10月14日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

○LINE（Android版）に複数の脆弱性

LINEは10月15日、アプリ「LINE（Android版）」 に整数オーバーフローの脆弱性が存在することを明らかにした。対象となるのは、LINE（Android版）4.4.0〜9.15.1未満。

脆弱性は複数の整数オーバーフローで、apng-drawableに起因するものと画像処理に起因するものの2種類が存在。不正な画像を読み込むと、アプリがクラッシュしたり、第三者によって任意のコードが実行されたりする可能性がある。

すでに対策済みバージョンはリリースされているので、LINEユーザーは早急にアップデートしてほしい。

○BIGLOBEを騙るフィッシングサイトに注意

BIGLOBEのログインページを偽装したフィッシングサイトが確認された。合わせて、BIGLOBEを騙った偽メールによって、フィッシングサイトへ誘導しているという。フィッシングメールの件名（一例）は以下の通り。

「利用者情報の確認」

「不正使用によるメールアドレスの停止」

「メールのリニューアル」

フィッシングサイトはログインページを装い、メールアドレス、ユーザーID、パスワードなどを入力させ、情報を窃取する。フィッシングサイトは本物をベースに作られているため、判別にはURLの確認が有効。ブラウザのアドレスバーを見て、URLが「ｈｔｔｐｓ：／／ａｕｔｈ．ｓｓｏ．ｂｉｇｌｏｂｅ．ｎｅ．ｊｐ／」で始まっているかを確認するとよい（このURLは本物。記事では全角で表記している）。

また、ブラウザのURL欄の鍵マークが「鍵がかかった」状態になっていることも確認すること。鍵マークをクリックして、「BIGLOBE Inc.（またはBIGLOBE Inc.[JP]）」として認証されていれば問題ない。BIGLOBE会員の人は、不審なメール、不審なサイトに十分注意することだ。

○JIMOS運営の複数ECサイトでクレジットカード情報が流出

JIMOSは10月15日、同社が運営するECサイトにおいて、サーバーが不正アクセスを受け、一部顧客のクレジットカード情報が流出した可能性があることを明らかにした。流出したECサイトは、マキアレイベル、Coyori、代謝生活CLUB、酒蔵.com（過去に運営）。

今回の流出は、2019年7月26日に一部のクレジットカード会社から流出の懸念を伝えられたことで発覚。すぐにクレジットカード決済を停止した。2019年8月1日には顧客情報の一部が流出した可能性も判明し、ECサイトを停止。2019年9月17日には、流出したクレジットカード情報が不正利用された可能性があることを確認。

情報流出期間は、マキアレイベル・Coyori・代謝生活CLUBが、2014年1月1日〜2019年7月26日。酒蔵.comが2014年1月1日〜2016年3月30日。この期間にクレジットカード情報を入力した顧客の情報が流出した可能性がある。流出件数は107,661件で、流出した可能性のある情報は、カード会員名、クレジットカード番号、セキュリティコード、有効期限。

JIMOSでは、個人情報が流出した可能性のある顧客と書面または電子メールで連絡を取り、利用明細に不審な点がないかを確認するよう注意を促している。合わせて、今回の事件に便乗した不審な電話やメールが来ることもあり得るので、電話でクレジットカード情報を聞くことがないことや、電子メールに添付ファイルを付けることはない、なども告知している。

○「東北文化の日」の旧Webサイトにウイルスか？

宮城県は10月16日、「東北文化の日」の旧WebサイトのURLにアクセスすると、ウィルスなどがインストールされる可能性があると告知した。過去に利用したドメインが第三者に取得されたもので、注意を呼びかけている。

「東北文化の日」の旧Webサイトは、令和元年6月末をもって閉鎖。だが、該当のURLにアクセスすると「東北文化の日」のWebサイトが表示される。アクセスすると「Windowsセキュリティシステムが破損」などと表示され、最新のソフトに「更新」するよう誘導してくる。

このサイトは「東北文化の日」推進事業とは無関係のもの。「更新」ボタンをクリックすると、ウィルスを含む未知のファイルがインストールされる可能性があるという。現在、宮城県は調査を行っており、旧Webサイトへのリンクも削除している。間違ってアクセスしてしまっても、絶対に「更新」などの追加操作を行わないように注意すること。

○Oracle、脆弱性を修正したJava SEなどソフト群のアップデートを公開

Oracleは10月15日、Java SEを含むクリティカル・パッチ・アップデートを公開した。クリティカル・パッチ・アップデートは4半期に1回行われるセキュリティ関連の大型アップデート。修正されたソフトは以下の通り。

Oracle Database Server

Oracle NoSQL

Oracle Fusion Middleware

Oracle Hyperion

Oracle Enterprise Manager

Oracle E-Business Suite

Oracle PeopleSoft

Oracle Siebel CRM

Oracle Industry Applications

など。

脆弱性は219件で、そのうち「緊急」と「重要」にカテゴリされているものが76件存在する。

加えて、「Java SE」の最新版も公開された。脆弱性20件を修正しているので、利用しているユーザーは最新版へアップデートすること。Javaの自動アップデートでエラーが出る場合は、同社サイトから最新のインストーラーをダウンロードして実行する。

外部リンクマイナビニュース