忙しい人のためのセキュリティニュース(2017/09/21) マイクロソフトがOffice2016脆弱性をパッチ、小学校生徒の情報を人質に身代金要求、サイバーセキュリティカルチャーの作り方、iPhoneのセキュリティ向上化の為のヒント

f:id:nanashi0x:20170922182037p:plain

1. Microsoft Kills Potential Remote Code Execution Vulnerability in Office (CVE-2017-8630)

McAfeeの報告によって明らかになったMSOffice2016の脆弱性のパッチが発表された。対象は32bit、64bitのOffice2016となる。脆弱性が浮き出るコンディションを作るには、特定のオプションを選択する必要があるのでエクスプロイトは起きにくい。

・CVE-2017-8630

ハッカー集団のThe Dark Overlord Solution（以下、TDO）が、モンタナ州のコロンビアフォールズ地区にある小学校生徒、両親、教員達の個人情報を人質にして、身代金を請求している事が明らかになった。

手紙によると、TDOは地区で働く役所員に長文の手紙を送付し、150,000アメリカドル(≒1680万円)もの金額を請求し、生徒数名に関する個人情報を開示している。専門家によれば、そうする事で実際にハッキングに成功していることをアピールする狙いだ。

この手紙を受け取ったCurry氏は、脅迫文の全文をインターネットに公開した。目的は、対象となる自治体の住民たちに注意喚起を促しつつ、自治体外の人達にも犯行グループの手口を知ってもらう為だ。

TDOはコロンビアフォールズ地区に限らず、セキュリティホールをパッチしていない他の自治体に対しても同様の手口を行っている模様。そのことから、脅迫されているコロンビアフォールズ地区は、身代金の支払いは行わないとしている。

・実際にTDOから送られてきた脅迫文のリンクはこちら

今、40秒に一回、ランサムウェア攻撃の被害が発生していると言われている。年商10億以上もの企業がその標的にされており、ランサムウェア攻撃の発生増加率は毎年350％超。つまり2021年までにはサイバー犯罪による被害総額は60兆円にもなる見込みだ（Cyber Ventures）。

ランサムウェアの主な発生原因は、ヒューマンエラーである。

つまりスパムメールのリンク先を確認せずにクリックしてしまったり、いかがわしいサイトにアクセスしたり、信用できないソースからソフトウェアをダウンロードするような事だ。

それではヒューマンエラーを防ぐためにどうしたらいいだろうか？

この記事では、従業員に対してのセキュリティ教育が一番効果的であるとしている。攻撃の防衛最前線に立っているため、一番標的にされやすいからだ。

トップダウンで、従業員のセキュリティ教育を行えば、従業員の勤務態度は少しでもいい方向に変えることが出来る。

他には、ヒューマンエラーが起きた時のリスクを減らす構造を作り上げる事が良いだろう。

例えば、安全性の検証されたソフトウェアしかダウンロードできない仕組みの構築、スパムメールフィルターの導入、社内PCから業務に関係ないウェブサイトにアクセスすることが出来ないようフィルタリングする等の処置が行える。

先日iOS11が発表されたが、多くの脆弱性がパッチされるなど、Appleのセキュリティ意識の強さが伺えるアップデートだと私は考えている。

ここで質問したいのだが、あなたはどのようにしてiPhoneのセキュリティを保っているだろうか。

この記事では、iPhoneのセキュリティを向上させる為に幾つかのヒントを提案している。

ロック画面をアンロックする時のパスコードを、数字だけのパスコードにせず、カスタムの英数字パスコードに変更しよう。

”カスタム英数字のパスコード”の設定方法は以下に示す。

f:id:nanashi0x:20170922175420j:plain

1. ［設定］画面を開き、”Touch IDとパスコード”画面にいく。

f:id:nanashi0x:20170922175544j:plain

２．”パスコードを変更”をタップする

f:id:nanashi0x:20170922175620j:plain

３．”カスタムの英数字コード”をタップする。

以上のステップを踏むと、数字だけじゃなく、大文字・小文字のアルファベットもパスコードとして使えるようになり、iPhoneのロックが破られる可能性を劇的に下げることが出来る。

TouchIDでロック画面を解除出来るのは非常に便利だが、実は指紋登録しておく事はiPhoneの安全性を下げてしまった。なぜなら、寝ている時や、意識を失っている時に指を当ててアンロックしたり、更には警察等の権力を持った人があなたに対して命令してアンロックする事が出来るからだ。

ロックスクリーンに、LINEやMessangerアプリのダイジェストメッセージを表示させている人はいるだろうが、第三者がメッセージを盗み見ることが出来てしまうという事になる。

通知を表示させない理由と同じで、ウィジェットの設定も解除しよう。

iCloudアカウントに第三者がログインしようとすると、あなたに認証コードが書かれたSMSが送られて来ることになる。携帯電話が盗まれている状態だと意味をなさないが、そうでない場合は、iCloudアカウントがハッキングされた恐れがあることがわかるので効果的だ。