10月8日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

  • 先週のサイバー事件簿

マイクロソフト、10月のセキュリティ更新プログラムをリリース

マイクロソフトは10月10日、10月のセキュリティ更新プログラムを公開した。対象のソフトウェアは以下の通りで、9月の月例セキュリティ更新プログラム適用後に確認されていた仮想マシン上のNLBの問題、PFX証明書の問題、IKEv2を使ったVPN接続に関する問題への対処が含まれている。

  • Internet Explorer
  • Microsoft Edge
  • Microsoft Windows
  • Microsoft Office、Microsoft Office Servers および Web Apps
  • ChakraCore
  • .NET Core
  • SQL Server Management Studio
  • Microsoft Exchange Server

脆弱性についてのセキュリティ更新プログラムは、緊急10件、重要4件で、脆弱性の内容はリモートでコードが実行されるものと情報漏えいが含まれる。このほかにも、新規セキュリティアドバイザリ1件を公開、既存の脆弱性情報1件を更新している。

今月の「悪意のあるソフトウェアの削除ツール」には、Wemaeye、Wanascan、Wannamine、Lonitに対する定義ファイルが追加されている。

Apple、複数製品の脆弱性をアップデート

Appleは10月9日、同社製品の最新版アップデートを公開した。対象となるソフトのは以下の通り。

  • iCloud for Windows 7.7以前
  • iOS 12.0.1以前

脆弱性は、サービス運用妨害(DoS)、任意のコード実行、スクリプト実行、情報漏えい、アクセス制限回避など。

「FF XIV」に断続的なDDoS攻撃を確認

10月4日ごろから、スクウェア・エニックスのオンラインゲーム「ドラゴンクエストX」や「ファイナルファンタジーXIV」に関連するネットワークが、断続的にDDoS攻撃を受けていることが確認された。同社のオンラインゲーム全般で影響があった模様だ。プレイヤーはゲーム中に切断されたり、ログインができない状態が続いた。

この攻撃により、同社サーバー群につながる複数の上位ISPが通信負荷が異常な状態に陥った。結果として、インターネット上の様々な経路で大規模なネットワーク障害が発生したとしている。

現在は攻撃が収まっており、上位ISP側でも対応が取られるなど事態は収束している。

Music Center for PCにダウンロードファイル検証不備の脆弱性

10月4日の時点で、ソニービデオ&サウンドプロダクツのアプリ「Music Center for PC」に脆弱性が確認されている。対象となるのは、Music Center for PC バージョン 1.0.02 以前。

脆弱性は、ソフトウェアアップデート時にダウンロードするファイルの検証処理に関するもので、不正な実行ファイルがダウンロードされ任意のコードが実行される可能性がある。

すでに最新バージョンとなるMusic Center for PC 2.0.00が提供されているので、アプリ利用者は早急にアップデートを行うこと。

Office数式エディタを使った攻撃が継続

2017年11月に修正されたMicrosoft Officeの脆弱性（数式エディタのバッファオーバーフロー）。これを悪用した攻撃が現在も確認されている。

手法としては、細工したExcelファイルを使いトロイの木馬「Razy」をインストールするというもの。Excelファイルはメールなどを通じて、請求書に偽装され送られてくる場合が多い。

この脆弱性は2017年11月に修正されているが、アップデートや対策をしていない場合、撃を受ける可能性がある。サポートが終了しているOffice 2007でもアップデータが用意されているので、これらのソフトを使用している場合は早急にアップデートをしておくこと。同時に、すみやかに最新のOfficeを導入し、最新の状態に更新しておくことが望ましい。

聖教新聞社の通販サイトで個人情報が流出

聖教新聞社は、同社が運営する通販サイト「SOKAオンラインストア」からクレジットカード情報などを含む個人情報が、第三者によって不正にアクセスされたことを公開した。

流出したカード情報は、7月30日～8月24日にカード情報を入力し商品を注文した顧客の、カード番号、名義、有効期限、セキュリティコード。件数は2,481件。

流出した個人情報は、2014年10月1日(サイトオープン時)から2018年8月24日までに、 会員登録をした人98,852人の氏名、住所など。注文時に入力した配送先情報も含まれる。また、会員登録せずに商品を購入した人(電話注文を含む)と、「お問い合わせフォーム」に入力した人82,848人の氏名、住所なども流出した。

同社では個別に連絡を取るとしているが、「SOKAオンラインストア」を利用したことがある人は、連絡がなくても自分のカード情報が無事かどうかを確認し警戒しておくこと。