セキュリティブログ2015年の10大ニュースを振り返る2015年12月25日金曜日2015年の10大ニュースを振り返るツイート2015年はどんな年でしたか?今年1年を通じて、セキュリティ話題では従来からの振り込め詐欺を始め、フィッシング詐欺、乗っ取りや標的型の攻撃があったり、攻めの姿勢が感じられる脅威が多くありました。今年は、公の機関が関係した個人情報流出の話題や、マイナンバーの配付に関連するトラブルが発生していることが印象的でした。「ソーシャルエンジニアリング」といわれる標的型攻撃により、年金個人情報が流出しました(6月)。「ソーシャルエンジニアリング」とは、業務に関係した文面などでメールを開かせ、添付ファイルに仕込まれたマルウェアが起動するものです。日本年金機構の場合は、125万件の年金個人情報が流出しました。「こんなのひっかからないよ、俺は大丈夫さ」といっていても、攻撃の手口は年々巧妙化してきますので、ご注意ください。■フィッシング詐欺2015年は、ネットバンクをはじめとする各種金融機関や、クレジット会社をかたって偽物のオンライン口座へ誘導する事例が発生しました。入力させることがあります。多くの金融機関やクレジット会社のホームページでは、フィッシング詐欺に注意喚起しているページがありますので、関係している口座やカードをお持ちの方は一度サイトを確認し、詐欺の傾向を確認したり、正しいサイトがどれなのか確認しておくことも有効です。■マイナンバーマイナンバー制度に便乗した不正な勧誘や個人情報の取得といった不審行為が発生しています。実際に現金を渡してしまった被害例もありました。マイナンバー制度をかたった不審な電話、メール、手紙、訪問などには十分注意するよう内閣府は呼びかけています。マイナンバーカードにお金が掛かる」などと言われても、高額のお金がかかることはありません。※マイナンバーのカード発行手数料は初回無料です。■ランサムウェアなど、身代金要求6月ぐらいから「ランサムウェア」(PCをロックしたり、ファイルを暗号化したりすることで使用不能にし、元に戻すことと引き換えに「身代金」を要求する不正プログラム)の被害が確認されています。一度被害を被ってしまうと、復帰が難しくなる場合もありますので、対策は十分に行っておいた方がよいでしょう。■個人情報やセキュリティ情報の漏えい最近件数が伸びつつあるのが、個人情報やその管理に関わる問題です。・中央官庁の局長が、飲酒で寝過ごした電車内でカバン置き引きの被害にあい、職員連絡網などが流出(6月)・エフセキュアの元役職者がSNSを利用して得た個人情報を流出(元役職者は11月に依願退職)傾向として、不正持ち出しが管理すべき側である「中の人」に多い傾向があります。情報を取り扱う側は管理体制をきちんと行なわないといけないのは当然ですが、中の人の教育も適切になされる必要があります。振り込め詐欺や迷惑電話による被害は、昨年同様引き続き発生し、より巧妙化してきています。年金情報などが洩れた事件などがあった関係で、いつターゲットになってしまってもおかしくない時代になっています。■乗っ取り被害その昔、ダイヤルQ2などで通話が国際電話発信となってしまい、高額な電話料金を請求されたという事案がありましたが、同様の手口で、IP電話の乗っ取り被害が発生しています。「第三者によるIP電話等の不正利用に関する注意喚起」http://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000191.html■銀行のワンタイムパスワードワンタイム・パスワードとは,一度しか使えない(使い捨ての)パスワードです。2013年頃からですが、セキュリティ強化を狙う金融機関を中心に採用が進んでいます。・ID、パスワードの漏えいによるなりすまし・第三者によるシステム管理画面への不正アクセスやパスワードリスト攻撃を防御することができます。■無線LANの不備などによるネットワークセキュリティ外出先などで、無線LANを利用されている方であれば、公衆無線LANの存在は一度は経験したことがあると思います。セキュリティが確保された強固なパスワードによる無線LANと比べ、公衆無線LANはセキュリティ面からいうと安全とは言い難いものです。マンションなどで広範囲に無線LANを利用されている方であれば、電波が自宅外にでている可能性も理解しておかなければなりません。パスワードを設定していなかったり、カンタンに侵入できる状態だと、第三者にのぞき見されたり、入されたりするケースもあります。6月には、全国初のケースとなる、無線LANの「ただ乗り」による電波法違反容疑で逮捕者がでました。広範に利用されているOS、プラグインやソフトウェアに脆弱性があると、脆弱性を狙ったウイルスを防御することが難しくなります。Playerの脆弱性を集中的に脆弱性を解消しました。脆弱性を突いた攻撃は対策が行われていても完璧とは言い難いので、機能を無効化したり、データを安全な場所への定期的なバックアップする、セキュリティ対策ソフトを活用する、不審なメールのリンクや添付ファイルに注意を払うことなどが必要になります。AMERICAがWeb公開している情報を元に作成しています。