スミッシング
こんにちは。2月になりましたね。先月の中旬を過ぎたころから急に寒くなって、やっと冬を実感しています。私の身近な人はそれで体調を崩しておられましたので、皆様もお気を付けてお過ごしくださいね。 ーーー 先月、2024年のセキュリティ10大脅威が発表されましたね。どれも去年までのものと変わりない項目でしたが、その内容や手口はどんどん変わっているようですね。 先日年配の方のスマホを見させていただく機会があったのですが、SMSにいかにも怪しいメッセージが届いていました。その方にお聞きしてみると、身に覚えがないとは思いつつも、分からず開いてしまっていたとのことで慌てて詐欺であることをお伝えしました。 SMSを使った詐欺のことをスミッシングと言います。皆さんもきっと詐欺メッセージがSMSやメールなどで届くことがあると思います。明らかに怪しいものであれば速やかに削除することができますが、巧妙なものだと本物の企業からのメッセージだと思って開けてしまうことがあるかもしれませんね。それで今日はどのような手口が使われているのか、そして詐欺メッセージの見分け方について書いていきたいと思います。 まずは手口ですが、このような内容で送られてくることがあります。 ・宅配便の再配達のお知らせ・クレジットカードなどの支払いの催促・銀行など、金融機関の暗証番号更新の催促・ネットショッピングなど料金未払いの連絡・お得な情報に誘導するURL きっとこの中の1つは実際に届いたことがあるのではないでしょうか？例えば1つ目なんかは本当に何かを注文していて荷物を待っている時期にこのメッセージが来たら、本物だと思い込んでしまうことがあるかもしれません。これ以外にもいろいろな方法で手を変え、メッセージが送られてきます。目的は、IDやパスワード、個人情報、クレジットカード情報を手に入れようとしていることが多いです。気を付けましょう。 では一体どのように見分けたらよいのでしょうか？まず送信元を確認しましょう。送られてきた電話番号やメールアドレスが本物かどうか確認しましょう。ネットで検索すれば正しい情報はすぐにわかります。私はよく本物の企業のサイトから、詐欺の注意喚起を促しているページを探して確認する用にしています。そこにはよく「○○という内容のメールを送ることはありませんので気を付けてください」というような内容が書かれていますので、見分けやすいです。 また、載せられているURLの内容を確認することも大切です。ドメイン名を確認して、それが正しい公式のものかチェックしましょう。慌てて押して開いてしまうことの無いように気を付けたいです。 いかがでしたか？他にもいろんな手口があったり、対策方法がありますので、ぜひお調べになってみてください。 今日も楽しい一日になりますように。
犯罪のビジネス化
こんにちは。すっかり辺りの木々も青々として、爽やかな風が吹いています。5月はなんとなく青とか緑のイメージがあるのですが、私だけでしょうか？ ーーー 今日は2023年セキュリティ10大脅威の一つ、「犯罪のビジネス化（アンダーグラウンドサービス）」について書いていきたいと思います。組織向け脅威の10位としてランクインしてます。 犯罪のビジネス化とは、いったいどういうことなのでしょうか？従来のサイバー攻撃は、個人のスキル披露や嫌がらせなどのために行われることが多かったのですが、近年は金銭的利益を得るためのビジネスとして発展しています。 「アンダーグラウンド」とは、公にならず、違法な情報やソフトウェアなどのやり取りが行われている領域を指しています。攻撃ツールに加えて、著作権上問題のある情報やソフトウェアを公開していたり、不正入手した個人情報などもアンダーグラウンド市場で取引されています。 このサイバー攻撃の標的になりやすいのは、企業です。企業は高い価値ある情報を数多く所有しており、金銭的な利益が得やすいからです。今は高度なスキルを持たない人でもサイバー攻撃が出来る時代ですから、より力を入れてセキュリティ対策を行う必要があります。 これまで10大脅威のシリーズでお伝えしてきた、ランサムウェアは、メールの添付ファイルや、古いネットワーク機器の脆弱性や危険なサイトの閲覧など、侵入経路は様々です。厳重なセキュリティ対策を行う事、またそれをアップデートしていくこと、そして企業の組織の一員としてセキュリティの意識を持つことが大切です。共に気を付けていきましょうね。 今日も楽しい一日になりますように。
テレワーク等のニューノーマルな働き方を狙った攻撃
こんにちは。ついに7月に入りましたね。皆さんお気づきでしょうか…既に2022年が半分終わっていることに…残り半年、大切に過ごしていきたいですね。 ーーー 以前からシリーズで「情報セキュリティ10大脅威」の項目を解説していましたが、今日はその組織部門で4位だった「テレワーク等のニューノーマルな働き方を狙った攻撃」について書いていきたいと思います。 まず「テレワーク等のニューノーマルな働き方」とは、一体どのような働き方なのでしょうか？ コロナ禍の大変な時期にたくさんの企業がリモートワークに切り替わりましたが、少し緩和された現在も完全なオフィスワークには戻らず、一定の割合でリモートワークを継続していく企業が多いです。このように2つを組み合わせた働き方をハイブリットワークと呼び、ニューノーマル時代の新たな働き方となっています。 ではリモートワークにはどのような危険があるのでしょうか？ オフィスワークでは社内のセキュリティで何重にも守られてましたが、リモートワークではその保護がなく、端末だけで守らなくてはいけません。それで、以前にも解説しましたが、マルウェア感染、不正アクセス、端末の紛失や盗難、情報の盗聴などに気を付けなければなりません。 VPNなどを使用されている方は、安全と思われるかもしれませんが、一概にそうではありません。コロナ禍でテレワークによるVPNの利用が急増した際、VPNの脆弱性も一気に増えたため、かなりの被害が出ています。 ではどのようにセキュリティ対策すればよいでしょうか？ リモートワークでは端末単体でのセキュリティを向上させる必要があるため、より高機能のセキュリティ対策ソフトを導入することが効果的です。もしかすると従来のセキュリティソフトでは、進化しているサイバー攻撃を防ぎきれない可能性があるかもしれません。個人の情報、ひいては会社の大切な情報を守るために、検討してみるのも良いかもしれません。 今日も幸せな一日になりますように。
ゼロデイ攻撃
こんにちは。もうすっかり梅雨の時期ですね。お天気が悪いと、なんだか気持ちもジメジメしてしまいます。梅雨が明ければ夏が来ますので、今のうちに夏にしたいことを考えてみるのはいかがでしょうか？ ーーー 以前からシリーズで「情報セキュリティ10大脅威」の項目を解説していましたが、今日はその組織部門で7位だった「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」について書いていきたいと思います。 皆様は「ゼロデイ攻撃」という言葉をお聞きになられたことはありますか？私は耳なじみのない言葉でした。 ゼロデイ攻撃とは、OSやソフトウェアの脆弱性に対する修正プログラムが提供される前に、その脆弱性を利用して行われる攻撃のことです。これには事前の対策が必要です。 例として三菱電機の約8000人の個人情報が流出した事件を挙げることが出来ます。パソコンのアンチウイルスソフトにはパターンソフトの更新というものがあります。マルウェアの情報をまとめたデータベースのようなものを配信し、パソコン内にそれとマッチしたファイルが見つかった場合、ウイルス感染していると判断されるものです。このパターンファイルの更新を悪用し、マルウェアも配信させたのがこの事例です。 ではどのように対策すればよいのでしょうか？ ⑴サポート切れの製品は使わないこと⑵EDR（マルウェア感染後に影響を防ぐアプリ）を導入する⑶サンドボックスの導入⑷WAF（Webサイトに特化したファイアウォール）を導入する 具体的な説明が、今回参考にさせていただいた記事に載せられています。ぜひご覧ください。 まさかうちの会社が狙われるわけがない、そう思わずに計画的に事前に対策をするようにいたしましょう。今日も安全な一日になりますように。
スマホ決済の不正利用
こんにちは。新型コロナウイルスに加えて花粉も飛ぶ時期になってきましたね。どうかお身体にお気をつけてお過ごしください。 ーーー さて、今日は久しぶりに「情報セキュリティ10大脅威」シリーズを書いていきたいと思います。先月「情報セキュリティ10大脅威2020」が発表されました。今日取り上げるのは「個人」の脅威の第1位で新しくランクインした「スマホ決済の不正利用」についてです。 最近色んなお店でスマホ決済の文字を目にする機会が多いと思います。利用されている方も大勢おられます。 しかしその便利なスマホ決済は、リスクも十分にあります。実際、スマホ決済サービスのアカウントを乗っ取られ、勝手に商品を購入される被害が発生しています。 ではどうしてそのような被害が出るのでしょうか？例えばフィッシング詐欺によって認証情報（IDとパスワード）を詐取され、不正ログインされることがあります。またIDとパスワードを色んなサービスで使い回しており、その組み合わせが漏えいしてしまった場合に不正ログインの被害に遭うこともあります。さらに、クレジットカードの情報を盗まれた場合、その情報柄尾使用して新たにアカウントを作成し勝手に商品を購入する場合もあります。 このような被害に遭ってしまうと、かなりの損失を被る可能性があります。防ぐ方法はないのでしょうか？ フィッシング詐欺の対策として、添付されているURLからログインするのではなく、正規のサイトからログインするようにします。（フィッシング詐欺についての説明は過去の投稿をご覧ください。）また、不正利用されている様子がないか、クレジットカードや銀行口座の明細を定期的に確認することも大切です。 もし不正利用が判明したら、速やかに利用停止の手続きを行います。そのために各サービスや金融機関の連絡先などを把握しておくことも必要です。 便利でお得なスマホ決済ですが、リスクのことも頭に置きながら安全に使用していきたいですね。 今日参考にさせていただいた記事はこちらです。https://www.is702.jp/manga/3563/ 今日も幸せな一日を過ごせますように。
IoT機器
こんにちは。最近日が落ちるのが早くなりましたね。19時ごろには真っ暗になっている空を見ると、「あぁ、夏が終わったのだな」としみじみと思います。暑さはまだ続いていますが… ーーー さて、今日は「情報セキュリティ10大脅威」シリーズの8つ目を書いていきたいと思います。今日取り上げるのは「個人」の脅威の第10位、「組織」の第8にランクインした「IoT機器」についてです。 IoT機器とは、何かご存知ですか？名前こそ聞いたことがなくても、その実体は必ずご存知のはずです。IoT機器とは、インターネットに接続されたあらゆるもののことで、特に、テレビ・デジタルカメラ・DVDプレーヤー・照明機器などのことを指します。IoTは「Internet of Things」の略で、あらゆるものがインターネットを介して情報をやりとりし互いに制御を行うことを表しています。 問題なのは、そのIoT機器の脆弱性、つまりセキュリティの甘さです。皆さんはそれらの機器にパスワードをかけていますか？初期設定のままにしていませんか？PCやスマホなどは、しっかりセキュリティを強化していてもその他の機器は甘い、というのが現状ではないでしょうか？それが問題なのです。 例えばBluetooth。皆さんも使用されていると思います。スピーカーにつなげたり、車にもつなぐことができます。そんな中、「BlueBorne」と呼ばれるBluetoothの脆弱性が明らかになり、話題となっています。その脆弱性を利用し、IoT機器を乗っ取り、盗撮や情報の奪取をします。Bluetoothを利用する時以外はOFF設定にしておくのが賢明かもしれません。 他にも色々な例がありました。詳しくはこちらの記事をご覧ください。https://www.shadan-kun.com/blog/measure/870/ 個人にも組織にも挙げられているこの脅威。防ぐためにも、パスワードは複雑なものを設定して、使わないIoT機器の電源は切るように心がけましょう。 今日もしあわせな一日になりますように。
偽警告によるインターネット詐欺
こんにちは。もう8月も最終週ですね。学生の方はもう学校が始まっているところも多いようです。有意義な夏休みを過ごすことができたでしょうか？社会人の皆様も、夏を満喫できたでしょうか？ ーーー さて、今日は「情報セキュリティ10大脅威」シリーズの6つ目を書いていきたいと思います。今日取り上げるのは「個人」の脅威の第6位にランクインした「偽警告によるインターネット詐欺」です。 これ、引っかかりそうになった方おられるのではないでしょうか？実際に私も経験したことがあります。一体どのような詐欺なのでしょうか？ インターネットを利用している際、突然「ウイルスに感染しました」や、「パスワード情報がリスクに晒されています」や、「〇〇個のシステムの問題が見つかりました」などの警告画面が表示され、共に表示された電話番号にかけさせるという事案です。また、自分のPCにもともと入れているウイルス対策ソフトに見せかけた、偽の警告画面を表示させる手口もあります。そのようにして、遠隔操作ソフトの導入やウイルス対策ソフトの購入を促されるようです。 これらの画面は、実際にウイルス感染があるわけではなく、サイトのポップアップ表示や、広告表示機能を用いて表示しているだけだそうです。 正規のウイルス対策ソフト以外の表示であれば、そのまま無視して偽画面を閉じると問題は解消されます。くれぐれも電話をかけたり、個人情報を入力しないように注意いたしましょう。 今回参考にさせていただいた記事はこちらです。https://www.keishicho.metro.tokyo.jp/.../warning_screen.html まだまだ暑いですので、体調に気をつけてお過ごしくださいね。
サプライチェーンの弱点を悪用した攻撃の高まり
こんにちは。台風10号が近づいていますね。予報によると、ちょうどUターンラッシュの時期に西日本にあたるようです。くれぐれも油断せずお気をつけてお過ごしくださいね。何事もなく通過することを願っています。 ーーー さて、今日は「情報セキュリティ10大脅威」シリーズの5つ目を書いていきたいと思います。今日取り上げるのは「組織」の脅威の第4位にランクインした「サプライチェーンの弱点を悪用した攻撃の高まり」です。 サプライチェーンって、なにかご存知ですか？お聞きになったことがある方もおられるかもしれません。これは、企業の中で、製品の原材料が生産されてから、製品やサービスが消費者に届くまでの一連の全プロセスのことです。もし、組織が特定の業務を外部組織に委託していた場合は、外部組織もこのサプライチェーンの一環となります。 そこで、タイトルに戻ります。サプライチェーンの弱点とは、まさにそこにあるのです。大抵の大企業はセキュリティ対策を強化しているため、容易に攻撃することはできません。しかし、犯罪者はそこをつかず、あえてその大企業の取引先の、セキュリティ対策が手薄な中小企業を狙います。そこを踏み台として、大企業に攻撃するのです。 方法としては、このような手口が存在します。 ①取引先企業のメールを盗聴②取引先になりすまし、偽装メールを大企業に送信。③やり取りが成功すると、大企業に侵入するための情報を入手。④情報を使い、大企業のネットワークに侵入。 この流れで、比較的簡単に侵入してしまうようです。他にも、ソフトウェアのサプライチェーンの脆弱性につけこんだ攻撃方法もあります。 このような攻撃の対策法にはどのようなものがあるのでしょうか？詳しくはこちらの記事にまとめられていました。ぜひお読みください。https://www.ssk-kan.co.jp/topics/topics_cat05/?p=9606 会社組織ならではの攻撃方法でしたね。自分のセキュリティの甘さで、甚大な被害を及ぼすことを想像すると血の気が引きます。皆さまも、セキュリティ対策をしっかり行い日々の業務に勤しみましょう！今日も何事もなく安全に過ごすことができますように。
不正アプリによるスマートフォン利用者への被害
こんにちは。もう7月も明日で終わりですね。いよいよ夏も本番。暑さに負けず頑張りましょう！ ーーー さて、今日は「情報セキュリティ10大脅威」シリーズの4つ目を書いていきたいと思います。今日取り上げるのは「個人」の脅威の第3位にランクインした「不正アプリによるスマートフォン利用者への被害」です。 今の時代、殆どの方がスマホをお持ちだと思います。使用する際、必ずと言っていいほど「アプリ」をダウンロードしますよね。今回はそこに潜む危険です。 明らかに「怪しいな…」と感じるアプリは、皆さんきっと避けると思うのですが、不正アプリをインストールさせる手口は巧妙です。例えば、人気アプリと同じタイトル名や、アイコン、説明文を使って本物に見せかけた偽アプリを使うこともあります。画像の表示や音楽や動画の再生のために必要だと称して不正アプリを入れさせることもあります。不正アプリを入れてしまう原因のその多くは、「気付かずに」入れてしまうなのことです。 もしそれらのアプリによってウイルス感染した場合どうなるのでしょうか？例えば、以前ご説明したランサムウェアタイプのウイルスに感染することもありますし、勝手にスマホ内の情報を外部に送信したり、成人向けサイトに誘導する広告をしつこく表示したりすることもあります。スマホもパソコンと変わりなく危険だ、ということですね。 では、どうすればインストールする前に不正アプリを見分けることができるのでしょうか？その方法の１つに、「ネットでアプリ名や開発元を調べる」というものがあります。そのアプリの開発元が、ダウンロードページに書かれているはずですので、その名前をネットで検索してみてください。もし、悪い評判がある場合は控えるべきです。 その他にも見分け方がいくつかありますので、詳しくはこちらのサイトをご覧ください。https://www.is702.jp/special/3282/ 安全なアプリをインストールして、楽しくスマートフォンを使いましょうね。今日も心穏やかな一日になりますように。
標的型攻撃
こんにちは。やっと関西も梅雨入りし、雨ばかりが続きますが、いかがお過ごしでしょうか？つい家に引きこもりがちになりますが、あえて部屋でできる有意義な過ごし方を見つけるのも楽しいかもしれませんね。 ーーー さて、今日はこの間の「情報セキュリティ10大脅威」シリーズの3つ目を書いていきたいと思います。今日取り上げるのは「組織」の脅威の第1位にランクインした「標的型攻撃」です。名前からして、いかにも狙われている感じで少し怖いですね。 標的型攻撃とは、重要情報を入手するために、時間、手段、手法を問わず、特定の組織を攻撃対象として継続的に攻撃することです。その特徴は、「長期間にわたり、段階的な攻撃を継続して行う」ところです。 組織のパソコンがたった一台でもウイルスに感染させられると、攻撃者はそこから情報を収集し、それを踏み台に組織のサーバやデータベースにアクセスして情報を盗み取っていきます。 その方法としては、ウイルス付きのメールを送ってきたり、利用者がよく訪れるウェブサイトの改ざんなどあらゆる手段でウイルスを仕込もうとします。ですので、不審なメールやリンクを安易にクリックしないことや、セキュリティソフトを個人の端末にも導入し、常に最新の状態を保つなど十分な注意が必要です。 自分だけなら大丈夫とは決して思わず、一人ひとりがセキュリティの意識を持って気をつけて過ごしましょうね。 詳しくは、こちらのサイトをご覧下さい。https://www.trendmicro.com/.../threat-solution/apt.html 今日も1日元気に過ごせますように。