ニュース

さまざまなタイプのデバイスをお持ちの人も多いでしょう。その中で、オンラインの脅威に対して一番ぜい弱なのはどれだと思いますか？

カスペルスキー インターネット セキュリティ 2014およびKaspersky Endpoint Security for Businessは、その防御力を第三者機関AV-TESTより高く評価されました。

StarbucksのiOS向けモバイルアプリに、個人情報の漏えいの恐れがあるバグが含まれていると報じられました。しかしStarbucksは、このぜい弱性をいち早く修正しています。

世界的な大手銀行が提供し、幅広く利用されているiOS向けバンキングアプリの多くに、データの盗難や口座の乗っ取りの恐れのあるバグが含まれています。具体的には、豊富な知識を持つ攻撃者なら、中間者攻撃によってユーザーのふるまいを監視し、セッションハイジャック攻撃でユーザーの口座を乗っ取りメモリ損壊の問題を発生させることで、システムクラッシュやデータ漏えいを引き起こすことが可能です。こうしたぜい弱性によって、ユーザー認証情報を盗まれ、オンラインバンキングの口座に不正にアクセスされる可能性があるのです。 セキュリティ企業IOActiveに所属するアルゼンチンの研究者、アリエル・サンチェス（Ariel Sanchez）氏は、世界の大手銀行60行の40のモバイルバンキングアプリを対象に一連のテストを実施しました。テストでは、各アプリのデータ転送メカニズム、ユーザーインターフェイス、ストレージプロセスのセキュリティ分析が行われたほか、コンパイラやバイナリといった複雑なものも分析されています。 サンチェス氏は、エクスプロイトの恐れがある一連のぜい弱性を発見しました。 「相応のスキルを持つ者なら、この情報を使ってバグを見つけ出すことができるでしょう。そのバグを調べてエクスプロイトやマルウェアを開発し、影響を受けるバンキングアプリのユーザーを攻撃できるかもしれません。これはセキュリティの潜在的な脅威の第一段階と言えます。」（サンチェス氏） このぜい弱性は、銀行の開発インフラストラクチャにアクセスし、アプリをマルウェアに感染させるために利用される恐れがあります。それによって、アプリのすべてのユーザーに影響するほどの大規模な感染が発生することも考えられます IOActiveは、これらのぜい弱性を各行に報告したとしています。サンチェス氏によれば、現時点ではどの銀行からも、このセキュリティ問題にパッチを適用したという報告はないそうです。 各アプリのバイナリコードの静的分析で発見された最も憂慮すべき問題は、ハードコードされた開発認証情報がバイナリに大量に埋め込まれていることだとサンチェス氏は言います。つまり、ぜい弱性を抱えたさまざまなバンキングアプリ（アプリ名は公表されていません）に、マスターキーだとわかるようなものが含まれているのです。これらのハードコードされた開発認証情報は、開発者がアプリの開発インフラストラクチャにアクセスするためのものですが、攻撃者にも同じレベルのアクセス権を与えてしまう恐れがあります。 「このぜい弱性は、銀行の開発インフラストラクチャにアクセスし、アプリをマルウェアに感染させるために利用される恐れがあります。それによって、アプリのすべてのユーザーに影響するほどの大規模な感染が発生することも考えられます。」（サンチェス氏） この問題の一端は、多くのアプリが暗号化されていないリンクをユーザーに送信していること、あるいは、情報を暗号化するときにSSL証明書を適切に検証できていないことです。このようなふるまい（サンチェス氏は、アプリを開発した人の単純な見落としが原因としています）のために、顧客が中間者攻撃のリスクにさらされ、フィッシング詐欺の一環として悪質なJavaScriptやHTMLコードを注入される恐れがあります。 サンチェス氏が発見したこれらの問題をさらに悪化させているのが、分析対象となった銀行の70%が2段階認証を導入していないことです。 同氏は次のように述べています。「必要なのは、アプリのバイナリと、コードを復号するためのツール、コードを逆アセンブルするツールだけです。こうしたアプリのコードの復号化と逆アセンブルの方法について説明する文書は、大量に公開されています。特に専門知識がない人でも、ある程度時間をかければ簡単に読み進めていくことができます。」 IOActiveは、良い面と悪い面の両方について責任があります（ただし、ほとんどは良い面です）。良い面は、該当する銀行名と具体的なぜい弱性を公表しなかったことです。ぜい弱性についての詳細な情報が公開されれば、ユーザーの口座を狙うために必要な情報が攻撃者の手に渡ることになるかもしれません。悪い面は、どの銀行とアプリがぜい弱性を抱えているのかわからないため、誰を、あるいは何を信じていいのかわからないことです。 もちろん、極めて注意深い人は、これらの問題が確認されて解決されるまで、モバイルバンキングアプリの使用を控えるはずです。しかし、多くの人はそうしないでしょう。したがって当面は、銀行から2段階認証が提供されている場合は必ず設定するようにしてください。他にも、バンキングアプリのリンクを辿る際に注意し、フィッシングメッセージを警戒して、銀行口座に目を光らせる必要があります。

ありのままをお伝えしますと、Kaspersky Labは今年、ラスベガスで開催のConsumer Electronic Show（CES）に人員を派遣しませんでした。よくご存じない方のために説明すると、CESとは基本的に、最新の素晴らしい技術革新と製品のすべてを紹介する年1回開催の展示会です。この報道機関と業界関係者限定のイベントにKaspersky Labは参加していませんが、その様子を本国から注視していました。 我々が読んだ記事によると（意外なことは何もありませんが）、「モノのインターネット」が広い範囲に拡大しつつあり、ウェアラブルデバイスなどのネット接続デバイスの新製品が続々と登場しています。こういった製品を購入して使用している人にとっては残念ですが、プライバシーやセキュリティの管理機能は、「箱から出してそのまま使える」状態にはなっていないようです。 CESではさまざまな電子機器が発表されています。冷蔵庫やオーブンなど、データを収集するスマート家電をはじめ、Bluetooth対応の料理用温度計、ワイヤレスのアラームシステムや照明コントロール、Skypeに接続するベビーモニター、さらには、自動車メーカーAudiが開発し、車内でWi-Fi対応ディスプレイとして使用されるAndroidタブレットなど、多岐にわたります。 今年のCESで登場した製品には何一つ驚きがありませんでした。IT業界で長きにわたって確立されたトレンドの進化が披露されただけで、その目的は、日常生活で使うあらゆるものをインターネットに接続してデータを収集することです。しかし一抹の懸念を抱かずにいられません – 2013年に私たちは、自動車も、人間も、その他の消費者向けデバイス（トイレ？）もハッキング可能だと学んだのです。Androidデバイスと同プラットフォームのぜい弱性を標的とするマルウェアの増加は言うまでもありません。 しかし一抹の懸念を抱かずにいられません – 2013年に私たちは、自動車も、人間も、その他の消費者向けデバイス（トイレ？）もハッキング可能だと学んだのです 政府による監視が次々と明らかになり、IT大手がそうした監視プログラムに対してこれ見よがしの反応を見せていることを考えると、IT企業が今までよりユーザーのプライバシーに立ち入った新製品をプッシュしていることにも、ちょっとした驚きを感じます。それに、米国家安全保障局（NSA）のスパイ行為の発覚によって世界中で抗議の声が上がっているというのに、消費者が列を作ってこうした製品を買うということにも同じような驚きがあります。 セキュリティ企業Fortinetの企業広報担当ディレクターであるクリス・マッキー（Chris McKie）氏は、最近のブログ記事で、「ビッグデータ」は「超大質量データ」になりつつあると指摘しました。 マッキー氏は続けて、犯罪者がデータを通貨として使う環境においては、大量のデータ収集に伴って巨大なリスクが生じると書いています。 「一部のぜい弱性は取るに足らないものかもしれません。確かに、『スマートトースター』をハッキングしたところで、トーストが燃えるくらいでしょう。しかし、別の脅威はどうでしょうか。たとえば、ネットに接続された自動車がハッキングされると、生命が脅かされる恐れがあります。問題は、こうした新しいスマートデバイスがハッキングされて脅威に晒されるかどうか、ということではありません。我々が業界として、こうしたすべての接続型デバイスに関するリスクをどうやって軽減していくのか、という問題なのです。」（マッキー氏） しかし、これに関して私たち消費者にできることはあるのでしょうか？新製品を一切買わず、インターネットの強力な影響が及ばない離れた場所に移り住むことはできます。でも、私は個人的にインターネットが好きですし、正直に言うと、CESではとてもクールな製品も発表されたと思っています（私の注目株はT-Mobileです）。そのため、下調べをするのが一番だと思います。セキュリティとプライバシーの強力な機能セットを提供する企業を高く評価し、これに関して選択肢のない企業の製品は利用しないようにしましょう。 また、これから冬、春、夏とさまざまなカンファレンスの開催が予定されており、Kaspersky Dailyではもちろん取り上げていきます。引き続きご注目ください。ハッカーも研究者も、新たに登場するデバイスのセキュリティを突破しようと、考えうる手段を総動員するであろうことは、疑う余地がありません。

2014年12月の人気記事をまとめました。

コンピューターのログイン、メールへのアクセス、オンラインショップでの買い物…さまざまな用途にパスワードが必要です。複数のパスワードをどのように管理していますか？あなたの方法を教えてください！

年末年始の休暇も、セキュリティのヒントをお忘れなく。

ドローンによる商品配送がはらむ、セキュリティやプライバシー面の懸念とは。

1人で何台もコンピューターデバイスを持つことは、もはや珍しくない時代です。スマホとタブレットを使い分けている人もありますね。では、家にいるとき一番よく使うのはどのデバイスですか？

カスペルスキーのグリーンベアがプリントされた路面電車が、鹿児島市内を走行中！世界を守る、鹿児島も守る。

12月に入りました。つまり、また1か月分の記事が投稿されたということです。11月の記事を見逃してしまった方もご心配なく。重要度の高い記事をいくつかまとめて紹介します。 恐怖のランサムウェア、CryptoLocker ランサムウェアについてはよくご存知の方も多いはず。コンピューターを暗号化、あるいは何らかの方法でロックして、ファイルのロック解除と引き替えに身代金を要求するマルウェアです。しかし、新たに出回っているランサムウェア、CryptoLockerについては改めて注目していただきたいと思います。インターネット上で拡散中のこの危険なウイルスには、いくつかの形態があり、ほとんどはフィッシング活動によって広まっていますが、正規の企業から拡散する場合や、Federal ExpressやUPSの偽の追跡通知まで利用される場合もあります。CryptoLockerはローカルのファイルだけでなく、USBメモリなどのリムーバブルメディア、外付けハードディスク、ネットワークファイル共有、一部のクラウドストレージサービス（ローカルフォルダーとオンラインストレージを同期できるもの）のような場所に保存されているファイルにも影響を及ぼすと言われており、あるコンピューターから別のコンピューターへ移動することもあります。しかし、カスペルスキー インターネット セキュリティを利用しているなら、すでにCryptoLockerに対応しているので安心です。 Bitcoinをめぐるビジネス模様 Bitcoinはデジタルの仮想通貨です。印刷された紙幣や鋳造された硬貨ではなく、暗号化された文字列であるBitcoinは、マネーロンダリングにうってつけのメカニズムであり、インターネット上で追跡できない金融取引を実施しようとしている犯罪者にとっても都合の良い手段となっています。Bitcoinの使い道には、違法なハッキングツールや武器の購入、ドラッグや盗んだ情報を売って得た利益の隠ぺい、インターネット上での法律的に問題のある行為などもあります。もちろん、普通のお金やバンキングシステムと同じように、Bitcoinへの攻撃に特化したマルウェアが存在し、Bitcoinの「ウォレット」や、Bitcoinの売買を行う市場が標的にされています。では、Bitcoinは使うべきなのでしょうか？使わない方がいいのでしょうか？興味がある人は使ってみてください。でも、そのリスクは把握しておくべきです。Bitcoinのウォレットや交換所は明らかにサイバー犯罪者の標的ですが、それは銀行口座や銀行も同じこと。ただし、政府がBitcoinを違法と判断した場合や、誰かがこの通貨の大部分を支配してしまった場合、リスクに直面することになるかもしれません。 家庭用コンピューターの安全を守る6つのヒント 私たちはオンラインの脅威からユーザーを保護するための努力を続けています。そこで、安全を守るためのヒントで比較的知られていないものをまとめてみました。ファイアウォールを適切に設定すれば、犯罪者の侵入を防ぐ上で大きな効果があります。また、一部のフォルダーはホームネットワーク上でのみ共有し、他のコンピューターからファイルが見えなくても構わないという場合は、ファイルとメディアの共有機能をオフにしておきましょう。データのバックアップは、コンピューターがクラッシュしたときだけでなく、攻撃を受けたときにも極めて重要になります。バックアップには、重要なドキュメントを外付けハードディスクに手作業でコピーするという方法もありますし、Carboniteのようなサービスを使うこともできます。保存するデータの量がそれほど多くないなら、Dropboxなどのサービスを使うといいでしょう。容量2GBまで無料で利用できます。ファイルのバックアップに加えて、悪質Webサイトに近づかないようにすることも必要です。誤ってこうしたサイトにアクセスしないために重要なのは、リンクをクリックせずに目的のWebサイトに直接アクセスすること、アドレスバーに緑の錠前マークがあり、URLの最初が「https://」かを確認すること、商品を海外から発送するWebサイトで買い物するときに注意することです。   Adobeハッキングに見る不適切なパスワードの例10選 普段からこのブログをご覧になっている方は、強力なパスワードをオンラインアカウントごとに使い分けることがどれほど重要か、十分におわかりでしょう。しかし、先日のAdobeユーザーのパスワード漏えい事件が起きたことで、パスワードを賢く選ぶことの重要性について、もう一度お伝えしたいと思うようになりました。簡単に推測されてしまうため絶対に使うべきでないパスワードの例としては、「password」や「123456」といった文字の組み合わせ、自分の会社名や名字などがあります。よく知られている事実、単純な文、基本的な単語も適切ではありません。数字や記号を使う必要がある場合も、「1」「!」などのわかりやすい変更は避けましょう。記号と数字と言われたら、この2つがキーボード上で最初に目に付く文字だからです。簡単な単語ではなくフレーズを使った方が賢いと思っても、「iloveyou」や「letmein」のようなフレーズは使わないでください。パスフレーズは特徴的であればあるほど安全性が高まります。最後に、社会保障番号（米国で使われている、国民を識別する番号）や誕生日など、重要な個人情報をパスワードに使うのは絶対にやめましょう。 無料のゲームほど高くつく？深みにはまるときのサイン5つ オンラインゲームが大好きという人に、必要な安全対策があります。無料のオンラインゲームの売り上げは、ゲーム機本体とゲームソフトの売り上げを足した金額を上回ります。というのも、プレーヤーにお金を使わせるための巧妙な戦術が採用されているからです。このような戦術の基本は、ゲームを有利に進めるためにお金を払わせるというもの。オンラインゲームをプレイする人は、気が付いたらたくさんお金を使っていたということがないよう、ここで紹介する警告のサインに注意しなければなりません。30歳以下の男性は、プレイするゲームの種類が多く、1週間あたりのプレイ時間も長いため、オンラインゲーム開発者のターゲットにされています。ソーシャルメディアチャネルに接続するように勧めてくるゲームには気を付けてください。友達のスコアを見せて、友達より高得点を出すためにお金を払わせようとしているのです。仮想通貨を使用するゲームをプレイしているなら、目を背けてはならない事実があります。この「おもちゃのお金」がやっかいで、プレーヤーが意識している以上のお金を使わせようとします。命5つを2ドルで買わないかと言われたら、おそらく断るでしょう。でもそれを16ピンククリスタルで買わないかと言われると、買おうという気になるかもしれません。そのピンククリスタルとは、2日前に「本当は3ドルで20クリスタルのところを、25クリスタルにしてあげる」という割引セールで買ったものでした。一部のゲームでは、途中で先に進むのをほぼ不可能にしてプレーヤーを惑わせ、ゲームを進めるためにパワーアップアイテムを購入するように仕向けます。これらは、続きをプレイするためにお金を払わせるという「ゆすり」の戦術であり、決して流されてはいけません。

巷では、オンラインセキュリティの問題がたびたびニュースとなっています。サイバー犯罪者が次々と新手を繰り出してくる中、皆さんはどんな対策をとっていますか？

皆さんが日常的に使っているパスワードは、メール用でもSNS用でもオンラインバンキング用でも、サイバー犯罪者にとって価値あるものです。なぜかと言えば、盗んだアカウントはどんなタイプのものであれ、不正行為を働くのに利用できるからです。サイバー世界の泥棒たちは、パスワードを大手企業のサーバーから直接盗むこともあれば、エンドユーザーのコンピューターから盗むこともあります。セキュリティの調査研究者たちは最近、200万件ものパスワードを含むデータベースを発見しました。Ponyボットネットが収集したパスワードのデータベースです。このボットネットに関係するマルウェアがコンピューターに感染し、手に入る限りの（保存された）パスワードをWebブラウザーやメールクライアントやFTPクライアントからかき集め、サイバー犯罪者へ送っていたのです。最終の宛先がわからないようにプロキシサーバーを使って。 このハッキングでは、よく使われているサービスのパスワードが集められていました – Facebook、Yahoo!、Gmail、Twitter、LinkedIn、そしてロシアの国内SNSであるOdnoklassniki とVkontakteも。 本件の規模が大きいことを考えると、上記サービスを利用している人は、自分のパスワードが大丈夫かどうか考えたほうがよさそうです。 GmailやFacebookのアカウントが盗まれるのは、マルウェアの攻撃を受けた場合に限りません。たとえば友達のコンピューターや、空港やホテルに設置された共有のコンピューターから、ちょっとメールチェックしたことはありませんか？使ったコンピューターが感染していたとしたら、パスワードのどれかがハッカーの手に落ちている可能性が大です。それだけでもいやな話ですが、いくつかのオンラインサービスで同じパスワードを使っていたならば、もっと問題は大きくなります。ちょっと賢い人なら、Gmailのログイン情報（たとえばメールアドレス「alex@gmail-com 」パスワード「123456」）をFacebookやTwitterへのログインに試してみようとすぐに思いつくでしょう。残念なことに、これがうまくはまることがとても多いのです。B2B Internationalがこの夏に行った調査では、自分の持っているアカウントに対して使うパスワードの数が片手で足りる程度だという人が39%もいました。つまり、同じパスワードを複数のサービスで使っているということです。 B2B Internationalがこの夏に行った調査では、自分の持っているアカウントに対して使うパスワードの数が片手で足りる程度だという人が39%もいました。つまり、同じパスワードを複数のサービスで使っているということです パスワード盗難の頻度が上がっていることから見て、パスワード使いまわしの習慣がもたらすリスクは高まる一方です。特に、通常のオンラインバンキングから、Gmailの添付ファイルを使った振替手続きに至るまで 、日常的に金融取引をオンラインで行っているのであれば、改めて言うまでもないでしょう。こうして、さほど実害のなさそうなTwitterパスワードの流出が、最終的には実際の金銭的被害につながっていくのです。 この問題に対処するため、私たち皆がやらなければならないことは？まず、古いパスワードを変更すること。オンラインサービスのアカウントごとに、別々のパスワードを設定すること。全部のパスワードを覚えるのが大変であれば、特別なツールの力を借りること。同じパスワードを何回も使うという贅沢は、もはや「古き良きインターネット時代」のものです。これから起こり得るパスワード盗難の被害者とならないために、Kaspersky Labのチーフセキュリティエキスパートであるアレックス・ゴスチェフのアドバイスを、ぜひ実践してください： しっかりとしたアンチウイルス製品を使う。 ソフトウェアを定期的にアップデートする。特に、次のものについてはこまめなアップデートを：Windows、Webブラウザー、PDFの表示に使う一般的なアプリケーション、Flash、Javaアプレット。 常にセキュリティを念頭に置く。普段連絡してこない友人から何かのリンクが送られて来たり、送ってきそうもないものが友人から届いたりしたら、怪しいと思った方がよいでしょう。本当に送ったのか本人に聞いてみれば、友人のアカウントがハッキングされていないかどうかの確認になります。 リンクには慎重になる。よく知られたWebサイトのドメイン名に変な記号が混ざっていたり、スペルが違っていたりしたら要注意。悪意あるフィッシングサイトへリダイレクトされる可能性を示すサインです。知らない人からの友達申請は受けないようにして、怪しいと思われるリンクはクリックしないように心がけましょう。 複雑なパスワードを設定する。また、アカウントごとに別のパスワードを作るようにしてください。どういうパスワードが十分に強力なものなのか、カスペルスキーのオンラインサービスで確認できますのでご参考にどうぞ！

皆さんはフリー（無料）のアンチウイルス製品をお使いですか？使っているなら、その理由を教えてください！ 下の画をクリックすると投票画面に移動します。

Kaspersky Labは、法人向けソリューションで大きな成功を収めた「ZETAシールド」技術をカスペルスキー インターネット セキュリティ 2014（カスペルスキー 2014 マルチプラットフォーム セキュリティのWindows対応プログラム）に採用しました。さらに強固なセキュリティ機能が追加されたのです。 ZETAは「Zero-day, Exploits & Targeted Attacks」（ゼロデイ、エクスプロイト、標的型攻撃）の略です。この技術は企業を標的型攻撃から保護するために開発されました。 最高経営責任者（CEO）のユージン・カスペルスキー（Eugene Kaspersky）は、自身の個人ブログで次のように述べています。 「ZETAシールドは、ハイテクなアンチウイルス顕微鏡だと考えるのが一番分かりやすいだろう。入り組んだファイルの奥深くに潜む最も狡猾なマルウェアを見つけ出し、排除する技術だ。簡単に言うと、ZETAシールドは将来起こり得る脅威に対抗するカスペルスキー独自の防御技術であり、最もありそうにない場所にあるまだ知られぬサイバー脅威を追跡できる。」 ZETAシールドはハイテクなアンチウイルス顕微鏡だと考えるのが一番分かりやすいだろう。入り組んだファイルの奥深くに潜む最も狡猾なマルウェアを見つけ出し、排除する技術だ もう少し専門的な話をすると、ZETAシールドはコンピューター上のデータストリームをスキャンして、正規のファイルに埋め込まれたエクスプロイトのコードフラグメントの特徴を探します。オフィス文書の本文にある実行コードであっても、怪しいコマンドの呼び出しであっても見つけ出します。ZETAは極めて柔軟性の高い技術であるため、マシン上の多種多様なファイルタイプやプロセスの奥深くまで詳しく分析することができるのです。 このデータストリームに関する部分は重要です。これこそが、他のセキュリティ技術にはないZETAシールドの特徴だからです。ZETAシールドは個々のファイルではなくデータストリームを処理することで、受信データを詳細に分析し、不自然と思われる要素を特定して、他の潜在的な脅威を示す間接的な指標として使用します。 Kaspersky Labが、法人向けの極めて重大なプロテクションメカニズムを、主に消費者を対象とした製品に搭載するという決断を下した理由について、最もうまく説明しているのはユージン・カスペルスキー自身の言葉かもしれません。 「標的型攻撃は、政府機関、防衛機関、大手企業ばかりを狙うのではない。誰でも被害者になりうる。だからこそ、標的型攻撃からの防御策を個人向け製品に取り入れたのだ。」

スマートフォンは個人情報の宝庫。そんなスマートフォンを盗まれるという経験をしたことはありますか？

Kaspersky Dailyの10月の人気記事をまとめました。

10月も多くの犯罪者が裁きを受けました。

ドメイン占拠は、自分に関係のない企業や著名人の名前が入ったドメインを取得して、利益を得ようとする行為で、サイバースクワッティングとも呼ばれます。

皆さんは、これまでにフィッシングメールを受け取ったことがありますか？