2023年6月（前半）のセキュリティ関連ニュース
2023年6月前半に収集した情報に関する備忘録です。主にセキュリティに関する情報をまとめますが、それ以外の気になる情報も含みます。長いので目次をご活用ください（目次だけで十分な可能性も…）。
■ インシデント関連
ファイル転送「Smooth File」などで40時間近いアクセス障害 ランサムウェア攻撃の影響で (ITmedia, 2023/06/14)
ファイル転送サービスなどを提供するプロット（大阪市）は6月13日、午前1時ごろから同社クラウドサービスでアクセス障害が発生しているとして謝罪した。ランサムウェアを使った攻撃を受けたのが原因。
PPAP対策として導入した企業が多いと思うので、機密性への影響が大きい事案だと思います。
追記：VPNの脆弱性が侵入経路のようです。重大な脆弱性が多く見つかっていますが、パッチは当ててなかったのでしょうか…。
AWS米国リージョンで約4時間の障害 米公共機関やルンバ、マックにも影響か (ITmedia, 2023/06/14)
米Reutersや読売新聞によれば、米国の公共機関の公式サイトやロボット掃除機「ルンバ」、マクドナルドのスマートフォンアプリにも影響が出たという。日本でも、スマートホームデバイス「SwitchBot」の利用に影響があったという声がSNSで相次いだ。
日本だと朝起きれなかった人がたくさんいそうです。
「バンダイナムコID」で障害 新作ゲーム“ブルプロ”リリース直後に 「アイマス」「ガンダム」など影響範囲は多数 (ITmedia, 2023/06/14)
バンダイナムコエンターテインメントでは同日午後1時10分から、PC向け新作オンラインアクションRPG「BLUE PROTOCOL」のサービスを開始。しかし、同日午後1時35分にはアクセス集中により、ゲームに接続しにくい状況になっていると発表していた。
共通認証基盤がパンクしたようです。
パーパスのマルウエア被害、ソフトウエアを暗号化されるも「脅迫は受けていない」 (日経クロステック, 2023/06/14)
日経クロステックの取材に対し、同社の日長俊昭執行役員は「OSやプログラム、ツールなどのソフトウエアが暗号化されたり、消されたりしたが、データは暗号化されていない。攻撃者からの脅迫も受けていない」と説明した。「身代金の要求がないため、パーパスとしてはランサムウエアによる被害ではないという見解だ」
単に情報窃取を狙った攻撃だったのでしょうか。今回、事業者向けサービスが被害に遭ったことで、エネルギー各社に影響が出ているようです。
アトミックウォレットの不正アクセス事件 被害額は1億ドル以上に＝エリプティック分析 (コインテレグラフジャパン, 2023/06/14)
https://jp.cointelegraph.com/news/north-korean-hackers-swipe-over-100m-from-atomic-wallet-users
分散型非カストディウォレットであるアトミックウォレットが大規模な不正アクセスに遭い、ユーザーが仮想通貨ポートフォリオの全額を失ったと報告する事態になっている。アトミックウォレットの基本的な前提はユーザーが資産を安全に保管する責任を負うとなっており、今回の予期せぬ不正アクセスは仮想通貨コミュニティに衝撃を与えている。
暗号資産関連のインシデントは被害規模が大きいですね…。
杉並区の委託事業者へのランサムウェア攻撃、サーバ内の全データが暗号化被害 (ScanNetSecurity, 2023/06/14)
これは同区が学童クラブ事業 11ヶ所と放課後等居場所事業 7ヶ所を委託している社会福祉法人福音寮が運用している一部のサーバのデータが、ランサムウェアにより暗号化されたというもの。同法人の職員が5月30日午前8時50分頃に、サーバ内のファイルが開けない異変に気付き発覚した。
侵害経路が気になります。
杉並区のプレスリリースはこちら：https://www.city.suginami.tokyo.jp/news/r0506/1088188.html
トヨタ紡織の欧州子会社で不正アクセス、一部のデータを盗まれる (日経クロステック, 2023/06/12)
トヨタ紡織は2023年6月10日、欧州子会社であるトヨタ紡織ヨーロッパが第三者による不正アクセスを受け、一部のデータが盗まれたことを確認したと発表した。データ授受システムのプログラムの脆弱性をつかれたという。
重要な情報を扱っている箇所がピンポイントでやられています。
「復旧めど立たず」 クラウドベンダーがランサムウェア被害に 8サービスがダウン、約4日経過 (ITmedia, 2023/06/09)
クラウドベンダーのエムケイシステム（大阪市）が提供するサービスで障害が発生している。6月5日から9日午後7時現在まで、クラウド型の人事労務向けサービス「DirectHR」など8サービスが利用しにくい状況だ。原因はランサムウェア攻撃。サービス提供に使っているサーバに不正アクセスを受け、データを暗号化されたという。
業務影響が大きそうな事案。
追記：やはり影響は大きいようです。
三重県自治体情報セキュリティクラウドにサイバー攻撃、ホームページに閲覧障害 (ScanNetSecurity, 2023/06/09)
これは同県が利用しているセキュリティクラウドサービス（三重県自治体情報セキュリティクラウド）に外部からサイバー攻撃があり、6月6日午後6時頃から三重県及び津市、四日市市、伊勢市、松阪市、桑名市、名張市、亀山市、熊野市、伊賀市、紀宝町のホームページが県民から閲覧できなくなるとともに、メール送受信が遅延する障害が発生したというもの。
DDoS 攻撃でしょうか。
Ukrainian hackers take down service provider for Russian banks (BleepingComputer, 2023/06/09)
Following yesterday's attack, multiple major banks across Russia had their access cut off from the country's banking systems so that they can no longer make online payments, as Ukrainian news site Economichna Pravda first reported.
ウクライナのハッカーがロシアの銀行システムを攻撃している、との記事。侵攻の初期から、ロシアの金融業界に対する攻撃が行われているようです。
コクヨにサイバー攻撃 バックアップシステムで業務に支障なし 個人情報流出は現時点で確認されず (ABCニュース, 2023/06/08)
コクヨによりますと、６月５日から６日にかけて「ランサムウェア」という身代金要求型のコンピューターウイルスによるサイバー攻撃を、会計システムなど複数のシステムで受けたということです。「ウイルス対策ソフト」が異常を感知してサイバー攻撃が発覚しました。
コクヨは対策本部を設けてシステムの復旧を進めていて、バックアップのシステムで作業するなど業務に支障は出ていないということです。
バックアップは大事です。報道だと流れ弾に当たっただけのようにも見えます。
PC遠隔操作で500万円不正送金か ベトナム国籍の男を逮捕 (朝日新聞, 2023/06/07)
県警によると、アイン容疑者らは、男性のパソコンに「ウイルスに感染した」といった偽の警告と連絡先を表示。電話してきた男性に指示して遠隔操作のソフトをインストールさせ、男性が席を外した間にパソコンを遠隔操作し、別の口座に500万円を送金したという。金は複数の口座を経て暗号資産に換えられ、アイン容疑者が管理する口座に入金されていたという。
県警によると、ネットバンキングを遠隔操作して不正送金させる手口で指示役が逮捕されたのは、全国で初めてという。
サポート詐欺（不正送金）の初の検挙事例とのこと。黒幕がいると思いますが…。
エーザイ 「ランサムウエア」サイバー攻撃 複数サーバーに被害 (NHK, 2023/06/06)
6月3日の深夜に、グループ会社のシステムに不正なアクセスが行われ「ランサムウエア」によるサイバー攻撃で、複数のサーバーに被害が出たということです。
会社のホームページやメールなどのシステムは通常どおりに稼働していますが、被害に対応するため、物流に関連する社内システムなどをサーバーから切り離し、システムの保護と復旧に向けて作業を進めています。
侵入経路が気になります。
全国44.6万回線に及ぶ通信障害 特殊なパケットで未知のバグが発現 (日経クロステック, 2023/06/06)
影響数は全国16都道府県の最大44万6000回線に上った。内訳はNTT東日本が東京都や神奈川県、北海道など6都道県の35万9000回線、NTT西日本が大阪府や滋賀県など10府県の8万7000回線。このうち、IP電話サービス「ひかり電話」の影響数は最大23万3000回線。緊急通報にも支障が出る重大事故となった。
NTT東西が同日の記者会見で明かしたのは「特殊なパケット」の存在だ。前述の事象が特定メーカーの同一機種でのみ発生していることに加え、特定のコンテンツ配信サーバーから届くロングパケットに起因していたとした。
2023年4月に発生した通信障害に関する記事。
■ 脆弱性・TTP関連
堺化学工業 役員をかたる不審メールに注意を呼びかけ (ScanNetSecurity, 2023/06/15)
同社によると、同社役員を名乗り商取引を持ちかける英文メールが複数の取引先様等に届いているとの報告が寄せられているとのこと。同社では2022年10月4日にも、同様の注意喚起を行っていた。
BEC に使われているのでしょうか。ただし英文メールということなので、あまり熟れていない印象を受けます。
Critical RCE Flaw Discovered in Fortinet FortiGate Firewalls - Patch Now! (The Hacker News, 2023/06/12)
Fortinet has released patches to address a critical security flaw in its FortiGate firewalls that could be abused by a threat actor to achieve remote code execution.
The vulnerability, tracked as CVE-2023-27997, is "reachable pre-authentication, on every SSL VPN appliance," Lexfo Security researcher Charles Fol, who discovered and reported the flaw alongside Dany Bach, said in a tweet over the weekend.
SSL-VPN に関する FortiGate の脆弱性に関する記事。RCE ができるようなので、深刻度は非常に高いです。
「水道料金滞納」「給水停止」と不安煽る水道局装うSMS (Security NEXT, 2023/06/12)
メッセージには、「東京水道局給水停止前通知：滞納した水道料金がございます。」などと記載。不安を煽って無関係のURLへアクセスさせようとしていた。文面には複数のパターンが確認されているという。
差出人が公的機関の場合、最初から疑ってかからないと引っかかる可能性が高そうです。
Windowsの深刻な脆弱性、PoCが公開される - 注意を (日経クロステック, 2023/06/10)
Numen Cyber Technologyはこのほど、「Analysis of CVE-2023-29336 Win32k Privilege Escalation」において、「CVE-2023-29336」として追跡されているWindowsの脆弱性に関する概念実証(PoC: Proof of Concept)を公開した。この脆弱性はWin32kコンポーネントに存在する特権昇格の問題とされ、脅威者に積極的に悪用されていると報告している。
ローカル権限昇格の脆弱性に関する注意喚起です。修正プログラムは公開済みなので、慌てずパッチ適用ですね。
8700万人がダウンロード、Google ChromeのWebストアに悪意ある拡張機能 - 確認を (日経クロステック, 2023/06/06)
今年の5月中旬ごろ、Chrome Web Storeから入手可能なPDF Toolbox拡張機能に悪意のあるコードが含まれていたことが発覚した。この問題はすぐにGoogleに連携されたが、Chrome Web Storeから削除されておらず、入手できる状態になっていたという。
調査はさらに行われ、最終的にChrome Web Storeに合計34個の悪意のある拡張機能が公開されていたことが確認されている。この問題による影響は8,700万のユーザーにも及ぶとされている。
利用者自身が気づくことは無理なので、情報をキャッチしたらすぐに対応をするべきですね。
Palant のレポートはこちら：https://palant.info/2023/05/31/more-malicious-extensions-in-chrome-web-store/
Hackers hijack legitimate sites to host credit card stealer scripts (BleepingComputer, 2023/06/04)
A new Magecart credit card stealing campaign hijacks legitimate sites to act as "makeshift" command and control (C2) servers to inject and hide the skimmers on targeted eCommerce sites.
The cybersecurity firm also points out that many of the victims have not realized they were breached for over a month, which is a testament to the stealthiness of these attacks.
サイバー犯罪グループ Magecart が攻撃を行うために、脆弱なサイトを乗っ取って C2（悪意ある命令の司令サーバ）として悪用している、という記事。被害者が加害者になってしまうというのは、サイバーセキュリティ分野のポイントの一つだと思います。
Akamai のレポートはこちら：https://www.akamai.com/blog/security-research/new-magecart-hides-behind-legit-domains
本人そっくりな声で仕掛ける詐欺の手口、AIでさらに巧妙になる「オレオレ詐欺」 (INTERNET Watch, 2023/06/02)
マカフィーがグローバルで実施したAI音声詐欺に関する調査によると、10人に1人がAI音声詐欺のメッセージを受け取り、そのうちの77％はお金を失ったことが分かりました。被害金額は報告のうち7％は5000ドルから15000ドルと大金を奪われています。
詐欺師は相手をだます際、「交通事故にあった」（43％）、「強盗にあった」（36％）、「携帯や財布をなくした」（33％）、「海外旅行中に助けが必要」（33％）などと説明することが多いようです。
AI 生成音声でのビジネスメール詐欺は数年前から海外で報告されていますが、近い将来日本にも上陸するかもしれないです。
McAfee のレポートはこちら：https://www.mcafee.com/content/dam/consumer/en-us/docs/fact-sheets/fs-mcafee-ai-voice-scam-survey-japan.pdf
■ ガイドライン関連
EU離脱で実現？ 英国が2024年に施行する新たな「最低限のセキュリティ基準」 (INTERNET Watch, 2023/06/08)
この新たな基準の主要なポイントは以下の4点で、米国やEUで検討されている法規制とは観点が少々異なっています。
・消費者が接続可能な製品において、全てに共通したデフォルトパスワードおよび容易に推測可能なデフォルトパスワードを禁止すること。
・製品がセキュリティ更新を受けられる期間についてメーカーの透明性を高める。これによって標準化されたセキュリティ情報が提供され、消費者の購買意思決定に、より良い情報を提供することになる。
・メーカーは、メーカーのウェブサイトにおいて、製品購入を許可する前に、製品のセキュリティ更新サポート期間について顧客に知らせることが義務付けられる。
・デバイスメーカーは、デバイスに関連する脆弱性の報告を受け付けるための連絡先を公表することが義務付けられる。
シンプルですがとても効果的な基準だと思います。
フィッシング対策協議会、2023年度版のガイドラインを公開 (TECH+, 2023/06/06)
改訂内容は次のとおり。 ・Webサイト運営者が考慮すべき要件を整理し、34要件から29要件に削減 ・サーバ証明書の種類に関する記述の削除 ・事業者向けフィッシング詐欺対策ガイドラインから「利用者が考慮すべき要件」を削除し、「利用者向けフィッシング詐欺対策ガイドライン」に一本化
技術動向や環境動向、攻撃手口等移り変わりが激しい分野なので、キャッチアップに使える良い資料だと思います。
フィッシング対策協議会のリリースはこちら：https://www.antiphishing.jp/report/guideline/antiphishing_guideline2023.html
■ AI 関連
欧州議会、AI規制法案を可決 「ChatGPTなどは透明性要件を順守すべし」 (ITmedia, 2023/06/15)
この法案は、顔認識ソフトウェアの使用を大幅に制限する他、生成AIの提供企業に対し、プログラム構築に使うデータについてのさらなる開示を義務付けるものだ。欧州議会はプレスリリースで「ChatGPTのような生成AIシステムは、コンテンツがAIによって生成されたものであることを開示する必要がある」と名指しでコメントした。
欧州は進んでいますね。日本でも特に著作権周りの整備を進めてほしいところです。
Deepfake Cyber Attack Hits Russia: Fake Putin Message Broadcasted (HackRead, 2023/06/07)
Several regions in Russia fell victim to a sophisticated cyber attack, as yet unidentified hackers managed to compromise radio and TV broadcasts, transmitting a fabricated message from President Vladimir Putin. The false announcement declared the imposition of martial law in response to a purported large-scale incursion by Ukraine.
プーチン大統領のディープフェイク動画が放映された、という記事。侵攻初期にウクライナが受けた偽旗作戦の意趣返しでしょうか。反転攻勢の一環なのでしょうね。
将棋「学生名人戦」 優勝者が対局中にAIアプリ使用 失格に (NHK, 2023/06/06)
連盟が、この学生に話を聞いて調べたところ、対局中に電源が入った状態でスマートフォンを所持していたことが分かり、決勝や準決勝の対局中に、局面を入力すると最善手を示す将棋AIのアプリを使用していた形跡が見つかりました。
大会の規定では、対局中は所持する電子機器の電源を切り、離席時の携帯は認められないとしているほか、将棋ソフトを使用して対局したことが認定されると違反者を失格処分とすると決められています。
将棋に限らず、今後様々な場面で違反が出てきそうに思います。
「ChatGPT」に使われる言語モデル「GPT」からうまく答えを引き出すためのOpenAI公式ガイド (Gigazine, 2023/06/06)
OpenAIが提唱する戦略は以下の6つです。
・明確な指示を書く
・参考テキストを提供する
・複雑なタスクをよりシンプルなサブタスクに分割する
・GPTに考える時間を与える
・外部ツールを利用する
・パフォーマンステストを実施する
ベストプラクティスのひとつになるでしょう。
東大の「教員向けChatGPT講座」無料公開 「多くの教員が困るだろう」から (ITmedia, 2023/06/01)
「コロナ禍における教育オンライン化対応のように、（ChatGPTの出現に）多くの教員が困るだろうと感じ、できる限りの情報提供をしたい」という。
ChatGPTの基本からその構造、教育利用を検討する際の注意点、具体的な活用法などを解説した講座。
教育機関に限らず有用な内容だと思います。
講座のページはこちら：https://edulab.t.u-tokyo.ac.jp/2023-05-13-report-event-chatgpt-course/
■ トピックス
Microsoft、Windows 10, version 21H2のサポートを終了 (ITmedia, 2023/06/15)
Microsoftは2023年6月13日（現地時間）、「Windows 10, version 21H2」のサポートを終了した。セキュリティアップデートの配信も終了している。これらのバージョンを使っているユーザーについては新しい「Windows 10」や「Windows 11」へのアップグレードが推奨されている。
Windows 10 のサポート終了が見えてきました。
脅威のアフィリエイト料率 ～ RaaS 組織潜入報告 (ScanNetSecurity, 2023/06/13)
Group-IB の報告書によると、（Qilin のランサムウェアを自身の攻撃に使うために金を払う）アフィリエイトは、身代金支払い額が 300 万ドル以下の場合、その 80 ％を手にすることができる。300 万ドルを超えると、アフィリエイトの取り分は 85 ％に及ぶこともある。
自分でランサムウェアを開発する必要がなく、犠牲者探しに集中できる悪党たちにとってはなんともおいしい仕事だ。ランサムウェアや RaaS がいつまでも蔓延している理由がここにある。
完全に「ビジネス」ですね。
Group-IB のレポートはこちら：https://www.group-ib.com/blog/qilin-ransomware/
政府機関を装って「Vプリカ」を狙うネット詐欺が激増中、電力会社を騙ることも。詐欺サイトに誘導する手口に注意 (INTERNET Watch, 2023/06/09)
3月に悪用されたブランドのトップは税関（29.83％）で、2位は国税庁（21.71％）でしたが、4月は日本年金機構（29.9％）と厚生労働省（15.7％）でした。同じデザイン・仕様で詐欺サイトが複製されており、全てVプリカの発行コードを狙ったものになります。
フィッシングが大流行しています。
SECが仮想通貨バイナンス提訴 違法に投資家勧誘の疑い (日本経済新聞, 2023/06/06)
米証券取引委員会（SEC）は5日、暗号資産（仮想通貨）交換業最大手のバイナンスと、同社のチャンポン・ジャオ最高経営責任者（CEO）らを証券法違反で提訴した。米国以外で運営している交換所を使って違法に顧客を勧誘したと主張した。バイナンスは「SECの不合理で不公平な措置に対し、我々には事業を守る以外の選択肢はない」との声明を出し、争う姿勢を示した。
暗号資産業界に対するルールの整備はまだまだこれからのようです。
「セキュリティークリアランス」“制度創設へ法整備” 高市氏 (NHK, 2023/06/06)
先端技術の流出を防ぐため、重要な情報を扱う人の信頼性をあらかじめ確認する「セキュリティークリアランス」と呼ばれる制度の創設について、高市経済安全保障担当大臣は、民間事業者へのヒアリングでもニーズは高かったとして、法整備を速やかに進めていく考えを示しました。
そのうえで「今後、軍民両用で使用できる『デュアルユース』分野の技術が増えていく中で、日本企業が海外でのビジネスチャンスを失ってしまうという危機感が非常に強い」と述べ、制度の創設に向け、法整備を速やかに進めていく考えを示しました。
個人的には果たして正しく運用されるのか疑問です。
検索が危ない!? 悪用されるネット広告 (NHK, 2023/06/05)
検索サイトでは、検索ワードに関連した広告が検索結果の一番上などの目立つ場所に表示される「リスティング広告」と呼ばれる仕組みがあります。こうしたリスティング広告や、検索結果の上位に表示されるものの中には、詐欺を目的にしたサイトも紛れ込んでいて、悪質なサイトに誘導されるケースが増えています。
検索サイトでのリスティング広告は、通常の検索結果より上位に表示される仕組みになっていて、たとえ悪質サイトの広告であっても、審査をすり抜け、広告枠を落札すれば、上位に表示されてしまうこともあるのです。
非営利でない以上仕方ない面もありますが、インフラとしての公共性・公正性を両立する必要があると思いますので、難しいですね。すべての利用者に完璧な自衛を強いるのは難しいので、検索サイト側の取り組みにも期待したいです。
政府が医療DX工程表、クラウド標準電カルを2030年までにおおむね全医療機関へ (日経クロステック, 2023/06/02)
2024年度に医療機関同士などで電子カルテ情報の共有を始めるほか、政府が主導しクラウドベースの電子カルテ整備を進め、2030年までにはおおむね全ての医療機関への導入を目指すとした。
アクセルを踏みすぎている感もありますが、果たして医療機関の側がついていけるのか気になります。
IIJ、6月16日施行の「Cookie規制」 を解説〜多くのサイトやアプリが対象になり、情報の公表などが義務に (INTERNET Watch, 2023/06/01)
2023年6月16日から施行される改正電気通信事業法において盛り込まれる「クッキー等規制（Cookie規制）」について、その概要を説明した。対象事業者のウェブサイトでの対応状況や、対応できていない場合のリスクなどについても言及している。
改正個人情報保護法と改正電気通信事業法に関する解説記事。幅広いサイトについて対応が必要になる話なので、正しい理解のためにもキャッチアップが必要です。
IIJ の特設サイト「世界のプライバシー保護規制対応を支援するサイト」はこちら：https://portal.bizrisk.iij.jp/
この記事が気に入ったらサポートをしてみませんか？