2013年12月のIT総括

2013年12月に話題となったIT関連のトピックスにつき、概要と参考URLを記していきます。

無線LANの「ただ乗り」にIPAが注意喚起

独立行政法人 情報処理推進機構(IPA)は、12月2日、「2013年12月の呼びかけ」を公開し、この中で、家庭内等で利用する無線LANへの「ただ乗り」が犯罪への悪用やウィルス感染等の原因になっている可能性があるとして、注意喚起しました。

家庭内などに設置された、セキュリティ設定の不十分な無線LAN環境が、第三者により勝手に「ただ乗り」され、サイバー犯罪に悪用されたり、セキュリティ設定をわざと不十分にした無線LANに「ただ乗り」させ、アクセスしたユーザーの情報を盗み取ろうとする可能性などが高まっているということです。IPAでは、無線LAN環境を整備する際には、「ただ乗り」させないための適切なセキュリティ設定を行うとともに、他人が設置した無線LANに「ただ乗り」しないよう呼びかけています。

IPAが無線LANの「ただ乗り」に注意喚起(情報セキュリティブログ)

IPA「情報セキュリティ標語・ポスター・4コマ漫画コンクール」受賞作品決定

独立行政法人 情報処理推進機構(IPA)は、12月5日、「第9回IPA情報セキュリティ標語・ポスター・4コマ漫画コンクール」の受賞作品を発表しました。第9回目となる今年は、4月1日から9月9日までの募集期間内に、標語26,198点、ポスター2,814点、4コマ漫画4,323点の合計33,335点と、過去最多の応募作品が寄せられました。

審査の結果、標語、ポスター、4コマ漫画の各部門で最優秀賞をはじめとする50の受賞作品が選ばれました。

IPA情報セキュリティ標語・ポスター・4コマ漫画コンクール 第9回受賞作品決定(IPA)

国内で約3,000台のパソコンが「ビットコイン発掘不正プログラム」に感染と報じられる

セキュリティ対策企業のトレンドマイクロ社は、12月9日、日本国内で約3,000台のパソコンが、仮想通貨「ビットコイン」をパソコン上で生成させるための不正プログラムに感染していることが確認されたと報じました。

ビットコインとは、ネット上の決済などに使用できる仮想通貨の一つ。発行元となる運営会社を持たず、P2Pネットワークを用いて取引の記録や確認を行う仕組みです。ビットコインは、取引所で通貨と引き換えに入手できるほか、ユーザーが自分のパソコンを使って生成することができます。これは「マイニング」(「採掘」の意)と呼ばれるもので、ビットコイン取引に必要な計算に協力した対価としてビットコインを獲得できる仕組みです。

このビットコインのマイニングが犯罪者に悪用されており、マイニングを行う不正プログラムの被害傾向を調査した結果、過去3か月間に全世界で約1万2千台以上の感染が確認され、日本国内でも約3,000台のパソコンが感染していたということです。

国内で約3,000台のパソコンが「ビットコイン発掘不正プログラム」に感染との報道(情報セキュリティブログ)

文字入力ソフト(IME)のクラウド機能に注意

12月17日、インターネット接続サービス等を提供するインターネットイニシアティブ社(IIJ)のセキュリティ部門IIJ-SECT(IIJ group Security Coordination Team)は、パソコン上で日本語などを入力する文字入力補助ソフト(IME)のクラウド機能(インターネット上のサーバーと通信する機能)についてセキュリティ上の注意喚起を行いました。

日本語IMEの多くには、(1)ユーザー辞書の外部サーバーへの保存(辞書同期)、(2)外部サーバーからの変換候補の取得(クラウド変換)といったクラウド機能を備えています。これらの機能は、文字入力精度や効率の面から見ると非常に魅力的である一方、仕組みを理解せずに利用した結果、クレジットカード情報やパスワードなど、他人に見られては困る情報が外部のサーバーに送信、保存される可能性があるということです。

同社では、特に、企業や組織で利用している場合には注意が必要であると言及し、必要な対策を行うよう呼びかけています。

文字入力ソフト(IME)のクラウド機能から重要情報が外部に送信されるおそれ(情報セキュリティブログ)

サポート終了後のWindows XP利用に関係機関が警鐘

2014年4月8日にサポート終了となるWindows XPとOffice 2003に関し、サポート終了後もWindows XPを使い続けることは攻撃に遭う危険が高くなるとして、関係機関が注意を呼びかけています。

警察庁は、サイバー犯罪対策として、XP等のサポート終了となる2014年4月8日までに、後継OSへのアップグレードなどの対策を行うよう呼び掛けました。また、トレンドマイクロ株式会社も12月17日、ブログを通じ、Windows XPなどサポートが終了したソフトを使い続けることの危険性について注意喚起しました。

サポートが終了したソフトウェアを使い続けると、脆弱性が発見されても更新プログラムが提供されず、パソコンのセキュリティ状態を最新に保つことができません。脆弱性を解消しないパソコンで悪意あるWebサイトにアクセスすると、閲覧しただけでウィルスに感染するといった危険性などがあるため、早急な最新版への移行が推奨されます。

なぜ Windows XP を使い続けてはいけないのか? 2013年の攻撃事例から考える(トレンドマイクロ セキュリティ ブログ)
・(リンク先PDF)平成26年4月のサポート終了後にWindows XPを使用することの危険性(警察庁)
警察庁も注意喚起、サポート終了後のWindows XP利用は危険(INTERNET Watch)

Android OSに危険な脆弱性が確認される

JPCERT/CCと独立行政法人 情報処理推進機構(IPA)は、12月17日、脆弱性関連情報を提供する「JVN」にて、モバイル端末用のOSであるAndroid OSに、任意のコードが実行されるおそれのある脆弱性が存在することを明らかにしました。

これによると、脆弱性は、標準ブラウザをはじめ多くのアプリに使われている「WebView」というWebページを表示する機能の問題で、細工されたWebページを閲覧すると、ユーザーの意図に反してOSの機能を勝手に起動されたり、任意のコードを実行されたりする可能性があるというものです。

脆弱性の影響を受けるのは、Android 3.x/4.0/4.1で、該当機種のユーザーは、OSを最新版にアップデートすることが推奨されます。また、一部、対処済みのソフトウェアが提供されていない機種があるので、Webサイトの閲覧には注意し、標準ブラウザを用いず、WebViewを使用していないGoogle Chromeなどのアプリを使用するなどの対策が必要です。

Android OS において任意の Java のメソッドが実行される脆弱性(JVN#53768697)
多くのAndroid端末に危険な脆弱性〜OSを最新版に更新を(セキュリティ通信:So-netブログ)
Androidの脆弱性(まとめ版)(いまさらブログ)

大手検索サイトの日本語IMEがクラウド機能をオフにしても入力情報を外部送信との報道

ネットワークセキュリティ企業のネットエージェント社は、12月26日、ブログの中で、バイドゥ社が提供する文字入力補助ソフト(IME)の「Baidu IME」(デスクトップパソコン向け)と「Simeji」(Android向けアプリ)が、クラウド入力機能をオフにしていた場合でも、全角日本語入力の文字列を外部のサーバーに送信していたことが確認されたと報じました。同社によると、パスワードなど半角入力のみの場合は送信されておらず、クレジット番号や電話番号も全角に変換しなければ送信されないということです。

バイドゥ社は、中国の大手検索サイト「百度」の日本法人で、「Baidu IME」「Simeji」ともにユーザーは無償で利用できます。バイドゥ社は、同日、プレスリリースを発表し、ユーザーの入力情報を同社のサーバーに送る場合は、事前に許諾を得ていたと説明、事前許諾の設定画面が見つけにくい点については、ページを改善するなどの対応を行ったと発表しました。また、一部のデータがクラウド入力をオフにしても送信されていた点については、ソフトウェアのバージョンアップ時のバグということが判明したとして、12月27日、最新バージョンの「Simeji」を公開しました。

日本語IMEのクラウド機能については、12月17日、インターネットイニシアティブ社(IIJ)が、他人に見られては困る情報が外部のサーバーに送信、保存される可能性があるとして、セキュリティ上の注意喚起を行っていました。

入力情報を送信するIME(NetAgent Official Blog)
一部の報道に対する弊社の見解(Baidu.jp プレスリリース)

関連キーワード:

Android

IPA

P2P

WPA2

クラウド

ビットコイン

マルウエア

不正プログラム

無線LAN

脆弱性

  • スパイウェアとは
  • カテゴリートップへ
  • 詐欺的セキュリティソフトの詐欺広告に注意喚起