5月13日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。
Intel製CPUに新たな脆弱性が発覚
Intelは5月14日、同社製CPUに「Microarchitectural Data Sampling（MDS）」と呼ばれる脆弱性（4件）が存在すると発表した。
脆弱性は、Meltdown、Spectre、Foreshadowなどに続くもので、CPUの投機的実行機能においてサイドチャネル攻撃が可能になるもの。本来アクセスできないはずの他プロセスのデータを推測し、各種パスワードや暗号化キーなどの窃取に使われる可能性があるという。
すでにマイクロコードアップデート（MCU）がリリースされており、第8世代と第9世代のIntel Coreシリーズなどでは解決可能。なお、「MDS」を実際に悪用するのは難しく、悪用された実績はまだない模様。
マイクロソフト、5月のセキュリティ更新プログラムをリリース
マイクロソフトは5月15日、5月のセキュリティ更新プログラムを公開した。対象ソフトは以下の通り。
- Adobe Flash Player
- Internet Explorer
- Microsoft Edge
- Microsoft Windows
- Microsoft Office、Microsoft Office Servers および Web Apps
- Team Foundation Server
- Visual Studio
- Azure DevOps Server
- SQL Server
- .NET Framework
- .NET Core
- ASP.NET Core
- ChakraCore
- Online Services
- Azure
- NuGet
- Skype for Android
脆弱性についてのセキュリティ更新プログラムは、緊急7件、重要7件。修正内容はリモートでコードが実行されるもの、情報漏えい、セキュリティ機能のバイパス、サービス拒否、特権の昇格が含まれる。
新規のセキュリティアドバイザリ2件の公開、既存のセキュリティアドバイザリ2件の更新、既存の脆弱性情報1件の更新も実施。今月の「悪意のあるソフトウェアの削除ツール」には、 Win32/ShadowHammerに対する定義ファイルが追加された。
今回の月例パッチでは、細工したRDPの接続要求によりコードが実行される可能性がある脆弱性も修正。Windows 10とWindows 8以降のOSは影響を受けないが、Windows 7やWindows Server 2008などは影響を受けるため、月例パッチで対処している。
なお、サポートが終了しているWindows XPとWindows Server 2003も同じ脆弱性の影響を受ける。マイクロソフトでは、深刻度が高いことから、これらサポート外のOSに対してもアップデートを用意するとしている。
Apple製品の脆弱性に対するアップデートを実施
Appleは5月14日、同社の製品向けのアップデートを公開した。対象となる製品は以下の通り。
- iOS 12.3より前のバージョン
- Safari 12.1.1より前のバージョン
- Apple TV Software 7.3より前のバージョン
- tvOS 12.3より前のバージョン
- watchOS 5.2.1より前のバージョン
- macOS Mojave 10.14.5より前のバージョン
- High Sierra（Security Update 2019-003 未適用）
- Sierra（Security Update 2019-003 未適用）
脆弱性は製品によって異なるが、主にアクセス制限不備、権限昇格、権限昇格、サービス運用妨害（DoS）、サンドボックス回避、情報改ざん、情報漏えい、任意のコード実行などが含まれる。iOSやmacOSなど幅広く更新されているので、対象製品を所持している場合は速やかにアップデートすること。
ユニクロ、リスト型攻撃による不正ログインが発覚
ファーストリテイリングは5月14日、同社運営の通販サイト「ユニクロ公式オンラインストア」と「ジーユー公式オンラインストア」において、第三者による不正ログインがあったと発表した。
不正ログインは、2019年4月23日から5月10日にかけて461,091件。個人情報が閲覧された可能性のあるユーザーには、5月13日にパスワードを無効化し再設定するようメールにて依頼している。
閲覧された可能性のある個人情報は、氏名（姓名、フリガナ）、住所、電話番号、携帯電話番号、メールアドレス、性別、生年月日、購入履歴、マイサイズに登録している氏名、サイズ、配送先情報など。
クレジットカード情報については、カード名義人、有効期限、クレジットカード番号の上4桁と下4桁が閲覧可能状態だった。セキュリティコードは表示・保存などはされていない。
不正ログインはリスト型アカウントハッキング（リスト型攻撃）によるもの。他社サービスから流出したユーザーIDとパスワードを利用している可能性が高い。複数のサイトで同じパスワードを使うのはリスクが大きいため、ログインするサイトごとにパスワードを変えるようにしてほしい。
乾物販売の小田垣商店でクレジットカード情報が流出
小田垣商店は5月15日、同社の通販サイト「小田垣商店オンラインショップ」が不正アクセスを受け、個人情報が流出したと発表した。流出した情報にはクレジットカード情報などが含まれている。
今回の情報流出は、システムの一部脆弱性を突かれたことが原因。不正アクセスがあったのは、2018年4月3日～2018年5月16日と、2018年9月3日～2019年2月28日の期間で、この期間中においてクレジットカード決済をした人が対象となる。流出したクレジットカード情報は、クレジットカード名義、クレジットカード番号、クレジットカード有効期限、セキュリティコードの4つ。住所と電話番号は含まれていない。
現在、小田垣オンラインショップは運営を停止しており、再開時期は未定。クレジットカード会社もモニタリングを実行中という。
小田垣商店の通販サイトでクレジットカードを使ったことがある場合、クレジットカードの利用明細をきちんとチェックしておくこと。なお、実店舗でクレジットカードを使っている場合は、システムが異なるため情報の流出はない。
