2020年11月に起こったセキュリティニュースのアレコレをまとめてみた。

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

いよいよ12月、今年も残り1ヶ月です。

ふとこの1年の自分を振り返ってみたんですが、正直色々ありすぎたなぁという語彙力もへったくれもない感想になってしまいました。（ごめんなさい）

来年は少しでも良い年になってほしいなと願うばかりです。

では前月のまとめです。

脆弱性のアレコレ
- Oracle WebLogic Serverに脆弱性
- Fortinet社製FortiOSのSSL VPN機能に脆弱性
不審なメールや偽サイトのアレコレ
- 不審な偽サイト（フィッシングサイト）情報
注意喚起やニュースのアレコレ
セキュリティレポートやブログのアレコレ

脆弱性のアレコレ

Oracle WebLogic Serverに脆弱性

【概要】
Oracle WebLogic Serverに脆弱性が存在し、リモートから第三者によって任意のコードを実行される可能性がある。

【CVE番号】
CVE-2020-14750

【対象】
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0

【対策】
・修正プログラムの適用
Oracle Security Alert - CVE-2020-14750

【参考情報】
Oracle WebLogic Server の脆弱性対策について（CVE-2020-14750）：IPA 独立行政法人情報処理推進機構
 WebLogic Serverに緊急の脆弱性、すぐにアップデートの適用を | マイナビニュース
 Oracle WebLogic Serverにリモートコード実行の脆弱性、修正パッチ公開 | マイナビニュース

【参考Tweet】

SANSによればWebLogicハニーポットによる観測で、
CVE-2020-14882、CVE-2020-14750に絡んでマイニングツールのインストールの試みを観測していたが、難読化されたCobaltStrikeダウンロードキャンペーンも。 https://t.co/0jNw7nLXKT
— かお㌠ (@ka0com) 2020年11月4日

Fortinet社製FortiOSのSSL VPN機能に脆弱性

【概要】
※本脆弱性は2019年5月に公開されておりますが影響を鑑み再掲です
Fortinet社製FortiOSのSSL VPN機能に脆弱性が存在し、リモートから第三者によって任意のファイルと読み込まれる可能性がある。既に本脆弱性の影響を受けるホスト一覧が公開されている。

【CVE番号】
CVE-2018-13379

【対象】
FortiOS 6.0.0 から 6.0.4 までのバージョン
FortiOS 5.6.3 から 5.6.7 までのバージョン
FortiOS 5.4.6 から 5.4.12 までのバージョン

【対策】
・当該製品を脆弱性の影響を受けないバージョンにアップデートする
・SSL-VPN の認証に多要素認証を導入する

【参考情報】
Fortinet 社製 FortiOS の SSL VPN 機能の脆弱性 (CVE-2018-13379) の影響を受けるホストに関する情報の公開について
 【セキュリティニュース】Fortinet製VPN使う脆弱なホスト情報が公開 - 平文パスワードなども（1ページ目 / 全2ページ）：Security NEXT

【参考Tweet】

Fortinet製SSL-VPNの脆弱性（CVE-2018-13379）を利用した攻撃結果のリストがリークされていますが、そのリストに掲載されているIPアドレスから国を判別してグラフにしてみたところJPは全体の11%ほどでした。 pic.twitter.com/sKC3qxIDH1
— 辻伸弘 (nobuhiro tsuji) (@ntsuji) 2020年11月28日

CyberNewsFlash「Fortinet 社製 FortiOS の SSL VPN 機能の脆弱性 (CVE-2018-13379) の影響を受けるホストに関する情報の公開について」を公開。攻撃の被害を受けないための対策や侵害の有無確認などを実施することを推奨します。^YK https://t.co/hozgXYRiul
— JPCERTコーディネーションセンター (@jpcert) 2020年11月27日

不審なメールや偽サイトのアレコレ

不審な偽サイト（フィッシングサイト）情報

2020年11月にフィッシングサイト対策協議会で報告された情報は以下のとおり

※（）は報告日時
Amazon をかたるフィッシング (2020/11/27)
国税庁をかたるフィッシング (2020/11/20)
ポケットカードをかたるフィッシング (2020/11/20)
アプラスをかたるフィッシング (2020/11/16)
UCS カードをかたるフィッシング (2020/11/09)

注意喚起やニュースのアレコレ

カプコンが不正アクセスを受け情報流出

【概要】
カプコンがっ標的型ランサムウェア（オーダーメイド型ランサムウェア）による不正アクセスを受け個人情報や企業情報等が流出

【参考情報】
不正アクセスによる情報流出に関するお知らせとお詫び | 株式会社カプコン
不正アクセスによる情報流出に関するお詫び（PDF）
http://www.capcom.co.jp/ir/info/pdf/exannounce01.pdf
セキュリティ - ITmedia NEWS
カプコンに不正アクセスメールシステムやファイルサーバのアクセスに障害 - ITmedia NEWS
カプコン、最大35万件の個人情報が流出した恐れ 11月2日の不正アクセスで - ITmedia NEWS
カプコン、不採用者の応募書類を破棄せず採用ページには「責任を持って破棄」と記載も、サイバー攻撃で情報流出の可能性 - ITmedia NEWS
カプコンは氷山の一角狙われる日本企業、ダークネットで流出情報の取引も - ITmedia NEWS
カプコン脅迫、発表資料は正直すぎ？専門家が読み解く：朝日新聞デジタル
 機密が闇サイトに、カプコン被害の衝撃「被害さらに…」：朝日新聞デジタル
 カプコンの大規模リークにより「ストリートファイター6」や「ドラゴンズドグマ2」などが開発中であることが明らかに - GIGAZINE
カプコンが不正アクセス攻撃を受け最大35万件の個人情報が漏洩した可能性、今後発表予定のゲームタイトルに関する情報なども漏洩か - GIGAZINE
企業名を名指しで脅迫する「Ragnar Locker」ランサムウェアの解析 | 調査研究/ブログ | 三井物産セキュアディレクション株式会社
 不正アクセスで発生したカプコンの社内システム障害についてまとめてみた - piyolog

【参考Tweet】

不正アクセスで発生したカプコンの社内システム障害についてまとめてみた - piyolog https://t.co/2gFbmcdakr
"2020年11月4日、カプコンは第三者からの不正アクセスにより社内システムの一部に障害が発生したと発表しました。ここでは関連する情報をまとめます"
— ねこさん⚡(ΦωΦ) (@catnap707) 2020年11月9日

慶応大SFCが不正アクセスを受け情報流出

【概要】
慶応大SFCの学内システムが不正アクセスを受け約3万件の情報が流出

【参考情報】
SFC-CNSおよびSFC-SFSへの不正アクセスによる個人情報漏洩について（お詫び） | 慶應義塾大学湘南藤沢キャンパス（SFC）
SFC-SFS不正アクセスによる個人情報漏洩お詫び（PDF）
https://www.sfc.keio.ac.jp/doc/df8e80e0da5060b204d0ae01f6e9695989fd9059.pdf
慶大SFCに不正アクセス、学生顔写真など11種類のデータが漏えいか - ZDNet Japan
慶応SFC、3万件以上の個人情報流出か学生の顔写真など被害に 10月発表の不正アクセスで - ITmedia NEWS

【参考Tweet】

『「重大なトラブル」によりSFC-SFSを停止。「このトラブルにより利用者のアカウント情報が漏洩した可能性があります」として利用者にパスワードの変更を求めた。』

慶應SFCで授業システムに「重大なトラブル」秋学期開始が1週遅れの「異常事態」 https://t.co/FXMVz9i0VA
— Autumn Good (@autumn_good_35) 2020年10月1日

8月下旬-9月にかけ慶大内サーバーに学外から不正アクセス🔥
①湘南藤沢キャンパスの情報ネットワークと授業支援システム、経営管理研究科Webサーバーから個人情報流出可能性
②他多数サーバーも不正アクセス被害(個人情報流出確認されず)
③SFC被害は情報NW ID/PW窃取と授業支援システム脆弱性悪用原因 https://t.co/XxaMoPwbJJ
— piyokango (@piyokango) 2020年11月10日

政府がパスワード付きzipファイル（PPAP）を廃止する方針を発表

【概要】
政府がパスワード付きzipファイル（PPAP）を廃止する方針を発表し、内閣府と内閣官房では脱運用を開始
※PPAPとは、
・Passwordつきzip暗号化ファイルを送ります
・Passwordを送ります
・Aん号化（暗号化）
・Protocol
の頭文字をとって命名された造語

【参考情報】
内閣府と内閣官房で脱“パスワード付きZIP”運用を開始ファイル送信は内閣府のストレージサービス活用 - ITmedia NEWS
ピコ太郎？パスワード付きZIPメール、なぜ「PPAP」と呼ばれるの？ - ITmedia NEWS
パスワード付きzip、内閣府と内閣官房で26日から廃止へ外部ストレージサービス活用平井デジタル相 - ITmedia NEWS
“PPAP”の代替手段は「アイデアボックス」で募集へ平井デジタル相 - ITmedia NEWS
“Pマーク”認証団体が見解パスワード付きファイルのメール送信は「以前から推奨していない」 - ITmedia NEWS
政府の「アイデアボックス」投稿をTwitterで共有「パスワードZIP全廃」に危機感抱いた個人が開発 - ITmedia NEWS
霞が関でパスワード付きzipファイルを廃止へ平井デジタル相 - ITmedia NEWS
【セキュリティニュース】政府、脱「暗号化zipファイル」検討へ - 意見募集で最多支持（1ページ目 / 全2ページ）：Security NEXT

【参考Tweet】

政府が「添付ファイルのパスワードつきZIP(通称PPAP)」を廃止する方針を打ち出しました。
なぜPPAPを廃止すべきなのか、PPAPに代わってどんな対策が考えられるのか。IIJのメールサービス担当がご紹介します。
パスワード付き (暗号化) ZIP廃止の考え方と対策https://t.co/ISKsviuthu
— 堂前@IIJ (@IIJ_doumae) 2020年11月30日

単に暗号化されていないことがzip化の理由なら何もしないほうがマシ
ちゃんと相手に届くことを保証したいならクラウドストレージが良いと思う
本当はS/MIMEにしたいんだけどね
政府廃止のパスワード付zipファイル　専門家も「意味ない」｜NEWSポストセブン https://t.co/w5YK0SzS7F #newspostseven
— 上原哲太郎/Tetsu. Uehara (@tetsutalow) 2020年11月21日

PPAP「暫定的な対策として「（パスワードを）電話で教える」」 https://t.co/zP4kABiaz0 （そうじゃない感）
— Haruhiko Okumura (@h_okumura) 2020年11月24日

電子チケットサービス「Peatix」が不正アクセスを受け情報流出

【概要】
電子チケットサービス「Peatix」が不正アクセスを受け約677万件の情報が流出

【参考情報】
Peatixへの不正アクセス事象に関するお詫びとお知らせ（PDF）
https://announcement.peatix.com/20201117_ja.pdf
電子チケット販売「Peatix」に不正アクセス最大677万件の個人情報流出 - ITmedia NEWS
【セキュリティニュース】「Peatix」に不正アクセス - 最大677万件の個人情報が流出（1ページ目 / 全1ページ）：Security NEXT
複数の自治体が「Peatix」不正アクセス・個人情報漏洩についてお詫びとお知らせを掲載 | TechCrunch Japan
不正アクセスによるPeatixの情報流出についてまとめてみた - piyolog

【参考Tweet】

こんなところにも波及>『オンライン販売分については…Ｐｅａｔｉｘ社に委託していましたが…この会社が外部からの不正アクセスを受け、個人情報が流出した』 / “食事券購入者の情報流出のおそれ｜NHK 栃木県のニュース” https://t.co/J1LPfOTRK7
— 徳丸浩 (@ockeghem) 2020年11月17日

【「Peatix」最大677万件情報流出宇都宮の食事券購入者含むか】
チケットのオンライン販売などを手がける「Peatix」は、外部からの不正なアクセスで利用者の名前やメールアドレス、パスワードなど最大で677万件の情報が流出したことを明らかにしました。https://t.co/yCZC8dBepM
— 特務機関NERV (@UN_NERV) 2020年11月17日