9月23日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。
Internet Explorerに脆弱性、定例外アップデートをリリース
マイクロソフトは9月23日、Internet Explorerに未修正の脆弱性があることを明らかにし、定例外のセキュリティ更新プログラムをリリースした。
脆弱性は2件。スクリプトエンジンのメモリ破損の脆弱性では、攻撃者が悪用した場合、ユーザーと同じユーザー権限を取得してシステムを制御したり、悪意あるプログラムをインストールする可能性がある。もう一つはMicrosoft Defenderのサービス拒否の脆弱性で、攻撃者が悪用して正当なアカウントがシステムバイナリを実行できないようにする可能性がある。
深刻度が緊急・重要と高く、すでにこの脆弱性を狙った攻撃も確認されているという。Internet Explorerを使っている場合は速やかにアップデートしてほしい。
ローソン、サーバー攻撃によりサイトとアプリを停止
ローソンは9月25日、同社の公式サイトとスマートフォンアプリを管理しているサーバー- が不正攻撃を受けたことを明らかにした。
攻撃は9月24日20時ごろに判明。これを受け、ローソンはサーバーにアクセスするサービスを遮断した。不正攻撃の調査・解明を行うとともに、防御策なども検討するとしている。
9月26日17時30分の時点で、不正攻撃の防御策が整ったことから、公式サイトと公式アプリのサービスを再開した。
検証の結果、ユーザーへの直接的な影響や個人情報の流出は確認されていない。なお、グループ会社サイト、および一部コンテンツについてはサービス停止中であり、安全性が確認されしだいサービスを再開するとしている。
イオンクレジットサービスを騙るフィッシングサイト
イオンクレジットサービスを騙るフィッシングサイトが確認されている。フィッシングサイトへの誘導は主に「イオン」を騙るメールから。メールの内容は、クレジットカード情報を尋ねるもの、添付ファイルが存在するもの、ファイルのダウンロードを促すものなど。イオンでは、これらについてメールで連絡を取ることはないとして、注意を呼びかけている。
フィッシングサイトでは、姓名、生年月日、クレジットカード番号、カード有効期限、セキュリティコード、メールアドレス、電話番号などの入力欄があり、情報を窃取しようとする。セキュリティコードの欄が普段使われないような日本語になっている点に注意。類似のフィッシングサイトが公開される可能性もあるので警戒すること。
掃除用品オンラインショップでクレジットカード情報流出
みらいとは9月17日、同社が運営する「掃除用品オンラインショップ」がペイメントモジュールを改ざんされ、クレジットカード情報などが流出したことを明らかにした。
個人情報の流出は、2019年5月7日～2019年5月15日の期間に、「掃除用品オンラインショップ」で商品をクレジットカードで購入した人のもの。件数は34件で、一部のクレジットカードが不正利用された可能性もあるという。流出した可能性のある情報は、カード名義人名、クレジットカード番号、有効期限、セキュリティコード。
同社は、情報が流出した顧客にメールにて個別に連絡を取り、クレジットカード会社と連携して流出した可能性のあるクレジットカードのモニタリングを実施中。掃除用品オンラインショップを利用したことがある人は、念のためクレジットカードの利用明細を確認してほしい。
Apple、同社製品の脆弱性に対するアップデートを実施
Appleは9月27日、macOSやiOSなどのアップデートを公開した。対象製品とバージョンは以下の通り。
- watchOS 5.3.2 より前のバージョン
- macOS 10.14 Mojave（ビルド番号 18G103）より前のバージョン
- macOS 10.13 High Sierra（ビルド番号 17G8037）より前のバージョン
- macOS 10.12 Sierra（ビルド番号 16G2136）より前のバージョン
- iOS 12.4.2 より前のバージョン
- iOS 13.1 より前のバージョン
- iPadOS 13.1 より前のバージョン
- tvOS 13 より前のバージョン
- Safari 13.0.1 より前のバージョン
修正された脆弱性は、サービス運用妨害、任意のコード実行、アクセス制限不備、情報漏えい、UIスプーフィングなど。
三井住友銀行を騙るフィッシングメール
三井住友銀行を騙るメールとショートメッセージ（SMS）が拡散している。件名の例は以下の通り。
- 「[重要]：お客様の【三井住友銀行の口座】セキュリティ強化、カード・通帳一時利用停止、再開のお手続きの設定してください。」
- 【重要】「三井住友銀行の口座」カード・通帳一時利用停止、再開のお手続きの設定してください。
メールやSMSでは、情報を窃取するフィッシングサイトへ誘導するリンクが貼られているおり、リンク先では銀行の店番号、口座番号、契約者番号、第一暗証（暗証番号）などを入力する項目が設置されている。三井住友銀行をメインに使っている人は十分に注意してほしい。
着物レンタルサイト「オリフリ」がサイト改ざん
オリフリは9月19日、着物のリメイクやレンタルなどを行うサイト「オリフリ」が改ざんされ、フィッシングサイトに誘導される状態だったことを明らかにした。
改ざんは9月7日19時～9月17日12時までの期間で、フィッシングページへの誘導が行われていた。この期間中に、PC用サイトで「お支払方法・お届け時間等の指定」、注文完了前の「ご入力内容のご確認」のページを閲覧していた場合、フィッシングページにアクセスしていた可能性がある。
同社では、この条件に当てはまり、かつクレジットカード情報などを入力していた場合は、すぐにクレジット会社に連絡するよう呼びかけている。9月19日の時点では、被害に遭った人は確認されていない。
具体的な対策として、日本以外からのアクセス制限を実施。9月18日以降、改ざんの修正が完了しているため、正常な運営に戻っている。
