〇 OS、アプリケーション、アンチウイルスのデータベース等を常に最新の状態に保つ
〇 UTM導入等によるネットワーク全体の防御を行う
– 10/11号 目次 –
01. ワクチン接種者13,400人の個人情報紛失…USBメモリー見つからず
02. 9月度フィッシング報告件数は117,033件、7月度と同水準
03. iPhoneアプリストアに「スイカゲーム」? 開発元が偽アプリに警告
ワクチン接種者13,400人の個人情報紛失…USBメモリー見つからず
– 10月5日(日本時間)、青森県上北郡野辺地町より、同町民の個人情報を保存したUSBメモリーを紛失したと発表されました。
– USBメモリ―に保存されていたのは、新型コロナワクチン接種者約13,400人分(転出・死亡者含む)の個人情報(住所・氏名・生年月日・性別・接種履歴等)とされています。
– 8月30日夕方にある職員が当該USBメモリーを保管場所に戻して以降、所在が不明であることが翌31日に発覚、以降も施設や公用車、また職員の自宅・自家用車等も捜索したものの、発見されていないとのことです。
– 同町では、使用管理簿を用いていなかった、鍵のかからない机引き出しで保管していた等、適切な管理を行っていなかったことを紛失の原因としており、再発防止策としてその点の改善を行う他、USBメモリーは一時記憶媒体として使用し、そののち保存データを削除すること、暗号化対応型のメモリーを使用すること、指定した業務以外での使用を禁止すること等を挙げています。
https://www.itmedia.co.jp/news/articles/2310/10/news082.html
http://www.town.noheji.aomori.jp/application/files/7216/9647/7145/USB.pdf
AUS便りからの所感
USBメモリー紛失事案は、近年に至っても、2022年6月に尼崎市全市民約46万人分の個人情報を保存したUSBメモリーが一時紛失、2023年2月~3月に複数の大学で教員がUSBメモリーを紛失ないし盗難にあった等の事例が報告されています。
USBメモリーの接続によってPCがマルウェアに感染、その後に接続した別のUSBメモリーにも伝播するといったケースや、ハードウェアを物理的に破壊するような仕掛けを持つものも知られている昨今、他者との情報の受け渡しや、組織内での情報の持ち運びの手段としても、常用するには非常にリスクが高いものと言えます。
オフライン・オンプレミスのみの使用に拘ることなく、情報のやり取り時あるいは保存時においてもオンラインストレージの利用等を柔軟に検討することは、より安全な情報の取り扱いに繋がることでしょう。
9月度フィッシング報告件数は117,033件、7月度と同水準
– 10月5日(日本時間)、フィッシング対策協議会より、9月に寄せられたフィッシング報告状況が発表されました。
– 9月度の報告件数は117,033件で、8月度(https://www.antiphishing.jp/report/monthly/202308.html )の99,585件から17,448件増加し、7月度の117,024件とほぼ同水準となっています。
– フィッシングサイトのURL件数は14,934件で8月度(20,396件)から5,462件減少、悪用されたブランド件数も80件で8月度(91件)から11件減少となっています。
– 最も多く悪用されたブランドは前月同様Amazonで割合は約40.8%(前月度36.1%)、以下ETC利用照会サービス・三井住友カード・Apple・マイナポイント事務局を合わせた5ブランドで全体の約71.3%、また1,000件以上の報告があった17ブランドで全体の約93.8%を占めたとしています。
AUS便りからの所感
多く悪用されたブランドのうち、ETCはシルバーウィーク、Appleは新製品発表、マイナポイントは受取申請の期限が月末だったことに合わせて多く発生が報告されたとのことです。
同協議会では4月以降、SMSでのフィッシング、特に金融機関系・Amazonあるいはモバイルキャリアを騙り不正なスマホアプリのインストールへと誘導するものについて継続的に注意を呼び掛けており、通常はそのようなSMSを受信してもURLをタップ等せずに削除することが望ましいですが、身に覚えがないタイミングで認証コード通知SMSが送信された場合、アカウントへの不正ログインが行われている可能性があるため、パスワード変更や決済サービスの使用履歴の確認を行うよう推奨されています。
一方、有名企業・ブランドではない一般企業からも、自社のドメインを騙ったなりすましメールが送信された、もしくは着信した、という相談が増えているとされ、取引相手等を保護する意味でも、「事業者のみなさまへ」の節を参考に、自組織のドメイン名においてSPF・DMARCといった対策機構の採用等を是非とも検討すべきです。
iPhoneアプリストアに「スイカゲーム」? 開発元が偽アプリに警告
– 10月2日(日本時間)、Nintendo Switch向けゲーム「スイカゲーム」開発元のAladdin X社より、スイカゲームに酷似したiOS向けアプリを確認したとして、Twitter(現:X)上で注意喚起が出されています。
– 対象とみられるアプリは、Apple公式のApp Storeで「す い か ゲーム」というタイトルで公開されており、当初は本物の画像等を流用していたとみられています。
– 同社ではAppleに当該アプリについて報告済みで、「スイカゲーム」はスマートフォン向けに開発していないとしています。
https://www.itmedia.co.jp/news/articles/2310/04/news108.html
https://twitter.com/aladdinx_jp/status/1708674807766933998
AUS便りからの所感
当該アプリはレビューにおいても偽物との指摘を多数受け、公式と誤認識させるような画像等は差し替えられながら、10月11日時点でもApp Storeで公開されていますが、広告が非常に多く表示されるという問題を除けば、現時点でデバイス上で不正行為を行っているという報告はないことが、依然としてアプリストアから削除されていない理由と推測されます。
一方で、公式のアプリストアであっても、デバイス上の情報を奪取する等の不正行為を行うアプリがアップロードされ、短期間で削除されるとしてもその間に多くのダウンロードが行われ、被害が発生するケースも散見されます。
ともあれ、よりマルウェア等のリスクが懸念されるような非公式の場所からのスマホアプリのダウンロード・インストールは避けること、公式アプリストアからのみインストールするとしても、事前にストアでのレビュー・SNS等での評判を参考とし、実績のあるアプリをインストールすることを心掛けましょう。