セキュリティブログ

※情報セキュリティ10大脅威 2023／IPA／2023年1月25日

「情報セキュリティ10大脅威 2023」は、2022年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約200名のメンバーからなる「10大脅威選考会」が脅威候補に対して審議・投票を行い、決定したものです。

※ここまで

ワンツーは不動です。

2位／サプライチェーンへの攻撃（昨年3位）

1位／ランサムウェア（昨年1位）

イージスによる不正通信検知の件数は、コロナ後、戦争後、増えています。

また、被害に遭ったかたからのご相談をいただくこともございますが、経験上

「会社業務が止まること自体が困る（開店休業になってしまい仕事ができない）」

「関係社員さんが離職する（結果誰も社内システムがわからなくなる）」

の2点が、組織にとって深刻なダメージになる、と考えます。

データバックアップ、システムの最新版へ更新について、今一度ご確認をお願いします。

※北関東マツダから約5万件の個人情報が流出か／日経クロステック／2023年1月20日

北関東マツダによると、2023年1月14日から15日にかけて、同社のWebサイトをハッキングしたとするメールが一部の顧客および関係者に送信された。同社は本文中のURLをクリックせず、速やかにメールを削除するよう呼びかけている。

※ここまで

高橋兄弟の顧客情報も漏えいしたのでしょうか。。

ハッキングメールからランサムの被害などは確認されてないようですが、同社お客様は引き続きご注意ください。

※オフィシャルサイト／Sorryページです

※「アフラック生命保険」と「チューリッヒ保険」で情報漏えい／NHK／2023年1月10日

「アフラック生命保険」では、がん保険に加入している132万3468人分の名字や年齢、性別それに証券番号などの個人情報が流出したということです。

一方「チューリッヒ保険」では、現在と過去の自動車保険の加入者のうち最大で75万7463人分の名字や性別、生年月日のほかメールアドレスや証券番号などの個人情報が流出した可能性があるとしています。

※ここまで

合わせて200万件弱の漏えいは大きいですね。

外部委託先のセキュリティ確認も、必要な時代になったと思料するところです。

可能な範囲で、ご確認・ご対応をお願い申し上げます。

※アフラックプレスリリース

※チューリッヒプレスリリース

経産省、総務省、警察庁から注意喚起が出ています。

今回のみならず、参考になりそうなURLを張り付けておきますのでご参考まで。

※年末年始休暇において実施いただきたい対策について（注意喚起）／経済産業省、総務省、警察庁、内閣官房内閣サイバーセキュリティセンター／2022年12月20日

※以下引用

【参考】
＜これまでの注意喚起＞
○８月８日 経済産業省、総務省、警察庁、NISC「夏季の長期休暇において実施いただ
きたい対策について（注意喚起）」
https://www.nisc.go.jp/pdf/press/20220808NISC_press.pdf

○10 月 14 日 金融庁、警察庁、NISC「北朝鮮当局の下部組織とされるラザルスと呼称
されるサイバー攻撃グループによる暗号資産関連事業者等を標的としたサイバー攻撃
について（注意喚起）」
https://www.nisc.go.jp/pdf/press/20221014NISC_press.pdf

○11 月 30 日 警察庁、NISC「学術関係者・シンクタンク研究員等を標的としたサイバ
ー攻撃について（注意喚起）」
https://www.nisc.go.jp/pdf/press/20221130NISC_press.pdf

○12 月 13 日 IPA「年末年始における情報セキュリティに関する注意喚起」
https://www.ipa.go.jp/security/topics/alert20221213.html

＜ランサムウェア対策＞
○ストップ！ ランサムウェア ランサムウェア特設ページ STOP! RANSOMWARE
https://security-portal.nisc.go.jp/stopransomware/

○ランサムウェア対策特設ページ（独立行政法人情報処理推進機構）
https://www.ipa.go.jp/security/anshin/ransom_tokusetsu.html

○侵入型ランサムウェア攻撃を受けたら読む FAQ（一般社団法人 JPCERT コーディネー
ションセンター）
https://www.jpcert.or.jp/magazine/security/ransom-faq.html

○ランサムウエア対策特設サイト（一般社団法人 JPCERT コーディネーションセンター）
https://www.jpcert.or.jp/magazine/security/nomore-ransom.html

○ランサムウェア被害防止対策（警察庁サイバー犯罪対策プロジェクト）
https://www.npa.go.jp/cyber/ransom/index.html

＜エモテット＞
○「マルウェア Emotet の活動再開に関する注意喚起について」（警察庁）（※１）
https://www.npa.go.jp/cybersecurity/pdf/20221104press.pdf

○「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて（独立
行政法人情報処理推進機構）（※２）
https://www.ipa.go.jp/security/announce/20191202.html

○マルウェア Emotet の感染再拡大に関する注意喚起（一般社団法人 JPCERT コーディネ
ーションセンター）（※３）
https://www.jpcert.or.jp/at/2022/at220006.html

※ここまで

本年も誠にお世話になりました。

皆様におかれましても、良い新年をお迎えくださいませ。

Fortiさんの脆弱性対策について、以下に記しておきます。

※更新：FortiOS SSL-VPN の脆弱性対策について(CVE-2022-42475)／IPA／2022年12月22日

※以下引用

概要

FortiOS SSL-VPN は、リモートアクセスを実現するための VPN 製品です。

この FortiOS SSL-VPN において、ヒープベースのバッファオーバーフローの脆弱性が確認されています。

本脆弱性が悪用されると、認証されていない遠隔の第三者によって細工したリクエストを送信され、任意のコードやコマンドを実行される可能性があります。

本脆弱性を悪用した攻撃が確認されており、今後被害が拡大するおそれがあるため、早急にアップデートを実施してください。

影響を受けるシステム

• FortiOS バージョン 7.2.0 から 7.2.2 まで
• FortiOS バージョン 7.0.0 から 7.0.8 まで
• FortiOS バージョン 6.4.0 から 6.4.10 まで
• FortiOS バージョン 6.2.0 から 6.2.11 まで
• FortiOS-6K7K バージョン 7.0.0 から 7.0.7 まで
• FortiOS-6K7K バージョン 6.4.0 から 6.4.9 まで
• FortiOS-6K7K バージョン 6.2.0 から 6.2.11 まで
• FortiOS-6K7K バージョン 6.0.0 から 6.0.14 まで

—2022 年 12 月 14 日 更新—

• FortiOS バージョン 6.0.0 から 6.0.15 まで
• FortiOS バージョン 5.6.0 から 5.6.14 まで
• FortiOS バージョン 5.4.0 から 5.4.13 まで
• FortiOS バージョン 5.2.0 から 5.2.15 まで
• FortiOS バージョン 5.0.0 から 5.0.14 まで

対策

1.脆弱性の解消 – アップデートを実施

開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• FortiOS バージョン 7.2.3 あるいはそれ以降
• FortiOS バージョン 7.0.9 あるいはそれ以降
• FortiOS バージョン 6.4.11 あるいはそれ以降
• FortiOS バージョン 6.2.12 あるいはそれ以降
• FortiOS-6K7K バージョン 7.0.8 あるいはそれ以降
• FortiOS-6K7K バージョン 6.4.10 あるいはそれ以降
• FortiOS-6K7K バージョン 6.2.12 あるいはそれ以降
• FortiOS-6K7K バージョン 6.0.15 あるいはそれ以降

—2022 年 12 月 22 日 更新—

• FortiOS バージョン 6.0.16 あるいはそれ以降

—2022 年 12 月 14 日 更新—

2.脆弱性の暫定的な回避策

製品開発者によると次の回避策を適用することで、本脆弱性の影響を軽減できるとのことです。

• SSL-VPN を無効にする

3.推奨対応

製品開発者は当該製品に対し、脆弱性を悪用する攻撃の被害を受けていないか確認するため、以下の調査を実施することを推奨しています。

• 機器ログに脆弱性の悪用を示すログが記録されていないか
• 機器に不審なファイルが設置されていないか
• 機器から不審な通信先への通信が発生していないか

詳しくは、開発者が提供する下記サイトの情報をご確認ください。
FortiOS – heap-based buffer overflow in sslvpnd—2022 年 12 月 22 日 更新—

Technical Tip: [Critical vulnerability] Protect against heap-based buffer overflow in sslvpnd

参考情報

• • FortiOS – heap-based buffer overflow in sslvpnd

• • FortiOSのヒープベースのバッファーオーバーフローの脆弱性（CVE-2022-42475）に関する注意喚起

本件に関するお問い合わせ先

IPA セキュリティセンターE-mail：

※個別のシステムおよび環境に関するご質問を頂いても回答ができない場合があります。詳しくは製品ベンダなどにお問合せください。

※ここまで

以上、よろしくご対応のほど、お願い申し上げます。

金沢西病院へサイバー攻撃　電子カルテの一部閲覧できない状態／NHK／2022年12月6日

※以下引用

金沢市にある「金沢西病院」で、患者の電子カルテの一部が閲覧できない状態になっていて、病院側は、不正アクセスによるサイバー攻撃を受けたとして、警察に被害を相談するなど詳しい状況を調べています。

※ここまで

病院も、会社も、困るのは「サービスが止まること」「関係者が離職すること」の2点です。

転ばぬ先の杖としてのセキュリティサービスはもちろん、バージョンアップとバックアップ、よろしくお願い申し上げます。

大学の特設サイトへ不正アクセスされたケースです。

※以下引用です。

※関連機関サイトに不正アクセス、CMSに不正プラグイン – 富山県立大／Security NEXT／2022年12月2日

富山県立大学は、同大関連機関のウェブサイトがサイバー攻撃を受けたことを明らかにした。コンテンツマネジメントシステム（CMS）に不正なプラグインがインストールされていたという。

～中略～

またサーバ上の痕跡より、攻撃者によって意図しないメール3万2255件が11月14日に送信されていたことも判明。関連する問い合わせや、リターンメールなどは確認されておらず、メールに記載されていた具体的な内容はわかっていない。

※引用ここまで

普及率の高いCMSへの不正アクセスの試みは当社製品イージスでも多くブロックしています。

イージスのようなWAF製品を最低限実装頂きたいと思料するものです。

大学サイトへの不正アクセスを起点とした、情報漏えい、ランサムウェア被害の事例です。

※以下記事引用です。

※名大 岐阜大運営機構にサイバー攻撃 個人情報約4万件漏えいか／NHK／2022年11月28日

名古屋大学と岐阜大学を運営する「東海国立大学機構」が身代金要求型のコンピューターウイルス、ランサムウエアによるサイバー攻撃を受け、学生や教職員の個人情報およそ4万件が漏えいしたおそれがあると発表しました。

～中略～

さらに調査を進めた結果、学生や教職員のおよそ4万件の個人情報が漏えいした可能性があることが分かり、この中には、氏名や所属、生年月日のほか、システムへのログインIDとパスワードなどが含まれているということです。

※記事引用ここまで

大学の履修登録などを行うためのWebサイトでは多くの個人情報を扱っているため、標的になるケースがあります。

今回の事例のように、情報漏えいだけでなく、ランサムウェア被害にもつながることがあるため、「そもそも不正アクセスされない」ということが重要です。

当社製品イージスのようなWAF製品を最低限の対策として、導入頂いたほうが良いのではないかと思料いたします。

ECサイトの比較的大規模な情報漏えいの事例です。

※以下記事引用です。

※「ワコムストア」に不正アクセス、約15万人分の個人情報が漏洩か／日経クロステック／2022年11月21日

ワコムは2022年11月21日、同社が運営するEC（電子商取引）サイト「ワコムストア」が不正アクセスを受けたと発表した。最大1938件のクレジットカード情報と、最大14万7545人分のクレジットカード情報を含まない個人情報が漏洩した恐れがある。

第三者が不正アクセスし、支払いアプリケーションを改ざんした。ワコムはクレジットカード情報を自社サイトに保持していなかったものの、改ざんにより決済時に入力されたクレジットカード情報が外部に送信されていた。

※記事引用ここまで

ECサイト運営においてクレジットカード情報を自社で保持しないのは、非常に有効ですが、上記のように外部送信されるように改ざんされれば、情報漏えいとなります。

Webアプリケーションの改ざん対策としても、最低限、当社製品イージスのようなWAFを実装頂きたいと思料するものです。