HOME情報セキュリティ2014年1月の呼びかけ

本文を印刷する

情報セキュリティ

2014年1月の呼びかけ

「今月の呼びかけ」一覧を見る
第14-01-307号
掲載日:2014年 1月 7日
独立行政法人情報処理推進機構
技術本部 セキュリティセンター
(PDFはこちら)

「 おもいこみ 僕は安全 それ危険 」


 昨年発生した情報セキュリティに関する様々な事案の中で、金銭被害につながる可能性が高いという点で、特に一般利用者に影響が高いと考えられるものは以下の4つです。
    1. インターネットバンキング利用者を狙った不正送金(☆)
    2. 過去の流行時の約2倍の件数に上るウェブ改ざん
    3. 偽の警告画面を表示させ有償版の購入を促し、クレジットカード番号を入力させる「偽セキュリティソフト」などの手口(☆)
    4. 従来の対策では見抜くことが難しい、スマートフォンのワンクリック請求アプリ(☆)
 このうち3点が、1年前の“呼びかけ“で紹介したもの(☆印)と重複していますが、着目すべきは2012年に既に存在していたこれら3つの手口が2013年に入り更に深化、巧妙化したことにあります。
 被害に遭わないためには、以下の対策を漏れなく行うことが必須ですが、それに加えて「自分は大丈夫だ」という思い込みを捨て、日頃から用心するという心がけも重要です。
    1. セキュリティソフトを導入し、ウイルス定義ファイルを常に最新に保つ。
    2. パソコンやスマートフォンのOS(オペレーティングシステム)やアプリケーションソフトを最新版に更新する。
    3. 年に一度は、普段使用しているメーカー以外の無料ツールでウイルスチェックを行う。
 2014年最初の“呼びかけ”では2013年に顕著だった4点の事案を、更に巧妙になった手口を中心に説明します。

(1)2013年に発生した金銭的被害に繋がり易く、一般利用者に影響が高い新たな手口

【1】 インターネットバンキング利用者を狙った不正送金
 2012年から被害が続いている不正送金関連の相談は、2013年上半期20件から、下半期半96件と約4倍に増加しています。従来の手口は、パソコンをウイルスに感染させて銀行のログイン情報を盗み取るものでしたが、2013年4月ごろから、新たな手口が現れました。それは、ウェブメールサービスのログイン情報を盗み取る機能を有したウイルスを用いて、銀行から利用者宛にメールで送信されたワンタイムパスワードを盗み、本人に成りすまして不正に送金するというものです(図1参照)。
 また、従来からある手口も引き続き用いられており、大手金融機関を装った偽のメールを送り、メール文中のリンクをクリックさせ偽サイトに誘導するフィッシングメールの相談が2013年10月以降6件寄せられており、今後も注意が必要です。

図1:メールで受信するワンタイムパスワードを盗み取る手口のイメージ図
図1:メールで受信するワンタイムパスワードを盗み取る手口のイメージ図

(ご参考)
IPA 2013年9月「今月の呼びかけ」
「 インターネットバンキング利用時の勘所を理解しましょう! 」
http://www.ipa.go.jp/security/txt/2013/09outline.html

【2】 過去の流行時の約2倍の件数に上るウェブ改ざん
 2013年1年間のウェブ改ざんに関するIPAへの届出件数は75件でした。過去にウェブ改ざんが流行していた際の同様の届出件数は2010年34件、2012年38件であり、それと比較すると2013年は約2倍に上っています。また、JPCERTコーディネーションセンター※1から公表されているウェブ改ざん数も、2012年第3四半期以降急増しています(表1参照)。こうしたことから、巷のウェブ改ざんの件数の増加が顕著であったと言えます。
 その理由には、過去にウェブ改ざんが流行した際の手口と①ウェブサーバー上のソフトウェアなどの脆弱性を悪用する、②簡単なFTPパスワードなどを推測して改ざんを行う、といった複数の手口を組み合わせた手口の巧妙化があります。
 改ざんされたサイトの多くは、セキュリティ対策の不十分なパソコンで閲覧するとウイルスに感染するよう細工されており、閲覧者に被害が及ぶ危険性があります。改ざんされてしまった正規のサイトは、なりすましサイトと違って閲覧者が一見しただけでは、判別することができない点が厄介です。

表1:ウェブ改ざん数の推移(JPCERT/CC公表のデータを基に作成)
期間 2012Q1 2012Q2 2012Q3 2012Q4 2013Q1 2013Q2 2013Q3
件数 142 139 769 737 1,184 1,847 2,774

(ご参考)
ウェブサイト改ざんの増加に関する一般利用者(ウェブ閲覧者)向け注意喚起(IPA)
http://www.ipa.go.jp/security/topics/alert20130626.html
    ※1: インターネットを介して発生する侵入やサービス妨害等のコンピュータセキュリティインシデント(人為的事象)について、日本国内のサイトに関する報告の受け付け、対応の支援、発生状況の把握、手口の分析、再発防止のための対策の検討や助言などを、技術的な立場から行なっている特定の政府機関や企業からは独立した中立の組織。
【3】 偽の警告画面を表示させ有償版の購入を促し、クレジットカード番号を入力させる「偽セキュリティソフト」などの手口
 本手口に関する相談は2012年354件、2013年889件と、昨年は一昨年の2.5倍の相談がありました。「偽セキュリティソフト」を用いた手口では、改ざんされたウェブサイトなどをセキュリティ対策が不十分なパソコンで閲覧した場合に、勝手にパソコンに「偽セキュリティソフト」がインストールされ、実際には感染していないのに“ウイルスに感染している”という脅しの画面を表示し、解決のためと偽って有償版の購入を促します。

 また、新しい手口ではありませんが、パソコン内のデータを暗号化し、パソコン自体を使えない状態にし、環境を復元することを条件に金銭を要求するランサムウェアと呼ばれるウイルスに関する相談が、2013年8月になって再び寄せられるようになり、2013年1年間の件数は22件でした(図2参照)。

図2:ランサムウェアによる被害のイメージ図
図2:ランサムウェアによる被害のイメージ図

(ご参考)
IPA 2013年4月「今月の呼びかけ」
「 どうして偽セキュリティ対策ソフトがインストールされるの? 」
http://www.ipa.go.jp/security/txt/2013/04outline.html

【4】 従来の対策では見抜くことが難しい、スマートフォンのワンクリック請求アプリ
 スマートフォンのワンクリック請求でも2013年は新たな手口が出現しました。
 新たな手口では、アプリのインストール時のアクセス権限確認では不審な権限許可を求めることはありませんが、アプリ内に設定されたアダルトサイトを表示し、画面に従って登録を完了すると請求画面を表示するというものでした(図3参照)。また、このアプリは公式マーケット上で公開されていました。
 この手口は、不正なアプリをダウンロードしないための注意点である①正規のマーケットから入手する、②アクセス権限(パーミッション)を注意深く確認する、という従来の判断基準が通用しないのが特徴です。
 もっともこの場合、アプリ自体が情報を盗み取るわけではなく、慌てずにアプリを削除するだけで復旧することができます。

図3:スマートフォンのワンクリック請求における新旧手口の比較
図3:スマートフォンのワンクリック請求における新旧手口の比較

(ご参考)
IPA 2013年3月「今月の呼びかけ」
「 公式マーケット上の不正なアプリに注意! 」
~不正なアプリをインストールしないために~
http://www.ipa.go.jp/security/txt/2013/03outline.html

IPA 2013年5月「今月の呼びかけ」
「 スマホにおける新たなワンクリック請求の手口に気をつけよう! 」
http://www.ipa.go.jp/security/txt/2013/05outline.html

(2)被害に遭わないための対策

【1】 日頃から用心するべきこと
以下に掲げる項目を、日頃から常に行い、用心する必要があります。

出所が不明なファイルをダウンロードしたり、ファイルを開いたりしない
得体の知れないファイルを実行してウイルスに感染することは、道端に落ちている食べ物を拾い食いしてお腹を壊すことに似ています。非常に危険ですので出所の不明なファイルをダウンロードして実行するのはやめましょう。

安易にURLリンクを開かない
メールやインターネットの掲示板、SNSや見知らぬブログなどの投稿文に書かれているURLリンクの中には悪意のあるサイトに誘導するリンクも存在します。このようなリンクを開いた場合、ワンクリック請求サイトやフィッシングサイトへの誘導、ウイルス感染、不正アプリのインストールなどの被害に遭う可能性があります。

重要なデータのバックアップ
ウイルス感染の被害に備えるという目的のためだけでなく、自然災害、操作ミス、コンピュータの物理的破損など、予測不可能なトラブルが起こった場合への備えとして、重要なデータを定期的にバックアップしておくことが重要です。これにより速やかな修復が可能となります。

【2】 基本的な予防策
次の二点は必ず実施してください。
セキュリティソフトを導入し、ウイルス定義ファイルを常に最新に保つ。
パソコンやスマートフォンのOSやアプリケーションソフト(特にAdobe Flash Player、Adobe Reader、Java)を最新版に更新して脆弱性を解消する。

(ご参考)
「Windows Update 利用の手順」(日本マイクロソフト)
http://www.microsoft.com/ja-jp/security/pc-security/j_musteps.aspx
「サポート – ダウンロード」(アップル)
http://support.apple.com/ja_JP/downloads/
「iOS:iPhone、iPad、iPod touch をアップデートするには」(アップル)
http://support.apple.com/kb/ht4623?viewlocale=ja_JP
「MyJVNバージョンチェッカ」(IPA)
http://jvndb.jvn.jp/apis/myjvn/#VCCHECK

Android OSのバージョンアップの詳細については、各端末メーカーにご確認ください。

【3】 年に一度は普段使用しているメーカー以外の無料ツールでウイルスチェックを行う。
主なセキュリティベンダは有償版製品の他、無料オンラインスキャンツールも提供しています。普段使用しているメーカー以外のツールを選び、年に一度は、パソコン内のウイルスチェックを行うことで、ウイルスが検知されることがあります。

※ご利用にあたっては、商用利用の可否など利用条件や、使用するための前提条件、要件をご確認ください。

(ご参考:各社の無料オンラインスキャンツール)
「エフセキュア オンライン スキャナ」(エフセキュア)
http://www.f-secure.com/ja/web/home_jp/online-scanner
「オンラインウイルススキャン」(カスペルスキー)
http://www.kaspersky.co.jp/security-scan
「SpyRescueオンラインスキャナ」(ネクステッジテクノロジー)
http://www.shareedge.com/spywareguide/txt_onlinescan.php
「パンダ フリーオンラインスキャン」(PS Japan)
http://www.ps-japan.co.jp/homeuser/content0001.html
「Virus Removal Tool」(ソフォス)
http://www.sophos.com/ja-jp/products/free-tools/virus-removal-tool.aspx
「オンラインスキャン」(トレンドマイクロ)
http://safe.trendmicro.jp/products/onlinescan.aspx

IPAでは、個別製品の推奨は行っておりません。上に列挙した製品は、参考として示したものであり、これらのみを推奨しているわけではありません。また、各製品やサービスについては、それぞれの提供元へお問い合わせください。

問い合わせ先

本件に関するお問い合わせ先

独立行政法人 情報処理推進機構 技術本部 セキュリティセンター 加賀谷/田中
Tel: 03-5978-7591 Fax: 03-5978-7518
E-mail: 電話番号:03-5978-7591までお問い合わせください。

更新履歴

2014年 1月 7日 掲載

Adobe ReaderPDFファイルをご覧いただくためには、Adobe Reader(無償)が必要です。
Adobe ReaderはAdobe Readerのダウンロードページよりダウンロードできます。