皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日はiPhoneであっても注意した方が良いという話です。

ここ最近、IPAにこんな相談が寄せられているようです。

カレンダーに身に覚えのないイベント

まず、この問題の結論から書きます。

今回の問題は、iCloudカレンダーの『共有機能』や『出席依頼機能』が悪用され、自身のiCloudメールアドレスが何らかの方法で知られてしまい、そのアドレスが共有先として設定されると、不審なカレンダーやイベントが自身のiPhoneに登録される可能性があるとされています。

この具体的な手口は以下のようになります。

＜１．iPhoneのカレンダーに身に覚えのないイベントがある＞

・iPhoneに身に覚えのないカレンダーの通知が表示される。

・iPhoneのカレンダーに身に覚えのないカレンダーやイベントが登録されている。

・イベントのタイトルには「ウイルスに感染している可能性があります」、「あなたのiPhoneは保護されていません！」などと記載されている。

・イベントにはURLが記載されている。

＜２．イベント内のURLから不審なサイトへ誘導される＞

・イベントに記載されているURLをタップして、不審なサイトにアクセスする。

＜３．アクセスした不審なサイト経由で被害にあう＞

・アクセスしたサイト経由で、不審なセキュリティ対策アプリ等のインストールへ誘導される可能性がある。

・アクセスしたサイトで、メールアドレス、電話番号、クレジットカード情報などの個人情報を入力すると、情報を詐取される可能性がある。

そして、アクセス先のサイト経由でアプリをインストールしたり、サイトに個人情報等を入力すると被害が発生する可能性があるとされています。

このような事象への対処法は以下の通りで紹介されています。

・身に覚えのない共有カレンダーの参加依頼が届いた場合は、参加依頼のスパム報告をする

・身に覚えのない共有カレンダーがある場合は、共有カレンダーを削除する

・身に覚えのないイベントの参加依頼が届いた場合は、不審な参加依頼のスパム報告をする

これらの対策法としては、

・手口を知る

・不審なカレンダーやイベントの参加依頼は削除する

・URLを安易にタップしない

・アプリのインストールは慎重に

・パスワードや認証コード等を安易に入力しない

ということになります。

念のため、IPAが掲載している『安心相談窓口だより（PDF版）』のURLを記載しておきますので参考にしてください。

『iPhone に突然表示される不審なカレンダー通知に注意！（PDF）』

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

まず、連日の『新型コロナウイルス感染症』に対して東京都を中心に『自粛要請』が出ています。

若年層であっても死亡事例はあり、他者へ感染させてしまうという二面性がありますので、現時点においては素直に『自粛』されることをお勧めします。

さて、今日はJPCERT/CCとIPAから出ている『連絡不能案件』とされる5つのソフトの脆弱性情報です。

私本管理Plus GOOUT等に使用中止を呼び掛け

以下にご紹介するソフトは、脆弱性が存在するものの開発者と連絡が取れないために公表の調整が不可能とされており、脆弱性の対策状況も不明であることから利用者に使用中止の検討が呼び掛けられています。

・掲示板 積木（開発者 Mash room）：脆弱性 OSコマンドインジェクション

・WL-Enq（開発者 WonderLink）：脆弱性 OSコマンドインジェクション、クロスサイトスクリプティング

・Cute News（開発者 CutePHP.com）：脆弱性 クロスサイトスクリプティング、任意のPHPコードが実行可能な脆弱性

・メールフォーム（開発者 携帯サイトnet）：脆弱性 クロスサイトスクリプティング、任意のPHPコードが実行可能な脆弱性

・私本管理 Plus GOOUT（開発者 EKAKIN）：脆弱性 OSコマンドインジェクション、ディレクトリトラバーサル、任意のファイルを操作される脆弱性

以上、ご注意ください。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

昨年は『情報セキュリティ10大脅威公開』、一昨年は『情報セキュリティ10大脅威決定』という記事にて取り上げましたが、一昨日、IPA（独立行政法人情報処理推進機構）が『情報セキュリティ10大脅威2020』を公表しましたのでご紹介します。

これは、2019年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約140名のメンバーからなる『10大脅威選考会』が脅威候補に対して審議・投票を行い、決定しています。

情報セキュリティ10大脅威2020

＜組織の10大脅威＞

1位：標的型攻撃による被害（昨年順位：1位）

2位：内部不正による情報漏えい（昨年順位：5位）

3位：ビジネスメール詐欺による金銭被害（昨年順位：2位）

4位：サプライチェーンの弱点を悪用した攻撃（昨年順位：4位）

5位：ランサムウェアによる被害（昨年順位：3位）

6位：予期せぬIT基盤の障害に伴う業務停止（昨年順位：16位）

7位：不注意による情報漏えい（規則は遵守）（昨年順位：10位）

8位：インターネット上のサービスからの個人情報の窃取（昨年順位：7位）

9位：IoT機器の不正利用（昨年順位：8位）

10位：サービス妨害攻撃によるサービスの停止（昨年順位：2位）

＜個人の10大脅威＞

1位：スマホ決済の不正利用（初）

2位：フィッシングによる個人情報の詐取（昨年順位：2位）

3位：クレジットカード情報の不正利用（昨年順位：1位）

4位：インターネットバンキングの不正利用（昨年順位：7位）

5位：メールやSMS等を使った脅迫・詐欺の手口による金銭要求（昨年順位：4位）

6位：不正アプリによるスマートフォン利用者への被害（昨年順位：3位）

7位：ネット上の誹謗・中傷・デマ（昨年順位：5位）

8位：インターネット上のサービスへの不正ログイン（昨年順位：8位）

9位：偽警告によるインターネット詐欺（昨年順位：6位）

10位：インターネット上のサービスからの個人情報の窃取（昨年順位：12位）

以上のような内容で公表されています。

組織においては廃棄予定のHDD（ハードディスクドライブ）が社員に不正に持ち出され、ネットオークションなどで転売されたことなど、『内部不正による情報漏えい』の順位が上昇しています。

また、個人においては『キャッシュレス決済』における『セキュリティ対策の不備』などにより『スマホ決済の不正利用』が初登場で1位という結果となりました。

こららの詳細な解説は、2月下旬にIPA 独立行政法人情報処理推進機構のウェブサイトにて公開予定となっています。

参考資料：『IPA プレスリリース『情報セキュリティ10大脅威 2020』を決定（PDFファイル：242KB）*』

（*）資料配布元：IPA 独立行政法人情報処理推進機構

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

iPhoneがアメリカで発売されたのが2007年、約12年前ですから14年前となるとスマートフォンやタブレットはなく、フィーチャーフォンの時代でした。

しかし、家庭向けの光回線も既に世に出ており、日本のインターネット人口は70%を超えるまで普及していました。

ということは、14年前には既にインターネット上の脅威にさらされていたということになります。

情報セキュリティの基本は今も昔も同じ

東京ビッグサイトでプレゼンテーションを行ったIPA（独立行政法人情報処理推進機構）の研究員はこのように語ったそうです。

14年分を振り返ってみると、『脆弱性を狙う』『フィッシングメールで人をだます』『内部漏えい』という主な手口は同じ。

その後、スマートフォンやタブレット、IoT機器の登場などにより環境は拡大し、脅威にさらされるものが増えた＝標的が増えたということはありますが、IPAの研究員はこのようにも述べています。

多数の脅威があるが、『攻撃の糸口』は似通っている。それを防ぐための基本的な対策の重要性も変わらない。

そして、以下の5つの対策を挙げています。

・ソフトウェアの更新

・セキュリティソフトの利用

・パスワードの管理、認証の強化

・設定の見直し

・脅威、手口を知る

この5つです。

つまり、技術の進化とともに攻撃手法はどんどん巧妙になってきてはいるものの、それへの対策の基本は同じということです。

今も昔も情報セキュリティの基本は同じなのです。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

昨日、2年数ヵ月ぶりに大幅改訂された『中小企業の情報セキュリティ対策ガイドライン（第3版）』がIPA（独立行政法人情報処理推進機構）から公開されましたので、それをお伝えします。

中小企業の情報セキュリティ対策ガイドライン第3版

＜概要＞

「中小企業の情報セキュリティ対策ガイドライン」（以下「本ガイドライン」）は、情報セキュリティ対策に取り組む際の、(1)経営者が認識し実施すべき指針、（2）社内において対策を実践する際の手順や手法をまとめたものです。経営者編と実践編から構成されており、個人事業主、小規模事業者をも含む中小企業（以下「中小企業等」）の利用を想定しています。
　第3版は第2版（2016年11月公開）から2年4か月ぶりの大幅改訂で、「サイバーセキュリティ経営ガイドライン」の改訂や、中小企業等を対象としたクラウドサービスの充実化などの環境変化を受けたものです。改訂のポイントは、専門用語の使用を可能な限り避け、ITに詳しくない中小企業等の経営者にとって理解しやすい表現としたことです。
　例えば実践編において、対策に取り組めていない中小企業等が組織的な対策の実施体制を段階的に進めていけるよう構成の見直しを行ったことです。また、クラウドサービスを安全に利用するための留意事項やチェック項目を記し、付録として新たに「中小企業のためのクラウドサービス安全利用の手引き」を追加しました。
　中小企業等ではITの利活用が進む一方で、サイバー攻撃手法の巧妙化、悪質化などにより事業に悪影響を及ぼすリスクはますます高まってきています。 また、サプライチェーンを構成する中小企業においては発注元企業への標的型攻撃の足掛かりとされる懸念も指摘されており、早急な対策実施が必須であると言えます。
　本ガイドラインおよび「SECURITY ACTION」制度の活用によって、ITを利活用している中小企業が情報セキュリティ対策に取り組み、経済社会全体のサイバーリスク低減につながることを期待しています。

このように、昨今の『サイバー攻撃の巧妙化』や『中小企業などにおけるIT環境の変化』などを受け、『経営者が認識し実施すべき指針』、『社内において対策を実施する際の手順や手法』などがわかりやすくまとめられています。

改めて確認し直す良い機会でもありますので、是非読んでみて下さい。

『中小企業の情報セキュリティ対策ガイドライン第3版（全62ページ、7.00MB） /PDF』

・付録1：『情報セキュリティ5か条（全2ページ、726KB） /PDF』

・付録2：『情報セキュリティ基本方針（サンプル）（全1ページ、34KB） /Word』

・付録3：『5分でできる！情報セキュリティ自社診断（全8ページ、3.9MB） /PDF』

・付録4：『情報セキュリティハンドブック（ひな型）（全10ページ、212KB） /PowerPoint』

・付録5：『情報セキュリティ関連規程（サンプル）（全50ページ、171KB） /Word』

・付録6：『クラウドサービス安全利用の手引き（全8ページ、2.8MB） /PDF』

・付録7：『リスク分析シート（全5シート、92KB） /Excel』

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

昨年も『情報セキュリティ10大脅威決定』という記事にて取り上げましたが、昨日、IPA（独立行政法人情報処理推進機構）が『情報セキュリティ10大脅威2019』を公表しましたのでご紹介します。

これは、2018年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約120名のメンバーからなる『10大脅威選考会』が脅威候補に対して審議・投票を行い、決定しています。

情報セキュリティ10大脅威2019

＜組織の10大脅威＞

1位：標的型攻撃による被害（昨年順位：1位）

2位：ビジネスメール詐欺による被害（昨年順位：3位）

3位：ランサムウェアによる被害（昨年順位：2位）

4位：サプライチェーンの弱点を悪用した攻撃の高まり（初）

5位：内部不正による情報漏えい（昨年順位：8位）

6位：サービス妨害攻撃によるサービスの停止（昨年順位：9位）

7位：インターネットサービスからの個人情報の窃取（昨年順位：6位）

8位：IoT機器の脆弱性の顕在化（昨年順位：7位）

9位：脆弱性対策情報の公開に伴う悪用増加（昨年順位：4位）

10位：不注意による情報漏えい（昨年順位：12位）

＜個人の10大脅威＞

1位：クレジットカード情報の不正利用（昨年順位：1位*1）

1位：フィッシングによる個人情報等の詐取（昨年順位：1位）

3位：不正アプリによるスマートフォン利用者への被害（昨年順位：4位）

4位：メール等を使った脅迫・詐欺の手口による金銭要求（初）

5位：ネット上の誹謗・中傷・デマ（昨年順位：3位）

6位：偽警告によるインターネット詐欺（昨年順位：10位）

7位：インターネットバンキングの不正利用（昨年順位：1位）

8位：インターネットサービスへの不正ログイン（昨年順位：5位）

9位：ランサムウェアによる被害（昨年順位：2位）

10位：IoT 機器の不適切な管理（昨年順位：9位）

（*1）クレジットカード被害の増加とフィッシング手口の多様化に鑑み、2018年個人1位の『インターネットバンキングやクレジットカード情報等の不正利用』を本年から、①インターネットバンキングの不正利用、②クレジットカード情報の不正利用、③仮想通貨交換所を狙った攻撃、④仮想通貨採掘に加担させる手口、⑤フィッシングによる個人情報等の詐取、に分割。

以上のような内容で公表されています。

また、今後の脅威に対する懸念として、AI（人工知能）を用いた新たなサイバー攻撃に対しても触れられています。

参考資料：『情報セキュリティ10大脅威 2019（PDFファイル：3.98MB）*2』

（*2）資料配布元：IPA 独立行政法人情報処理推進機構

延長サポートが終了した場合、新たな脆弱性が発見された場合であっても修正パッチは提供されなくなります。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先週末、IPA（独立行政法人情報処理推進機構）が複数のMicrosoft社製品に対する注意喚起を行っています。

来年（2020年）にMicrosoft社のサポートが完全に終了してしまう製品に対しての注意喚起です。

Windows7等のサポートは後1年弱

まず、来年の2020年にサポートが完全に終了するものには以下のものがあります。

＜2020年1月14日終了＞

・Windows 7

・Windows Server 2008

・Windows Server 2008 R2

＜2020年10月13日終了＞

・Microsoft Office 2010

以上のMicrosoft社製品のサポートが終了します。

Windows OSやOfficeアプリは定期的にセキュリティアップデートを行っており、昨年の1月～11月末における脆弱性の深刻度に関しても、Windows 7とWindows Server 2008・2008 R2は約30%の脆弱性が深刻度の最も高いレベル3（危険）で、Microsoft Office 2010に至っては約80%の脆弱性が深刻度の最も高いレベル3（危険）という状態でした。

このように、セキュリティ修正プログラムの提供がされないものを使い続けることは非常に意見で、脆弱性を悪用した攻撃による情報漏えいや、その他の被害を受ける可能性は当然高くなります。

残り1年を切ってしまった今、サポート提供の受けられる新しいWindows OSやOfficeへの移行は待ったなしといった状況にあります。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先週末、内閣サイバーセキュリティセンター（NISC/National center of Incident readiness and Strategy for Cybersecurity）よりサイバー攻撃に関する注意喚起が発出されています。

今日はそれについてお伝えします。

NISCによるサイバー攻撃の注意喚起

以下、外務報道官談話です。

中国を拠点とするAPT10といわれるグループによるサイバー攻撃について（外務報道官談話）

１．サイバー空間の安全は、我が国を含む国際社会の平和と繁栄を確保する上で極めて重要です。

２．こうした中、12月20日から21日（現地時間）にかけて、英国及び米国等は、中国を拠点とするAPT10といわれるサイバー攻撃グループに関して声明文を発表しました。我が国としても、サイバー空間の安全を脅かすAPT10の攻撃を強い懸念をもって注視してきており、サイバー空間におけるルールに基づく国際秩序を堅持するとの今般のこれらの国の決意を強く支持します。

３．我が国においても，APT10といわれるグループからの民間企業、学術機関等を対象とした長期にわたる広範な攻撃を確認しており、かかる攻撃を断固非難します。

４．中国を含むG20メンバー国は、サイバー空間を通じた知的財産の窃取等の禁止に合意しており、国際社会の一員として責任ある対応が求められています。

５．今後とも、政府として国内のサイバーセキュリティ対策の徹底に関する注意喚起を実施する予定です。

６．我が国としては、今後も、国際社会と緊密に連携して、自由、公正かつ安全なサイバー空間の創出・発展のための取組を進めていきます。

また、IPA（独立行政法人情報処理推進機構）では『日常における情報セキュリティ対策』を紹介しています。

＜組織のシステム管理者向け＞

１．情報持ち出しルールの徹底

２．社内ネットワークへの機器接続ルールの徹底

３．修正プログラムの適用

４．セキュリティソフトの導入および定義ファイルの最新化

５．定期的なバックアップの実施

６．パスワードの適切な設定と管理

７．不要なサービスやアカウントの停止または削除

＜組織の利用者向け＞

１．修正プログラムの適用

２．セキュリティソフトの導入および定義ファイルの最新化

３．パスワードの適切な設定と管理

４．不審なメールに注意

５．USBメモリ等の取り扱いの注意

６．社内ネットワークへの機器接続ルールの遵守

７．ソフトウェアをインストールする際の注意

８．パソコン等の画面ロック機能の設定

＜家庭の利用者向け＞

１．修正プログラムの適用

２．セキュリティソフトの導入および定義ファイルの最新化

３．定期的なバックアップの実施

４．パスワードの適切な設定と管理

５．メールやショートメッセージ（SMS）、SNSでの不審なファイルやURLに注意

６．偽のセキュリティ警告に注意

７．スマートデバイスのアプリ導入時の注意

８．スマートフォン等の画面ロック機能の設定

まずは不審なメールや添付ファイルを開かず、WindowsなどのOSやプログラムのパッチ（修正プログラム）やアップデートを可及的速やかに設定する等の適切なサイバーセキュリティ対策の一層の強化を行うよう注意喚起が発出されています。

参考１：APT10といわれるグループによるサイバー攻撃について（注意喚起）

参考２：日常における情報セキュリティ対策

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

今年の4月と6月にこのブログでも取り上げた『＋メッセージ』ですが、ある脆弱性が見つかっていたようです。

（4月の記事：＋メッセージはSMSとは別もの）

（6月の記事：＋メッセージの使用には要注意）

＋メッセージにおける盗聴等の脆弱性

9月27日、IPA（独立行政法人情報処理推進機構）とJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）から『＋メッセージ』に関する脆弱性情報が公開されました。

＜概要＞

スマートフォンアプリ「＋メッセージ（プラスメッセージ）」には、SSL サーバ証明書の検証不備の脆弱性が存在します。

想定される影響

中間者攻撃 (man-in-the-middle attack) による暗号通信の盗聴などが行なわれる可能性があります。

＜影響を受けるシステム＞

【NTTドコモ】
・Android アプリ「＋メッセージ（プラスメッセージ）」 42.40.2800 より前のバージョン
・iOS アプリ 「＋メッセージ（プラスメッセージ）」バージョン 1.1.23 より前のバージョン

【KDDI（au）】
・Android アプリ「＋メッセージ（プラスメッセージ）」 1.0.6 より前のバージョン
・iOS アプリ 「＋メッセージ（プラスメッセージ）」バージョン 1.1.23 より前のバージョン

【SoftBank】
・Android アプリ「＋メッセージ（プラスメッセージ）」 10.1.7 より前のバージョン
・iOS アプリ 「＋メッセージ（プラスメッセージ）」バージョン 1.1.23 より前のバージョン

＜対策方法＞

最新版へのアップデート

ちなみに、この脆弱性の報告者は『LINE株式会社』の方であったそうです。

では、情報漏えいを防ぐためにはどのような対策を行えば良いのでしょうか？

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

昨今、モバイルデバイスは欠かせないものとなっていますが、紛失や盗難などを想定した情報漏えい対策は不十分なことが多いようです。

それに対してIPA（独立行政法人情報処理機構）のセキュリティセンターが解説などを行っています。

モバイルデバイスの情報漏えい対策

IPAが公開しているモバイルデバイスの情報漏えい対策としては以下のことが書かれています。

＜解説編＞

■　情報漏えい対策のために必要なこと
・端末ロックだけでは不十分（暗号化の必要性）
・暗号化のしくみ
・誤った対策により悪用されてしまうケース
■　正しい対策のために必要なこと
・なりすましを避けるための利用者認証
・端末を常に最新の状態に保つこと
■　情報漏えい対策の考え方 ・情報価値レベルと対策の最低水準(ベースライン)について
・端末、可搬媒体に対する対策のベースラインについて　など

＜解説編 PDF資料＞

情報漏えいを防ぐためのモバイルデバイス等設定マニュアル（解説編）

＜実践編＞

■　「Microsoft Windows7, 8」、「iOS6」、「Android4.x」
・端末ロックによる利用者認証の有効化
・端末ロックによる利用者認証の安全性強化
・ハードディスク / フォルダの暗号化設定
■　「Microsoft Office (Word, Excel, Powerpoint)」、「Adobe Acrobat (PDFファイル)」
・ファイルへの暗号化設定の有効化
■　「Windows 10」
・端末ロックによる利用者認証の有効化
・端末ロックによる利用者認証の安全性強化
・ドライブ / フォルダの暗号化設定 (EFS, BitLocker)
・デバイス暗号化の設定
■　「Office 2016 / Office 365」
・ファイルへの暗号化設定の有効化
■　「Acrobat DC / Acrobat 2017」
・ファイルへの暗号化設定の有効化

＜実践編 PDF資料＞

情報漏えいを防ぐためのモバイルデバイス等設定マニュアル（実践編）

情報漏えいを防ぐためのモバイルデバイス等設定マニュアル（実践編-Windows10での設定方法）

情報漏えいを防ぐためのモバイルデバイス等設定マニュアル（実践編-Office2016/Office365での設定方法）

情報漏えいを防ぐためのモバイルデバイス等設定マニュアル（実践編-AcrobatDC/Acrobat2017での設定方法）

ご参考までに。