(IPA)およびJPCERTコーディネーションセンター(JPCERT/CC)も注意を呼びかけています。Dynamics」で、深刻度「緊急」の脆弱性への対応も含まれています。脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、リモートからの攻撃によって任意のコードを実行されたりする可能性があります。Update等を用いて、システムの更新を行ってください。2008については、1月14日にサポートが終了しており、今回のセキュリティ更新プログラムが最後の対応となります。7のデスクトップ画面では、注意を呼びかける表示も行われています。8.1/10等の他環境に移行するのが望ましいでしょう。パソコンの買い替えや、OSのバージョンを移行したユーザは、セキュリティソフトの確認も忘れないようにしましょう。不要になったパソコンの廃棄にも注意が必要です。思わぬトラブルに遭遇しないためにも対策を怠らないよう心がけてください。Webサイトを閲覧していると「Cookie(クッキー)」という言葉を見かけることがあります。Cookieの仕組みや役割を知り、それらを適切に管理する方法を押さえましょう。2020-01-16T00:00:00+09:00Cookieの仕組みと役割とは?Cookie(クッキー)を適切に管理し、プライバシーを確保しよう2020/01/16ツイートインターネット利用者であればCookie(クッキー)という言葉を一度は聞いたことがあるでしょう。Cookieがどんなものか知らない人は意外と多いかもしれません。今回はCookieの仕組みと役割、適切な管理方法などを紹介します。ユーザの快適なネット生活を支えるCookieCookieをめぐるプライバシー問題Cookieの適切な管理方法ユーザの快適なネット生活を支えるCookieパソコンやスマホでWebサイトを見ていると「Cookieの使用を許可しますか?」といったメッセージを目にすることがあります。Cookieは、Webサイト(Webサーバ)側がWebブラウザを通じてアクセスしてきたパソコンやスマホにユーザを識別するためのIDや閲覧履歴などの情報を書き込み、一時的に保存する仕組みです。それらの情報は次回以降に発行元のWebサイト(Webサーバ)を訪れた際、WebブラウザからWebサーバへ渡されます。して、Webサイト側は再びアクセスしてきたユーザを識別します。Cookieはどんなことに使われているのでしょうか。ショッピングサイトなどの会員サイトの利用シーンをイメージしてみてください。ショッピングサイトを再訪したとき、以前カートに入れた商品がそのまま残っていたり、おすすめの商品が表示されたりするのはCookieが機能しているためです。Webサイト側がCookieを参照し、ユーザに合わせて前回の続きとなるコンテンツを表示しているのです。Cookieをめぐるプライバシー問題CookieにはファーストパーティCookieとサードパーティCookieの2つの種類があります。これらはCookieの発行元によって分類されます。それぞれについて見ていきましょう。●ファーストパーティCookieファーストパーティCookieは、ユーザがアクセスしているWebサイトのドメイン(インターネット上の住所)から発行されるCookieです。ファーストパーティCookieはドメインをまたいだ使用ができず、主にそのWebサイト内に限定した閲覧履歴などの記録、ログイン状態の保持などに使用されます。そのため、Cookieの利用が許可されていない場合、Webサイトが正しく機能しない場合があります。●サードパーティCookieサードパーティCookieは、ユーザがアクセスしているWebサイトのドメイン以外から発行されるCookieです。Webサイト上に広告が表示されたり、ユーザが広告をクリックしたりしたとき、Webブラウザは訪問先のWebサーバとは別に広告配信サーバからもCookieを受け取ります。それらの多くはサードパーティCookieです。旅行予約サイトを閲覧後に全く別のWebサイトを訪れると、さっき見ていた旅行関連のバナー広告が表示された経験はありませんか。このようにサードパーティCookieは、複数のドメインをまたいでユーザの閲覧履歴情報を取得し、そのユーザが関心を持ちそうな広告を配信するために使用されています。CookieはWebサイトの閲覧を快適にしてくれる仕組みです。Cookieを利用すれば、よくアクセスしている会員サイトに毎回ログイン情報を入力しなくても済みますし、自分が欲しい情報も見つかりやすくなります。信用できるWebサイトのCookieを受け入れ、閲覧履歴などの情報を提供すれば、事業者にも自分にもメリットがあるケースは多いのです。一方で、プライバシーの観点からCookieはネガティブにとらえられることもあります。Cookieの使い方によっては、ユーザの意図しない第三者による利用、ユーザの不利益、プライバシーの侵害にあたるという指摘もあるのです。2019年の国内事例では、就職情報サイトを利用していた学生の内定辞退率をCookieをもとに独自分析し、その結果となる情報を採用検討企業に販売していたことが問題となりました。欧州連合(EU)では「一般データ保護規則(GDPR)」が施行され、Cookieを含めた個人情報を収集する事業者はユーザにその意図を伝え、その上でユーザの同意を得ることが義務付けられました。その影響の及ぶ範囲は、EU域内のユーザの個人情報(Cookieを含む)を収集する全世界のすべての事業者です。Webサイト閲覧時に「Cookieの使用を許可しますか?」などと同意を求めるメッセージを目にする機会が増えたのはそのためです。Cookieの利用について同意を求められた場合、その内容を確認してWebサイトの利用を続けるかどうかを判断しましょう。主要なWebブラウザにはCookieの設定項目があり、ユーザはCookieの扱いをある程度コントロールできます。Cookieの削除と、サードパーティCookieを制限する方法を覚えておきましょう。(※Cookieを削除すると、SNSやショッピングサイトなどの会員サイトからログアウトされるため注意してください。)※以下の各手順や表示される文言はWebブラウザのバージョンによって異なる場合があります。詳しくは各製品のサポートページを参照してください。Chromeを開いて右上のメニューボタン(縦に3つの点)をクリックし、「設定」に進みます。2.設定画面の最下端にスクロールして「詳細設定」を押し、「プライバシーとセキュリティ」枠の「閲覧履歴データの削除」に進みます。期間を選択し、「Cookieと他のサイトデータ」にチェックを入れたら「データを削除」をクリックしましょう。行うhttps://support.google.com/chrome/answer/95647?hl=ja&ref_topic=3421433Safariの場合(Mac)1.Safariを開いたら上部の「Safari」から「環境設定」に進み、「プライバシー」タブをクリックします。2.「CookieとWebサイトのデータ」の項目から「Webサイトデータを管理」を押します。3.1つ以上のWebサイトを選択してから「削除」、または「すべてを削除」をクリックします。Chromeを開いて右上のメニューボタン(縦に3つの点)をタップし、「設定」を選びます。2.「プライバシー」へ進み、「閲覧履歴データを消去する」をタップします。期間を選択し、「Cookieとサイトデータ」にチェックを入れたら「データを削除」をタップします。行うhttps://support.google.com/chrome/answer/95647?hl=ja&ref_topic=3421433&co=GENIE.Platform%3DAndroid&oco=1Safariの場合(iPhone)1.ホーム画面で「設定」を選択し、下にスクロールして「Safari」をタップします。2.Safariのメニューを下にスクロールして「履歴とWebサイトデータを消去」を選択します。3.「履歴とデータを消去」をタップします。touchでSafariから閲覧履歴とCookieを消去するhttps://support.apple.com/ja-jp/HT201265各WebブラウザではCookieを無効にすることもできますが、それは現実的ではありません。ショッピングサイトやネットバンキングはCookieを有効にしていないと利用できないケースもあるためです。関連広告の表示を希望しない場合は、サードパーティCookieを無効にしておきましょう。Chromeを開いて右上のメニューボタン(縦に3つの点)を押し、「設定」に進みます。2.設定画面の最下端にスクロールして「詳細設定」を押し、「プライバシーとセキュリティ」枠の「サイトの設定」に進みます。サイトデータをブロックする」を有効にします。行うhttps://support.google.com/chrome/answer/95647?hl=ja&ref_topic=3421433Safariの場合:(Mac)1.Safariを開いたら上部の「Safari」から「環境設定」に進み、「プライバシー」タブをクリックします。2.「サイト越えトラッキングを防ぐ」を選択します。Chromeを開いて右上のメニューボタン(縦に3つの点)をタップし、「設定」を選びます。2.「サイトの設定」へ進み、「Cookie」をタップします。3.「サードパーティのCookieをブロックする」にチェックを入れます。Safariの場合(iPhone)1.ホーム画面で「設定」を選択し、下にスクロールして「Safari」をタップします。2.Safariのメニューを下にスクロールして「サイト越えトラッキングを防ぐ」をオンにします。Cookieはいつでも消去でき、パソコンやスマホに保存しておくかどうかを自分で選択できます。Cookieを適切に管理し、プライバシーと使い勝手とのバランスを取りましょう。トレンドマイクロは1月14日、公式ブログで「インターポールとの連携によりクリプトジャッキングの被害ルータを78%減少」と題する記事を公開しました。コインマイナーを使用した不正な仮想通貨マイニング活動「クリプトジャッキング」が、近年増加しています。サイバー犯罪者は、効率的に不正マイニングを行える企業システムを標的にする一方で、比較的セキュリティ対策が手薄な家庭用ルータ等を主な標的としています。2020-01-15T00:00:00+09:00コインマイナーを使用した不正な仮想通貨マイニング*活動「クリプトジャッキング」が、近年増加しています。サイバー犯罪者は、効率的に不正マイニングを行える企業システムを標的にする一方で、比較的セキュリティ対策が手薄な家庭用ルータ等を主な標的としています。コインマイナーに感染すると、不正マイニングを行うボットネット(遠隔操作により機器が不正操作され攻撃を行うネットワークの一部に組み込まれてしまう)の一部となり、サイバー犯罪者が仮想通貨を得るために利用されてしまいます。*:マイニング(仮想通貨発掘)とは、コンピュータの処理能力を使って仮想通貨を得る仕組みのことで、これ自体は不正なものではありません。この手口が増加し続けている理由の1つとしては、ユーザが感染被害に気づきにくい点が挙げられます。コインマイナーは、ユーザのシステムに感染した後、ユーザに気づかれないまま24時間365日休みなく、仮想通貨のマイニングを実行し続けます。不正マイニング活動は、情報漏えいなどの直接的な被害はありませんが、家庭内ネットワークの速度が低下したり、割高な電気代が発生したり、パソコンの寿命が短くなるなどの可能性があります。それだけに留まらず、この感染が引き金となって他のマルウェア(悪意を持ったソフトウェアの総称)に感染させられるなどのリスクが高まるため、放置することは大変危険です。Alpha作戦)を支援。東南アジア地域10か国から構成されたセキュリティチームおよび法執行機関の専門家が協働し、感染ルータの特定、被害者への通知、ガイダンス文書による脆弱性適用やサイバー犯罪者排除等に取り組みました。Innovation)との連携により、2万を超える感染ルータの特定に成功。2019年11月までに、感染ルータ数を78%も減らしたとのことです。自身が被害に遭遇したり、第三者に機器が悪用されたりしないためにも、ネットワークにつながる機器の適切な設定とセキュリティ対策は欠かせません。家庭内のネットワークが危険にさらされていないか、診断をすることから対策をはじめてみると良いでしょう。Network」を無料で提供しています。ホームネットワークにつながっている家電や機器を表示し、それぞれのセキュリティの問題点と解決策を提示してくれます。Networkのページが開きます。トレンドマイクロは1月10日、公式ブログで「2019年『法人』と『個人』のサイバー脅威動向:サイバー犯罪が覆す『安全』の常識」と題する記事を公開しました。2019年1年間(1月~11月)に国内で発生したサイバー脅威を分析した内容です。2019年は“これまでのセキュリティの常識や利用者の思い込みを覆すサイバー犯罪”が顕著な1年間でした。狙う詐欺手口の急増」「SMSを利用する攻撃が拡大」「人気サービスに便乗するなりすましの横行」の3つがあげられます。狙うフィッシング詐欺」でした。この攻撃により、二要素認証(2段階認証と呼ばれる場合もある)は、それだけでは必ずしも安全ではないということが明らかとなりました。実際、トレンドマイクロや警察庁の監視によると、フィッシングサイトの数や不正送金被害が2019年9月以降に増加しています。ネットバンキング以外に、携帯電話事業者のWebサービスやソーシャルメディアサービスへの攻撃も登場しています。フィッシングサイトを含む不正サイトへ利用者を誘導する手段としては、人気サービスや有名企業になりすました電子メールがこれまで使われてきましたが、これに加え、「SMS(ショートメッセージサービス)」の悪用が2019年は活発化しました。トレンドマイクロの統計によれば、国内で不正サイトへ誘導されるモバイル利用者数が増加傾向にあり、SMS経由の誘導が大きく影響しているものと考えられます。狙うWebサービスやECサイトへの攻撃」等に注目が集まりました。そのなかで特に「利用者情報を狙うECサイトへの攻撃」において、常識を覆す攻撃が見られました。2018年に改正割賦販売法が施行され、クレジットカード情報をECサイトに保持することができなくなりました。ECサイトにおいてカード情報を保持しない場合、「JavaScript(トークン)型」と「リダイレクト(リンク)型」の2種類の方法がありますが、サイバー犯罪者はECサイトを攻撃・改ざんすることで情報の詐取を可能としました。2019年の日本では「リダイレクト(リンク)型」のECサイトでの被害が顕著でした。「カード情報を保持していないから安全」というこれまでの常識が覆されたことで、日本サイバー犯罪対策センター(JC3)や経済産業省が相次いて注意喚起を出す事態になっています。一般利用者の目線で考えても、「正規サイトだから安全」という認識を覆す攻撃だと言えます。近年のサイバー犯罪は人の思い込みや心理を悪用した手法が多くなっているため、最新の手口を知っておくことも対策となります。日頃から騙されないことを意識するとともに、利用しているパソコンやスマホには必ずセキュリティ対策製品を導入し、サイバー脅威によるリスクを下げましょう。法人においては、自組織のシステムに脆弱性や設定ミスがないかを定期的に確認してください。ECサイトでは、早期に不審に気づける体制作りも重要でしょう。Facebookは1月9日、プライバシーに関する設定の確認ツールを刷新し、すべての国・地域で新しい「プライバシー設定の確認」ツールの提供がスタートしました。2020-01-14T00:00:00+09:00「プライバシー設定の確認」ツールは2014年から提供しているもので、プライバシーに関する重要設定の確認方法を、段階的に案内するものです。新しいツールでは、「コンテンツのプライバシー設定」「アカウントの安全の確保」「Facebookでのあなたの検索」「Facebookのデータ設定」の4つのトピックについて、自分の情報が管理しやすいようにアドバイスをしてくれます。・コンテンツのプライバシー設定:自分のプロフィール情報(電話番号やメールアドレスなど)や自分の投稿が、誰に表示されるかを確認できます。・アカウントの安全の確保:より強固なパスワードの設定やログイン通知の有効化の方法を紹介します。・Facebookでのあなたの検索:Facebookで自分がどのような方法で検索されるか、誰が自分に友達リクエストを送信できるかを確認できます。・Facebookのデータ設定:「Facebookログイン」を使用して情報共有しているアプリを確認できます。他人に見せたい情報は人それぞれですので、ツールを利用して、自分に合ったプライバシー設定を行うのが望ましいでしょう。「プライバシー設定の確認」を使うには、Facebookのメニューから「設定とプライバシー」をクリックし、プライバシーセンターに進み、プライバシー設定の「重要なプライバシー設定を確認」からそれぞれの項目を確認することが出来ます。確認方法はバージョンによって異なる場合がありますので、詳しくは公式サイトを参照してください。Facebookに限らず、SNS利用者は公開範囲やプライバシー設定が自分の用途と合っているか定期的に確認するとよいでしょう。セキュリティアプリによっては、Facebookなどの一部SNSの設定について安全性を判定し、設定変更を補助してくれる機能を備えているものもあります。設定に不安がある場合は、このようなツールを活用するのも一案です。ID」について、利用を停止すると発表しました。IDの利用停止措置を実施するとのことです。JAPANの各種サービスに書き込んだ内容も残りますが、ログインができなくなります。そのため、継続してIDを利用したい場合は、1月中に再度ログインする必要があります。ネットサービスのアカウントを長期間利用していないと、不正アクセスを受けても気づかないケースがあります。今回の措置は、こうした被害を防ぐのが狙いとのことです。4年以内に利用していても、不正アクセスの可能性が検知された場合は、利用停止する場合もあるとしています。ネット利用者は、今回に限らず利用しているネットサービスの設定やID連携しているサービスを定期的に確認し、利用していないサービスがあれば退会手続きを行うなど、適切に管理する習慣を身につけましょう。サービス毎に違うパスワードを設定するのはもちろんのこと、安全性を高める認証手段が提供されている場合は、予め設定しておくことで不正利用のリスクを下げることが出来ます。サービス毎のIDやパスワード管理が煩雑になっている場合は、パスワード管理ツールを利用すると便利です。管理ツールを利用する際は、信頼できるサービスを選定し、必ず提供元の公式Webサイトもしくは公式アプリストアからインストールしてください。2020-01-09T00:00:00+09:00ひろしとアカリのセキュリティ事情SNSに投稿したQRコードを読み取られる?2020/01/09ツイート4コマ漫画一覧2次元コードから個人情報が漏れるかも私たちの身の回りには、QRコードなどの2次元コードがあふれています。QRコードには英数文字や漢字などの文字、それらを組み合わせたURLやメールアドレス、コンピュータが処理するためのデータなど、多くの情報を埋め込むことができます。QRコードは情報を読み取るために特殊な機器を必要とせず、対応するアプリの入ったスマホのカメラをかざすだけで特定のWebサイトにアクセスしたり、決済したり、SNSの友だちに追加したりすることができます。文字情報に加え、QRコードやPDF417と呼ばれる2次元コードが印字されています。「これから旅行」などのコメントとともに搭乗券の画像をSNSに投稿する利用者は、多くの場合、個人情報をさらしてしまうことを気にして文字にはぼかしをかけていますが、2次元コードへの配慮を忘れている投稿も見かけます。そんな投稿が悪意のある第三者の目にとまってしまうと、2次元コード内の情報を読み取られ、悪用されるかもしれません。マイレージ会員番号などです。セキュリティ対策がとられていない場合、スマホの一般的なカメラアプリでQRコード内の情報を読み取ることが可能です。*セキュリティ対策として専用機器でのみ特定情報の読み取りを可能としている2次元コードもあります。飛行機の搭乗券に限らず、お薬手帳や郵便物、チケットなど、2次元コードやバーコードなどを含む画像を何らかの理由でSNSに投稿する際はくれぐれも注意してください。想定外の情報をネット上にさらしてしまう可能性があります。アプリ用のお薬手帳に印字されているQRコードには処方箋の情報が埋め込まれています。QRコードはバーコードと異なり、一部が隠れていたり汚損したりしていても読み取れるように設計されています。SNSに写真や動画を投稿する場合は、文字だけではなく2次元コードやバーコード全体をマスキングすることを忘れないでください。セキュリティ監査協会(JASA)は1月6日、「情報セキュリティ監査人が選ぶ2020年の情報セキュリティ十大トレンド」を発表しました。2020-01-07T00:00:00+09:00同協会では、情報セキュリティ監査人約1,800人を対象としたアンケート調査を実施。有効回答数302件をもとに、2020年およびそれ以降のセキュリティ脅威の潮流を予測しています。その結果、2020年の十大トレンドとして、下記の10項目が選定されました。※()は前年のランク。第1位には、前年の圏外から「自然災害によるIT被害の拡大」が新たにランクインしました。2019年は、過去最大級と言われた台風19号をはじめ、大型台風が連続して上陸し、さまざまな被害が発生しました。した自然災害は、ITにも影響を与えます。インターネット回線がつながりにくくなるといった軽微なものから、浸水や倒潰による物理的な被害、さらにはITインフラ施設が損傷するといった重大なものまで、幅広いパターンが有り得ます。今後、同じような規模あるいはそれ以上の自然災害が発生しないとも限りません。個人も企業も、こうした災害が発生しても、できるだけ対応可能な準備をしておくのが望ましいでしょう。重要なデータは分散してバックアップする、複数の回線を用意しておく、居住地の災害リスクを事前に把握しておくといったことが考えられます。続く第2位には、今年秋より実施予定の「クラウド・バイ・デフォルト時代の新しい安全性評価制度の開始」が入り、前年の10位から大きくランクを上げています。続く第3位も「クラウドサービスの障害による大規模なビジネス影響」、さらに第9位にも「クラウドサービスの管理・設定ミスによる情報漏洩」が新たにランクインしており、クラウドサービス関連の状況に対し、懸念が増大していることが伺えます。各トレンドの詳細な内容、監査のポイントについては、日本セキュリティ監査協会のWebサイトよりPDFファイルがダウンロード・閲覧可能です。今回、10項目中7項目が新しい項目となっていることもセキュリティ環境の急激な変化が感じられます。セキュリティ脅威に対して、ユーザは引続き最新情報に気を配りましょう。日常生活に欠かせない存在といっても過言ではないスマホですが、常に携帯しているがゆえに紛失や盗難のリスクがつきものです。万一スマホを落としてしまったら、不便なだけでなく、端末やアプリを悪用され、個人情報漏えいや金銭被害などさまざまなトラブルに遭う可能性があります。2020-01-06T00:00:00+09:00新年会などが続くこの時期、スマホを落とさないよう特に注意が必要ですが、万一に備え被害を最小限にするための対策も欠かせません。多方に影響が及ぶ可能性があるからです。盗難・紛失には、スマホ本体の機能と、セキュリティアプリによる対策が有効です。行うことが可能となります。第三者にスマホを悪用されないためにも予め設定をしておきましょう。組織から貸与されているスマホの場合は、機能の制限や他の設定が有効化されている場合があります。組織内のルールを確認し、順守してください。探す」から設定の確認を行います。参考:盗難・紛失デバイスを探す・Android設定画面からGoogle設定内の「セキュリティ」を選択し、「デバイスを探す」から設定の確認を行います。デバイスの位置の特定、ロック、データ消去を行う■セキュリティアプリご利用アプリによって機能や設定方法が異なります。どのような機能が利用できるのか改めて確認しておきましょう。ウイルスバスターモバイルでは盗難・紛失対策としてこのような機能が利用出来ます。盗難/紛失時の対策についていざというときに慌てないためには、平常時に端末を「探す」機能を試してみると良いでしょう。探索時に必要なアカウントや、表示される位置情報にどの程度ずれが生じるかなどの確認にも役立ちます。組織から貸与されているスマホの場合は、紛失・盗難時の届け出先も確認しておきましょう。万一スマホを落としてしまったとしても、事前対策によって被害を最小限に留めることが重要です。フィッシング対策協議会は12月26日、さまざまな金融機関(銀行)を騙るフィッシングサイトが稼働しているとして、あらためて注意を呼びかけました。2019-12-27T00:00:00+09:00年末年始の慌ただしさや気のゆるみに付け込み、フィッシングサイトへ誘導しようとするさまざまな偽のメッセージが届くことが予想されます。現時点でも金融機関(銀行)を直接かたるもの、さまざまなサービスをかたり偽サイトに誘導しようとするものなど、複数のパターンが確認されています。今回報告されたフィッシングサイトは、Amazonや楽天、あるいはドコモのサービスに見せかけて、偽の金融機関選択画面に誘導する手口でした。各サービスや金融機関の本人認証が必要などと称して、フィッシングサイトに誘導するものであろうと推測されています。偽のログインページから金融機関を選択させ、そこから移動した先に金融機関のWebサイトが個別に用意されています。巧妙に偽装していますが、これらはすべて偽のWebサイトで、情報や金銭の詐取を目的としています。12月26日11時時点でもフィッシングサイトは稼働中であるため、フィッシング対策協議会は、JPCERT/CCにサイト閉鎖のための調査を依頼しています。さまざまな金融機関に見せかけたフィッシングサイトの稼働が確認されているとのことです。現在確認されている金融機関以外も含め、メールやSMSなどを受け取った場合、送られてきたWebリンクからではなく、ブックマーク済みの公式Webサイトや公式アプリから確認を行うようにしてください。偽のWebサイトは「docomv.●●」「rakueny.●●」「amnazn.●●」「docoimo.●●」「yahonz.●●」といった正規サービスを想起させる紛らわしいドメイン名を使用している模様です。送られてきたWebリンクを安易にクリックせず、必ず真偽を確認してください。ネット利用者は、メールのフィルタリング機能やSMSのフィルタ機能を利用し、不正なメッセージの受信を制限すると共に、セキュリティソフトやアプリを最新の状態で利用し、フィッシングサイトにアクセスしてしまうリスクを下げましょう。(IPA)は12月24日、「プライベート動画・写真を入手したので、それを友人・知人にばらまく」と脅して金銭を要求する“セクストーション”(性的脅迫)に、新しい手口が確認されたとして、注意を呼びかけました。Store)以外から不正アプリをインストールするよう誘導」、さらに「正規のSNSアプリのメッセージ機能を使って脅す」といったものが知られていました。Store)以外から不正アプリをインストールさせる」手口が、12月に入り確認されたことで、IPAは「安心相談窓口だより」にて、注意を呼びかけています。Store以外からもアプリのインストールが可能になります。Program」を悪用した手法では“脱獄”が不要なため、利用者の危険性が高まったと考えられます。Program」は本来、企業や組織で社内用アプリを配信するための正規の仕組みです。報告されている新しい手口では、LINEで見知らぬ女性から突然コンタクトがあり、ビデオ通話をするようもちかけられます。この女性と親しくなると、ビデオ通話等でお互いの性的な姿を見せ合うことを誘われます。この女性は犯罪グループの一員で、やりとりを録画されてしまいます。Store以外に誘導します。して不正アプリをインストールさせ、スマホ内の連絡先情報を窃取します。その後違う人物から、「ビデオ通話の動画を、スマホの連絡先に登録している知人等にばらまかれたくなかったら、20万円支払え」と恐喝されることとなります。金銭を支払っても恐喝され続けるケースや、金銭の支払い如何にかかわらず動画をばらまかれるケースも確認されているとのことです。セクストーションの被害に遭った場合は、スマホを機内モードにするなどして通信を遮断し、すぐ警察に相談してください。このような被害に遭わない為にも、SNSでは正体や目的を偽った何者かがコンタクトをとってくる可能性があることを改めて認識しておき、悪用されたら困るような動画や写真を撮影しないようにしましょう。SNSを介したトラブルは成人だけの問題ではありません。子どもが利用するスマホは、ペアレンタルコントロール機能などを活用して安全性を高めておきましょう。一般財団法人日本サイバー犯罪対策センター(JC3)は12月20日、不正アプリを使ってフィッシングサイトへ誘導する手口について、改めて注意を呼びかけました。2019-12-24T00:00:00+09:00JC3では、2019年5月に「運送系企業を装ったフィッシング」について注意を呼びかけていましたが、今回銀行を騙ったフィッシングサイトに誘導する新たな手口が確認されました。新たに確認された手口は、不正アプリがインストールされたAndroidスマホに銀行のアプリも入っていた場合、銀行をかたった偽のポップアップ通知が表示されます。ここで確認ボタンを押してしまうと、正規サイトではなく、銀行をかたったフィッシングサイトに誘導されてしまいます。これまでは、メールやSMS(ショートメッセージサービス)に記載したURLから、ユーザを不正サイトに誘導するものが主流でした。それに対し、今回確認された手法は巧妙に偽装したポップアップ表示であるため、利用者が信じてしまう可能性が高まります。この手口を使って銀行以外のフィッシングサイトへ誘導することもできるため、今後異なる文面の表示が行われる可能性もあります。この攻撃に利用される不正アプリ自体は、主に偽装SMSから誘導した不正なWebサイトからインストールをさせようとします。SMSに記載されたリンクは安易にアクセスしないよう注意しましょう。不審なポップアップが表示された場合、すでに不正アプリをインストールしてしまっている可能性があります。した場合は、スマートフォンを「機内モード」に設定して、まず通信を遮断します。そのうえで、不審なアプリをアンインストールしてください。)のWebサイトで紹介されています。年末年始などの宅配便が増加する時期は、不在通知を装った偽装SMSやメールに対して普段以上に注意を払ってください。スマホ利用者は、普段からアプリをインストールする際は公式アプリストア以外の利用は避け、アプリが求める権限に、不審な点がないかに注意することも心掛けてください。偽サイトに誘導されたり、不正アプリをインストールしてしまったりしないよう、パソコン同様にスマホでもセキュリティ製品を利用しましょう。トレンドマイクロは12月20日、公式ブログで「ECサイトを狙うサイバー犯罪集団『Magecart』、米国のブラックフライデー商戦に便乗」と題する記事を公開しました。サイバー犯罪集団「Magecart」の新たな攻撃が確認されました。2019-12-23T00:00:00+09:00米国では11月下旬の感謝祭から年末商戦がスタートします。感謝祭翌日の「ブラックフライデー」は、徐々に日本でも認知されています。今回、このブラックフライデー商戦に便乗した攻撃が確認されたとのことです。「Magecart」は、複数のサイバー犯罪者グループの総称です。2018年頃より注目を集め、2019年9月~10月頃にかけて、オンラインショップやホテルチェーンの顧客を狙ってオンライン上で決済情報を窃取するスキミング活動が確認されていました。Magecartは、ECサイトを改ざんし、サイト上で入力されたクレジットカード情報を詐取する攻撃を行います。具体的には、ECサイト構築用プラットフォームの持つ脆弱性やECサイトをホストするクラウドサービスの設定ミスが利用された事例がこれまでにわかっています。今回の事例では、11月27日に米国最大手の銃器メーカーの公式Webサイトでスキマー(スキミングを行う不正ツール)が組み込まれていたことが報告されています。この日はブラックフライデーの2日前であり、当該サイトへの大量のトラフィックを見込んでいたものと推測されます。本記事執筆時点ですでにスキマーは当該サイトから削除されています。Magecartは海外の事例ですが、国内でもECサイトの改ざんから利用者のカード情報を詐取する攻撃による被害が確認されています。ECサイトの利用者側では、このようなWeb上でのスキミング攻撃に気づくことは困難です。ECサイトを運営する事業者は、自社の顧客を被害者にしないためにも対策を徹底してください。定期的に脆弱性や設定ミスがないか確認するとともに、ECサイトで使用するソフトウェアを常に最新版に更新し、修正パッチを適用することでサイバー犯罪者につけ入る隙を与えないようにしましょう。運用上の都合などで直ちに更新やパッチ適用が行えない場合にも、影響を最小限に抑えるための回避策を行うことが必要となります。ECサイト運営事業者は改めて運用体制や手順に漏れが無いか確認することをお勧めします。(IPA)は12月19日、「年末年始における情報セキュリティに関する注意喚起」と題する情報を公開し、改めて注意を呼びかけました。2019-12-20T00:00:00+09:00もうすぐ、年末を迎えますが、長期休暇の時期は、サイバー攻撃が増加する傾向があります。「システム管理者が不在になる」「友人や家族と旅行に出かける」等、日ごろとは異なる環境のため、ウイルス感染や不正アクセス等の被害が発生しても対処が遅れることが考えられます。今年は、マルウェア(悪意を持ったソフトウェアの総称)「EMOTET(エモテット)」への感染を狙う攻撃メールが拡散しています。長期休暇明けはメールが大量に溜まってしまい、確認が不十分なまま開封しがちです。この攻撃メールは知人や取引先になりすまして送信してくる場合もあるため、見極めが非常に困難です。違和感があったら、メールの添付ファイルを開いたり、本文中のURLにアクセスしたりしないよう、年明けは普段以上に慎重なチェックを心掛けましょう。今年は、元号が平成から令和に変わりました。元号関連での不備や異常がないか、年内に確認しておくとよいでしょう。長期休暇における基本的な対策として、法人では対応体制や関係者への連絡方法を事前調整するといった「休暇前の備え」、不審なアクセスや侵入の痕跡がないかチェックするといった「休暇後の確認」が重要です。個人の行動においても、SNSへの投稿やスマートフォンの利用、長期間使っていなかったパソコンの利用など、いつも以上にネット上の脅威に注意してください。7サポート終了が迫っています。利用中のパソコンのOSやセキュリティソフトが最新になっているかどうか改めて確認しておきましょう。2019年はフィッシング詐欺やスマホ決済サービスをめぐる犯罪が目につきました。不正なメールを起点とするサイバー攻撃も企業や組織に深刻な被害を及ぼしています。ネットを安全に利用するために、私たちがいま知っておくべきメールの脅威と対策ポイントを紹介します。2019-12-19T00:00:00+09:00さらに巧妙化したフィッシング詐欺も出現2019年に流行したメールやSMSからの脅威と対策をおさらい2019/12/19ツイート2019年も引き続きフィッシング詐欺や、スマホ決済サービスの不正利用など、サイバー犯罪による金銭被害が多数報道されました。企業や組織では従業員に送りつけられるメールを起点とした被害が深刻化しています。いま私たちが知っておきたいメールやSMSからの脅威と対策を解説します。国内ネットバンキングを狙うフィッシング詐欺が流行2018年を通して高止まり傾向であったフィッシング詐欺は、2019年も引き続き多くのネット利用者を脅かしています。これは、サイバー犯罪者が実在する金融機関や各種インターネットサービスなどをかたって偽サイト(フィッシングサイト)へネット利用者を誘導し、そこで入力させた個人情報やクレジットカード情報、アカウント情報(IDとパスワード)などを盗み出す手口です。トレンドマイクロの調査では、2019年1月から9月までに、フィッシングサイトへ誘導された国内のネット利用者が約297万人に上りました。中でも2019年9月から活発化しているのが、国内ネットバンキングの二要素認証を突破しようとする手口です。二要素認証とは?参考:インターネットサービス利用者なら知っておきたい認証方法とアカウントを保護するための6つの自衛策これまでに確認されたのは、実在する金融機関を装って「不正ログインされた可能性があります」「口座再開の手続きを行ってください」などと通知するメールやSMSを不特定多数に送りつけ、ユーザをフィッシングサイトへ誘導するものなどです。サイバー犯罪者はそこで入力されたアカウント情報を使って正規のネットバンキングに不正アクセスし、利用者に偽サイトでの処理の完了を待たせている間、口座への送金といった追加の認証が必要となる手続きを行います。その後、本人確認のためなどと称してユーザから認証コードもだまし取ることで二要素認証を突破し、不正行為を働いていると推測されます。警察庁の発表によると、2019年9月からフィッシング詐欺によるものと見られる不正送金被害が急増しています。2019年上半期(1月~6月)の被害件数は183件、被害額は約1億6,600万円にとどまったものの、同年9月だけで被害件数は436件、被害額は約4億2,600万円に膨れ上がりました。偽装対象は都市銀行だけではありません。地方銀行などにも拡散する可能性があるため、ネットバンキングの利用者は注意してください。<対策>1.セキュリティ関連団体などが発表する注意喚起情報を確認し、フィッシング詐欺の手口を知る2.メールやSMSなどで誘導されるURLを不用意に開かない3.ログインや情報の入力は、送られてきたURLからではなく、正規サイトもしくは正規アプリから行う4.OSやセキュリティソフト、セキュリティアプリを最新の状態に保って利用するスマホ決済サービスの不正利用被害が相次ぐキャリア決済やQRコード決済などのスマホ決済サービスをめぐる犯罪も世間を騒がせました。実際に、悪意のある第三者にスマホ決済サービスのアカウントを不正利用され、店舗やショッピングサイトで勝手に買い物をされるなどの被害が発生しています。その原因の1つは、フィッシング詐欺などによってユーザが自らスマホ決済サービスのアカウント情報を漏らしてしまったことにあります。実際に、携帯電話事業者を装うSMSやメールで「キャリア決済が不正利用された可能性がある」「通話料が高額になっている」などと通知し、受信者にURLリンクを開かせることで偽のログイン画面へ誘導する手口が確認されました。ユーザが複数のサービスに同一のIDとパスワードの組み合わせを使い回していることも一因です。サイバー犯罪者はフィッシング詐欺やサービス事業者への攻撃などによって不正に入手したアカウント情報をリスト化し、それらを用いて各種サービスへのログインを試みます。そのため、使い回しているIDとパスワードがサイバー犯罪者の手に渡ってしまうと、アカウントを芋づる式に乗っ取られるリスクを高めてしまうのです。アカウントの不正利用を防ぐための自衛策を講じましょう。<対策>1.メールやSMSなどで誘導されるURLを不用意に開かない2.サービスごとに異なるIDとパスワードの組み合わせを使用する3.ログインや情報の入力は、送られてきたURLからではなく、正規サイトもしくは正規アプリから行う4.二要素認証や多要素認証を採用しているサービスを選択し、認証を有効にしておくより詳しい対策についてはこちらの記事をご覧ください。参考:スマホ決済サービスの不正利用はなにが原因?スマホ決済を安全に利用するために確認したい7つのポイント企業や組織のランサムウェア被害も継続ランサムウェア(身代金要求型ウイルス)を利用した攻撃は依然として企業や組織に深刻な被害を及ぼしています。ランサムウェアは、パソコンやスマホをロックして操作不能にしたり、端末内の文書、画像、動画を暗号化して開けなくしたりして、復旧と引き替えに金銭を要求するマルウェア(悪意のあるソフトウェアの総称)です。企業や組織を狙う攻撃の発端は主にメールです。実在する企業を装って「Invoice(請求書)」「Payment(支払)」を件名とするメールを従業員に送りつけ、不正な添付ファイルを開かせることでネット上からマルウェアをインストールさせ、ランサムウェアなどに感染させる手口が確認されました。OSやソフトの脆弱性(セキュリティ上の欠陥)を突くことで端末にランサムウェアを送り込む手口もあります。そのため、脆弱性を残したままの端末では、サイバー犯罪者によって設置された脆弱性攻撃サイトを訪れただけでランサムウェアに感染してしまうリスクがあるのです。7は2020年1月14日にすべてのサポートが終了し、以降OSの脆弱性を修正する更新プログラムが配布されなくなります。OSのサポートが切れる前に、勤務先のルールに従って最新バージョンへ移行しましょう。<対策>1.重要なデータはこまめにバックアップする2.メールのURLリンクや添付ファイルを不用意に開かない3.勤務先のルールに従ってOSやソフトを適切に更新する4.セキュリティソフトを最新の状態で利用する5.勤務先の端末で不審なメールを受信したり、異変を感じたりしたらヘルプデスクなどに連絡するランサムウェアの標的は企業や組織だけではありません。その脅威は、オンラインゲームを楽しむ個人にも及んでいます。「ゲームを有利に進めるためのチートツールが手に入る」などと人気オンラインゲーム「フォートナイト(Fortnite)」のプレイヤーをそそのかし、チートツールに見せかけたランサムウェアをインストールさせる手口が報告されています。チートツールを装ってマルウェアをインストールさせる手口は過去にも確認されており、少しでもゲームを有利に進めたいと思うプレイヤーが餌食になっています。Compromise)の被害はかつてないほどの規模に膨らんでいます。BECは、経営幹部や取引先などを装ったメールを従業員に送りつけ、サイバー犯罪者が管理する口座に送金させたり、特定の情報をだまし取ったりする手口です。米国連邦捜査局(FBI)による2019年9月の発表では、2016年6月から2019年7月における全世界でのBECの累計被害件数は16万6,349件、累積被害額は262億177万5,589米ドルに達しました。BECもランサムウェアと同様、従業員に送りつけられるメールが攻撃の主な起点になっています。サイバー犯罪者は、業務メールの盗み見などにより従業員を欺くための情報を事前に収集し、もっともらしい内容の偽メールを送りつけてくるため、予備知識のない従業員は何の疑いもなくだまされてしまう恐れがあります。BECはあらゆる規模、地域、業種の企業や組織をターゲットにしています。従業員一人ひとりが当事者意識を持ってBEC対策を実践しましょう。返信メールに偽装した不正ファイル付きメールが拡散2019年11月下旬から、EMOTET(エモテット)と呼ばれるマルウェアをインストールさせる不正な添付ファイル付きのスパムメールが世間を騒がせています。当初は海外の利用者を主な標的としていましたが、2019年4月に初めて日本語の件名が付けられた攻撃メールが確認されてから日本国内にも本格的に流入しています。請求書」「ドキュメント」「助けて」などを件名として不特定多数に攻撃メールを送りつけるばらまき型の手口と、すでに感染してしまった利用者のメールを使って返信メールを装う手口の2種類です。後者では実際にメールをやり取りしている相手からの返信に見えるため、本物のメールと思い込んで添付ファイルを開いてしまいます。EMOTETはWord文書ファイルなどのマクロ機能を悪用します。万一感染してしまうと、パソコン内の情報を盗み取られたり、ランサムウェアに感染したりする可能性があります。自身のメールアカウントを悪用され、過去にメールをやり取りしたことのある相手に不正メールを送られ、感染の拡大に加担してしまうこともあるため注意してください。トレンドマイクロは12月18日、公式ブログで「標的型攻撃キャンペーンでの使用が推測される偽装スパイアプリ『CallerSpy』を確認」と題する記事を公開しました。App」という名称のチャットアプリに偽装した、新たな不正アプリが確認されたとのことです。2019-12-18T00:00:00+09:00トレンドマイクロでは2019年5月に、不正サイト上で「Chatrious」という名称の偽装アプリを確認しました。App」という名称で偽装アプリを公開しました。この不正サイトはGoogle関連のサイトに偽装しており、サイト下部に偽の著作権表示まで掲載されていました。発見された2つのアプリはチャットアプリに見せかけていましたが、チャット機能は一切ありませんでした。一方で個人情報窃取の機能を備えており、標的型攻撃に使用される目的で作成されたと同社では推測しています。結果、これらのアプリは情報窃取などの諜報活動を行うスパイウェアのファミリーと断定され、「CallerSpy」として検出されるとのことです。CallerSpyが起動すると、攻撃を指示するコマンド&コントロール(C&C)サーバと接続し、複数のバックグラウンドジョブのスケジュールを設定します。それらにより通話履歴、SMS、連絡先、ファイル等が窃取されます。窃取された情報は一旦デバイス内に保存され、定期的に攻撃者が管理するサーバにアップロードされてしまいます。デバイス上のスクリーンショットを窃取することも可能でした。確認された時点では、これらの不正アプリはまだテスト運用の段階だったことが見受けられました。今後攻撃に利用される可能性が推測されています。このような脅威から自身を守るためには、スマホ利用者はセキュリティ対策アプリをインストールしておき、不正アプリによる脅威のリスクを下げておきましょう。アプリをインストールする際は必ず公式アプリストアを利用し、提供元や口コミなどの情報を確認した上で信用できるものだけを選択するように心がけてください。(IPA)およびJPCERTコーディネーションセンター(JPCERT/CC)も注意を呼びかけています。Business」で、深刻度「緊急」の脆弱性への対応も含まれています。Win32kコンポーネントの脆弱性「CVE-2019-1458」については、マイクロソフトは悪用の事実を確認済みとしているため、早急な対応が望ましいでしょう。脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、リモートからの攻撃によって任意のコードを実行されたりする可能性があります。Update等を用いて、システムの更新を行ってください。脆弱性を悪用されない為にも、利用者はOSやセキュリティ対策製品を常に最新の状態に保つように心がけましょう。偽装可能なSMSの差出人名にも注意SMS(ショートメッセージサービス)内のURLリンクを不用意に開いてはいけません。携帯電話事業者をかたるSMS経由で「キャリア決済が不正利用された可能性がある」などと通知し、受信者にURLリンクを開かせることで偽のログインページ(フィッシングサイト)へ誘導する手口が確認されています。誘導先のフィッシングサイトでアカウント情報(IDとパスワード)や個人情報、クレジットカード情報などを入力してしまうと、それらがサイバー犯罪者の手に渡ってしまいます。SMSを悪用した詐欺の手口では、メッセージの内容だけでなく、差出人名も偽装している場合があります。この手口では、差出人名に任意の英数字を送信者IDとして指定できる機能が悪用されています。携帯電話事業者などと同じ送信者IDが指定されたサイバー犯罪者からの偽装メッセージは、携帯電話事業者などの公式メッセージと同じ一覧に表示されてしまいます。すると、受信者は公式のメッセージの中にまぎれた偽装メッセージを本物と誤認してしまう可能性が高くなります。実在するショッピングサイトや債権回収事業者をかたり、SMSで「未納料金があるため連絡してください」などと呼びかけ、偽のカスタマーセンターに電話するよう仕向ける手口も確認されています。これは電話越しに作り話を信じ込ませ、最終的に金銭や情報をだまし取ることが狙いです。URLリンクや電話番号を含むSMSのメッセージを受け取った場合、そのメッセージの文言や電話番号をネットで検索し、公式のメッセージかどうかを必ず確認しましょう。それでも真偽を判別できなかった場合、送られてきたメッセージからではなく、公式サイトの会員ページや問い合わせ先などから事実確認を行ってください。このようなメッセージの受信を防ぐため、iPhoneの場合はメッセージの設定画面から差出人のフィルタ設定をオンにしましょう。スマホのセキュリティアプリを常に最新の状態で利用し、フィッシングサイトなどの不正サイトへのアクセスを未然に防げるようにしておくことも対策として有効です。トレンドマイクロは12月10日、調査分析レポート「2020年セキュリティ脅威予測」を公開しました。あわせて公式ブログで「『ディープフェイク』による詐欺やサプライチェーン攻撃に警戒:2020年の脅威動向を予測」と題する記事を公開しました。2019-12-11T00:00:00+09:00「2020年セキュリティ脅威予測」は、サイバー犯罪者の動機や手口、技術の進歩や全世界の脅威インテリジェンス等、セキュリティ専門家が最新事例を多面的に分析し、2020年のセキュリティ状況を予測したレポートです。冒頭では「最近の注目すべき事例や傾向は脅威の転換期を意味しており、2020年は新たな脅威の10年を迎える節目になる」と指摘。「2020年以降のサイバーセキュリティは、さまざまな視点から捉える必要がある」と述べています。ATT&CK」と脅威インテリジェンス」の4つの局面を、代表的なトピックとして採り上げています。Intelligence)が急速に進化していますが、これを悪用することで、本人・本物そっくりの音声や動画を偽装することが可能になります。した偽装が「ディープフェイク」と呼ばれ、法人詐欺への悪用が懸念されています。海外では、AIを使用して企業の経営幹部の音声を模倣するサイバー犯罪者によって、約2,600万円を詐取された事例が報道されています。2019年には法人組織が利用するソフトウェア配信システムが侵害され、それを悪用した「サプライチェーン攻撃」が発生しました。供給連鎖への攻撃により、標的組織に侵入するような手口の増加が今後予測されています。日本では「働き方改革」に伴うテレワーク導入が増加しており、これを起点に攻撃されるケースが有り得るでしょう。「マネージドサービスプロバイダ」(MSP)を侵害して標的企業に侵入する手口も懸念されます。「ユーザの設定ミスやクラウド・コンテナ環境で稼働するアプリケーションの脆弱性に起因する情報漏えいやマルウェア感染といった被害を受ける法人組織が増加する」と、同レポートは予測しています。ATT&CK」(研究機関MITREによる、サイバー攻撃分類)についても言及しています。ATT&CK」のナレッジベースに基づいた評価がなされ、業界レベルで総合的な枠組みを提供するとしています。「2020年セキュリティ脅威予測」は、トレンドマイクロの公式サイトより無料でダウンロード・閲覧可能です。Home』や『Alexa』を悪用して盗聴やフィッシング攻撃を行う手法が実証される」と題する記事を公開しました。Home」といったスマートスピーカー向けのアプリを使った実証実験を実施し、不正行為に成功したとのことです。アマゾンもグーグルも、SRLが実験で使用したアプリを削除したとのことです。この実験では、まず無害なアプリを作成し、アマゾンやグーグルに審査を依頼します。審査に通過したら、その後に、アプリ起動後のメッセージを変更します。通常は「ようこそ」といったメッセージを読み上げますが、これを「重要なセキュリティ更新プログラムが利用可能です。更新開始と発言してパスワードをお知らせください」といったメッセージに変更すれば、ユーザがパスワードを読み上げてしまう可能性があります。このような手順で、ユーザのアカウント認証情報や決済情報が窃取可能なことが示されました。その他にも、たとえば「停止して(Stop)」といった音声コマンドが実行する機能を変更し、一時停止が長く続くようにし、その間の生活音を盗聴する手口もあります。一定の文言を発話した場合は、その内容を保存して攻撃者へ送信するといった変更も可能でした。2017年には、トレンドマイクロのリサーチャーの実証実験により、Sonos社のスピーカーシステムに関して、パスワードを初期設定のままにしたり、インターネットに露出させたり、誤った設定のルータに接続させたりすることで、フィッシング攻撃や機密情報漏えいの危険性があることが判明しています。今後、スマートスピーカー、音声入力等に対応した家庭用機器が増加するにつれ、こうした脅威の可能性も高まっていくでしょう。企業とユーザは、これらの機器、さらには使用するルータ等に対して、適切なセキュリティを施す必要があります。利用者はルータやIoT機器のファームウェア(機器を管理するソフトウェア)を最新の状態に保つと共に、ホームネットワークにつながる機器をネットワーク上の脅威から守るセキュリティ対策製品を利用することでこのような脅威によるリスクを下げることが出来ます。Network」を無料で提供しています。ホームネットワークにつながっている家電や機器を表示し、それぞれのセキュリティの問題点と解決策を提示してくれます。家庭内で様々な機器を利用している方は一度スキャンしてみると良いでしょう。Networkのページが開きます。Play』で確認」と題する記事を公開しました。2019-12-06T00:00:00+09:0010月2日に、「Awakened」と呼ばれるリサーチャによって、Androidアプリ「WhatsApp」に存在する脆弱性「CVE-2019-11932」が公表されました。この脆弱性は、メモリの同一エリアを2度以上解放するバグ“ダブルフリー”を悪用するもので、細工した不正なGIFファイル(画像ファイル)を使用するとダブルフリーが発生し、任意のファイルを窃取したり、機器の遠隔操作が可能になるようなものでした。その後、このダブルフリー脆弱性は、Android用画像読み込みライブラリ「android-gif-drawable」に含まれる「libpl_droidsonroids_gif.so」が原因であることが判明しました。このライブラリは、WhatsApp以外でも利用されているため、多数のアプリが問題を抱えていると考えられます。Play」で、この脆弱性を持つアプリが3,000以上確認されました。そのなかには、日本でも使用されているソーシャルメディアアプリも含まれていました。Play以外のアプリマーケットでも、脆弱性の残ったアプリが複数発見されました。WhatsAppおよびlibpl_droidsonroids_gif.soはすでに「CVE-2019-11932」に対応しましたが、古いバージョン、あるいは古いライブラリを使って作成されたアプリは、更新する必要があります。ユーザは可能な限り最新版アプリを利用してください。開発者は開発環境やライブラリを更新してください。モバイル機器利用者は、パソコン同様OSやアプリの更新を適切に行い、脆弱性が悪用されないようにしましょう。セキュリティアプリをインストールしておき、ネット上の脅威によるリスクを下げましょう。トレンドマイクロは12月3日、公式ブログで「『Lazarus』との関連が推測されるMacOS向けバックドアを解析」と題する記事を公開しました。サイバー犯罪集団「Lazarus」が利用したとされる、MacOS向けバックドア型マルウェアの新しい亜種(Backdoor.MacOS.NUKESPED.A)が確認されたとのことです。2019-12-05T00:00:00+09:00このマルウェア亜種は、ダミーとして韓国語の歌を含むFlashコンテンツを再生するため、韓国のMacOSユーザを標的にしていると推測されています。Playerが含まれていました。Playerにより、Flash形式(SWF)の動画が再生され、同時に隠しファイルが生成されます。この隠しファイルは、マクロ(予め記録した手順を実行させる機能)が組み込まれた文書上のPowerShellスクリプト(パソコンに指示をするファイル)として機能するほか、C&Cサーバ(攻撃を指示するサーバ)と通信することが判明しています。攻撃が成功すると、感染したパソコンに自由に出入りできるバックドアを設けます。これにより、さらになる不正活動の危険にさらされることになります。今回のマルウェアを感染させるため、韓国語で心理テストが記載されたExcel文書を使い、不正マクロを動作させる手口が確認されています。これはLazarusが過去に関与したとされる攻撃と共通する手口です。今回の攻撃では、偽装手段として正規アプリを実行させながら、一方で不正活動を実行するという新たな手法が確認されています。Lazarusなどのサイバー犯罪集団は標的を拡大させてきています。1つの攻撃で複数の環境を狙うという手法から、特定OS向けにカスタマイズしているという点からも、今後より一層の注意が必要と言えるでしょう。このような脅威への対策としては、OSやセキュリティソフトを最新の状態に保つことが基本となります。Macでもセキュリティソフトをインストールしておき、ネット上の脅威から守りましょう。年末年始にかけて例年ネット詐欺が活発化する傾向にあり、正規サービスや商品を装ってネット利用者から情報や金銭をだまし取る手口は定番になっています。年末年始に注意すべきネット詐欺の手口を知っておきましょう。年末年始に気をつけたいネット詐欺の手口と5つの対策2019/12/05ツイートなにかと慌ただしい年末から気が緩みがちになる年始は詐欺の被害に遭わないよう、より一層の警戒が必要です。年末年始に気をつけたいネット詐欺の手口と5つの対策を押さえましょう。偽のふるさと納税サイトに要注意ふるさと納税の手続きは余裕を持って行いたいものですが、年末に駆け込みで寄付しようとする利用者もおり、そのような焦った利用者をサイバー犯罪者は狙っています。寄付をする際は、ふるさと納税サイトに見せかけた偽サイトに注意が必要です。偽サイトの中には各地方公共団体の公式サイトのデザインやレイアウト、返礼品の画像などをそのまま流用しているものもあり、一見しただけで真偽を判断することが難しい場合があります。図:2018年11月に確認したふるさと納税をかたった偽サイトもし、偽サイトから寄付の手続きを行ってしまうとどうなってしまうでしょうか。寄付に対する返礼品が届かなかったり、返礼品は届いても税控除が受けられなかったりするだけではなく、その手続きで入力した個人情報やクレジットカード情報を盗み取られ、さらなる詐欺や金銭被害に遭う可能性もあります。以下のような特徴があるふるさと納税サイトは利用しないようにしましょう。地方公共団体や仲介している企業の住所、連絡先、メールアドレスなどの記載がない(フリーメールの場合も注意)支払方法の口座名義人と販売事業者名が異なる寄付金額の割引や値引きを行っているふるさと納税の偽サイトに気を付けましょう!(消費者庁)https://www.caa.go.jp/policies/policy/consumer_policy/caution/caution_020/また、買い物シーズンの年末年始は実在するショッピングサイトや高級品のセールを装う偽サイト、詐欺にも要注意です。大手ショッピングサイトのフリをして「心当たりがない場合はキャンセルしてください」などと記載した注文確認メールを送りつけ、URLリンクを開いてしまった受信者を偽サイトへ誘導する手口が確認されています。誤って偽サイトを利用してしまうと、支払った代金だけでなく、認証情報(ID、パスワード)や決済時に入力した個人情報、クレジットカード情報などを盗み取られる可能性もあります。大幅な値下げと称して高級品の偽物や粗悪品を売りつける詐欺にも注意が必要です。年末年始は宅配便の利用が増える時期でもあります。宅配事業者を装った偽のメールやSMS(ショートメッセージサービス)にも引き続き注意が必要です。添付ファイルやURLを開かせるようなメッセージを受け取った場合は詐欺を疑い、その真偽を十分に確認しましょう。還付金詐欺に注意2019年10月の消費税率引上げに伴い開始されたキャッシュレス・ポイント還元事業を悪用したフィッシング詐欺も確認されています。還付金や払い戻しなどと称したメールやSMSにも注意しましょう。寄付金をだまし取る卑劣な詐欺も2019年10月に火災で焼失した首里城の再建に向けた寄付が広がる中、支援者の善意につけこもうとする詐欺も出現しています。実際に、携帯電話事業者を装い「首里城再建寄付に関して」を件名とするメールを送りつけ、URLを開いてしまった受信者をさまざまな詐欺サイトへ誘導する手口が報告されています。それらの詐欺サイトの中には「高額当選」のメッセージを表示し、当選金を受け取るためという名目で銀行口座番号や支店名などを入力させるフィッシングサイトも確認されました。した詐欺メールから誘導されるフィッシングサイトには、受信者のメールアドレスなどの個人情報が記載されている場合もあります。今回の例では当選の信ぴょう性を高める演出の1つになっていますが、善意の受信者が注意喚起として詐欺メールをそのままネットに公開すると個人情報を意図せず不特定多数に公開してしまう危険性があります。それを口実に実在する企業や公的機関をかたって義援金募金を呼びかける詐欺メールや偽サイトが出現する可能性があります。寄付する際には必ずその真偽を確認しましょう。詐欺が疑われたら、なりすましの対象として悪用されている組織をはじめ、警察や関連機関などに通報しましょう。多くの人の関心事や旬な話題に便乗するのはネット詐欺の常とう手段です。実際、世界的なスポーツイベントを前に、観戦チケットの抽選結果を通知する偽メールがすでに出回っています。その主な目的は受信者を詐欺サイトへ誘い込み、情報や金銭をだまし取ることです。イベントの開催が近づくにつれ、チケットをなんとしても手に入れたい利用者の心理につけ込む偽のメールや詐欺サイトが増加すると予想されます。チケット転売サイトやオークションサイト、フリマサイト、SNSなどでは、無効チケットや偽チケットが出品されるかもしれません。公式チケット販売サイトと見た目がそっくりの偽サイトにも注意が必要です。チケットの購入や再販に際してはあらかじめ公式チケット販売サイトをブックマークに登録しておき、毎回そこからアクセスすることをおすすめします。ネット詐欺に引っかからないための5つの対策1.メールやSMS、SNSのURLリンクを安易に開かないたとえ実在する企業や友人、知人が差出人でも、何らかの理由をつけてURLリンクを開かせたり、電話をかけさせようとしたりするメッセージは、あなたから情報や金銭をだまし取るためにサイバー犯罪者が送りつけてきたものかもしれません。その企業のホームページに掲載される注意喚起情報をチェックしたり、同様の手口が報告されていないかどうかをネットで検索したりして真偽を確認しましょう。電話やメールなどで直接事実確認をする場合は、メッセージ内に記載された問い合わせ先ではなく、ネットで検索した公式の窓口に連絡してください。2.ネットでの情報入力を慎重に行うネット利用時に突然情報入力やアンケートの回答を求めるWebサイトにたどり着いたら詐欺を疑ってください。「おめでとうございます!」などと突然表示される当選詐欺サイトでは魅力的な当選品を提示し、「いますぐ」などの文言で入力を急がせるなど、利用者の判断を鈍らせようとします。違和感を覚えたら周辺の詳しい人に相談したり、表示されたメッセージをネットで検索したりして、真偽を確かめましょう。図:2019年11月に確認した当選詐欺サイトの一例3.OSやソフト、アプリの脆弱性を修正する脆弱性(セキュリティ上の穴)対策は、ネットを安全に利用するために必須です。パソコンやスマホの脆弱性を放置していると、インターネット上の改ざんされたWebサイトや不正広告から知らぬ間にマルウェアがインストールされてしまう危険性があります。OSやソフトの開発元から更新プログラムが提供されたら速やかに適用し、脆弱性を修正しましょう。4.セキュリティソフトやセキュリティアプリを最新の状態で利用するセキュリティソフトやセキュリティアプリを最新の状態に保ちながら利用することで、詐欺サイトなどの不正サイトにアクセスしてしまうリスクを下げることができます。不正なメールやSMSの受信を防ぐために、迷惑メールフィルタ(迷惑メールを自動で隔離する機能)やメッセージフィルタリング機能も活用しましょう。5.ネット詐欺の手口を知る手口や狙いを知っておけば、詐欺に遭遇してもそれに気づける可能性が高くなります。普段からセキュリティ関連団体や企業が発信する注意喚起情報に目を通しておきましょう。最新のセキュリティ情報を自動的に入手できるよう、公式のSNSアカウントをフォローにしておくのもおすすめです。ネット詐欺に遭ってしまったかもと感じたときの対処法については、下記参考記事をご覧ください。トレンドマイクロは11月28日、公式ブログで「変化を続けるマルウェア『EMOTET』の被害が国内でも拡大」と題する記事を公開しました。EMOTET(エモテット)は2014年から確認されているマルウェア(ウイルスなど悪意のあるソフトウェアの総称)ですが、2019年に入り日本も本格的な攻撃対象に入ってきたと考えられるとしています。2019-11-28T00:00:00+09:00EMOTETは主にメール経由で拡散されます。2019年4月に日本語件名の攻撃メールが確認されており、この頃から本格的に日本国内の利用者が攻撃対象とされるようになったと考えられます。手口と、既に感染してしまった利用者のメールを使って返信メールを装う手口の2種が確認されています。後者の手口では実際にメールをやり取りしている相手からの返信に見えるため、本物のメールだと信じて添付ファイルをクリックしてしまう可能性が高まります。この偽装返信メールの手口により、多くの利用者が被害を受けているものと考えられます。トレンドマイクロでは、2019年1月から9月までは月数十件しか検出していなかったEMOTETを、10月の一か月間だけで1,700台検出しており、感染の拡大を確認しています。しているEMOTETはWord文書ファイルのマクロ機能を悪用しています。そのため攻撃メールに添付された文書ファイルを開いて『コンテンツの有効化』をクリックしてしまうと感染します。万一感染してしまうと、ランサムウエア(身代金要求型ウィルス)やバンキングトロジャン(オンライン銀行詐欺ツール)などのマルウェアに感染したり、パソコンを遠隔操作されてしまいます。その結果、パソコン内の情報を奪われて悪用されたり、保存しているファイルが開けなくなったり、オンラインバンクの情報が奪われて不正送金されるなど様々な被害に遭う危険性があります。メールをやり取りしている相手に勝手に自分のパソコンから不正メールを送られ、感染の拡大に加担してしまうこともあります。EMOTETを感染させるWordのDOC形式の文書ファイルの例(2019年10月確認)「コンテンツの有効化」ボタン法人の場合はさらに重大な被害につながる可能性があります。1台のパソコンが感染したことにより、ネットワーク内の他のパソコンに感染が広がる恐れや、返信メールを装った攻撃メールを送るための踏み台とされ、組織内だけでなく、取引先などにまで感染を広げてしまう危険性があります。利用者はどのような攻撃の手口があるかを知っておき、メールの添付ファイルを不用意に開かないようにしましょう。万一ファイルを開いてしまっても『コンテンツの有効化』をクリックしないでください。以外にも多く存在します。マクロ機能を使用する必要がない場合には「警告を表示せずにすべてのマクロを無効にする」の設定に変更することも検討してください。基本対策としてOSとセキュリティ対策製品を最新の状態を保って利用することが重要です。マルウェアは次々に亜種がつくられ、不正な機能の追加や、対策製品を回避しようと試みます。そのため、最新のマルウェアに対応するには、セキュリティ対策製品を最新の状態に保つことが不可欠です。このようなメールを起点とする攻撃は、利用者一人ひとりの心がけが対策の鍵となります。ネット利用者は常に、セキュリティ対策の重要性を意識するようにしましょう。自分が組織を狙うサイバー攻撃の起点にされてしまう?私用のパソコンやスマホ、クラウドサービスを無断でビジネスシーンに持ち込んでいませんか。中には、仕事専用のモバイルデバイスがなく、私用端末を利用せざるを得ないケースもあるかもしれません。いえ、組織における情報セキュリティのルールにはそれが作られた理由があります。組織のルールを把握、遵守するとともに、無断で私用の端末やクラウドサービスを利用した場合、どのような脅威に遭遇する可能性があるかを改めて確認しておきましょう。多くの企業は、断りなく業務データを私用のクラウドサービスに保存したり、フリーメールに転送したりすることを禁じています。有償、無償にかからわず、サービス事業者のミスやサイバー攻撃、認証情報(IDとパスワード)の漏えいなどが原因で、そこに保存された業務データや個人情報が流出してしまう可能性もあるためです。データが破損、流出しても損害が補償されない場合もあります。無償で利用できるサービスの多くでは、その対価として利用者の情報が収集、分析され、運営元のビジネスに活用されているのです。2019年に公表された被害の中には、大手クラウドストレージサービス事業者が外部からの不正アクセスによって約500万件もの会員情報を漏えいさせてしまった事例がありました。不特定多数に公開されたSNS上に顧客情報のファイルを誤って投稿してしまい、サービス利用者によってファイルがダウンロードされてしまった事故も公表されています。厳しいセキュリティポリシーを定めている企業では、そもそも私用端末(パソコンやスマホ、USBデバイスなど)の業務利用を認めていません。私物端末にはセキュリティポリシーを強制するツールを導入させることが難しく、端末をなくしてしまった場合などに業務データを流出させてしまうなどのリスクがあるためです。私用端末がマルウェアや不正アプリに感染している場合はどうでしょう。万一感染した端末を勤務先のネットワークにつないでしまうと、そこにつながっているすべてのコンピュータが脅威にさらされ、情報漏えいや業務停止といった重大なトラブルに発展するかもしれません。自身が組織を狙うサイバー攻撃の起点にされないようにするためには、組織のルールを把握し、それを遵守することが重要です。利用したいサービスや機器がある場合は、必ず組織の担当者や責任者に相談し、承諾が得られてから利用するか、許可されている代わりの方法で対処しましょう。ほかにも、社会人がセキュリティの観点で注意を払うべきことは数多くあります。パソコンやネット利用時の少しの不注意が企業や組織を狙うサイバー攻撃の足がかりになってしまうことを理解し、慎重に行動しなければなりません。企業や組織を狙う「ビジネスメール詐欺(BEC)」「ランサムウェア」「標的型サイバー攻撃」は、従業員に送りつけられるメールが主な起点となっています。それぞれの手口の詳細や従業員一人ひとりができる対策については下記の参考記事をご覧ください。勤務先が定めるセキュリティポリシーやガイドラインをしっかりと確認し、それに従って行動しましょう。トレンドマイクロは11月25日、公式ブログで「『BlueKeep』脆弱性を利用する攻撃・続報」と題する記事を公開しました。2019-11-26T00:00:00+09:00BlueKeepは、Windowsのリモートデスクトッププロトコル(RDP)の脆弱性「CVE-2019-0708」の通称です。XP以前のOSに対しても更新プログラムを公開しています。リモートデスクトップとは、パソコンを外部から遠隔操作する機能の事です。この脆弱性が確認された時点では、あくまで脆弱性が見つかっただけでしたが、2019年11月上旬、BlueKeep脆弱性を悪用した攻撃の存在が初めて確認されました。確認された攻撃は、最終的に「コインマイナー」(仮想通貨発掘ソフト)を感染コンピュータにインストールさせ、不正マイニング(仮想通貨の発掘)を実行するというものでした。調査の結果、この攻撃は実際には9月ころから始まっていた可能性が高いことも判明しています。これらの攻撃では、侵入したコインマイナーに自己拡散機能はありませんでした。危惧すべきは自己拡散機能の有無だけではありません。多くのサーバがBlueKeep脆弱性に未対応であると考えられており、それがネットワーク内での被害拡大の原因になる恐れがあります。現在の攻撃に使用されているBlueKeep脆弱性の攻撃コード(エクスプロイト)は不安定で、システムの強制終了や不具合を引き起こすことが確認されています。何度もそのような状態が続く場合は、BlueKeep脆弱性の攻撃を受けている可能性を考慮する必要があると言えます。BlueKeep脆弱性に対する修正プログラムはすでに5月に公開されています。システム管理者や、リモートデスクトップ利用者はプログラムが更新されているかどうかを確認してください。状況によってはリモートデスクトップサービスの使用制限や無効化、あるいは保護するといった選択肢もあります。確認することができます。利用していない場合は設定をオフにしておきましょう。脆弱性を悪用されない為には、OSを常に最新の状態に保つように心がけてください。年末年始など、長期休暇はゆっくり映画などの動画を楽しまれる方も多いかと思います。動画配信サービスは手軽に利用できるネットサービスとして利用者に親しまれている一方、サイバー犯罪者にとっては恰好の偽装手段となっています。2019-11-21T00:00:00+09:00近年のサイバー犯罪者の活動目的は金銭を奪うことです。そのため利用者が多く、且つ決済情報や個人情報などのお金になる情報を含むネットサービスを主な標的としています。今回確認したフィッシングサイトも、世界的に人気がある動画配信サービスに偽装し、利用者の認証情報(IDとパスワード)と氏名や住所といった個人情報に加え、クレジットカード情報を詐取しようとするものでした。このようなフィッシングサイトは、正規Webサイトをコピーして作成していることが多く、一見本物のように見えます。URLも本物を想起させるようなドメイン名を利用していたり、アドレスバーに鍵マークが表示されるHTTPSに対応していたりするため判別が困難です。悪質なフィッシング詐欺からネット利用者が身を護るためには、メールやSMS(ショートメッセージサービス)、SNS、ネット広告などから誘導されたリンク先ではなく、公式Webサイトや公式アプリから必ずログインやアカウント登録を行ってください。サービスを利用するパソコンやスマホには、予めセキュリティソフトやアプリをインストールしておき、最新の状態を保って利用することでフィッシングサイトや不正サイトにアクセスしてしまうリスクを下げることができます。専用の公式アプリをインストールする場合も、必ず正規のアプリストアを利用しましょう。消費者庁は11月20日、オンラインゲームに関するページを更新しました。2019-11-21T00:00:00+09:00消費者庁では「オンラインゲームを楽しむ際には、家庭内であらかじめルールを設定しましょう。~オンラインゲームのやりすぎには注意すべきことが潜んでいます。~」と題するページを公開し、関係省庁や関係機関の取り組みを紹介しています。オンラインゲーム人気が注目されている一方で、インターネットの長時間使用やオンラインゲームの長時間プレイが、一見すると依存症のように見えることから、医学的なエビデンスが不足しており慎重に考えられるべきとしつつも、同庁は今回その内容を更新し、改めて注意を呼びかけています。センター、関係団体等の情報リンクが網羅されており、ギャンブル等依存症への対応マニュアルを活用する試みも紹介されています。disorder)」が新たに「国際疾病分類」に位置付けられました。文部科学省においては、ギャンブル等依存症の他ゲーム障害についても掲載した学校教育における指導参考資料を作成しています。保護者はネットトラブルの事例や家庭でのルール、実態を改めて見直し、子どもが過剰にネットやゲームをしていないか注意を払いましょう。ネット利用に関する家族のルールを設定する際には、一方的にではなく子どもと一緒に話し合うことも大切です。子どもの年齢に応じた利用制限や保護者による管理は、セキュリティソフトなどによるフィルタリングやペアレンタルコントロール機能が有用です。最大利用時間を設定できる「インターネットタイマー」や、特定のアプリを利用した際に通知をする「アプリ利用通知」機能などが用意されています。安心・安全なネット利用の習慣を子どもの時から身につけましょう。インターネットサービスのアカウントを不正利用される被害が後を絶ちません。サイバー犯罪者はさまざまな方法で取得した他人のIDとパスワードを使って各種サービスのアカウントに侵入し、情報や金銭を奪い取ろうとしています。パスワードの使い回しが危険な理由やアカウントを保護するための対策を紹介します。2019-11-21T00:00:00+09:00STOP!パスワード使い回し!パスワードを使い回した場合のリスクと3つの対策2019/11/21ツイートインターネット上には私たちの生活を豊かにしてくれる便利なサービスがあふれています。利用するサービスが増えれば増えるほど、パスワードを個別に設定する意識は薄れてしまいがちです。パスワードを使い回してしまった場合のリスクを改めて知り、各種サービスを安全に利用するために3つの対策を実施しましょう。パスワードの使い回しはなぜいけないのか認証情報(IDとパスワード)の入手経路は?アカウントの不正利用を防ぐための3つの対策と対処法パスワードの使い回しはなぜいけないのかショッピングサイトやSNS、Webメール、クラウドストレージ、ネットバンキングなど、インターネットサービスのアカウントの作成時はほとんどの場合、IDとパスワード(認証情報)の登録が求められます。パスワードをいくつも覚えられないという理由で、複数のサービスに同一のIDとパスワードを使い回している方もいるのではないでしょうか。それはアカウントの保護という観点で望ましくありません。パスワードの使い回しはなぜいけないのでしょうか。インターネットに潜むサイバー犯罪者は、何らかの方法で入手した他人のIDとパスワードのリストを用いて、複数のサービスへのログインを試みます。このため、複数のサービスに同一のIDとパスワードの組み合わせを使い回していると、盗まれたりした場合に複数のサービスのアカウントを芋づる式に乗っ取られてしまうのです。サイバー犯罪者は他人のIDとパスワードをどのように入手するのでしょうか。認証情報(IDとパスワード)の入手経路は?代表的な手口はフィッシング詐欺です。これは、実在するショッピングサイトや銀行、クレジットカード会社などの正規のログインページを装う偽サイト(フィッシングサイト)へ利用者を誘導し、そこで入力させた情報をだまし取る手口です。携帯電話事業者や、Appleを装い、不正利用の疑いがあるなどとしてログインを促すSMSを送りつけ、そこからフィッシングサイトへ誘い込む手口が確認されています。キーロガーも認証情報を盗み出す手段の1つです。これはキーボードから入力された情報を外部に送信するマルウェア(ウイルスなど悪意のあるソフトウェアの総称)です。サイバー犯罪者はターゲットのパソコンにキーロガーを感染させ、収集したキーボードの入力情報を解析することでIDとパスワードを割り出します。ホテルや図書館などに設置された不特定多数が利用するパソコンにはキーロガーなどのマルウェアが仕込まれているリスクもあるため、認証情報や個人情報の入力は避けた方が無難です。インターネットサービス事業者の人為的なミスやサイバー攻撃による情報漏えいがきっかけで利用者のIDとパスワードが流出してしまう事故も起こっています。そこから流出した認証情報は不正に利用されたり、闇サイト(闇市場)の商品として扱われたりし、サイバー犯罪者に売却される可能性もあるのです。辞書攻撃や総当たり攻撃によって認証情報を探り当てられてしまうパターンもあります。辞書攻撃は、辞書に載っている英単語やパスワードによく使われる単語を登録したリストを準備し、それらを1つのIDに対して順番に試していく手法です。総当たり攻撃はプログラムによってパスワードに使用できる文字種の組み合わせを片っ端から試していくものです。一般的な辞書に載っている単語や、短く単純な文字列をパスワードに設定していると、アカウントの乗っ取り被害に遭うリスクを高めてしまいます。アカウントの不正利用を防ぐための3つの対策と対処法サイバー犯罪者は、このようにさまざまな方法で他人のIDとパスワードを盗み出したり、探り当てたりして各種サービスのアカウントを不正利用し、金銭や情報を得ようとしています。した被害を防ぐためにはどうすればよいでしょうか。対策1.安全なパスワードを設定する単語や生年月日など、短くて単純なパスワードは、攻撃者に簡単に推測されてしまいます。単純なパスワードの利用を避け、他のサービスで使用しているパスワードを使い回さないようにしましょう。対策2.パスワードを適切に管理するサービスごとに複雑なパスワードをいくつも作成していると、設定した内容を忘れてしまう可能性があります。次のような方法を参考に、適切に管理しましょう。紙にメモして、人目に触れない場所で保管するパスワード付きの電子ファイルで保管するパスワード管理ツールを利用する参考:ファイルにパスワードをかけて保存する方法トレンドマイクロでは、パスワード管理ツール「パスワードマネージャー」の無料体験版を提供しています。パスワード使い回し!キャンペーンのページで解説されています。万一、クレジットカードやデビットカードの利用明細に覚えのない請求があった場合は、速やかにサービスの提供元やカード発行会社、警察に連絡しましょう。トレンドマイクロは11月18日、公式ブログで「macOSを狙うマルウェア:取引アプリに偽装し個人情報を窃取」と題する記事を公開しました。macOS向けの株式取引ソフト「Stockfolio」を偽装する攻撃を確認したとのことです。2019-11-19T00:00:00+09:00トレンドマイクロは、2019年9月にMac向けの正規アプリ「Stockfolio」に偽装した取引アプリを確認し、詳細な解析を進めていました。その結果、関連するマルウェア(悪意のあるソフトウェアの総称)の亜種2つが確認されました。1つ目の亜種「Trojan.MacOS.GMERA.A」は、シェルスクリプト(コンピュータに指示を与えるファイル)2つを駆使し、外部の不正サイトから暗号化されたプログラムをダウンロードし、復号するというものでした。1つの「Trojan.MacOS.GMERA.B」は、「Trojan.MacOS.GMERA.A」よりも動作が簡略化された他、感染したパソコンの再起動後も活動を継続させる機能が追加されていました。「Trojan.MacOS.GMERA.A」は、トレンドマイクロの機械学習システムにより、不審なシェルスクリプトとして検出されました。一見すると、正規アプリ「Stockfolio」のバージョン1.4.13に見えます。正規アプリのコピー以外にも暗号化された隠しファイルを含む等、複数の不正な特徴を備えており、マルウェア作成者が用意したデジタル証明書(現在はアップルにより取り消し済み)も付記されていました。この不正アプリが実行されると、表面上は正規の取引アプリのコピーが表示されます。その裏では、ユーザに気付かれないまま不正活動を実行する機能を持っており、感染したパソコンの情報や保存されているファイルを外部に送信するなどします。「Trojan.MacOS.GMERA.B」も同じマルウェア作成者のデジタル証明書が付記され、偽装に利用された株式取引アプリ「Stockfolio」のバージョン1.4.13を含んでいます。こちらも表面上は正規アプリのコピーを実行させ、裏では不正なプログラムを起動させてユーザ名とIPアドレスを収集します。C&Cサーバ(攻撃の指示を行うサーバ)への接続が成功すると、最終的に外部のサイバー犯罪者による遠隔操作を可能にします。マルウェア作成者は、このように機能の簡略化を進める一方で、新たな機能を追加しており、将来的には検出回避機能を追加する可能性も考えられます。Mac利用者は、アプリをインストールする際に必ず公式アプリストアを利用しましょう。このようなサイバー脅威によるリスク下げるためには、Macも他のパソコンと同様に、OSとセキュリティソフトを最新の状態に保って利用することが重要です。https://is702.jp/main/images/news/S191119.jpg。