So-net無料ブログ作成

ホテルでのインターネット活用、Wi-Fiサービス、利用すると危険な攻撃にも、注意下さい [[インターネット]危険と安全]

ホテルでのインターネット活用、どうしていますか? ホテルのインターネット活用、個人情報が漏れたり、ウイルスに感染したり、決して安全とはいえません。最近も、ホテル向けネットワーク機器に脆弱性があり、ホテルのWi-Fi利用の宿泊客が攻撃される危険が指摘されています。

ホテルでの、インターネット活用、無料Wi-Fiサービス、ホテル設置のパソコン活用の際は、注意が必要です。

①個人情報入力を避け、②商品購入サイトなどのWebサービス利用を避けて、③Web閲覧程度にとどめた方がいいですね。

ネットワークの専門家、メーカーの支援がないと、インターネット環境を安全に保つことはできません。果たして、そのことを知り実現しているホテルが、どれぐらいあるのでしょうか? 本当に不安になります。

 1. ホテルでのWi-Fiサービス、安全かどうか分からない
 2. ホテルでのインターネット接続、安全かどうか分からない
 3. ホテルに設置されているパソコン、安全かどうか分からない


私は、基本的にホテルではパソコンを使わず、また、ホテルの無料の「Wi-Fiサービス」も極力使わないことにしています。

使うのは、スマホで携帯会社の専用回線を使ったインターネット活用。もし、パソコンを使う場合は、個人情報が必要なWebサービスは使わず、インターネット検索だけにしています。

ホテルでのインターネット接続、本当に安全なのか、なかなか分かりづらいです。以下に、ホテルのネットワーク、インターネット利用での最近の問題点を整理して見ます。


■ホテル向けネットワーク機器に脆弱性、Wi-Fi利用の宿泊客が攻撃される恐れ

ホテルなどに使われている、特定のネットワーク機器に脆弱性(不具合)があり、このWi-Fiサービスを使うと、情報を盗まれたり、ウイルスに感染するとして、ホテルなどのWi-Fiサービス提供者に注意が出されています。

下記の記事によると、Wi-Fiサービスに使われているANTlabsのゲートウェイ機器に、深刻な脆弱性が発覚。利用客が通信を傍受されたりマルウェアに感染させられたりする恐れもあるそうです。

 2015年03月30日
 ホテル向けゲートウェイ機器に脆弱性、Wi-Fi利用の宿泊客が攻撃される恐れ
 - ITmedia エンタープライズ
 http://www.itmedia.co.jp/enterprise/articles/1503/30/news041.html


■宿泊施設などが運営する「公衆Wi-Fiサービス」、運用体制は心許ない面も

下記の記事によると、異常な通信や攻撃の兆候などを監視する運用体制は重要で、宿泊施設や市町村などが自ら運営する場合は、独力では心許ない面もあるとのこと。

また、Wi-Fiネットワークの監視・運用を支援する製品はあるものの、「無料Wi-Fi」提供に投資はかけられず、導入事例はまだ少ないとのこと。

宿泊施設や市町村などが提供する「無料のWi-Fiサービス」利用時は、セキュリティに充分注意して、個人情報を利用しないことが大事ですね。

 無料でも攻撃と盗聴から利用者を守る、最強のセキュアWi-Fiへの道
 http://pc.nikkeibp.co.jp/atcl/news/15/032300523/


■高級ホテルのWi-Fiが危険すぎる!? 宿泊客の端末を狙った攻撃「DarkHotel」

2014年11月、ロシアのセキュリティー会社カスペルスキーが運営するKaspersky Labが、アジアの高級ホテルのWi-Fiを通じて機密情報を盗み出そうとする攻撃「DarkHotel」について公表しています。

下記の記事によると、Kaspersky Labは「攻撃者は優れた運用能力、数学的・暗号分析的な攻撃機能の能力を持っている。信用ある商用ネットワークを悪用し、特定の標的を極めて正確に攻撃している」とのこと。

この事件、「高級ホテルのWi-Fiを通じての攻撃」であり、高級ホテルの信用ある商用ネットワークでさえも、ネットワークが悪用される危険があるとのことです。

 2014年11月13日
 高級ホテルのWi-Fiが危険すぎる!? 宿泊客の端末を狙った攻撃「DarkHotel」が公表される
 iPhoneひとすじ! かみあぷ速報

 http://www.appps.jp/135866/


■ホテルのネット接続でマルウェア(不正ソフト)に感染、FBIが注意喚起

2012年5月、ホテルのインターネット接続を使って利用客のPCにマルウェアを感染させようとする手口が報告され、米連邦捜査局(FBI)の犯罪苦情センター(IC3)が、海外旅行客に注意を呼び掛けました。

 2012年05月10日
 ホテルのネット接続でマルウェアに感染、FBIが注意喚起 - ITmedia エンタープライズ
 http://www.itmedia.co.jp/enterprise/articles/1205/10/news019.html


この手口では利用客がホテルの部屋でインターネット接続を確立しようとすると、ソフトウェアの更新を促す画面がポップアップ表示され、アップデートのインストールを許可すると、マルウェアに感染するというものでした。


■大手ホテルの公共PCにマルウェア(不正ソフト)、客情報が大量流出

2014年7月、米国の大手ホテルで公共のパソコンにマルウェア(不正ソフト)が仕込まれ、利用客のパスワードや決済情報が大量に盗み出されているのが見つかりました。

 2014年07月15日
 大手ホテルの公共PCにマルウェア、客情報が大量流出 - ITmedia エンタープライズ
 http://www.itmedia.co.jp/enterprise/articles/1407/15/news038.html

このマルウェア(不正ソフト)は、客がキーボードに入力した内容を記録して、その情報をメールで送信する仕掛けで、攻撃者は客の個人情報や、オンラインバンキングやWebメールのパスワードといった情報を大量に入手していたそうです。



安全性強化と人をだまして個人情報を盗む フィッシングメールが出回っています! [[インターネット]危険と安全]

セゾンカード会員が利用できるインターネットサービス「セゾンNetアンサー」をかたる、危険なフィッシングメールが出回っています。

安全性強化と人をだまして、危険サイトに誘導し、クレジットカード番号、生年月日などの個人情報が盗まれますので、注意下さい。

銀行、カード会社などの金融機関から、個人情報を入力させるメールはありません!! 決してダマされないように注意下さい!


フィッシング詐欺は、“インターネット版振り込め詐欺”とも言われています。

  一番大事なことは、

  個人的情報を要求するメールは無視する! です。

  通常企業は、顧客のパスワードや口座情報をメールで尋ねることはありません。   このようなメールは無視することが一番大事です。

  フィッシング詐欺対策を、下記ブログに詳しくまとめています、参考にしてください。
  http://lifesecurityup.blogspot.jp/2014/03/blog-post.html

  また、フィッシング詐欺対策の基本を最後にまとめています、参考にしてください。


フィッシング詐欺の多くは、URLをクリックさせることにより、ニセの金融機関やショッピングサイトなどにユーザを誘導し、クレジットカード番号やパスワードなどをだまし取ります。年々その手口は巧妙化しています。

なお、下記サイトに詳しい内容が説明されていますので、参考にして下さい。

 2015/03/23 セゾンNetアンサーをかたるフィッシング
 フィッシング対策協議会
 http://www.antiphishing.jp/news/alert/saison20150323.html


今回のフィッシングメール内容をみると、パッと見て、本当にダマされそうです。もし、寝起きのときなど頭がボーとしているときなど、簡単にURLをクリックしてしまいますね。くれぐれも用心してください。


----危険なフィッシングメール内容(上記サイトより引用)----------

【重要:必ずお読み下さい】セゾンNetアンサーご登録確認

いつもセゾンNetアンサーをご利用いただき、ありがとうございます。

この度、セゾンNetアンサーに対し、第三者によるアクセスを確認いたしました。

(中略)


大変お手数でございますが、下記URLからログインしていただき、
任意のIDへの再変更をお願いいたします。
なお、新たなID/パスワードは、セキュリティの観点より「10桁以上」のご登録を強くおすすめいたします。
http://www.●●●●.com/WebPc/USA0202UIP01SCR/


---------------------------------------

なお、下記サイトによると、1年以上前の2013年12月にも、全く同じようなフィッシングメールが出回っています。

 
 2013/12/27「セゾンNetアンサー」かたる、まともな日本語のフィッシングメールに注意
 -INTERNET Watch
 http://internet.watch.impress.co.jp/docs/news/20131227_629394.html



■ フィッシング詐欺対策の基本


フィッシング詐欺で最も大事な点は、個人情報入手や寄付を依頼しているメールには注意し、このようなメールに記載されたURLをクリックしないことです。

以下にフィッシング詐欺を避ける心がけを纏めてみました。


(1) 一番大事なこと!! 個人的な金融情報を要求するメールは無視する

通常企業は、顧客のパスワードや口座情報をメールで尋ねることはない。このようなメールは無視すること。


(2) アカウント名・パスワード等の個人情報を要求するメールは無視する

不正なサイトに誘導される可能性があり、決して、URLをクリックしない。


(3) 一方的に送られてきた寄付を要請するメールには答えない

もし寄付をする場合は、各種救済団体の正規のサイトに直接アクセスする。


(4) ホームページの安全性をチェックする(URLが"http"ではなく"https")

URLが「https://・・・・・」と"http"ではなく"https" であるかを確認することが必要です(暗号化通信のSSL通信の場合のURL)。

なお、SSLを悪用した、フィッシング詐欺もあるので、更に、オンラインバンキングなどでは、SSLの安全性を更に強固にした「EV SSL証明書」が使われているかの確認も必要です。

EV SSLの場合、例えば、アドレスバーが緑色になり、その横に鍵のマーク、さらに企業名と認証局名が交互に表示されます。


(5) カード会社からの請求内容を確認し不正な請求がないか確認する

クレジット・カードなどの明細に、よく分からない金額が書かれていないかチェックする(不正な請求がないか確認する)


(6) セキュリティ対策ソフトを使いフィッシング詐欺対策を実施する

フィッシング詐欺対策がある対策ソフトを利用下さい。最近のウイルス対策ソフトには基本的にフィッシング詐欺対策があります。次に、ウイルス対策ソフトのフィッシング詐欺対策が有効になっているか確認下さい。


(7) ブラウザでフィッシング詐欺対策を実施する

使っているブラウザにフィッシング詐欺対策があるか確認下さい(代表的なブラウザには基本的にフィッシング詐欺対策があります)。次に、ブラウザのフィッシング詐欺対策が有効になっているか確認下さい。



Flash Playerで修正済みの脆弱性を悪用した攻撃が確認、最新版への更新が急務 [[インターネット]危険と安全]

トレンドマイクロ株式会社は、3月12日にFlash Playerの最新版で修正されたばかりの脆弱性(ソフトの不具合)を悪用した攻撃を3月18日に確認したそうです。

 Flash Playerの修正されたばかりの脆弱性を悪用、日本の成人向けサイトなど介して感染
  -INTERNET Watch
 http://internet.watch.impress.co.jp/docs/news/20150323_694094.html


 1週間もたたないうちに、最新版で更新されたソフトの不具合を狙った攻撃が実施

 Flash Playerは出来るだけ早く最新版に更新しましょう!!

 最新版への更新方法は以下を参照下さい

 http://lifesecurityup.blogspot.com/2015/02/2015flash-player.html


上記のINTERNET Watchの情報によると、日本の成人向けサイトなど介して感染し、既に攻撃により誘導されるURLには8700人以上のユーザーが訪問、その9割以上が日本のユーザーだったそうです。

今回の攻撃、最新版が公開されてから、1週間もたたないうちに、最新版で更新されたソフトの不具合を狙った攻撃が実施されたことになります。

 ①3月12日に脆弱性を修正したFlash Playerの最新版が公開
 
 ②3月18日には①の脆弱性を利用したインターネット攻撃が発見

このことから分かることは、Flash Playerの最新版が発表されたら、出来るだけ早く、最新版に更新しないと攻撃をうける可能性があるということです。

なお、上記のINTERNET Watchの情報によると、今回の攻撃は、最新版で修正されたばかりの脆弱性を利用した「Nuclear」と呼ばれるエクスプロイトキットによる攻撃とのこと。

実は、「エクスプロイトキット」というソフトを使えば、インターネットでの不正攻撃が可能で、今回は、このエクスプロイトキットが、3月12日に公開された脆弱性を利用するように更新されていたそうです。

■エクスプロイトキットとは

脆弱性を利用した攻撃を行うために使用するソフト(ツールキット)として、「エクスプロイトキット」があります。サイバー犯罪者はこの「エクスプロイトキット」を使い、インターネットでの攻撃を実行します。詳しくは下記を参照下さい。

 2014年を振り返る:脆弱性を利用するエクスプロイトキットの攻撃手法
 トレンドマイクロ セキュリティブログ

 http://blog.trendmicro.co.jp/archives/10603


スマホの紛失・盗難のリスク対策、紛失・盗難時にすべきこと [[インターネット]危険と安全]

最近は、インターネットをスマホで使う人も増えました。そのため、スマホには、パソコンと同じ個人情報が一杯つまっています。

例えば、インターネットサービスのID・パスワードが、スマホの中には、数多くあります。更に、パソコンにはなかった電話帳もあるので、パソコンより個人情報が多いですね。

なお、パソコンと違い、スマホは外出時に必ず持ち歩きしますので、パソコンに比べ紛失・盗難の確率も、かなり高いです。

ここで、もし、スマホを紛失した場合、または、誰かに盗まれた場合を考えてみましょう。そうすると、次の可能性が考えられますね。

 危険1:スマホのAmazonアプリから他人に勝手に品物を購入される

 危険2:電話帳から多くの人の電話番号、メールアドレスが盗まれ悪用される

 危険3:Webメール(例えばGmail)を勝手に利用される

 危険4:オンライン・ストレージに保管している情報を盗まれる

 ・・・・これ以外にも様々な危険があります。

もし、スマホ紛失時の対策を何も実施していないとしたら、スマホ紛失時の危険は本当に大きいですね。今回は、”スマホの紛失・盗難のリスク対策”、”スマホの紛失・盗難時にすべきこと”をまとめてみました。


■ スマホの紛失・盗難のリスク対策


紛失や盗難のリスク対策を以下に紹介します。スクリーンロック機能、「ロックアプリ」の活用は、紛失や盗難のリスクを考えた場合、最低限実施したいですね。


■対策1. スクリーンロック機能を使う

Android 4.0以上のOSを搭載した端末では、何種類かの画面ロックの解除方法を選択できます。その中で、最も効果的で私が気に入っているのが「パスワード」です。英数字を組み合わせ、出来るだけ8文字以上にしましょう。

端末の画面ロックを有効にし、一定時間操作しないでいると、自動でスクリーンロックがかかります。

使用を再開する場合、事前に設定したパスワードを入力してロックを解除する必要があるため、第三者の不正使用を防止することが可能です。

最初は、いちいちパスワードを入力するので大変ですが、使っているうちに慣れてきます。紛失・盗難のリスクを考え、辛抱しましょう!


■対策2. 「ロックアプリ」を活用し、アプリ別にロックをかける

次に大事なのが、アプリの起動をロックできるアプリです。指定のアプリを起動しようとするとパスワードなどの入力が促され、第三者による不正な閲覧を防止できます。

Google関係のアプリ、Amazonなどの商品購入のアプリ、オンラインストレージなどのアプリには、この「アプリ起動をロックできる」アプリが必要です。これらのアプリを用いれば、手軽にアプリの起動を抑制できます。

定番サービスの「アプリロック AppLock」は広告表示が出てめんどうなので、私は、無料版でも機能制限なし「アプリロック(Perfect AppLock)」を使っています。以下のサイトで様々なアプリが紹介されています。

 アプリ起動時にパスワードを求めるAndroid向け「ロックアプリ」7選 - CNET Japan
 http://japan.cnet.com/app/android/35058278/


上記の対策以外に、「SIMカードのロック設定」があり、SIMカードのロックを設定すると、事前に登録した「PIN」と呼ばれるコード入力を端末利用時に要求され、第三者の不正な通信利用を防ぐことができます。

なお、私は、この機能を利用しておらず、詳しい説明ができないので、「SIMカードのロック設定」については説明を省略します。申し訳ありません。


なお、紛失や盗難のリスク対策以外に、スマホの安全対策として、以下の対策も必要です。別な機会に詳しく紹介します。


対策3. 信頼できる場所からアプリをインストールする

信頼できる場所とは、メーカーや携帯電話会社が用意する正規のアプリケーション・ストア(アプリ・ストア)です。もし、信頼できない場所からアプリをインストールした場合、ウイルスの被害に会ったり、個人情報を盗まれたり、不正なサイトに誘導されたり、ワンクリック詐欺にあう危険性があります。

 中国のアプリストアで人気の「無料」アプリ、個人情報や金銭窃取の恐れ
 http://blog.trendmicro.co.jp/archives/11108


対策4. 基本ソフトOS(Android、iOS)、アプリを最新版にする

パソコンのWindowsと同じように、古いバージョンのままで使用し続けると、不正アクセスや情報が盗み出される危険性があります。スマホの基本ソフトOS、ブラウザなどのアプリも、バージョンアップが必要です。


対策5. セキュリティ対策アプリをインストールする

スマートフォンを狙うウイルスが増えています、パソコンと同じようにウイルス対策専用のアプリを利用することが大事です。パソコンと同じ機能を持ったスマートフォンにもウイルス対策ソフトは必須ですね。

なお、キャリアが独自に提供するセキュリティ対策サービスもあります。ドコモは「ドコモあんしんスキャン」、ソフトバンクモバイルは「スマートセキュリティ powered by McAfee」を提供。ドコモは無料、ソフトバンクは有料サービスです。KDDIはauスマートパス内で「ウイルスバスター」を提供しており、スマートパス会員なら誰でも利用できます。


参考情報:

 お子さまのスマホデビュー前に確認したいこと | 特集 | トレンドマイクロ is702
 http://www.is702.jp/special/1733/

 スマホの画面ロック、慎重に設定していますか? | トレンドマイクロ is702
 http://www.is702.jp/manga/1702/

 Androidのセキュリティを格段にアップするためにすぐやるべき4つのこと
 https://japan.norton.com/android-security-77



■ スマホの紛失・盗難時にすべきこと


以下のサイトで紹介されている”5ヶ条”に、”1ヶ条を追加”した内容を、簡単に紹介します。詳しくは、下記サイトを参照下さい。


 スマホ盗難・紛失時にすべき5ヶ条 | web R25
 http://r25.yahoo.co.jp/fushigi/wxr_detail/?id=20150210-00040556-r25&vos=str20130901001


① 「位置検索」で端末の現在地を探す

iPhoneであれば、標準機能のiCloudから「iPhoneを探す」を実行。Android端末の場合は、Googleの「Androidデバイスマネージャー」や、一部のセキュリティアプリを利用。

 「Android デバイス マネージャー」の使い方:Android活用入門:第5回- @IT
 http://www.atmarkit.co.jp/ait/articles/1308/28/news110.html

② キャリアに紛失を伝える

紛失を確認したら、契約しているキャリアにスマホを失くしたことを伝え、回線の悪用を防ぐ。

③ おサイフケータイを解約する

悪用を防ぐためにはサービスの解約手続きを行う。

④ オンラインサービスのパスワードを変更する

Gmailなどのクラウドサービスのパスワードをはじめ、Twitter、Facebookなど、利用しているSNSなどのパスワード変更手続きを行おう。

⑤ 警察に遺失届を出す

最寄りの交番や警察署に足を運び、遺失届を提出する。

⑥ 必要であれば金融機関の口座を停止する

クレジットカードや銀行口座の情報をスマホに保存している場合、金融機関に連絡し口座を停止する



インターネット通販の偽サイトが相次いで発見! 検索で激安商品を探すと偽サイトかも? [[インターネット]危険と安全]

インターネット通販の偽サイトが相次いで見つかっています、注意下さい。

国民生活センターによると、ネット通販で代金を支払ったのに商品が届かないとの相談は5年前の約20倍に達しており、「安売りサイトは疑ってほしい」と注意を呼びかけているそうです。詳しくは、下記サイト参照下さい。

 安売り偽サイト:急増 企業情報未掲載は注意 - 毎日新聞
 http://mainichi.jp/select/news/20150315k0000m040122000c.html

目的は、安値をアピールして購入代金をだまし取ったり、購入手続きの際に入力させたIDやパスワードなどの個人情報を盗んだりするのが狙い。また、楽天では「検索サイトで激安商品を探すと偽サイトにたどりつく恐れがある」と注意を呼びかけているそうです。
私の家族も、よくインターネット通販で服などを買っているので、家族には注意しました。皆さんもぜひ、家族の方に忠告してください。



■ インターネット通販にだまされない方法


下記サイトを参考に、まとめてみました。下記サイトには、他の方法も紹介されています。

  ココを見れば偽通販にダマされない! 商品届かない詐欺サイトの見分け方 - Let's Emu!
  http://www.geocities.co.jp/Playtown-Yoyo/6130/notes/shopping-fraud.htm


(1) 危険なサイトの特徴 その1

   法律で書くことが義務になってる、①会社名、②責任者の氏名、➂所在地、④電話番号
   の情報が見当たらない

(2) 危険なサイトの特徴 その2

  ・ユーザー名やパスワードを入力してログイン・サインインするページ
  ・会員登録したり、発送先となる氏名や住所を入力するページ

   にアクセスしたとき、ブラウザの上部にある
     ①アドレスバーに南京錠(鍵)マークが無く
     ②URLが”http”のまま(”https”になっていない)

   信頼のおけるページでは
     ①アドレスバーに南京錠(鍵)マークがつき、
     ②URLが”https”になっています。

  下記の画像は、Amazonのレジに進むページ、楽天トラベルの予約状況に進むページの例です。
   ①南京錠(鍵)マークがつき、②URLが”https”になっています。

(3) 危険なサイトの特徴 その3

   連絡先にウェブメールのアドレスをのせてる場合も注意が必要です

   名のある企業が運営する通販サイトが、無料のウェブメールアドレスを使うことは
   ありえないからです



■ 安全なホームページは、URLが違います!! 「https://」とhttpに"s"が付く


通常、”URL”は、 ”http://” ですが ”https://” (httpに”s”が付く)になっているときがあります。

これは、インターネットとの情報が暗号化され盗聴されても安全で、また、ホームページを運営している会社を証明するものです。

Amazonなどの個人情報を扱う、オンラインショッピングでは、必ず、”URL”は、 ”https://”と ”http”に”s”が付いていることを確認してください。

なお、オンラインバンキングなどの更に重要なホームページの場合は、この”https://”に加え、アドレスバーが緑色になっていることを確認してください。これは、企業の実在性確認などの認証方法を厳格にした「EV SSL証明書」になっていることを示しています。

詳しい内容を以下のブログで紹介しています、参考にしてください。

 インターネット安全教室
 http://lifesecurityup.blogspot.com/2014/08/urlhttps.html



インターネットバンキングの危険はますます巧妙に! MITB攻撃、トロイの木馬とは? その対策とは? 対策とは? [[インターネット]危険と安全]

最近、良く話題になるインターネットバンキングの危険、セキュリティ対策ソフトの大手、シマンテックの下記公式ブログで、攻撃者が最新のセキュリティ対策を回避し始めたことで、依然として多くの脅威が広がっていると注意を呼びかけています。

 金融機関を狙うトロイの木馬の 2014 年における概況 | Symantec Connect コミュニティ
 http://www.symantec.com/connect/ja/blogs/2014-53

このブログによると、スイスで起きた事件では、犯罪グループが被害者 1 人から 100 万米ドル以上を盗んでポーランドと中国の口座に送金。また、犯罪グループが銀行をハッキングして取引を実行したうえ、ATM の設定を変更して現金を引き出すという手口で3億米ドル以上を盗み出した例もあるそうです。

今回は、インターネットバンキングの攻撃で良く聞かれる言葉、「MITB攻撃」、「トロイの木馬」及び、その対策について、今一度考えてみたいと思います。

なお、インターネットバンキングのセキュリティ対策として、様々な言われていますが、基本は

 ①「セキュリティ対策ソフト」を活用し、
 ②セキュリティ対策ソフトとウイルスパターンを最新版に常に更新し、
 ③WindowsなどのOSとソフト(アプリ)を最新版に常に更新

することです。

セキュリティ対策ソフトとしては、昔から使われ有名な、セキュリティソフト、ノートン(Norton)、ウイルスバスター、マカフィー(McAfee)のセキュリティ対策ソフトが安心して利用できます。なお、下記サイトで様々なセキュリティソフトが比較されています。なかなか素晴らしいサイトです。

 セキュリティソフトの比較表 2015 - the比較
 http://thehikaku.net/security/hikaku.html

なお、セキュリティ対策ソフトの利用方法については、以下のブログにまとめています。参考にして下さい。

 インターネット安全教室: ウイルス対策は保険と同じ、
     ウイルス対策ソフトの選ぶ方・付き合い方とは?
 http://lifesecurityup.blogspot.com/2014/02/blog-post_16.html



■ インターネットバンキングのセキュリティ対策の基本


 金融機関を狙うトロイの木馬の 2014 年における概況 | Symantec Connect コミュニティ
 http://www.symantec.com/connect/ja/blogs/2014-53

上記のシマンテック公式ブログでは、インターネットバンキングの危険を防ぐ対策として、以下を勧めています。

この中で、特に大事なのは、(2)、(5)、(7)ですね。まとめると次のようになります。

 ・ウイルス対策ソフト(セキュリティ対策ソフト)を活用し、
 ・ウイルス対策ソフトとそのウイルスパターンを最新版に更新して
 ・OSとソフト(アプリ)も常に最新の状態にして、
 ・オンラインバンキングを利用したらログアウトし、そのホームページを閉じて、
 ・取引明細を定期的にチェックする

  (1) 迷惑メールや身に覚えのない不審な電子メールが届いたら警戒する
 ★(2) ウイルス対策ソフトウェアとオペレーティングシステムを常に最新の状態に保つ
 (3) 二要素認証などの高度なアカウントセキュリティ機能を利用できる場合は有効にする
 (4) すべてのアカウントに強力なパスワードを設定する
★(5) オンラインバンキングセッションが完了したら必ずログアウトする
 (6) アカウントへのログイン通知を利用できる場合は有効にする
★(7) 銀行の取引明細を定期的にチェックして不審な取引がないか確認する
 (8) 金融機関のサービスを利用しているときに不審な動作があった場合は金融機関に報告する



■ MITB(マン・イン・ザ・ブラウザー)攻撃とは



2009年10月20日の日立ソリューションズの情報セキュリティブログ
で「MITB攻撃」が説明されていました。この記事は、4年前の記事ですが、この当時から「MITB攻撃」の危険があると警告されています。

  MITB(マン・イン・ザ・ブラウザー)攻撃とは
  http://securityblog.jp/words/790.html

『MITB攻撃とは、悪意の攻撃者がユーザーのPCにトロイの木馬などのマルウェアを侵入させて通信を監視し、オンラインバンクにログインされた後の通信を乗っ取り、ユーザーの預金を盗み取る攻撃』(上記サイトから引用)

  MITB攻撃はトロイの木馬などのマルウェアを進入させて攻撃

というように説明されています。

 ・マルウェアとは、悪意のあるソフト
   一般的に、ウイルス、スパイウェアなど被害を与える悪質なソフト全般を指します。

 ・トロイの木馬
   ウイルスの一種で、有用なソフトを装って、利用者の意図しない不正動作を行なう



■ 金融機関(ネット銀行)を狙う「トロイの木馬」とは


”ウイルス”を、細分化して、”ウイルス(狭義)”、”ワーム”、”トロイの木馬”という3つのタイプに分けて説明することがあります。


(1) ウイルス(狭義)・・・他のソフト・データに寄生し、自分自身を増殖する不正ソフト

(2) ワーム・・・単独で行動するソフトで、ネットワークを介してほかのコンピュータに侵入し、自己複製を行い増殖する不正ソフト。

(3) トロイの木馬・・・有用なソフトを装って、利用者の意図しない不正動作を行なう

「トロイの木馬」は、ギリシア神話に登場する装置で、戦争で使用され、中に人が隠れることができるようになっていたことから、このように名前が付けられました。


金融機関(ネット銀行)を狙う「トロイの木馬」は、主にインターネット上で販売されている生成ツールを利用して作成され、メールの添付ファイルや水飲み場型攻撃によって利用者に送り込まれます。

なお、「水飲み場型攻撃」とは、ユーザーがアクセスしそうなウェブサイトを改悪し攻撃を埋め込み、別サイトに仕込んだマルウエアをダウンロードさせ感染させるものです。あたかも“水飲み場で獲物を待ち伏せる”ような攻撃です。


なお、トロイの木馬を含む、”ウイルス”は基本的にセキュリティソフトを活用し、ウイルスパターンを最新版に更新していれば、基本的に防ぐことができます。

『「トロイの木馬」はメールの添付ファイルや脆弱性のあるウェブサイトの閲覧などから感染する。こうした攻撃は、最新のセキュリティ対策ソフトを適切に利用していれば、防止できることがほとんどだ。』(下記サイトから引用)

 オンラインバンキングを狙うトロイの木馬、その手口と対策 - トレンド解説
 http://itpro.nikkeibp.co.jp/article/ESI/20140403/548162/


スマホのアプリ、最新版にしていますか? AndroidアプリのDropbox連携に不具合! [[インターネット]危険と安全]

パソコンのセキュリティ対策では、WindowsなどのOS、Officeソフト、ブラウザ、メールソフト、Adobe Reader、FlashPlayerなどのアプリを最新版にすることが基本になっていますが、スマホでもアプリを最新版に更新することが必要な時代になりました。 実は、AndroidアプリのDropboxと連携させるための「Dropbox SDK」に深刻な脆弱性(ソフトの不具合)が見つかりました。Dropboxと連携するAndroidアプリから情報流出の恐れがあるそうです。
「Microsoft Office Mobile」やパスワード管理アプリの「1Password」で検証し、ユーザーの情報や保存した文書、パスワードなどが攻撃者のアカウントに流出する恐れがあることを確認したそうです(いずれのアプリも修正した更新版が既にGoogle Playで公開中)。

 2015年03月12日
 Dropbox SDKに深刻な脆弱性、連携のAndroidアプリから情報流出の恐れ
 - ITmedia エンタープライズ
 http://www.itmedia.co.jp/enterprise/articles/1503/12/news041.html


Dropbox自体のアプリでは脆弱性のあるSDKコードが呼び出されないことから、Dropboxアプリについては、問題がなさそうです。


なお、情報処理推進機構(IPA)は、2014年第4四半期における脆弱性の登録状況を取りまとめた結果、同四半期は、JVNにAndroidアプリの脆弱性情報が多数登録されたそうです。

 2014年4Qの脆弱性登録は3072件 - Androidアプリが1200件超:Security NEXT
 http://www.security-next.com/055486


Androidアプリの脆弱性情報が多数登録されたのは、SSL証明書の検証処理に不備がある脆弱性があるとして、1200件を超えるAndroidアプリの脆弱性関連情報が登録されたことに起因しています。

SSL証明書の検証処理に不備がある脆弱性の中には、人気のある「Outlook.com」、「Kindle」のAndroidアプリもあります。

 2014/07/30
 Outlook.comのAndroidアプリに脆弱性 - JPCERT/CC | マイナビニュース
 http://news.mynavi.jp/news/2014/07/30/360/

 2014年9月1日
 Android版アプリ「Kindle」に暗号通信の盗聴などが行われる脆弱性(JVN)
  | ScanNetSecurity (脅威、セキュリティホール・脆弱性のニュース)
 http://scan.netsecurity.ne.jp/article/2014/09/01/34756.html



■ よく使われる「脆弱性(ぜいじゃくせい)」「セキュリティホール」「バグ」とは?


IT用語の中には、難しい日本語がありますが、それが、この「脆弱性(ぜいじゃくせい)」という言葉。インターネットで何か危ない事件が起きると、必ずといっていいほど、この「脆弱性」という言葉が出てきます。

同じ意味の言葉に「セキュリティホール」、「バグ」というのがあります。これも、なかなか分かりづらい言葉ですが、安心してインターネットを使う上で大事なIT用語です。

なお、これらの用語を考える上で、大事な点があります。

   それは、「完璧なソフトは無い」ということです。

実は、「ソフトは100%正しいことが証明できない」と言われています。

つまり、「100%正しいソフトは無い」、「ソフトには不具合(欠陥)が必ずある」ということです。これが、「脆弱性」、「セキュリティホール」、「バグ」につながります。

   この3つの言葉、全て「不具合」のことと考えたら良いです。
   

簡単にまとめると次のようになります。


・脆弱性(ぜいじゃくせい)・・・不具合(欠陥)のこと。

・セキュリティホール(security hole)・・・セキュリティ上の穴、つまり「不具合(欠陥)」のこと。

・バグ (bug)・・・英語で「虫」の意味で「不具合(欠陥)」のこと。



■「脆弱性」とは

「脆弱性」とは、”脆く、傷つきやすいこと”ですが、攻撃に対して弱いこと、弱点を意味し、コンピュータの世界では、「不具合(欠陥)」と考えて良いです。

パソコンの中には、OS(これもソフトの一つ)、Office、ブラウザ、メール、PDFリーダ、Flashプレイヤーなど多くのソフトがありますが、インターネットでは、これらのソフトの「脆弱性」つまり、「不具合(欠陥)」が狙われます。

攻撃は、ソフトが扱うデータ、例えばPDFデータに、PDFソフトの「不具合(欠陥)」を利用した仕組みを入れて、ウイルスなどに感染するようにします。

この悪さが入ったPDFデータをPDFソフトで読むと、正しく処理を出来ず、ウイルスに感染します。戸締りの悪い所から侵入する泥棒みたいですね。


■「セキュリティホール(security hole)」とは

「セキュリティホール」は、セキュリティ上の穴(安全上の穴)、「不具合(欠陥)」で、「脆弱性」と同じ意味です。

一般的に、ウイルスなどの攻撃は弱いところ、つまり、セキュリティホールを狙ってきます。そのため、パソコンを安全に使うためには、コンピュータにあるセキュリティホール(侵入する穴)をふさがないといけません。


■「バグ (bug)」とは

「バグ 」は英語で「虫」の意味で、「不具合(欠陥)」のことです(主にソフトウェアの欠陥)。実は、1940年代、コンピュータを開発していた頃、コンピュータの中に「虫」が入り込み、コンピュータが動かなくなったことから、「不具合(欠陥)」のことを「虫(バグ)」と言うようになりました。



(図で覚える)コンピュータ用語学び塾 | Facebookページも宣伝
メッセージを送る

この広告は前回の更新から一定期間経過したブログに表示されています。更新すると自動で解除されます。

×

この広告は1年以上新しい記事の更新がないブログに表示されております。