セキュリティセンター(IPA/ISEC)年末年始の相談対応についてIPAセキュリティセンターでは、以下の年末年始の期間中、相談員による相談対応業務をお休みさせていただきます。2015年1月5日(月)13:30※1月6日(火)からは、平常(平日10:00~12:00、13:30~17:00)の受付となります。多くの方からご相談をいただく内容については、次のページの「よくある相談と回答(FAQ)」に情報を掲載していますので、まずはそちらをご覧ください。●情報セキュリティ安心相談窓口https://www.ipa.go.jp/security/anshin/※クイックアクセス●アダルトサイトの請求画面がはりついて消えないhttps://www.ipa.go.jp/security/anshin/faq/faq-oneclick.html●パソコンに不具合が生じているという警告とともに修正ソフトの購入を促す画面が出たhttps://www.ipa.go.jp/security/anshin/faq/faq-security.htmlなお、電子メール・ファクシミリでのご相談は上記期間中も受け付けますが、回答は2015年1月5日(月)以降とさせていただきますのでご了承ください。~年末年始の長期休暇中は、システム管理者が不在になることが多くなると思われます。この間にトラブルが発生した場合、対処が遅れてしまい、自組織のコンピュータ環境に大きな被害が及んだり、顧客に対してもウイルス感染の被害が及んだりする可能性があります。最近の攻撃手口やウイルス感染後の被害事例としては、以下のようなものがあります。該当No.:1、2、3、4、9]“標的型攻撃メール”は特定の企業や組織、個人に対して送信されます。受信者が怪しいと疑うことなく開封してしまうような巧妙なタイトル、文面が記載されているために、メールの添付ファイルを開いたり、メール本文に書かれているリンクをクリックしたりしてしまう。すると、パソコンがウイルスに感染し、組織内部のシステムへ侵入するための足掛りとして攻撃者に悪用されてしまう場合がある。該当No.:1、6、8、9]ウェブサービスへの大量のアクセスによりサービスの停止や大幅な処理遅延に陥る、いわゆるDoS攻撃(サービス妨害攻撃)を受ける。該当No.:1、2、3、9]インターネットに公開している自組織のサーバーに脆弱性があると、第三者にそのサーバーを悪用されて、他組織のサーバーへDoS攻撃を行うための踏み台にされることがある。該当No.:1、9]ウェブアプリケーションにおけるSQL文は、利用者の入力を基に生成されている。この生成方法に問題があると、SQL文がデータベースへの問い合わせ文の一部として埋め込まれて(Injection)しまう可能性がある。この問題を悪用した攻撃はSQLインジェクション攻撃と呼ばれる。この攻撃により、データベースに蓄積された情報の漏えい・改ざん、不正操作などの被害を受けるケースがある。該当No.:1、2、3、4]ウェブサイトを閲覧した利用者のパソコンにウイルスを感染させる手口として“ドライブ・バイ・ダウンロード”攻撃が主流となっている。これはウェブサイトを見ただけで利用者のパソコンにウイルスなどの不正プログラムがダウンロードされてしまう攻撃である。この場合のウェブサイトは悪意ある者によって改ざんされている。この手口は、ウェブサイトが改ざんされたことにシステム管理者やウェブサイト管理者が気づくことが難しいため、閲覧者に感染を許してしまうケースがある。ウェブページに表示するバナー広告を配信する事業者のウェブサーバーが改ざんされた結果、バナー広告を掲出している企業もウイルスに感染させられてしまうケースなどもある。該当No.:8]複数の業務アカウントやインターネットサービスで同じIDやパスワードを使用していると、どれか1つのサービスでIDやパスワードを含むアカウント情報が流出した場合、そのIDやパスワードを自動的に連続入力するプログラムなどを用いて、ウェブサイトにログインを試みるパスワードリスト攻撃を受ける。該当No.:1、2、3、4、5、6、7]従業員が休暇中に自宅で仕事をするために持ち出した機密情報等が不注意などにより漏えいすることがある。データを保存したパソコンやスマートフォン、USBメモリ、CD/DVD等の外部記憶媒体の紛失や盗難、私用パソコン等の個人の環境下で使用していたWinny等のファイル共有ソフトによる漏えいなどのケースがある。システム管理者、ウェブサイト管理者は、このような事態を回避するため、長期休暇前に以下の「システム管理者向け対策事項」を実施してください。連絡体制](ご参考:1)不測の事態が発生した場合に備えて、委託先企業を含めた緊急連絡体制や、パソコン、スマートフォン、タブレットの盗難・紛失時の連絡体制などの対応手順が明確になっているか再確認してください。2.[最新バージョンの利用](ご参考:2、3、4、5、12)管理しているサーバーやパソコンのOS(オペレーティングシステム)に修正プログラムを適用し、最新のバージョンに更新することで、脆弱性を解消してください。Update」を利用してください。ユーザーは、「ソフトウェア・アップデート」を利用してください。System]、サーバー管理ツール等)に修正プログラムを適用し、最新のバージョンに更新してください。4.[定義ファイルの更新](ご参考:4、5、12)管理しているサーバーやパソコンで使用しているセキュリティソフトの定義ファイル(パターンファイル)を最新な状態に設定すると共に、休み明けにも確認してください。5.[情報持出しルールの徹底](ご参考:1、14)業務用のパソコンやスマートフォン、タブレットやデータ等を組織外に持ち出す場合のルールを明確にし、従業員に再徹底してください。パソコンやスマートフォン、タブレットに本来入れてはいけないデータが入っていないか、貸し出す前にその都度確認してください。個人が所有するパソコンやスマートフォン、タブレットを業務に活用している場合、組織のルールから逸脱していないか確認してください。パソコン、スマートフォン、タブレットやデータを保管したUSBメモリ等の外部記憶媒体を紛失した場合に備え、適切な暗号化を施してください。その手続きが適切に運用されているかを確認してください。6.[アクセス権限の再確認](ご参考:7)組織の情報システムにアクセスできる権限が適切に割り当てられているか再確認してください。外部から接続できるサーバーで不要なサービスが動作していないか再確認してください。休暇中に使用しないサーバーやパソコンの電源は切るよう従業員に再徹底してください。7.[情報取扱いルールの徹底](ご参考:8)Winny等のファイル共有ソフトによる情報漏えいが起きないよう、業務関係の情報を扱う場合の注意点を従業員に再徹底してください。IPAではファイル共有ソフト(Winny、Winnyp、Share)による『情報漏えい』を防ぐためのソフトウェアを公開中です。情報漏えい対策ツール:https://www.ipa.go.jp/security/winny119/8.[パスワード管理の徹底](ご参考:4、9、13)業務で使用しているIDやパスワードと同じものを他の業務や私的に利用しているインターネットサービスなどでも使っている場合、速やかにパスワードを変更してください。パスワードを初期設定のままで利用していないかどうか確認してください。9.[サイバー攻撃対策の点検](ご参考:1、6、7、9、10、11、14)現在運用しているシステムやサービスについて、サイバー攻撃への対策状況を点検し、対策の強化が必要であれば早急に実施してください。IPAでは、対策の方法として、組織におけるシステムやネットワークのセキュリティ対策状況を確認するための「チェックリスト」を、以下のページに載せています。安全なSQLの呼び出し方」https://www.ipa.go.jp/security/vuln/websecurity.html11).「フリーメールからの送信が増加傾向に:最近の標的型攻撃メールの傾向と事例分析」https://www.ipa.go.jp/about/technicalwatch/20121030.html12).ウイルスの脅威をテーマにした情報セキュリティ啓発映像「ウイルスはあなたのビジネスもプライベートも狙っている!」https://www.ipa.go.jp/security/keihatsu/videos/20130131.html13).「全てのインターネットサービスで異なるパスワードを!」(2013年8月の呼びかけ)https://www.ipa.go.jp/security/txt/2013/08outline.html14).「組織の内部関係者の不正行為による情報漏えいを防止するため、セキュリティ対策の見直しを!」https://www.ipa.go.jp/security/announce/20140710-insider.html2.企業でパソコンを利用される方へインターネットバンキングにおいて、パソコンがウイルスに感染してしまったことが原因で、不正送金の被害に遭うケースが続いています。パソコンのウイルス感染を防ぐために、パソコンのOSと各種ソフトウェアは常に最新の状態で使ってください。~企業でパソコンなどの端末を使用している方は、以下の「企業におけるパソコン利用者向け対策事項」を実施してください。休暇明けは、OSやアプリケーションソフトの修正プログラムや、セキュリティソフトの定義ファイルが更新されている場合があるため対応が必要です。企業におけるパソコン利用者向け対策事項1.[修正プログラムの適用](ご参考:1、2、7)休暇中にOSやアプリケーションソフトの修正プログラムが公開される可能性があります。休暇明けには、修正プログラムの有無を確認し、必要な修正プログラムを適用してください。更新を行う場合は、システム管理者の指示に従ってください。2.[定義ファイルの更新](ご参考:1、2、7)休暇中に電源を切っていたパソコンは、セキュリティソフトの定義ファイル(パターンファイル)が休暇前の古いままになっていることがあります。電子メールの送受信および、ウェブサイト閲覧の前にセキュリティソフトの定義ファイルを更新し、最新の状態にしてください。3.[利用前のウイルスチェック](ご参考:3)休暇中に持ち出したパソコンや、データを格納していたUSBメモリ等の外部記憶媒体にウイルスが感染している可能性があります。ウイルスチェックを行ってから使用してください。4.[メールの取り扱いの徹底](ご参考:4、5、6、7)特定の企業や組織を装い、ウイルスメールを送りつける“標的型攻撃メール”が多く見受けられます。当該メールは、政府機関や関連企業を思わせる組織名やメールアドレスを詐称し、一見もっともらしいタイトルや本文、業務に関連するキーワードを使っています。実はウイルスが仕込まれた本文中のリンクや、マイクロソフトのWordファイルやExcelファイルなどに見せかけたファイルの添付など、メール受信者が信じてクリックや開封してしまうような巧妙な仕掛けがされています。添付ファイルを開いたり、リンクをクリックしたりすることで、パソコンがコンピュータウイルスに感染する可能性があります。不自然だと感じたメールの添付ファイルやリンクは、絶対に開いたりクリックしたりしないでください。※コンピュータウイルスや不正アクセスの届出・相談はこちらにお願いいたします。不正アクセスに関する届出についてhttps://www.ipa.go.jp/security/ciadr/index.html・コンピュータウイルスや不正アクセスの相談についてhttps://www.ipa.go.jp/security/anshin/※標的型メール攻撃の情報提供や相談はこちらにお願いいたします。<2013年>」https://www.ipa.go.jp/about/technicalwatch/20140130.html5).「組織の重要情報の窃取を目的としたサイバー攻撃に関する注意喚起」https://www.ipa.go.jp/about/press/20110920.html6).「組織外部向け窓口部門の方へ:「やり取り型」攻撃に対する注意喚起」https://www.ipa.go.jp/security/topics/alert20141121.html7).ウイルスの脅威をテーマにした情報セキュリティ啓発映像「ウイルスはあなたのビジネスもプライベートも狙っている!」https://www.ipa.go.jp/security/keihatsu/videos/20130131.html3.ご家庭でパソコンを利用される方へインターネットバンキングにおいて、パソコンがウイルスに感染してしまったことが原因で、不正送金の被害に遭うケースが続いています。パソコンのウイルス感染を防ぐために、パソコンのOSと各種ソフトウェアは常に最新の状態で使ってください。~最近、以下のようなトラブルに見舞われる例が増えています。該当No.:1、8]パソコンでインターネットバンキングにログインすると、ウイルスが不正なポップアップ画面を表示して、合言葉や乱数表の全てを利用者に入力させようとする。該当No.:1、3]ウイルス感染により以下のような現象を引き起こします。該当No.:3、6]アダルトサイトで無料の動画を見ようと画像をクリックして、次へ次へと進んで行ったところ、有料のサービスに会員登録してしまい、ウイルス感染により料金請求画面が出続ける、いわゆる「ワンクリック請求」の被害に遭う。該当No.:1、3]パソコンに脆弱性が残ったままの状態で、改ざんされたウェブサイトを閲覧すると、パソコンがウイルスに感染してしまう、“ドライブ・バイ・ダウンロード”攻撃。該当No.:7]私的に利用している複数のインターネットサービスで同じID、パスワードの使い回しをしていると、あるサービスからID、パスワードが漏えいした場合、使い回していた他の複数のサービスにもログインされてしまい、芋づる式に不正利用されてしまう。該当No.:1、2、3]ウイルスに感染したUSBメモリ等の外部記憶媒体を使用することでパソコンにも感染が広がる。該当No.:1、3、5]SNS(ソーシャルネットワーキングサービス)の利用者増加に伴い、SNS利用者を狙った手口が増加している。Twitterにおいて、本来のURLがわからない“短縮URL”をクリックさせ、リンク先の悪意あるウェブサイトに誘導する。その誘導先のウェブサイトを閲覧することでウイルスに感染してしまう。該当No.:1、2、3、4]休暇中、自宅で仕事をするために、勤務先のパソコンを自宅のネットワークに接続したり、USBメモリ等の外部記憶媒体に勤務先のデータを入れて持ち帰り、自宅のパソコンで扱ったりした際、それが原因でウイルスに感染する。そのウイルス感染によって不正アクセスを受け、情報漏えいしてしまう。休暇中は、時間に余裕があり、インターネットを利用する機会も多くなると思われます。上述のような被害に遭わないよう、以下の「家庭でのパソコン利用者向け対策事項」を実施してください。家庭でのパソコン利用者向け対策事項1.[最新バージョンの利用や修正プログラムの適用](ご参考:1、2、9、10、14)使用しているパソコンのOS(オペレーティングシステム)に修正プログラムを適用し、最新のバージョンに更新することで、脆弱性を解消してください。Update」を利用してください。ユーザーは、「ソフトウェア・アップデート」を利用してください。利用の手順:http://support.apple.com/ja-jp/HT201541また、使用しているパソコンのアプリケーションソフト(インターネット閲覧ソフト、メールソフト、動画閲覧ソフト、ドキュメントファイル閲覧ソフト等)にも修正プログラムを適用し、最新のバージョンに更新してください。セキュリティソフトの定義ファイル(パターンファイル)を常に最新の状態にして使用してください。2.[USBメモリ等の取り扱いの徹底](ご参考:4)所有者が不明もしくは自身が管理していないUSBメモリ等の外部記憶媒体は自身のパソコンに接続しない、また、自身が管理していないパソコンに自身の外部記憶媒体を接続しない、などでウイルス感染を防いでください。3.[必要データのバックアップの推奨](ご参考:3、5)ウイルス感染等でパソコンそのものが動かなくなってしまう場合に備え、必要なデータは外部記憶媒体等へバックアップすることをお勧めします。ランサムウェアと呼ばれるウイルスに感染すると、ウイルス自体を駆除しても、ファイルやフォルダは暗号化されたままの状態となって元に戻せない可能性があります。4.[情報取扱いルールの徹底](ご参考:6)Winny等のファイル共有ソフトを使っているパソコンが、Antinny等の暴露ウイルスに感染すると、パソコン内に保存してあるファイルがインターネット上に流出してしまいます。業務関係のデータを扱ったことのあるパソコンでWinny等のファイル共有ソフトを使うのは情報漏えいの危険性が高いのでやめましょう。家族と共用しているパソコンの場合、自分がファイル共有ソフトを使っていなくても家族が使えば情報漏えいする可能性がありますので、業務関係のデータを共用のパソコンで扱うのは絶対に避けるべきです。IPAでは、ファイル共有ソフト(Winny、Winnyp、Share)による『情報漏えい』を防ぐためのソフトウェアを公開中です。情報漏えい対策ツール:https://www.ipa.go.jp/security/winny119/5.[SNS利用上の注意](ご参考:7、13)SNS(ソーシャルネットワーキングサービス)は、人と人とのコミュニケーションツールであり、信頼関係で成り立っていますが、それを悪用して相手の個人情報を収集したり、ウイルスに感染させようとしたりする人もいます。SNSにおいて他人のページ等に書かれているURLを不用意にクリックしないようにしましょう。Twitterでは、本来のURLがわからない“短縮URL”を悪用した手口が確認されています。不用意に“短縮URL”をクリックしないように注意しましょう。SNSから情報を発信する場合は、情報公開の範囲を確認し、不用意に情報が公開されてしまうことのないようにしましょう。ウェブサイト利用時の規約も表示されていますので、この利用規約をよく読み、その先のウェブサイトの利用を判断してください。利用規約内に料金が明示されていれば有料サイトかもしれませんので、トラブルを避けるため、それ以上先に進まず、そのウェブサイトの利用は中止することをお勧めします。7.[パスワード管理の徹底](ご参考:8)複数のインターネットサービスで同じIDやパスワードを使っている場合、異なるパスワードに変更してください。8.[インターネットバンキング利用時の注意](ご参考:11、12)インターネットバンキングにおいて、第二認証情報(乱数表や合言葉など)すべての入力を利用者に求めることはありません。第二認証情報「すべて」の入力を促す画面が表示された場合は、絶対に情報を入力しないでください。通常の利用時と異なる入力の要求があった場合は、入力せずにサービス提供元に電話などで確認をしてください。万が一、ワンクリック請求の被害に遭い、パソコンのデスクトップ上に請求画面等が表示されてしまった場合は、あわてずに以下の注意事項を守ってください。アドレス」、「利用しているプロバイダ名」等の情報からは、個人を特定することはできません。契約が成立しているか心配な場合は、最寄りの消費生活センターに相談してください。全国の消費生活センターはこちらから検索できます:http://www.kokusen.go.jp/map/2.入会登録画面や請求書画面等に、「問い合わせ先」が表示されていても、自分から問い合わせ(電話やメール等)は絶対にしないでください。上述したように、これらの画面に表示されている情報では個人を特定することは困難で、問い合わせをすることで個人が特定されてしまうおそれがあります。3.ワンクリック請求に関する最近の手口および対策については、以下の対策ページを参照してください。パスワード」(2011年12月の呼びかけ)https://www.ipa.go.jp/security/txt/2011/12outline.html9).「MyJVNバージョンチェッカを活用して脆弱(ぜいじゃく)性を解消しましょう!」(2012年4月の呼びかけ)https://www.ipa.go.jp/security/txt/2012/04outline.html10).「今なお続く、偽の警告を出すウイルスの被害!」(2012年3月の呼びかけ)https://www.ipa.go.jp/security/txt/2012/03outline.html11).「インターネットバンキング利用時の勘所を理解しましょう!」(2013年9月の呼びかけ)https://www.ipa.go.jp/security/txt/2013/09outline.html12).「オンラインバンキングの正しい画面を知って、金銭被害から身を守りましょう!」(2014年7月の呼びかけ)https://www.ipa.go.jp/security/txt/2014/07outline.html13).「インターネットサービス利用時の情報公開範囲の設定に注意!」(2013年10月の呼びかけ)https://www.ipa.go.jp/security/txt/2013/10outline.html14).ウイルスの脅威をテーマにした情報セキュリティ啓発映像「ウイルスはあなたのビジネスもプライベートも狙っている!」https://www.ipa.go.jp/security/keihatsu/videos/20130131.html4.スマートフォン、タブレットを利用される方へSNSで知り合った異性から言葉巧みに不正なアプリのインストールを持ちかけられ、そのアプリでプライベートな動画を撮影したことが原因で、セクストーション(性的脅迫)の被害に遭うケースが発生しています。被害に遭わないために、アプリは信頼できるマーケットから入手し、第三者に見られたら困るプライベートな写真や動画を撮影したり、そのデータを送ったりしてはいけません。~スマートフォンやタブレットで使用するアプリには、電話帳に登録されたすべての名前や電話番号、メールアドレスの情報を窃取するなど不正なものが存在します。アダルトサイト利用料金の請求画面を表示するワンクリック請求アプリによる被害の相談も寄せられています。上述した不正アプリの被害に遭わないよう、以下の「スマートフォン、タブレット利用者向け対策事項」を実施してください。スマートフォン、タブレット利用者向け対策事項1.[スマートフォン、タブレット使用ルールの徹底](ご参考:1、2、3)スマートフォンやタブレットで使用するアプリには、内部の情報を窃取するものが存在します。個人利用のスマートフォンやタブレットを業務に利用している場合は、所属する組織の業務規程に従ってください。2.[スマートフォン、タブレット使用時の注意](ご参考:1、2、3、4、5、6、7)不正アプリのインストールを防ぐためには、パソコンと同様に信頼できない場所からアプリをダウンロードしないことが重要です。OSのスマートフォンやタブレットにおいてアプリをインストールする際に表示される「パーミッション」(アプリがスマートフォンやタブレットのどの情報/機能にアクセスするのか、許可を定義したもの)の一覧には必ず目を通し、不自然なアクセス許可や求めているアクセス許可を疑問に感じた場合には、そのアプリのインストールを中止しましょう。スマートフォンやタブレットを机などに置いたままでその場を離れた際、誰かに不正に使用されることのない様、スマートフォンやタブレットはパスワードなどを設定した画面ロック機能を必ず有効にし、ロックまでの待ち時間を1分程度の短い時間で設定しましょう。3.[セキュリティアプリの導入](ご参考:1、5、6)不正アプリの被害以外では、正規のアプリ名に似せた偽のアプリをインストールしてしまうことでウイルスの感染被害に遭ってしまう場合があります。OSのスマートフォンやタブレットの利用者は、ウイルス感染の可能性を低減させるためにセキュリティアプリを導入してください。セキュリティアプリを入れて最新の状態に保っておくと、ウイルスの感染を事前に食い止められる場合があります。