国際
顧客データ人質にされた独大手 SI 企業の攻防、攻撃者が本誌に語った言い分（The Register）
オラクル、SAP、BT 他、さまざまな企業と契約し、それら企業の IT システムを管理しているサービスプロバイダがハッキングされ、その顧客データを人質に身代金が要求されている。
2019.05.22（水）
![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
オラクル、SAP、BT 他、さまざまな企業と契約し、それら企業の IT システムを管理しているサービスプロバイダがハッキングされ、その顧客データを人質に身代金が要求されている。
韓国の脅威分析と日本との関係に着目したセッションが、2018年10月に開催されたCODEBLUEで行われた。その内容を元に、日韓両国の脅威事情を紹介する。講演者はチャ・ミンソク氏（AnLab）。
腕利きのアウトソーシング企業であるキャピタ社がスコットランド警察局の用意した 1,320 万ポンド（編集部註：約 19 億円）の「ごちそう」を平らげた。ごちそうとはすなわち、スコットランド警察の「中核業務用ソリューション（ COS ）」に関する契約だ。
オンライン上では滅多にないほど多くの開発者が、このソフトウェアのたちの悪さに怒りの声を上げている。
「（サイバー攻撃によって）たとえば企業の株価がドカンと下がるとか、急に市場がなくなるという訳ではなく、少しずつ中国が競争力を上げて、市場に浸透し、類似商品でマーケットを取られていくような構図が背景にある（柳下氏）」
WordPress のプラグインである Social Warfare において、読み込み先 URL の検証不備によって、遠隔から任意のコードが実行されてしまう脆弱性が報告されています。
先月は、Kaspersky 社の主催する SECURITY ANALYST SUMMIT がシンガポールで開催され、多くの注目すべき脅威情報が発表されました。中でも、新たな APT フレームワーク「 TajMahal 」は、技術的な観点以外でも謎めいており、注目が集まりました。
2018 年暮、マクニカネットワークス株式会社が、サイバー攻撃動向をテーマにメディア向け勉強会を開催した。開催から日数を経たが事業会社による情報発信として他に例を見ない特色ある内容であり、ディティールを省き要点をかいつまみ記事として配信する。
オラクル、SAP、BT 他、さまざまな企業と契約し、それら企業の IT システムを管理しているサービスプロバイダがハッキングされ、その顧客データを人質に身代金が要求されている。
腕利きのアウトソーシング企業であるキャピタ社がスコットランド警察局の用意した 1,320 万ポンド（編集部註：約 19 億円）の「ごちそう」を平らげた。ごちそうとはすなわち、スコットランド警察の「中核業務用ソリューション（ COS ）」に関する契約だ。
オンライン上では滅多にないほど多くの開発者が、このソフトウェアのたちの悪さに怒りの声を上げている。
驚くほど簡単に英国の大学の管理部門にフィッシング攻撃をしかけることができることを教育機関支援団体 JISC が明らかにした。JISC は、「 2 時間以内に」100 ％ の成功率で攻撃できると主張している。
WordPress のプラグインである Social Warfare において、読み込み先 URL の検証不備によって、遠隔から任意のコードが実行されてしまう脆弱性が報告されています。
OS 管理ツールである Webmin に、遠隔から任意のファイルをアップロードすることが可能となる脆弱性が報告されています。
世界的に利用されている CMS である Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
Nagios XI に、遠隔から管理者権限での任意のコード実行につながる、複数の脆弱性が公開されています。
これまでのお話で分かると思うけど、CSIRT体制構築は成熟期に向かう過渡期にあり、評価や話題性でみると終焉に向かいつつある。低コストで維持しやすい組織を目指した方がいい。
既に、CSIRT体制構築ブームに乗って、日本シーサート協議会に登録、あわよくばIT系のニュースで事例紹介されたい、なんてCSIRTゴールは飽きられ始めている。新鮮味が薄くなったんだ。ITに疎い経営者も少なくなった。
連載「ここが変だよ日本のセキュリティ」は、その内容はもちろんのこと、毎回記事に添付される、強烈な存在感を放つ、純愛を貫く著者近影写真もメッセージに力強い説得力を加えてきました。
選定基準と言っても、個人的にインパクトがあって、突っ込みを入れておかねばならんと思った奴を挙げていきます。特に、言葉から受ける印象に対して注意が必要な奴は、そこんとこ厳しくいかせてもらいます！
![[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ](/imgs/std_l/26608.jpg)
このたび ScanNetSecurity 編集部は多用のため〆切に遅れがちな寄稿者からのスムースな原稿入稿のために「ノリスケ方式」を採用したことを公表いたします。
犯罪が組織化したということは、組織間の連絡や他組織との情報交換が盛んに行われるようになったということだ。言うまでもなく、そのコミュニケーションの中心となっているのはインターネットである。ではどこでそのようなコミュニケーションが図られているのか。
ニュースを始めとしたメディアで毎日のように取り上げられるサイバー犯罪。それらの犯罪の裏にどのようなアクターが存在しているのか。僕が話をする前にちょっと想像してみてほしい。彼らはどんな目的で、どんな環境で攻撃を仕掛けているのか。
ダークウェブの犯罪者コミュニティを巡回するヨハンが、あるロシア人の投稿を見つけた。「α社製造のATMのハッキングモジュール作りました。だれかほしい人いませんか？」
実は、筆者の10年以上の長いペネトレーションテスターキャリアにおいて、これが初めての負け試合だった。そして、まだこの時点ではさらに半年後にまさか2つ目が待っていようとは筆者自身知る由もなかったのである。
脆弱性が出すぎるという事がいったいどういう事か、恐らく本誌の読者の皆さんなら想像は容易いだろう。
そんな中、転職活動の中でエージェントからサイバーディフェンス研究所というとっても香ばしい社名の会社の紹介を受ける。
3月末から、現役ペネトレーションテスターによるコラム「ペネトレーションテスターは見た！（仮題）」の連載開始を予定しております。ご執筆いただくのは、株式会社キーコネクト 代表取締役 利根川 義英 氏。
今回の事件は複数の専門家から見解が示されています。しかし実際はどうだったのでしょうか。
Anonymousによる攻撃示唆の投稿は合計すると100以上にも及び、障害も似たような件数が発生していたものと考えられますが、それらすべてが報道されていたわけではありません。
残念ながら攻撃者から見れば広告経由で拡散できる手段は魅力的に映っているのだろうと思います。今後も不正広告の事例が出てくるはずです。業界としての取り組みを期待するとともに、広告は身近な存在であるために油断せずに自衛手段を行っておきたいものです。
しかし、カスペルスキーが6月4日に発表した標的型攻撃のキャンペーン「Blue Termite」は大変興味深いものでした。外部の指令サーバーへ通信を行っていたIPアドレスが少なくとも300個確認され、内73%が国内のもので、この中には日本年金機構も含まれていたそうです。
大阪市は5月14日、大阪市東淀川区役所総務課（総合企画）にて委託事業者より個別配付している「広報ひがしよどがわ」が不法投棄されたことにより個人情報の流出が判明したと発表した。
弁護士法人権田総合法律事務所は5月7日、同所のファイル共有サーバーのファイルの一部がランサムウェアに感染し使用できない状態となったことが判明したと発表した。
不動産事業を行うヨシコン株式会社は5月17日、車上荒らしに遭い顧客の個人情報が含まれる鞄が盗難されたと発表した。
大阪市は5月16日、大阪市船場法人市税事務所にて「令和元年度 給与所得等に係る個人市民税・府民税特別徴収税額の決定通知書」の誤送付による個人情報と法人情報の漏えいが判明したと発表した。
IPAおよびJPCERT/CCは、横河電機が提供するVnet/IPオープン通信ドライバに、DoSの脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、セイコーエプソンが提供する複数のプリンタおよびスキャナ製品に、複数の脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、パナソニックが提供するWi-Fi SDカードリーダーライター「BN-SDWBP3」に複数の脆弱性が存在すると「JVN」で発表した。
IPAおよびJPCERT/CCは、ロックオンが提供するオープンソースのショッピングサイト構築システム「EC-CUBE」にセッション固定の脆弱性が存在すると「JVN」で発表した。
IPAは、「入退管理システムにおける情報セキュリティ対策要件チェックリスト」を公開したと発表した。
IPAは、2019年第1四半期（1月から3月）における「ソフトウェア等の脆弱性関連情報に関する届出状況」を発表した。
IPAは、2019年第1四半期（1月から3月）における「脆弱性対策情報データベース『JVN iPedia』の登録状況」を発表した。
IPAは、「情報セキュリティ安心相談窓口の相談状況［2019年第1四半期（1月～3月）］」を発表した。
