セキュリティブログ

三京商会お詫びとお知らせ／2023年2月20日

「三京商会　公式ショップ」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報等（9,416件）および個人情報（最大4万9,330件）が漏えいした可能性があることが判明いたしました。

※ここまで

こちらもクレカ情報が漏れてしまっています。

お心当たりのある皆様におかれましては、クレカ情報の確認とともに、パスワード変更お手続きなど、こちらもご検討いただけますと幸いです。

※不正な利用履歴がないか、の確認も、合わせてお願い申し上げます。

ソースネクスト株式会社／お詫びとお知らせ／2023年2月14日

このたび、当サイト（www.sourcenext.com）におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報112,132件および個人情報120,982件が漏えいした可能性があることが判明いたしました。

※ここまで

こちらはクレカ情報が漏れてしまったようです。

お心当たりのあるかたは、ID／パスワードのご確認・変更ご検討をお願いしたく考えます。

本学サーバーへの不正アクセスによる被害および個人情報漏洩の可能性について／明治大学／2023年2月9日

生田キャンパスの教育研究システムのサーバーに対し、第三者からの攻撃が行わ
れ、不審なプログラムが実行されていることが、2022 年 10 月 19 日に判明いたしま
した。（中略）
調査の結果、攻撃は同年 7 月 25 日から複数回にわたって行われており、学生およ
び本学構成員36,692件のメールアドレスが窃取された可能性があることが判明いた
しました。

※ここまで

第三者からの不正通信は「イージス」にて検知・ブロッキングが可能です。

そしてその前に、システム最新版への更新、バックアップのご準備など、合わせてお願い申し上げます。

※情報セキュリティ10大脅威 2023／IPA／2023年1月25日

「情報セキュリティ10大脅威 2023」は、2022年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約200名のメンバーからなる「10大脅威選考会」が脅威候補に対して審議・投票を行い、決定したものです。

※ここまで

ワンツーは不動です。

2位／サプライチェーンへの攻撃（昨年3位）

1位／ランサムウェア（昨年1位）

イージスによる不正通信検知の件数は、コロナ後、戦争後、増えています。

また、被害に遭ったかたからのご相談をいただくこともございますが、経験上

「会社業務が止まること自体が困る（開店休業になってしまい仕事ができない）」

「関係社員さんが離職する（結果誰も社内システムがわからなくなる）」

の2点が、組織にとって深刻なダメージになる、と考えます。

データバックアップ、システムの最新版へ更新について、今一度ご確認をお願いします。

※北関東マツダから約5万件の個人情報が流出か／日経クロステック／2023年1月20日

北関東マツダによると、2023年1月14日から15日にかけて、同社のWebサイトをハッキングしたとするメールが一部の顧客および関係者に送信された。同社は本文中のURLをクリックせず、速やかにメールを削除するよう呼びかけている。

※ここまで

高橋兄弟の顧客情報も漏えいしたのでしょうか。。

ハッキングメールからランサムの被害などは確認されてないようですが、同社お客様は引き続きご注意ください。

※オフィシャルサイト／Sorryページです

※「アフラック生命保険」と「チューリッヒ保険」で情報漏えい／NHK／2023年1月10日

「アフラック生命保険」では、がん保険に加入している132万3468人分の名字や年齢、性別それに証券番号などの個人情報が流出したということです。

一方「チューリッヒ保険」では、現在と過去の自動車保険の加入者のうち最大で75万7463人分の名字や性別、生年月日のほかメールアドレスや証券番号などの個人情報が流出した可能性があるとしています。

※ここまで

合わせて200万件弱の漏えいは大きいですね。

外部委託先のセキュリティ確認も、必要な時代になったと思料するところです。

可能な範囲で、ご確認・ご対応をお願い申し上げます。

※アフラックプレスリリース

※チューリッヒプレスリリース

経産省、総務省、警察庁から注意喚起が出ています。

今回のみならず、参考になりそうなURLを張り付けておきますのでご参考まで。

※年末年始休暇において実施いただきたい対策について（注意喚起）／経済産業省、総務省、警察庁、内閣官房内閣サイバーセキュリティセンター／2022年12月20日

※以下引用

【参考】
＜これまでの注意喚起＞
○８月８日 経済産業省、総務省、警察庁、NISC「夏季の長期休暇において実施いただ
きたい対策について（注意喚起）」
https://www.nisc.go.jp/pdf/press/20220808NISC_press.pdf

○10 月 14 日 金融庁、警察庁、NISC「北朝鮮当局の下部組織とされるラザルスと呼称
されるサイバー攻撃グループによる暗号資産関連事業者等を標的としたサイバー攻撃
について（注意喚起）」
https://www.nisc.go.jp/pdf/press/20221014NISC_press.pdf

○11 月 30 日 警察庁、NISC「学術関係者・シンクタンク研究員等を標的としたサイバ
ー攻撃について（注意喚起）」
https://www.nisc.go.jp/pdf/press/20221130NISC_press.pdf

○12 月 13 日 IPA「年末年始における情報セキュリティに関する注意喚起」
https://www.ipa.go.jp/security/topics/alert20221213.html

＜ランサムウェア対策＞
○ストップ！ ランサムウェア ランサムウェア特設ページ STOP! RANSOMWARE
https://security-portal.nisc.go.jp/stopransomware/

○ランサムウェア対策特設ページ（独立行政法人情報処理推進機構）
https://www.ipa.go.jp/security/anshin/ransom_tokusetsu.html

○侵入型ランサムウェア攻撃を受けたら読む FAQ（一般社団法人 JPCERT コーディネー
ションセンター）
https://www.jpcert.or.jp/magazine/security/ransom-faq.html

○ランサムウエア対策特設サイト（一般社団法人 JPCERT コーディネーションセンター）
https://www.jpcert.or.jp/magazine/security/nomore-ransom.html

○ランサムウェア被害防止対策（警察庁サイバー犯罪対策プロジェクト）
https://www.npa.go.jp/cyber/ransom/index.html

＜エモテット＞
○「マルウェア Emotet の活動再開に関する注意喚起について」（警察庁）（※１）
https://www.npa.go.jp/cybersecurity/pdf/20221104press.pdf

○「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて（独立
行政法人情報処理推進機構）（※２）
https://www.ipa.go.jp/security/announce/20191202.html

○マルウェア Emotet の感染再拡大に関する注意喚起（一般社団法人 JPCERT コーディネ
ーションセンター）（※３）
https://www.jpcert.or.jp/at/2022/at220006.html

※ここまで

本年も誠にお世話になりました。

皆様におかれましても、良い新年をお迎えくださいませ。

Fortiさんの脆弱性対策について、以下に記しておきます。

※更新：FortiOS SSL-VPN の脆弱性対策について(CVE-2022-42475)／IPA／2022年12月22日

※以下引用

概要

FortiOS SSL-VPN は、リモートアクセスを実現するための VPN 製品です。

この FortiOS SSL-VPN において、ヒープベースのバッファオーバーフローの脆弱性が確認されています。

本脆弱性が悪用されると、認証されていない遠隔の第三者によって細工したリクエストを送信され、任意のコードやコマンドを実行される可能性があります。

本脆弱性を悪用した攻撃が確認されており、今後被害が拡大するおそれがあるため、早急にアップデートを実施してください。

影響を受けるシステム

• FortiOS バージョン 7.2.0 から 7.2.2 まで
• FortiOS バージョン 7.0.0 から 7.0.8 まで
• FortiOS バージョン 6.4.0 から 6.4.10 まで
• FortiOS バージョン 6.2.0 から 6.2.11 まで
• FortiOS-6K7K バージョン 7.0.0 から 7.0.7 まで
• FortiOS-6K7K バージョン 6.4.0 から 6.4.9 まで
• FortiOS-6K7K バージョン 6.2.0 から 6.2.11 まで
• FortiOS-6K7K バージョン 6.0.0 から 6.0.14 まで

—2022 年 12 月 14 日 更新—

• FortiOS バージョン 6.0.0 から 6.0.15 まで
• FortiOS バージョン 5.6.0 から 5.6.14 まで
• FortiOS バージョン 5.4.0 から 5.4.13 まで
• FortiOS バージョン 5.2.0 から 5.2.15 まで
• FortiOS バージョン 5.0.0 から 5.0.14 まで

対策

1.脆弱性の解消 – アップデートを実施

開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• FortiOS バージョン 7.2.3 あるいはそれ以降
• FortiOS バージョン 7.0.9 あるいはそれ以降
• FortiOS バージョン 6.4.11 あるいはそれ以降
• FortiOS バージョン 6.2.12 あるいはそれ以降
• FortiOS-6K7K バージョン 7.0.8 あるいはそれ以降
• FortiOS-6K7K バージョン 6.4.10 あるいはそれ以降
• FortiOS-6K7K バージョン 6.2.12 あるいはそれ以降
• FortiOS-6K7K バージョン 6.0.15 あるいはそれ以降

—2022 年 12 月 22 日 更新—

• FortiOS バージョン 6.0.16 あるいはそれ以降

—2022 年 12 月 14 日 更新—

2.脆弱性の暫定的な回避策

製品開発者によると次の回避策を適用することで、本脆弱性の影響を軽減できるとのことです。

• SSL-VPN を無効にする

3.推奨対応

製品開発者は当該製品に対し、脆弱性を悪用する攻撃の被害を受けていないか確認するため、以下の調査を実施することを推奨しています。

• 機器ログに脆弱性の悪用を示すログが記録されていないか
• 機器に不審なファイルが設置されていないか
• 機器から不審な通信先への通信が発生していないか

詳しくは、開発者が提供する下記サイトの情報をご確認ください。
FortiOS – heap-based buffer overflow in sslvpnd—2022 年 12 月 22 日 更新—

Technical Tip: [Critical vulnerability] Protect against heap-based buffer overflow in sslvpnd

参考情報

• • FortiOS – heap-based buffer overflow in sslvpnd

• • FortiOSのヒープベースのバッファーオーバーフローの脆弱性（CVE-2022-42475）に関する注意喚起

本件に関するお問い合わせ先

IPA セキュリティセンターE-mail：

※個別のシステムおよび環境に関するご質問を頂いても回答ができない場合があります。詳しくは製品ベンダなどにお問合せください。

※ここまで

以上、よろしくご対応のほど、お願い申し上げます。

金沢西病院へサイバー攻撃　電子カルテの一部閲覧できない状態／NHK／2022年12月6日

※以下引用

金沢市にある「金沢西病院」で、患者の電子カルテの一部が閲覧できない状態になっていて、病院側は、不正アクセスによるサイバー攻撃を受けたとして、警察に被害を相談するなど詳しい状況を調べています。

※ここまで

病院も、会社も、困るのは「サービスが止まること」「関係者が離職すること」の2点です。

転ばぬ先の杖としてのセキュリティサービスはもちろん、バージョンアップとバックアップ、よろしくお願い申し上げます。