研修・セミナー・カンファレンス
BEC（ビジネスメール詐欺）対策ポイントを２つの代表的被害事例から学ぶ
2017 年の夏に国内大手航空会社が巧妙な詐欺メールで数千万円もの金額をだまし取られた。BEC、ビジネスメール詐欺と呼ばれる手法だが 2018 年には日本語の BEC も確認され、2019 年も警戒が必要なサイバー攻撃だとする専門家も多い。
2019.07.19（金）
![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
2017 年の夏に国内大手航空会社が巧妙な詐欺メールで数千万円もの金額をだまし取られた。BEC、ビジネスメール詐欺と呼ばれる手法だが 2018 年には日本語の BEC も確認され、2019 年も警戒が必要なサイバー攻撃だとする専門家も多い。
ネットワーク監視用のソフトウェアである Centreon に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
どの部分が危険に晒されていたのか、どんな情報が盗まれたり改ざんされたりした可能性があるのか、ファーウェイの業務のどの部分が影響を受けた可能性があるのか、そしてシステム侵入者が穴を利用したのか否かは不明である。
中国のサイバー犯罪というと人民解放軍の情報部隊の活動などを想像する人も多いが、経済犯罪、一般的な犯罪も活発に行われている。ネット人口8億人とも言われる中国では、サイバー空間も犯罪者の暗躍と規制当局とのいたちごっこが止まらないようだ。
スコットランドのマネージドサービスプロバイダーが、ランサムウェアによって暗号化されたファイルの復元を請け負うビジネスで大もうけしている。しかしセキュリティ企業の内偵によって、マルウェア製作者に金を支払うだけという「復元」の実態が暴露された。
Gandcrab の作者らは、彼らのランサムウェアが 20 億ドル以上の身代金を支払わせ、年間に約 1 億 5,000 万ドルを稼いだと言います。既に、彼らはこれらのお金を現金化し、様々な分野で合法的なビジネスを行なっているとのことです
最新情報
戦争・紛争でも人道的な視点から禁止される兵器や捕虜の扱いについてルール・条約が存在するように、サイバー空間でもなんらかの歯止めが必要だ。そのルールや規範（Norm）づくりが、国連、各国政府、民間団体で議論されている。
医療用ワークステーションで見つかった2つのセキュリティ脆弱性は、悪用すればその機器と接続されている輸液ポンプを乗っ取ることができ、患者に害をもたらす危険性がある。米政府が今日（編集部註：2019年6月13日）、明らかにした。
株式会社サイント 代表取締役 兼 脅威分析統括責任者 岩井 博樹 氏ご本人に、情報選定や執筆の方針について話を聞きました。
OS 管理ツールである Webmin に、遠隔から任意の命令の実行を強制させることが可能となる脆弱性が報告されています。
もしも 5 年から 7 年前であれば、私たちは何があっても身代金を払わないように言うだろう。身代金を払うことで事態を助長することになるからだ。現段階では身代金の支払いで状況は変化しない。 そういう段階がすでに来てしまっている。
どの部分が危険に晒されていたのか、どんな情報が盗まれたり改ざんされたりした可能性があるのか、ファーウェイの業務のどの部分が影響を受けた可能性があるのか、そしてシステム侵入者が穴を利用したのか否かは不明である。
スコットランドのマネージドサービスプロバイダーが、ランサムウェアによって暗号化されたファイルの復元を請け負うビジネスで大もうけしている。しかしセキュリティ企業の内偵によって、マルウェア製作者に金を支払うだけという「復元」の実態が暴露された。
最新情報
医療用ワークステーションで見つかった2つのセキュリティ脆弱性は、悪用すればその機器と接続されている輸液ポンプを乗っ取ることができ、患者に害をもたらす危険性がある。米政府が今日（編集部註：2019年6月13日）、明らかにした。
ネットワーク監視用のソフトウェアである Centreon に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
OS 管理ツールである Webmin に、遠隔から任意の命令の実行を強制させることが可能となる脆弱性が報告されています。
PostgreSQL に、遠隔から任意のコードの実行を強制することが可能となる脆弱性が報告されています。
EC サイト向け CMS ソフトウェアである Shopware に、悪意のある Phar ファイルをアップロードして、遠隔から任意のコードを実行させることが可能となる脆弱性が報告されています。
![ランサムウェアサービス提供者「Gandcrab」引退ほか ～ 2019 年 6 月のふりかえり [Scan PREMIUM Monthly Executive Summary]](/imgs/std_l/27739.png)
Gandcrab の作者らは、彼らのランサムウェアが 20 億ドル以上の身代金を支払わせ、年間に約 1 億 5,000 万ドルを稼いだと言います。既に、彼らはこれらのお金を現金化し、様々な分野で合法的なビジネスを行なっているとのことです
株式会社サイント 代表取締役 兼 脅威分析統括責任者 岩井 博樹 氏ご本人に、情報選定や執筆の方針について話を聞きました。
同脆弱性の検証コードは世界中で開発中ですので、悪用を目的とした攻撃ツールが登場するのも時間の問題とされています。なお、公開されている検証コードの開発状況は BlueKeepTracker などで確認することができます。
先月は、Kaspersky 社の主催する SECURITY ANALYST SUMMIT がシンガポールで開催され、多くの注目すべき脅威情報が発表されました。中でも、新たな APT フレームワーク「 TajMahal 」は、技術的な観点以外でも謎めいており、注目が集まりました。
これまでのお話で分かると思うけど、CSIRT体制構築は成熟期に向かう過渡期にあり、評価や話題性でみると終焉に向かいつつある。低コストで維持しやすい組織を目指した方がいい。
既に、CSIRT体制構築ブームに乗って、日本シーサート協議会に登録、あわよくばIT系のニュースで事例紹介されたい、なんてCSIRTゴールは飽きられ始めている。新鮮味が薄くなったんだ。ITに疎い経営者も少なくなった。
連載「ここが変だよ日本のセキュリティ」は、その内容はもちろんのこと、毎回記事に添付される、強烈な存在感を放つ、純愛を貫く著者近影写真もメッセージに力強い説得力を加えてきました。
選定基準と言っても、個人的にインパクトがあって、突っ込みを入れておかねばならんと思った奴を挙げていきます。特に、言葉から受ける印象に対して注意が必要な奴は、そこんとこ厳しくいかせてもらいます！
![[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ](/imgs/std_l/26608.jpg)
このたび ScanNetSecurity 編集部は多用のため〆切に遅れがちな寄稿者からのスムースな原稿入稿のために「ノリスケ方式」を採用したことを公表いたします。
犯罪が組織化したということは、組織間の連絡や他組織との情報交換が盛んに行われるようになったということだ。言うまでもなく、そのコミュニケーションの中心となっているのはインターネットである。ではどこでそのようなコミュニケーションが図られているのか。
ニュースを始めとしたメディアで毎日のように取り上げられるサイバー犯罪。それらの犯罪の裏にどのようなアクターが存在しているのか。僕が話をする前にちょっと想像してみてほしい。彼らはどんな目的で、どんな環境で攻撃を仕掛けているのか。
ダークウェブの犯罪者コミュニティを巡回するヨハンが、あるロシア人の投稿を見つけた。「α社製造のATMのハッキングモジュール作りました。だれかほしい人いませんか？」
実は、筆者の10年以上の長いペネトレーションテスターキャリアにおいて、これが初めての負け試合だった。そして、まだこの時点ではさらに半年後にまさか2つ目が待っていようとは筆者自身知る由もなかったのである。
脆弱性が出すぎるという事がいったいどういう事か、恐らく本誌の読者の皆さんなら想像は容易いだろう。
そんな中、転職活動の中でエージェントからサイバーディフェンス研究所というとっても香ばしい社名の会社の紹介を受ける。
3月末から、現役ペネトレーションテスターによるコラム「ペネトレーションテスターは見た！（仮題）」の連載開始を予定しております。ご執筆いただくのは、株式会社キーコネクト 代表取締役 利根川 義英 氏。
今回の事件は複数の専門家から見解が示されています。しかし実際はどうだったのでしょうか。
Anonymousによる攻撃示唆の投稿は合計すると100以上にも及び、障害も似たような件数が発生していたものと考えられますが、それらすべてが報道されていたわけではありません。
残念ながら攻撃者から見れば広告経由で拡散できる手段は魅力的に映っているのだろうと思います。今後も不正広告の事例が出てくるはずです。業界としての取り組みを期待するとともに、広告は身近な存在であるために油断せずに自衛手段を行っておきたいものです。
しかし、カスペルスキーが6月4日に発表した標的型攻撃のキャンペーン「Blue Termite」は大変興味深いものでした。外部の指令サーバーへ通信を行っていたIPアドレスが少なくとも300個確認され、内73%が国内のもので、この中には日本年金機構も含まれていたそうです。
大阪市は7月17日、大阪市水道局で「水道料金等納入通知書」の誤送付により法人情報の漏えいが判明したと発表した。
大阪府は7月16日、労働力調査において個人情報が記載された基礎調査票と特定調査票を調査対象ではない別の世帯に誤配布が判明したと発表した。
大阪市は7月16日、西淀川区役所窓口サービス課にて追完届記載事項証明書を誤交付があり個人情報の漏えいが判明したと発表した。
新潟県は7月16日、5月23日に報告した「農業経営改善計画の達成状況等について（アンケート）」の紛失について、現在までの対応状況を発表した。
IPAおよびJPCERT/CCは、横河電機が提供するVnet/IPオープン通信ドライバに、DoSの脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、セイコーエプソンが提供する複数のプリンタおよびスキャナ製品に、複数の脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、パナソニックが提供するWi-Fi SDカードリーダーライター「BN-SDWBP3」に複数の脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、ロックオンが提供するオープンソースのショッピングサイト構築システム「EC-CUBE」にセッション固定の脆弱性が存在すると「JVN」で発表した。
IPAは、「入退管理システムにおける情報セキュリティ対策要件チェックリスト」を公開したと発表した。
IPAは、2019年第1四半期（1月から3月）における「ソフトウェア等の脆弱性関連情報に関する届出状況」を発表した。
IPAは、2019年第1四半期（1月から3月）における「脆弱性対策情報データベース『JVN iPedia』の登録状況」を発表した。
IPAは、「情報セキュリティ安心相談窓口の相談状況［2019年第1四半期（1月～3月）］」を発表した。
