200万件のパスワードが盗難に-あなたのパスワードは大丈夫?

皆さんが日常的に使っているパスワードは、メール用でもSNS用でもオンラインバンキング用でも、サイバー犯罪者にとって価値あるものです。なぜかと言えば、盗んだアカウントはどんなタイプのものであれ、不正行為を働くのに利用できるからです。サイバー世界の泥棒たちは、パスワードを大手企業のサーバーから直接盗むこともあれば、エンドユーザーのコンピューターから盗むこともあります。セキュリティの調査研究者たちは最近、200万件ものパスワードを含むデータベースを発見しました。Ponyボットネットが収集したパスワードのデータベースです。このボットネットに関係するマルウェアがコンピューターに感染し、手に入る限りの(保存された)パスワードをWebブラウザーやメールクライアントやFTPクライアントからかき集め、サイバー犯罪者へ送っていたのです。最終の宛先がわからないようにプロキシサーバーを使って。 このハッキングでは、よく使われているサービスのパスワードが集められていました – Facebook、Yahoo!、Gmail、Twitter、LinkedIn、そしてロシアの国内SNSであるOdnoklassniki とVkontakteも。 本件の規模が大きいことを考えると、上記サービスを利用している人は、自分のパスワードが大丈夫かどうか考えたほうがよさそうです。 GmailやFacebookのアカウントが盗まれるのは、マルウェアの攻撃を受けた場合に限りません。たとえば友達のコンピューターや、空港やホテルに設置された共有のコンピューターから、ちょっとメールチェックしたことはありませんか?使ったコンピューターが感染していたとしたら、パスワードのどれかがハッカーの手に落ちている可能性が大です。それだけでもいやな話ですが、いくつかのオンラインサービスで同じパスワードを使っていたならば、もっと問題は大きくなります。ちょっと賢い人なら、Gmailのログイン情報(たとえばメールアドレス「alex@gmail-com 」パスワード「123456」)をFacebookやTwitterへのログインに試してみようとすぐに思いつくでしょう。残念なことに、これがうまくはまることがとても多いのです。B2B Internationalがこの夏に行った調査では、自分の持っているアカウントに対して使うパスワードの数が片手で足りる程度だという人が39%もいました。つまり、同じパスワードを複数のサービスで使っているということです。 B2B Internationalがこの夏に行った調査では、自分の持っているアカウントに対して使うパスワードの数が片手で足りる程度だという人が39%もいました。つまり、同じパスワードを複数のサービスで使っているということです パスワード盗難の頻度が上がっていることから見て、パスワード使いまわしの習慣がもたらすリスクは高まる一方です。特に、通常のオンラインバンキングから、Gmailの添付ファイルを使った振替手続きに至るまで 、日常的に金融取引をオンラインで行っているのであれば、改めて言うまでもないでしょう。こうして、さほど実害のなさそうなTwitterパスワードの流出が、最終的には実際の金銭的被害につながっていくのです。 この問題に対処するため、私たち皆がやらなければならないことは?まず、古いパスワードを変更すること。オンラインサービスのアカウントごとに、別々のパスワードを設定すること。全部のパスワードを覚えるのが大変であれば、特別なツールの力を借りること。同じパスワードを何回も使うという贅沢は、もはや「古き良きインターネット時代」のものです。これから起こり得るパスワード盗難の被害者とならないために、Kaspersky Labのチーフセキュリティエキスパートであるアレックス・ゴスチェフのアドバイスを、ぜひ実践してください: しっかりとしたアンチウイルス製品を使う。 ソフトウェアを定期的にアップデートする。特に、次のものについてはこまめなアップデートを:Windows、Webブラウザー、PDFの表示に使う一般的なアプリケーション、Flash、Javaアプレット。 常にセキュリティを念頭に置く。普段連絡してこない友人から何かのリンクが送られて来たり、送ってきそうもないものが友人から届いたりしたら、怪しいと思った方がよいでしょう。本当に送ったのか本人に聞いてみれば、友人のアカウントがハッキングされていないかどうかの確認になります。 リンクには慎重になる。よく知られたWebサイトのドメイン名に変な記号が混ざっていたり、スペルが違っていたりしたら要注意。悪意あるフィッシングサイトへリダイレクトされる可能性を示すサインです。知らない人からの友達申請は受けないようにして、怪しいと思われるリンクはクリックしないように心がけましょう。 複雑なパスワードを設定する。また、アカウントごとに別のパスワードを作るようにしてください。どういうパスワードが十分に強力なものなのか、カスペルスキーのオンラインサービスで確認できますのでご参考にどうぞ!

パスワード流出200万件

皆さんが日常的に使っているパスワードは、メール用でもSNS用でもオンラインバンキング用でも、サイバー犯罪者にとって価値あるものです。なぜかと言えば、盗んだアカウントはどんなタイプのものであれ、不正行為を働くのに利用できるからです。サイバー世界の泥棒たちは、パスワードを大手企業のサーバーから直接盗むこともあれば、エンドユーザーのコンピューターから盗むこともあります。セキュリティの調査研究者たちは最近、200万件ものパスワードを含むデータベースを発見しました。Ponyボットネットが収集したパスワードのデータベースです。このボットネットに関係するマルウェアがコンピューターに感染し、手に入る限りの(保存された)パスワードをWebブラウザーやメールクライアントやFTPクライアントからかき集め、サイバー犯罪者へ送っていたのです。最終の宛先がわからないようにプロキシサーバーを使って。

このハッキングでは、よく使われているサービスのパスワードが集められていました – Facebook、Yahoo!、Gmail、Twitter、LinkedIn、そしてロシアの国内SNSであるOdnoklassniki とVkontakteも。

本件の規模が大きいことを考えると、上記サービスを利用している人は、自分のパスワードが大丈夫かどうか考えたほうがよさそうです。

GmailやFacebookのアカウントが盗まれるのは、マルウェアの攻撃を受けた場合に限りません。たとえば友達のコンピューターや、空港やホテルに設置された共有のコンピューターから、ちょっとメールチェックしたことはありませんか?使ったコンピューターが感染していたとしたら、パスワードのどれかがハッカーの手に落ちている可能性が大です。それだけでもいやな話ですが、いくつかのオンラインサービスで同じパスワードを使っていたならば、もっと問題は大きくなります。ちょっと賢い人なら、Gmailのログイン情報(たとえばメールアドレス「alex@gmail-com 」パスワード「123456」)をFacebookやTwitterへのログインに試してみようとすぐに思いつくでしょう。残念なことに、これがうまくはまることがとても多いのです。B2B Internationalがこの夏に行った調査では、自分の持っているアカウントに対して使うパスワードの数が片手で足りる程度だという人が39%もいました。つまり、同じパスワードを複数のサービスで使っているということです。

B2B Internationalがこの夏に行った調査では、自分の持っているアカウントに対して使うパスワードの数が片手で足りる程度だという人が39%もいました。つまり、同じパスワードを複数のサービスで使っているということです

パスワード盗難の頻度が上がっていることから見て、パスワード使いまわしの習慣がもたらすリスクは高まる一方です。特に、通常のオンラインバンキングから、Gmailの添付ファイルを使った振替手続きに至るまで 、日常的に金融取引をオンラインで行っているのであれば、改めて言うまでもないでしょう。こうして、さほど実害のなさそうなTwitterパスワードの流出が、最終的には実際の金銭的被害につながっていくのです。

この問題に対処するため、私たち皆がやらなければならないことは?まず、古いパスワードを変更すること。オンラインサービスのアカウントごとに、別々のパスワードを設定すること。全部のパスワードを覚えるのが大変であれば、特別なツールの力を借りること。同じパスワードを何回も使うという贅沢は、もはや「古き良きインターネット時代」のものです。これから起こり得るパスワード盗難の被害者とならないために、Kaspersky Labのチーフセキュリティエキスパートであるアレックス・ゴスチェフのアドバイスを、ぜひ実践してください:

  • しっかりとしたアンチウイルス製品を使う。
  • ソフトウェアを定期的にアップデートする。特に、次のものについてはこまめなアップデートを:Windows、Webブラウザー、PDFの表示に使う一般的なアプリケーション、Flash、Javaアプレット。
  • 常にセキュリティを念頭に置く。普段連絡してこない友人から何かのリンクが送られて来たり、送ってきそうもないものが友人から届いたりしたら、怪しいと思った方がよいでしょう。本当に送ったのか本人に聞いてみれば、友人のアカウントがハッキングされていないかどうかの確認になります。
  • リンクには慎重になる。よく知られたWebサイトのドメイン名に変な記号が混ざっていたり、スペルが違っていたりしたら要注意。悪意あるフィッシングサイトへリダイレクトされる可能性を示すサインです。知らない人からの友達申請は受けないようにして、怪しいと思われるリンクはクリックしないように心がけましょう。
  • 複雑なパスワードを設定する。また、アカウントごとに別のパスワードを作るようにしてください。どういうパスワードが十分に強力なものなのか、カスペルスキーのオンラインサービスで確認できますのでご参考にどうぞ!
偽サイトとショッピング

そのWebサイトは本物ですか? ―楽しいインターネットショッピングのために―

1.インターネットショッピングに潜む危険 一年の終わりも近づき、お歳暮やクリスマスのシーズンとなりました。 大切な人へ贈るプレゼントを選ぶため、また一年頑張った自分へのご褒美として、少し高額な買い物をしようとインターネットショッピングのWebサイトを見ている方も多くいらっしゃることでしょう。 直接店舗を訪れる必要がなく、気軽に買い物を楽しめるインターネット上のオンラインショップは、消費者へ誠実に対応する業者がいる一方、注文した商品が来ないなどの問題が起こることがありました。2012年から2013年にかけて目立った動向として、主に有名ブランドの商品を廉価で販売しているオンラインショップのWebサイトがインターネット上に氾濫し、その多くが金銭搾取を目的とした詐欺に関連していることが明らかになっています。 こういったWebサイトのことを「偽サイト」あるいは「詐欺サイト」と言いますが、悪質なサイトだと気づかずにユーザーが買い物をして、入金したのに品物が届かなかったり、ブランド品の粗悪なコピー製品が届いたりといった、インターネット商取引での詐欺被害が発生しています。 日本では偽ブランド品やコピー商品の販売は法律で禁止されていますが、商品を購入する消費者側もブランド品の偽物であると理解した上で、Webサイトの購入ボタンをクリックしてしまうこともあります。高価なブランド品を持ちたいけれど、そのための投資はしたくないから廉価な製品(=コピー品)を購入しようという考えは、こういった悪質なWebサイトに引っかかるきっかけになってしまいます。 これらのWebサイトが扱っている商品は多くの場合ブランド品ですが、最近ではキッチン用品やつり用具、ベビー用品など、日常のありとあらゆるものが対象とされているので、なにか気に入る品物を探すため気軽にネットサーフィンをしていて、たまたま見ていたWebサイトが偽サイトだったり、詐欺サイトだったりすることも十分あり得ます。 子どもへのクリスマスプレゼントを注文したWebサイトが実は悪質なWebサイトで、商品が届かず、クリスマスイブに枕元にプレゼントが置けなかった――そんな状況はぜひ避けたいものです。   2.あふれかえるオンラインショップのWebサイト――どこに、誰が? マルウェアやフィッシングがホストされているサーバーであれば、そのサーバーを管理しているインターネットサービス事業者(以下ISP)に連絡して削除等の対応をお願いすることもできます。しかし、インターネット上に無数に存在するオンラインショップのWebサイトが、正規のWebサイトなのか、悪質なWebサイトなのか判断することは非常に難しく、ISPが対応することも困難です。 なぜ判断が難しいかというと、偽サイト・詐欺サイトの場合、商品を紹介するための写真や入力フォームなどのコンテンツが設置されているだけで、見かけは正規の商売を行っているWebサイトと変わらないからです。 企業または個人が、自分の情報が勝手に使われていることに気づくか、もしくは本当に詐欺の被害が発生することで、そのWebサイトが「偽サイト・詐欺サイトである」ことが明確になります。 悪質なWebサイトで実際に詐欺被害が発生している状況を、日本の警察も手をこまねいて見ているわけではありませんが、これらのWebサイトが置かれているサーバーは、大抵海外に存在しているため捜査を行うことが難しく、日本の法律で管轄されていないサーバーをテイクダウンする(※1)ことが困難であるのが現状です。日々増え続ける悪質なサイトが野放しになっているのです。 次の図は、2013年5月の時点で、偽サイトが設置されていたサーバーが置かれていた国をカウントしたものです。 日本にも存在しましたが、その数はほんの少数です。   このグラフからは、2000以上の偽サイト・詐欺サイトがアメリカにあるサーバーに置いてあることがわかります。二番目に多い国は台湾です。 では、これらの偽サイトは、一体誰が作っているのでしょうか。 Webサイトが誰によって作られているかを知る手がかりは、そのドメインが誰のものであるかを知ることから始まります。その情報の信頼性は完全ではありませんが、ひとつの指標にはなり得ます。Whoisというプロトコルでドメイン情報を調べると、そのドメインが誰によって登録されたのかがわかります。ドメインの登録時に必要なものはメールアドレスです。以下の図は、先の図と同じく、2013年5月の時点で偽サイト・詐欺サイトのドメイン登録で使用されていたメールアドレスを集め、どんなメールサービスが使用されているのかを確認したものです。 上の図からは、実に70%ものドメインが中国のメールサービスを使って登録されていることがわかります。また、登録者の名前は中国系の名前が多く、ブランド品のコピー商品販売の歴史を考えてみると、やはり中国系の人物ないし組織が背後にいる可能性が高いのではないかと思われます。   3.偽サイト・詐欺サイトを見抜け! では、どういったWebサイトが偽サイトや詐欺サイトなのでしょうか? すべてのポイントがあてはまるというわけではありませんが、こういったWebサイトの一般的な特徴を紹介します。 普段使っていないオンラインショップのWebサイトで買い物をしようと思った場合、銀行口座に入金する前に以下のポイントを確認してみてください。あてはまることがいくつかあるのであれば、そのWebサイトでのインターネットショッピングは避けたほうが賢明です。 特徴1. 不自然な日本語 このWebサイトに書かれた日本語は明らかに不自然です。 まともな商売をする業者であれば、Webサイトの信頼性を大事にするため、このような文章は書かないでしょう。同時にこの不自然な文章は日本語ネイティブが書いたものではないことを示しています。つまり、このWebサイトを作ったのは恐らく日本人ではありません。

偽サイトとショッピング
ヒント