パソコンサポートの00H ～社長BLOG～

PHP の脆弱性については
世の中大騒ぎになっていましたが、
我々もたいがいバタバタでした。

と思っていたらあちらこちらで
大企業から官公庁まで、
このタイミングなら目立たないんじゃないか？
と思ってしまうくらい、情報漏洩が大量に発生しております。
なんとなく以前あった食品偽装問題が
相次いで発覚した頃を思い出すのは私だけでしょうか？
漏れること自体は、ある程度可能性を考えて
行動しないとダメな時代になったのかもしれませんね。

色々な店舗で会員になってくれ…
ということで登録を求められますが、
それ…漏れたら責任持てるの？
っていうくらいガンガン求めてきますね。

タイムズの免許証や H.I.S. のパスポート、
大阪府ではマイナンバーカード等の
本人確認画像が流出しています。
ある程度集める必要がある情報とはいえ、
管理はしっかりしてほしいものです。

ところで、この記事の内容ご覧になりました？

中国メーカー、出荷前のAndroid端末に犯罪用のバックドアを設置か　Googleが取引停止 – ITmedia NEWS

これに限らずですが、中国製の電子機器に
バックドアなどの不正な仕組みが組み込まれるリスクは、
陰謀論ではなく、実際に確認されている問題です。
現状、かなりの電子機器に中国製品が入っているので、
なかなか除外するのは難しいですが、
できるだけ信用できる機器を導入するよう心掛けたいものです。

PHP だけでなく Java や Node.js 関連でも
脆弱性が見つかった…ということで、
Web 界隈は結構大騒ぎになっています。

こういった脆弱性も、
日頃からしっかりメンテナンスしていれば、
リスクを抑えることができますが
今回は規模も大きく影響も甚大なので
特にメンテナンスのコストをケチっていたところは
なかなかやっかいなことになっていますね。

さて、よくきかれるのですが、
AI を使って攻撃しているのか？という話ですが、
これは包丁は殺人のためのものか？と同じです。
脆弱性を見つけるのに AI はかなり有効な方法です。
ですが、問題はそれを使う側の話。

Anthropic の AI についても、
以前、悪用の危険性が問題になっていたと思いますが
非常に優秀である代わりに、誤った使い方をすると
恐ろしい攻撃の手段として使われてしまいます。

今回の問題の一つは、脆弱性を修正する前に、
その情報や攻撃手法が外部に流出してしまったことです。

色々なアプリで個人情報の入力を促すものが多いですが、
漏れた時のリスクを考えると非常に恐ろしいです。
個人情報を集めれば集めるほど、
漏洩した際のリスクも大きくなることを認識した上で、
運用してほしいと思います。

ここ数日の間にかなりの数の漏洩が言われています。

※ タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ　公表が相次ぐ3週間に何が起きたのか：セキュリティニュースアラート – ITmedia エンタープライズからの引用

これでもまだ一部で、まだまだ増えていくんだと思われます。
ここにはないですが HIS だとパスポートの情報が漏れたり、
IDCF クラウドにいたってはクラウドサービスが丸々やられた模様…

今までは社内にデータを置いていると
火災や水害等があった際にデータが損なわれ、
事業継続計画（ BCP ）上問題がある…ということで
"安全な"クラウド上に保存しましょうと言われてきましたが、
こういう事態になるとどこまで信用していいのか？
ということになりかねません。

今回は特にソフトバンク子会社の IDC フロンティアについては
丸ごとやられた…ということなので防ぎようがあったのか…
という気がしないでもありません。

今、我々にできることは、

• 複雑で類推されないパスワードを使用する
• 安易なパスワードの使いまわしをしない
• 二段階認証（二要素認証）を徹底する
• メールのリンクや添付ファイルを安易に開かない

等、とにかく凡事徹底です。

ASCII.jp：WordPressに緊急の脆弱性、すでに悪用確認　今すぐ更新を

ホームページを他社に依頼されている方はご注意ください。
すでに悪用されている事例も出ているようです。

ホームページやブログを作る際に、
非常に便利な WordPress ですが、
そのコア部分まで理解して使用する…
というのはなかなか難しいと思います。

ましてや、よくわからないので
ホームページ業者に丸投げしている
という場合は特にわからないと思います。

とりあえずホームページを管理している会社さんに、
WordPress を使っているかどうか？
もしそうならちゃんとメンテナンスして
もらっているかどうかを確認してください。

他にもよくわからないプラグインや
メンテナンスされていないプラグイン等、
脆弱性の原因となる部分は多々あります。

特に WordPress はメジャーすぎるぐらい
メジャーなシステムなので、
攻撃手法が見つかると被害は甚大です。

くれぐれもメンテナンスには注意してください。

ネタがなくなったので仕事っぽいことを（ぉぃっ）。

たぶん、何度も何度も書いているはずですが、
見られてない方も多いのか
同じような問い合わせがあります。

迷惑メールで一番簡単なのは
メールアドレスの偽装。

この画像を見てもらえればわかると思うのですが、
セブンイレブンから来ているはずなのに
差出人がなんだかよくわからないメールアドレスです。

だいたいの迷惑メールは捨てメールアドレスを使い、
そこから本当の送信者にはたどり着けないようにしています。
なのでよく迷惑メールアドレス対策で、
『このドメインを受信拒否』みたいにしても
繰り返し届くのはそのためです。

正直、めんどくさいのですが、
メールアドレスではじけるのは、
ちゃんとしたところのメルマガぐらいです。

逆に言えばメールアドレスさえ見れば、
多くの詐欺メールには対抗できます。
ただし…（つづく）

最近、ファームウェアの脆弱性を伝えるニュースをよく目にします。

Japan Vulnerability Notes／脆弱性レポート 一覧

海外製のルータは脆弱性だらけ、
日本製のルータが安全！というのは幻想で、
中のチップは海外製 OEM のものもあり、
油断は禁物です。

特にサポート終了しているような
古い無線ルータは危険です。
たまにお伺いする 54Mbps の無線ルータを
現役で使っておられる方もおられます。
一応『そろそろ買い替えを検討してください』
ということを伝えるのですが、
『買い替えさせて金をとるつもりか？』
と思われてるかもしれませんね。

違いますよっ !!

またファームウェアのアップデートをしていない
メンテナンスをしていないものも
それが脆弱性につながるということは
ちゃんと理解をしておいてください。
家庭用ルータは特に放置される傾向が高く、
攻撃の対象になりやすいです。

大体無線ルータの寿命は 3 ～ 5 年程度
と思っておいてくださいね。
動くから大丈夫ということではありません。

前回のサポート詐欺の対応の続きになります。

今回のお客様は、動画にあったような
パスワードの抜き取りはなかったようです。
というのも抜き取るためにパスワードを
エクスポートする際に PIN を尋ねられるので、
先方の指示に従って PIN を入力しなければ
抜き取るのは難しくなります。

この辺りは、やはり設定しておいた方がいいでしょうね。
ログインが楽になるから…ということで、
パスワードをなしにしていると、
こういう時にトラブルになるんでしょうね。

というわけで、ちょっとだけ
こういうところにも気を付けてください。

ちなみにこのお客様、
最終的にお金の要求の段階で、
電話を切ったとのことで、
実際の金銭的な被害はなかったですが、
犯人としてはなんとかしようと
リモート操作用のソフトをインストールしていたので、
この辺りは削除をさせてもらいました。

とにかくおかしなメッセージが出ても、
正確には、タスクマネージャを起動し、
ブラウザを終了させればいいのですが、
最悪、パソコンの再起動等で解決するはずです。
電話をかけることだけは絶対に避けてください。

今日、以前作業をしたお客様の紹介で、
サポート詐欺に引っかかってしまった方から
お問い合わせがありました。

お客様は画面に表示された番号に電話してしまい、
遠隔操作ソフトを入れるよう指示され
従ってしまったとのことでした。
ここまで来ると、相手はすでに“パソコンの中にいる”状態です。

ここで、ある YouTube の動画を紹介します。

これはサポート詐欺をしかけてきた
相手をからかっている動画ですが、
実際に何をやっているかが解説されています。

サポート詐欺の入り口は広告と通知です。

広告に対しては必ず広告ブロッカーを利用してください。
uBlock Origin や uBlock Origin Lite は
強力なツールでほぼ完璧にはじいてくれます。

また、以前から書いていましたが、
Edge はデフォルトのページの広告は
広告ブロッカーではじけません。
トップページを空白にするか Edge を使うのをやめるかです。
ぶっちゃけ Google Chrome をお勧めします。

通知はブラウザで Web を見ていると
このページからの通知を許可しますか？
というメッセージが出ることがあります。
これは絶対に許可してはいけません。
記事の通知の他に広告も通知してきます。
画面の左下に『あなたのパソコンはウイルスに侵されてます』
のようなメッセージを表示します。

今日は先日から設定していた UTM の納品でした。
少し前から UTM の問い合わせは増えています
やはり需要はあるようですね。

ネットワークをいったん止める必要がある機器なので、
一時間も二時間も…というわけにはいきません。
あらかじめネットワークの状態を調査した上で、
事前に設定をしておくことで少しでもダウンタイムを止める…
そんな工夫をさせていただきました。

なので、今回は実質 15 分程度の作業時間。
お客様も『え？ホントに作業したの？』
と思われたのではないでしょうか？

ただ、お客様からは作業中に、
『 00H さんだと安心して任せられますね』
というありがたいお言葉…。
こう言ってもらえると、
事前にそこそこの時間をかけて
準備をしている値打ちがあるというものです。

今回は一括でしたが、リース契約もできます。
6,800 円 / 月 × 72 回払いなら、
中小の方でも導入しやすいのではないでしょうか？

Have I Been Pwned? – Wikipedia

ちなみに Have I Been Pwned? の意味は
以下の Wikipedia が参考になります。

Have I Been Pwned: Check if your email address has been exposed in a data breach

パスワードの漏洩は結構大騒ぎとなります。
本日もその対応で二時間ほど作業しておりました。
パスワードを使いまわさない等、
基本的なことは守ってくださいね。

以下は GIGAZINE の記事ですが、
まぁえぐいことになってますね。

過去に流出した20億件のメアド＆13億件のパスワードが検索可能に、自分の情報が流出していないか確認可能 – GIGAZINE

調べてみると Adobe や Dropbox なんかも漏れてますから、
ちょっと気を付けてみた方がいいかもしれませんね。

ただ、ここ以外で漏れているのもだいぶありそうな気がします。
というのが漏れてるだろう捨てメールアドレスで検索したところ、
全然ヒットしませんでした（笑）。

皆様、くれぐれもパスワードの使いまわしはしないでくださいね。