「これまでのハッカーはワームを作ってばら撒くのが主流だったが，今は違う。今どきの一流のハッカーはまずセキュリティの脆弱性を持っていそうなWebサイトをGoogleなどの検索エンジンで検索する。検索結果に出たWebサイトを攻撃し，クレジットカード番号などの個人情報を盗み取る」。 セキュリティ対策製品ベンダー，米Internet Security Systemsのダニエル・S・インゲバルドソン氏（技術戦略担当ディレクター）は，こう指摘する。ハッカーの行動が変わってきたのは「ワームを作るよりも，個人情報を盗み取ってブラック・マーケットで売ったほうが高額な利益を得られるから」（インゲバルドソン氏）である。 そのやり方は，例えばこうだ。あるWebアプリケーション・サーバー・ソフトに脆弱性があり，ハッカーがその脆弱性を突く攻撃のやり方を知っていたとしよう。ハッカーは，検索エンジンを使い，そのWebアプ

あるWebページにアクセスしたら、自分のYahoo! JAPAN IDやHatenaのID、mixiで使っている名前などが表示された。何の縁もゆかりもないページにこれらのプライベートな情報がなぜ表示されてしまったのだろうか。 これは「CSSクロスドメインの情報の漏えいの脆弱性（CVE-2005-4089）」という、Webブラウザがスタイルシート（CSS）を呼び出す機能にある脆弱性を利用した攻撃だったのだ。この脆弱性は通称「CSSXSS（CSS Cross Site Scripting）」とも呼ばれている。 CSSインポート時にCSS以外のファイルがテキストとして読み込める 最近のWebページは、文書の構造をHTML形式で記し、フォントや色やレイアウトなどの視覚的な表現をスタイルシートで記述するというHTMLの仕様に従っていることが多い。 HTMLファイルから外部のスタイルシートを呼び出すた

Apple Computerは米国時間6月27日、Mac OS Xのアップデートを公開した。同アップデートは、セキュリティ上の脆弱性を複数修正しているだけでなく、機能アップデートも含んでいる。 Symantecが顧客へ送付した警告によると、同アップデート「Mac OS X 10.4.7」では、4つのセキュリティ脆弱性が修正されているという。これらの脆弱性は、「サービス拒否状態の発生や機密情報へのアクセス、さらにコードの実行に悪用される可能性がある」と同警告では述べている。 同脆弱性は、Mac OS Xのさまざまなコンポーネントに存在するとSymantecでは述べている。また同社によると、脆弱性を突く攻撃コードの存在は確認されておらず、Macユーザーにとって差し迫った脅威はないという。 今回のセキュリティ問題について、Appleの関係者からはコメントは得られていない。また、27日の本記事執筆

先週のアクセストップは、2ちゃんねるで大規模な障害が起きたという記事。2ちゃんねるの運営サイドに入った連絡によると、原因はDDoS攻撃だったようで、現在は復旧している。 2位には、mixiでチェーンメールのように流行した日記に関する記事が入った。mixiではこれ以前にも何度かチェーンメール・チェーン日記が流行していたが、今回ほど急速に広まったのは初めてなようだ。 この騒動を見ていて思い出したのだが、記者も大学1年のころ、チェーンメールを流してしまったことがある。内容は忘れてしまったが「早くみんなに伝えないと！」と焦り、当時アドレス帳にあった全員に、メールを転送してしまった。 その直後、ネットに詳しい同級生から「これはチェーンメール。絶対に回してはいけない」と言われたが、「私はいいことをしたはずなのに」と釈然とせず、激しく反論した記憶がある。今思うと私が100％間違っていた。 mixiチェー

オープンソースのセキュリティ・ツール「Nmap」の開発者であるFyodor氏は6月22日，ユーザーへのアンケート調査をもとに「ネットワーク・セキュリティ・ツール　トップ100」を集計し発表した。それによると，1位は脆弱性スキャナー「Nessus」，2位はネットワーク・スニファ「Wireshark（旧Ethereal）」，3位は侵入防御システム（IDS）「Snort」だったという。 今回の調査は，「nmap-hackers」というNmapユーザーのメーリング・リストを通じて実施された。このため，Nmapは今回の調査対象から外されている。回答者数は3243名。リストの4位から10位は以下の通り。 4位　多機能ツール（network“Swiss Army knife”）「Netcat」 5位　脆弱性検証ツール「Metasploit Framework」 6位　ネットワーク調査ツール「Hping2

企業のセキュリティを脅かし得る「脆弱性を持つ人気アプリケーショントップ15」の上位にはFirefoxやiTunes、Skypeなどが名を連ねている。 マルウェアよりもパッチを当てていないFirefoxやiTunesの方が危険――エンドポイントセキュリティ製品を手掛けるBit9がこのような調査結果を発表した。 同社は6月20日、既知の脆弱性を抱えた人気アプリケーショントップ15のリストを公表した。この中にはFirefoxやiTunes、Skypeなどが含まれている。 これらのアプリケーションが会社のPCにインストールされていても、IT部門がそれを把握していない、あるいは管理していないことが多いため、企業のコンピューティング環境に深刻なリスクをもたらす恐れがあると同社は指摘している。 Bit9は以下の特徴を持つアプリケーションをトップ15リストに選んだ。 コンシューマー分野で人気があり、個人に

脅威 - Impact of Vulnerability mixiにセキュリティホールがあったことに対して注意を促す日記・コメントが広範囲に広がる問題が発生します。 例えば書き込まれる日記のサブジェクトは「【緊急】マイミクの皆さんへ【ご注意！】」などとなります。 この問題は実際には注意文の中に「チェーンメールのように悪質」と書いてあるにもかかわらず、「できれば全員に！」に釣られ、自分の行っている行為がチェーンメールと同じという事を認識できないユーザの頭の脆弱性によって引き起こされます。 影響するユーザ - Affected Users mixiユーザ 回避策 - Workaround ホームから「マイミクシィ管理」を開き、脆弱性を持つユーザの項目にある「マイミクシィから外す」を選択する。 参考情報 - References はてなブックマーク - mixiに修正不能な脆弱性が:いぬビーム

詐欺に使われたURLは正規のPayPalサイト上でホスティングされ、有効なSSL認証でユーザーを信頼させていた。PayPalでは脆弱性に対処済みだという。 フィッシング対策ツールバーを提供するNetcraftによれば、米eBay傘下の決済サービスPayPalサイトの脆弱性が悪用され、クレジットカード番号などの個人情報が盗まれていたことが分かった。 詐欺に使われたURLは、正規のPayPalサイト上でホスティングされていたという。SSLを使って情報が暗号化され、有効な256ビットSSL認証を表示して同サイトがPayPalのものであることを確認。しかし実際にはページ内のコンテンツの一部がクロスサイトスクリプティングの手口を使って書き換えられていた。 ユーザーがこのページを訪れると「あなたのアカウントは第三者にアクセスされたため現在利用できません」というメッセージが表示された後、外部のサーバにリ

支払いサービス会社PayPalは米国時間6月16日、同サービスメンバーの秘匿情報を盗み出すために用意された巧妙な詐欺行為を阻止するために、同社ウェブサイトの脆弱性を修復したことを明らかにした。 同社広報担当者によると、この脆弱性を悪用すると、メンバーをPayPalのウェブページから韓国に置かれた偽装サイトへと誘導することができていたという。問題のページには本物のPayPalのURLが使われていたが、「あなたのアカウント情報が盗まれました」というメンバー向けの警告メッセージを掲示する悪質なコードをホスティングしていた。そして、ユーザーを「フィッシングサイト」へと誘導する。 そのフィッシングサイトでは、ユーザーはPayPalへのログイン情報を聞かれ、次に社会保障番号やクレジットカード情報の入力を求められる、と英国のインターネット監視会社Netcraftは報告書で述べている。 PayPalの広報

XSS脆弱性を悪用したフィッシング詐欺（英Netcraftの情報より引用）<br>表示されているのは本物のページだが，XSS脆弱性を悪用されて，偽のメッセージやリダイレクトのためのメタ・タグなどが埋め込まれている。 フィッシング対策ツールなどを提供している英Netcraftは現地時間6月16日，米PayPalをかたる新たなフィッシング詐欺が確認されたとして注意を呼びかけた。細工が施されたリンクをクリックすると，PayPalの本物のWebサイトが表示されてから，偽サイトへリダイレクトされる。このため，通常のフィッシングよりもだまされる可能性が高いとする。 今回のフィッシングは，PayPalのサイトに見つかったクロスサイト・スクリプティング（XSS）の脆弱性を悪用する。Webページ（Webアプリケーション）にXSS脆弱性が存在する場合，攻撃者は細工を施したリンク（URL）をユーザーにクリックさ

「Microsoft Excel」にパッチ未対応の新しいセキュリティ上の脆弱性があり、少なくとも1件のサイバー攻撃で悪用されたことを専門家が米国時間6月16日に警告した。 Microsoftは自社のSecurity Response Centerブログに、悪質な行為を働くExcelドキュメントは、電子メールの添付ファイルの形、もしくは攻撃者が対象にする被害者に直接届ける形で侵入して来ると書き込んでいる。同社によると、このような問題に遭遇したとの報告が顧客から1件あったという。 「悪質なExcelドキュメントを開くことで、攻撃を受けることになる。したがって、相手がだれであろうと、一方的に送られてくる不要な添付ファイルの開封には慎重になるように」とMicrosoft関係者は書いている。 Symantecの勧告によると、「okN.xls」と呼ばれる悪質なExcelファイルのサンプルが見つかってい

「Yahoo!メールのウイルスが悪用したのは『XSS脆弱性』，サイト管理者は注意を」---専門家が警告 「『Yahoo!メール』を狙ったウイルスは，同サイトのクロスサイト・スクリプティング（XSS）脆弱性を悪用した。同様の脆弱性は多くのWebサイトに存在する。このウイルスのソース・コードも出回っているので，今後，同様の攻撃が頻発する可能性は高い。Webサイトの管理者や開発者は十分に注意する必要がある」---。京セラコミュニケーションシステムのセキュリティ事業部 副事業部長である徳丸浩氏は6月15日，ITproの取材に対して警告した。 Yahoo!メールのウイルスは“単純” 6月12日ごろに確認されて「Yamanner」などと名付けられたウイルスは，米Yahoo!が提供するメール・サービス「Yahoo! Mail（Yahoo!メール）」で感染を広げる（関連記事：Yahoo!メールの脆弱性を突

ウイルス対策ソフトウェアベンダーのTrend Microによると、オープンソースソフトウェアは、「Microsoft Windows」のようなプロプリエタリなソフトウェアよりも本質的に安全であるという。 同社によると、オープンソースソフトウェアにセキュリティ上の問題が少ない理由の１つはLinuxのディストリビューションの多さにあるという。同じカーネルを使っているからといって、あるディストリビューションを脅かした悪質なソフトウェアが、別のディストリビューションも脅かすという可能性は少ない、とTrend Microは米国時間6月12日に述べた。 「オープンソースの方が安全だ」と言うのは、同社でマルウェア対策を担当する最高技術責任者（CTO）のRaimund Genes氏だ。「コードベースの管理者が多いのは、脆弱性に即対応できることを意味する。またそのディストリビューションの多さから、古いコード

Microsoftが同社のソフトウェアに存在する21件の脆弱性に対するパッチをリリースした。このうち2件をのぞく19件が、標的となったコンピュータ上で悪質なコードを実行するために、侵入者に悪用されるおそれがあるという。 Microsoftは米国時間6月13日、月例パッチリリースの一環として、10件以上のセキュリティ情報を発表した。このうち8件は、同社の危険度評価基準では最も深刻な「緊急」レベルに設定されている。修復の対象となったのは、「Windows」「Internet Explorer」「Word」「PowerPoint」「Exchange Server」である。 脆弱性管理企業QualysのVulnerability Management Labでマネージャーを務めるAmol Sarwate氏は、「Microsoftのセキュリティアップデートが21件に上ったなどということは、聞いたこと

パッチが適用されていないJavaScriptの脆弱性を悪用し、Yahooの電子メールユーザーを標的とする新たなワームが確認されたと、セキュリティ企業が警鐘を鳴らしている。 Symantecが米国時間6月12日に発表した勧告によると、「Yamanner」と呼ばれる同ワームは、最新のベータ版をのぞくすべてのYahooウェブベースメールをターゲットにしているという。 Yahooは米国時間6月12日、脆弱性のフィックスを準備中であることを明らかにし、ワームに感染したユーザーはほとんどいないはずだと述べている。 「Yahooでは、この問題に解決し、ワームの攻撃から顧客を保護しようと、作業を進めているところだ。修正パッチはYahoo Mailのユーザーに自動的に配信されるようになるため、ユーザーはこれといった手続きを踏む必要はない」とYahooの広報担当は述べた。 Yahooメールの受信ボックスに届く

セキュリティ組織の米SANS Instituteなどは現地時間6月12日，米Yahoo!が提供するWebメール・サービスの脆弱性（セキュリティ・ホール）を突いて感染を広げるウイルスが出回っているとして注意を呼びかけた。メール本文を読もうとするだけで感染し，アドレス・リストの情報を盗まれるとともにウイルス・メールを送信させられる。Yahoo!では現在対処中であるとしている。 Yahoo!のWebメール・サービス（Yahoo!メール）には，メールに細工が施されていると，メール本文を開くだけで，添付されたHTMLファイルを勝手に開いてしまう脆弱性が見つかった。HTMLファイルにスクリプト（JavaScript）が含まれている場合には，そのスクリプトも勝手に実行されてしまう。今回のウイルスはこの脆弱性を悪用するもので，HTMLファイルに含まれるスクリプトがウイルスの実体である。なお，今回の脆弱性は