 |
| メニューへ |
| ｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍｍ （メールマガジン） 2017．11．23 河口PCサービス電子かわら版 臨時増刊号 《 年末年始、より一層のセキュリティ対策を！ 》 uuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuu |
11月も下旬になり、すっかり冬模様となってきました。そうなると気に なるのがセキュリティ対策です。 年末は盗難や窃盗、詐欺などの犯罪が多くなる季節でもあります。特 に最近ではスマホなどの普及もあり、人間の心理と情報を巧みに悪用 した詐欺の犯罪が多く見受けられます。そこで、臨時増刊号としてこれ からの年末年始に向けたセキュリティ対策についてまとめてみました。 少し長くなりましたので、必要な所だけをピックアップして参考にしてい ただければと思います。 ◆◇◆◇◆◇◆◇ 臨増の内容 ◆◇◆◇◆◇◆◇ １．セキュリティ対策の基本 ２．最近のセキュリティに関わる身近な事例 ３．最近の警告ならびに注意勧告 ４．不審なメールに対する心構え ５．脆弱性はなぜなくならないのか？ ---------------------------------------------- 参考情報 Ａ） 悩むグーグル、不正アクセスに最強の防壁 Ｂ） 保守サポートが切れたOffice2007 Ｃ） 猛威の兆し、ビジネスメール詐欺 Ｄ） 古いパソコンやスマホは本当に危険？ ---------------------------------------------- ■１■ セキュリティ対策の基本 ============================= 「セキュリティ」とは、人、住居、地域社会、国家などあらゆる資産を各 種の害から保護することを意味します。言葉を変えるなら「保安」のこ とであり、犯罪や事故などを防止するための警備全般を指します。 セキュリティ対策は基本的な考え方として「脆弱性」と「脅威」をもって 語られます。「脆弱性」は攻撃対象となるものが持つ内なる弱さで、外 部からの不正アクセス等に対して安全性が損なわれている状態です。 「脅威」は外部から強い力や勢いで脅かされること、あるいは脅かされ ている状態をいいます。 これを人間で例えるなら、病弱な状態は脆弱性を抱えている状態とい え、猛威を振るう風邪のウイルスなどは脅威といえます。従って身体が 弱っているときにウイルスなどに感染すると一遍にインフルエンザなど にかかってしまいます。 ∞ これはパソコンやスマホなどの情報端末においてもいえます。しかし、 いち市民としては脅威は手の出しようのないものですので、一般的に 「外部からの脅威を遮断する方法」と「内部の脆弱性を失くす方向」と でセキュリティ対策を行ないます。その具体的な方法は次の3点です。 対策１ セキュリティ対策ソフトを採用し、 【最新の脅威に対応】 常に最近に更新する 対策２ Windowsのアップデートは必ず実施する 【脆弱性を失くす】 対策３ ワードやエクセルなどのアプリケーション 【脆弱性を失くす】 ソフトおよびプリンタなどのドライバー ソフトを最新のものにアップデートする なおセキュリティ対策ソフトを使っていても、それをすり抜けてパソコン やスマホにウイルスなどが入り込む可能性があります。定期的にウイ ルスチェックを実行しましょう。 ■２■ 最近のセキュリティに関わる身近な事例 ================ 最近、私の手元に届いた詐欺メールは次の通りです。 Ａ．ヤフーを語った詐欺メール （携帯電話へ着信） 法改正による確認事項がございます。本日中にご連絡なき 場合は、法的処置へ移行します。 ヤフー株式会社 お客さま窓口 03-XXXX-XXXX Ｂ．LINEを語った詐欺メール 最近アカウントが盗まれる事件が多くあり、当社はお客様の アカウントの安全を確保するために、ログイン保護を設置い たしました。その設置をよろしくお願い申し上げます。 以下のURLをクリックし、ログイン保護設置手続きにお進み ください。 上記2件の内容は表現的にもお粗末で、どうみても不審です。ちなみ に1週間程前のネットニュースに次のような記事がありました。 ---------------------------------------------- ショートメッセージで、アマゾンかたり架空請求 被害1億円超―消費者庁 ---------------------------------------------- ネット通販大手「アマゾンジャパン」をかたった架空請求が頻発して いるとして、消費者庁は14日、注意を呼び掛けた。 携帯電話番号を宛先に送受信するショートメッセージサービスを使 い、料金未納の名目で金銭を要求する手口で、被害は少なくとも約 400件、計約1億2000万円に上っているという。 消費者庁などが実施した調査によると、2015年6月ごろからアマゾン の「相談係」や「サポートセンター」を名乗り、「有料動画の未納料金 が発生している」とのメッセージが送信されるようになった。 記載された電話番号にかけると、「本日中に支払わなければ裁判に 移行する」などと不安をあおり数万〜数十万円分を要求。 コンビニでアマゾンギフト券を購入した上で、その番号を知らせるよ う誘導していた。 全国の消費生活センターなどには、これまでに約2万件の相談が あった。同じ人に繰り返し要求するケースもあり、被害の最高額は 約380万円だったという。 消費者庁は昨年以降、「ヤフー」や「DMM．com」をかたった同様の 被害について注意喚起している。同庁の担当者は「SMSで未払い 請求するのは詐欺の常とう手段なので、警察や消費生活センター に相談してほしい」と話した。 このように、知名度の高いサービスなどを利用した悪質な詐欺が横行 しています。少しでもおかしいな、心当たりがないなと思ったら、完璧に 無視しましょう。 ■３■ 最近の警告ならびに注意勧告 ======================== 以前は金融関係からの注意勧告が殆どでしたが、最近ではさまざま なネットサービスからも詐欺メールやスパムメールなどに対する注意 勧告が届くようになりました。以下、その主な注意勧告メールです。 Ａ．楽天より 「楽天」を装った不審なメール（会員情報変更メール）に ご注意ください。 2017年11月6日（月）頃より、「楽天」を装った「会員情報変更のお 知らせ」に関する不審なメールが配信されているとのお問い合わ せをいただいておりますが、弊社から配信したメールではござい ません。 ウイルス感染や個人情報の抜き取りなどの被害に遭う可能性が ございますので、差出人が「楽天」や「楽天株式会社」となっており ましても、身に覚えのない内容のメールに記載されているリンク をクリックしたり、添付されているファイル（zip）を開いたりしないよ うにお願い致します。 身に覚えのない内容のメールは、送られてきたメールそのものを 削除ください。 Ｂ．DCカードより カード会員様向けのWEBサービスにログインする際、カード番号等 お客様情報の入力を求める偽画面を表示させるウイルスが発生 しています。決して入力しないようご注意ください。 Ｃ．ＮＴＴレゾナント（ＮＴＴ-Ｘ ストア）より 「NTT-X Store」からの「商品発送のお知らせ」を 装うスパムメールにご注意ください 弊社が運営している「NTT-X Store」を騙り、商品発送の際にお送 りする「商品発送のお知らせ」の文面を模したスパムメールの配信 が報告されております。 万一、不審なメールや心当たりのないメールを受信した場合、NTT -X Store および gooのサービスとは一切関連性はございません。 開封やURLのクリックはお控えいただきますようお願いいたします。 上記以外にも数社から同様の注意案内が届いています。共通してい るのはメールであれWebページであれ、詐欺的な手法により利用者か らお金を盗もうとしていることです。くれぐれも注意したいものです。 以下は主なWebサイトの注意勧告ページです。（長いアドレスはbitlyを 使って短縮アドレスにしています） ○ 日本郵便 ・「日本郵便を装った不審メールにご注意ください」 http://www.post.japanpost.jp/notification/notice/ 2017/0622_01.html ・「郵便局を装った不審な電話にご注意ください」 http://www.post.japanpost.jp/notification/notice/ 2016/0412_01.html ○ 三菱東京UFJ 「金融犯罪にご注意ください」 http://www.bk.mufg.jp/info/index_crime.html ○ みずほ銀行 「金融犯罪等にご注意ください」 https://www.mizuhobank.co.jp/crime/index.html ○ 調布市役所 ・注意喚起情報 http://bit.ly/2A2xkhl ・「市役所職員をかたる者からの保険料(税)や医療費などの還付に 関する振り込め詐欺に注意」 http://bit.ly/2B4dku9 ・「市役所を装った粗大ごみの回収にご注意を」 http://bit.ly/2Am2FP7 ○ 品川区役所 「詐欺等警告情報」 http://bit.ly/2jd2N8w ○ 三菱UFJニコス 「MUFGカードをかたるフィッシング（詐欺）メールにご注意ください！」 http://www.cr.mufg.jp/member/notice/fishing/index.html ○ Yahooショッピング 「Yahoo!ショッピングをかたる詐欺にご注意ください 」 http://bit.ly/2iGvTxG 以上、思い付いたサイトを掲載しましたが、ほとんどのサイトには詐欺 メールやフィッシングなどに対する注意を促す案内ページがあります。 気になる方は一度ご確認ください。 ■４■ 不審なメールに対する心構え ========================= ◆ 不審と感じたらすぐに削除する お手元にはさまざまなメールが届くと思いますが、差出人に心当たり がなく、タイトルも不明で、かつファイルが添付されていたら、迷うこと なくそのまま削除しましょう。決して開いてはいけません。 こうしたメールは通常、開いただけではウイルスに感染するとか被害 にあうことはありません。ただ、開くことによって、そこに記載された脅 しメッセージに屈してしまい、つい「記載されたアドレスをクリックする」 「添付ファイルを開く」、「記載されている電話に連絡する」などのアク ションを起こしがちです。それが心配です。 従って、少しでもおかしいなと感じたら、迷うことなくメールを削除しま しょう。繰り返しますがくれぐれも反応してはいけません。反応すること 自体、相手にご自身の存在なり情報を知られてしまうことになります。 ◆ 迷惑メールや詐欺メールはランダムに送信される 不審メール等が届いたのをみて、「よくメールアドレスを調べてるな」と いう感想を聞きます。しかし、実際には大半がメールアドレスを調べて メールを送っているわけではありません。 なかには、何らかの方法で入手したメールアドレスを利用して送られ てくる場合もあるでしょうが、大方はコンピュータでさまざまな単語など を組み合わせてメールアドレスを作成し、そこに送っているのです。 つまり、闇雲に送信したメールのひとつが手元に届いた不審メールで あり迷惑メールなのです。ですから、それに対応してしまうこと自体、 敵に情報を知らせることになってしまいます。 ∞ 【参考】 デジタル署名とは 個人的には経済産業省やその関連団体から定期的にメールを受け 取っています。また、銀行からもメール受信しています。そして、その 際のメールは必ず「デジタル署名付きのメール」となっています。 「デジタル署名」とは、送られてきたメールの送信元が間違いないか、 送信上でデータが改ざんされていないかを確認するための技術です。 そして、それらが正しいものであることを保証するために第三者機関 である認証局が介在しています。 そうしたことから、公的情報ならびに機密を担保したい政府系組織や 金融機関ではごく普通にメールで利用しています。 ∞ 実際のデジタル署名付きメールの内容は次の通りです。 ヘッドラインには「デジタル署名済み確認済み」とあり、本文右端 には大きく「デジタル署名付きメッセージ」と表示があります。 本文の先頭には電子メールアイコンがあり、続いて以下のような 本文になっています。 このメッセージは差出人によってデジタル署名されています。 署名付きのメッセージを受信すると、メッセージの作成者から 正常に送信されていること、およびメッセージが転送中に変更 されていないことを確認できます。 署名付きのメッセージを受信すると、署名されていることを示す 電子メールアイコンが表示されます。 セキュリティ警告が表示される場合は、メッセージが変更されて いたり、実際の差出人から 配信されていない可能性があります。 そして最後に［続行］ボタンがあり、これをクリックすると内容が表示 されます。 最近では重要な案内メールはデジタル署名が施されています。または 案内書そのものが書留などの郵便で送られてきます。 メールが一般的になったとはいえ、まだ信用面で劣るため大切な内容 をメールで済ませるのは少ないと思っていいでしょう。本当に重要な内 容ならば郵便等でもお知らせが来るはずですので、金銭につながるよ うなメールには容易に対応しないようように心掛けましょう。 蛇足ですがビジネス分野では、請求書などもメールで送信されるよう になってきています。特に海外とのやり取りに関してはそうです。ただ、 それもあって、メールを操作されて違った口座にお金を振り込むジネ スメール詐欺が騒がれています。やはり、金銭に関わるものに関して はメールを信用しない方が無難のようです。 ■５■ 脆弱性はなぜなくならないのか？ ====================== 先月、Wi-FiのWPA2の脆弱性が発見されて騒動になったばかりです。 またWindowsなどのOSやワードなどのアプリケーションも常に脆弱性 を抱えています。そのため、脆弱性が原因で大きなセキュリティ事故 が起こる事例が後を絶ちません。 脆弱性はソフトウエアが抱えるセキュリティ上の弱点のことですが、悪 意のある者が脆弱性を悪用して攻撃するとさまざまな問題が起こりま す。例えばパソコンでは情報漏洩が発生したり、ランサムウエアに身 代金を要求されたり、データを大量に送りつけるDDoS攻撃の踏み台 になったりします。また、サーバではサービスが停止させられたり、 Webページの内容を書き換えられたり個人情報が流出したりします。 【1】 ソフトに脆弱性が生まれる理由 では、この脆弱性は何故なくならないのでしょうか。ソフト内部の弱み や欠陥であれば、それを改善修復することで無くなるはずです。しか し、実際にはそうは簡単にはいきません。実はソフトに脆弱性が生ま れる理由は「脆弱性は攻撃者が発明するから」なのです。 分かるようで分からない話です。冒頭の「１．セキュリティ対策の基本」 で脆弱性と脅威について触れ、セキュリティの事故は内部に弱みを持 つ状態（脆弱性）に対して外部からの脅威が働きかけたときに発生す ると紹介しました。単純に考えるとそうなります。 ただ問題は、脆弱性と脅威は大きく連動しており、脆弱性の弱みは脅 威によって相対的に変わってくるということです。エッ？ 【2】 脆弱性は攻撃者によって次々に「発明される」 脆弱性は大きく二つに分けて考えるといいでしょう。ひとつはソフトを 開発した時にはらんでいる脆弱性です。バグとも言いますが要するに 開発時におけるプログラムミスであり不具合（欠陥）です。これはその 後の修復や改良で直すことができます。 やっかいなのは、ソフトの運用後に新たに発生する脆弱性です。攻撃 者はソフトに対する攻撃アプローチを常に研究しています。そして攻撃 者が新たな攻撃手法を生み出すと、その攻撃を可能にしているソフト の状態が脆弱性と呼ばれるようになります。 【3】 攻撃者がいる限り、脆弱性はなくならない つまり、それ以前は脆弱性はなくても、攻撃者が生み出した攻撃手法 が有効な状態になると「脆弱性」が発生するのです。従って、攻撃者が いる限りソフトの脆弱性がなくなることはないのです。 人間に例えると、今流行っているインフルエンザに対してはワクチンを 打つことで一応脆弱性はなくなります。でも、新種のウイルスが出てき たら、それに対して新たな脆弱性が生まれます。パソコンなどもそれと 同じことになります。 ☆ ☆ ☆ 以下、セキュリティ対策における参考情報です。 ◆Ａ◆ 悩むグーグル、不正アクセスに最強の防壁 >>>>>>>>>>>>> 米グーグルは、Ｇメールなど同社が提供するサービスのアカウントを 不正アクセスから守る新たな仕組みを導入し、日本でも無料で利用 できるようにしました。その名も「ハイレベルな保護を必要とするユー ザのための最も強固なセキュリティ」です。 グーグルの一般的な仕組みは通常、利用者がメールアドレスとパス ワードを入力することで自分のアカウントにアクセスできます。 しかし、今回の「最強のセキュリティ」ではこの入力機能を部品にした 「ブルートゥース」と「USB」の２つセキュリティキーが必要になります。 これらをパソコンのUSBポートに差し込んだり、スマホと連携したりし なければ個人アカウントにアクセスができません。 また、ハッカーが個人アカウントに近づきにくくするため外部サービス のアクセスも制限し、フェイスブックなどのネットサービスと連携はほと んど受け付けなくなります。ブラウザもグーグルが開発したクロームだ けでしか動かず、さらにアカウントがハッカーに乗っ取られ、勝手にパ スワードを書き換えられる事態を避けるため、本人確認の手順も増や しています。 今回の強固なセキュリティは、ある程度の不便さと引き換えに防衛力 を大幅に引き上げるもので、政治家や経済人、ジャーナリストなどの 利用を想定しているそうです。 ◆B◆ 保守サポートが切れたOffice2007 >>>>>>>>>>>>>>>>>>>>> Windows ビスタと共に登場したマイクロソフトのオフィス2007ですが、 先月10月10日にサポートが切れました。しかし、あるセキュリティ会社 の調査によると9月末時点で、国内のユーザパソコン約41万台で利用 されていたそうです。これは全個人ユーザの8.6％といいます。 オフィス2007を使うパソコンの台数は減少傾向にあり、年初に比べる と25％減っています。しかし、全ユーザの12人に1人はサポート切れが 目前になってもアップグレードしなかった計算になります。 延長サポート終了後はマイクロソフトからセキュリティ更新プログラム は提供されません。当然のことながら、ユーザはセキュリティリスクを 抱えた状態が続き、脆弱性を突かれてパソコンを乗っ取られたり、情 報漏洩を招いたりする危険性があります。 IPA（情報処理推進機構）が運営する脆弱性対策情報データベースに はオフィス2007とWindowsビスタ（今年4月にサポート切れ）の脆弱性が 合計で2015年は163個、2016年は150個登録されています。発売から 10年以上経過しても脆弱性が発見され、そのペースも衰えていないと してセキュリティ対策会社は早期の更新を呼び掛けています。 ◆C◆ 猛威の兆し、ビジネスメール詐欺 >>>>>>>>>>>>>>>>>>>>>> ビジネス上のメールのやり取りに、巧妙に入り込んで別口座に送金す るようにだます「ビジネスメール詐欺」。海外での猛威に続いて国内で も本格的に広がる兆しが出て来ています。こうしたことから金融機関 では海外送金を行なう法人顧客を中心に注意書を配布し、被害を減 らそうと必死になっています。 被害が先行する米国ではビジネスメール詐欺の平均被害額は1件当 たり約1430万円で、ランサム（身代金）ウェアよりも犯罪としての効率 が良いことから、犯罪者が注力するようになったといいます。 今年4月、IPAは注意を喚起しましたが、その後も攻撃の手はやまず、 むしろ増える傾向にあると危機感を募らせています。 ビジネスメール詐欺では、メールでやり取りしていた正規の行為を絶 妙のタイミングで不正アクセスなどでメールを乗っ取り、相手になりす まして不正な別口座に誘導して振込みをさせるため、被害当事者は まったく気付かないそうです。そのため、ITを使った対策はこれといっ てないとも云われています。 対策としては、(1)詐欺の存在を知ること、(2)振込先の変更通知が来 たら取引先に電話などメール以外の手段で問い合わせる、(3)詐欺と 気付いたら銀行にすぐに連する、だそうです。 ◆D◆ 古いパソコンやスマホは本当に危険？ >>>>>>>>>>>>>>>>> 殆どの方は、何となく古いパソコンやスマホ、タブレットがウイルスなど のセキュリティ脅威にさらされやすくなることをご存知だと思います。 そう、通常パソコンやスマホなどに搭載されているWindowsやアンドロ イドなどのOSにはサポート期限があり、このサポート期間を過ぎてしま うと開発元から脆弱性を修正する更新プログラムなどが提供されなく なります。そして、サポート終了後のOSでは新たに見つかった脆弱性 は放っておくしかなく、その脆弱性を悪用してウイルスに感染させる攻 撃に対して丸腰になってしまうのです。 情報端末機を家に例えると、脆弱性は家の中で修理を必要とするほ ころび（脆弱性）となります。これらのほころびがきっかけとなりウイル スが侵入してきてしまいます。OSのサポートが終了してしまうと開発元 は更新プログラムの提供を終了するため、新たなほころびが見つかっ ても修正されず穴が開いたままとなってしまうのです。 さらにOSのサポート終了に伴い、その上で動くアプリも次第にサポート を終了してしまいます。これはセキュリティ対策ソフトも例外ではなく、 OSのサポート終了から一定期間経つと、最新の脅威に対抗するため のアップデートの配信が打ち切られてしまいます。 ∞ こうしたことから、古いパソコンやスマホはネット上のさまざまな危険 に対する防御力が大きく低下します。 すでにサポートを終了したパソコンやスマホ、タブレットをお使いの方 はOSをバージョンアップするか、最新OSが搭載された機器に買い替 えることをお勧めします。その上でOSやアプリのソフト会社から更新 プログラムが提供されたら、速やかに適用できるよう自動更新設定を 有効にしておきましょう。 なお、OSやアプリのバージョンアップやアップデートはパソコンもスマ ホなども基本的には同じですがひとつ異なる点があります。それはア プリのダウンロード先の違いです。スマホやタブレットの場合、さまざま なアプリマーケットからダウンロードできます。このとき、安全性を保持 するためにも不正アプリが配布されにくいApp StoreやGoogle Play、 各携帯電話会社などが運営する信頼できるマーケットからのみアプリ をインストールするようにしましょう。 |
| ========================================================== セキュリティ対策はハードやソフトなどのシステムだけで終わるもの ではありません。もちろん、それらを施すことは重要であり、非常に 効果をもたらします。しかしそれ以上に大切なのはセキュリティ対策 に対する心構えともいえます。 この臨増で採り上げた詐欺メールや迷惑メール、詐欺サイトなどで は人間の心理をうまく利用し、不安などを突いた攻撃を仕掛けてき ます。攻撃対象者の気持ちを揺さぶり、脅迫し、そして不安をあおり 罠のある方へ行動を導きます。 これらはシステムだけでは対応できません。セキュリティ対策ソフト でも解決しません。こうしてみると、セキュリティ対策の最後の砦は 「人による防御」といえます。 河口パソコンサービス 河口健二 Ｅメール kj-panda@mbk.nifty.com ホームページ http://homepage3.nifty.com/kj-hiroba ブログ http://blogs.yahoo.co.jp/ohi_panda 〒182-0003 東京都調布市若葉町2-9-21 ＴＥＬ ０３−６３８２−９１１７ ＦＡＸ ０３−６３８２−９１１８ uuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuu |