is702 2020-09-18T00:00:00+09:00 インターネット・セキュリティ・ナレッジ ネット通販にはクーリング・オフ制度がないことを再認識し、利用時には注意を|国民生活センター 独立行政法人国民生活センターは9月17日、「新しい“消費”生活様式」の影響で、ネット通販のトラブルが増加しているとして、あらためて注意を呼びかけました。 2020-09-18T00:00:00+09:00
新型コロナウイルスの感染拡大を経て、三密回避や手洗いの徹底、あるいはテレワークや時差出勤、通信販売や外食テイクアウトの活用といった「新しい生活様式」の摸索が始まっています。厚労省があげる実践例には、「通信販売の利用」も示されていますが、PIO-NET(パイオネット:全国消費生活情報ネットワークシステム)のデータから、ネット通販のトラブルが増加傾向にあることが明らかになりました。

2020年4月時点で、消費者の相談全体のうち、ネット通販に関する相談は29.2%を占めていましたが、5月以降は30%を突破しています。契約当事者の年代を見ると、特に20歳未満の増加率が大きく、2020年4~6月に寄せられた相談件数が、前年同期の約1.8倍に達しました。

寄せられた相談の内容では、マスク、体温計、消毒用アルコールなどの感染症対策商品について、2020年2月以降、「高額な値段で販売されている」「商品が届かない」「粗悪品が届いた」などの相談が多数寄せられています。また、洋服やかばん、靴、家具類などの身の回り品などのモノだけでなく、映画配信サービスやオンラインゲームに関する相談も目立っているとのことです。

通信販売にはクーリング・オフ制度が適用されません。そのため購入前に、返品・解約の条件や、販売事業者の連絡先をしっかりと確認してから、購入手続きを行ってください。大手通販サイト以外にも、小規模な通販サイトもありますが、なかにはお金や個人情報の詐取などを目的とした詐欺的なサイトもあります。少しでも怪しいと思ったら利用しないようにしましょう。またここ最近、「お試しのはずが勝手に定期購入になっており、高額な代金を請求された」というケースも増えているとのことです。注文を確定する前に、定期購入の契約になっていないか確認しましょう。

それでもトラブルが生じた場合は、すぐに最寄りの消費生活センターなどへ相談しましょう。消費者ホットライン「電話番号188(いやや!)」では、最寄りの市町村や都道府県の消費生活センターなどを案内してくれます。
正規通販サイトに偽装した偽サイトや、詐欺サイトによる被害を防ぐには、セキュリティソフトやアプリの利用も有効です。そのような不正サイトにアクセスしてしまうリスクを下げることができます。また、LINE利用者は、無償で利用できるトレンドマイクロの「ウイルスバスター チェック!(@trendmicro_vbcheck)」も役立ててください。LINEの友達に追加することで、サイトにアクセスする前にトーク画面でURLの安全性を判定することができます。

図:PIO-NETにみるインターネット通販の受付年月別相談件数と割合の推移(国民生活センターの発表資料より)

図:PIO-NETにみるインターネット通販の受付年月別相談件数と割合の推移(国民生活センターの発表資料より)

]]>
https://is702.jp/main/images/news/S200918.gif
ビデオ会議ツールを利用する際の注意点 高見部長はWeb会議を開催するようです 2020-09-17T00:00:00+09:00
ひろしとアカリのセキュリティ事情

ビデオ会議ツールを利用する際の注意点

2020/09/17

ビデオ会議ツールの脆弱性や設定を意識しよう

ZoomやSkype、Microsoft Teams、Google Meetに代表されるビデオ会議ツールやビデオ通話サービスは、ビジネスや教育のシーンにとどまらず、個人間コミュニケーションにおいても活用が進んでいます。ただ、このようなツールやサービスの利用にあたってはセキュリティやモラルの観点でいくつか注意すべきことがあります。

まずは脆弱性です。脆弱性は、プログラムの設計ミスなどが原因で生じるセキュリティ上の欠陥で、悪意のある第三者からの攻撃に悪用される危険性があります。どんなソフトやアプリにも脆弱性はつきもので、Appleユーザにとってなじみ深い「FaceTime」でも過去に、グループ FaceTime で、相手が応答していなくても通話可能になってしまうような欠陥が見つかっています。既に修正プログラムが配布されていますが、利用者はソフトやアプリの開発元から脆弱性を修正する更新プログラムが提供された場合、速やかに適用することが対策として求められます。

次に、各ビデオ会議ツールなどが独自に用意しているセキュリティとプライバシーの設定です。Zoomでは、利用者の設定不備によって部外者がオンラインの会議や授業に参加し、進行を妨害する迷惑行為が問題になりました。これを受け、利用者の設定不備を補うための対策がサービス側で取られ始めています。利用者が個々に設定を行う必要は無くなりましたが、会議のIDやパスワードは必要な相手にのみ通知し、ネット上で公開しないようにしましょう。

最後に、組織においては勤務先が許可したビデオ会議ツールを利用することが原則です。もし、勤務先に無断で使用したサービスから機密情報が漏れ、勤務先や取引先などに損害を与えてしまうとどうなるでしょうか。懲戒の対象になるだけでなく、場合によっては損害賠償を請求される可能性もあります。また、動画のフィルター機能なども勝手にインストールしてはいけません。勤務先が定めるセキュリティポリシーやガイドラインを確認し、それに従うことが大切です。相手に無断で動画や画像を取得することもモラル上好ましくない行動となることがあります。業務上記録が必要な場合は相手に許可を得て取得し、業務で必要な範囲の利用にとどめましょう。

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3735_l.jpg
テレワーク導入時のセキュリティ、担当者が確認すべき対策内容をチェックできる手引きを公開|総務省 総務省は9月11日、テレワーク利用時のセキュリティに関する手引き(チェックリスト)などを公開しました。 2020-09-15T00:00:00+09:00
新型コロナウイルスの感染拡大を受け、さまざまな業界で「テレワーク」の導入・活用が広がりました。総務省ではこの状況に対し、「テレワークセキュリティガイドライン」を策定・公表するなど、セキュリティ面での注意を呼びかけてきました。しかし、IT面に不慣れな企業や中小規模企業でもテレワーク導入が加速しており、不安や問題が広がっています。

こうした背景から総務省は今回、より実践的かつ具体的で分かりやすい内容で「最低限のセキュリティを確実に確保してもらうこと」を目指し、手引き(チェックリスト)などを作成しました。これによりセキュリティの専任担当がいないような中小企業でも、チェックリストを活用することで対応が可能になるとしています。

手引きは「中小企業など担当者向けテレワークセキュリティの手引き(チェックリスト)(初版)」と「設定解説資料(Cisco Webex Meetings/Microsoft Teams/Zoom)」で構成されており、一部の製品では具体的な設定手順も紹介されています。

これらの資料はPDFファイルとなっており、総務省サイトより無償でダウンロード・閲覧が可能です。また総務省では今後、実態調査の結果や寄せられた意見などを踏まえ、年内を目途によりわかりやすい手引き(チェックリスト)の作成(第2版改定)を行うほか、設定解説文書についても対象製品を増やしていく予定とのことです。

テレワークを安全に活用するには、組織の管理者側、利用者側双方による対策が欠かせません。手引きなどを参考に環境を整えると共に、従業員への教育も実践しましょう。
]]>
https://is702.jp/main/images/news/img_news1.jpg
安全性よりも利便性を重視しがちな若年層、認証方法に関する調査結果公開|フィッシング対策協議会 フィッシング対策協議会は9月9日、インターネットサービス利用者に対する 「認証方法」に関するアンケート調査の結果を発表しました。調査の実施期間は2020年2月28日~3月2日で、18歳~69歳の562名が回答しています。 2020-09-14T00:00:00+09:00
それによると、まず、「SNS(LINE、Facebook、Twitterなど)や総合サービス(Google、Yahoo!など)のアカウントを利用して、他のサービスに会員登録・ログインするサービスを利用していますか」という質問に対して、全体では59.4%が「利用している」と回答しましたが、18歳~29歳の利用者は77.5%、30~39歳は73.0%と、若い世代はさらに高い数値を示しました。

図:SNS(LINE、Facebook、Twitterなど)や総合サービス(Google、Yahoo!など)のアカウントを利用して、他のサービスに会員登録・ログインするサービスを利用していますか(フィッシング対策協議会の発表資料より)

図:SNS(LINE、Facebook、Twitterなど)や総合サービス(Google、Yahoo!など)のアカウントを利用して、他のサービスに会員登録・ログインするサービスを利用していますか(フィッシング対策協議会の発表資料より)


また「ログインした状態にしておくという設定ができるとき、設定しますか」という質問では、全体では34.3%が「設定する」と回答しているのに対し、18歳~29歳の利用者は、さらに多い49.5%が「設定する」と回答しています。「ブラウザにパスワードを記憶(覚えさせること)させることができる場合、記憶させますか」という質問でも、全体では36.7%が「記憶させる」と回答しているのに対し、18歳~29歳の利用者は46.8%が「記憶させる」と回答するなど、若年層では、一つのアカウントで複数のサービスが利用できるID連携の利用も多く、全体として安全性より利便性を重視している傾向が見てとれます。
二段階認証を使いたいケースに対する回答では、「ネットバンキング」59.1%、「クレジット会員サービス」45.6%が上位となり、一方で「通販(EC)」18.9%、「SNS」14%は低い回答率に留まりました。直接金銭に紐づいているサービスを重要視している利用者が多い一方で、個人情報やクレジットカード情報を含むサービスや、ID連携が可能なサービスについては重要性の認識が低いことが伺えます。

その他では、以下のような調査結果の概要(一部抜粋)が報告されています。

・安全なパスワードの文字数
 「8文字以下で安全」と思っている利用者53.2%
・ワンタイムパスワードの利用経験
 「使用経験がない」20.6%、「何かわからない」5%
・本人認証で不満、嫌に思った経験
 「パスワードが認識されなかった」39.5%、「二段階認証が面倒」22.8%

詳しい調査結果は、フィッシング対策協議会の公式サイトより、PDFファイルが無償でダウンロード・閲覧可能です。今後は、2019年2月に実施されたインターネットサービス提供事業者側の調査と、今回のユーザ側の調査を比較検討し、安全利用へ向けた意見としてまとめ、発表する予定とのことです。

■利用者へのアドバイス
年々さまざまなサービスの認証情報などを狙うフィッシング詐欺が増加しています。さらに、ID連携が可能なLINEやAmazon、楽天などのブランドは特に狙われる傾向にあります。万一このようなアカウントの情報が第三者に奪われて悪用されてしまった場合、被害は広範囲に及ぶ可能性があります。SNSや総合サービス、総合ECサイトのアカウントの重要性を再認識し、サービス利用者は個別の複雑なパスワードに加えて多要素認証などのセキュリティを強化できる認証手段も併用しましょう。
複雑なパスワードをサービス毎に考えたり、ログインのたびに入力したりするのが大変だと感じている場合は、パスワード管理ツールの利用が便利です。例えば、トレンドマクロのパスワードマネージャーでは、長くて複雑なパスワードの自動生成に加え、サイト毎にIDとパスワードを管理して自動ログイン*することも可能です。このようなセキュリティ製品を活用して、利便性と安全性を両立しましょう。
*自動ログインに対応しているサイトのみで有効。
]]>
https://is702.jp/main/images/news/S200914.png
止まぬネットバンキングの不正送金被害、個人口座の不正利用が顕著に 昨年再急増したネットバンキングの不正送金被害が続いています。新たな手口による被害も報道されていますので、ネットバンキング利用者以外も注意を怠らないようにしてください。 2020-09-11T00:00:00+09:00
一般社団法人全国銀行協会は9月7日、「盗難通帳」「インターネット・バンキング」「盗難・偽造キャッシュカード」などによる預金の不正払い戻しや、口座不正利用に関するアンケート調査(2020年度第1四半期:Q1)の結果を発表しました。この調査は、同協会の会員191行を対象に四半期ごとに行われているもので、今回は2020年6月末に行われました。

このうち、「インターネット・バンキングによる預金等の不正払い戻し」に関するアンケート結果によると、2020年4月~6月におけるインターネット・バンキングによる不正払い戻しの被害件数・被害金額は、個人顧客が372件、2億1,700万円。一方、法人顧客は13件、1,700万円となっており、引続き個人口座の被害が大半を占めています。


図:インターネット・バンキングによる預金等の不正払い戻し件数・金額(全銀協の調査結果レポートより)

図:インターネット・バンキングによる預金等の不正払い戻し件数・金額(全銀協の調査結果レポートより)


インターネット・バンキングによる不正払い戻しは、2015年のピークを境に減少傾向にありましたが、個人を狙った攻撃が2019年度に急増し、2018年度1年間の被害が306件、7億5,300万円だったのに対し、2019年度は1,756件、18億2,200万円にまで達しています。今回の調査も高い数字を示しており、利用者は引続き警戒を緩めないようにしてください。メールやSMS(ショートメッセージサービス)などから誘導されるサイトの利用は避け、必ず正規サイトや公式アプリから利用してください。

また直近では、オンライン口座サービスに第三者の口座を不正に振替登録し、個人利用者の口座から預貯金が不正に引き出されたと複数の銀行が公表しています。サービスの隙を突いた不正行為によるものとされていますが、本件に限らず自身の口座に身に覚えの無い取引履歴が無いかどうか定期的な確認を怠らないようにしましょう。自身がネットバンキングを利用していない場合でも、被害に遭う可能性があります。他人事とは考えず、用心を怠らないことが大切です。万一不審な取引履歴を見つけたら、すぐに利用している金融機関や、警察の窓口に相談をしてください。

警察庁 サイバー犯罪相談窓口

また、銀行口座が悪用される被害の中には、既に何かしらの原因によって流出した口座情報がネット上で売買され、サイバー犯罪者が不正に情報を入手している場合もあります。ネット上に自身の口座情報が流出しているかどうかを確認する手段としては、セキュリティ製品によるダークウェブモニタリングの機能を利用する方法もあります。例えば、トレンドマイクロのパスワードマネージャーに搭載されたダークウェブモニタリング機能では、予め登録した銀行口座やメールアドレスなどの情報流出を常に監視し、万一流出が確認された場合は警告と共に対処方法を知らせてくれます。
サイバー犯罪は日々巧妙化しています。利用者は自衛のために最新の手口を知っておくと共に、セキュリティ製品を活用して安心・安全にネットを活用しましょう。
]]>
https://is702.jp/main/images/news/S200911_1.png
あやしいメールの添付ファイルやURLリンクを開いてしまったときの対処法【2020年】 メールやSNS、SMS、ネット広告は、マルウェアの拡散や不正サイトへの誘導といった攻撃の手段としても悪用されています。ちょっとした気の緩みから、あやしげな添付ファイルやURLリンクを開いてしまったときの対処法を知っておきましょう。 2020-09-10T00:00:00+09:00
こんなときどうする!?

あやしいメールの添付ファイルやURLリンクを開いてしまったときの対処法【2020年】

2020/09/10
こんなときどうする!? あやしいメールの添付ファイルやURLリンクを開いてしまったときの対処法【2020年】

スパムメールや不正なメッセージを起点とする攻撃の勢いは一向に衰えません。サイバー犯罪者は言葉巧みに添付ファイルやURLリンクを開かせ、マルウェアに感染させたり、不正サイトへ誘導したりしようとしています。あやしげな添付ファイルやURLリンクをうっかり開いてしまったときの対処法を紹介します。

スパムメールに引っかかってしまうワケ

スパムメールや不正なメッセージを介してマルウェア(ウイルスなどの不正なプログラムの総称)に感染させられたり、不正サイトへ誘い込まれたりするケースが相次いでいます。こうした事例やその危険性についてはメディアが盛んに報じ、警察機関やセキュリティ関連団体も注意喚起を行っています。それなのになぜ被害が後を絶たないのでしょうか。

最近のスパムメールは、受信者に不信感を抱かせないように作り込まれています。内容や日本語の言い回しに不自然な点はほとんどなく、受信者が正規のメールと錯覚しがちです。たとえば、実在する通信販売事業者や宅配便事業者などを装って「セキュリティアラート」「サービス継続手続き」「請求書の送付」「商品の配送確認」などを名目とするもっともらしいメッセージを送りつけてくるため、受信者は疑いなく添付ファイルやURLリンクを開いてしまうのです。

メールの不正な添付ファイルを開かせる手口と対策とは?

2019年後半ごろから国内で話題になっているのは、実在する企業や組織、過去にメールをやり取りしたことのある人物などを装って「請求書」「ドキュメント」「賞与支払」などの件名のメールを送りつけ、受信者にOfficeの文書ファイルを開かせる手口です。

図:EMOTETを感染させるWordのDOC形式の文書ファイルの例(2019年10月確認)

ファイルを開いて、メッセージバーの「編集を有効にする」「コンテンツの有効化」ボタンをクリックしてしまうとどうなるでしょうか。不正なマクロが実行され、マルウェアに感染してしまいます。メール内のURLリンクを開かせ、不正なマクロを埋め込んだ文書ファイルをダウンロードさせるパターンも確認されています。

図:「コンテンツの有効化」ボタン

※マクロは、事前に記録した操作内容や手順をまとめて実行させる機能です。WordやExcelなどのOfficeドキュメントの標準機能として備わっています。

このEMOTET(エモテット)と呼ばれるマルウェアを配布する手口は日々変化しており、直近でも不正な添付ファイルをパスワード付きのZIPファイルにして送ることで、セキュリティソフトの検知を回避しようとしたり、受信者に信じ込ませるために、実際に企業などから送信された文面や件名などを複製して偽のメールを仕立てたりするなど巧妙化を続けています。常に最新の情報を入手し、警戒を怠らないようにしましょう。

●対策

  • メールのフィルタリング機能を有効にし、スパムメールの受信を防ぐ
  • メールの添付ファイルを不用意に開かない(必要に応じて差出人に電話などで問い合わせ、事実確認を行う)
  • マクロの自動実行が無効になっていることを確認する(Word→ファイル→オプション→セキュリティセンター→マクロの設定→「警告を表示してすべてのマクロを無効にする」を選択)
  • 脆弱性の悪用を防ぐために、OSやソフトを常に最新の状態に保つ
  • セキュリティソフトを最新の状態で利用し、スパムメール受信後のマルウェア感染などを防ぐ

不正なURLリンクを開かせる手口と対策とは?

実在する企業や組織、よく知った相手が差出人でも、何らかの理由をつけてURLリンクを開かせようとするメールは、あなたを不正サイトへ誘導するためにサイバー犯罪者が送りつけたものかもしれません。たとえば、携帯電話事業者を装うメールで「契約更新」「支払い金額の返金」などと通知し、受信者に不正なURLリンクを開かせる手口が確認されています。誘導先は当選画面を表示する偽サイトで、当選金を受け取るためという名目で銀行口座情報などを入力するよう仕向けます。

図:携帯電話事業者をかたった偽メールの一例

図:誘導先の偽当選画面の一例

不正サイトへの誘導手段はメールだけではありません。SNSの投稿やダイレクトメッセージ、SMS(ショートメッセージサービス)、一般のWebサイトに表示されるネット広告も不正サイトの入り口になっています。たとえば、TwitterやFacebook、YouTubeなどのSNSにおいてセキュリティ会社やオフィス機器メーカーを装うアカウントから「技術的な悩みを解決します」といった文言とURLリンクを投稿し、サポート詐欺サイトへ誘導する手口が確認されています。また、突然表示される「ウイルス感染」「システム破損」を警告する画面もサポート詐欺サイトにつながっているかもしれません。こうした警告は、ネット利用者の不安をあおることでクリックを促す演出に過ぎないのです。

サイバー犯罪者が偽装するのは、一般企業や知人だけではありません。警察庁をかたって「銀行の認証の設定が必要」などと呼びかけるSMSも確認されています。もし、メッセージ内のURLリンクを開くと特定の金融機関を偽装したフィッシングサイトへ誘導され、そこで入力したすべての情報がサイバー犯罪者の手に渡ってしまいます。

図:ポップアップメッセージの後に表示される警察庁を装う偽のWebサイト

メールなどのURLリンクは、パソコンのOSやソフトの脆弱性(セキュリティの弱点)を攻撃する不正サイトの入り口になっていることもあります。OSやソフトの脆弱性を残したままのパソコンでは、こうした不正サイトを表示しただけでマルウェアに感染してしまうこともあるのです。

●対策

  • スパムメールや不正メッセージの実例を知る
  • セキュリティソフトを最新の状態で利用し、不正サイトへのアクセスを未然に防ぐ
  • メールやSMS、SNSの投稿やメッセージ内のURLリンク、ネット広告を不用意に開かない
  • 脆弱性の悪用を防ぐために、OSやソフトを常に最新の状態に保つ
  • SMSの振り分け機能や、次世代SMSの「+メッセージ」を利用する

    ※+メッセージでは、携帯電話事業者3社による審査をクリアしなければ企業の公式アカウントを開設できません。企業の公式アカウントには認証済みマークが付与され、利用者がメッセージの真偽を判断する目安にできます。

あやしい添付ファイルを開いてしまったと感じたときの対処法

スパムメールは一目で不正なものと判断することが難しくなっています。どれだけ注意していても不正な添付ファイルを開いてしまうことがあるかもしれません。「あやしいファイルを開いてしまったかも」と感じた場合、どのように対処すべきでしょうか。

  • 1.セキュリティソフトでスキャンを行う
    パソコンにインストールされたセキュリティソフトでスキャンを実行しましょう。マルウェアが検出された場合、画面に表示された内容をもとに必要な対処を行ってください。

    ウイルスバスターでスキャンを実行する方法
    https://helpcenter.trendmicro.com/ja-jp/article/TMKA-17994/


    スキャンの結果、パソコンに入り込んだマルウェア名が判明する場合もあります。ネット上に公開されている脅威データベースにマルウェア名を入力することで、マルウェアの詳細情報や対処法を確認できます。


    トレンドマイクロ脅威データベース:
    https://www.trendmicro.com/vinfo/jp/threat-encyclopedia/

  • 2.パソコンをオフラインにし、再度スキャンを行う

    パソコン内のデータを外部に送信したり、ネットワーク経由で他の端末にも侵入したりするマルウェアに感染している可能性もあります。被害の拡大を防ぐため、パソコンをネットワークから切り離しましょう。有線LANならばLANケーブルを抜き、無線LANならばパソコンのWi-Fi機能をオフにしてください。

  • 3.サポート窓口に連絡する

    正しく対処できたかどうかわからない方は、ご利用のセキュリティソフトのサポート窓口に問い合わせましょう。ウイルスバスターをご利用の方はこちらからお問い合わせください。


    ウイルスバスター ヘルプとサポート:
    https://helpcenter.trendmicro.com/ja-jp/contact-support/

あやしいURLリンクを踏んでしまったかもと感じたときの対処法

メールなどの「あやしいURLリンクを開いてしまったかも」と感じた場合、誘導先のWebサイトで「情報を入力する」「ソフトをダウンロードする」「アプリ連携を許可する」といったアクションを起こしてはいけません。次のポイントを最優先で確認してください。

  • 2.メールの件名、内容などをキーワードにGoogleやYahoo!などで検索をかけ、類似の報告事例や注意喚起の情報を確認する
  • 3.メール送付元の企業名が明確な場合は、その企業の公式サイトに載っている問い合わせ窓口に連絡し、事実確認を行う
  • 4.友人のSNSの投稿、メッセージの言葉遣いや内容などに違和感を覚えた場合、そのメッセージには返信せず、電話もしくは別のSNSなどで友人に連絡し、事実確認を行う
  • 5.セキュリティソフトを最新の状態にした上でスキャンを行う

スマホの場合、不正なURLリンクから不正アプリ(スマホウイルス)のインストールに誘導されることもあります。スマホにもセキュリティアプリをインストールしておき、最新の状態に保って利用してください。パソコンやスマホで不正サイト、詐欺サイトに遭遇したときの対処法も押さえておきましょう。

]]>
http://rss.is702.jp/main/rss/3733_l.jpg
8月のフィッシング報告件数発表、ついに月間2万件を突破|フィッシング対策協議会 フィッシング対策協議会は9月3日、フィッシングに関する8月の集計結果を発表しました。それによると、同協議会に寄せられた月間のフィッシング報告件数は20,814件となり、ついに2万件台を突破しました。 2020-09-04T00:00:00+09:00
2019年は、同年12月の8,208件が最大値で、1万件台を下回っていましたが、2020年春頃から報告件数が急増。2020年4月に初の1万件台を記録して以降も増加傾向を見せています。

図:フィッシング報告件数の推移(フィッシング対策協議会の発表資料より)

図:フィッシング報告件数の推移(フィッシング対策協議会の発表資料より)


全体の傾向としては、Amazon、LINE、楽天、楽天カードを騙るフィッシングメールが、繰り返し大量配信されており、この4ブランドだけで報告数全体の約92.6%を占めているとのことです。また、これらの偽メールの多くは、差出人メールアドレスに正規サービスのドメインをかたる「なりすまし送信」だったとのことで、受信者が送信元を一見しただけでは真偽の判断が困難なものになっています。他には、Apple、クレジットカードブランド、金融機関、家具販売サイトや家電メーカーのブランドをかたるフィッシングサイトの報告を受けているとのことです。また、拡散手段もメールに加えてSNS広告から誘導する手口にも注意が必要だとしています。
一方、不正なURLについては、同じ文面でURLが短時間で変わっていくものが多く、大量に取得した独自ドメインやIPアドレスを直接使うケースが増えているとのことです。

■対策
フィッシングサイトへの主な誘導手段となっているフィッシングメールには、メールのフィルタリング機能やセキュリティソフトによる対策が有効です。誤って誘導先にアクセスしてしまわないためにも、不正なメールの受信を防ぐことが大切です。もし不審なメールを受け取った場合は、各サービス事業者の問い合わせ窓口、またはフィッシング対策協議会に連絡してください。
SNS広告を悪用した手口に対しては、広告からではなく認証済みの公式アカウントや正規サイトを検索し、そこから商品やサービスの情報を確認するなどし、安易に広告をタップしないようにしてください。また、ログインを促すようなメールやSMSを受信した際は、公式アプリやブックマークした正規のURLからサービスへログインして確認しましょう。

メールなどで送られてきたURLが不正なものかどうかを確認する手段としては、無償で利用できるトレンドマイクロの「ウイルスバスター チェック!(@trendmicro_vbcheck)」も役立ちます。LINEの友達に追加することで、サイトにアクセスする前にトーク画面でURLの安全性を判定することができ、フィッシングサイトなどの不正サイトへのアクセス回避につながります。また、昨今注目されている個人情報漏えい被害への対策として、自身のメールアドレスがネット上に流出しているかどうかを確認することも可能です。自身や家族のセキュリティ対策に役立てましょう。


ウイルスバスター チェック!

]]>
https://is702.jp/main/images/news/S200904_4.png
【注意喚起】トレンドマイクロのアンケートメールなどに偽装した偽メールに注意 トレンドマイクロは9月3日、「『EMOTET』がトレンドマイクロのアンケートメールを偽装」と題し、同社を騙る不審なメールが9月3日前後から出回っていることを確認したとして利用者に注意を呼びかけました。 2020-09-04T00:00:00+09:00
同社ではサポートセンターから送信するメールにファイルを添付することはなく、メールが届いても添付ファイルを実行せずに破棄するよう注意を促しています。添付ファイルを開き、マクロを実行してしまうと最終的にマルウェア(ウイルスなどの不正なプログラムの総称)「EMOTET(エモテット)」に感染します。現在のMicrosoft Officeの標準設定ではマクロが無効になっているため、「コンテンツの有効化」ボタンをクリックしない限り実行されることはありませんが、添付ファイルを開かない方が賢明です。


図:トレンドマイクロのアンケートを偽装した迷惑メールの内容例

図:トレンドマイクロのアンケートを偽装した迷惑メールの内容例




図:偽装メールに添付されたWordファイルを開いた場合の表示例 上部の「コンテンツの有効化」ボタンをクリックしなければ不正マクロは実行されないため、被害を免れることが可能

図:偽装メールに添付されたWordファイルを開いた場合の表示例 上部の「コンテンツの有効化」ボタンをクリックしなければ不正マクロは実行されないため、被害を免れることが可能



今回確認された偽メールは「トレンドマイクロ・サポートセンター満足度アンケート調査 ご協力のお願い」などの件名でWord文書ファイルが添付されたものです。EMOTETは2020年7月中旬から活動の再活発化が見られており、国内でもJPCERT/CCなどから注意喚起が行われていました。

EMOTETの攻撃者は窃取したメールを元に、本文を引用したり、返信を装ったりして新たな攻撃メールを送信することが知られています。今回の攻撃メールも、件名や本文の文面だけを読むと不審なメールではないように思えますが、これは窃取した本物のメールの内容をコピーして使用しているものと考えられます。ただし、件名と添付ファイル名は「カスタマー満足度アンケート」や「トレンドマイクロ・カスタマー満足度アンケー.doc」のように一部のみとなっているものも確認しているとのことです。

表:問題の攻撃メールの件名例(9月3日14時時点)<br />

表:問題の攻撃メールの件名例(9月3日14時時点)


また、送信元(From:)のメールアドレスもトレンドマイクロの正規アドレスを偽装していますが、よく見るとそのあとに異なるアドレスの表示が確認できるため、不審なメールであると判断できます。

このように、企業などを装った不正メールは同時期に複数報告されており、偽装に悪用された企業やIPA(独立行政法人情報処理推進機構)でも注意を呼び掛けています。利用者は添付ファイル付きのメールや、リンクをクリックさせるようなメールは安易に信用せず、各企業の公式サイトやセキュリティ関連団体の注意喚起を参照するようにしましょう。

不正なメールの受信を防ぐには、メールのフィルタリング機能や、セキュリティソフトの利用が有効です。最新の脅威を防ぐためにも、OSやセキュリティソフトを最新の状態に保ち、安心・安全にネットを活用してください。
]]>
https://is702.jp/main/images/news/S200904_2.jpg
配送業者をかたる偽の不在通知メッセージに要注意 ママは自宅でショッピングを楽しんでいます 2020-09-03T00:00:00+09:00
ひろしとアカリのセキュリティ事情

配送業者をかたる偽の不在通知メッセージに要注意

2020/09/03

配送業者をかたる偽の不在通知メッセージに要注意

ネット利用者を不正サイトへ誘導し、情報や金銭をだまし取るネット詐欺の勢いは増すばかりです。トレンドマイクロによると、詐欺サイトへ誘導された国内のモバイル利用者数は6月の一か月で約45万件に上り、昨年6月の約15倍にも急増しています。

図:詐欺サイトに誘導された国内モバイル利用者数推移、2020年8月トレンドマイクロ調べ

スマホ利用者を不正サイトへ誘導する手段は、主に不正なメールやSMS(ショートメッセージサービス)です。サイバー犯罪者は実在する企業や組織、サービスなどを装ってもっともらしい内容のメッセージを送りつけ、受信者に不正なURLリンクを開かせようとします。

よく見られるのが、実在する配送業者をかたり「不在のため持ち帰りました。配送物をご確認ください」といった文言とURLリンクを含む内容で送りつけられる偽の不在通知メッセージです。こうしたメッセージが入り口となるスマホ向けの不正サイトの中には、アクセスしてきたスマホのOSを判別し、OSによってリダイレクト(転送)先を切り替えるものも存在します。

たとえば、Android OSの端末では偽の荷物問い合わせページを表示させ、そこからGoogle Playを模した偽サイトへ誘導されるパターンがあります。その狙いは、Android OSの端末ユーザに配送業者の公式アプリに見せかけた偽アプリや、OSのアップデートを装った偽アプリをインストールさせることです。万一偽アプリをインストールしてしまうと、端末内の情報を窃取されたり、自身の端末から不在通知を装った偽装SMSを勝手に送信されたりする被害に遭う可能性があります。

図:偽の不在通知で誘導された不正WebサイトにAndroid OSの端末からアクセスした場合に表示されるGoogle Playを模した不正Webサイト例

一方、iPhoneではAppleや、配送業者のサイトに偽装した偽のログインページに誘導されます。iPhoneユーザが正規のログインページと誤認してApple IDとパスワード、さらに2ファクタ認証(ワンタイムパスワード)を入力してしまうと、それらがサイバー犯罪者の手に渡ってしまい、アカウントの乗っ取りや金銭被害につながるかもしれません。また、同じ手口で金融機関のログイン画面に誘導するパターンも確認しています。

図:偽の不在通知で誘導された不正WebサイトにiPhoneからアクセスした場合に表示される偽のログイン画面例

他にも、金融機関を装ったフィッシングサイトへ誘導され、オンラインバンキングの認証情報を詐取されたことで不正送金される被害も多数報告されました。

このように、スマホ利用者を不正サイトへ誘い込む手口はますます巧妙化しています。さらに、不正サイトは正規サイトをコピーして作られる場合もあり、一見しただけで真偽を判断することが難しくなっています。スマホでも必ず信用できるセキュリティアプリを利用し、それを常に最新の状態に保ちましょう。これにより、不正サイトにアクセスしたり、不正アプリをインストールしたりするリスクを軽減できます。また、ネット詐欺の手口と事例を知ることも自衛策の1つです。もちろん、メールやSMS、SNS上のURLリンクを不用意に開かないこと、Google PlayやApp Store、携帯電話事業者などが運営する公式アプリストア以外のWebサイトからアプリを入手しないことも徹底してください。ただし、公式アプリストアにも不正アプリが紛れ込んでいる可能性があるのでインストール前の確認を怠らないようにしましょう。

SMSの進化版「+メッセージ」を利用するのもネット詐欺対策として有効です。+メッセージにおける企業の公式アカウントには携帯電話事業者3社による審査をクリアしたことを示す認証済みマークが付与され、利用者がメッセージの真偽を判断する目安にできます。また、+メッセージでは連絡先未登録の相手からのメッセージを不明な差出人フォルダに振り分ける設定も可能です。自身が利用しているSMSの設定や機能を改めて見直し、対策に役立てましょう。

図:事業者のアカウントに表示される認証済みマークの例

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3728_l.jpg
ネット接続機器の「脆弱性」対策について解説した消費者向け・開発者向けガイドを公開|IPA 独立行政法人情報処理推進機構(IPA)は8月27日、一般消費者と製品開発者に向け、インターネット接続機器の「脆弱性」対策について解説した、2種類のガイドを公開しました。 2020-08-31T00:00:00+09:00
「脆弱性」とは、モバイルやパソコン、ルータ、ゲーム機などネットに繋がる機器のOSやファームウェア、さまざまなソフト、アプリケーションに存在するプログラムの不具合や設計ミスによるセキュリティ上の欠陥や不備を指します。脆弱性を悪用されると、データを盗まれたり機器を勝手に操作されたり、サイバー攻撃やサイバー犯罪の被害を受ける可能性があります。

IPAは2004年7月から、ソフトウェア製品やWebアプリケーションなどの脆弱性関連情報の届出を受け付けていますが、これまでに累計15,676件の届出を受けています。一方で、製品やサービスを提供する企業からは「実施すべき脆弱性対処項目が多い」「限られたリソースで対処しきれない」「一般消費者が脆弱性対処の必要性を認知していない」といった声があがっていました。

こうした意見を受けIPAは、脆弱性に対する理解を深め、消費者が脆弱性に対処した製品を選べるようになることを目指し、今回2種類のガイドを公開しました。

一般消費者向けガイドは、「デザインや性能、価格だけで選んでいませんか?~ネット接続製品の安全な選定ガイド」と「購入した製品を、そのままの状態で使い続けていませんか?~ネット接続製品の安全な利用ガイド」の2つの冊子で構成されており、セキュリティに配慮した製品の選び方、そして使い方について、わかりやすく解説しています。いずれも図を多用した5ページの構成となっています。

たとえば、家電量販店やECサイトでネット接続製品を購入する場合、その確認ポイントとして「アップデート機能がある」「セキュリティの最新情報がウェブサイトに掲載されている」「問い合わせ先がある」といった項目が紹介されています。さらに購入後の利用においては、「パスワードの変更」「アップデートの実行」「サポートが終了した製品は利用しない」といった対処方法が紹介されています。

一方、企業向けの「脆弱性対処に向けた製品開発者向けガイド」では、基本的な対策を12項目に絞り、「方針・組織」「設計・開発」「出荷後の対応」の3つのカテゴリに分けて解説しています。

本ガイドは、IPAの公式サイトから無償でダウンロード・閲覧が可能です。


図:一般消費者向け「ネット接続製品の安全な選定ガイド」「ネット接続製品の安全な利用ガイド」表紙(IPAの発表資料より)

図:一般消費者向け「ネット接続製品の安全な選定ガイド」「ネット接続製品の安全な利用ガイド」表紙(IPAの発表資料より)



脆弱性が放置されている機器が家庭内にあるかどうか確認する方法としては、ホームネットワーク診断によるスキャンも有効です。トレンドマイクロでは、ホームネットワークの安全性を評価するスマホ向けアプリ「スマートホームスキャナー」と、パソコンで利用できる診断ツール「オンラインスキャン for Home Network」を無料で提供しています。ホームネットワークにつながっている家電や機器を表示し、それぞれのセキュリティの問題点と解決策を提示してくれます。


※バナーをクリックするとトレンドマイクロのスマートホームスキャナーのページが開きます。

※バナーをクリックするとトレンドマイクロのスマートホームスキャナーのページが開きます。

]]>
https://is702.jp/main/images/news/S200828.png
警視庁がLINE公式アカウント「CYBER POLICE」開設、サイバー犯罪情報などを配信 LINE、メルカリ、警視庁(サイバーセキュリティ対策本部)、中央大学の4者は8月26日、LINE公式アカウント「CYBER POLICE」(LINE ID:@cyberpolice)を開設しました。ネット上でのトラブル回避に必要な知識や、正しい情報の見分け方などの提供を目的としたアカウントです。 2020-08-27T00:00:00+09:00
中央大学では、新型コロナウイルスの影響で、学生の学修環境がオフラインからオンラインへと移行し、活動機会が広がることが想定されています。またメルカリでは、これまで青少年や保護者・教員を対象に、フリマアプリの仕組みやトラブルに巻き込まれないための方法・事例を伝える教育プログラムを提供していましたが、このような活動も、オフラインからオンライン中心に移りつつあります。

LINE、メルカリ、警視庁、中央大学の4者は2019年12月に産官学連携についての協定を締結しており、青少年向けのサイバーセキュリティ教育、さらには、サイバーセキュリティの中核を担う人材育成に力を入れています。こうした背景から今回、警視庁が主体となってLINE公式アカウント「CYBER POLICE」を開設し、LINEを通してさまざまな啓発活動を行うとのことです。


LINE公式アカウント「CYBER POLICE」イメージ(公式発表より)

LINE公式アカウント「CYBER POLICE」イメージ(公式発表より)



具体的には、今まさに起こっているサイバー犯罪などの注意喚起を、アカウントの友だち全員に一斉配信するほか、セグメント配信機能を活用し、それぞれの要望に沿った情報提供を行います。ジャンルとしては、「サイバー犯罪情報」「サイバーセキュリティ教育に関する情報」「SNSの利用に関する情報」「フリマアプリの安全利用に関する情報」の4つが用意されており、利用開始時のアンケートで選択できます。

LINE公式アカウント「CYBER POLICE」を利用する場合は、LINEの「友だち追加」からQRコードの読み込みを行ってください。検索機能が使えるユーザは、LINE ID「@cyberpolice」を検索して追加することも可能です。

LINEを介したネットセキュリティへの取組としては、トレンドマイクロにおいても無償で利用できる「ウイルスバスター チェック!(@trendmicro_vbcheck)」を提供しています。LINEの友達に追加することで、サイトにアクセスする前にトーク画面でURLの安全性を判定することができ、不正サイトへのアクセス回避につながります。また、昨今注目されている個人情報漏えい被害への対策として、自身のメールアドレスがネット上に流出しているかどうかを確認することも可能です。「CYBER POLICE」アカウントとあわせてセキュリティ対策に役立てましょう。



ウイルスバスター チェック!

]]>
https://is702.jp/main/images/news/S200827.png
「情報セキュリティ10大脅威 2020」の一般利用者向け簡易説明資料公開|IPA 独立行政法人情報処理推進機構(IPA)は8月25日、「情報セキュリティ10大脅威 2020」について、一般利用者向けの簡易説明資料(個人編)を公開しました。 2020-08-27T00:00:00+09:00
「情報セキュリティ10大脅威 2020」は、2019年に発生した情報セキュリティの事故・事件のなかから、選考会メンバーが重大事件を専門家が選出するもので、2020年1月に発表されました。「個人」と「組織」という異なる視点からトップ10が選出されましたが、個人ランキングでは、「スマホ決済の不正利用」が初登場1位という異例の結果となっています。

・情報セキュリティ10大脅威 2020(個人)
1位 スマホ決済の不正利用
2位 フィッシングによる個人情報の詐取
3位 クレジットカード情報の不正利用
4位 インターネットバンキングの不正利用
5位 メールやSMS等を使った脅迫・詐欺の手口による金銭要求
6位 不正アプリによるスマートフォン利用者への被害
7位 ネット上の誹謗・中傷・デマ
8位 インターネット上のサービスへの不正ログイン
9位 偽警告によるインターネット詐欺
10位 インターネット上のサービスからの個人情報の窃取

新たに公開された「情報セキュリティ10大脅威 2020 [個人編](一般利用者向け)」では、さらにわかりやすく、各脅威の手口や注意すべきポイント、具体的な対策を解説しています。「情報セキュリティ10大脅威 2020 [個人編](一般利用者向け)」は54ページのPDFファイルで、IPAの公式サイトより無償でダウンロード・閲覧が可能です。ネット利用者は対策に役立てましょう。


「情報セキュリティ10大脅威 2020 [個人編](一般利用者向け)」表紙(IPAの発表資料より)

「情報セキュリティ10大脅威 2020 [個人編](一般利用者向け)」表紙(IPAの発表資料より)

]]>
https://is702.jp/main/images/news/S200826.jpg
自宅で仕事やオンライン学習を安全に行うためのセキュリティチェックリスト 昨今の社会情勢により、自宅で仕事やオンライン学習を行う機会が増えているのではないでしょうか。在宅ワーク時はオフィスワーク時に比べて情報漏えいや不正アクセスなどに遭うリスクが格段に増すため、普段以上にセキュリティに注意を払わなければなりません。クイズを通して必要な対策を確認しましょう。 2020-08-27T00:00:00+09:00
テレワーク初心者は必見

自宅で仕事やオンライン学習を安全に行うためのセキュリティチェックリスト

2020/08/27
テレワーク初心者は必見 自宅で仕事やオンライン学習を安全に行うためのセキュリティチェックリスト

最近は在宅勤務や、通勤に費やしていた時間を自宅でのオンライン学習に充てるスタイルが定着しつつあります。その際にセキュリティの観点で注意すべきことはなんでしょうか。クイズを通して注意点と対策を確認してみましょう。

ルータの管理画面にアクセスするためのIDとパスワードは、初期設定のままにしている。または、管理画面にアクセスしたことがない。

  • YES
  • NO

ルータの管理画面にアクセスするためのIDとパスワードは、初期設定のままにしている。または、管理画面にアクセスしたことがない。

A.NO

ルータの管理画面にアクセスするための IDとパスワードは、製造元や機種ごとに工場出荷時の設定値が一律で決まっていることがあり、取扱説明書や製造元のホームページに公開されていることもあります。もし、そのようなルータへの第三者によるアクセスを許すと、デフォルトのIDとパスワードで管理画面に入られ、不正に設定を書き換えられてしまうかもしれません。ルータの管理画面にアクセスし、第三者に推測されにくいIDとパスワードに変更しましょう。

利便性に問題があっても、勤務先が定めているテレワーク(在宅勤務、オフサイトワーク)のルールや規程を勝手に破ってはいけない。

  • YES
  • NO

利便性に問題があっても、勤務先が定めているテレワーク(在宅勤務、オフサイトワーク)のルールや規程を勝手に破ってはいけない。

A.YES

テレワークを行う際は、勤務先のルールや規程にもとづいて行動しなければなりません。規程に反した行動の結果、情報漏えいやマルウェア(ウイルスなどの不正なプログラムの総称)感染など何かしらのトラブルに見舞われた際、自身の責任を深く追及される可能性もあります。テレワークを安全に行うために、改めて自身のネットワーク環境や作業場所が適切かどうか、基本的なセキュリティ対策ができているかどうかを確認しましょう。

勤務先のシステム部門から業務用のメールサービスへの再ログインを求めるメールが届いた。その依頼には迅速に対応しなければならない。

  • YES
  • NO

勤務先のシステム部門から業務用のメールサービスへの再ログインを求めるメールが届いた。その依頼には迅速に対応しなければならない。

A.NO

勤務先のシステム部門やその担当者から業務用のメールサービスへの再ログインや、アカウント情報の提供を求めるメールが届いたら警戒してください。それは、業務メールサービスのアカウント情報をだまし取るためにサイバー犯罪者が送りつけてきたフィッシングメールかもしれません。もし、偽装メールの依頼に応じてしまった場合、業務メールアカウントに不正アクセスされ、メールの内容を盗み見られたり、スパムメール拡散の踏み台にされたりする可能性があります。そのようなメールが届いた場合、返信することは避けてください。メールに記載された問い合わせ先ではなく、普段使用しているメールアドレスや電話番号に連絡するか、社内専用のコミュニケーションツールなどで事実確認をしましょう。

配送業者から不在通知メールを受け取った。届くはずの資料があるため、すぐにメッセージ内のURLリンクから詳細を確認する。

  • YES
  • NO

配送業者から不在通知メールを受け取った。届くはずの資料があるため、すぐにメッセージ内のURLリンクから詳細を確認する。

A.NO

テレワークによって資料や教材などを自宅に送ってもらうケースが増えているのではないでしょうか。一方で、実在する配送業者になりすまし、「不在のため持ち帰りました。配送物をご確認ください」などと通知する偽のSMS(ショートメッセージサービス)やスパムメールが後を絶ちません。攻撃者の主な狙いは、受信者にURLリンクを開かせて不正サイトに誘導し、マルウェアに感染させたり、情報を詐取したりすることです。たとえ、メールの内容に心当たりがあっても添付ファイルやURLリンクを開かせようとするものは疑ってかかりましょう。返信するのも厳禁です。あなたのメールアドレスが有効であることを彼らに知らせてしまい、スパムメールが届きやすくなるかもしれません。

ZoomやMicrosoft Teams、Google Meetなどのビデオ会議サービスによるセミナーなどの主催者から発行された招待用URLやID、パスワードをSNSで仲間内に公開している。

  • YES
  • NO

ZoomやMicrosoft Teams、Google Meetなどのビデオ会議サービスによるセミナーなどの主催者から発行された招待用URLやID、パスワードをSNSで仲間内に公開している。

A.NO

セミナーなどの主催者から発行された招待用URLやID、パスワードなどをSNSに公開したり、参加する権利のない人と共有したりしてはいけません。部外者の入室を許すと、嫌がらせを受けたり、通信内容を盗み見されたりしてしまう可能性もあります。セミナーや研修、会議などで使われた資料の内容、参加者の画像や映像を勝手に記録したり、ネットに投稿したりする行為もトラブルの元です。ネットを介したコミュニケーションであっても、相手に配慮し、モラルがある行動を心がけましょう。

オンライン会議などに用いるビデオ会議アプリの更新通知を受け取った。そのままでも実務に支障はないが、アップデートをしてから利用するのが望ましい。

  • YES
  • NO

オンライン会議などに用いるビデオ会議アプリの更新通知を受け取った。そのままでも実務に支障はないが、アップデートをしてから利用するのが望ましい。

A.YES

ビデオ会議アプリの更新通知が届いたら速やかにアップデートしましょう。更新内容には機能の追加や変更だけでなく、脆弱性の修正も含まれる場合があるためです。たとえば、Microsoft Teamsでは以前、アカウントを乗っ取られる脆弱性が見つかり、Microsoftは利用者に脆弱性を修正済みの最新バージョンを適用するよう呼びかけました。ZoomのWindows版アプリでも認証情報を窃盗されたり、任意の実行可能ファイルを起動されたりする脆弱性が見つかっています。ビデオ会議アプリに限らず、アプリやソフトは常に最新の状態に保ちましょう。

あなたのセキュリティレベル

  • Q1.ルータの管理画面にアクセスするためのIDとパスワードは、初期設定のままにしている。または、管理画面にアクセスしたことがない。

  • Q2.利便性に問題があっても、勤務先が定めているテレワーク(在宅勤務、オフサイトワーク)のルールや規程を勝手に破ってはいけない。

  • Q3.勤務先のシステム部門から業務用のメールサービスへの再ログインを求めるメールが届いた。その依頼には迅速に対応しなければならない。

  • Q4.配送業者から不在通知メールを受け取った。届くはずの資料があるため、すぐにメッセージ内のURLリンクから詳細を確認する。

  • Q5.ZoomやMicrosoft Teams、Google Meetなどのビデオ会議サービスによるセミナーなどの主催者から発行された招待用URLやID、パスワードをSNSで仲間内に公開している。

  • Q6.オンライン会議などに用いるビデオ会議アプリの更新通知を受け取った。そのままでも実務に支障はないが、アップデートをしてから利用するのが望ましい。

もう一度診断する

]]>
http://rss.is702.jp/main/rss/3727_l.jpg
ルータやスマートTVなどを狙うマルウェア 新たな脆弱性を悪用する「Mirai」亜種が発見される トレンドマイクロは8月14日、公式ブログで「ルータの脆弱性『CVE-2020-10173』を利用するIoTマルウェア」と題する記事を公開しました。IoTマルウェア「Mirai」の新しい亜種が確認されたとのことです。この亜種の特徴からは攻撃者が特にホームルータを狙っていることがうかがえます。 2020-08-21T00:00:00+09:00
この亜種(「IoT.Linux.MIRAI.VWISI」として検出)は、新しい脆弱性・古い脆弱性、計9つの脆弱性を悪用し、多様なIoT機器を攻撃できます。具体的には、特定バージョンのIPカメラ(ネットワークカメラ)、スマートTV、ルータなどが影響を受けます。

なかでも、Comtrend社製VR-3033ルータの脆弱性「CVE-2020-10173」を新たに対象に採り入れたのが特徴です。この脆弱性は、過去のMiraiおよびその派生系の亜種では狙われていません。これはサイバー犯罪者が、新しい脆弱性の悪用機能をマルウェアに加えることで、攻撃対象を拡大し続けていることを示しています。攻撃者はCVE-2020-10173を悪用することにより、ルータによって管理されているネットワークを遠隔から侵害できます。これまでCVE-2020-10173については、概念実証(PoC:Proof of Concept)が公表されているのみで、IoTマルウェアによる実際の悪用事例は報告されていませんでした。

なおCVE-2020-10173以外にも、比較的最近になって発見された、Netlink製GPONルータ1.0.11に存在するリモートコード実行の脆弱性も攻撃対象としています。

新亜種は、攻撃可能な脆弱性を増やすことで、さらに多くのIoTデバイスを狙っていると考えられます。ユーザは、最低限必要な対策として、ルータやIoT機器の脆弱性を放置しないよう、ファームウェアを最新の状態に保つと共に、利用を開始する前に初期設定のパスワードを複雑なものに変更しましょう。また、家庭内ネットワークに繋がる機器が複数ある場合は、ネットワークを保護するセキュリティ製品の利用も検討すると良いでしょう。
対策を行っていない場合は、まずは家庭内のネットワークが危険にさらされていないか、診断をすることから対策をはじめてみると良いでしょう。トレンドマイクロでは、ホームネットワークの安全性を評価するスマホ向けアプリ「スマートホームスキャナー」と、パソコンで利用できる診断ツール「オンラインスキャン for Home Network」を無料で提供しています。ホームネットワークにつながっている家電や機器を表示し、それぞれのセキュリティの問題点と解決策を提示してくれます。


※バナーをクリックするとトレンドマイクロのスマートホームスキャナーのページが開きます。

※バナーをクリックするとトレンドマイクロのスマートホームスキャナーのページが開きます。


]]>
https://is702.jp/main/images/news/S200821_2.JPG
「人手による攻撃」と「二重の脅迫」を採り入れた、新たなランサムウェア攻撃に要注意|IPA 独立行政法人情報処理推進機構(IPA)は8月20日、「事業継続を脅かす新たなランサムウェア攻撃について」と題する情報を公開し、あらためて注意を呼びかけました。近年深刻化している「人手による攻撃」と「二重の脅迫」の2つの要素を採り入れたランサムウェア攻撃について、レポートを公開しています。 2020-08-21T00:00:00+09:00
「ランサムウェア」とは、パソコン等の端末やサーバ上のデータを暗号化する等して使用できなくし、それらの復旧を盾に身代金を要求するウイルスの総称です。これまでのランサムウェアを使った攻撃は、明確な標的を定めず、たとえば不正なメールをばらまくといった方法で、不特定多数に対して攻撃を行う手法が主流でした。しかし2018年~2019年頃より、特定の企業・組織を攻撃目標に定める犯罪者が現れ、そのときに用いられる手法が「人手によるランサムウェア攻撃」と「二重の脅迫」の2つです。こうした攻撃手法は海外で多く見られていましたが、近年は、国内の企業・組織でもこの攻撃手法による被害が確認されており、1万台を超えるマシンが攻撃されたり、数TB(テラバイト)ものデータが窃取されたりといった事例があり、身代金として要求されるのは、数千万円から数億円の規模となっているとのことです。

「人手によるランサムウェア攻撃」は、諜報活動を目的とする「標的型サイバー攻撃」と同じく、サーバへの不正アクセスやネットワーク機器の脆弱性の悪用など、さまざまな攻撃手法を駆使して、企業・組織のネットワークへひそかに侵入する手口です。そのため、攻撃の進行を検知しにくいのが特徴です。また、企業の基幹システムや重要情報などを十分に把握したうえで、一斉に攻撃を行うため、判明した時点ですでに大きな被害が生じている場合もあります。

一方「二重の脅迫」は、暗号化復旧の身代金だけでなく、あらかじめデータを盗み出しておき、「身代金を支払わなければ、データを公開する」と脅迫する手口です。身代金が支払われない場合、データの一部を公開し、日数の経過にともない、徐々に公開範囲を広げると脅す場合もあります。

新たなランサムウェア攻撃は、諜報活動と同等の技術が駆使されるため、あらゆる面でのセキュリティの強化が必要となります。たとえば、ウイルス対策、不正アクセス対策、脆弱性対策など、基本的な対策を、確実かつ多層的に適用することが重要でしょう。アクセス制御が適切にできているか、認証が突破される可能性はないか、脆弱性は解消されているかといった点も、企業や組織の担当者は今一度確認してください。また、事業が停止しないように、重要なデータやシステムは、定期的にバックアップを行いましょう。

詳細なレポートは、IPAの公式WebサイトからPDFにて閲覧、ダウンロードが可能です。



図:従来のランサムウェア攻撃と、新たなランサムウェア攻撃の違い(IPAの発表資料より)

図:従来のランサムウェア攻撃と、新たなランサムウェア攻撃の違い(IPAの発表資料より)

]]>
https://is702.jp/main/images/news/S200821.png
子ども専用のパソコンやタブレット端末を用意するときの注意点 ツトムは学校からタブレット端末を渡されたようです 2020-08-20T00:00:00+09:00
ひろしとアカリのセキュリティ事情

子ども専用のパソコンやタブレット端末を用意するときの注意点

2020/08/20

家庭でのセキュリティ対策は保護者が責任をもって行う

日常生活のさまざまな活動がオンラインに移行する中、教育現場でもパソコンやタブレット端末を活用したオンライン授業が普及しつつあります。小学校の教育課程ではプログラミング授業が必修になったこともあり、子どもたちが学校、および自宅で情報端末に触れる機会は今後さらに増えそうです。これを機に、お子さん専用のパソコンやタブレット端末を用意したいと考えているご家庭も多いのではないでしょうか。

パソコンやタブレット端末を使うとインターネットの世界はより身近なものになります。しかし、子どもたちの多くはネットの危険についてほとんど知識がありません。そのため、家庭でも教育と対策を行い、お子さんが安全にネットを利用できるようにしてあげましょう。

情報端末のセキュリティを確保する大前提は、「セキュリティソフトやアプリを入れ、最新の状態にすること」「OSやソフトを最新バージョンにアップデートすること」です。これにより、フィッシングサイトなどの不正サイトに誘導されたり、マルウェアに感染させられたりするリスクを軽減できます。また、お子さん用の情報端末には事前にペアレンタルコントロールを適用することも重要です。これにより、成人向けサイトや出会い系サイトなどの有害サイトへのアクセスや、適正年齢に達していないアプリの利用を防いだり、ネットやアプリの利用時間を制限したりすることができます。
一般的に、学習専用端末は予めセキュリティ対策や制限が行われています。一方、家庭で端末を用意する場合には、お子さんに渡す前に適切なセキュリティ設定や利用制限を行うことは保護者の責務となります。そして、一度設定したからとそのままにせず、お子さんの年齢や成長に合わせて制限内容を見直すことも忘れないようにしましょう。

保護者が使わなくなったパソコンやタブレット端末をお子さんに利用させる場合も、事前にセキュリティを確保しましょう。その際に注意したいのがOSやソフト、端末のサポート期限です。サポート切れの場合、脆弱性や不備が見つかってもそれを修正する更新プログラムやサービスが提供されず、その脆弱性を悪用するサイバー攻撃に対して無防備になってしまいます。サポート切れのOSや製品の利用は避けましょう。

学校や地域によっては学習用端末がお子さんに支給されることもあります。学校が定めた利用ルールをお子さんに守らせるよう、保護者も気を配りましょう。

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3721_l.jpg
【注意喚起】SNS広告から誘導する偽のショッピングサイトに注意 SNS上に表示される広告から偽のショッピングサイトに誘導する手口を確認しています。利用者は同様の手口に騙されないよう注意してください。 2020-08-18T00:00:00+09:00
無料で利用できるオンラインサービスやアプリは、一般的に画面上に表示される広告収入や利用者のデータを分析、活用することで収益を得ています。FacebookやInstagram、TwitterなどのSNSでも、利用者の趣味嗜好や性別、年齢に応じた広告が表示されます。しかし、このような広告の中には不正なものも紛れ込んでいます。

今回確認されたFacebook上の広告は、実在する家具などを取扱うECサイトに偽装していました。本来は4万円以上する商品が約1万円と大幅な値引き額で表示され、利用者を偽サイトに誘導していました。さらに、広告の写真や偽サイト内の画像、会社概要の情報も正規サイトから流用しており、一見本物のように見えます。


図:Facebook上に表示された偽装広告

図:Facebook上に表示された偽装広告




図:偽装広告から誘導していた偽サイト

図:偽装広告から誘導していた偽サイト




図:正規サイトの情報を記載した偽サイト内の会社概要

図:正規サイトの情報を記載した偽サイト内の会社概要




図:個人情報を詐取しようとする偽のアカウント作成画面

図:個人情報を詐取しようとする偽のアカウント作成画面




図:正規サイトの認証情報を詐取しようとする偽のログイン画面

図:正規サイトの認証情報を詐取しようとする偽のログイン画面


このような偽サイトを信用してログインや情報入力を行ってしまうと、正規サービスへの不正ログインや登録情報の悪用、入力情報をネット上で売買されてさらなる詐欺被害に遭うなどの危険性があります。また、IDやパスワードを使い回していると、他のサービスまで芋づる式に不正ログインをされてしまう可能性もあります。SNS上に表示された広告であっても安易にタップしないようにしましょう。

■ネット広告から不正サイトに誘導する手口に対する基本的な対策

・広告からではなく、認証済みの公式アカウントや正規サイトを検索し、そこから商品やサービスの情報を確認する
・初めてアクセスしたECサイトは、利用前に社名や問合せ先などをネット検索し、詐欺事例や注意喚起がある場合はその内容を確認して同様の手口に注意する
・利用機会の多いECサイトは、正規サイトをブックマークに保存しておき、そこから利用する(または公式アプリを利用する)
・セキュリティソフトやアプリを最新の状態で利用し、不正サイトにアクセスしてしまうリスクを下げておく

最近は在宅時間が増えたことで、自宅の家具やインテリアをより快適にしようとしている利用者も少なくありません。今回の事例はそのような利用者を狙っている上、正規サイトのブランドにも影響を及ぼしており悪質です。利用者は価格の安さに惑わされることなく、インターネットショッピングを安心・安全に楽しみましょう。
]]>
https://is702.jp/main/images/news/S200817_1.png
マイクロソフト、8月の月例セキュリティ更新を公開 すでに脆弱性を悪用した攻撃が発生中、利用者は更新確認を マイクロソフトは8月12日(日本時間)、月例のセキュリティ更新プログラムを公開しました。独立行政法人情報処理推進機構(IPA)およびJPCERTコーディネーションセンター(JPCERT/CC)も注意を呼びかけています。 2020-08-13T00:00:00+09:00
対象となるソフトウェアは、「Microsoft Windows」「Microsoft Edge(EdgeHTMLベース)」「Microsoft Edge(Chromiumベース)」「ChakraCore」「Internet Explorer」「Microsoft Office、Microsoft Office ServicesおよびWeb Apps」「.NET Framework」「Microsoft Scripting Engine」「SQL Server」「Microsoft JET Database Engine」「ASP.NET Core」「Microsoft Windows Codecs Library」「Microsoft Dynamics」で、深刻度「緊急」の脆弱性への対応も含まれています。

脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、リモートからの攻撃によって任意のコードを実行されたりする可能性があります。特に、「スクリプトエンジンのメモリ破損の脆弱性(CVE-2020-1380)」「Windowsのなりすましの脆弱性(CVE-2020-1464)」についてマイクロソフトは、「悪用の事実を確認済み」としています。

各製品のユーザは、Microsoft UpdateやWindows Updateなどを用いて、システムの更新を至急行ってください。自動更新を設定している場合も、念のため更新が適用されているか確認するのが望ましいでしょう。
]]>
https://is702.jp/main/images/news/img_news29.jpg
ネット通販詐欺に要注意、対策や被害に遭ってしまった時の相談先は? トレンドマイクロは8月6日、公式ブログで「実例で見るネットの危険:国内ユーザを狙うネット通販詐欺」と題する記事を公開しました。最近確認されたネット通販詐欺について報告しています。 2020-08-13T00:00:00+09:00
ネット通販詐欺では、正規ショップを偽装した詐欺サイトが活用されます。こうした詐欺サイトでは、人気ブランドの衣料品・時計・電子機器などを、非常に低価格で販売していますが、実際は偽物であったり、品物が届かなかったりします。また、こうした詐欺サイトは、ただ偽商品を販売するだけでなく、ユーザの行動を追跡していることも判明しています。ネット上の広告などから、金額の安さに惹かれて安易に同様のサイトにアクセスしないよう、注意しましょう。

トレンドマイクロのクラウド型セキュリティ技術基盤「Smart Protection Network」の機能である「Webレピュテーションサービス(WRS)」の統計データによると、今回問題となった詐欺サイトを運営していたグループに関連する不正ドメインが、2020年7月1日~19日の間に合計254件存在したことがわかりました。1日あたり300~1,200人の利用者がこれらのドメインに誘導されており、合わせて1万1,219人が誘導されたこととなります。


図:通販詐欺サイトの例

図:通販詐欺サイトの例



サイバー犯罪者は次々と新しい詐欺サイトを設置し、不正な営業活動を続けています。利用者は、詐欺の最新手口を知り、騙されないようにする必要があります。個人情報や決済などに関わる情報を入力するときは、特に注意してください。万が一被害に遭った場合は、警察や消費者センター、あるいは金融機関、クレジットカード事業者の窓口に速やかに相談しましょう。


被害相談窓口
ネット犯罪に遭遇警察庁 サイバー犯罪相談窓口
海外の通販サイト利用時のトラブル遭遇消費者庁 越境消費者センター(CCJ)
偽装品の販売に遭遇一般社団法人ユニオン・デ・ファブリカン
商品やサービスなど消費生活全般に関する苦情や問合せ独立行政法人国民生活センター 消費生活センター
自社ブランドになりすました偽サイトを確認なりすましECサイト対策協議会

ネット詐欺への対策としては、セキュリティソフトやアプリによって不正サイトにアクセスしてしまうリスクを軽減させておくことも重要です。一度詐欺に遭ってしまうと、その情報自体を悪用されたり、情報をネット上で売買されたりし、さらなる詐欺被害に遭う可能性もあります。
また、既に自身の情報がネット上に漏えいしていて、悪用される可能性があるかどうかを確認する方法もあります。セキュリティ対策製品のダークウェブモニタリング機能に、自身のメールアドレスやクレジットカード情報などを登録しておくことです。万一自身の情報がネット上で漏えいしたことが確認された場合、利用者は通知を受けとることが出来ます。このような通知を受けとることで、クレジットカードを速やかに停止したり、詐欺メールに普段以上に注意したりすることが可能となります。ネット通販の利用が多い場合は、このような対策も検討すると良いでしょう。
]]>
https://is702.jp/main/images/news/S200813_1.png
Twitter、ツイートに返信できるユーザ範囲が選択可能に Twitterは8月11日、ツイートに返信できるユーザ範囲を、投稿者自身が選択できる機能を正式公開しました。 2020-08-13T00:00:00+09:00
これまでは、自分のツイートに対して、フォローしている/していないにかかわらず、どのユーザも返信をツイートすることが可能でした(ブロックされている場合を除く)。今後は、自分がツイートするときに「(1)すべてのアカウントが返信できる(これまでと同じ、初期状態)」 「(2)自分がフォローしているアカウントだけが返信できる」「(3)@ツイートしたアカウントのみ(指定したアカウントのみ)が返信できる」という、3つのパターンのなかから選んで設定できるようになります。(2)と(3)を設定したときは、ツイートにラベルが付けられ、設定状態が表示されます。また返信できない利用者の場合、返信アイコンがグレー表示になります。

なお、返信できない利用者でも、ツイートを見たり、リツイートしたり、コメント付きリツイートをしたり、共有または「いいね」したりすることは可能です。

Twitterでは5月よりテストを開始していましたが、この機能で、利用者はより快適にツイートができるようになり、安全性が向上したとしています。この機能により阻止された攻撃的な返信は平均して3件だった一方で、攻撃的な引用リツイートは1件しか行われませんでした。また、望まれないダイレクトメッセージの増加は見られませんでした。さらに、テスト中にこの設定を利用した人の60%が、ミュートまたはブロック機能を利用せずに済んだことで、より意味のある会話が可能になったとしています。

Twitterでは今後、数か月以内にこの設定を利用した会話により多くの人を招き入れるオプションや、議論全体を表示する方法を追加していく予定です。

Twitterに限らずSNS利用者は、定期的にアカウントのセキュリティ設定や公開範囲、つながっている相手などを確認し、利用状況や機能の追加に合わせて見直すと良いでしょう。また、利用しなくなったSNSは悪用を防ぐためにも退会手続きを行い、アカウントやアプリを削除しましょう。


図:ツイートに返信できるアカウントを選択可能に(Twitterの発表資料より)

図:ツイートに返信できるアカウントを選択可能に(Twitterの発表資料より)


]]>
https://is702.jp/main/images/news/S200812_2.png
お子さんの安全な学びをサポートするために大人がやるべきこと パソコンやタブレット端末は、子どもたちの学習ツールとして欠かせない存在になりつつあります。学校や学習塾、習い事の場で普及しつつあるオンライン学習におけるセキュリティ上の注意点と、お子さんに情報端末を安全に使わせるにあたって保護者が行うべき対策を解説します。 2020-08-06T00:00:00+09:00
オンライン学習の注意事項とは?

お子さんの安全な学びをサポートするために大人がやるべきこと

2020/08/06
オンライン学習の注意事項とは? お子さんの安全な学びをサポートするために大人がやるべきこと

教育シーンではネットを介して行うオンライン学習の話題で持ちきりになっています。今後、子どもたちが自宅でパソコンやタブレット端末を操作しながら学習する光景は当たり前になるかもしれません。オンライン学習におけるセキュリティ上の注意点に加え、保護者がお子さん専用の情報端末を用意する際に必要な対策を紹介します。

オンライン学習が新しい学習スタイルに

全国的な休校措置をきっかけに、教育現場には大きな変革期が訪れようとしています。いま、学校や学習塾、習い事の場で普及しつつあるのがオンライン学習や授業(インターネットを介して行う教育や遠隔授業)です。

一口にオンライン学習と言ってもその形式はさまざま。大きく分けるとオンデマンド型と同時双方向型があります。前者はあらかじめ撮影、録画された授業の動画を生徒が好きな時間に視聴する形式です。後者は、指導者と生徒がZoomやMicrosoft Teams、Google Meet(旧Google Hangouts Meets)などのビデオ会議サービスなどを使って映像や音声をリアルタイムにやり取りしながら授業を進めるスタイルです。今後、子どもたちが自宅での学習シーンでパソコンやタブレット端末に触れる機会はさらに増えそうです。

今回は、同時双方向型のオンライン授業において受講者と配信者がセキュリティの観点で気をつけるべきことを紹介します。

オンライン授業において受講者と配信者が気をつけたいこと

●4つの注意点

1.マルウェア感染

利用者の急増に伴い、ビデオ会議ツールやサービスに便乗したサイバー攻撃が発生しています。実際、マルウェア(ウイルスなどの不正なプログラムの総称)付きのZoomのインストーラをダウンロードさせる事案が確認されています。もし、このインストーラを起動してしまうと、端末内に正規のZoomアプリだけでなく、マルウェアも入り込んでしまいます。ビデオ会議アプリなど、オンライン学習に必要なツールを入手する際は、各サービスの正規サイトや公式アプリストアを利用しましょう。

2.フィッシング詐欺

フィッシング詐欺は、実在する企業やサービスなどを装った偽のWebサイトに利用者を誘導し、情報を詐取するネット詐欺です。人気のビデオ会議サービスWebexやZoomなどの利用者を狙うフィッシングサイトも出現しています。

図:ビデオ会議アプリWebexのログインページに偽装したフィッシングサイトの例

図:Zoomログインページに偽装したフィッシングサイトの例

フィッシングサイトへの誘導手段は、メールやSMS、SNS、ネット広告などさまざまです。利用中のサービスについては予め正規サイトをブックマークに追加しておき、アカウントへのログインは必ずブックマークに登録した正規サイトや公式アプリから行いましょう。新たに利用を開始する場合は、Googleなどの検索エンジンを利用して正規サイトを確認してください。そして、Webサイト上で情報を入力する前にURLが正規のドメイン名かどうか、サーバ証明書の内容に問題がないかどうかを確認してから登録を行いましょう。

3.脆弱性

ビデオ会議アプリにも脆弱性が確認されています。脆弱性は、プログラムの設計ミスなどが原因で生じるセキュリティの欠陥で、どんなソフトやアプリにもつきものです。脆弱性を放っておくと、予期しない不具合が生じたり、サイバー攻撃に悪用されたりする危険性があります。たとえば、Microsoft Teamsでは以前、アカウントを乗っ取られる脆弱性が確認されました。ZoomのWindows版アプリでも認証情報を窃取されたり、任意の実行可能ファイルを起動されたりする脆弱性が見つかりましたが、いずれの脆弱性もすでに修正されています。アプリの開発元から脆弱性を修正済みの最新バージョンが提供された場合、速やかに適用してください。また、自身が利用しているものが最新版かどうか確認しておきましょう。

4.第三者による妨害

第三者が授業に参加し、不適切な画像共有などによって妨害する事例(Zoom爆弾、Zoom Bombing)が複数報告されています。ビデオ会議サービスにアクセスするために必要なURLやID、パスワードなどをネット上に公開したり、授業に参加する権利のない人と共有したりしてはいけません。これがきっかけで部外者に授業を妨害されたり、通信内容を盗み見されたりする可能性もあります。また、授業で使われた教材や資料の内容、参加者の画像や映像を勝手に取得、公開してはいけません。著作権や肖像権の侵害などにあたる可能性があるためです。オンラインであっても、相手への配慮やマナーを忘れないようにしましょう。

●配信者が気をつけたい3つの注意点

1.信頼できるサービスを選択する

セキュリティとプライバシーを考慮して設計されたビデオ会議サービスやビデオ通話アプリを利用しましょう。エンドツーエンドの暗号化や、IPアドレスによるアクセス制限などの機能を備えたサービスを利用すれば、第三者に通信内容を盗み見されたり、不正アクセスされたりするリスクを下げられます。サービスの内容や機能はもちろん、脆弱性の修正対応を含めたサポート体制も選定における重要な要素です。各サービス事業者のセキュリティとプライバシーの規定にもしっかり目を通しましょう。ただし、無料アカウントは一般に、セキュリティを含めた機能やサポートなどが制限されています。受講者が安心して学習に臨めるよう、適宜有償アカウントの利用も検討してください。

2.セキュリティとプライバシーの設定を行う

各ビデオ会議サービスが独自に用意しているセキュリティとプライバシーの設定を確認しましょう。グループ主催者の設定に不備があると、簡単に部外者の入室を許してしまうかもしれません。招かれざる参加者に授業の進行を妨害されたり、通信内容を盗み見されたりするなどの被害に遭わないよう適切な設定を行ってください。

3.配信環境を整える

受講者が授業に集中できるよう、安定したネットワーク環境と音声、画像を提供できるように配慮してください。必要な機器をそろえるだけでなく、家庭内から配信する場合は、家庭内ネットワークに負荷がかからないよう、配信中は不要な機器をオフラインにするか、ネットワークを必要に応じて増強しましょう。参加人数が多くネットワークが安定しない場合は参加者のビデオをオフにするなど、授業内容によって支障がない範囲で機能を取捨選択することも対策の1つです。また、生徒のプライバシーを確保できるスペースで行うなど、参加者への配慮も忘れないようにしてください。

子ども専用の情報端末を用意する際に保護者がやるべきこと

オンラインによる学習の機会が増える中、お子さん専用のパソコンやタブレット端末を用意したいと考えているご家庭も多いのではないでしょうか。お子さんに情報端末を与える場合、セキュリティ教育だけでなく、ネットの危険を回避するための技術的な対策も行うことが求められます。

  • 子どもたちを取り巻くネットの危険について詳しく知りたい方はこちら

参考:親子の話し合いとルール作りが大切
お子さんをネットの危険から守るために保護者ができる対策とは

情報端末のセキュリティを確保するためには、「セキュリティソフトを入れ、それを最新の状態で利用すること」「OSやソフトを最新バージョンに保つこと」が欠かせません。これにより、フィッシングサイトなどの不正サイトにアクセスしたり、マルウェアに感染したりするリスクを軽減できます。

また、お子さん用の端末には事前にペアレンタルコントロールも適用しましょう。年齢に適さないアプリの利用や、成人向けサイトをはじめとする有害サイトへのアクセスを防いだり、利用時間を制限したりすることができます。ただし、無理強いはかえって反発を生みかねません。お子さんと一緒にネットの利用ルールを決め、適切な制限をかけましょう。お子さんの年齢や成長に応じてルールを定期的に見直すことも重要です。

  • 不適切なサイトへのアクセスやネット依存を防ぐために

参考:お子さんをネットの危険から守ろう

たとえば、お子さん専用の端末でGoogleアカウントを作成する際は、ファミリーリンクを使用することで保護者による基本ルールの設定と管理が可能になります。

保護者が使わなくなった端末をお子さんに与える場合も同じ方法でセキュリティレベルを高めましょう。同時に確認したいのが端末にインストールされているOSやソフトのサポート期限です。というのも、サポート切れのOSやソフトは開発元から更新プログラムが提供されません。このため、サポート終了後に新たに見つかった脆弱性は修正できず、その脆弱性を悪用する攻撃に対して無防備になってしまいます。サポート切れのOSやソフトの利用は避けましょう。

学校や地域によっては学習用端末がお子さんに貸与されることもあります。その場合、大抵セキュリティツールによる保護や制限が有効になっていますが、油断は禁物です。普段からお子さんのネットの利用状況に気を配り、ルールやネット利用について話し合う機会を持つようにしましょう。お子さんがネット上のトラブルに遭遇した際、保護者に相談しやすい関係を作っておくことも大切です。

]]>
http://rss.is702.jp/main/rss/3718_l.jpg
夏休みを迎える前に注意するポイントは?長期休暇の前に改めて確認を|IPA 独立行政法人情報処理推進機構(IPA)は8月3日、「夏休みにおける情報セキュリティに関する注意喚起」と題する情報を公開し、改めて注意を呼びかけました。 2020-08-04T00:00:00+09:00
長期休暇中は、スパムメールやサイバー攻撃が増加しがちな時期です。一方で、自身や組織の管理者が不在にしているなど、いつもと違う状況になります。そのため、セキュリティ被害やインシデントが発生しても、対処が遅れたり気づかなかったりして、被害が拡大しがちです。さらには、個人の行動においても、SNSへの投稿やスマホの利用が増え、不用意なトラブルを招く可能性が高まります。

また新型コロナウイルス(COVID-19)による外出自粛で、自宅でのインターネット利用時間が増えています。自宅のネット環境は、一般的にビジネス向けの環境よりセキュリティが弱く、ウイルス感染やネット詐欺被害に遭うリスクが高いと考えられます。

長期休暇における基本的なセキュリティ対策では、対応体制や関係者への連絡方法を事前調整するといった「休暇前の備え」、不審なアクセスや侵入の痕跡がないかチェックするといった「休暇後の確認」が重要です。以下に、具体的なチェックポイントを紹介します。

【ふだんから行っておくべき対策】
・OSやアプリケーションなど、最新のアップデートを適用する。
・ウイルス対策ソフトなど、定義ファイルを更新する。
・ハードディスクやUSBメモリなど、使用するメディアのウイルスチェックをする。
・適切なログインIDとパスワードを使用しているか、改めて確認する。
・不審なメールやSMSに注意し、不用意にリンクをクリックしたり添付ファイルを開いたりしない。
・パソコンやスマホなどには画面ロックを設定する。
・管理者向け:データの持ち出しなどが不用意に発生していないか、ポリシーを改めて徹底する。
・管理者向け:重要データのバックアップを行う。

【休暇前の備え】
・緊急時の対応体制・連絡手順などを確認する。
・管理者向け:不要なサービスやアカウント、機器を停止または削除する。

【休暇後の確認】
・休暇期間中に更新プログラムなどが公開されていないか、必要に応じて情報収集する。
・休暇中に持ち出していたデータを社内に戻す際に、事前にウイルスチェックする。
・休暇中のメールが溜まっていても、読み飛ばさず、リンク先URLや添付ファイルに注意する。
・管理者向け:休暇中のサーバやシステムに、不審なアクセス履歴がないか確認する。
・管理者向け:休暇中のサーバやシステムに、改ざんなど、変化がないか確認する。

自宅や外出先で仕事をする「テレワーク」を行っている場合は、以下の点にも注意してください。
・所属先が定めた規程やルールをよく理解し、それに従う。
・不明な点等がある場合は自分で判断せず、まずは所属先のシステム管理者等に相談をする。
・規程やルールとあわせて、お使いのパソコン等に対して<日常における情報セキュリティ対策>を実施する。

さらに今回IPAでは、最近多く寄せられる相談事例として、「iPhoneのカレンダーに不審なイベントが入っている」「Facebookのメッセンジャーで友達から動画が送られてきた」といったケースを紹介しています。これらはいずれも、知人友人に見せかけた外部からの攻撃です。

iPhoneのカレンダー(iCloudカレンダー)の事例は、見知らぬイベントがいつのまにか登録され、不審な通知が届き、不正サイトに誘導されるという手口です。身に覚えのないカレンダーやイベントは削除しましょう。Facebookでは、アカウントを乗っ取られた友達から、メッセンジャーで「このビデオはいつでしたか?」などの件名で動画に見せかけたリンクが送られてくるという手口です。リンクをタップすると、ログイン情報を入力させる偽のページに誘導されますが、無視してください。万が一パスワードを入力してしまった場合は、すぐに変更しましょう。Facebookに限らず、悪用されたら困るようなオンラインサービスは、なるべく二要素認証などのセキュリティを強化できる認証方法を利用してください。
]]>
https://is702.jp/main/images/news/img_news44.jpg
【注意喚起】ヨドバシ・ドット・コムを装うフィッシングサイトに注意 ヨドバシカメラのオンラインショップを装うフィッシングサイトを確認しています。また、同社をかたる偽メールもSNS上で複数報告されています。利用者は同様の手口に騙されないように注意してください。 2020-07-31T00:00:00+09:00
今回確認したフィッシングサイトは、ヨドバシ・ドット・コムを装い、偽サイトに誘導されてしまった利用者の情報を狙うものです。
具体的には、偽のログイン画面に続き「アカウント凍結通知」を表示し、アカウントの復旧と見せかけて個人情報とクレジットカード情報といった重要な情報を次々に入力させて奪おうとします。また、全ての入力が終わると被害者を正規サイトにリダイレクト(転送)させ、騙されたことを気付かせないようにしているものと考えられます。

さらに、この事例を確認した日と同時期に、ヨドバシカメラをかたった「アカウント凍結通知」という件名の偽メールを受け取ったとする投稿がSNS上で複数行われていました。フィッシングサイトの内容と重なることから、同様の不正メールから利用者を偽サイトに誘導しているものと考えられます。

図:フィッシングサイトの偽ログイン画面

図:フィッシングサイトの偽ログイン画面



図:偽のアカウント凍結通知

図:偽のアカウント凍結通知



図:「アカウントのロックを解除」に進むと、お客様情報の変更と称して個人情報の入力を求める

図:「アカウントのロックを解除」に進むと、お客様情報の変更と称して個人情報の入力を求める



図:次にクレジットカード情報の更新と称して情報の入力を求める

図:次にクレジットカード情報の更新と称して情報の入力を求める




図:クレジットカードの3Dセキュアによる認証を求めた後、正規サイトに利用者を転送する

図:クレジットカードの3Dセキュアによる認証を求めた後、正規サイトに利用者を転送する



ヨドバシカメラでは、同社を装った偽メールやフィッシングサイトの事例を紹介し、利用者に注意を呼び掛けています。利用者は公式サイトの注意喚起事例も参照し、騙されないようにしましょう。


【重要】ヨドバシカメラを装ったフィッシングメール(なりすましメール)にご注意ください|ヨドバシカメラ

https://www.yodobashi.com/ec/support/news/200421326750/index.html

今回の事例に限らず、オンラインショップ利用者を狙ったネット詐欺の横行が続いています。具体的には、Amazonや楽天といった大手ECサイトを装う手口以外にも、宅配便事業者に偽装した偽の不在通知からフィッシングサイトや不正アプリのインストールに誘導する攻撃も引続き報告されています。

【注意喚起】Amazonプライム自動更新解除を装う偽メールに注意
https://www.is702.jp/news/3696/

【注意喚起】楽天市場を装う偽のセキュリティアラートに注意
https://www.is702.jp/news/3668/

SMS経由で不正アプリを拡散する攻撃に注意
https://www.is702.jp/manga/3323/

利用者は同様の手口に騙されないよう、メールやSMS(携帯電話番号宛に届くテキストメッセージ、ショートメッセージサービス)などで通知されたURLリンクを不用意にクリックしないようにしてください。利用しているサービスは正規サイトをブックマークに保存しておき、ブックマークからログインする、あるいはインストール済みの公式アプリから情報を確認しましょう。また、このようなフィッシングサイトや不正サイトにアクセスしてしまうリスクを下げるには、スパソコンやスマホ、タブレットにセキュリティソフトやアプリをインストールしておき、最新の状態に保って利用してください。

昨今の偽サイトは、一見しただけでは真偽の判断が難しいものが多くなっています。一度でも情報を奪われてしまうと、一過的な被害に留まらず、パスワードを使い回していた場合は他のサービスまで芋づる式に不正ログインの被害を受けたり、情報を他の詐欺に悪用されたり、ネット上で情報を売買される危険性もあります。オンラインショッピングを楽しむ際には、セキュリティソフトやアプリを利用した上で、ブックマークもしくは公式アプリからログインすることを忘れないようにしましょう。また、サービス毎に異なるパスワードの管理を負担に感じている場合は、パスワード管理ツールを利用すると便利です。自身のネット利用状況に合ったセキュリティ製品を上手に取り入れながら、安心・安全にオンラインサービスを活用してください。

安全で快適なパスワード管理術とは?
https://www.is702.jp/manga/3698/]]>
https://is702.jp/main/images/news/S200731_01.png
スマホのOSは最新ですか? アカリとママのスマホにOSのアップデート通知が届いたようです 2020-07-30T00:00:00+09:00
ひろしとアカリのセキュリティ事情

スマホのOSは最新ですか?

2020/07/30

OSが最新版かどうかを確認しよう

iPhoneやAndroid端末などのスマホもパソコンと同様、OSの脆弱性を悪用するサイバー攻撃の脅威にさらされています。脆弱性は、開発時には見つからなかったセキュリティ上の欠陥を指します。どんなソフトやアプリにも脆弱性はつきもので、リリース後に明らかになった脆弱性は、一般にソフトやアプリ、機器の提供元から配信されるアップデートを適用することで修正することが可能です。

もし、スマホのOSに脆弱性があるとどのようなリスクが生じるでしょうか。iOSではこれまでに、端末にインストール済みの正規アプリを不正アプリに置き換えられたり、端末を不正操作されたりする脆弱性が見つかっています。Android OSでも端末内の情報を漏えいさせる脆弱性がたびたび報告されています。

スマホ利用者は、OSを最新版にアップデートすることで脆弱性の問題を解消してください。もし、iOSに脆弱性が見つかるとApple社は脆弱性を修正済みの最新版を作成し、iPhoneユーザに無償で提供します。ユーザはそれを適用することでiOSのセキュリティ上の穴(脆弱性)をふさぐことができるのです。

OSのアップデートが必要なのはAndroid端末も同様です。ただし、Android端末はiPhoneと異なり、提供元が複数存在し、最新版のリリースのスケジュールや、サポート期限などが各端末メーカーや携帯電話事業者の判断に委ねられています。このため、機種によっては最新版の提供が大幅に遅れたり、サポートの終了などによってアップデートが配信されなかったりする場合もあることを覚えておきましょう。サポートの切れた古い機種を利用している場合は、端末自体の買い替えを検討してください。

通常、スマホにOSの最新版が提供されると、ステータスバーや通知領域に更新の通知が届きます。しかし、何らかの理由で通知されなかったり、ユーザが通知を見落としたりすることがあるかもしれません。OSの最新版が提供されているかどうかを定期的に確認し、最新版があれば速やかに適用しましょう。

スマホのOSに限らず、アプリにも脆弱性はつきものです。アプリの脆弱性や不具合を修正するようなアップデートが通知された場合は、速やかに適用させましょう。また、利用しなくなったアプリの中には、サポート切れなどで脆弱性が放置されているものもあるかもしれません。セキュリティリスクが高まるため、適宜アンインストールしましょう。

ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
ひろしとアカリのセキュリティ事情 ひろしとアカリの日常をもっと見る
]]>
http://rss.is702.jp/main/rss/3712_l.jpg
ショートメッセージなどで1.2万人以上を出会い系詐欺サイトに誘導、類似サイトに要注意 トレンドマイクロは7月21日、公式ブログで「実例で見るネットの危険:SMSから出会い系詐欺サイトへの誘導」と題する記事を公開しました。 2020-07-28T00:00:00+09:00
この5月、トレンドマイクロのリサーチャは、出会い系詐欺に関連して、類似した構成・レイアウトの不審なサイトが多数存在し、日本から多くのユーザがアクセスしていることを確認しました。トレンドマイクロのクラウド型セキュリティ技術基盤「Smart Protection Network」のデータから、関連する複数の出会い系詐欺サイトを調べたところ、4月~6月の3か月間で、1日平均500件(最大4,250件、最小181件)の不正ドメインが稼働していました。そしてこれらのドメインに、日本からのべ1万2,000人以上の利用者が誘導されていました。

出会い系詐欺への誘導手法は、メールから携帯電話番号宛に届くテキストメッセージ(SMS、ショートメッセージサービス)に移行しています。今回確認された出会い系サイトらしきページでは、メンバー登録や支援金受け取りのためのポイント購入を勧められますが、ポイントを購入しても実際にはサービスや支援金の授受は行われません。また料金表を見ると、メール送信や閲覧などに1万円もかかると記載されています。そして、この出会い系サイトの運営組織の所在地を調べると、香港やフィリピンなどとされており、日本国内ではありません。日本語で作成された日本のユーザ向けの出会い系サイトであるにもかかわらず、所在地が日本でないことに加え、運営元情報も画像ファイルとして貼り付けられており、情報の差替えを容易にしているものと考えられるなど不審点が多数存在します。さらに、正規の事業者であれば掲げているはずの、特定商取引法による許認可「受理番号」の記載もありませんでした。

図:今回確認された類似デザインの出会い系詐欺サイト例

図:今回確認された類似デザインの出会い系詐欺サイト例



図:詐欺サイトへ誘導するSMSメッセージ例

図:詐欺サイトへ誘導するSMSメッセージ例


利用者は危険を避けるためにも、このような事例に関わらずメールやメッセージ内のリンクを安易にクリックしてアクセスしないようにしましょう。確認の必要がある場合には、サイトにアクセスする前にセキュリティ製品や検索サービスを利用し、不審なサイトではないか、正規のサイトかどうかといった真偽を確かめる習慣を身に着けてください。
詐欺サイトに情報を入力してしまうと、一過的な金銭被害や情報の悪用に留まらず、さらなる詐欺や情報の売買などにもつながる恐れがあり、継続的に狙われてしまう可能性もあります。

トレンドマイクロでは、「Webサイトにアクセスする前に、安全かどうか確かめたい!」そんな時にご利用いただける、LINEで使える無料のウイルスバスターチェック!(試験運用中)を提供しています。Webサイトが安全かどうかを「〇△×」で判定してくれます。スマホにセキュリティアプリをまだインストールしていない場合は、このような対策からまず始めてみましょう。

]]>
https://is702.jp/main/images/news/S200728.jpg
SNSなどで発生する人権侵害について考える特設サイト「#NoHeartNoSNS」が開設 法務省(人権擁護局)、総務省、一般社団法人ソーシャルメディア利用環境整備機構(SMAJ)は7月21日、SNSなどで発生する人権侵害について考える特設サイト「#NoHeartNoSNS」を開設しました。 2020-07-22T00:00:00+09:00
インターネットを使ったコミュニケーションが盛んになる一方で、他人への中傷や侮蔑、無責任なうわさ、特定の個人のプライバシーに関する情報の無断掲示、差別的な書き込み、インターネット上でのいじめなど、人権やプライバシーの侵害につながる行為も増えています。また、児童ポルノ、あるいは自殺や犯罪を誘うような情報といった、法に触れる内容も増えています。

こうした状況に対し「#NoHeartNoSNS」は、ソーシャルメディア利用環境整備機構に参加する全17事業者が管理するSNSなどに関連し、人権啓発を目指すサイトとして公開されました。「SNSは ハートをつなげるもの 誰かを傷つけるためにあるんじゃない!」をテーマに、SNSを利用する際のマナーについて紹介しています。また、問題のある投稿に接した場合には、ブロックやミュートなどを活用することを勧めています。投稿の削除依頼についても解説しているほか、法務省インターネット人権相談、違法・有害情報相談センター(総務省支援事業)といった窓口も紹介されています。

ソーシャルメディア利用環境整備機構には、Ameba、Facebook、LINE、mixi、Instagram、Twitter、TikTokなど主要なSNSサービスの事業者が参加しています。もし自身や家族、周りの人が利用しているSNSでトラブルに遭ったなら「#NoHeartNoSNS」を参考にしてください。


図:インターネットを利用した人権侵犯事件の推移(法務省の発表資料より)

図:インターネットを利用した人権侵犯事件の推移(法務省の発表資料より)

]]>
https://is702.jp/main/images/news/img_news8.jpg
マルウェア「EMOTET」を拡散するスパムメールが復活の兆し JPCERTコーディネーションセンター(JPCERT/CC)は7月20日、マルウェア「EMOTET」の感染につながるメールが再び確認されているとして注意を呼びかけました。 2020-07-22T00:00:00+09:00
マルウェア「EMOTET」は、実在の組織や人物になりすましたメールなどにより拡散しているマルウェア(悪意のあるプログラムの総称)です。メールには不正なOffice文書ファイルが添付されており、ファイルを開くと、マクロの有効化を促す内容が表示されます。マクロを有効化(コンテンツの有効化)すると、EMOTETの感染につながります。なお添付ファイルの代わりに、Office文書ファイルをダウンロードするリンクがメールに記載されている場合もあります。

感染した端末は、情報を盗み出されたり、さらに感染拡大のためのスパムメールを送信したりします。EMOTETは、2019年10月から国内での感染事例が急増していましたが、2020年2月以降は、大きな動きがない状況が継続していました。

しかしJPCERT/CCでは、2020年7月17日頃よりあらためてEMOTET感染につながるメールが配布されていることを確認しました。今回のメールにもこれまで同様、不審なファイルが添付またはリンクが記載されているとのことです。組織内ではあらためて注意の呼びかけを行ってください。もしも疑わしいメールを受け取った場合、ファイルやリンクは開かず、まずは組織のセキュリティ担当者に相談してください。もしファイルを開いてしまってもマクロを有効にせず、そのままファイルを閉じて組織の担当者の指示に従ってください。
また、個人利用者が同様のメールを受信した場合も、マクロを有効にしないように注意してください。メールを削除した後、念のためセキュリティソフトでスキャンし、不安な場合は、利用しているセキュリティソフトのサポート窓口に相談すると良いでしょう。

尚、JPCERT/CCでは、関連情報の収集や調査を継続しており、利用者からの情報提供も受け付けているとの事です。


図:EMOTETの感染につながる文書ファイルの例(JPCERT/CCの発表資料より)

図:EMOTETの感染につながる文書ファイルの例(JPCERT/CCの発表資料より)


]]>
https://is702.jp/main/images/news/S200721.png
高校生のネットリテラシーテスト、「セキュリティリスク」の正答率が上昇|総務省 総務省は7月17日、青少年のインターネット・リテラシーに関する調査結果を公表しました。 2020-07-20T00:00:00+09:00
総務省では、ネット上の危険・脅威に対応する能力、その現状の可視化を目的に、2012年度より毎年、「ILAS」(Internet Literacy Assessment indicator for Students:青少年がインターネットを安全に安心して活用するためのリテラシー指標)を使った調査を行っています。2019年度は高校1年生7,252名(57校)にテストおよびアンケートを実施しました。

その結果、テストの正答率は68.7%で、過去4年間の平均である68.8%とほぼ同等でした。一方で7つの項目別に見ると、「セキュリティリスク」の正答率が上昇している(2015年度65.3%→2019年度66.8%)一方で、「不適切利用リスク」(2015年度82.4%→2019年度78.9%)、「有害情報リスク」(2015年度68.2%→2019年度66.0%)の正答率が下降していました。また、ほとんどの設問で、男子より女子の正答率が高いこともわかりました。

アンケートでは、高校生の97.5%がインターネット接続機器としてスマホを保有。携帯/固定ゲーム機が48.9%がそれに続きます。ただし実際に利用するのは、ほぼスマホ一色で92.5%に達しており、他機器は1桁台です。平日の1日当たり平均のスマホ利用時間は「2~3時間」が25.1%で最多。「1時間未満」4%、「1~2時間」16.8%と、高校1年生の約8割が、毎日2時間以上スマホを使っています。なかには「6時間以上」10.3%も存在します。これが休日の1日当たり平均利用時間になると「6時間以上」29.7%が最多。昨年の19.2%から10ポイント以上も上昇していました。

「フィルタリング」を認知していた高校生は74.7%で、前年度の69.2%から上昇。これは2019年8月に総務省タスクフォースがとりまとめた対策に基づく取り組みが奏功したと思われます。また高校生の74.7%は、「フィルタリングは、有害なサイトやアプリの閲覧を制限し、安心にインターネットを使うことを可能にしてくれるもの」と肯定的に捉えていました。一方で「ペアレンタルコントロール機能(利用時間制限、利用状況確認、コンテンツの閲覧制限等)」に関しては、高校生の60.6%が「そもそもよく知らない」と答えています。またSNSなどの利用について家庭でのルールがある高校生のほうが、ルールがない高校生に比べフィルタリング利用率が高く、テストの正答率も高いことも明らかとなっています。

総務省の公式Webサイトでは「2019年度 青少年のインターネット・リテラシー指標等に係る調査結果」とともに、さまざまな普及啓発資料を公開しています。


2019年度ILASの結果(経年比較、総務省の発表資料より)

2019年度ILASの結果(経年比較、総務省の発表資料より)


]]>
https://is702.jp/main/images/news/S200720.png
【注意喚起】FacebookやTwitterのアカウント乗っ取りに注意 FacebookやTwitterのアカウントが乗っ取られ、自身のアカウントから偽の投稿やメッセージを送信されてしまったとの投稿がSNS上で複数報告されています。 2020-07-17T00:00:00+09:00
乗っ取ったSNSのアカウントから、アカウント所有者になりすました投稿や、偽のダイレクトメッセージ(DM)、イベント案内などを送られてしまう手口は以前から確認されています。今回SNS上で報告されている手口も、「自身のアカウントから他のSNSへのリンクに見せかけた、身に覚えの無いメッセージが送られてしまっている」「知り合いや第三者から不審なメッセージが届いた」といった内容となっています。

■事例①:Facebook
■事例②:Twitter
■SNSの基本的なセキュリティ対策
■アカウントが乗っ取られてしまった場合


●関連リンク:SNSのアプリ連携に思わぬ落とし穴 SNSのアカウント乗っ取り対策ともしものときの対処法


■事例①:Facebook

第三者に乗っ取られたFacebookアカウントから、「Youtube – Hidden Camera」というタイトルで、SNSでつながっている相手のMessengerに届いた不正なメッセージの一例


図:YouTubeへのリンクに見せかけた不正なメッセージ例

図:YouTubeへのリンクに見せかけた不正なメッセージ例




図:不正なリンク先にアクセスした場合に表示された偽のFacebookログインページ

図:不正なリンク先にアクセスした場合に表示された偽のFacebookログインページ




図:偽のログインページの後に表示された当選詐欺の表示、Safariの場合

図:偽のログインページの後に表示された当選詐欺の表示、Safariの場合




図: 偽のログインページの後に表示された当選詐欺の表示、Chromeの場合

図: 偽のログインページの後に表示された当選詐欺の表示、Chromeの場合



今回確認できた誘導先では、まずFacebookの偽ログインページに誘導し、さらに当選詐欺のページに繋がっていました。当選詐欺のページでは、iPhoneが当選したと称してアンケートの回答を求め、さらにメールアドレスを入力させます。

同様の手口と思われる不正なメッセージは、「このビデオはあなたのものですか?」「¿このビデオはいつですか?」「このビデオではあなたです」などのタイトルで受け取ったとの投稿がSNS上で複数報告されています。

過去には、「あなたのこのビデオを見る」など、受信した相手が動画に映っていると思わせるようなタイトルで、あらかじめ乗っ取ったSNSのアカウントから動画のリンクを送りつけて製品紹介の動画に誘導し、広告収入を得ようとしていた例も確認しています。

●関連リンク:【注意喚起】SNSアカウントの乗っ取りにご用心ください

■事例②:Twitter

受信者のアカウント名とONLY FOR YOUという組み合わせのタイトルで送られてくる不正なアプリ連携を求めるリンク先を含むスパムダイレクトメッセージ

以前確認した同様の手口では、YouTubeへのリンクに見せかけ、不正なアプリ連携に誘導していました。

●関連リンク:【注意喚起】不正なアプリ連携を促すスパムDM「ONLY FOR YOU」に注意

今回不審なメッセージを受け取ったとする投稿では、Instagramへのリンクを装い、不正なアプリ連携を求めるTwitterの公式ドメイン上のページへリダイレクト(転送)させるものとなっていました。転送先は複数存在し、都度入れ替わります。アプリの名称は異なるものの、同様に実質アカウントを乗っ取れる権限の許可を求めるものとなっていました。誘導先でログインし、アプリ連携を許可してしまうと、自身のTwitterアカウントを乗っ取られてしまう危険性があります。Twitterに限らず、SNSアカウントとアプリを連携させる場合は、必要以上の権限が含まれていないか十分確認しましょう。


図:SNS上の投稿を基に再構成した不正なメッセージ

図:SNS上の投稿を基に再構成した不正なメッセージ




図:誘導先のアプリ連携許可ページ、アプリの権限には設定確認やツイート、DMの送信まで含んでいる

図:誘導先のアプリ連携許可ページ、アプリの権限には設定確認やツイート、DMの送信まで含んでいる



また、7月15日には、なんらかの方法で第三者にアカウントを乗っ取られたと考えられる複数の著名人のアカウントから、偽の投稿が行われたことも報道されています。
フォロワーが多いインフルエンサーのアカウントは、サイバー犯罪者からこれまでも狙われており、詐欺行為や偽情報の拡散に悪用されることもあります。

SNSアカウントが詐取された場合、自身が被る被害に留まらず、つながっている相手にも被害が及ぶ可能性があります。利用者は改めてSNSの登録や設定を見直し、セキュリティ対策か十分か確認しましょう。また、SNS上には偽アカウントやなりすましアカウントが紛れ込んでいる可能性があります。安易にフォローや情報の拡散をせず、情報の真偽を確かめる習慣を身につけてください。

■SNSの基本的なセキュリティ対策

●パスワードは他のサービスと異なる推測されにくいものを設定し、二要素認証などセキュリティを強化できる認証方法を設定しておく

●身に覚えの無いアプリ連携が無いか確認する

●利用しなくなったアカウントは退会手続き、情報の削除をし、悪用されないようにする

●公開範囲やダイレクトメッセージを受信する範囲を制限する

■アカウントが乗っ取られてしまった場合

●自身でのログインが可能であった場合は、直ぐにパスワードを適切なものに変更し、パスワードを使い回していた場合は他のサービスのパスワードも変更する

●ログインができなかった場合は利用しているサービスに直ちに申し出る
アカウントが乗っ取られた場合のヘルプ|Twitter
https://help.twitter.com/ja/safety-and-security/twitter-account-hacked
不正アクセスされたアカウントと偽装アカウント❘Facebook
https://ja-jp.facebook.com/help/1216349518398524

●第三者によって行われた投稿やメッセージの送信があった場合は速やかに削除し、被害が拡大しないよう、自身のアカウントからつながっている相手にもその旨を通知する


サイバー犯罪者は、SNS上のメッセージ機能を悪用する以外にも、さまざまな方法でアカウントの詐取を試みてきます。不正サイトへの誘導など、SNSのアカウント情報を狙う手口への対策としてセキュリティソフトやアプリを利用することも重要です。また、自衛策としてどのような手口があるか知っておくことも大切です。セキュリティ関連団体や事業者、SNSのサービス事業者による注意喚起情報を参考にしてください。注意喚起を発信しているブログやSNSをフォローしておくと情報を入手しやすくなります。
]]>
https://is702.jp/main/images/news/S200716.JPG
アップルがOS最新版「iOS 13.6」「iPadOS 13.6」など公開、複数の脆弱性に対応 アップルは7月16日、「iOS」「iPadOS」「macOS」「watchOS」などについて、一斉にアップデートを行いました。影響を受けるシステムは以下のとおりです。 2020-07-17T00:00:00+09:00
・iOS 13.6より前のバージョン
・iPadOS 13.6より前のバージョン
・macOS Catalina 10.15.6より前のバージョン
・macOS Mojave(Security Update 2020-004未適用)
・macOS High Sierra(Security Update 2020-004未適用)
・tvOS 13.4.8より前のバージョン
・watchOS 6.2.8より前のバージョン
・Safari 13.1.2より前のバージョン

今回のアップデートでは、新機能の追加の他、複数の脆弱性に対応しています。最新版となる「iOS 13.6」では、iPhoneを車のデジタルキーとして使用できる新機能が追加されたほか、「ヘルスケア」アプリで新しい症状の記録が可能になり、Wi-Fi接続時の動作についても新しい設定が追加されました。バグ修正およびその他の改善では、iCloud Driveやデータローミングにあった問題が解消されています。
脆弱性を悪用された場合、任意のコード実行、サービス運用妨害(DoS)、情報漏えい、情報改ざんなどの被害を受ける可能性がありますので、該当する利用者は速やかに最新版へアップデートしましょう。
]]>
https://is702.jp/img/dummy/dummy_th.gif