皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日はiPhoneであっても注意した方が良いという話です。

ここ最近、IPAにこんな相談が寄せられているようです。

カレンダーに身に覚えのないイベント

まず、この問題の結論から書きます。

今回の問題は、iCloudカレンダーの『共有機能』や『出席依頼機能』が悪用され、自身のiCloudメールアドレスが何らかの方法で知られてしまい、そのアドレスが共有先として設定されると、不審なカレンダーやイベントが自身のiPhoneに登録される可能性があるとされています。

この具体的な手口は以下のようになります。

＜１．iPhoneのカレンダーに身に覚えのないイベントがある＞

・iPhoneに身に覚えのないカレンダーの通知が表示される。

・iPhoneのカレンダーに身に覚えのないカレンダーやイベントが登録されている。

・イベントのタイトルには「ウイルスに感染している可能性があります」、「あなたのiPhoneは保護されていません！」などと記載されている。

・イベントにはURLが記載されている。

＜２．イベント内のURLから不審なサイトへ誘導される＞

・イベントに記載されているURLをタップして、不審なサイトにアクセスする。

＜３．アクセスした不審なサイト経由で被害にあう＞

・アクセスしたサイト経由で、不審なセキュリティ対策アプリ等のインストールへ誘導される可能性がある。

・アクセスしたサイトで、メールアドレス、電話番号、クレジットカード情報などの個人情報を入力すると、情報を詐取される可能性がある。

そして、アクセス先のサイト経由でアプリをインストールしたり、サイトに個人情報等を入力すると被害が発生する可能性があるとされています。

このような事象への対処法は以下の通りで紹介されています。

・身に覚えのない共有カレンダーの参加依頼が届いた場合は、参加依頼のスパム報告をする

・身に覚えのない共有カレンダーがある場合は、共有カレンダーを削除する

・身に覚えのないイベントの参加依頼が届いた場合は、不審な参加依頼のスパム報告をする

これらの対策法としては、

・手口を知る

・不審なカレンダーやイベントの参加依頼は削除する

・URLを安易にタップしない

・アプリのインストールは慎重に

・パスワードや認証コード等を安易に入力しない

ということになります。

念のため、IPAが掲載している『安心相談窓口だより（PDF版）』のURLを記載しておきますので参考にしてください。

『iPhone に突然表示される不審なカレンダー通知に注意！（PDF）』

皆さん、こんにちは。

業務改善を行う業務コンサルタント、高橋です。

冒頭に書いた事件は他人事ではありません。

他の公官庁や企業においても同じことが起きており、自社においても起き得ないとは言えない事件です。

では、一連の流れの中で何に問題があったのでしょうか？

委託業者任せは情報流出を招く可能性

まず、報道を見る限りでは以下のように書かれています。

・HDD（ハードディスク）は神奈川県と富士通リースがリース契約を結び、今年の春まで神奈川県のサーバーで使用していたもの。

・リース契約満了に伴い、HDD（ハードディスク）は神奈川県が初期化作業にてデータを消去した後、富士通リースに返却された。

・富士通リースはブロードリンクにHDD（ハードディスク）のデータ消去作業を委託した。

・ブロードリンクの社員がHDD（ハードディスク）を盗み、オークションサイトで転売した。

・オークションで落札した購入者が情報提供し、一部のHDD（ハードディスク）は返却された。

概ねこのような流れのようですが、ここにはいくつかの問題点があります。

・神奈川県から富士通リースにサーバーが返却される際、何故神奈川県内部にてデータの復旧を不可能にする作業を行わなかったのか。

（消去の方式はいくつかありますが、時間を要するだけで手順に沿って行えば誰でも行える作業です。）

・リース契約とは言え、記憶装置に関しては返却しない契約にできなかったのか。

（データを一定の基準以上の方式にて消去し、その後に物理的に破壊することを神奈川県にて行えば良かったと思える。）

・神奈川県、富士通リースともに、何故委託先業者に任せたままであったのか。

※　ここでブロードリンクに対する疑問を記載していないのは、あまりにも管理体制がずさん過ぎるとしか言えないため記載するまでもない論外的な話として捉えてください。

これらの内容に関しては他人事ではありません。

個人情報をはじめとする多くの情報を事業者は必ず抱えています。

神奈川県の問題と同じことが起きないよう、自社においても記憶装置に関する廃棄手順をしっかりと策定し、それを遵守していくことが非常に重要であると言える事案です。

そのような方々が使うSNSツールとは？

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、長いGW（ゴールデンウイーク）明けですので今日は軽い話題をお届けします。

日本においては圧倒的に『LINE』というSNSアプリを使っている方が多いとは思いますが、海外やセキュリティを重要視しなければいけない立場にある方などはこんなSNSアプリを使っているようです。

米国上院議員が使うSNS『Signal』

元CIA職員『エドワード・スノーデン』も高く評価し、米国上院議員も公式連絡ツールとして認められている『Signal（シグナル）』というSNSアプリがあります。

これ、『Open Whisper Systems』というところが開発しているオープンソースのメッセンジャーソフトで、すべての通信内容が『エンドツーエンドで暗号化』されることから非常にセキュリティ性の高いSNSアプリです。

この『Signal』で採用されている『エンドツーエンドの暗号化』は、運営者、管理者、サーバ所有者のいずれも会話内容を盗聴することはできない仕組みとなっています。

また、『Signal』の暗号化に使われている『プロトコル』はオープンソースのため、他のSNSアプリでも導入されています。

・WhatsApp：標準ですべての通信にSignalプロトコルを適用

・Facebook Messenger：一部の機能にのみSignalプロトコルを適用

・Skype：一部の機能にのみSignalプロトコルを適用

さて、日本はまだまだセキュリティに対する意識が低いように思いますが、あなたの会社はビジネスにおいて何を選択しますか？

宅ふぁいる便サービス停止に伴い実施できておりませんでした以下の機能について、特設サイトにてご提供させていただけるようになりました。

① 宅ふぁいる便に登録されているパスワードをご確認いただける機能
② 退会のお申し込み受付機能
③ 宅ふぁいる便ポイント交換機能

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

481万件の個人情報が漏えいした事件で『宅ふぁいる便』を運営する株式会社オージス総研は、流出したパスワードなどを確認できる『宅ふぁいる便Web特設サイト』を開設しました。

宅ふぁいる便Web特設サイトの開設

1月の個人情報漏えい事件以降、調査中のまま退会すらできなかった『宅ふぁいる便』がようやく動きを見せました。

今回設けられた『宅ふぁいる便Web特設サイト』では、

１．宅ふぁいる便に登録されているパスワードの確認

２．退会申込受付

３．ポイント交換

この3つの機能が公開されています。

また、この『宅ふぁいる便Web特設サイト』に関しては、『宅ふぁいる便の保有データから必要最小限の項目を抽出し、暗号化等の適切なセキュリティ処理を実施した上で宅ふぁいる便システムとは完全に分離された、まったく別の環境・サーバー上に別システムとして新たに開発・構築したうえで提供している。』となっています。

『宅ふぁいる便Web特設サイト』

（サービス提供時間：9：00～17:45）

ご参考までに。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

今日は、以前ご紹介したファイル送信ツールの『Firefox Send』が正式リリースとなりましたのでそれをご紹介します。

Firefox Send が正式リリースに

さて、この度正式リリースとなった『Firefox Send』ですが、『Firefox Send』のサイトを見るとテストパイロット期間にはなかったものが新たに加わっています。

テストパイロット期間はアカウント登録はなく、単純に『1GByte』までのファイルを送信できるものだったのですが、正式リリースとなり、アカウント登録を行うとファイルサイズの上限が『2.5GByte』まで拡大するようになっています。

ただし、業務利用の場合にはアカウント登録なしの上限『1GByte』で十分な気がしますので、その範囲であれば特別アカウント登録する必要はないです。

また、テストパイロット期間は有効期間が『1回のダウンロード』または『24時間』という設定だったのですが、正式リリース後の有効期間はアカウント登録の有無に関わらず『1回・2回・3回・4回・5回・20回・50回・100回のダウンロード』からの選択、または『5分・1時間・1日・7日』からの選択の組み合わせになっていますので、少々使い方に幅が出た感じがあります。

もちろん、テストパイロット期間にも存在した『パスワード保護』に関してもアカウント登録の有無に関わらず設定可能です。

『宅ふぁいる便』の情報漏えい事件を受け、他の安心できるファイル送信ツールを探している方もいるかと思いますが、Mozillaの『Firefox Send』の場合、ファイルは暗号化され、クラウドには何も残らないことから個人情報の秘匿性が維持されると説明されています。

ストレージサービス内の一部を共有する方法も良いかもしれませんが、個人的にはこちらの方がお勧めです。

参考までに、動画を掲載しておきます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

ここ最近、少々しつこい『フィッシングメール』が複数拡散されていますので、今日はそれをお伝えします。

AmazonやLINEを騙るフィッシングメール

ここ最近で多く見受けられる『フィッシングメール』の中でも、『Amazon』に関するものの大半は中国からのものでした。

しかも、日本の中堅どころのレンタルサーバを経由しているものも複数見られました。

それらのレンタルサーバには『お試し期間』が設けられているため、それを利用していると推察されます。

また、『Amazon』を騙るものは複数拡散されており、

・『「緊急の通知」Amazoneプライムのお支払いにご指定のクレジットカード有効期限が切れています！』

・『アカウント情報検証を完成してください。』

・『これは、カードが期限切れになったか、請求先住所が変更されたなど、さまざまな理由で発生する可能性があります。』

・『あなたの口座を24時間更新してください』

・『Amazon. co. jp にご登録のアカウント（名前、パスワード、その他個人情報）の確認』

・『Amazon Services Japan重要情報についての通知』

・『Amazon Services Japanアカウントを更新する最後の警告メール』

などの『件名』のものが見受けられます。

その他、『PayPal』、『ゆうちょ銀行』、『LINE』を騙る『フィッシングメール』は以下の『件名』のものがあります。

『PayPal』：『[大切] PayPal アカウントでの不審なログインアクティビティ-ケース』

『ゆうちょ銀行』：『ゆうちょ銀行からのご連絡』

『LINE』：『LINE【重要情報】』、『[LINE緊急問題] 』

どれも『フィッシングメール』ですので、間違ってもリンク部分をタップやクリックをしないようご注意ください。

一度は利用経験がある方も多い『宅ふぁいる便』、実はお粗末な仕様で管理されていました。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

海外からの不正アクセスによって個人情報が流出した『宅ふぁいる便』、私も過去に利用経験がありますが今は利用していません。

この情報漏えい、今の時代としては考えられない状態で管理されていたことには驚きです。

ファイル転送サービスは暗号化されたものを

『宅ふぁいる便』における大きな問題として、パスワードをはじめとした個人情報は一切『暗号化』されておらず、保管されているファイルも『暗号化』はされていなかったことにあります。

個人情報保護や情報セキュリティの徹底がさけばれる昨今においては考え難い管理です。

『ファイル転送サービス』を利用することそのものは決して悪いことであるとは思いません。

個人的にはメールに添付するよりも良いと思っています。

もし今後も『ファイル転送サービス』を利用したい場合、『暗号化されている』ことは当然ですが、『会員登録不要』のサービスがお勧めです。

例えば、以前ご紹介したMozillaの『Firefox Send』のことです。

もしくは『Google Drive（グーグルドライブ）』などを使っての受け渡しを行うことでも良いでしょう。

（『Dropbox（ドロップボックス）』は個人的にはお勧めしません。過去に情報漏えいがあったことで迷惑メール被害が結構ありました。）

ただし、自身のGoogleアカウントは必ず2段階認証を設定すべきです。

最後に、『宅ふぁいる便』を過去に利用したことがある方も含め、他のサービスなどにおいて『パスワード』の変更を行うべきです。

すでに流出してしまっている以上、『宅ふぁいる便』の復旧後にただ退会するだけでは意味はありません。

参考：＜宅ふぁいる便から漏えいした情報＞

・氏名（ふりがな）

・ログイン用メールアドレス

・ログインパスワード

・生年月日

・性別

・ 職業、業種、職種

・居住地の都道府県名

・居住地の郵便番号

・勤務先の都道府県名

・勤務先の郵便番号

・配偶者

・子供

※　すでに退会していても漏えい対象になっている可能性があります。

＜個人情報の保護に関する法律＞

第23条　個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
１　法令に基づく場合
２　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
３　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
４　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先日、『Tカード』の運営会社が裁判所の令状なしに捜査当局に個人情報を提供していた問題が物議を醸す事態となっています。

さて、あなたの会社の『個人情報保護方針』はどのようになっていますか？

Tカード問題を自社に置き換えた場合

今回『Tカード』の運営会社が行った内容は、

警察からの『捜査関係事項照会書』に回答をしたということです。

これが法的に問題か？と言うとそうではありません。

冒頭に書いた『個人情報の保護に関する法律』の『法令に基づく場合』に該当するため問題ではありません。

（他にも『裁判官の発する令状に基づく捜査』、『税務署の所得税等に関する調査』、『弁護士会からの照会』なども『法令に基づく場合』に該当します。）

問題視されているのは『個人情報保護方針』などに明記されずに内々だけで方針を変更していたことが大きいです。

つまり、予め『個人情報保護方針』などにおいて『法令に基づく場合』は個人情報の提供をすることがある旨を開示しておけば良かった話しかと思います。

（問題視された後、同社は2019年1月21日付にて個人情報保護方針を改訂しています。）

さて、あなたの会社の『個人情報保護方針』はどのように明記されていますか？

そこが問題です。

個人情報を本人の同意なく第三者に提供はしないものの、法令に基づく場合は例外として提供することがあるということが明記されているかどうかです。

ただし、『法令に基づく場合』の要請であったとしても社内的な精査を行うか、弁護士に相談するなど慎重な対応が必要です。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、連休明けの今日は再び注意喚起の記事投稿です。

先日の『楽天市場』をかたったものに続き、今回は『Amazon.co.jp』をかたったものが拡散している可能性があります。

Amazon.co.jpをかたる巧妙なスパム

『Amazon.co.jp』の偽物が拡散されることはよくあることではありますが、その内容は以前より巧妙になっているように思えます。

ここ数日あたりで拡散されているものもそうで、一瞬本物のAmazon.co.jpからのメールかと思わせる部分もあったりします。

件名：【Аmazon】■重要■ にご登録のアカウント（名前、パスワード、その他個人情報）の確認

内容例：

Аmazon お客様

残念ながら、あなたのアカウント Аmazon を更新できませんでした。
これは、カードが期限切れになったか。請求先住所が変更されたなど、さまざまな理由で発生する可能性があります。

アカウント情報の一部が誤っている故に、お客様のアカウントを維持するため Аmazon 情報を確認する必要・ェあります。今アカウントを確認できます。

Аmazon ログイン

なお、24時間以内にご確認がない場合、誠に遺憾ながら、アカウントをロックさせていただくことを警告いたします。

アカウントに登録のEメールアドレスにアクセスできない場合
お問い合わせ： Amazonカスタマーサービス。

お知らせ:
・パスワードは誰にも教えないでください。
・個人情報と関係がなく、推測しにくいパスワードを作成してください。大文字と小文字、数字、および記号を必ず使用してください。
・オンラインアカウントごとに、異なるパスワードを使用してください。

どうぞよろしくお願いいたします。
Аmazon

このような感じのものが拡散されています。

しかし、よく見ると誤字があったり、通常使われない言い回しがあったりしています。

この中で惑わされやすいのは『Amazon ログイン』の部分で、ここには偽サイトへの誘導リンクが張られています。

リンクURL：『https://www.amazon.co.jp.update.blue/www.amazon.co.jp/account-update』

※　間違ってもこのURLに移動しないでください。

これ、よく見るとドメインは『.blue』であり、正規の『Amazon.co.jp』ではないことがわかりますが、ぱっと見は間違えてしまう可能性があります。

皆さん、くれぐれもお気を付けください。

＜緊急のお知らせ＞
！「三菱ＵＦＪニコス銀行」や「三菱ＵＦＪニコス」「ＭＵＦＧカード」をかたるメールを送り、お客さまの個人情報等を入力させる詐欺が発生しています。メール記載のＵＲＬをクリックせずにメールの削除をお願いいたします。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

冒頭に書いた引用は『三菱UFJニコス』のトップページ上部に掲載されている『緊急のお知らせ』ですが、今、そのMUFGカードなどをかたるフィッシング（詐欺）メールが発生しており、セキュリティソフトウェアメーカーからも情報が提供されています。

MUFGをかたるフィッシングメール

現在、MUFGカードをかたるフィッシングメールが確認されており、フィッシングメール内のリンクURLをクリックすると、偽のサイトに誘導されてしまうようになっています。

内容としては以下のようになっている模様です。

＜メールの件名＞

通知
重要通知

＜差出人＞

◦◦◦@mufgcard.comなど、MUFGカードになりすましている可能性あり

＜メール内のURL＞

http://www.hclf.●●●●.tw/mufg.html
http://jw.●●●●.cn/mufg.html
http://lyk●●●●.cn/mufg.html
http://●●●●.co.za/mufg.html
など、MUFGカードWEBサービスのURLではないURL

＜転送先のURL＞
https://cr-mufg-ufj-jp.●●●●.com/

＜文末の連絡先＞
0120-●●●-●●●
など、MUFGカードではない電話番号

このようになっていますが、誤ってリンクを開いてしまうと偽画面が表示され、クレジットカード番号などの個人情報の入力が求められますので、間違っても入力してはいけません。

※　偽サイトのデザインは本物によく似ています。

このようなフィッシングの可能性があるメールにおいては、

１．メールをむやみに開かない
２．添付ファイルをむやみに開かない
３．リンクURLへむやみにアクセスしない
４．アカウント情報やクレジットカード情報などを入力しない
ことが重要です。