1月25日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

ケンタッキーフライドチキン1年分が当選!? LINEを使った懸賞詐欺

ケンタッキーフライドチキンを騙る懸賞詐欺が拡散している。LINEの懸賞を悪用したものだ。

懸賞詐欺は、ケンタッキーフライドチキンの1年分が当たるという内容。これは偽の懸賞で、友達登録している人からLINEで送られてくることが多い。カーネル・サンダースの画像（数年前まで実際に使われていたもの）を使用しているため、本物の懸賞と勘違いしやすい。記載のURLにアクセスすると懸賞ページで抽選が行えるが、3回抽選すると必ず当選する仕組みとなっていた。

当選すると5人の友達にURLを送るように促され、指定の電話番号に電話をかけるように指示が出る。通話すると高額の国際通話料金の請求が来るという寸法だ。いわゆる「国際ワンギリ詐欺」である。

こうした大手外食チェーンの偽懸賞詐欺は、2021年1月に入って増加傾向にあるという。もしこのようなLINEが送られてきた場合は、信頼している友人からでもまずは疑ってかかるようにしたい。

システムファイブ オンラインショップで3,800件以上のクレジットカード情報が流出

システムファイブが運営する「システムファイブ オンラインショップ」が不正アクセスを受け、クレジットカード情報が流出した可能性がある。同ショップは、ドローン、映像機器、オーディオ機器、撮影機器などを扱っている。

不正アクセスは決済処理プログラムの改ざんで、2020年10月27日に発覚。同日、クレジットカード決済とサイト全体を停止している。調査の結果、2020年7月20日から2020年10月27日までの期間に、オンラインショップでクレジットカード情報を新規で入力した顧客のクレジットカード情報（最大3,812件）が流出した可能性があることが判明した。

流出した可能性のある情報は、クレジットカード名義人、クレジットカード番号、有効期限、セキュリティコード。システムファイブ オンラインショップでは顧客のクレジットカード情報を保持していないため、すでにクレジットカード情報を入力していた場合、情報の流出はない。

同社は、クレジットカード情報が流出した可能性のある顧客に対して、電子メールや書状にて連絡を取り、システムファイブ オンラインショップについてはシステムを完全移行した上で再開するとしている。再開日については決定しだい告知するとのこと。

エレコムとロジテックのサポート終了製品に脆弱性

エレコムは1月26日、ロジテックとエレコムの無線LANルータなどネットワーク製品の一部に脆弱性があることを発表した。対象の製品は以下の通り。

ロジテック製品

  • LAN-WH450N/GR
  • LAN-W300N/PR5B
  • LAN-W300N/PGRB
  • LAN-W300N/RS

エレコム製品

  • LD-PS/U1
  • WRC-1467GHBK-A
  • WRC-300FEBK
  • WRC-F300NF
  • WRC-300FEBK-A
  • WRC-300FEBK-S
  • NCC-EWF100RMWH2
  • Androidアプリ ELECOM File Manager

脆弱性は製品によって異なるが、アクセス制限の不備、管理画面におけるスクリプトインジェクション、格納型クロスサイトスクリプティングなど、放置すると遠隔の第三者によって悪用の可能性があるという。対象製品のアップデートはすでに終了しているため、対策は対象製品の利用を中止するのが最善となる。

WRC-300FEBK、WRC-F300NF、WRC-300FEBK-A、WRC-300FEBK-S、NCC-EWF100RMWH2については、UPnPの設定を無効にしたり、設定画面のログインパスワード変更などによって、脆弱性の軽減または回避が可能。Androidアプリ「ELECOM File Manager」は、後継アプリ「ELECOM EXtorage Link」への移行を推奨している。

Mozilla、脆弱性を修正した「Firefox 85」

Mozilla Foundationは1月26日、Firefoxの最新バージョン「85.0」を公開した。延長サポート版の「Firefox ESR」もバージョン 78.7.0にアップデートしている。

今回のアップデートでは、セキュリティ関連13件を修正。内訳は、高5件、中6件、低2件。「高」では、リダイレクトされたPDFリクエストのクロスオリジン情報の漏洩などを修正している。

新機能は、Supercookieからのユーザー保護を実装したほか、「他のブックマーク」をブックマークツールバーに表示し、ブックマークへのアクセスを簡便化。また、パスワードマネージャーにおいて、全ログイン情報の消去をワンクリックで行えるようにした。

長久保公園都市緑化植物園ホームページが不正アクセスで大量のメールを送信

神奈川県藤沢市は1月21日、公益財団法人藤沢市まちづくり協会が運営する「長久保公園都市緑化植物園」Webサイトが、外部からの不正アクセスを受けたことを明らかにした。

不正アクセスは、サーバー用メール送信機能をインストールの上、外部へのメール送信の踏み台とされた。1月16日、長久保公園都市緑化植物園のサーバー会社が、日本国外のメールアドレスへ向けて大量のメール送信を確認したことで発覚。直ちに、長久保公園管理事務所内のPCにおいてセキュリティチェックとパスワード変更を実施した。

1月17日には、長久保公園都市緑化植物園のWebサイトを閉鎖。1月18日には、まちづくり協会が二段階認証の設置とパスワード変更を実施している。1月19日、まちづくり協会内の全PCで不正アクセスの痕跡を確認し、影響がないことを確認したという。

送信メール件数は約6,500件で、現在も調査を続行しているとのこと。現在のところ、この件に関しての苦情などは寄せられてない。今後は、再発防止策を講じた上でサイト運営を再開するとしている。なお、Webサイト上では個人情報を取り扱っていないため、個人情報の流出はない。