2021年1月に起こったセキュリティニュースのアレコレをまとめてみた。

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

先日嬉しく感じたテレビ番組が放送された話をさせてください。

あなたにも届いてるかも!?フィッシング詐欺の対処方法をハンターが伝授 | 沸騰ワード10 | ニュース | テレビドガッチ https://t.co/TXYrIOhS1t #dogatch https://t.co/cDcY1cTw0S
— にゃん☆たく (@taku888infinity) 2021年1月31日

フィッシングハンターの@ozuma5119 さんが出演されていましたね！
フィッシング詐欺について気をつけないと！とか、フィッシングハンターってかっこよい！って思ってくれる人が1人でも増えてくれたら嬉しいなぁ！
楽しかったー！ https://t.co/FtloHI2McZ
— にゃん☆たく (@taku888infinity) 2021年1月29日

僕は現在、調査のひとつとしてフィッシング詐欺について調査をおこなっています。

日々フィッシングメールやフィッシングサイトを確認したり、騙られてしまう組織の人たちとどうやったらフィッシング詐欺の被害を減らせるかという話し合いもおこなっています。

また、そこで得た知識や経験をフィッシングハンターとして講演等で話させていただく機会も増えました。

組織も頑張って被害を減らす方法を考えて実行はしているのですが、被害をなかなか減らせないのが現状です。原因はどうしても個々のセキュリティ意識の問題にぶつかってしまうからです。

今回のような放送を見た方々がフィッシング詐欺について少しでも『怖い』『対策をとらないといけない』等と感じてくれたら嬉しいです。

いくらインターネットで我々フィッシングハンターが発信をしてもなかなか浸透しないのが現実です。皆さん一人一人が行動を変えてくれたり、知った情報を自分の周りに伝えるという行動が誰か一人を救える事につながってくると感じています。

こういった放送や報道が定期的にテレビなどで行われる事をこれからも願っています。

では前月のまとめです。

脆弱性のアレコレ
不審なメールや偽サイトのアレコレ
- 不審な偽サイト（フィッシングサイト）情報
注意喚起やニュースのアレコレ
セキュリティレポートやブログのアレコレ

脆弱性のアレコレ

Apache Tomcatに脆弱性

【概要】
Apache Tomcatに脆弱性が存在し、NTFSファイルシステムを利用しているシステム構成において、ネットワーク上にリソースを提供している場合、JSP（JavaServerPage）のソースコードが漏洩してしまう可能性がある。

【CVE番号】
CVE-2021-24122

【対象】
Apache Tomcat 10.0.0-M1から10.0.0-M9
Apache Tomcat 9.0.0.M1から9.0.39
Apache Tomcat 8.5.0から8.5.59
Apache Tomcat 7.0.0から7.0.106

【対策】
修正済みバージョンの適用（以下本脆弱性修正済みバージョン）
Apache Tomcat 10.0.0-M10
Apache Tomcat 9.0.40
Apache Tomcat 8.5.60
Apache Tomcat 7.0.107

【参考情報】
Apache Tomcatの脆弱性（CVE-2021-24122）に関する注意喚起
 【セキュリティニュース】「Apache Tomcat」にソースコード漏洩のおそれ - 11月更新版で修正済み（1ページ目 / 全1ページ）：Security NEXT
Tomcatに情報窃取の脆弱性、アップデートを | マイナビニュース
 Apache Tomcatの脆弱性情報(Important: CVE-2021-24122) - security.sios.com

sudoに脆弱性

【概要】
sudoに脆弱性（バッファオーバーフロー）が存在し、

【CVE番号】
CVE-2021-3156

【対象】
sudo バージョン 1.8.2 から 1.8.31p2
sudo バージョン 1.9.0 から 1.9.5p1
※上記以外の場合もあるためディストリビューション等が提供する情報を参照

【対策】
各ディストリビュータ情報に沿って対応

【参考情報】
sudoの脆弱性（CVE-2021-3156）に関する注意喚起
 sudoにパスワード不要で特権昇格が可能な脆弱性が見つかる - ITmedia エンタープライズ
 【セキュリティニュース】「sudo」に脆弱性「Baron Samedit」が判明 - root権限奪われるおそれ（1ページ目 / 全1ページ）：Security NEXT
sudoコマンドに特権昇格の脆弱性、アップデートを - JPCERT/CC | マイナビニュース
 sudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedi) - security.sios.com

【参考Tweet】

CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit) | Qualys Security Bloghttps://t.co/uJbexrpTjj
注意喚起がでてるsudoの脆弱性。sudoeditの引数だとエスケープをすり抜けてヒープオーバーフローが成立するのかなるほど。
— とある診断員 (@tigerszk) 2021年1月27日

脆弱性があるかどうかを確認する場合は

①root以外のユーザでログイン
②「sudoedit-s /」を実行
③「sudoedit：」で始まるエラーを返したら脆弱

とのことです。https://t.co/2BIb0XzkNm
— 辻伸弘 (nobuhiro tsuji) (@ntsuji) 2021年1月27日

iOSとiPadOSに複数の脆弱性

【概要】
Apple（アップル）のiOSとiPadOSに脆弱性が存在し、悪意あるアプリによる特権昇格されたり、リモートから任意のコードを実行される可能性がある

【CVE番号】
CVE-2021-1782
CVE-2021-1871
CVE-2021-1870

【対象機器】
iPhone 6s以降
iPad Air 2以降
iPad mini 4以降
iPod touch（第7世代）

【対策】
アップデートする（以下本脆弱性修正済みバージョン）
iOS14.4
iPadOS14.4

【参考情報】
About the security content of iOS 14.4 and iPadOS 14.4 - Apple Support
iPhoneとiPadに「悪用された可能性がある」複数の脆弱性。iOS/iPadOS 14.4で修正 - PC Watch
AppleがiOS 14.4を公開、ハッカーが悪用した3カ所の脆弱性を修正 | TechCrunch Japan
悪用の報告も～3件のゼロデイ脆弱性に対処した「iOS 14.4」「iPadOS 14.4」が正式公開 - 窓の杜
 iPhoneやiPadに特権昇格と任意コード実行の脆弱性、直ちにアップデートを | マイナビニュース

【参考Tweet】

sudoの脆弱性CVE-2021-3156が多くニュースで流れていますが、それより同日のiOS 14.4未満のWebkit脆弱性に注意した方が良いです。リモートで任意コード実行可能、しかもApple自ら「既に攻撃に使われた可能性」とアナウンス。

まずは目の前のiPhoneをアップデートしましょう。https://t.co/9Xu3UfwGBH
— Osumi, Yusuke😇 (@ozuma5119) 2021年1月28日

不審なメールや偽サイトのアレコレ

不審な偽サイト（フィッシングサイト）情報

2021年1月にフィッシングサイト対策協議会で報告された情報は以下のとおり

※（）は報告日時
ジャックスをかたるフィッシング (2021/01/27)
エポスカードをかたるフィッシング (2021/01/25)
北海道銀行をかたるフィッシング (2021/01/18)
UC カードをかたるフィッシング (2021/01/15)
エムアイカードをかたるフィッシング (2021/01/12)

僕の収集できている範囲での結果ですが、2021年1月のフィッシングサイトで確認できたものと2020年12月を対比しみました
※Amazon,LINE,SMBC,楽天は除外

▼1月概要
■JACCS/ジャックスカード,大丸松坂屋カード,bitFlyer,七十七銀行のフィッシングサイト誕生

■特別定額給付金が一時期復活#Phishing pic.twitter.com/D7WpNblm6o
— にゃん☆たく (@taku888infinity) 2021年2月1日

注意喚起やニュースのアレコレ

福岡県で新型コロナウイルス陽性者リストが流出

【概要】
福岡県でクラウド（Googleドライブ）で管理していた新型コロナウイルス陽性者リストが流出。原因の一つはアクセス権限の設定ミス。

【参考情報】
【セキュリティニュース】新型コロナ陽性者リストが流出、アクセス権設定でミス - 福岡県（1ページ目 / 全1ページ）：Security NEXT
コロナ陽性者の個人情報9500人分が流出クラウドのアクセス権を誤って公開状態に福岡県が謝罪 - ITmedia NEWS
福岡県が管理する新型コロナ陽性者数千人分の個人情報流出、経緯に不可解な点も | 財経新聞
 約9,500人分ネット上に公開コロナ陽性者情報流出福岡県が謝罪会見
 福岡県の新型コロナ陽性者情報流出についてまとめてみた - piyolog

【参考Tweet】

これどういう事かと思ったら、
Googleスプレッドシートで管理していた陽性者情報をURL共有モードONにして、
あまつさえそのURLを関係ない人に送ってしまったのね。。。

福岡県管理のコロナ陽性者情報氏名・住所など数千人分が流出(TBS系（JNN）)#Yahooニュース https://t.co/gAmSV5iKWa
— zuzu@在宅エンジニア (@zuzu0301) 2021年1月6日

県がG Suiteを使ってたのか、アクセス権を持つ誰かがアップロードしたのか、いずれにしても管理が甘過ぎる上、指摘を受けてからの対応が悪過ぎる / “福岡県管理のコロナ陽性者情報氏名・住所など数千人分が流出｜TBS NEWS” https://t.co/xrUINzbPL2
— Masanori Kusunoki / 楠正憲 (@masanork) 2021年1月6日

アクセス権が付いたメールを誤送信して、それを折角連絡くれたのに対応が不十分だったと。適切にアクセス管理ができたか外からのアクセス確認を怠ったんでしょうね。

新型コロナ: 9500人分のコロナ感染者情報流出　福岡県: 日本経済新聞 https://t.co/m1wGXNh5V9
— 辻伸弘 (nobuhiro tsuji) (@ntsuji) 2021年1月7日

特別定額給付金を騙るフィッシングメールが出回る

【概要】
今月上旬に「【重要】特別固定給付金の支払い資格をおめでとうございます」という件名の特別定額給付金を騙るフィッシングメールが出回った。

【参考情報】
総務省を騙った特別定額給付金に関するフィッシング｜一般財団法人日本サイバー犯罪対策センター
 【セキュリティニュース】緊急事態宣言の再発令に早くも便乗、「特別定額給付金」フィッシングに注意（1ページ目 / 全1ページ）：Security NEXT
【セキュリティニュース】「特別定額給付金」フィッシング、実際に誘導されるケースも（1ページ目 / 全1ページ）：Security NEXT

【参考Tweet】

総務省を装う「【重要】特別固定給付金の支払い資格をおめでとうございます」というう件名のメールが、狙いすましたように夕方からばらまかれたようです。昨年と同じ偽のオンライン申請サイトに誘導し、クレカ情報等を騙し取ろうとするのでお気を付けください。https://t.co/V9cLKP3bBX
— Naomi Suzuki (@NaomiSuzuki_) 2021年1月7日

⚠️詐欺サイト⚠️
特別定額給付金のオンライン申請を装った『フィッシング詐欺サイト』が立ち上がっています。

狙いはクレジット情報です。
もし総務省の名を騙った不審なメールが届いても無視し、削除あるのみ。

これから続く可能性があります。
周囲に注意を促して下さい。#総務省 #緊急事態宣言 https://t.co/u9FLxOyXBJ pic.twitter.com/E9vlAx52GM
— KesagataMe (@KesaGataMe0) 2021年1月7日

TM社さん、「同社のクラウド基盤」「同社製品ユーザうんうんと匂わせているけど、実際はPhisingサイトの入力の履歴を調査しただけじゃないかな？

【セキュリティニュース】「特別定額給付金」フィッシング、実際に誘導されるケースも：Security NEXT https://t.co/acrBEYDNQO
— hiro_ (@papa_anniekey) 2021年1月12日

ソフトバンクの元従業員が社外に情報を持ち出し逮捕

【概要】
元ソフトバンク従業員が社外に情報を持ち出し逮捕された。転職先は楽天モバイル。

【参考情報】
楽天モバイルへ転職した元社員の逮捕について | プレスリリース | ニュース | 企業・IR | ソフトバンク
 従業員の逮捕について | 楽天株式会社
 楽天モバイル、社員逮捕巡りソフトバンクに反論「営業秘密を業務に使った事実は確認していない」 - ITmedia NEWS
ソフトバンク元社員逮捕 5Gの営業秘密を転職先・楽天モバイルに持ち出しか - ITmedia NEWS
【セキュリティニュース】楽天モバ、従業員逮捕でコメント - 営業秘密利用は未確認（1ページ目 / 全1ページ）：Security NEXT
【セキュリティニュース】ソフトバンク元従業員が逮捕 - 技術情報を転職先に持ち出しか（1ページ目 / 全1ページ）：Security NEXT
楽天モバイルへ転職したソフトバンク元社員の社外秘情報持ち出しについてまとめてみた - piyolog

DeNAの元従業員が社外に顧客情報を持ち出し

【概要】
DeNAの元従業員が社外にカーシェアサービス「Anyca」の顧客情報を持ち出し不正利用

【参考情報】
当社元従業員による不正行為について | 株式会社ディー・エヌ・エー【DeNA】
DeNAの元従業員、カーシェア「Anyca」の顧客情報を不正利用勝手にカードローン申し込み - ITmedia NEWS
DeNA元従業員、顧客情報を不正持ち出し :日本経済新聞
 【セキュリティニュース】従業員が顧客情報を悪用、カードローンに申込 - DeNA（1ページ目 / 全2ページ）：Security NEXT

今年のサイバーセキュリティ月間は『ラブライブ！サンシャイン!!』とのタイアップが決定

【概要】
政府が主催するサイバーセキュリティ月間（2月1日～3月18日）で『ラブライブ！サンシャイン!!』とタイアップすることが発表された

【参考情報】
『ラブライブ！サンシャイン!!』とのタイアップについて[みんなでしっかりサイバーセキュリティ]
ラブライブ！サンシャイン!! Official Web Site | NEWS
政府、「ラブライブ！サンシャイン!!」とコラボサイバーセキュリティ月間で - ITmedia NEWS
サイバーセキュリティ月間で政府機関と「ラブライブ！サンシャイン!!」がタイアップ - CNET Japan

【参考Tweet】

2月1日から3月18日はサイバーセキュリティ月間です。
2021年は『ラブライブ！サンシャイン!!』とタイアップします。#サイバーセキュリティは全員参加 #lovelive
詳細はこちら https://t.co/0OYjN2rHi1 pic.twitter.com/JBWFfuYXp8
— NISC内閣サイバーセキュリティセンター (@cas_nisc) 2021年1月22日

【ニュース更新】内閣サイバーセキュリティセンター(NISC)と『ラブライブ！サンシャイン!!』がタイアップ！2月1日から開始となるサイバーセキュリティ月間をPR致します！
詳細はこちら→ https://t.co/1YMPpGQrMz #lovelive #Aqours #サイバーセキュリティは全員参加 pic.twitter.com/qdWHdMHylz
— ラブライブ！シリーズ公式 (@LoveLive_staff) 2021年1月22日

情報セキュリティ10大脅威2021のランキングが決定

【概要】
IPA（情報処理推進機構）が例年発表している情報セキュリティ10大脅威の2021が発表された。組織向け脅威としては初めて『テレワーク等のニューノーマルな働き方を狙った攻撃』がランクインした

【参考情報】
情報セキュリティ10大脅威 2021：IPA 独立行政法人情報処理推進機構
 【セキュリティニュース】「情報セキュリティ10大脅威 2021」が決定 - 研究者が注目した脅威は？（1ページ目 / 全1ページ）：Security NEXT
新型コロナはセキュリティ脅威にも影響？ IPAが「情報セキュリティ10大脅威 2021」を発表：「テレワークを狙った攻撃」が上位に - ＠IT
【速報】IPAが「情報セキュリティ10大脅威2021」を公開｜注目の脅威への適切な対策とは？

「Emotet」の攻撃インフラがテイクダウン

【概要】
マルウェアの「Emotet」の攻撃インフラがEuropolによりテイクダウンされた

【参考情報】
World’s most dangerous malware EMOTET disrupted through global action | Europol
マルウェア「Emotet」、感染ホストから一斉削除へ--蘭警察がアップデート配信 - ZDNet Japan
【セキュリティニュース】欧米警察が協力、「Emotet」をテイクダウン - 被害チェックサイトも（1ページ目 / 全2ページ）：Security NEXT
【セキュリティニュース】欧米警察が協力、「Emotet」をテイクダウン - 被害チェックサイトも（1ページ目 / 全2ページ）：Security NEXT
【セキュリティニュース】「Emotet」で10億円以上荒稼ぎか - インフラ維持に5000万円（1ページ目 / 全1ページ）：Security NEXT
プレーヤー | NHKラジオらじる★らじる
 最恐ウイルスEmotetをテイクダウンしたOperation Ladybirdについてまとめてみた - piyolog

【参考Tweet】

Bye-bye botnets👋 Huge global operation brings down the world's most dangerous malware.

Investigators have taken control of the Emotet botnet, the most resilient malware in the wild.

Get the full story: https://t.co/NMrBqmhMIf pic.twitter.com/K28A6ixxuM
— Europol (@Europol) 2021年1月27日

#Emotet のボットネットがテイクダウンされたそうです！🎉🎉🎉 https://t.co/eX7EeTSGco
— sugimu (@sugimu_sec) 2021年1月27日

繰り返しにはなりますが、Emotetに感染したままの端末はおそらくZloaderなど他のマルウェアにも感染したままの可能性が高いです。
なので、もともと対策が不十分な組織はEmotetが無効化されたとしても油断は禁物です。

テストに出ますので忘れずに。（え？ https://t.co/AosvTgHJ2c
— Autumn Good (@autumn_good_35) 2021年1月27日

At Cryptolaemus we have always appreciated the tweets/IoCs/info that you & your colleagues share @bomccss, @abel1ma @gorimpthon @sugimu_sec @papa_anniekey @waga_tw @wato_dn @58_158_177_102 have shared!!! Team power! 💪💪Often you had data that no one else saw/had! Thank you!!
— Cryptolaemus (@Cryptolaemus1) 2021年1月28日

Emotetテイクダウン、素晴らしい！

こんなことが出来るなんて思わなかった。2年間の関係者の調整の結果ということで、関係者の方々を尊敬します。

と同時に日本が関われていないことに一抹の悔しさを感じるのだけど。
感染端末の駆除など、やることは沢山あるけれど。https://t.co/iqhQXtY4ac
— S-Owl (@Sec_S_Owl) 2021年1月27日

テイクダウンは知らなかったので含まれてませんが、日本のコミュニティがどうやってEmotetの被害を減らす努力をしてきたか等について、 @sugimu_sec さんと私の @bomccss の活動としてお話します。 https://t.co/sd3cgrNLBW
— S-Owl (@Sec_S_Owl) 2021年1月28日

複数企業のシステム開発に携わったプログラマーがシステムプログラムの一部を外部に公開

【概要】
複数企業のシステム開発に携わったプログラマーがシステムプログラムの一部をGithub（ギットハブ）というサービス丈で外部に公開していた

【参考情報】
SMBC三井住友銀行が流出認める：艦これ発端で発覚したGitHub経由のコード流出(三上洋) - 個人 - Yahoo!ニュース
 GitHub上に三井住友銀の一部コードが流出、「事実だがセキュリティーに影響せず」 | 日経クロステック（xTECH）
SMBCに続きNTTデータも被害を確認、広がるGitHub上のコード流出問題 | 日経クロステック（xTECH）
三井住友銀行などのソースコードが流出 “年収診断”したさにGitHubに公開か【追記あり】 - ITmedia NEWS
大手銀などのプログラム、ネット投稿外注先の関係者か：朝日新聞デジタル
 三井住友銀、プログラム流出外注のＩＴ企業男性、投稿か：朝日新聞デジタル

【参考Tweet】

某社ソースコード流出事件いろんなツイートを見てようやくある程度何が起こってるのか理解できたけど、ワシのようなBBAには、わからんことがたくさんある。ちょっとあげてみる。
— Kyoko HANADA(花田経子) (@cchanabo) 2021年1月28日

最高のタイミングだと思ったので紹介するんですが、Github上に公開されている機密情報を調査することができるツールがあったりします。 #OSINT https://t.co/8gAUUEzLZA
— SttyK (してぃーきっず) (@SttyK) 2021年1月29日

これ組織内のセキュリティ監視側に対してGitHubへの通信の有無とか通信遮断とかの話に繋がっていきそうで怖いなぁ。

特に組織内で立場が上の人に「GitHubは悪」みたいな認識を持たれないように技術側は説明しないといけない事案も発生しそう。 https://t.co/QA8n50015c
— にゃん☆たく (@taku888infinity) 2021年1月28日

セキュリティレポートやブログのアレコレ

今回もココまで読んでいただきありがとうございました。

ではでは！

。　よそはーよそ
。ﾟ
　＼　　ハ_ハ
　　∩(ﾟωﾟ )
　　ヽ[工]⊂)
　　　｜ヽ｜
　　　 (＿(＿)

うちはーうち　。
　　　　　　ﾟ。
　ハ_ハ　／
　( ﾟωﾟ)∩
　(つ[工]ノ
　｜ / ｜
　(＿)＿)

＜更新履歴＞
2021/02/01 AM公開

にゃん☆たくのひとりごと

ひとりごとです。感じたことだけをただ気ままに書きます。

2021年1月に起こったセキュリティニュースのアレコレをまとめてみた。

脆弱性のアレコレ

Apache Tomcatに脆弱性

sudoに脆弱性

iOSとiPadOSに複数の脆弱性

不審なメールや偽サイトのアレコレ

不審な偽サイト（フィッシングサイト）情報

注意喚起やニュースのアレコレ

福岡県で新型コロナウイルス陽性者リストが流出

特別定額給付金を騙るフィッシングメールが出回る

ソフトバンクの元従業員が社外に情報を持ち出し逮捕

DeNAの元従業員が社外に顧客情報を持ち出し

今年のサイバーセキュリティ月間は『ラブライブ！サンシャイン!!』とのタイアップが決定

情報セキュリティ10大脅威2021のランキングが決定

「Emotet」の攻撃インフラがテイクダウン

複数企業のシステム開発に携わったプログラマーがシステムプログラムの一部を外部に公開

セキュリティレポートやブログのアレコレ

IPA（独立行政法人情報処理推進機構）

JPCERT コーディネーションセンター

フィッシング対策協議会

LAC

Trend Micro

McAfee

Kaspersky

IIJ

NEC セキュリティブログ

piyolog

トリコロールな猫/セキュリティ

knqyf263's blog

午前７時のしなもんぶろぐ

ロシアンブルー飼育日記