録されています。日本でもすでに試験運用を開始しており、パナソニック、アイリスオーヤマ、任天堂、ソニー・インタラクティブエンタテインメント、アイロボット、川崎重工、タカラトミー、ダダリオなどが登録済みです。

「自動プロテクション機能」は、機械学習を活用することで、1日あたり50億件超が登録される商品情報に対し自動スキャンを行い、偽造品の疑いがある商品を検知する仕組みです。「セルフサービスの偽造品削除ツール」は、ブランドオーナーが直接、偽造品の疑いがある商品をAmazonから削除できる機能です。そして「商品のシリアル化」は、ブランドオーナーが自社商品の製造および発送の過程で、固有のコード(シリアルコード)を発行することで、Amazonで販売される1つ1つの商品の真偽を精査可能にするサービスです。なお商品のシリアル化は、日本では2020年前半に提供を開始する予定との事です。

利用者はトラブルに巻き込まれないよう、信頼できるサービスと販売者を選択するようにしてください。万一偽造品が届いた場合は速やかにサービス事業者や消費者ホットラインに相談をしましょう。
]]>
https://is702.jp/main/images/news/img_news14.jpg
学習資料「お子様のスマホデビューに向けて~危険を避ける3つのルール~」公開 is702の新規学習資料、「お子様のスマホデビューに向けて~危険を避ける3つのルール~」を本日公開しました。 2019-10-10T00:00:00+09:00
スマホやPCだけでなく、TVなどの家電をはじめ、あらゆるものがネットにつながり、生活を楽しくより豊かなものにしてくれています。しかし、便利さの裏側で忘れてはいけないのがセキュリティ対策やプライバシーのことです。本資料では、お子様のスマホデビューにあたり、最低限知っておくべきネットの危険や、安全に利用するためのアドバイスを、イラストを交えてやさしく解説しています。

学習資料は、is702の資料ダウンロードページよりPDFでダウンロードが可能です。ご家庭内や保護者向けの学習資料としてお役立て下さい。


「お子様のスマホデビューに向けて~危険を避ける3つのルール~」表紙

「お子様のスマホデビューに向けて~危険を避ける3つのルール~」表紙

]]>
https://is702.jp/main/images/news/S191010.JPG
パソコンを処分する前に確認しておきたいポイント 不要になったパソコンの処分に頭を悩ませていませんか。パソコンにはさまざまな情報が保存されているため、そのまま売却、譲渡、廃棄するわけにはいきません。不要になったパソコンを安全に処分する方法と手順を解説します。 2019-10-10T00:00:00+09:00
不要なパソコンを安全に処分するためには?

パソコンを処分する前に確認しておきたいポイント

2019/10/10
不要なパソコンを安全に処分するためには? パソコンを処分する前に確認しておきたいポイント

みなさんは、使わなくなったパソコンをどのように処分しますか。売却、譲渡、廃棄にあたっては、パソコン内の重要なデータが漏えいしてしまうリスクを回避しなければなりません。パソコンを安全に処分する方法を紹介します。

パソコンには重要なデータが保存されている

2020年1月14日のWindows 7サポート終了を機にパソコンの買い替えを検討している方も多いのではないでしょうか。新しいパソコンへの移行が済んだら、使わなくなったパソコンを安全に処分する方法も確認しておきましょう。

みなさんは不要になったパソコンを処分するとき、どのようなことを心がけていますか。パソコンを手放す場合は、HDD(ハードディスクドライブ)やSSD(ソリッドステートドライブ)内のデータが第三者の手に渡ってしまうリスクを回避することが重要です。

HDDとは円盤状の記憶装置で、ディスクを回転させて磁気的に情報を書き込んだり消したりしています。一方SSDは半導体メモリ(フラッシュメモリ)を記憶装置としたもので、電気的制御によって情報を記憶しています。パソコンの中には、HDDとSSDの両方、もしくはどちらかが内蔵され、そこにさまざまなデータが記録されています。アドレス帳などの個人情報や写真、動画、文書だけでなく、場合によってはクレジットカード情報やインターネットサービスの認証情報(IDとパスワード)、業務関連情報なども含まれているでしょう。そんなパソコンを不用意に処分すると重要なデータを第三者に抜き取られ、悪用されてしまうかもしれません。

パソコン処分後の情報漏えいを防ぐポイント

みなさんは、パソコンの処分にあたってHDDやSSD内のデータを完全に消去するとき、どのような方法をとりますか。対象のファイルやフォルダをゴミ箱に入れ、「ゴミ箱を空にする」を実行するだけでよいでしょうか。HDDやSSDを初期化したり、パソコンのリカバリを実行して工場出荷時の状態に戻したりすれば目的が達せられるでしょうか。実は、これらの方法をとってもデータそのものは消去されずに残ります。データ復元ソフトを使えば、表面上は見えなくなっているデータを容易に復元できてしまうのです。では、情報漏えいを防ぐためにはパソコンを処分する前に何をすればよいのでしょうか。

<HDDの場合>

HDD内のデータを完全に消去する

  • データ消去ソフトを利用する
    データ消去ソフトを利用すれば、HDDの全領域に何度もダミーのデータを上書きし、元のデータを復元できない状態にできます。データ消去ソフトと一口に言っても、無料で配布されているものもあれば有料版もあり、それぞれ上書き方法やスピードが異なります。パソコンにもともとインストールされていたり、付属品として用意されていたりするものがある場合は、まずはそれを試してみましょう。使い方がわからない場合は、各パソコンメーカーのサポートページを参照してください。
  • 強磁気を照射してHDDのデータを消去する
    HDDは磁気的に情報を書き込んでいるので、強力な磁場内に置くことでデータを強制的に消去できます。その場合はデータ消去の専門業者が所有する強磁気破壊装置を利用します。

HDDを物理的に破壊する

データ消去の専門業者が所有するHDD破壊機でHDDを加圧破壊する方法もあります。ただし、ハンマーやドリルなどを用い、個人でHDDを壊すのは絶対にやめましょう。中途半端に壊されたHDDからはデータを復元できる場合がありますし、部品やディスクに使われているガラスが割れて飛び散った破片で怪我をするリスクもあるため大変危険です。

<SSDの場合>

SSD内のデータを暗号化する

SSDは書き込み可能な回数に限りがあり、同じ場所に書き込みが集中しないよう記録領域全体を均一に使用する技術が用いられています。このため、データ消去ソフトによって繰り返し上書きを行ってもデータが残存してしまう場合があります。SSDの処分ではドライブ全体を暗号化し、第三者にデータを解読させない方法をとりましょう。Windowsに搭載されている暗号化ツール「BitLocker」や、Macの「FileVault」を使用してドライブ全体を暗号化した後、SSDを初期化してください。万全を期すなら初期化後に再度暗号化を行いましょう。

暗号化とは、元のデータをあるきまった法則で違う情報に変換し、情報を復号しないと元のデータを確認できないようにすることを言います。データを暗号化するにも復号するにも、鍵と呼ばれる情報を変換する法則が必要となります。そのため、暗号化された際に使った鍵と対になる、もしくは同じ鍵が無い限り、もとの情報を第三者が参照することはできません。暗号化方式としては大きく、暗号化と復号の両方で同じ鍵を使うものと、異なる鍵を使うものがあります。暗号化は情報漏えいや改ざんを防ぐための技術としてインターネット上で幅広く使われています。

PC をリフレッシュ、初期状態に戻す、または復元する方法
https://support.microsoft.com/ja-jp/help/17085/windows-8-restore-refresh-reset-pc

Mac のディスクを消去する方法
https://support.apple.com/ja-jp/HT208496

SSDを物理的に破壊する

SSDにはデータを記録するフラッシュメモリが複数あり、そのすべてを破壊しないと部分的にデータを復元できる可能性があります。データ消去の専門業者が所有する特別な機械でSSDを完璧に破壊してもらいましょう。

データを復元できないようにする前に

処分するパソコンのデータを復元できないようにする前に、必要なデータは必ず新しい機器や外付け記憶装置、クラウドサービスなどに保存し、移行先で問題なくファイルを開けることを確認してください。また、パスワード管理ソフトなどを使用し、利用しているネットサービスのパスワードを新しい機器にも引き継げるようにしておきましょう。さらに、データ消去ソフト等を利用する場合には、パソコンの周辺機器などもすべて外すことも忘れないでください。それらを接続したままでは、不完全なデータ消去、必要なデータの消去や破損につながる可能性があるためです。これらの確認が終わったら、作業を開始しましょう。
業務で利用しているパソコンについては、勤務先のルールに従って処分してください。新しいパソコンへのデータ移行時に勤務先が許可していないデバイスやクラウドサービスを利用するのは厳禁です。

パソコンの処分方法と注意点

パソコンを処分するのはHDDやSSDから重要なデータが漏えいしないという確信を得られてからにしましょう。処分方法は大きく、売却、下取り、譲渡、廃棄の4つあります。いずれの場合も確実に情報を消去してから処分するようにし、専門業者を利用する場合は複数を比較した上で信用できるサービスを選択しましょう。データ消去サービスが付帯されている場合もありますが、念のため自身で可能な限りデータを消去してから引き取ってもらう方がより安全でしょう。

家族に譲渡する場合については、次の利用者のために基本的なセキュリティ対策を行ってから渡すと良いでしょう。未成年やネットに不慣れな家族のだれかに譲り渡す場合は、安全に使える環境を用意してあげることが重要です。そのポイントは、セキュリティソフトを入れて最新の状態にしておくこと、OSやソフトを最新バージョンにアップデートしておくことです。これにより、ネット詐欺やウイルス感染にさらされるリスクが軽減します。また、ペアレンタルコントロールなどのサポート機能を適用し、不適切なWebサイトへのアクセスを防いだり、ネットやソフトの利用時間を制限したりすると良いでしょう。家庭のWi-Fiに接続される機器が複数ある場合は、ホームネットワーク全体を保護してくれるセキュリティ製品の利用もおすすめです。

故障などにより引き取り手のないパソコンは廃棄もやむなしです。ただし、パソコンを勝手に不燃ゴミとして捨ててはいけません。パソコンは資源有効利用促進法のリサイクル品目に指定されているためです。「PCリサイクルマーク」が付いているパソコンの場合、メーカーに連絡をすれば無料で引き取ってくれます。PCリサイクルマークがないパソコンや自作パソコンについてはパソコン3R推進協会に回収を依頼し、リサイクル料金を支払いましょう。また、小型家電リサイクル法に基づき、自治体によっては回収ボックスを設置してパソコンの回収、リサイクルを行っている場合もあります。小型家電リサイクル法の認定業者に回収を依頼すれば無料で引き取ってもらえることもあります。その際、故障などでデータ消去ソフトや暗号化ツールが使えない場合は、専門業者に物理的な方法でデータを消去してもらってから廃棄するようにしましょう。

一般社団法人パソコン3R推進協会
http://www.pc3r.jp/

]]>
http://rss.is702.jp/main/rss/3564_l.jpg
マイクロソフト、10月の月例セキュリティ更新を公開 9月末の定例外公開分の修正も マイクロソフトは10月9日(日本時間)、月例のセキュリティ更新プログラムを公開しました。独立行政法人情報処理推進機構(IPA)およびJPCERTコーディネーションセンター(JPCERT/CC)も注意を呼びかけています。 2019-10-09T00:00:00+09:00
対象となるソフトウェアは、「Microsoft Windows」「Internet Explorer」「Microsoft Edge(EdgeHTML-based)」「ChakraCore」「Microsoft Office、Microsoft Office ServicesおよびWeb Apps」「SQL Server Management Studio」「Open Source Software」「Microsoft Dynamics 365」「Windows Update Assistant」で、深刻度「緊急」の脆弱性への対応も含まれています。

なお9月22日(米国時間)に定例外で公開されたInternet Explorerに関する脆弱性(CVE-2019-1367)に対する修正、9月23日または10月3日(米国時間)に公開されたセキュリティ更新プログラムや修正も、今月の月例の累積的なセキュリティ更新プログラムに含まれているとのことです。そのため、あらためて今月の月例更新プログラムを適用することが推奨されています。

脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、リモートからの攻撃によって任意のコードを実行されたりする可能性があります。各製品のユーザは、Microsoft UpdateやWindows Update等を用いて、システムの更新を行ってください。
]]>
https://is702.jp/main/images/news/img_news9.jpg
「セクストーションスパム」による被害再発か、口止め料と思われる送金を確認 トレンドマイクロは10月7日、公式ブログで「日本語『セクストーションスパム』登場から1年、再び被害発生か」と題する記事を公開しました。 2019-10-09T00:00:00+09:00
「セクストーション(性的脅迫)スパム」は、「性的な行為に関わる、あなたのプライベート動画・写真を入手した。友人・知人にばらまく」と脅迫し金銭を要求する詐欺です。動画や写真を本当に入手していることはなく、あくまで偽の主張ですが、不正な手段で入手したアカウント情報をタイトルや本文中に記載するなどし、受信者を不安にさせます。なお、仮想通貨での送金を要求してくるのも特徴の1つです。

国内では2018年9月中旬に初めて確認され、その後、2018年末までに300回を超える仮想通貨の送金トランザクションが発生。合わせて29BTC(記事執筆時点の価格で日本円2,850万円相当)の送金が確認されました。その後、手口が周知され、2019年に入ってから送金はほとんど見られなくなっていました。しかし今回、2019年9月末に流通したスパム内のビットコインアドレスに、数件の送金トランザクションが発生していることが確認されました。

今回流通しているセクストーションスパムは、「ハッキングされています!すぐにパスワードを変更してください!」「私はあなたのオペレーティングシステムをハッキングし、あなたのアカウントに」といった、これまでと類似の件名が使われています。また、「あなたは大きな変態です。無限のファンタジー!」「私に怒らないでください、誰もが自分の仕事をしています。お別れ。」といったような特徴的な文言が含まれていました。ほぼ同内容のセクストーションスパムは2019年5月にも確認されており、本文の内容や手口に大きな変化はありませんでした。

一度成功した攻撃の手口は、利用者が忘れた頃に繰り返される傾向にあります。攻撃が下火になったとしても、利用者は継続的に注意を怠らないようにしましょう。ネット詐欺においても、実社会の「振り込め詐欺」等と同様に、その手口を知り騙されないことが対策になります。さらに、メールのフィルタリング機能やセキュリティソフトなどを利用し、なるべく不審なメールが手元に届かないようにするのも有効です。



セクストーションスパムの本文例(2019年9月29日受信)

セクストーションスパムの本文例(2019年9月29日受信)



]]>
https://is702.jp/main/images/news/S191008.png
実在する事業者名をかたるSMSに注意、不審な内容は無視して削除を 東京都(生活文化局消費生活部)は10月4日、消費生活総合サイト「東京くらしWEB」を更新し「実在の事業者の名をかたった不審なSMSに注意!」を掲載。数十万円の架空の利用料金を請求された事例を紹介しています。 2019-10-07T00:00:00+09:00
それによると、名前を聞いたことのある事業者の名で、「利用料金の確認がとれていないので本日中に連絡するように」とのSMS(ショートメッセージサービス)がスマホに届き、メッセージ内に記載された電話番号に連絡すると、1年前に登録したサイトの利用料29万円を支払う義務があると告げられたという内容でした。

実在する事業者名が記載されたメッセージであっても、身に覚えの無い請求は詐欺の可能性があります。消費生活センターにも数多くの相談が寄せられており、「料金確認がとれていない」「未納料金がある」等のSMSは注意が必要です。電話連絡等をしてしまうと、名前や住所といった個人情報を詐取されたうえ、高額な金銭の支払いを要求される恐れがあります。不審なSMSは無視して削除してください。
事業者に確認を行いたい場合は、SMSで通知された電話番号やURLは利用せず、正規Webサイトに記載されている問合せ先から確認を行うようにしましょう。

消費者ホットラインや東京都消費生活総合センターでは、相談や悪質事業者の通報、困った経験などの情報を受け付けています。また、日頃から同様の手口に注意し、SMSのフィルタ機能が利用できる場合は設定を確認しておきましょう。
]]>
https://is702.jp/img/dummy/dummy_th.gif
Instagram、オンライン上のいじめ対策機能の提供を本格スタート Instagramは10月3日、望まないやりとりを避けることで自分のアカウントを保護する「制限」機能について、日本を含む全世界で提供を開始しました。 2019-10-04T00:00:00+09:00
Instagramは7月に、「コメント内容の再考を促す機能」と「特定のアカウントのコメントを非表示にする機能」の2つを、今後導入する予定であることを発表していました。今回導入された「制限」は後者に当たります。

「制限」は、発言した相手に知られることなく、暴力的なコメントや不快なコメントを非表示にするものです。特定のアカウントを「制限」したい場合、コメントを左にスワイプすることで、設定が可能になります。「制限」を有効にすると、指定したアカウントが自分の投稿に対して追加するコメントは、そのアカウントにのみ表示されるようになります。また、制限したアカウントからのダイレクトメッセージは、自動的にメッセージリクエストに移動され、通知は届きません。

Instagramは今後もオンライン上のいじめ対策で業界を牽引する存在になることを目標に、ツールの導入や機能の改善を継続して行っていくとのことです。SNS利用者は、自身の投稿内容に対して責任と配慮を忘れないようにするとともに、このような機能を活用してネット上でのトラブルを回避しましょう。
]]>
https://is702.jp/main/images/news/img_news41.jpg
【注意喚起】ラグビーワールドカップ人気に便乗したフィッシング詐欺に注意 現在日本で開幕中のラグビーワールドカップ人気に便乗したフィッシングサイトを確認しており、その偽装手口として無料のライブ動画配信サービスを装っています。 2019-10-03T00:00:00+09:00
誘導先のフィッシングサイトでは、動画を視聴するために会員登録が必要だと称し、メールアドレスに続いてクレジットカード情報の入力が求められます。Webサイト上には、プレミアム会員へのアップグレードまたは購入を行わない限り請求は発生しないと記載されていますが、万一情報を入力してしまった場合、クレジットカードの不正利用被害や、提供した情報を他のサイバー犯罪に悪用される可能性があります。
また、このフィッシングサイトは日本語や英語を含む複数の言語を選択できる設定となっており、この世界的なスポーツイベントに関心を寄せるネット利用者を広く標的としていると考えられます。
確認されたフィッシングサイトについては、Fortinetのブログでその詳細が報告されており、フィッシングサイトへの誘導は不正広告から行われていたとのことです。



不正広告から誘導された偽Webサイトの一例

不正広告から誘導された偽Webサイトの一例





偽のアカウント登録画面の一例

偽のアカウント登録画面の一例





クレジットカード情報を入力させようとする偽の登録画面の一例

クレジットカード情報を入力させようとする偽の登録画面の一例


偽の動画配信サービスを装った手口は、過去の世界的なスポーツイベントでも同様の事例が確認されており、これから開催されるオリンピックやパラリンピックでも十分注意が必要です。
不正なWebサイトやフィッシングサイトにアクセスしてしまうリスクを下げるには、パソコンやスマホのセキュリティソフトやアプリは最新の状態に保って利用してください。そして、画像や映像は著作権によって保護されています。利用者は必ず公式のWebサイトやサービスを利用しましょう。]]>
https://is702.jp/main/images/news/S191003_2.png
スマホ決済の不正利用はなにが原因? 軽井は、コンビニでの支払いにスマホ決済を利用しています 2019-10-03T00:00:00+09:00
ひろしとアカリのセキュリティ事情

スマホ決済の不正利用はなにが原因?

2019/10/03

スマホ決済の利便性とリスクを理解しよう

スマホ決済が普及の兆しを見せています。これは、店舗やショッピングサイトでの買い物の支払いをスマホ1つで完結できる仕組みです。

スマホ決済はとても便利な決済手段ですが、悪意のある第三者に不正利用されるリスクもあることを心得ましょう。実際、スマホ決済サービスのアカウントを乗っ取られ、勝手に商品を購入される被害が発生しています。

不正利用の原因とは?

スマホ決済の不正利用に遭う原因はいくつか考えられますが、その1つとして不正ログインがあげられます。フィッシング詐欺によって決済サービスの認証情報(IDとパスワード)を詐取された場合や、複数のインターネットサービスで決済サービスと同一のIDとパスワードを使い回しており、その組み合わせが漏えいしてしまった場合、不正ログインの被害に遭う可能性が高まります。

さらに、クレジットカード情報(カード番号、有効期限、セキュリティコード)が漏えいしてしまった場合も被害に遭うことが想定されます。悪意のある第三者は、何らかの方法で入手したクレジットカード情報を手元のスマホの決済アプリに登録し、勝手にチャージした上で商品を購入するのです。

不正利用の被害に遭わないためには

フィッシング詐欺対策として、メールやSMS、広告などから誘導されたWebサイトではなく、必ず正規サイトからログインするようにしましょう。また、ログイン手順としてIDとパスワードに加え、ワンタイムパスワードのような多要素認証を採用しているなど、不正利用対策が講じられているサービスを選択してください。そして、決済サービスの利用履歴や連携している銀行口座、クレジットカードの明細を、最低でも月に1回は確認することを心がけましょう。
被害に遭ったら速やかに利用停止の手続きを行えるよう、利用している各サービスや金融機関の連絡先、被害の相談先を予め確認しておくことも大切です。

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3563_l.jpg
クレジットカード不正利用、デジタル決済を背景に「番号盗用」被害が主流に 一般社団法人日本クレジット協会は9月30日、クレジットカード不正利用の被害額について、最新の集計結果を発表しました。今回は2019年第2四半期(4月~6月分)を対象としています。 2019-10-01T00:00:00+09:00
この調査は、国際ブランドカードを発行している会社を中心に、銀行系カード会社、信販会社、流通系クレジット会社、中小小売商団体等のクレジット会社44社について、偽造カード被害額、番号盗用被害額、その他不正利用被害額を、四半期ごとに集計しています。

それによると、同四半期の不正利用被害額は68.5億円。前期(2019年1月~3月)も68.5億円だったため同額となりました。過去最高水準で横ばいが続いており、今年通年も被害総額を更新する見込みです。

手口の内訳で見ると、「偽造カード」による被害額は4.7億円(構成比6.9%)、「番号盗用」による被害額は55.6億円(構成比81.1%)、「その他不正利用」による被害額は8.2億円(構成比12.0%)でした。調査データを見ると、2014年には58.8%だった「番号盗用」が現在は8割超となっています。その背景としては、フィッシング詐欺等のサイバー犯罪の増加が推測されます。

10月1日に消費税増税が始まり、キャッシュレス決済(クレジットカード、交通系ICカード、スマホ決済など)の利用促進も続いています。オンライン決済やキャッシュレス決済といったデジタル式の決済を利用する際は、セキュリティソフトやアプリを最新の状態に保つのはもちろん、OSなどの利用環境を常に最新版に整えることも重要です。そして、サービスへのログインやアプリをインストールする際は、メールやSNS、SMS、Web広告などからの誘導は避け、公式のWebサイトやアプリストアから利用してください。



クレジットカード不正利用被害の発生状況(日本クレジット協会の発表資料より)

クレジットカード不正利用被害の発生状況(日本クレジット協会の発表資料より)

]]>
https://is702.jp/main/images/news/img_news11.jpg
2019年上半期サイバー空間の脅威情勢について警察庁が発表 警察庁は9月26日、2019年上半期(1月~6月)におけるサイバー空間の脅威情勢について、観測データ等を分析した結果を発表しました。 2019-09-27T00:00:00+09:00
それによると、センサー*により検知されたアクセス(探索行為等)の件数は、1日・1IPアドレス当たり3,530.8件と、引き続き増加傾向を見せています。特に6月中旬から、IoT機器の脆弱性を狙ったと考えられるアクセスが、新たに観測されるようになりました。また、Microsoft Windowsのリモートデスクトップサービスを標的としたアクセス急増も複数回観測されたとのことです。

標的型メール攻撃については、前年同期の2,578件よりわずかに増加し2,687件でした。うち、同じ文面や不正プロファイルを使った「ばらまき型」攻撃が、全体の85%を占めていました。また、メールの送信先としては、インターネット上に公開していないメールアドレスが全体の82%を占めています。2019年上半期の変化としては、添付ファイルについて、Word/Excel形式が減少し、圧縮ファイルの割合が増加しました。

なおサイバー犯罪の検挙件数は2019年上半期で4,243件となり、高止まりを見せています。インターネットバンキングに係る不正送金事犯による被害は、発生件数182件、被害額約1億6,500万円で、いずれも前年同期と比べて減少しています。

ネット利用者は被害やトラブルに遭わないよう最新の被害事例を参照するとともに、OSやソフト、セキュリティ対策製品を最新の状態に保つといった基本的な対策を怠らないようにしましょう。

*:警察庁が24時間体制で運用しているリアルタイム検知ネットワークシステムにおいて、インターネットとの接続点に設置しているセンサーのこと。本センサーでは、各種攻撃を試みるための探索行為を含む、通常のインターネット利用では想定されない接続情報等を検知し、集約・分析している。]]>
https://is702.jp/main/images/news/img_news22.jpg
認証方法とアカウントを保護するための6つの自衛策 インターネットサービスの不正利用による被害が相次いでいます。サービスをより安全に利用するためには、それぞれの認証方法の特長を理解し、自衛策を実践できるようになりましょう。 2019-09-26T00:00:00+09:00
インターネットサービス利用者なら知っておきたい

認証方法とアカウントを保護するための6つの自衛策

2019/09/26
インターネットサービス利用者なら知っておきたい 認証方法とアカウントを保護するための6つの自衛策

インターネットサービスのアカウントを不正利用される被害が相次いでいます。サイバー犯罪者はさまざまな方法で他人のIDとパスワードを盗み出したり、探り当てたりしてサービスに不正アクセスし、金銭や情報を不正に取得しようとしています。第三者によるアカウントの不正利用を防ぐための6つの自衛策を紹介します。

パスワード以外の認証方法とは?

SNSやクラウドストレージ、ショッピングサイト、ネットバンキングなど、ほとんどのインターネットサービスにログインするときはパスワード認証が求められます。これは、ログイン時に利用者本人だけが知るIDとパスワードを入力することで認証を得る方式です。

ただ、パスワード認証は必ずしも安全とは言えなくなっています。IDとパスワードを第三者に盗まれたり、探り当てられたりしてしまうと認証を破られてしまうためです。

実際、IDとパスワードをだまし取られ、各種インターネットサービスのアカウントを不正利用される被害が後を絶ちません。その手口の最たるものがフィッシング詐欺です。このほか、アカウントを乗っ取る手口にはプログラムによってパスワードに使用できる文字種の組み合わせを片っ端から試していく総当たり攻撃もあり、IDとパスワードだけで本人か否かの認証の精度を担保することは難しくなっています。

金融機関などの高いセキュリティが求められるインターネットサービスを中心にパスワード認証の弱点を補完する認証方式の採用が進んでいます。どのようなものがあるか見ていきましょう。

二要素認証とリスクベース認証とは

●パスワードだけではログインできない二要素認証

二要素認証は、2つの異なる認証の要素を組み合わせることで本人認証の精度を高める方式です。認証の要素は、「記憶」「所持」「生体情報」の3つに分類されます。3つの要素を組み合わせる方式は「多要素認証」と呼ばれます。

記憶:本人のみが知っている情報によって利用者を認証します。パスワードやPIN、秘密の質問(「母の旧姓は?」「出生地は?」「ペットの名前は?」など)の回答などがこれにあたります。
所持:本人のみが所持している物によって利用者を認証します。ICカードやキャッシュカード、乱数表、トークン(一定時間おきに変更され、一度しか使えないワンタイムパスワードを生成する機器)などが該当します。スマホをトークンとして使用する場合は、SMS(ショートメッセージサービス)や認証用アプリなどで取得できる認証コードを入力します。
生体情報:本人の身体的特性にもとづく情報によって利用者を認証します。指紋や顔、静脈パターン、虹彩などがこれに該当します。

多くのネットバンキングなどの金融系Webサービスでは、記憶と所持の2つの要素を組み合わせた二要素認証が採用されています。送金などを行う際はIDとパスワードだけでなく、乱数表で指定された枠内の英数字や、事前に登録したスマホなどで取得できる認証コードの入力も必要になります。そのため、第三者によるログインはIDとパスワードのみの認証方式と比べて難しくなります。

●普段とは異なる機器からパスワードが入力されたときに役立つリスクベース認証

リスクベース認証は、普段と異なる IP アドレスや OS 、Web ブラウザから認証要求(IDとパスワードによるログイン)があったときなど、第三者による不正アクセスのリスクが高いと判定された場合のみ追加の認証を求める方式です。追加の認証方法としては、あらかじめ設定された秘密の質問への回答を求めたり、事前に登録されたデバイスに届く認証コードを入力させたりするなどのパターンがあります。

Apple IDでは、記憶と所持の2つの要素を組み合わせた2ファクタ認証を提供しています。リスクベース認証も採用しており、新しく購入したデバイスではじめてAppleのサービスにログインした場合のみ、事前に登録したスマホなどで取得できる認証コードの入力が必要になります。信頼できるデバイスに追加されると、次回以降のログイン時に追加認証を求められることはありません。

アカウントの不正利用を防ぐための6つの自衛策

フィッシング対策協議会が2019年2月、何らかの個人認証を実施しているインターネットサービス事業者(10業種・308名)を対象に行ったアンケート調査では、76.9%がパスワード認証しか行っていないことがわかりました。一方、二要素認証やリスクベース認証を採用していると回答したインターネットサービス事業者は21%にとどまり、複合的な認証方式の採用に遅れが見られます。

インターネットサービス提供事業者に対する「認証方法」に関するアンケート調査結果
https://www.antiphishing.jp/news/pdf/wg_auth_report01_20190701.pdf

このため、インターネットサービス利用者は第三者によるアカウントの不正利用を防ぐための自衛策を講じることが必要です。そのポイントを確認しておきましょう。

1.詐欺の手口や狙いを知る

詐欺の手口や狙いを知ることは、自衛策の基本です。たとえば、メールやSMS、SNS内のURLリンク、ネット広告などからたどり着いたWebサイトで何らかの情報入力を促された場合、フィッシング詐欺の疑いが濃厚です。認証用アプリも必ずGoogle PlayやAppStoreなどの公式ストアから入手してください。日頃からセキュリティ事業者や関連団体などが公表する注意喚起情報に目を通しておきましょう。

フィッシング対策協議会
https://www.antiphishing.jp/

警視庁サイバーセキュリティ対策本部
https://twitter.com/MPD_cybersec

2.同一のIDとパスワードを使い回さない

サイバー犯罪者は、フィッシング詐欺などにより不正に入手した認証情報(IDとパスワード)をリスト化し、それらを用いて各種サービスへのログインを試みます。このため、複数のサービスに同一のIDとパスワードの組み合わせを使い回していると、アカウントを芋づる式に乗っ取られるリスクを高めてしまいます。メールアドレス以外をIDとして使用できる場合は、固有の文字列に変更しておきましょう。

3.第三者に推測されにくいパスワードを設定する

利用するインターネットサービスが増えれば増えるほどパスワードの管理が煩雑となるため、第三者が容易に推測できる単純なパスワードを設定しがちです。さらに、サービスの中にはアルファベットの大文字、小文字、数字記号などの文字種のランダムな組み合わせや、長い文字列をパスワードとして設定できないものもあります。設定できる可能な範囲で、サービス毎に第三者に推測されにくいパスワードを設定するように心がけてください。自身での管理や設定が難しい場合は、固有のパスワードを自動で作成、管理してくれるパスワード管理ソフトを利用するのも一案です。

4.より安全なインターネットサービスを利用する

セキュリティを考慮して設計されたインターネットサービスを優先的に利用しましょう。クレジットカードなどの重要な情報がひもづくサービスでは、二要素認証やリスクベース認証といった不正ログイン対策などを利用できることが望ましいでしょう。同様のサービスが複数あった場合は、サービス内容に加え、セキュリティを強化するための取り組みについても比較した上で選択してください。

5.可能な限り都度ログインする

自分以外も利用する可能性のあるデバイスでサービスの利用を終えたら、必ずサービスからログアウトしましょう。ログインしたままにしていると、第三者にアカウントを不正利用されるリスクが高まります。また、悪意のある第三者以外にも、家族が無断で利用し、トラブルに発展する場合もあります。不要なトラブルを回避するためにも、ログアウト、あるいは決済時に認証が必要になる設定に変更しておきましょう。また、Google ChromeなどのWebブラウザは、IDやパスワードの入力欄(フォーム)などに一度入力された文字列を保存する機能を備えています。これを無効にし、Webブラウザにすでに保存されているパスワードも削除しておきましょう。
このような対策は、デバイスの紛失や盗難時にも有効です。自分だけが使っているデバイスでも、金銭や個人情報がひもづく重要なサービスでは、できるだけ都度ログインするように心がけましょう。

6.使わなくなったサービスを解約する

使わなくなったサービスをそのまま残していても不正利用や情報漏えいのリスクになるだけです。クレジットカードや銀行口座などの金銭がらみの情報や個人情報を削除、あるいはダミーの情報を上書きした上でサービスを解約しましょう。

※不審な取引を見つけたら…
クレジットカードの利用明細やショッピングサイトの購入履歴、決済アプリの利用履歴などを定期的にチェックすることも大切です。万一、身に覚えのない不審な取引を確認した場合、直ちに各窓口に速やかに届け出をし、損害を拡大させないようにしましょう。

]]>
http://rss.is702.jp/main/rss/3557_l.jpg
偽の会員登録や警告メッセージを閉じられなくなったら ママは、突然表示された警告画面を見てうろたえています 2019-09-19T00:00:00+09:00
ひろしとアカリのセキュリティ事情

偽の会員登録や警告メッセージを閉じられなくなったら

2019/09/19

突然表示される警告や請求画面に注意

パソコンやスマホでWebサイトを見ていると、突然身に覚えのない会員登録や、請求画面、セキュリティ警告などのメッセージが表示されるかもしれません。こうしたメッセージは、アダルトサイトや出会い系サイトなど、成人向けのWebページを閲覧している際にだけ表示されるとは限りません。どのようなWebサイトを見ていても遭遇する可能性があります。しかし、そのほとんどは偽物です。このようなネット詐欺の手口では、利用者から金銭や情報をだまし取ることを目的としています。表示を無視し、落ち着いて行動しましょう。

スマホでWebブラウザのタブ(Webページ)を閉じる方法

Androidの場合:Webブラウザの右上もしくは右下にある「四角に数字が入っている」ボタンを押すと、タブの一覧画面が表示されます。右上の「×」ボタンを押せば対象のタブを閉じられます。

iPhoneの場合:Webブラウザの右下にある「四角が重なっている」ボタンを押すと、タブの一覧画面が表示されます。左上の「×」ボタンを押せば対象のタブを閉じられます。

ただ、パソコンで詐欺サイトに遭遇すると、「×」ボタンを押しても一向にタブを閉じられなくなったり、何度閉じてもまたポップアップが表示されたりすることがあります。この場合も冷静さを失ってはいけません。いくつかの方法を試せば問題を解決できることがあります。

Webブラウザを強制終了する

Windowsの場合:「Ctrl」+「Alt」+「Delete」キーを同時に押して一覧からタスクマネージャーを選択します。表示されたタスクの中から該当のWebブラウザ(ChromeやInternet Explorerなど)を選択し、「タスクの終了」をクリックしましょう。
また、タスクマネージャーはタスクバー(デスクトップの一番下に表示されているバー部分)を右クリックして開かれるメニューから起動することもできます。

Macの場合:「Command」+「Option(Alt)」+「Esc」キーを同時に押して強制終了画面を起動し、表示されたアプリの中から該当のWebブラウザ(Safariなど)を選択し、Webブラウザを強制終了しましょう。

Mac で App を強制的に終了する方法
https://support.apple.com/ja-jp/HT201276

前回終了時に開いていたページを次回の起動時に自動で復元するWebブラウザの機能を無効にし、ブラウザを再起動する

Chromeの場合:アイコンを右クリックし、新しいウィンドウを開きます。表示されたWebページの右上の設定ボタン(縦に点が三つ並んでいるもの)をクリックし、「設定」に進みます。設定画面の最下端にスクロールし、「起動時」枠の設定が「前回開いていたページを開く」になっている場合は「新しいタブページを開く」にチェックを入れましょう。

図:Chromeの設定画面

Safariの場合:上部の「Safari」から「環境設定」に進み、「一般」タブをクリックします。「Safariの起動時」枠で「ホームページ」を選択しましょう。

常に同じ Web ページが開くように Safari を設定する
https://support.apple.com/ja-jp/HT204296

Microsoft Edgeの場合:右上のメニューボタンを押し、「設定」に進みます。左の「全般」を選択し、「Microsoft Edgeの起動時に開くページ」枠で「スタートページ」を選択しましょう。

無事表示が閉じられたあとは、念のため、ご利用のセキュリティソフトを最新の状態にした上でフルスキャンを行ってください。対処に不安を覚えたり、上記の手順を試してもWebページを閉じられなかったりする場合は、ご利用のセキュリティソフトのサポート窓口に問い合わせましょう。

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3554_l.jpg
Apple、Google、MS、Yahoo!の「多要素認証」、具体的な設定手順をIPAが解説 独立行政法人情報処理推進機構(IPA)は9月17日、「不正ログイン対策特集ページ」を更新しました。「多要素認証の設定」コーナーに、「Microsoftアカウント編」と「Yahoo! JAPAN ID編」の手順書を追加するとともに、「Apple ID編」「Googleアカウント編」の手順書の内容を更新しました。 2019-09-18T00:00:00+09:00
SNS、ショッピングサイト、クラウドサービス等、ほとんどのインターネットサービスは、「IDおよびパスワード(アカウント)による本人認証」を採用しています。しかし、第三者がアカウントを悪用する「不正ログイン被害」が後を絶ちません。

こうした不正ログインを防ぐために、多くのサービスが「多要素認証」を採り入れています。「多要素認証」とは、アカウントによるログインだけでなく、メールやSMSでの折り返し確認、あるいは指紋などの生体情報、ハードウェアキーなど、複数要素による本人確認を併用する手法です。「多要素認証」を利用することで、万一IDおよびパスワードが突破されてしまった場合でも、第三者による不正ログインのリスクを下げることができます。

ただし、各サービスが採用している「多要素認証」は、その内容も設定方法も異なっており、初心者には複雑に感じられます。IPAの情報セキュリティ安心相談窓口にも「設定方法が分からない」といった意見が寄せられていました。IPAではこれを受け、「不正ログイン対策特集ページ」を2018年3月に開設。具体的なサービスごとに、多要素認証の設定手順書を公開しています。

IPAでは今後も、主要な各種インターネットサービスの多要素認証の設定手順書を、追加していく予定とのことです。
各手順の詳細はIPAの公式WebサイトよりPDFで閲覧・ダウンロードが可能です。


「多要素認証」のイメージ(IPAの解説資料より)

「多要素認証」のイメージ(IPAの解説資料より)

]]>
https://is702.jp/main/images/news/S190918.png
学習資料「働く大人向けネットセキュリティの基本~メールが発端となる法人における脅威編~」公開 is702の新規学習資料、「働く大人なら最低限知っておきたいネットセキュリティの基本~メールが発端となる法人における脅威編~」を9月17日に公開しました。 2019-09-18T00:00:00+09:00
本資料は2019年3月に公開した「働く大人なら最低限知っておきたいネットセキュリティの基本」ガイドブックのスライド版として、最新情報を加え「~メールが発端となる法人における脅威編~」として再編集したものです。ガイドブック同様イラストを交え、やさしく解説しています。

法人を狙うサイバー脅威がますます深刻になる中、「自分は狙われるはずがない」という思い込みは通用しません。多くの人が業務で利用するメールがサイバー攻撃の発端となる脅威と、従業員一人ひとりが行う対策を学びましょう。

本資料は、is702の資料ダウンロードページよりPDFでダウンロードが可能です。ご自身の学習や従業員教育にお役立て下さい。



メールが発端となる法人における脅威編 表紙

メールが発端となる法人における脅威編 表紙

]]>
https://is702.jp/main/images/news/190917GB.JPG
消費者行政かわら版、最新号でデジタル社会の消費者トラブル事例を紹介 消費者庁は9月12日、「消費者行政かわら版(第3号)」を公開しました。PDFファイル(2ページ)が、消費者庁のサイトから無料ダウンロード・閲覧が可能です。 2019-09-17T00:00:00+09:00
「消費者行政かわら版」は、さまざまな悪質商法や詐欺の事例を紹介して、消費者の被害防止を支援するチラシです。「平成」から「令和」へ年号が変わったことに合わせ、今年より新たな試みとして、消費者庁が開始しました。第3号である今号は、デジタル関連の事例として「フィッシング詐欺」「オンラインゲーム」「デジタル・プラットフォーム」「SNSを利用した個人間融資」といったトピックを採り上げています。

「フィッシング詐欺」については、事業者の公式SMS等に紛れ込み、不正サイトへ誘導する手法を紹介し、二段階認証やキャリア決済の上限額設定を行うよう注意を呼びかけています。「オンラインゲーム」では、子どもの利用を想定し、保護者が家庭内ルールを決めるとともに、クレジットカード情報を厳重に管理するよう推奨しています。さらに「デジタル・プラットフォーム」では、日本語での相談対応窓口の有無、対応窓口への連絡手段を事前に確認すること、そして「SNSを利用した個人間融資」では、貸金業法に触れる可能性を指摘し、貸す側も借りる側も十分気を付けることを、呼びかけています。

消費者庁では、消費者ホットライン「188」で、地方公共団体が設置している身近な消費生活センターや消費生活相談窓口を案内しています。不安を感じた場合や、トラブルに遭遇した際はひとりで悩まずに窓口に相談するようにしましょう。
]]>
https://is702.jp/img/dummy/dummy_th.gif
【注意喚起】不正なアプリ連携を促すスパムDM「ONLY FOR YOU」に注意 Twitter利用者にスパムDM(ダイレクトメッセージ)を送り付け、不正なアプリ連携を促す手口が報告されています。 2019-09-13T00:00:00+09:00
このスパムDMは、「ONLY FOR YOU」の後に、受信者のアカウント名とURLリンクが記載されています。URLリンクは一見するとYouTubeへのリンクのように見えますが、リダイレクト(転送)設定がされており、最終的に不正なサイトに誘導され、Twitterとのアプリ連携を促されます。

アプリ連携とは、連携させたアプリからあなたのアカウントの操作を許可する設定のことです。今回確認された不正なアプリ連携では、連携させたTwitterアカウントのプロフィール情報の確認・変更、フォロー設定の確認・変更、ツイートの投稿・削除、他のアカウントのフォロー・フォロー解除・ブロック、DMの送信など、様々な権限を与えてしまう内容になっていました。万一アプリ連携させてしまうと、実質的にアカウントを乗っ取られてしまう可能性があります。

利用者はこのようなDMを受け取ってもURLリンクをクリックしないようにしてください。また、本件に限らず普段から、他のサービスやツールからアプリ連携を求められた際は本当に連携が必要かどうか、サービス内容や与える権限を十分確認してから判断するようにしてください。

改めて連携しているアプリがあるかどうかを確認しましょう。もし不要なアプリがあった場合は連携を解除し、パスワードを変更してください。

■Twitterのアプリ連携確認方法
設定とプライバシー → 設定 → アカウント → アプリとセッション
*上記手順は2019年9月13日時点の設定です。最新の手順は公式サイトを確認してください。



誘導先の不正サイトの一例

誘導先の不正サイトの一例





不正なアプリ連携を求めるログイン画面の一例

不正なアプリ連携を求めるログイン画面の一例

]]>
https://is702.jp/main/images/news/S190913-2.png
“罰金”と称して金銭を要求する「ポリスランサム」再登場、日本でも要注意 トレンドマイクロは9月11日、公式ブログで「『ポリスランサム』詐欺サイトが再登場、日本への流入に注意」と題する記事を公開しました。 2019-09-12T00:00:00+09:00
「ポリスランサム」とは、警察等の法執行機関や政府機関を偽装し、「ネット上で違法行為をした」と利用者を脅かし、金銭を要求するサイバー犯罪です。“法執行機関による罰金”という名目で金銭を要求する手口は、ランサムウェア(身代金要求型ウイルス)のほか、詐欺サイトでも一般的な手口になっています。

トレンドマイクロではここ最近、「ポリスランサム」手法による詐欺サイトが海外で活動を活発化させていることを確認しました。2017年に確認された同様の手口でも、海外で成功した後に多言語化して様々な国で攻撃を行っており、今後は日本語版の登場が予測されるため注意を呼びかけたとしています。

同社では、「カタール内務省」と「フランス警察」を騙るポリスランサムの詐欺サイトを確認しています。今回確認されたサイトを開くと、サイレン音が再生され利用者を驚かせます。しかし、この手口は2017年の際と同一です。また、詐欺サイトページではブラウザのタブやURL表示、Windowsのタスクバーが表示されますが、画像で作られた偽の表示でした。これらは、利用者に正規のURLを参照していると思わせたり、ブラウザを閉じられないと勘違いをさせるための細工にすぎません。
なお、2017年の事例ではiTunesカードが支払い方法に指定されていましたが、今回はクレジットカードによる支払いを要求しています。

トレンドマイクロの調査によれば、7月30日前後に詐欺サイトのドメイン名が取得された後、31日から詐欺サイトへの誘導が始まったものとみられます。詐欺サイトのドメイン名は「national」「nation」「pay」「service」等の文字列の組み合わせになっており、現時点で24件が確認されています。これらの詐欺サイトには、攻撃開始から9月7日までの間に、合わせて3,000件を超えるアクセスがあったことが確認されています。

今回の詐欺サイトのように、以前使われた攻撃手法が時間をおいて「再使用」されることはよく見られます。ネット利用者は詐欺の手口を知り、騙されないようにすることが重要です。今回確認されている詐欺サイトへの流入経路としては、アダルトサイトと考えられるドメインが多く、サイト上に表示される不正広告などの手口により誘導されたものと推測されます。
ネット利用中に突然、警告や請求画面が表示されてもあせらずに行動してください。また、このような詐欺サイトに誤ってアクセスしてしまわないよう、セキュリティソフトやアプリを最新の状態に保ち、脅威によるリスクを下げると良いでしょう。


2019年8月に確認したフランス警察を偽装した詐欺サイトの例 上部のブラウザのURL表示や下部のWindowsタスクバーの表示はページ内の画像であり本物ではない

2019年8月に確認したフランス警察を偽装した詐欺サイトの例
上部のブラウザのURL表示や下部のWindowsタスクバーの表示はページ内の画像であり本物ではない


]]>
https://is702.jp/main/images/news/S190912.png
iPhoneのセキュリティを強化するために実践したい5つのポイント iPhoneをより安全に利用するにはどのようなセキュリティ対策が必要でしょうか。利用者がネットの危険にさらされる可能性のある事例を知り、5つの対策ポイントをおさえましょう。 2019-09-12T00:00:00+09:00
iPhoneを買ったらまず確認!

iPhoneのセキュリティを強化するために実践したい5つのポイント

2019/09/12
iPhoneを買ったらまず確認! iPhoneのセキュリティを強化するために実践したい5つのポイント

iPhone をより安全に利用するにはどのようなセキュリティ対策が必要でしょうか。利用者が危険にさらされる可能性のある事例を知り、パソコンやAndroid OSを搭載するスマホと同様に、セキュリティ対策を行いましょう。iPhoneを安全に利用するための5つのポイントを紹介します。

iPhoneにもセキュリティが必要

発売以降毎年新モデルが発表されるiPhone。新シリーズの発売を心待ちにしている方も多いのではないでしょうか。iPhoneを手に入れたらまず確認したいのがセキュリティです。iPhoneもAndroid OSを搭載するスマホと同じように、さまざまな脅威にさらされています。

iPhoneを取り巻く代表的な脅威の1つがネット詐欺です。これは、ネット利用者を不正サイトへ誘導し、金銭や情報をだまし取る手口の総称です。たとえば、Appleのサポートを名乗るメールで「アカウントが一時的に無効になっています」などと通知し、受信者にURLを開かせることでAppleのログインページに似せたフィッシングサイトへ誘導する手口が確認されています。それを本物と誤認してApple IDとパスワードを入力すると、アカウントのロックの解除などを理由に個人情報やクレジットカード情報の入力も促されます。騙されて入力すると、それらの情報がサイバー犯罪者の手に渡ってしまいます。

偽のウイルス感染警告を表示し、迷惑ソフトなどをインストールさせようとるす偽警告の手口にも注意が必要です。パソコンやAndroid OSを搭載するスマホと同じように、iPhoneでも同様の手口が報告されています。

SMS(ショートメッセージサービス)もiPhoneユーザを不正サイトへ誘導する手段として悪用されています。実在する企業をかたった偽装SMS内のURLリンクを開くと、「ネットワークセキュリティのアップグレード」などを口実に不正なiOS構成プロファイルのインストールを促されます。

図:不正プロファイルのインストール時にiOSが表示する確認の例

iOS構成プロファイルは、iOS のシステムやセキュリティに関連する各種設定を記載したファイルで、iOSデバイスにインストールするとその設定を一括で適用できます。今回の事例では、不正なiOS構成プロファイルをインストールしてしまうと端末やSIMカードの固有情報、OSのバージョンや製品情報を窃取されることがわかりました。また、この構成プロファイルのインストール後、さらにAppleや配送事業者などに偽装したフィッシングサイトに誘導されてしまいます。

図:誘導先のフィッシングサイトの一例

iPhoneも不正アプリと無関係ではいられません。不正アプリは、スマホ内に入り込んで不正行為を働くアプリの総称です。万一、不正アプリをインストールしてしまうと、端末を不正操作されたり、端末内の情報を窃取されたり、不正サイトへの誘導口となる広告をしつこく表示されたりする可能性があります。

iOS向けの不正アプリのほとんどはAppStoreと呼ばれる公式のアプリストア以外のWebサイト(非公式ストア)で配布されています。このため、不正アプリの主な標的となるのはiOSの制限を解除し、非公式ストアの利用を可能にする改造行為「Jailbreak(脱獄)」を行っているiPhoneユーザです。一方で、デバイスを脱獄させなくても非公式アプリをインストールできるWebサイトやツールもネット上で確認されています。危険なので利用は控えましょう。

審査をすり抜けた不正アプリがApp Storeに公開されてしまうケースもあります。正規のアプリと似たタイトル名やアイコンなどを使って本物を装う偽アプリに注意が必要です。App Storeでは過去に、iOS端末利用者を非公式ストアへ誘導し、脱獄アプリをインストールさせる不正アプリが確認されました。

iPhoneのセキュリティ強化策5選

1.OSやアプリを最新バージョンに保ち、セキュリティソフトも最新の状態で使う

iOSでは以前、端末にインストール済みの正規アプリを不正アプリに置き換えられてしまう脆弱性が確認されました。また2019年に入ってからも、複数のiOSの脆弱性を悪用し、ある特定のWebサイトからマルウェア(ウイルスなど悪意のあるソフトウェアの総称)をダウンロードさせてiPhoneに感染させる攻撃が報告されています。現在これらの脆弱性は最新OSでは解消しています。しかし、いつ他の脆弱性を悪用した攻撃が行われるかわかりません。このような脆弱性の悪用を回避するには、OSアップデートの通知が届いたらできるだけ早く適用し、iPhoneを最新の状態に保ちましょう。また、iOS向けのアプリにも端末を遠隔操作されたり、情報を漏えいさせたりする脆弱性が確認されています。新バージョンがリリースされたら速やかに適用できるようアプリの自動更新を有効にしておきましょう。

  • アプリの自動更新を有効にする手順

iPhoneにセキュリティアプリを入れ、最新の状態で利用することも忘れてはいけません。

2.AppStore以外のアプリストアからアプリを入手しない

AppStoreではApple社による安全性の審査を通過したアプリだけが公開され、審査基準に満たないアプリは排除されます。ただし、AppStoreにも不正アプリが紛れ込む危険性はあるため、アプリを入れる前に必ずアプリ名や開発元を検索し、評判などを確認しましょう。

  • 不正アプリを回避するために確認するべきポイント

非公式ストアで魅力的なアプリを見つけて利用するのは控えてください。不正アプリに感染するリスクが高まる上に、もし端末を脱獄させてしまうとAppleのサポートの対象外になってしまいます。

3.メールやSMS、SNSのURLリンク、ネット広告などを不用意に開かない

たとえ実在する企業が差出人でも、何らかの理由をつけてURLリンクを開かせようとするメールやSMSは、あなたを不正サイトへ誘導するために送りつけられたものかもしれません。SNS内のURLリンクやWeb上の広告も不正サイトの誘導口になっています。

ネット利用時に突然、iOSの構成プロファイルのインストールを促された場合は、「キャンセル」を選択してください。

4.アカウントを厳重に管理する

iPhone初回起動時の初期設定では、Apple IDの登録を求められます。Apple IDなどのアカウントの不正利用を防ぐポイントの1つは、ご利用のサービスごとに異なるIDとパスワードの組み合わせを使用することです。Apple IDの利用にあたっては2ファクタ認証(二要素認証)を必ず有効にしましょう。Appleのサービスのログイン時にIDとパスワードだけでなく、事前に登録したデバイスで取得できる認証コードの入力も必要になるため、第三者がログインすることは困難になります。ただし、この認証コードまで窃取しようとする詐欺手口もあるため、ログインの際は正規サイトかどうか必ず確認してから入力を行いましょう。

図:認証コードを入力させようとするフィッシングサイトの一例

Apple ID の 2 ファクタ認証
https://support.apple.com/ja-jp/HT204915

5.iPhoneのセキュリティ設定を確認する

iPhoneの盗難、紛失時に、第三者に不正利用されにくくするため、必ず画面ロックをかけておきましょう。GPS(位置情報サービス)と「iPhoneを探す」を有効にしておくことも大切です。これにより、ネットに接続されたパソコンなどから端末の位置を特定したり、遠隔から端末をロックしたり、端末内のデータを消去したりすることができます。

  • スマホの盗難、紛失対策/スマホの位置を特定する

また、iOS7以降のiPhoneに搭載されるAirDropも設定次第では、個人情報を漏えいさせたり、見知らぬ人に不快な画像を送りつけられたりするリスクがあります。AirDropの設定も確認しておきましょう。

]]>
http://rss.is702.jp/main/rss/3549_l.jpg
第三者環境モニタリング?偽のメールで遠隔操作ツールに誘導 トレンドマイクロは9月9日、公式ブログで「遠隔操作ツール『Gh0stCringe』が人気コミュニケーションアプリを偽装したメールで拡散」と題する記事を公開しました。人気コミュニケーションアプリの運営会社からのメールを偽装して不正サイトに誘導し、遠隔操作ツール(RAT)に感染させようとする攻撃が確認されたとのことです。 2019-09-10T00:00:00+09:00
トレンドマイクロの調査によると、不正サイトへの誘導メールが、8月30日~9月3日の間に2,000通以上拡散されているとのこと。内容は、「“第三者による環境モニタリング”を行うためのソフトウェアをパソコンにダウンロードする」といったもので、本文内のリンクから不正サイトに誘導しようとします。
このリンクは、一見正規のアドレスに見えるように偽装されていました。また、メールの差出人アドレス(From)を「do_not_reply@<コミュニケーションソフトの正規サイトドメイン>」と記述する等、利用者を錯覚させるさまざまな工夫が施されています。

不正サイトに書かれたインストール作業に従うと、「vc_redist.x86.exe」「Server.exe」という2つのファイルがダウンロードされます。しかし、このうち「Server.exe」のみが不正なファイルで、「Hidden」と呼ばれるオープンソース(公開されているソフト)のルートキット(不正操作を補助するソフト一式)を保存し、遠隔操作ツール(RAT)である「Gh0stCringe」の亜種(Backdoor.Win32.FARFLI.MRDとして検出)を実行します。さらにルートキットの機能によって、RATが行う不正な活動を隠蔽し、侵入の発見を困難にしていました。
今回の検体では、システム情報の取得のほか、デスクトップの動画を記録する機能も確認されたとのことです。一方、今回確認されたRATは実行できる操作が少ないため、侵入の第一段階として、あるいは情報窃取といった目的であったと推測されています。

トレンドマイクロでは、8月頃から増加している情報窃取型マルウェアの感染につながるマルウェアスパムと同様の攻撃ではないかと指摘しています。一方で、ルートキットによる活動隠蔽といった巧妙さから、より高度な目的を持った攻撃である可能性も残されています。ユーザは、最新の情報を把握するように努めるとともに、メール内のURLをクリックする際は慎重に確認してください。
そして、このような不正なメールや不正な誘導先へのアクセスを回避するためには、メールのフィルタリング機能や、セキュリティソフトを活用し、脅威によるリスクを下げるようにしましょう。



Gh0stCringeを感染させる不正サイトの例※本記事内の画像について、直接の危険や権利侵害に繋がりかねないと判断される部分には修正を施しています

Gh0stCringeを感染させる不正サイトの例

※本記事内の画像について、直接の危険や権利侵害に繋がりかねないと判断される部分には修正を施しています



]]>
https://is702.jp/main/images/news/S190910.png
【注意喚起】マイクロソフト製品の違法コピー警告に見せかけた不正メールが拡散中 フィッシング対策協議会は9月6日、マイクロソフトをかたるフィッシングメールの報告を受けているとして注意を呼びかけました。「プロダクトキーがの異常な状態と解決手順について。」という件名で、利用しているOffice製品のプロダクトキーが違法コピーされたという内容のメールが報告されています。 2019-09-09T00:00:00+09:00
メール内には、「http://warnning-account-recovery-support-●●●●.com/」といったURLが示されており、このサイトにアクセスして検証作業(ライセンス認証)を行うよう呼びかけています。
誘導先の不正サイトでは、さまざまな情報を入力するように促されます。しかし、このメールは虚偽の内容であり、万一情報を入力してしまうと不正利用される可能性があります。
トレンドマイクロでもこの不正サイトへの誘導メールの拡散を、2019年9月6日~8日の3日間に約3,000通確認しています。

同協議会では、JPCERT/CCにサイト閉鎖のための調査を依頼中です。このようなフィッシングサイトで、アカウント情報や個人情報、クレジットカード情報等は、絶対に入力しないよう注意してください。不審なメールを受け取った場合は、各サービス事業者の正規の問い合わせ窓口、またはフィッシング対策協議会に連絡をしましょう。
また、このような不正メールの受信や、フィッシングサイトへ誘導されてしまうリスクを下げるためにも、セキュリティソフトやアプリをインストールしておき、最新の状態を保つように心がけてください。



マイクロソフトを騙るフィッシングメールの例

マイクロソフトを騙るフィッシングメールの例





>誘導先のフィッシングサイト

誘導先のフィッシングサイト





>フィッシングサイトの入力画面

フィッシングサイトの入力画面



]]>
https://is702.jp/main/images/news/S190909-2.png
人気ゲーム「フォートナイト」のチートツールに偽装したランサムウェア「Syrk」 トレンドマイクロは9月5日、公式ブログで「チートツールに偽装しフォートナイトプレイヤーを狙うランサムウェア『Syrk』」と題する記事を公開しました。オンラインゲーム「フォートナイト」(Fortnite)のプレイヤーを狙うランサムウェアが、セキュリティ企業Cyrenのリサーチャーにより報告されました。 2019-09-06T00:00:00+09:00
「フォートナイト」は、2億5,000万人のプレイヤーを抱える対戦型オンラインゲームです(2019年3月時点)。Cyrenのリサーチャーの調査によると、このランサムウェアは、不正な手段でフォートナイトを有利に進める“チートツール”を装っていました。
このツールは、「敵に照準を合わせる精度を上げる」「マップ上の他のプレイヤーの位置を可視化する」といった機能を提供するとしていましたが、ダウンロードして実行すると、プレイヤーのコンピュータに保存されている画像、動画、音楽、ドキュメント等を、「Syrk」(サーク)と呼ばれるランサムウェアによって暗号化します。
さらに脅迫状(復号代金要求文書)を表示し、2時間以内に身代金が支払われない場合、デスクトップのファイルを削除、続いて写真フォルダが削除されることになると脅迫してきます。

一方で驚くことに、このランサムウェアには復号ツールが同梱されていることをリサーチャーは発見しています。この復号ツールを使用すれば、暗号化されたファイルは復号できるとのことです。「Syrk」は、別のランサムウェア「Hidden-Cry」(ヒドゥンクライ)のソースコードをベースにしており、Hidden-Cryの復号ツールが利用できる模様です。

“チートツール”の利用は本来禁じられていますが、少しでも有利にゲームを進めたいと思うプレイヤーの心理を犯罪者は悪用します。強い誘惑に駆られてしまったプレイヤーは、サイバー犯罪者にとって魅力的な標的となることを意味します。
ゲームにかかわらず、公式のWebサイト以外からソフトやアプリ、ファイルをダウンロードしないようにしてください。そして、万一に備え重要なデータは定期的にバックアップし、オフラインまたは世代別に管理できるようなクラウドサービスで保存しておきましょう。さらに、脆弱性や最新の脅威への対策として、OSやソフトに加え、セキュリティソフトやアプリも常に最新の状態を保つように心がけてください。



「Syrk」が表示する脅迫状

「Syrk」が表示する脅迫状

]]>
https://is702.jp/main/images/news/S190906.jpg
法人組織を狙う標的型攻撃、ランサムウェアの被害報告数が増加 トレンドマイクロは9月5日、公式ブログで「法人組織を狙う『脅迫』と『盗用』、2019年上半期の脅威動向を分析」と題する記事を公開しました。同社では、日本と海外のセキュリティ動向を分析した報告書「2019年 上半期セキュリティラウンドアップ」を同日公開しており、それをもとにした内容です。 2019-09-05T00:00:00+09:00
2019年上半期(1月~6月)においては、法人組織を脅迫するランサムウェア被害が継続的に発生。その原因として、標的型攻撃の手法を応用した攻撃の存在があきらかになっています。
3月に発生したノルウェーの事例では、大手製造業の複数工場が操業停止に追い込まれ、最終的に58億円超相当の被害が発生しました。4月以降には、アメリカの複数の地方自治体が立て続けにランサムウェア被害に遭い、住民へのサービスが提供できなくなる、実際に身代金を払ってしまう等の被害が発生しています。国内でも、法人組織のランサムウェア被害報告件数が増加しています。

トレンドマイクロは、“問い合わせ数は横ばい状態なのに、被害報告件数が増加している”点を、危険な兆候として指摘しています。これは、広い範囲への攻撃拡散がない一方で、実被害を受けた法人が増加していることを示しているからです。

そして、実際に調査を行った複数事例において、「標的型メール」「リモートデスクトップ機能(RDP)の侵害」「アプリケーションサーバの脆弱性利用」等、標的型攻撃の手法が使用されているものが確認されています。最近の標的型攻撃では、なるべく自前のマルウェアは使わず既成のソフトウェアや機能を使用して不正活動を行う手法、検出の回避や痕跡を残さない手法が多用されています。実際に、代表的手法である「ファイルレス活動」を示唆する挙動の検出数は、昨年同期比で約3.6倍になっています。

その他では、フィッシング詐欺の攻撃のなかで、クラウドメールの認証情報を狙う攻撃が顕著化しているとのこと。情報の流出や攻撃の踏み台化等の被害が、さらに発生する可能性があるため、トレンドマイクロでは注意を呼びかけています。また、国内ではスマホ利用者を狙うスミッシング攻撃も拡大しています。

具体的な事例や詳細データをまとめた報告書は、トレンドマイクロのサイトよりPDFファイルがダウンロード・閲覧可能です。



「2019年 上半期セキュリティラウンドアップ」表紙

「2019年 上半期セキュリティラウンドアップ」表紙


]]>
https://is702.jp/main/images/news/S190905.jpg
AirDropで個人情報を漏えいさせない方法 ママはAirDropでレシピサイトのURLを送ってもらうようです 2019-09-05T00:00:00+09:00
ひろしとアカリのセキュリティ事情

AirDropで個人情報を漏えいさせない方法

2019/09/05

AirDropは気軽に使える反面危険性も・・・

みなさんは、iPhoneやMac(iOS 7またはOS X Yosemite10.10以降などに搭載)などで利用できる「AirDrop(エアドロップ)」という機能をご存知ですか。これは、近くにあるApple社製のデバイス間で写真やビデオ、URL、位置情報などをワイヤレスで送受信できる機能です。その手軽さから、友人との情報共有にAirDropを活用している方も多いのではないでしょうか。

AirDropは、Wi-Fiと Bluetoothを双方で有効にするだけで、連絡先を交換しなくても情報をやり取りできるためとても便利です。しかし、その設定によっては悪意を持った第三者に悪用されるリスクもあります。

その代表例としてあげられるのが、「AirDrop痴漢」「サイバー露出」「AirDropテロ」などと呼ばれている犯罪です。これは、Airdropで送信した画像のプレビューが自動的に相手のデバイスの画面上に表示されることを悪用し、他人のデバイスに卑猥な画像を送りつける行為です。
このような痴漢行為を働く際、犯罪者はAirDropのアイコンに表示される表示名を確認し、その対象を選別します。さらに、プレビュー画像が表示される際の反応や着信音によって、デバイスの所有者を特定する可能性もあります。

このような被害に遭わないためにも、AirDropでは不特定多数から情報を受信しないように設定しておきましょう。iPhoneでは、ホーム画面の「設定」から「一般」へ進み、「AirDrop」をタップすると次の画面が表示されます。

受信しない:AirDropを使った情報のやり取りができなくなります。
連絡先のみ:連絡先の登録者に限り、情報をやり取りできます。
すべての人:AirDrop搭載デバイスを所持するすべての人と情報をやり取りできます。

AirDropを使わないときは、なるべく「受信しない」に設定してください。少なくとも「連絡先のみ」にしておけば、見知らぬ人からの情報の受信を回避できます。
また、連絡先に登録していない人と情報をやり取りする際に「すべての人」に切り替えたら、送受信完了後に「受信しない」か「連絡先のみ」に戻しておきましょう。

さらに、AirDropを使う場合は、iPhoneやiPadなどに名前(デバイス名)を本名で登録するのは避けた方が賢明です。AirDropの受信条件を「すべての人」にした際、周囲のあらゆる人の送信先候補にあなたのデバイス名「●●(本名)のiPhone」と表示されてしまうためです。悪意を持った第三者に、性別や特徴、名前を悟られないようデバイス名は自身だけが判別できるような名称に変更しておきましょう。iPhoneホーム画面の「設定」から「一般」、「情報」へ進み、「名前」をタップすれば、デバイス名を変更できます。アイコンに写真を利用する場合も、個人が判明してしまうものは避けましょう。

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3543_l.jpg
削除までに800万回以上のダウンロード、Google Playで85個の不正アプリを確認 トレンドマイクロは9月3日、公式ブログで「フォトアプリやゲームアプリを装うアドウェアをGoogle Playで確認、800万回以上ダウンロード」と題する記事を公開しました。 2019-09-04T00:00:00+09:00
同社では8月8日に、アドウェア「AndroidOS_Hidenad.HRXH」を検出。Google Playにおいて、このアドウェアが埋め込まれた不正アプリ(フォトアプリやゲームアプリ等)を85個確認しました。また、これらのアプリは合計800万回以上のダウンロードを記録していました。 なお、これらのアプリはすでにGoogle Playストアから削除されています。

このアドウェアは、閉じるのが難しい広告を頻繁に表示するだけでなく、デバイス内の時刻情報(タイムスタンプ)を利用して検出回避を行う手法を採用していました。
不正アプリは、最初の立ち上げ時に、現在時刻とネットワークの2つのタイムスタンプを取得します。そして、ユーザがデバイスのロックを解除するたびにタイムスタンプ等を確認し、アプリがインストールされてから30分以上が経過したかどうかを判断します。30分以上経過したと判断すると、ホーム画面のアイコンを消し、代わりにショートカットを配置することでアンインストールを阻止します。
あわせて、この不正アプリは、ユーザがデバイスロックを解除したかどうかを確認し、解除が確認されたタイミングで、画面に広告を表示します。ユーザは、広告を閉じるために、広告を最後まで見る必要があります。 広告を表示する頻度は5分に設定されていますが、この頻度は作成者が遠隔から設定できるため、ユーザにとっての煩わしさが増大する可能性もあります。

今回の不正アプリはまず自身のアイコンを隠し、ホーム画面にショートカットを生成しますが、Android 8.0以降のバージョンのデバイスでは、アプリによるショートカットの作成を許可する前に、確認を求める機能が実装されています。そのため、異常な動作に気付きやすくはなっています。しかし、注意が必要なことは変わりないため、アプリのインストール前に、レビューをよく読み、不審な動作が見られないか確認することが大切でしょう。また、予めセキュリティアプリをインストールしておくことで、このような不正アプリをインストールしてしまうリスクを下げることが出来ます。



アドウェアが埋め込まれた不正アプリの例

アドウェアが埋め込まれた不正アプリの例


]]>
https://is702.jp/main/images/news/S190904.jpg