cyber security secure platform laboratories nttセキュアプラットフォーム研究所 ntt...

NTT Secure Platform Laboratories　NTTセキュアプラットフォーム研究所

NTT Secure Platform LaboratoriesNTTセキュアプラットフォーム研究所

NTT-CERT NTT Computer Security Incident Response and Readiness Coordination Team

サイバーセキュリティアニュアルレポート 2015

この印刷には責任ある森林管理の「FSC®認証紙」を使用し、環境に配慮した「水なし印刷」と「ベジタブルインキ」を採用しています。工場の消費電力量の一部はCO2を排出しないグリーン電力を使用しています。

C y b e r S e c u r i t y

はじめに

１　サイバーセキュリティの概況（エグゼクティブサマリ）

２　世の中のサイバーセキュリティ事案

　１　事案の概況（年表）

　２　事案の分析

　　 ❶ 深刻な脆弱性

　　 ❷ 大規模なサイバー攻撃と情報流出

　　 ❸ モバイルの安全性

　　 ❹ プライバシーの扱い

　　 ❺ 各国の動き

　　 ❻ 新しい脅威

３　脆弱性の動向

　１　脆弱性情報の動向

4　NTTグループにおけるセキュリティ対応状況（NTT-CERTの取り組み状況）

　１　問い合わせ・対応状況

　２　対応事例

　　 ❶ 9.18満州事変に伴うサイバー攻撃について

　　 ❷ 翻訳サイトの翻訳結果がWeb検索で表示されてしまう

　　　　（ilovetranslation）

　　 ❸ Thunderbirdのバグによる誤送信事案

　　 ❹ Webサーバへの不正侵入事例

　　 ❺ 検索エンジン「SHODAN」の調査報告

5　2014年度のサイバーセキュリティ関連トピック

　１　個人情報、プライバシー問題

　２　AndroidアプリケーションにおけるJavaScript連携の脆弱性調査

　3　クラウドセキュリティに関わる標準化

6　外部動向

　１　政府動向

　２　外国動向

商標について

はじめに

本レポートは、2014年度のサイバーセキュリティ動向および

NTTセキュアプラットフォーム研究所の関連する活動状況についてまとめたものです。

本レポート読者の方々に、現在のサイバー脅威の動向をご理解いただき、

ご自身が提供されるサービス、システムなどの安心・安全に向けた取り組みの

ご参考としていただければ幸いです。

なお、本レポートに記載された情報、URLなどは、2014年度のものであり、

情報内容の変化、リンク先の情報削除などが行われている場合があります。

NTTセキュアプラットフォーム研究所では、NTTグループのセキュリティ強化に向け、NTTグループのCSIRT（Computer Security Incident Response Team）であるNTT-CERTおよびセキュリティ研究成果・知見により、技術的な支援を進めている。

NTT-CERTの紹介

NTTグループのCSIRTとして、2004年に発足した。セキュリティ情報をいち早くキャッチし、NTTグループ全体の被害の極小化、未然防止を図る。

NTT-CERT活動概要

セキュリティ研究活動概要

NTTセキュアプラットフォーム研究所

セキュリティ・ポータル脆弱性情報配信

インシデント･ハンドリング脆弱性ハンドリング

セキュリティ教育・訓練セキュリティ･コンサルなど

①検知・防御技術 ②暗号プロトコル ③可視化・証跡

フィールドサポート

国内外研究機関

未然防止

被害極小化

セキュリティ診断

OSINT（セキュリティ情報分析）

ブラックリスト提供

セキュリティ製品評価運用ガイド策定

フォレンジックマルウェア解析

技術開発

予防

検知

事後対応

運用ガイド策定ブラックリスト提供

セキュリティ製品評価

（nicter）・・・etc.

セキュリティベンダ

ＮＴＴグループ社内情報システム

ＮＴＴグループ公衆／インフラ

ＮＴＴグループ法人／ソリューション

フィードバック

NTTグループ各社リスク管理

被害の未然防止／被害の極小化

セキュリティ運用ノウハウ集積・活用

攻撃の検知通常対応

警戒・緊急対応

ＮＴＴーＣＥＲＴの

グループ支援施策例

独自センサーなど（例：ハニーポット）

外部機関（FIRST、NCAなど）

事件事件被害発生時の対応

被害発生時の対応防止脆弱性などの

収集・共有攻撃の検知防止脆弱性などの収集・共有

内外の適材適所への迅速な情報伝達と専門的対応支援

脆弱性・攻撃などに関する情報の収集分析と早期検知

CSIRTがやること

情報共有　分析・調査トレーニングなど相談受付対応支援

・脆弱性検証情報提供・公開前脆弱性情報提供

・インシデント通知・情報漏えい検知

・インシデント対応支援・事例共有

・セキュリティSE・セキュリティ教育・セキュリティSE・セキュリティ教育

各フェーズでNTTグループを支援

セキュリティ研究活動

サイバーセキュリティティテ

アニュアルレポート

NTT-CERTの紹介

NTT-CERT活動概要

セキュリティ研究活動概要

未然防止

予防検知事後対応

被害極小化

事業環境における検証設備構築や実施手順などに関わる技術支援

セキュリティ診断結果に基づく事業での対応やブラックリストおよびログ分析手法などの導入に関わる技術支援

分析対象取得、技術対策適用におけるオンサイトでの技術支援

事業会社のセキュリティ運用

Ｒ＆Ｄミッション

予防から検知、事後対応までの一貫したセキュリティ運用強化を図る技術確立と事業会社支援を実施する。

①検知・防御技術 ②暗号プロトコル ③可視化・証跡

ブラックリスト提供

セキュリティ製品評価運用ガイド策定

技術開発

セキュリティ診断グループ各社のWebサイトについて、改ざん、脆弱性、要塞化不備を定期的に検査／分析し、問題があれば対策などを立案

運用ガイド策定政府や業界によるガイドライン策定の動向を見据え、グループでの遵守に向けた技術検証や手順書策定を実施

ブラックリスト提供研究所で構築したブラックリスト（AVベンダなどが所有するものとの差分）をグループ会社に情報展開し、攻撃ブロックに寄与

OSINT（セキュリティ情報分析）インターネット上のセキュリティに関わる情報を広く収集、総合的な分析を行い、最新の状況を共有

フォレンジックマルウェア解析セキュリティ事案へ対応する中、事業サイドでは実施が難しい深い部分（AP／システムログ、悪性プログラムなど）の分析手法の確立および技術変化に追随する継続的な維持・高度化

セキュリティ製品評価事業導入前に、新たな技術／製品などの機能、性能、脆弱性を評価するとともに、必要な対策などをレポート

セキュリティベンダ

フィードバック

NTTグループ各社リスク管理

被害の未然防止／被害の極小化

攻撃の検知通常対応

警戒・緊急対応

ＮＴＴーＣＥＲＴの

グループ支援施策例

独自センサーなど（例：ハニーポット）

外部機関（FIRST、NCAなど）

事件事件被害発生時の対応

被害発生時の対応防止脆弱性などの

収集・共有攻撃の検知防止脆弱性などの収集・共有

内外の適材適所への迅速な情報伝達と専門的対応支援

脆弱性・攻撃などに関する情報の収集分析と早期検知

CSIRTがやること

情報共有　分析・調査トレーニングなど相談受付対応支援

・セキュリティSE・セキュリティ教育・セキュリティSE・セキュリティ教育

各フェーズでNTTグループを支援

セキュリティ研究活動

１サイバーセキュリティの概況（エグゼクティブサマリ）

第１章では、2014年度のセキュリティ動向および本レポートの概要について説明する。

　2014年度はソニーピクチャーズへの攻撃やDarkhotelなど、高度な標的型攻撃が報告されたほか、インター

ネットの基盤技術に関わる重大な脆弱性（Heartbleed、Shellshock、POODLE、 DNSの委任／移転通知インジェ

クション攻撃など）やインターネットの基盤に関わるインシデント（DNSへのDDoS攻撃／ドメイン乗っ取り／証明書

への攻撃など）が多発した年度であった。さらに、国家による監視強化と世論やサービス提供業者の反発による綱引

きは継続しつつも、全体的には国際的なテロ続発の中で監視強化の流れが進んだ。新技術の動向としては、制御シ

ステムやIoT（Internet of Things）への攻撃やリスクの指摘が本格化し、欧州では鉄鋼所が現実に被害を受けた。

また、スマートフォンへの攻撃も、従来の不正アプリだけではなく脆弱性を突くタイプの攻撃やランサムウェアの流

行など、PC以上に高度な攻撃が流行した。

　日本国内のセキュリティ動向に目を向けてみると、ベネッセによる大規模な情報流出が大きなトピックとなった。ま

た、海外では数年前から問題となっていた不正送金マルウェアの日本対応が本格化し、不正送金被害が急増したほ

か、昨年度から引き続いてのリスト型攻撃による情報漏えいやCMSなどの脆弱性を突いたWebサイト改ざん、ス

マートフォンの普及に伴ってSNSを悪用する攻撃（LINE乗っ取り、FacebookやTwitter機能の不正利用など）が急

増した。さらに、混沌とした世界情勢を反映し、ハクティビストの活動が拡大する中で、日本の多数のサイトが攻撃に

巻き込まれる事態も発生した。一方で、2020年東京オリンピック・パラリンピックに向けた日本全体のセキュリティ

強化の取り組みが始まった年度でもあり、サイバーセキュリティ基本法の成立、個人情報保護法の改正、内閣サイ

バーセキュリティセンターの発足などが進められた。また、マイナンバー制度の2016年1月開始に向け、法制度な

どの整備が進められたが、社会的な対応の遅れやプライバシー、セキュリティに関しての懸念が指摘された。

　本レポート第2章では、これらの状況をセキュリティインシデントに関わる報告、記事情報などをもとに動向を整

理、分析する。続いて、第3章で攻撃の原因の一つである脆弱性の動向についての分析結果について報告する。

第4章では、これらのセキュリティインシデントに対応するための取り組みであるNTT-CERTの活動状況について、

具体的な対応事例を交えて報告する。

　第5章では、2014年度のセキュリティに関連するトピックとして、個人情報保護およびプライバシーに関する日本

国内の動向、Android端末の主な脆弱性の原因の一つであるWebViewの脅威の実態、今年度普及が進んだクラ

ウドセキュリティに関する標準化動向について報告する。

第6章では、2014年度のサイバーセキュリティ動向を把握していただくための外部の動向の情報として、政府動向、

海外動向について報告する。

１サイバーセキュリティの概況（エグゼクティブサマリ）

第１章では、2014年度のセキュリティ動向および本レポートの概要について説明する。

2 世の中のサイバーセキュリティ事案

第2章では、セキュリティ事案にかかわる新聞記事などから、2014年度のセキュリティ事案の概況について説明し、

さらにトピックとなる事案についての分析を行った結果について報告する。

第１四半期

第２四半期

トピック日 URL

2 世の中のサイバーセキュリティ事案

第2章では、セキュリティ事案にかかわる新聞記事などから、2014年度のセキュリティ事案の概況について説明し、

さらにトピックとなる事案についての分析を行った結果について報告する。

・OpenSSLの深刻な脆弱性（SSL Heartbleed）が発見された。この脆弱性を狙った攻撃により、海外ではカナダ歳入庁、国内では三菱UFJニコスで不正アクセスによる被害が報告された。

・Windows XPサポートが終了となった。Microsoftはその後に発見されたIEの脆弱性に対するWindows XP更新プログラムを特例で配布した。

・米司法省は、オンラインバンキングを標的としたマルウェア「Game over Zeus」についてテイクダウンを実施し、関連サイトの差し押さえや管理者の逮捕を行った。

・iPhone乗っ取り、Twitter、LINEアカウント乗っ取りなど、スマートフォンユーザやSNSユーザに対するサイバー脅威が広まりを見せた。

・内部犯行により約3,500万件と大規模な個人情報の流出が発生、ベネッセは被害者に補償金として500円相当の金券などを送付した。

・オンラインバンキングの不正送金被害額が18億円に到達。警察庁は、金融機関に対して対策の強化を要請するとともに、取り締りの強化を開始した。

・スマートフォンでは、Android と iOS を標的にしたモバイルマルウェアやランサムウェアが増加するなど、引き続き攻撃の対象となっている。

・中国がLINEやフリッカー、Googleなどの接続規制を開始した。・国内ではサイバーレスキュー隊「J-CRAT」が結成された。JPCERT/CCは国際的なボットネットのテイクダウン作戦に協力、感染端末などの情報を提供した。

第１四半期

第２四半期

１. 事案の概況（年表）

トピック日 URL

「OpenSSL」暗号ライブラリに重大な脆弱性

XPサポート打ち切り韓国政府が支援策

米英2紙にピュリツァー賞、NSAの情報収集活動を暴露

Microsoft、XPで特例の更新プログラム配布

三井住友銀行、新手のネット不正送金被害を発表

サイバー対策を強化、来年度めどに組織格上げ　次官級も　政府｠

ネットバンキング不正送金被害が最悪に

【Update】CDNetworksが侵害公表、バッファロー、JUGEMなどで改ざん：「外部サービス」が原因、公式サイトの改ざん被害相次ぐ[CNET Japan] 米当局、「GameOver Zeus」ボットネットを摘発 --ユーザは2週間以内に防御策の実施を

LINE乗っ取り300件以上　不正ログイン、金銭被害3件

国会図書館、日立社員2人を刑事告発

ニコニコ動画の広告からマルウェア感染 --原因はマイクロアドと米ヤフー

DDoS攻撃で停止の「ファンタシースターオンライン2」、再開できず「攻撃規模、極めて大きい」

【参考記事】

http://japan.cnet.com/news/service/35046250/

http://www3.nhk.or.jp/news/html/20140409/k10013623911000.html

http://www.cnn.co.jp/tech/35046575.html

OpenSSLの“Heartbleed”脆弱性による被害が発生、カナダ歳入庁が発表

DNSキャッシュ汚染に注意 --カミンスキー型攻撃の増加に専門機関が警鐘

Apache Struts2 の脆弱性対策について（CVE-2014-0094）（S2-020）

http://internet.watch.impress.co.jp/docs/news/20140415_644351.html

http://www.security-next.com/048036

http://www.ipa.go.jp/security/ciadr/vul/20140417-struts.html

http://www.yomiuri.co.jp/it/security/goshinjyutsu/20140502-OYT8T50142.html

http://www.nikkei.com/article/DGXNASFL120SX_S4A510C1000000/

http://sankei.jp.msn.com/politics/news/140519/plc14051911120004-n1.htm

iPadやiPhoneの乗っ取り被害多発、ロック解除に「身代金払え！」｠ http://www.itmedia.co.jp/news/articles/1405/28/news038.html

http://www.atmarkit.co.jp/ait/articles/1406/03/news056.html

http://www.asahi.com/tech_science/cnet/CCNET35048843.html

http://www.nikkei.com/article/DGXNASDG1703H_X10C14A6CR8000/

http://www.nikkei.com/article/DGXNASFK1602E_W4A610C1000000/

http://japan.cnet.com/news/business/35049705/

http://www.itmedia.co.jp/news/articles/1406/23/news078.html

サイバーセキュリティ

2世の中のサイバーセキュリティ事案

・SPEへの攻撃に関連し、NSAが2010年より北朝鮮内部を監視していたと報道。さらにNSAなどによる世界的なSIM情報窃取（ベンダは影響小と発表）やHDDファームへのマルウェア設置など、高度かつ対策困難な諜報活動（Equation Group）の実態が報道された。

・ISILを中心として、双方の攻撃が激化、米軍Twitter乗っ取り、NW紙サイト改ざん、ISILへのAnonymous宣戦布告やISILサイト改ざんが発生した。

・レノボ社PCプリインストールソフトに、暗号通信を阻害する脆弱性の指摘があり問題化した。・2020大会に向けNTTなどがパートナー選定されたほか、セキュリティ強化に向け業界全体が活発化した。内閣がインフラ事業者など48社に情報共有を要請するなどの国全体で強化の方向となった。

・POSを狙う高度なマルウェア「ポセイドン」が報告された。・米Githubへの大規模DDoS攻撃が発生した。

第4四半期

トピック日 URL

サイバー対策で情報共有　政府、48事業者に協力要請

“盗んだアドレス10億件超” 米で3人起訴

個人情報保護法改正案を閣議決定、個人情報の定義は骨子案を踏襲

特定標的サイバー攻撃 3倍以上に急増（警察庁 26年サイバー空間動向報告）

OSS検索システムの脆弱性を狙うサイバー攻撃が発生中

・ Shellshockを狙う攻撃、Winshock、SSL3.0の脆弱性（POODLE）発覚、ドメインに対する攻撃、ICANNやISC不正アクセスなど、インターネットやサーバのプラットフォームの問題が継続した。

・ソニーピクチャーズが大規模攻撃により業務停止となった。FBIは北朝鮮からの攻撃と発表したが、セキュリティ専門家からは疑義が投げかけられた。

・米国で大規模な情報漏えい（JPモルガン、米郵政公社、ステープルズなど）が継続した。・医療費通知を装う大規模攻撃が発生、遠隔操作ツールによる情報流出などが多発した。・USB仕様上の脆弱性を突いたBadUSBなど、従来の対策技術では対応困難な攻撃手法が報告された。・サイバーセキュリティ基本法成立、経産省個人情報取り扱いのガイドラインを改定した。・総務省主催第1回「実践的サイバー防御演習（CYDER）」が開催された。

第３四半期

「サイバーセキュリティ基本法」が成立、国の責務を明確化

ファームウェアを勝手に書き換える、USBの危険すぎる脆弱性「BadUSB」

米郵政公社にサイバー攻撃、職員80万人超の個人情報など流出の恐れ

トピック日

bashの脆弱性を抱えるNASへの攻撃、日本や韓国が標的に

JPモルガン・チェース顧客情報大量流出

SSL 3.0に深刻な脆弱性「POODLE」見つかる　Googleが対策を説明

セキュリティベンダの共同作戦で Hidden Lynx のマルウェアに打撃

「実践的サイバー防御演習（CYDER）」の実施

産業制御システムを狙うマルウェア、米ICS-CERTが注意呼び掛け

登録情報の不正書き換えによるドメイン名ハイジャックに関する注意喚起

トピック日 URL

中国でLINEが不通に　「政府の関与」指摘も

「Baidu IME」の自動アップデート機能で別ソフトがインストールされる障害が発生

Google、ゼロデイ攻撃を防止する「Project Zero」を発表

標的型サイバー攻撃に立ち向かう、IPAのサイバーレスキュー隊が正式発足

日本国内のオープンリゾルバを悪用するDDoS攻撃が発生 --DNSリフレクター攻撃とは異なる手法AndroidにID偽装の脆弱性が存在、アプリ特権を悪用可能に

【参考記事】

【参考記事】トピック日 URL

【参考記事】

イランのハッカー集団、航空・エネルギー会社など攻撃

ソニーのプレステネットワークにシステム障害、「Lizard Squad」の攻撃か

Facebookに新たなサイバー攻撃　日本語広告で偽企業サイト誘導　タグ付け機能使い拡散も　金銭や個人情報要注意

経産省、ベネッセ事件などを受けて個人情報ガイドライン改正

ICANNに不正アクセス、ユーザ情報が流出

GitHubに“史上最大”のDDoS攻撃、中国のネット検閲絡みか http://www.itmedia.co.jp/news/articles/1503/31/news047.html

POSシステムを狙う新手のマルウェア「ポセイドン」出現 http://www.itmedia.co.jp/news/articles/1503/26/news072.html

http://www.nikkei.com/article/DGXLASFS01H20_R00C15A3PE8000/

http://itpro.nikkeibp.co.jp/atcl/news/15/031000875/

日本製「身代金要求型ウイルス」を初確認

韓国原子力発電所へのサイバー攻撃

スマホに「消せないメッセージ」注意を

サイバー攻撃で欧州の大手Bitcoin取引所閉鎖

米軍Twitterアカウントにハッキング、イスラム国支持集団の犯行か

NSA、北朝鮮のネットワークをソニー攻撃前から監視か --2010年より

26 http://www3.nhk.or.jp/news/html/20150126/k10014958851000.html

http://www.nikkei.com/article/DGXLASDG26HAF_S5A100C1CC1000/

http://www.nikkei.com/article/DGXMZO81660690X00C15A1000000/

http://www.icr.co.jp/newsletter/global_perspective/2015/Gpre2015002.html

不正広告の閲覧で自動感染させる攻撃も、「Flash Player」が18件の脆弱性を修正

サイバーセキュリティ戦略本部発足

ハッカー集団のAnonymous、ISIS攻撃を宣言

極めて高度なサイバー攻撃集団「Equation Group」、セキュリティ企業が報告

SSL通信を盗聴される恐れ、ノートPCに潜む「Superfish」の正体

21 http://mainichi.jp/select/news/20150221k0000e040213000c.html

http://www.kantei.go.jp/jp/97_abe/actions/201502/10cyber_security.html

http://www.itmedia.co.jp/enterprise/articles/1502/10/news053.html

http://itpro.nikkeibp.co.jp/atcl/column/14/346926/110600093/

http://jp.reuters.com/article/topNews/idJPKCN0IU24020141110

ソニーピクチャーズにサイバー攻撃か、米メディアが報道 http://itpro.nikkeibp.co.jp/atcl/news/14/112602024/

http://www.symantec.com/connect/ja/blogs/hidden-lynx-2

http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000085.html

https://www.jpcert.or.jp/at/2014/at140044.html

http://www.asahi.com/articles/ASG7262K9G72UHBI01T.html

http://www.forest.impress.co.jp/docs/news/20140707_656766.html

露ハッカー集団が12億件の情報窃盗、史上最大の流出か米社発表

[Black Hat USA 2014 レポート]ファームウェア書き換えでUSBに機能追加

「Suicaポイントクラブ」756アカウントで不正ログイン、一部サービス停止中

中国ハッカー集団、米大手医療機構に侵入　個人情報大量流出

日産、公式サイトで第三者の不正アクセスにより一部のプログラムが改ざん

「PSN」を含むSony Entertainment NetworkのサービスにDDoS攻撃大規模接続障害が発生、個人情報の漏えいはなし

http://www.afpbb.com/articles/-/3022417

http://scan.netsecurity.ne.jp/article/2014/08/11/34665.html

http://www.epochtimes.jp/jp/2014/08/html/d44358.html

http://car.watch.impress.co.jp/docs/news/20140826_663720.html

米ホーム・デポ、国内のほぼ全店舗で顧客データ流出か

JR東日本サイトに不正ログイン

JALで情報流出、マイレージ会員情報など最大75万件の可能性も

UNIXとLinuxの「Bash」シェルに重大なセキュリティホール

佐川急便でも不正ログイン、運輸・物流業界でリスト型攻撃相次ぐ

リクルートHD／ポンパレモールに不正ログイン／被害件数は9,700件超に

http://jp.reuters.com/article/businessNews/idJPKBN0GZ03X20140904

http://www.bci.co.jp/netkeizai/general/2014/781.html

http://jp.reuters.com/article/worldNews/idJPKCN0JH0IO20141203

http://www.sankei.com/west/news/141210/wst1412100011-n1.html

DNSソフト開発元サイトがダウン、利用者にマルウェア検査を要請 http://www.itmedia.co.jp/enterprise/articles/1412/25/news108.html

米英情報機関：SIMカード世界最大手に不正侵入か

・SPEへの攻撃に関連し、NSAが2010年より北朝鮮内部を監視していたと報道。さらにNSAなどによる世界的なSIM情報窃取（ベンダは影響小と発表）やHDDファームへのマルウェア設置など、高度かつ対策困難な諜報活動（Equation Group）の実態が報道された。

・ISILを中心として、双方の攻撃が激化、米軍Twitter乗っ取り、NW紙サイト改ざん、ISILへのAnonymous宣戦布告やISILサイト改ざんが発生した。

・レノボ社PCプリインストールソフトに、暗号通信を阻害する脆弱性の指摘があり問題化した。・2020大会に向けNTTなどがパートナー選定されたほか、セキュリティ強化に向け業界全体が活発化した。内閣がインフラ事業者など48社に情報共有を要請するなどの国全体で強化の方向となった。

・POSを狙う高度なマルウェア「ポセイドン」が報告された。・米Githubへの大規模DDoS攻撃が発生した。

第4四半期

トピック日 URL

サイバー対策で情報共有　政府、48事業者に協力要請

“盗んだアドレス10億件超” 米で3人起訴

個人情報保護法改正案を閣議決定、個人情報の定義は骨子案を踏襲

特定標的サイバー攻撃 3倍以上に急増（警察庁 26年サイバー空間動向報告）

OSS検索システムの脆弱性を狙うサイバー攻撃が発生中

・ Shellshockを狙う攻撃、Winshock、SSL3.0の脆弱性（POODLE）発覚、ドメインに対する攻撃、ICANNやISC不正アクセスなど、インターネットやサーバのプラットフォームの問題が継続した。

・ソニーピクチャーズが大規模攻撃により業務停止となった。FBIは北朝鮮からの攻撃と発表したが、セキュリティ専門家からは疑義が投げかけられた。

・米国で大規模な情報漏えい（JPモルガン、米郵政公社、ステープルズなど）が継続した。・医療費通知を装う大規模攻撃が発生、遠隔操作ツールによる情報流出などが多発した。・USB仕様上の脆弱性を突いたBadUSBなど、従来の対策技術では対応困難な攻撃手法が報告された。・サイバーセキュリティ基本法成立、経産省個人情報取り扱いのガイドラインを改定した。・総務省主催第1回「実践的サイバー防御演習（CYDER）」が開催された。

第３四半期

「サイバーセキュリティ基本法」が成立、国の責務を明確化

ファームウェアを勝手に書き換える、USBの危険すぎる脆弱性「BadUSB」

米郵政公社にサイバー攻撃、職員80万人超の個人情報など流出の恐れ

トピック日

bashの脆弱性を抱えるNASへの攻撃、日本や韓国が標的に

JPモルガン・チェース顧客情報大量流出

SSL 3.0に深刻な脆弱性「POODLE」見つかる　Googleが対策を説明

セキュリティベンダの共同作戦で Hidden Lynx のマルウェアに打撃

「実践的サイバー防御演習（CYDER）」の実施

産業制御システムを狙うマルウェア、米ICS-CERTが注意呼び掛け

登録情報の不正書き換えによるドメイン名ハイジャックに関する注意喚起

トピック日 URL

中国でLINEが不通に　「政府の関与」指摘も

「Baidu IME」の自動アップデート機能で別ソフトがインストールされる障害が発生

Google、ゼロデイ攻撃を防止する「Project Zero」を発表

標的型サイバー攻撃に立ち向かう、IPAのサイバーレスキュー隊が正式発足

日本国内のオープンリゾルバを悪用するDDoS攻撃が発生 --DNSリフレクター攻撃とは異なる手法AndroidにID偽装の脆弱性が存在、アプリ特権を悪用可能に

【参考記事】

【参考記事】トピック日 URL

【参考記事】

イランのハッカー集団、航空・エネルギー会社など攻撃

ソニーのプレステネットワークにシステム障害、「Lizard Squad」の攻撃か

Facebookに新たなサイバー攻撃　日本語広告で偽企業サイト誘導　タグ付け機能使い拡散も　金銭や個人情報要注意

経産省、ベネッセ事件などを受けて個人情報ガイドライン改正

ICANNに不正アクセス、ユーザ情報が流出

GitHubに“史上最大”のDDoS攻撃、中国のネット検閲絡みか http://www.itmedia.co.jp/news/articles/1503/31/news047.html

POSシステムを狙う新手のマルウェア「ポセイドン」出現 http://www.itmedia.co.jp/news/articles/1503/26/news072.html

http://www.nikkei.com/article/DGXLASFS01H20_R00C15A3PE8000/

日本製「身代金要求型ウイルス」を初確認

スマホに「消せないメッセージ」注意を

サイバー攻撃で欧州の大手Bitcoin取引所閉鎖

米軍Twitterアカウントにハッキング、イスラム国支持集団の犯行か

NSA、北朝鮮のネットワークをソニー攻撃前から監視か --2010年より

26 http://www3.nhk.or.jp/news/html/20150126/k10014958851000.html

http://www.nikkei.com/article/DGXLASDG26HAF_S5A100C1CC1000/

http://www.nikkei.com/article/DGXMZO81660690X00C15A1000000/

http://www.icr.co.jp/newsletter/global_perspective/2015/Gpre2015002.html

不正広告の閲覧で自動感染させる攻撃も、「Flash Player」が18件の脆弱性を修正

サイバーセキュリティ戦略本部発足

ハッカー集団のAnonymous、ISIS攻撃を宣言

極めて高度なサイバー攻撃集団「Equation Group」、セキュリティ企業が報告

SSL通信を盗聴される恐れ、ノートPCに潜む「Superfish」の正体

21 http://mainichi.jp/select/news/20150221k0000e040213000c.html

http://www.kantei.go.jp/jp/97_abe/actions/201502/10cyber_security.html

http://itpro.nikkeibp.co.jp/atcl/column/14/346926/110600093/

http://jp.reuters.com/article/topNews/idJPKCN0IU24020141110

ソニーピクチャーズにサイバー攻撃か、米メディアが報道 http://itpro.nikkeibp.co.jp/atcl/news/14/112602024/

http://www.symantec.com/connect/ja/blogs/hidden-lynx-2

http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000085.html

https://www.jpcert.or.jp/at/2014/at140044.html

http://www.asahi.com/articles/ASG7262K9G72UHBI01T.html

http://www.forest.impress.co.jp/docs/news/20140707_656766.html

露ハッカー集団が12億件の情報窃盗、史上最大の流出か米社発表

[Black Hat USA 2014 レポート]ファームウェア書き換えでUSBに機能追加

「Suicaポイントクラブ」756アカウントで不正ログイン、一部サービス停止中

中国ハッカー集団、米大手医療機構に侵入　個人情報大量流出

日産、公式サイトで第三者の不正アクセスにより一部のプログラムが改ざん

「PSN」を含むSony Entertainment NetworkのサービスにDDoS攻撃大規模接続障害が発生、個人情報の漏えいはなし

http://www.afpbb.com/articles/-/3022417

http://scan.netsecurity.ne.jp/article/2014/08/11/34665.html

http://www.epochtimes.jp/jp/2014/08/html/d44358.html

http://car.watch.impress.co.jp/docs/news/20140826_663720.html

米ホーム・デポ、国内のほぼ全店舗で顧客データ流出か

JR東日本サイトに不正ログイン

JALで情報流出、マイレージ会員情報など最大75万件の可能性も

UNIXとLinuxの「Bash」シェルに重大なセキュリティホール

佐川急便でも不正ログイン、運輸・物流業界でリスト型攻撃相次ぐ

リクルートHD／ポンパレモールに不正ログイン／被害件数は9,700件超に

http://jp.reuters.com/article/businessNews/idJPKBN0GZ03X20140904

http://www.bci.co.jp/netkeizai/general/2014/781.html

http://jp.reuters.com/article/worldNews/idJPKCN0JH0IO20141203

http://www.sankei.com/west/news/141210/wst1412100011-n1.html

DNSソフト開発元サイトがダウン、利用者にマルウェア検査を要請 http://www.itmedia.co.jp/enterprise/articles/1412/25/news108.html

米英情報機関：SIMカード世界最大手に不正侵入か

IIJ-SECT

NTT-ME

2014年度の主なNTTグループのセキュリティ関連報道発表（インシデント、不具合、脆弱性対応）・2014年度は前年度に引き続きリスト型攻撃が多発、ISPをターゲットとするフィッシング攻撃も継続したほか、DNSへの攻撃によるサービス中断発生、IP-PBXを踏み台とした国際電話発信など、さまざまなサービスにおいてセキュリティ対策の重要性が増した年度だった。

・NTT持株が米国NCFTAへの加盟、NTTデータがサポートが終了しているApache Struts1向けのパッチ一般公開、 NTTコムが総務省主催「実践的サイバー防御演習」を全体統括、NTTナレッジ・スクウェアなどが情報セキュリティ大学院大学、NTTが早稲田大学と共同でセキュリティ人材教育に取り組むなど、NTTグループのセキュリティへの取り組みをアピールした年度でもあった。

2014/4/1

2014/4/8

2014/4/16

2014/4/18

2014/4/5

2014/4/15

2014/4/16

2014/4/28

2014/4/30

2014/5/7

2014/5/20

2014/5/22

2014/5/28

2014/5/29

2014/5/30

2014/6/25

2014/7/2

2014/7/18

2014/7/23

2014/9/9

2014/5/1

2014/5/14

2014/5/21

2014/5/23

2014/5/29

2014/5/30

2014/6/30

2014/7/18

2014/7/30

2014/9/30

2014/12/9

2015/2/12

2014/9/30

2014/10/21

2015/1/23

2015/3/11

NTTデータ

NTT東日本

NTT西日本

NTT東日本

NTTスマートコネクト

NTTコミュニケーションズ

NTTコミュニケーションズNTTコミュニケーションズ

NTT西日本

NTTデータ

NTTファイナンス

NTTぷらら

IIJmio(Twitter)

NTTぷらら

NTTドコモ

NTTデータ先端技術

http://www.ntt-west.co.jp/info/support/owabi20140401.html

http://web116.jp/ced/support/news/contents/2014/20140401.html

http://support.ntt.com/maintenance/service/87?maintenanceTroubleTab=trouble#70964_0

http://www.ocn.ne.jp/info/announce/2014/04/08_3.html

http://vps.nttsmc.com/news/20140415.html

https://sect.iij.ad.jp/d/2014/04/157355.html

http://www.ntt.com/aboutus/information/info_20140418.html

http://www.nttdata.com/jp/ja/news/information/2014/2014042801.html

http://www.dokodemobank.ne.jp/error.asp

http://www.ntt-finance.co.jp/news/140501.html

http://www.wakwak.com/file/information/507/507_20140507.pdf

http://www.ntt-card.com/news/20140514.shtml

http://www.ntt-east.co.jp/info/detail/140521_01.html

http://web.arena.ne.jp/support/news/2014/0522.html

http://www.nttdata.com/jp/ja/news/information/2014/2014052301.htmlhttp://flets.com/customer/const_h/t_detail?service=&id=HT00005705&acode=5&bcode=

http://www.plala.or.jp/support/network/kosyo/tokyo/?entry_id=153608http://www.plala.or.jp/support/network/kosyo/tokyo/?entry_id=153561http://www.plala.or.jp/support/network/kosyo/tokyo/?entry_id=153514

https://twitter.com/iijmio/statuses/472534269508591616

http://www.ntt.com/release/monthNEWS/detail/20140702.html

http://www.ntt-west.co.jp/info/support/hgw.html

https://www.nttdocomo.co.jp/info/notice/page/140909_00_m.html

http://www.intellilink.co.jp/article/column/oss-ex20140930.html

http://id.smt.docomo.ne.jp/src/utility/pc/notice_illegallogin.html

https://www.nttdocomo.co.jp/info/notice/pages/140930_00.htmlhttps://www.nttdocomo.co.jp/info/news_release/2014/09/30_03.htmlhttps://www.nttdocomo.co.jp/info/network/kanto/pages/141020_00_m.htmlhttps://www.nttdocomo.co.jp/info/notice/page/141209_00_m.html

http://www.nttsmc.com/info/h27/20150123.html

https://www.ntt-west.co.jp/info/support/owabi20150212.html

「Netcommunity SYSTEM αNX typeL」をご利用のお客さまへ

お客さま各位　「Netcommunity SYSTEM αNX typeL」をご利用のお客さまへ

工事・故障情報　Kakeibonがご利用できない状況について

「OCNモバイル ONEプリペイド」が全国のローソン一部店舗にてご購入できない事象について

OpenSSL脆弱性に関するご案内

Heartbleed bugによるサーバ設定の状況変化

Heartbleed bugによる秘密鍵漏えいの現実性について

OpenSSLの脆弱性（Heartbleed）への対応について

Apache S t r u t s 1（アパッチストラッツワン）の脆弱性対策向けにTERASOLUNA®Server Framework for Java用パッチを提供

Microsoft社から発表された「IEの脆弱性」について

MyLink IDパスワードの設定に関するお願い

【注意】WAKWAKメールアドレスに関する確認のお願いおよび特定メールアドレスへのメール送信不可事象についてのお知らせ

MyLinkサービスの再開および、ログイン認証の変更について

NTTデータを騙る不審なメールについて

弊社製ビジネスホンなどをご利用のお客さまへ

Movable Typeの利用に関する注意喚起

Apache Struts1（アパッチストラッツワン）の脆弱性に対応した無償版TERASOLUNA® Server Framework for Javaを公開

故障発生／回復のお知らせ（宮城県エリア全域）

【故障（復旧）】DNSサーバ

【故障（復旧）】ぷららフォンforフレッツ（ビジネス含）、M・IPフォン故障

【故障（復旧）】メールシステム

本日から配布されているiPad AirおよびiPad mini retinaのキャリアプロファイルのアップデートを適用後（ドコモ16.2）、インターネット共有（テザリング）が利用不可になったとの声をいただいており、また担当者の手元のiPad Airでも事象を確認しています（続く）　

動画サイト「YouTube」が夜間に閲覧しづらい事象について

【回復】動画サイト「YouTube」が夜間に閲覧しづらい事象について

新幹線内の公衆電話サービスにおける一部誤課金について

3月6日に発生したOCNメール故障を踏まえての再発防止策について

ひかり電話対応機器「PR-400NE/RV-440NE/RT-400NE」をご利用のお客さまへ

ひかり電話ルータ「PR-400NE/RV-440NE/RT-400NE」をご利用のお客さまへ

「思い出あんしん保管」お申し込み情報の一部インターネット上における閲覧可能な状態について

ポイントークおよびgooポイントの不正利用について

法人のお客さまの保守運用に係る管理情報の流出に関するお詫び

緊急コラム： bash 脆弱性（CVE-2014-6271）の影響範囲の調査方法について

docomo IDに対する不正ログインについて

docomo IDへの不正ログインに関するお知らせ

報道発表資料　docomo IDへの不正ログインに関するお知らせ

【回復】北海道にてご契約の一部のお客さまにおいて、ドコモの携帯電話がご利用しづらい状況について（2014年10月21日午前4時30分現在）ドコモからのお知らせ　「F2611」「M1000」「NM850iG」をご愛用のお客さまへのお知らせ

クラウドサービスにおける作業ミスによるデータ削除と再発防止について

お客さま情報の一時紛失に関するお詫びとお知らせ

お客さま情報の誤送信に関するお詫びとお知らせ

掲載元見出し URL掲載日

IIJ-SECT

NTT-ME

2014年度の主なNTTグループのセキュリティ関連報道発表（インシデント、不具合、脆弱性対応）・2014年度は前年度に引き続きリスト型攻撃が多発、ISPをターゲットとするフィッシング攻撃も継続したほか、DNSへの攻撃によるサービス中断発生、IP-PBXを踏み台とした国際電話発信など、さまざまなサービスにおいてセキュリティ対策の重要性が増した年度だった。

・NTT持株が米国NCFTAへの加盟、NTTデータがサポートが終了しているApache Struts1向けのパッチ一般公開、 NTTコムが総務省主催「実践的サイバー防御演習」を全体統括、NTTナレッジ・スクウェアなどが情報セキュリティ大学院大学、NTTが早稲田大学と共同でセキュリティ人材教育に取り組むなど、NTTグループのセキュリティへの取り組みをアピールした年度でもあった。

2014/4/1

2014/4/8

2014/4/16

2014/4/18

2014/4/5

2014/4/15

2014/4/16

2014/4/28

2014/4/30

2014/5/7

2014/5/20

2014/5/22

2014/5/28

2014/5/29

2014/5/30

2014/6/25

2014/7/2

2014/7/18

2014/7/23

2014/9/9

2014/5/1

2014/5/14

2014/5/21

2014/5/23

2014/5/29

2014/5/30

2014/6/30

2014/7/18

2014/7/30

2014/9/30

2014/12/9

2015/2/12

2014/9/30

2014/10/21

2015/1/23

2015/3/11

NTTデータ

NTT東日本

NTT西日本

NTT東日本

NTT西日本

NTTデータ

NTTファイナンス

NTTぷらら

IIJmio(Twitter)

NTTぷらら

NTTドコモ

http://web116.jp/ced/support/news/contents/2014/20140401.html

http://support.ntt.com/maintenance/service/87?maintenanceTroubleTab=trouble#70964_0

http://vps.nttsmc.com/news/20140415.html

http://www.dokodemobank.ne.jp/error.asp

http://www.ntt-finance.co.jp/news/140501.html

http://www.ntt-card.com/news/20140514.shtml

http://web.arena.ne.jp/support/news/2014/0522.html

http://www.nttdata.com/jp/ja/news/information/2014/2014052301.htmlhttp://flets.com/customer/const_h/t_detail?service=&id=HT00005705&acode=5&bcode=

https://twitter.com/iijmio/statuses/472534269508591616

http://www.ntt-west.co.jp/info/support/hgw.html

http://www.intellilink.co.jp/article/column/oss-ex20140930.html

http://id.smt.docomo.ne.jp/src/utility/pc/notice_illegallogin.html

https://www.nttdocomo.co.jp/info/notice/pages/140930_00.htmlhttps://www.nttdocomo.co.jp/info/news_release/2014/09/30_03.htmlhttps://www.nttdocomo.co.jp/info/network/kanto/pages/141020_00_m.htmlhttps://www.nttdocomo.co.jp/info/notice/page/141209_00_m.html

http://www.nttsmc.com/info/h27/20150123.html

https://www.ntt-west.co.jp/info/support/owabi20150212.html

「Netcommunity SYSTEM αNX typeL」をご利用のお客さまへ

お客さま各位　「Netcommunity SYSTEM αNX typeL」をご利用のお客さまへ

工事・故障情報　Kakeibonがご利用できない状況について

「OCNモバイル ONEプリペイド」が全国のローソン一部店舗にてご購入できない事象について

OpenSSL脆弱性に関するご案内

Heartbleed bugによるサーバ設定の状況変化

Heartbleed bugによる秘密鍵漏えいの現実性について

OpenSSLの脆弱性（Heartbleed）への対応について

Apache S t r u t s 1（アパッチストラッツワン）の脆弱性対策向けにTERASOLUNA®Server Framework for Java用パッチを提供

Microsoft社から発表された「IEの脆弱性」について

MyLink IDパスワードの設定に関するお願い

【注意】WAKWAKメールアドレスに関する確認のお願いおよび特定メールアドレスへのメール送信不可事象についてのお知らせ

MyLinkサービスの再開および、ログイン認証の変更について

NTTデータを騙る不審なメールについて

弊社製ビジネスホンなどをご利用のお客さまへ

Movable Typeの利用に関する注意喚起

Apache Struts1（アパッチストラッツワン）の脆弱性に対応した無償版TERASOLUNA® Server Framework for Javaを公開

故障発生／回復のお知らせ（宮城県エリア全域）

本日から配布されているiPad AirおよびiPad mini retinaのキャリアプロファイルのアップデートを適用後（ドコモ16.2）、インターネット共有（テザリング）が利用不可になったとの声をいただいており、また担当者の手元のiPad Airでも事象を確認しています（続く）　

動画サイト「YouTube」が夜間に閲覧しづらい事象について

【回復】動画サイト「YouTube」が夜間に閲覧しづらい事象について

新幹線内の公衆電話サービスにおける一部誤課金について

3月6日に発生したOCNメール故障を踏まえての再発防止策について

ひかり電話対応機器「PR-400NE/RV-440NE/RT-400NE」をご利用のお客さまへ

ひかり電話ルータ「PR-400NE/RV-440NE/RT-400NE」をご利用のお客さまへ

「思い出あんしん保管」お申し込み情報の一部インターネット上における閲覧可能な状態について

ポイントークおよびgooポイントの不正利用について

法人のお客さまの保守運用に係る管理情報の流出に関するお詫び

緊急コラム： bash 脆弱性（CVE-2014-6271）の影響範囲の調査方法について

docomo IDに対する不正ログインについて

docomo IDへの不正ログインに関するお知らせ

報道発表資料　docomo IDへの不正ログインに関するお知らせ

【回復】北海道にてご契約の一部のお客さまにおいて、ドコモの携帯電話がご利用しづらい状況について（2014年10月21日午前4時30分現在）ドコモからのお知らせ　「F2611」「M1000」「NM850iG」をご愛用のお客さまへのお知らせ

クラウドサービスにおける作業ミスによるデータ削除と再発防止について

お客さま情報の一時紛失に関するお詫びとお知らせ

お客さま情報の誤送信に関するお詫びとお知らせ

掲載元見出し URL掲載日

2014年度の主なNTTグループのセキュリティ関連報道発表（製品、サービス、取り組み）

NTT東日本

NTT西日本

NTTデータ

NTTソフトウェア

NTTドコモ・ベンチャーズ

NTTエレクトロニクス

WAKWAK

NTTコムウェア

NTTレゾナント

NTTデータ

NTTぷらら

NTTドコモ

NTTデータ

NTTドコモ

NTTドコモhttp://www.ntt.com/release/monthNEWS/detail/20140421.html

http://www.nttdata.com/jp/ja/news/release/2014/042401.html

http://www.nttdocomo-v.com/p1626/

https://www.ntts.co.jp/whatsnew/2014/140508.html

http://www.ntts.co.jp/whatsnew/2014/140513.html

http://www.iij.ad.jp/news/pressrelease/2014/pdf/IIRVol23.pdf

https://www.nttdocomo.co.jp/info/news_release/2014/06/10_00.html

http://www.nttcom.co.jp/news/pr14062501.html

http://flets-w.com/topics/android44/

http://www.ntt-west.co.jp/news/1406/140630b.html

http://www.ntt-east.co.jp/release/detail/20140630_04.html

http://pr.goo.ne.jp/detail/1835/

http://www.plala.or.jp/support/info/2014/0718/

http://www.ocn.ne.jp/info/announce/2014/07/18_1.htmlhttp://www.ntt.com/release/monthNEWS/detail/20140724.html

http://www.ntt.co.jp/topics/cautions/index.html

https://www.nttdocomo.co.jp/info/notice/pages/140725_00.htmlhttp://www.iij.ad.jp/news/pressrelease/2014/0822.html

http://www.ntt.com/release/monthNEWS/detail/20140908.htmlhttp://www.ocn.ne.jp/info/announce/2014/09/17_1.htmlhttp://www.ocn.ne.jp/info/announce/2014/09/18_1.htmlhttp://www.ntt.com/aboutus/information/info_20140929.html

http://www.ntt.com/release/monthNEWS/detail/20141002.htmlhttp://www.intellilink.co.jp/all/topics/20141008/nosidecloud.htmlhttp://www.nttdata.com/jp/ja/news/release/2014/101500.html

http://www.ntt.co.jp/topics/ncfta/index.html

http://www.ntt.co.jp/news2014/1411/141104a.html

https://flets-w.com/topics/antiphishing/

http://www.ocn.ne.jp/info/announce/2014/11/11_1.htmlhttp://www.iij.ad.jp/news/pressrelease/2014/1125.html

http://www.intellilink.co.jp/all/topics/20141210/lastline.html

http://www.ntt-electronics.com/new/information/2014/12/kizunasien-net.html

ブラウザ間のリアルタイム通信技術を活用したチャットサービス　「WebRTC Chat on SkyWay」のトライアル提供開始　～サーバに履歴を残さず、暗号化されたプライバシー性の高いコミュニケーションを実現～

高度化するサイバー犯罪の捜査技術向上に協力

報道発表資料　CertiVox Ltd.への出資について

体験型訓練機能で標的型攻撃メールへの対応力を向上！「CipherCraft(R)／Mail 標的型メール対策」の新バージョンを5月8日より販売～メールが受信されたあとでも、添付ファイルの閲覧を禁止できる！～機密情報を守るファイル共有ソリューション「WatchDox」、メールソフトと連携する新ラインナップを2014年5月13日より販売開始IIJ、インターネットの最新の技術動向・セキュリティ情報のレポート「Internet Infrastructure Review」Vol.23を発行

～企業の利用ニーズに合わせたセキュリティ強化とカスタマイズが可能～クラウド型データ連携サービスの新ラインナップ「SkyOnDemand Premium Edition」を6月10日より販売開始

報道発表資料　新たな小型認証デバイスを開発

「WideAngleマネージドセキュリティサービス」の総合ログ分析・リスク検知機能を強化し検知率を大幅に向上　～標的型攻撃を含む未知のセキュリティ脅威に対する検知率500％向上を実現～【注意】ネットバンキングおよびクレジットカード　ホームページ利用時におけるウイルス被害予防対策について

「FFRI Limosa」（MITB攻撃対策製品）の独占販売契約を締結し、阿波銀行が採用　～ネットバンキングの不正送金対策を強化～

「セキュリティ対策ツール for Android」におけるAndroid OS 4.4対応について

「光回線監視サービス」の提供開始について

防災関連情報が1つになった“防災ポータルアプリ”　「goo防災アプリ」リリースのお知らせ【重要】インターネットバンキングを通じた不正送金に関するマルウェア感染にご注意ください

インターネットバンキングにかかわるマルウェア感染者に対する注意喚起について

米国HfS社のクラウドサービス（IaaS）評価レポートにおいてNTTグループが最上位の「Winner’s Circle」評価を獲得

パソコン内の操作をすべて録画する防犯カメラ「iDoperation SC」を7月24日より販売開始

【ご注意下さい！】NTTのホームページを模倣したWebサイトにご注意ください

NTTドコモのコーポレートサイトを模倣したWebサイトにご注意ください

IIJ、インターネットの最新の技術動向・セキュリティ情報のレポート「Internet Infrastructure Review」Vol.24を発行

企業向けIP電話サービスアプリの利便性とセキュリティを強化　～「050 plus for Biz」と「Arcstar Smart PBX」のWeb電話帳オプションにメッセージ機能などを追加～

OCNメールの一部サービス（プロトコル）提供終了について

パソコンの遠隔操作によるプロバイダーの勧誘トラブルにご注意ください

【注意】第三者の不正アクセスによる国際電話接続にご注意ください

グローバル脅威情報レポート（日本語版）の公開

クラウドサービス利用時に求められるエンドポイントセキュリティを強化

標的型攻撃による被害を最小限に抑制し、速やかに安全な状態へ回復

自社サイトをサイバー攻撃の脅威から守る「TrustShelter」を11月4日から販売開始

総務省主催の「実践的サイバー防御演習（CYDER）」を実施～「サイバー攻撃複合防御モデル・実践演習の実証実験」の一環～

米国「NCFTA」へ加盟し、サイバー犯罪対応力の強化を推進

早稲田大学とNTTがサイバーセキュリティ人材育成に向けた寄附講座を設立～傑出した人材の発掘・育成を目指す～

スイスのセキュリティソリューション事業者 InfoTrust AGの株式取得について

報道発表資料　日本の情報セキュリティ分野の発展と人材育成のために、MOOCサイト「gacco（ガッコ）」で「情報セキュリティ『超』入門」講座を開講

フィッシングサイトにご注意ください！

OCNメールアドレス（OCN ID）のパスワード変更のお願いについて

IIJ、インターネットの最新の技術動向・セキュリティ情報のレポート「Internet Infrastructure Review」Vol.25を発行～USBメモリの煩雑な利用管理を効率化しつつ、情報漏えいを防ぐ～　「Crossway®／データブリッジ」を12月15日から予約受付開始

「WideAngleマネージドセキュリティサービス」において　リアルタイムマルウェア検知・防御を実現する新メニューを追加　～未知・未定義ウイルスの検知から分析・防御対策までを低価格で一元的に提供～

高精度マルウェア検知解析システムの利用による、標的型攻撃対策サービスを強化

日本独自のゼロデイ攻撃対策セキュリティサービス「Zero day Attack Protection」（仮称）を開発・提供　～NTTコミュニケーションズ、日本マイクロソフト、FFRIがサイバーセキュリティ基本法の成立を受け、セキュリティ対策サービスの開発・提供で協業～災害発生後の避難所での避難者の受け入れと情報共有を少ない手間で迅速化できる防災製品を発売

NTT東日本

NTTコムウェア

NTTネオメイト

WebARENA

NTTアイティ

NTTドコモ

WAKWAK

NTTドコモ

NTTレゾナント

NTTドコモ

http://www.ntt-west.co.jp/info/support/teiden.html

http://www.ntt-it.co.jp/press/2015/0113/

http://www.ntt.com/aboutus/information/info_20150120.htmlhttp://www.nttdata.com/jp/ja/news/release/2015/012200.html

https://www.nttdocomo.co.jp/mydocomo/info/page/150129_s01.html

http://www.ntt-neo.com/news/2015/150209.html

http://www.nttid.jp/

http://web.arena.ne.jp/support/news/2015/0304_2.htmlhttps://www.nttdocomo.co.jp/info/news_release/2015/03/06_00.html

http://www.ntt.co.jp/news2015/1503/150309b.html

http://pr.goo.ne.jp/corp/2015/10971/

http://www.ntt-east.co.jp/release/detail/20150310_02.htmlhttp://www.nttdata.com/jp/ja/news/release/2015/032300.htmlhttps://www.nttdocomo.co.jp/service/safety/number_check/index.html

停電に伴う通信サービスへの影響について

評判情報解析サービス「評Ban」に話題まとめ表示機能を新たに搭載　～類似クチコミをまとめてその日の話題の把握が容易に～

マイナンバーの安全かつ簡便な提供・登録に向けた実証実験を開始　～番号収集代行サービスにおける、電子収集技術の精度および使いやすさを検証～NTT Comはセキュリティアプライアンス世界1位のFortinetと協業しBizホスティング Enterprise Cloud およびWideAngleを強化～ソフトウェア型セキュリティアプライアンスとマネージドセキュリティサービス「WideAngle」を組み合わせ、通信事業者として世界で初めてワンストップ提供～

東京2020オリンピック・パラリンピック競技大会ゴールドパートナー（第1号）に決定

トークナイゼーションによるデータ保護技術でセールスフォースでのマイナンバー管理業務を簡易に実現！「TrustBind(R)/Tokenization」2015年4月1日より販売開始

不正なアクセス対策としての「2段階認証」ご利用のお願い

平常時にも災害時にも活用できる、デジタルサイネージを核としたスマートフォン向け情報共有サービスの実証実験を開始　～公衆無線LAN内・公衆無線LAN間の機器通信を、WebSocketとWebRTCを用いて実現～「AQStage 仮想スマートデバイス by remotium（リモティウム）」の提供開始について～remotium社製品を国内で初めてクラウドサービスとして提供～

NTT IDログインサービスの終了について

ドコモからのお知らせドコモメール（IMAP）「セキュリティパスワード」の提供開始について

企業向けマイナンバー管理ソリューションを提供開始　ー強固なセキュリティ対応を低コストでー

【お知らせ】SuitePRO コントロールパネル暗号化仕様変更について

海上保安庁と「災害時相互協力協定」を締結

災害・危機管理対策本部向け「危機管理情報マネジメント支援システム」を開発　～つぶやきを活用した「防災アプリ」や「可搬型バックアップ電源」もあわせて開発～

VECとNTTコミュニケーションズ、製造現場とクラウドをつなげた高セキュリティな「Industry4.1J」実証実験プロジェクトを開始　～IoTにおけるセキュリティ面の課題を解決する日本版「Industry4.0」で産業界での安全確保・効率化を加速～

メールサーバの一部認証方式廃止のお知らせ

「goo防災アプリ」、「goo地図」に全国の公衆電話設置場所を掲載開始～「goo防災アプリ」では災害時にオフラインでも閲覧可能に～「オフィスまるごとサポート　スマートデバイスマネジメント」の提供開始について～事業所や学習塾などで配備するモバイル端末などをクラウドで管理・制御～

ATM共同監視アウトソーシングサービスを提供開始～ファーストユーザとして岩手銀行が採用～

あんしんナンバーチェック

NTTコミュニケーションズと大林組、IoTを活用した作業員向け安全管理システムの実証実験を開始～クラウドとウェアラブルセンサー“hitoe”を活用して建設現場の安全管理を低コストに実現～

2014/4/21

2014/4/24

2014/5/8

2014/5/23

2014/6/10

2014/5/1

2014/5/13

2014/6/9

2014/6/18

2014/6/20

2014/6/30

2014/7/18

2014/7/24

2014/7/25

2014/8/22

2014/9/17

2014/9/29

2014/10/8

2014/10/16

2014/10/24

2014/11/4

2014/6/25

2014/6/30

2014/7/10

2014/7/18

2014/7/24

2014/7/25

2014/9/8

2014/9/18

2014/10/2

2014/10/15

2014/10/21

2014/11/4

2014/11/11

2014/11/25

2014/12/2

2015/12/18

2014/11/7

2014/11/11

2014/11/27

2015/12/10

2015/12/24

2014/12/26

2015/1/13

2015/1/22

2015/1/26

2015/1/29

2015/2/9

2015/3/3

2015/3/4

2015/3/9

2014/12/26

2015/1/20

2015/1/23

2015/1/27

2015/1/30

2015/3/2

2015/3/3

2015/3/6

2015/3/9

2015/3/10

2015/3/23

2015/3/9

2015/3/10

2015/3/23

2015/3/25

掲載元見出し掲載日 URL 掲載元見出し掲載日 URL

2014年度の主なNTTグループのセキュリティ関連報道発表（製品、サービス、取り組み）

NTT東日本

NTT西日本

NTTデータ

NTTドコモ・ベンチャーズ

NTTエレクトロニクス

WAKWAK

NTTコムウェア

NTTレゾナント

NTTデータ

NTTぷらら

NTTドコモ

NTTデータ

NTTドコモ

NTTドコモhttp://www.ntt.com/release/monthNEWS/detail/20140421.html

http://www.nttdata.com/jp/ja/news/release/2014/042401.html

http://www.nttdocomo-v.com/p1626/

http://www.iij.ad.jp/news/pressrelease/2014/pdf/IIRVol23.pdf

http://flets-w.com/topics/android44/

http://www.ntt-west.co.jp/news/1406/140630b.html

http://www.ntt-east.co.jp/release/detail/20140630_04.html

http://pr.goo.ne.jp/detail/1835/

http://www.plala.or.jp/support/info/2014/0718/

http://www.ocn.ne.jp/info/announce/2014/07/18_1.htmlhttp://www.ntt.com/release/monthNEWS/detail/20140724.html

http://www.ntt.co.jp/topics/cautions/index.html

https://www.nttdocomo.co.jp/info/notice/pages/140725_00.htmlhttp://www.iij.ad.jp/news/pressrelease/2014/0822.html

http://www.ntt.com/release/monthNEWS/detail/20140908.htmlhttp://www.ocn.ne.jp/info/announce/2014/09/17_1.htmlhttp://www.ocn.ne.jp/info/announce/2014/09/18_1.htmlhttp://www.ntt.com/aboutus/information/info_20140929.html

http://www.ntt.com/release/monthNEWS/detail/20141002.htmlhttp://www.intellilink.co.jp/all/topics/20141008/nosidecloud.htmlhttp://www.nttdata.com/jp/ja/news/release/2014/101500.html

http://www.ntt.co.jp/topics/ncfta/index.html

https://flets-w.com/topics/antiphishing/

http://www.ocn.ne.jp/info/announce/2014/11/11_1.htmlhttp://www.iij.ad.jp/news/pressrelease/2014/1125.html

http://www.intellilink.co.jp/all/topics/20141210/lastline.html

http://www.ntt-electronics.com/new/information/2014/12/kizunasien-net.html

ブラウザ間のリアルタイム通信技術を活用したチャットサービス　「WebRTC Chat on SkyWay」のトライアル提供開始　～サーバに履歴を残さず、暗号化されたプライバシー性の高いコミュニケーションを実現～

高度化するサイバー犯罪の捜査技術向上に協力

報道発表資料　CertiVox Ltd.への出資について

体験型訓練機能で標的型攻撃メールへの対応力を向上！「CipherCraft(R)／Mail 標的型メール対策」の新バージョンを5月8日より販売～メールが受信されたあとでも、添付ファイルの閲覧を禁止できる！～機密情報を守るファイル共有ソリューション「WatchDox」、メールソフトと連携する新ラインナップを2014年5月13日より販売開始IIJ、インターネットの最新の技術動向・セキュリティ情報のレポート「Internet Infrastructure Review」Vol.23を発行

～企業の利用ニーズに合わせたセキュリティ強化とカスタマイズが可能～クラウド型データ連携サービスの新ラインナップ「SkyOnDemand Premium Edition」を6月10日より販売開始

報道発表資料　新たな小型認証デバイスを開発

「WideAngleマネージドセキュリティサービス」の総合ログ分析・リスク検知機能を強化し検知率を大幅に向上　～標的型攻撃を含む未知のセキュリティ脅威に対する検知率500％向上を実現～【注意】ネットバンキングおよびクレジットカード　ホームページ利用時におけるウイルス被害予防対策について

「FFRI Limosa」（MITB攻撃対策製品）の独占販売契約を締結し、阿波銀行が採用　～ネットバンキングの不正送金対策を強化～

「セキュリティ対策ツール for Android」におけるAndroid OS 4.4対応について

「光回線監視サービス」の提供開始について

防災関連情報が1つになった“防災ポータルアプリ”　「goo防災アプリ」リリースのお知らせ【重要】インターネットバンキングを通じた不正送金に関するマルウェア感染にご注意ください

インターネットバンキングにかかわるマルウェア感染者に対する注意喚起について

米国HfS社のクラウドサービス（IaaS）評価レポートにおいてNTTグループが最上位の「Winner’s Circle」評価を獲得

パソコン内の操作をすべて録画する防犯カメラ「iDoperation SC」を7月24日より販売開始

【ご注意下さい！】NTTのホームページを模倣したWebサイトにご注意ください

NTTドコモのコーポレートサイトを模倣したWebサイトにご注意ください

IIJ、インターネットの最新の技術動向・セキュリティ情報のレポート「Internet Infrastructure Review」Vol.24を発行

企業向けIP電話サービスアプリの利便性とセキュリティを強化　～「050 plus for Biz」と「Arcstar Smart PBX」のWeb電話帳オプションにメッセージ機能などを追加～

OCNメールの一部サービス（プロトコル）提供終了について

パソコンの遠隔操作によるプロバイダーの勧誘トラブルにご注意ください

グローバル脅威情報レポート（日本語版）の公開

クラウドサービス利用時に求められるエンドポイントセキュリティを強化

標的型攻撃による被害を最小限に抑制し、速やかに安全な状態へ回復

自社サイトをサイバー攻撃の脅威から守る「TrustShelter」を11月4日から販売開始

総務省主催の「実践的サイバー防御演習（CYDER）」を実施～「サイバー攻撃複合防御モデル・実践演習の実証実験」の一環～

米国「NCFTA」へ加盟し、サイバー犯罪対応力の強化を推進

早稲田大学とNTTがサイバーセキュリティ人材育成に向けた寄附講座を設立～傑出した人材の発掘・育成を目指す～

スイスのセキュリティソリューション事業者 InfoTrust AGの株式取得について

報道発表資料　日本の情報セキュリティ分野の発展と人材育成のために、MOOCサイト「gacco（ガッコ）」で「情報セキュリティ『超』入門」講座を開講

フィッシングサイトにご注意ください！

OCNメールアドレス（OCN ID）のパスワード変更のお願いについて

IIJ、インターネットの最新の技術動向・セキュリティ情報のレポート「Internet Infrastructure Review」Vol.25を発行～USBメモリの煩雑な利用管理を効率化しつつ、情報漏えいを防ぐ～　「Crossway®／データブリッジ」を12月15日から予約受付開始

「WideAngleマネージドセキュリティサービス」において　リアルタイムマルウェア検知・防御を実現する新メニューを追加　～未知・未定義ウイルスの検知から分析・防御対策までを低価格で一元的に提供～

高精度マルウェア検知解析システムの利用による、標的型攻撃対策サービスを強化

日本独自のゼロデイ攻撃対策セキュリティサービス「Zero day Attack Protection」（仮称）を開発・提供　～NTTコミュニケーションズ、日本マイクロソフト、FFRIがサイバーセキュリティ基本法の成立を受け、セキュリティ対策サービスの開発・提供で協業～災害発生後の避難所での避難者の受け入れと情報共有を少ない手間で迅速化できる防災製品を発売

NTT東日本

NTTコムウェア

NTTネオメイト

WebARENA

NTTアイティ

NTTドコモ

WAKWAK

NTTドコモ

NTTレゾナント

NTTドコモ

http://www.ntt-west.co.jp/info/support/teiden.html

http://www.ntt-it.co.jp/press/2015/0113/

http://www.ntt.com/aboutus/information/info_20150120.htmlhttp://www.nttdata.com/jp/ja/news/release/2015/012200.html

https://www.nttdocomo.co.jp/mydocomo/info/page/150129_s01.html

http://www.ntt-neo.com/news/2015/150209.html

http://www.nttid.jp/

http://web.arena.ne.jp/support/news/2015/0304_2.htmlhttps://www.nttdocomo.co.jp/info/news_release/2015/03/06_00.html

http://www.ntt.co.jp/news2015/1503/150309b.html

http://pr.goo.ne.jp/corp/2015/10971/

http://www.ntt-east.co.jp/release/detail/20150310_02.htmlhttp://www.nttdata.com/jp/ja/news/release/2015/032300.htmlhttps://www.nttdocomo.co.jp/service/safety/number_check/index.html

停電に伴う通信サービスへの影響について

評判情報解析サービス「評Ban」に話題まとめ表示機能を新たに搭載　～類似クチコミをまとめてその日の話題の把握が容易に～

マイナンバーの安全かつ簡便な提供・登録に向けた実証実験を開始　～番号収集代行サービスにおける、電子収集技術の精度および使いやすさを検証～NTT Comはセキュリティアプライアンス世界1位のFortinetと協業しBizホスティング Enterprise Cloud およびWideAngleを強化～ソフトウェア型セキュリティアプライアンスとマネージドセキュリティサービス「WideAngle」を組み合わせ、通信事業者として世界で初めてワンストップ提供～

東京2020オリンピック・パラリンピック競技大会ゴールドパートナー（第1号）に決定

トークナイゼーションによるデータ保護技術でセールスフォースでのマイナンバー管理業務を簡易に実現！「TrustBind(R)/Tokenization」2015年4月1日より販売開始

不正なアクセス対策としての「2段階認証」ご利用のお願い

平常時にも災害時にも活用できる、デジタルサイネージを核としたスマートフォン向け情報共有サービスの実証実験を開始　～公衆無線LAN内・公衆無線LAN間の機器通信を、WebSocketとWebRTCを用いて実現～「AQStage 仮想スマートデバイス by remotium（リモティウム）」の提供開始について～remotium社製品を国内で初めてクラウドサービスとして提供～

NTT IDログインサービスの終了について

ドコモからのお知らせドコモメール（IMAP）「セキュリティパスワード」の提供開始について

企業向けマイナンバー管理ソリューションを提供開始　ー強固なセキュリティ対応を低コストでー

【お知らせ】SuitePRO コントロールパネル暗号化仕様変更について

海上保安庁と「災害時相互協力協定」を締結

災害・危機管理対策本部向け「危機管理情報マネジメント支援システム」を開発　～つぶやきを活用した「防災アプリ」や「可搬型バックアップ電源」もあわせて開発～

VECとNTTコミュニケーションズ、製造現場とクラウドをつなげた高セキュリティな「Industry4.1J」実証実験プロジェクトを開始　～IoTにおけるセキュリティ面の課題を解決する日本版「Industry4.0」で産業界での安全確保・効率化を加速～

メールサーバの一部認証方式廃止のお知らせ

「goo防災アプリ」、「goo地図」に全国の公衆電話設置場所を掲載開始～「goo防災アプリ」では災害時にオフラインでも閲覧可能に～「オフィスまるごとサポート　スマートデバイスマネジメント」の提供開始について～事業所や学習塾などで配備するモバイル端末などをクラウドで管理・制御～

ATM共同監視アウトソーシングサービスを提供開始～ファーストユーザとして岩手銀行が採用～

あんしんナンバーチェック

NTTコミュニケーションズと大林組、IoTを活用した作業員向け安全管理システムの実証実験を開始～クラウドとウェアラブルセンサー“hitoe”を活用して建設現場の安全管理を低コストに実現～

2014/4/21

2014/4/24

2014/5/8

2014/5/23

2014/6/10

2014/5/1

2014/5/13

2014/6/9

2014/6/18

2014/6/20

2014/6/30

2014/7/18

2014/7/24

2014/7/25

2014/8/22

2014/9/17

2014/9/29

2014/10/8

2014/10/16

2014/10/24

2014/11/4

2014/6/25

2014/6/30

2014/7/10

2014/7/18

2014/7/24

2014/7/25

2014/9/8

2014/9/18

2014/10/2

2014/10/15

2014/10/21

2014/11/4

2014/11/11

2014/11/25

2014/12/2

2015/12/18

2014/11/7

2014/11/11

2014/11/27

2015/12/10

2015/12/24

2014/12/26

2015/1/13

2015/1/22

2015/1/26

2015/1/29

2015/2/9

2015/3/3

2015/3/4

2015/3/9

2014/12/26

2015/1/20

2015/1/23

2015/1/27

2015/1/30

2015/3/2

2015/3/3

2015/3/6

2015/3/9

2015/3/10

2015/3/23

2015/3/9

2015/3/10

2015/3/23

2015/3/25

掲載元見出し掲載日 URL 掲載元見出し掲載日 URL

概要

背景

2014年度は深刻な脆弱性が多発した。特に話題になった脆弱性を紹介する。

❶ 深刻な脆弱性

●Heartbleed (OpenSSL)●Shellshock●POODLE●iOSの脆弱性（WireLurker、MasqueAttack）●CMSの脆弱性（Drupal、SoakSoak、CryptoPHP）●デバイスの脆弱性（MisfortuneCookie、Insecam）

・ソフトウェアのセキュリティホールである脆弱性はバグ同様必ず見つかるものである。・非常によく使われているソフトウェアで致命的な脆弱性が発見されるケースが増えている。・いきなりサイバー攻撃で使用されゼロデイとして認知されるものも多くなってきている。・公開直後に攻撃が開始されることもある。・モバイル端末のうちiOS端末は、脱獄（jailbreak）していなければ安全だと考えられていた。・従来脆弱性は善意による発見と報告のみであったが、近年ZDI（Zero Day Initiative）、ブラックマーケットに見られる　ように、発見した脆弱性に対して対価が支払われるようになってきた。・さらに2013年からは、MicroSoft、Google、FacebookなどのTech Giantsと呼ばれる大企業が自社の製品、サービス　の脆弱性の報告に対して褒賞金を支払うバグ褒賞プログラムを開始した。

Heartbleed（OpenSSL）

●Heartbleed脆弱性について

・2014年4月7日、OpenSSLがCVE-2014-0160（Heartbleed）の脆弱性を公表するとともに修正版であるOpenSSL 1.0.1gをリリースした。

・フィンランドのセキュリティ企業 Codenomicon社のエンジニアがこの脆弱性を発見したとのこと。

・この脆弱性は死活監視機能であるSSL Heartbeat機能の境界チェック処理の不備が原因で、システムのメモリ内の情報がリモートアクセスを行う第3者に漏れてしまうというもの。タイミングによっては重要な情報、さまざまな個人情報はもちろんのこと、秘密鍵も漏えいする可能性がある。

・対象はOpenSSL 1.0.1 ～ 1.0.1f、および1.0.2-beta ～1.0.2-beta1、各々それ以前の版はHeartbeat機能の実装がないため影響を受けない。

・英Netcraft社によると約50万台のWebサーバがこの脆弱性の影響を受けるとのこと。

●Heartbleed脆弱性対応について

・この脆弱性を突く攻撃は、通常のログに痕跡が残らない。また長期にわたって存在していた脆弱性であるため攻撃を受けたことを前提に対処する必要があった。

・サイト管理者による脆弱性への代表的な対策手順は以下の通り

　① OpenSSLの版を1.0.1gに上げる　② 秘密鍵を新たに作成する　③ サーバ証明書の新規取得　④ 古いサーバ証明書の失効　⑤ サイト利用者のID／パスワードの変更を促す・手順の①については、ほかにワークアラウンドとして

Heartbeat機能の停止、IPSによる攻撃パケットの遮断、ほか　のSSL実装に移行などがある。・この脆弱性をついた攻撃で話題となった件はカナダ歳入庁に

対して行われた攻撃で、カナダ人納税者900人のデータが盗まれたとのこと。カナダ歳入庁は脆弱性が明らかになった即日サーバを停止していたが、すでにデータは盗まれた後であったとのこと。なお、カナダ国家警察RCMPは2014年4月16日に19歳の学生をこの件で逮捕している。

●IPAのOpenSSL の脆弱性対策について参照：https://www.ipa.go.jp/security/ciadr/vul/20140408-openssl.html

●Heartbleed脆弱性を説明する漫画参照：http://www.f-secure.com/weblog/archives/00002696.html

2. 事案の分析本節では2014年度の重要なトピックとして、以下の6テーマについて分析を行う。

① 深刻な脆弱性② 大規模なサイバー攻撃と情報流出③ モバイルの安全性

④ プライバシーの扱い⑤ 各国の動き⑥ 新しい脅威

脆弱性

想定被害１

「OpenSSL」には、情報漏えいの脆弱性が存在します。脆弱性を悪用されることで、ウェブサイト内の情報が漏えいすることがあります。

漏えいした情報（秘密鍵）を悪用して、攻撃者は本物サイトと見分けがつかない偽サイトを作る可能性があります。偽サイトを通じて、パスワードがさらに漏えいすることがあります。

想定被害2

漏えいしたパスワードを悪用して、攻撃者は利用者になりすまして本物サイトにアクセスできます。サイトがショッピングサイトなどであれば、金銭被害の恐れもあります。

インターネットに繋がっていれば攻撃可能。

何度でも繰り返し攻撃できる。

通常の設定では、攻撃を受けてもログなどに残らない。

攻撃リクエスト

脆弱な「OpenSSL」が稼働している本物サイト

メモリ内データの一部が漏えい。・ウェブサイトの秘密鍵・正規利用者のIDやパワード・クレジットカード番号　…など

偽サイトを通じてパスワードを入手

突然、身に覚えのない請求を受ける。

ログイン後、商品の購入を指示、

本物サイトと全く見分けがつかない。

入手したパスワードを悪用してログイン。

ログインページ

攻撃者が用意した偽サイト

パスワード

購入指示

請求

パスワード

本物サイト

見分けがつかないため、偽サイトにログインし、攻撃者にパスワードが漏えいする。

攻撃者

正規利用者

概要

背景

2014年度は深刻な脆弱性が多発した。特に話題になった脆弱性を紹介する。

❶ 深刻な脆弱性

●Heartbleed (OpenSSL)●Shellshock●POODLE●iOSの脆弱性（WireLurker、MasqueAttack）●CMSの脆弱性（Drupal、SoakSoak、CryptoPHP）●デバイスの脆弱性（MisfortuneCookie、Insecam）

・ソフトウェアのセキュリティホールである脆弱性はバグ同様必ず見つかるものである。・非常によく使われているソフトウェアで致命的な脆弱性が発見されるケースが増えている。・いきなりサイバー攻撃で使用されゼロデイとして認知されるものも多くなってきている。・公開直後に攻撃が開始されることもある。・モバイル端末のうちiOS端末は、脱獄（jailbreak）していなければ安全だと考えられていた。・従来脆弱性は善意による発見と報告のみであったが、近年ZDI（Zero Day Initiative）、ブラックマーケットに見られる　ように、発見した脆弱性に対して対価が支払われるようになってきた。・さらに2013年からは、MicroSoft、Google、FacebookなどのTech Giantsと呼ばれる大企業が自社の製品、サービス　の脆弱性の報告に対して褒賞金を支払うバグ褒賞プログラムを開始した。

Heartbleed（OpenSSL）

●Heartbleed脆弱性について

・2014年4月7日、OpenSSLがCVE-2014-0160（Heartbleed）の脆弱性を公表するとともに修正版であるOpenSSL 1.0.1gをリリースした。

・フィンランドのセキュリティ企業 Codenomicon社のエンジニアがこの脆弱性を発見したとのこと。

・この脆弱性は死活監視機能であるSSL Heartbeat機能の境界チェック処理の不備が原因で、システムのメモリ内の情報がリモートアクセスを行う第3者に漏れてしまうというもの。タイミングによっては重要な情報、さまざまな個人情報はもちろんのこと、秘密鍵も漏えいする可能性がある。

・対象はOpenSSL 1.0.1 ～ 1.0.1f、および1.0.2-beta ～1.0.2-beta1、各々それ以前の版はHeartbeat機能の実装がないため影響を受けない。

・英Netcraft社によると約50万台のWebサーバがこの脆弱性の影響を受けるとのこと。

●Heartbleed脆弱性対応について

・この脆弱性を突く攻撃は、通常のログに痕跡が残らない。また長期にわたって存在していた脆弱性であるため攻撃を受けたことを前提に対処する必要があった。

・サイト管理者による脆弱性への代表的な対策手順は以下の通り

　① OpenSSLの版を1.0.1gに上げる　② 秘密鍵を新たに作成する　③ サーバ証明書の新規取得　④ 古いサーバ証明書の失効　⑤ サイト利用者のID／パスワードの変更を促す・手順の①については、ほかにワークアラウンドとして

Heartbeat機能の停止、IPSによる攻撃パケットの遮断、ほか　のSSL実装に移行などがある。・この脆弱性をついた攻撃で話題となった件はカナダ歳入庁に

対して行われた攻撃で、カナダ人納税者900人のデータが盗まれたとのこと。カナダ歳入庁は脆弱性が明らかになった即日サーバを停止していたが、すでにデータは盗まれた後であったとのこと。なお、カナダ国家警察RCMPは2014年4月16日に19歳の学生をこの件で逮捕している。

●IPAのOpenSSL の脆弱性対策について参照：https://www.ipa.go.jp/security/ciadr/vul/20140408-openssl.html

●Heartbleed脆弱性を説明する漫画参照：http://www.f-secure.com/weblog/archives/00002696.html

2. 事案の分析本節では2014年度の重要なトピックとして、以下の6テーマについて分析を行う。

① 深刻な脆弱性② 大規模なサイバー攻撃と情報流出③ モバイルの安全性

④ プライバシーの扱い⑤ 各国の動き⑥ 新しい脅威

脆弱性

想定被害１

「OpenSSL」には、情報漏えいの脆弱性が存在します。脆弱性を悪用されることで、ウェブサイト内の情報が漏えいすることがあります。

漏えいした情報（秘密鍵）を悪用して、攻撃者は本物サイトと見分けがつかない偽サイトを作る可能性があります。偽サイトを通じて、パスワードがさらに漏えいすることがあります。

想定被害2

漏えいしたパスワードを悪用して、攻撃者は利用者になりすまして本物サイトにアクセスできます。サイトがショッピングサイトなどであれば、金銭被害の恐れもあります。

インターネットに繋がっていれば攻撃可能。

何度でも繰り返し攻撃できる。

通常の設定では、攻撃を受けてもログなどに残らない。

脆弱な「OpenSSL」が稼働している本物サイト

メモリ内データの一部が漏えい。・ウェブサイトの秘密鍵・正規利用者のIDやパワード・クレジットカード番号　…など

偽サイトを通じてパスワードを入手

突然、身に覚えのない請求を受ける。

ログイン後、商品の購入を指示、

本物サイトと全く見分けがつかない。

入手したパスワードを悪用してログイン。

ログインページ

攻撃者が用意した偽サイト

パスワード

購入指示

請求

パスワード

本物サイト

見分けがつかないため、偽サイトにログインし、攻撃者にパスワードが漏えいする。

攻撃者

正規利用者

2. 事案の分析　－　❶ 深刻な脆弱性

●Heartbleed脆弱性のその他について　・この脆弱性に対する反応はすさまじく対応は一斉に始められ、CAビジネスのComodoには新しいサーバ証明書の申請が従来の10～ 12倍も来た。

・OpenSSLを含む製品を提供しているベンダも次々とアドバイザリとそれに続くパッチをリリースした。

・ブラウザでは、Heartbleedの脆弱性の有無が分かる拡張機能がすぐ用意された。・TorはHeartbleedに対して脆弱なExitノードのブラックリスト化を開始した。・モバイルAPへの影響についてもアドバイザリがリリースされた。・一方、一般ユーザも多くが関心を寄せることとなりパニック状態になることが懸念されたため、ENISAやSANSほか、多くのセキュリティ関連機関は一般ユーザ向けに具体的な対処を含めた解説を行うアドバイザリを発行した。

・英Netcraft社からの対応状況に関する2014年5月9日の報告によると、全体の43％がSSLサーバ証明書の再発行を行っているが、古い証明書を失効させ、新しい秘密鍵を使用しているのは全体の14％のみであったとのこと。

・今回の対策はパッチを充てるのみで十分というわけではない、対処手順が複雑な場合の対処は正しく行われるか確認する必要がある。

・なお、大規模パケット収集や政府からの秘密鍵公開要請などへの対策としてPFS（Perfect Forward Secrecy）の有効性が話題になっていたが、今回の脆弱性に起因した秘密鍵の漏えいのリスクに対する解としても再度注目を浴びることになり、大手のAPサービス提供者はPFSの採用を開始した。

●The Heartbleed Bugのロゴ参照：http://heartbleed.com/

●Shellshockの脆弱性について・2014年9月24日、脆弱性（CVE-2014-6271）がパッチとともに公開される。

・脆弱性はLinuxで使用するシェルの一つであるGNU bash（Bourne-Again Shell）において発見された。

・当脆弱性は環境変数の処理の脆弱性で、リモートから任意のコードが実行可能であるとのこと。

・多くのLinuxディストリビューションがデフォルトのシェルとして、GNU bashを使用している。

・Webサーバ上で動作するCGIプログラムや Linuxベースの組み込みシステムなど、さまざまなケースでbashシェルが利用されていることが想定される。

・非常に広い範囲に影響を及ぼす脆弱性であることが認識される。 ●Shellshockの脆弱性攻撃イメージ

参照：https://www.ipa.go.jp/security/ciadr/vul/20140926-bash.html

Shellshock

●脆弱性公開のタイムライン・2014年9月24日、脆弱性の公開に伴い、US-CERTから速報の注意喚起が発せられる。

・同日、リリースされたパッチが不十分であることが明らかになり、同日改めてCVE番号（CVE-2014-7169）が割り当てられる。

・2014年9月25日、US-CERTから改めてアラート（TA14- 268A）が発せられる。・同日、 JPCERT/CCからも国内向けに注意喚起が発せられる。・2014年9月26日、関連する脆弱性CVE-2014-7186領域外のメモリアクセスによる脆弱性、CVE-2014-7187境界条件の判定（off-by-one）による脆弱性が明らかになる。

・2014年9月27日、新たな関連する脆弱性（CVE-2014-6277 信頼できないポインタの参照、CVE-2014-6278環境変数の処理に関する脆弱性の修正漏れ）が報告される。

・2014年10月1日、PCI SSC（Payment Card Industry Security Standards Council）は、まだ小売店業界では攻撃が確認されていないが、ソフトウェアアップデートがリリースされたら速やかに適用することを小売店業界に推奨した。

・影響の有無の確認とパッチのリリースが迅速に進められた。一例として以下に記す。

●US-CERTのShellshock脆弱性についてのアラート「Alert（TA14-268A）」参照：https://www.us-cert.gov/ncas/alerts/TA14-268A

Apple OS Xでは、デフォルトでは安全である旨アナウンスした後、2014年9月29日bash脆弱性のためのパッチをリリースした。CISCO、2014年9月30日時点で脆弱な製品の特定を進めており、71製品が脆弱で38製品が影響を受けない、残り168製品については調査中とアナウンスした。Oracleでは、2014年9月30日時点で51製品が脆弱であることを確認しており、内9製品についてはパッチのリリースを行った。

●Shellshock脆弱性を狙った攻撃

・2014年9月26日、 Incapsula社からの報告ですぐに攻撃が開始されていることが明らかになる。・2014年9月29日、 Incapsula社からの追加報告では25日AM6時から同社のWAFは、4,115以上のドメインに対する217,089以上の攻撃を検知したとのこと、また29日には1時間に1,970攻撃にまで達したとのこと、攻撃の内訳は、　スキャニングが全体の68.27％、リモートアクセスの試みが18.37％、マルウェア感染（DDoS用のBotにする）16.64％であったとのこと。

・FireEye社が2014年9月28日に投稿したブログポストによると同社が確認した攻撃は、Reverse Shell接続を試みるPerl Scriptを用いるもの、DDo Sクライアントおよびバックドア機能を持つTsunami/Kaitenを用いるもの、IRC経由で不正サイトに接続するPerl.Shellbotなど多岐にわたるとのこと。

・その他トレンドマイクロからは、2014年9月26日にこの脆弱性を利用するマルウェア検体（ELF_BASHWOOP.A）に関する情報が公開され、またクライアント端末、サーバ、IoTごとの想定される攻撃シナリオなども公開された。

・2014年10月1日のFireEyeからのブログによると、NASへの攻撃が確認されたとのこと。

・DHCPサーバを通じた攻撃などのほかの攻撃方法についての可能性も示唆された。

・2014年10月24日のSANS ISCのブログによると、SMTPへの攻撃が確認されたとのこと。

●Shellshock脆弱性への攻撃内容内訳参照：http://www.incapsula.com/blog/shellshock-　　　bash-vulnerability-aftermath.html

Scanners Reflected DDoS Shells DDoS Malware IRC Bots

68.27%

12.64%

18.37%

脆弱性「bash」には、環境変数の処理に問題があり、任意のOSコマンドが実行される脆弱性が存在します。

想定される攻撃例

CGI経由でOSコマンドを実行するウェブアプリケーションが動作している場合、遠隔から任意のOSコマンドを実行される可能性があります。

1　リクエストを送信 2　ウェブアプリケーションがCGI経由で　　予め決められたOSコマンドを実行

脆弱な「bash」を含むウェブサーバ

３　OSコマンドが「bash」により実行さ　れた際に、攻撃リクエストに含まれた OSコマンドも実行してしまう

攻撃者が指定したOSコマンドが実行された結果、ウェブサーバの動作権限の範囲で・情報の搾取・ファイルの作成、編集、削除・ウェブサーバへの過負荷によるパフォーマンス低下　　　　　　　　　　　　　　　　　　　　　　　…などの被害が発生する可能性

攻撃者

●Heartbleed脆弱性のその他について　・この脆弱性に対する反応はすさまじく対応は一斉に始められ、CAビジネスのComodoには新しいサーバ証明書の申請が従来の10～ 12倍も来た。

・OpenSSLを含む製品を提供しているベンダも次々とアドバイザリとそれに続くパッチをリリースした。

・ブラウザでは、Heartbleedの脆弱性の有無が分かる拡張機能がすぐ用意された。・TorはHeartbleedに対して脆弱なExitノードのブラックリスト化を開始した。・モバイルAPへの影響についてもアドバイザリがリリースされた。・一方、一般ユーザも多くが関心を寄せることとなりパニック状態になることが懸念されたため、ENISAやSANSほか、多くのセキュリティ関連機関は一般ユーザ向けに具体的な対処を含めた解説を行うアドバイザリを発行した。

・英Netcraft社からの対応状況に関する2014年5月9日の報告によると、全体の43％がSSLサーバ証明書の再発行を行っているが、古い証明書を失効させ、新しい秘密鍵を使用しているのは全体の14％のみであったとのこと。

・今回の対策はパッチを充てるのみで十分というわけではない、対処手順が複雑な場合の対処は正しく行われるか確認する必要がある。

・なお、大規模パケット収集や政府からの秘密鍵公開要請などへの対策としてPFS（Perfect Forward Secrecy）の有効性が話題になっていたが、今回の脆弱性に起因した秘密鍵の漏えいのリスクに対する解としても再度注目を浴びることになり、大手のAPサービス提供者はPFSの採用を開始した。

●The Heartbleed Bugのロゴ参照：http://heartbleed.com/

●Shellshockの脆弱性について・2014年9月24日、脆弱性（CVE-2014-6271）がパッチとともに公開される。

・脆弱性はLinuxで使用するシェルの一つであるGNU bash（Bourne-Again Shell）において発見された。

・当脆弱性は環境変数の処理の脆弱性で、リモートから任意のコードが実行可能であるとのこと。

・多くのLinuxディストリビューションがデフォルトのシェルとして、GNU bashを使用している。

・Webサーバ上で動作するCGIプログラムや Linuxベースの組み込みシステムなど、さまざまなケースでbashシェルが利用されていることが想定される。

・非常に広い範囲に影響を及ぼす脆弱性であることが認識される。 ●Shellshockの脆弱性攻撃イメージ

参照：https://www.ipa.go.jp/security/ciadr/vul/20140926-bash.html

Shellshock

●脆弱性公開のタイムライン・2014年9月24日、脆弱性の公開に伴い、US-CERTから速報の注意喚起が発せられる。

・同日、リリースされたパッチが不十分であることが明らかになり、同日改めてCVE番号（CVE-2014-7169）が割り当てられる。

・2014年9月25日、US-CERTから改めてアラート（TA14- 268A）が発せられる。・同日、 JPCERT/CCからも国内向けに注意喚起が発せられる。・2014年9月26日、関連する脆弱性CVE-2014-7186領域外のメモリアクセスによる脆弱性、CVE-2014-7187境界条件の判定（off-by-one）による脆弱性が明らかになる。

・2014年9月27日、新たな関連する脆弱性（CVE-2014-6277 信頼できないポインタの参照、CVE-2014-6278環境変数の処理に関する脆弱性の修正漏れ）が報告される。

・2014年10月1日、PCI SSC（Payment Card Industry Security Standards Council）は、まだ小売店業界では攻撃が確認されていないが、ソフトウェアアップデートがリリースされたら速やかに適用することを小売店業界に推奨した。

・影響の有無の確認とパッチのリリースが迅速に進められた。一例として以下に記す。

●US-CERTのShellshock脆弱性についてのアラート「Alert（TA14-268A）」参照：https://www.us-cert.gov/ncas/alerts/TA14-268A

Apple OS Xでは、デフォルトでは安全である旨アナウンスした後、2014年9月29日bash脆弱性のためのパッチをリリースした。CISCO、2014年9月30日時点で脆弱な製品の特定を進めており、71製品が脆弱で38製品が影響を受けない、残り168製品については調査中とアナウンスした。Oracleでは、2014年9月30日時点で51製品が脆弱であることを確認しており、内9製品についてはパッチのリリースを行った。

●Shellshock脆弱性を狙った攻撃

・2014年9月26日、 Incapsula社からの報告ですぐに攻撃が開始されていることが明らかになる。・2014年9月29日、 Incapsula社からの追加報告では25日AM6時から同社のWAFは、4,115以上のドメインに対する217,089以上の攻撃を検知したとのこと、また29日には1時間に1,970攻撃にまで達したとのこと、攻撃の内訳は、　スキャニングが全体の68.27％、リモートアクセスの試みが18.37％、マルウェア感染（DDoS用のBotにする）16.64％であったとのこと。

・FireEye社が2014年9月28日に投稿したブログポストによると同社が確認した攻撃は、Reverse Shell接続を試みるPerl Scriptを用いるもの、DDo Sクライアントおよびバックドア機能を持つTsunami/Kaitenを用いるもの、IRC経由で不正サイトに接続するPerl.Shellbotなど多岐にわたるとのこと。

・その他トレンドマイクロからは、2014年9月26日にこの脆弱性を利用するマルウェア検体（ELF_BASHWOOP.A）に関する情報が公開され、またクライアント端末、サーバ、IoTごとの想定される攻撃シナリオなども公開された。

・2014年10月1日のFireEyeからのブログによると、NASへの攻撃が確認されたとのこと。

・DHCPサーバを通じた攻撃などのほかの攻撃方法についての可能性も示唆された。

・2014年10月24日のSANS ISCのブログによると、SMTPへの攻撃が確認されたとのこと。

●Shellshock脆弱性への攻撃内容内訳参照：http://www.incapsula.com/blog/shellshock-　　　bash-vulnerability-aftermath.html

Scanners Reflected DDoS Shells DDoS Malware IRC Bots

68.27%

12.64%

18.37%

脆弱性「bash」には、環境変数の処理に問題があり、任意のOSコマンドが実行される脆弱性が存在します。

想定される攻撃例

CGI経由でOSコマンドを実行するウェブアプリケーションが動作している場合、遠隔から任意のOSコマンドを実行される可能性があります。

1　リクエストを送信 2　ウェブアプリケーションがCGI経由で　　予め決められたOSコマンドを実行

脆弱な「bash」を含むウェブサーバ

３　OSコマンドが「bash」により実行さ　れた際に、攻撃リクエストに含まれた OSコマンドも実行してしまう

攻撃者が指定したOSコマンドが実行された結果、ウェブサーバの動作権限の範囲で・情報の搾取・ファイルの作成、編集、削除・ウェブサーバへの過負荷によるパフォーマンス低下　　　　　　　　　　　　　　　　　　　　　　　…などの被害が発生する可能性

攻撃者

●SSL/TLSのバージョンダウングレード参照：http://blog.trendmicro.co.jp/archives/10112

●POODLEの脆弱性について・SSLv3は1995年に発表された古いプロトコルであるが、サービスやブラウザなどでサポートされ続けていた。

・POODLE/SSLの脆弱性（CVE-2014 -3566）SSLv3の脆弱性がGoogleの研究者Bodo Möller、Thai Duong、Krzysztof Kotowiczにより、2014年10月14日に明らかにされた。 SSLv3はCBCモードの暗号でデータのパディングを検証しないため、攻撃者がパディング部分を操作することで暗号通信を平文化する情報を入手することが可能になる。推奨される対策はSSLv3を利用禁止にすることである。

・POODLE/TLSの脆弱性（CVE-2014-8730）セキュリティ研究者アダム・ラングリー氏が2014年12月8日のブログで指摘した。TLSではパディング処理の改善が行われたが、内部でSSLv3のコードを利用しているなど脆弱な実装を行っているプロダクトでは暗号通信を解読する攻撃が可能になる。

●POODLE対応に関するサービスおよびプロダクト動向・CloudFlare社は、2014年10月15日、同社が提供するCDNサーバの初期設定でSSLv3を禁止している。同社によると、HTTPSアクセスのうちたった0.65％がSSLv3であり、SSLv3の禁止が過剰な対応ではないとしている。

・Twitterは、2014年10月15日に同社サービスでSSL 3.0のサポートを即座に終了した。・Mozillaは、SSLv3を無効化するアドオンを出した。また2014年12月1日リリースしたFirefox 34では標準でSSLv3を禁止した。

・CDNのAkamaiは、SSLｖ3の撤廃を加速させることを明らかにした（10月末当時90％）。・Googleは、2014年10月30日に、数カ月以内に同社のクライアントプロダクトからSSLv3のサポートをやめると発表した。その後、2014年11月18日にはChrome39のリリースでデフォルトでSSLv3へのフォールバック機能を無効にした。またChrome40ではSSLv3そのものを無効にすることを明らかにした。

・Torブラウザは、2014年10月15日リリースの4.0で、POODLE攻撃を防ぐためにSSL3を無効化した。・Appleでは、2014年10月20日リリースのiOS8.1にて、POODLE脆弱性の対応がなされた。・Microsoftが2014年10月29日にPOODLE対策のFixItを公開した。またWindows XPについてはIE6がSSLv3にしか対応しておらず、永遠に脆弱のままである。

・Qualys社は、SSLサーバテストのフリーツールを提供しており、ドメイン名を入力することで自分のサイトが脆弱かどうか確認できた。

・2014年12月9日時点で、Bank of America、VMware、米国退役軍人省、AccentureなどのWebサイトがCVE-2014-8730の影響を受けることが明らかになった。

・2014年12月9日で、TLSコネクションを扱うF5 Networks社と A10 Networks 社のロードバランサがCVE-2014-8730について脆弱であるとのことが明らかになった。修正パッチは提供済みであった。

●その他のリスク・公衆Wi-Fiでの利用について、スターバックスのような無料Wi-Fiなどで利用者がSSLv3で通信をする場合、Twitterや

Googleサービスのセッションを同一ネットワークにいる攻撃者に乗っ取られる危険がある。攻撃者のPOODLE攻撃が成功すれば利用者の暗号通信を解読することができる。まだSSLv3を使っている脆弱な利用者は公衆Wi-Fiを使ってはならない。SSLv3は古いが依然としてブラウザやWebサーバで利用可能となっている。

●POODLE/SSLの対策・サーバ側でSSLｖ3を禁止する。サーバ側で

SSLv3を禁止することにより、脆弱性を突いた攻撃を受けないようにする。

・クライアント側でSSLv3を禁止する。ブラウザのSSLv3利用を無効にすることにより、脆弱性を突いた攻撃を受けないようにする。

・POODLE/SSL脆弱性に対する攻撃方法と対策としてのTLS_FALLBACK_SCSV。サーバ・クライアント間の暗号通信でエラーが起こった場合、暗号プロトコルのバージョンを下げて暗号通信を再試行して接続する仕組みがある。これにより、SSLv3より上位の暗号プロトコルを使用しているサイトに対しても強制的にSSLv3プロトコルを指定し攻撃を行うことが可能となる。TLS_FALLBACK_SCSVを実装することで再試行をサーバが許可することを防ぎ、通信が強制的にSSLv3になることを防ぐことができる。

POODLE

クライアント側のリクエスト中間者攻撃 Webサーバ側の応答

問題 SSL 3.0プロトコルには、通信の一部が第三者に解読可能な脆弱性が存在します。脆弱性を悪用された場合、暗号通信の内容の一部が漏えいする可能性があります。

２　悪意有るスクリプトなどを挿入

ウェブサイト（SSL 3.0を使用）

利用者（SSL 3.0を使用）暗号通信による保護

盗聴

通信経路上の攻撃者

1　中間者攻撃を行う

5　脆弱性により、暗号通信の　一部を復号される

4　継続的な盗聴を行う

3　大量通信を発生させる

●POODLEの脆弱性攻撃イメージ参照：https://www.ipa.go.jp/security/announce/20141017-ssl.html