11月23日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。
Amazonの「ブラックフライデーセール」に便乗したフィッシング
11月27日の時点で、Amazonを騙るフィッシングSMSが拡散している。SMSに記載のリンクをクリックするとフィッシングサイトへ飛ぶスミッシングと言われる手法だ。
SMSでは、「amazonのアカウントを更新する必要がある」、「amazonかんたん決済に異常ログインの可能性がある」など、多数のパターンで記載のURLをクリックするよう促してくる。リンク先は「amazon」っぽいデザインになっているが、これはフィッシングサイト。決してリンクをクリックしたり情報を入力したりしないように。
11月27日からamazonは「ブラックフライデーセール」を開催。コロナ禍において、通販販売の利用は増加しており、これに便乗しているのは明白だ。
エブリシング、カラオケアプリ開発元で個人情報流出
エブリシングジャパンは11月18日、同社の「エブリシング」アプリの開発に関する委託先であるDear Uが、不正アクセスを受けたことを明らかにした。これにより個人情報の一部が流出している。
不正アクセスは一部の脆弱性をついたもので、情報流出は11月5日から11月10日の期間に発生。流出件数は707件。エブリシングで会員登録した人のメールアドレス、氏名、生年月日の合計数となる。暗号化済みパスワード、住民登録番号、携帯電話番号、クレジットカード情報、金融機関の口座情報などは保存していないため、情報流出はない。
現在は脆弱性の点検と補完措置を完了。会員に対しては、定期的にパスワードを変更するように促している。流出情報の悪用は今のところ確認していない。
ネットギア製スイッチングハブにクロスサイトリクエストフォージェリの脆弱性
11月24日の時点で、ネットギアのスイッチングハブ「GS108Ev3」に脆弱性を確認している。対象のバージョンは以下の通り。
- GS108Ev3 ファームウェアバージョン 2.06.10以前
脆弱性は、クロスサイトリクエストフォージェリで、管理画面にログインした状態のユーザーが細工済みのページにアクセスすると、製品の設定変更の可能性がある。
対策はファームウェアのアップデートを行うこと。ただし、バージョン 2.06.03以降にアップグレードしていると、バージョン 2.7.2より前のPlusUtilityバージョンは機能しなくなるので、最新のPlusユーティリティ 2.7.7をダウンロードしておくこと。
三菱電機が契約しているクラウドサービスに不正アクセス
三菱電機は11月20日、同社が契約しているクラウドサービスが不正アクセスを受けことを明らかにした。これにより、国内の取引先に関する情報の一部が外部に流出。今回の不正アクセスは、2020年1月ごろに発生した事案とは異なるものだという。
同社は11月16日に、クラウドサービスに通常とは異なるアクセスがあることを確認。11月20日時点における調査の結果、国内取引先の金融機関口座（当社の支払先口座）に関する情報8,635口座分が流出していた。情報の詳細は、取引先名称、住所、電話番号、代表者名、金融機関名、口座番号、口座名義など。
不正アクセスの詳細や情報の流出については現在も調査中で、判明次第報告するとしている。
トレンドマイクロ、ウイルスバスター Mac版に脆弱性
トレンドマイクロは11月24日、同社のウイルスバスター for Macに脆弱性があることを発表した。対象のバージョンは以下の通り。
- ウイルスバスター for Mac バージョン 9.0（月額版含む）
- ウイルスバスター for Mac バージョン 10.0（月額版含む）
脆弱性は、ユーザー情報の取得、改ざん、カーネルポインタやデバッグメッセージの窃取、クラッシュなど。また、国際化ドメイン名のホモグラフ攻撃（Puny-code）を用いた悪意あるWebサイトによる、Web脅威対策の許可リストに登録できるという脆弱性もある。バージョン 10.0では、これらに加えてユーザーの機密情報が外部へ漏えいする脆弱性も存在する。
バージョン 9.0の場合、アップデートの提供がないので、最新バージョンとなる11.0へのアップグレードを推奨。バージョン 10.0の場合は、対応パッチの適用で対処できる。パッチ適用後のバージョンは「10.0.1803」。
oogle、Chromeの最新バージョン「87.0.4280.66」を公開
Googleは11月17日、Chromeの最新バージョン「87.0.4280.66」を公開した。アップデートは、Windows、macOS、Linux向けに提供。macOS版のバージョンは「87.0.4280.67」となる
今回のアップデートでは、「高」10件の脆弱性を含む33件を修正。脆弱性「高」では、ファイルシステムやcryptohomeでの不適切な実装、ネットワーキングにおける不十分なポリシー施行、PPAPIで解放後のメモリ使用などが含まれる。Chromeのユーザーはすみやかにアップデートしておくこと。
