Internet Infrastructure Review （IIR）Vol.32
2016年8月29日発行

4月のインシデント

日付	分類	内容
1	セ	NTTグループ持株会社のWebサイトに対し、AnonymousによるDDoS攻撃が行われ、一時閲覧できなくなるなどの影響が出た（OpKillingBay）。
		DeNA社が運営している「Mobage」で、第三者のなりすましによる不正ログインが発生し、最大で約10万件のユーザ情報が閲覧された可能性があることが分かった。
4	セ	パナマの法律事務所Mossack Fonsecaから、企業の租税回避の実態を示す大量の内部文書が流出し、その内容が公開された。 Süddeutsche Zeitung、"Panama Papers：T his is the leak"（http://panamapapers.sueddeutsche.de/articles/56febff0a1bb8d3c3495adf4/）。
5	セ	トルコの政府機関から全人口の2/3にあたる約5,000万人分の個人情報が流出し、インターネット上に公開された。
7	脆	Adobe Flash Playerに、不正終了や任意のコード実行の可能性がある複数の脆弱性が見つかり、修正された。 「Adobe Flash Playerに関するセキュリティアップデート公開」（https://helpx.adobe.com/jp/security/products/flash-player/apsb16-10.html）。
12	脆	Windows及びSambaに複数の脆弱性が見つかり、修正プログラムがそれぞれリリースされた。 "Badlock Bug"（http://badlock.org/）。
13	脆	Microsoft社は、2016年4月のセキュリティ情報を公開し、MS16-037など6件の緊急と7件の重要な更新を含む合計13件の修正をリリースした。 「2016年4月のマイクロソフトセキュリティ情報の概要」（https://technet.microsoft.com/ja-jp/library/security/ms16-apr.aspx）。
14	脆	Apple社のQuickTime for Windowsに複数のヒープバッファオーバフローの脆弱性が見つかったが、Apple社は製品のサポートを終了し、修正は行われないことになった。 「QuickTime 7やQuickTime 7 Proについて分からないことがある場合 - Appleサポート」（https://support.apple.com/ja-jp/HT201175）。 「JVNTA#92371676: QuickTime for Windowsに複数のヒープバッファオーバフローの脆弱性」（https://jvn.jp/ta/JVNTA92371676/）。
15	他	「サイバーセキュリティ基本法及び情報処理の促進に関する法律の一部を改正する法律案」が参議院で可決され成立した。この改正により「情報処理安全確保支援士」の資格が新設されることとなった。
19	脆	Oracle社は四半期ごとの定例アップデートを公開し、Java SEやOracle Database Serverなどを含む複数製品について、合計136件の脆弱性を修正した。 "Oracle Critical Patch Update Advisory - April 2016"（http://www.oracle.com/technetwork/jp/topics/ojkbcpuapr2016-2995215-ja.html）。
21	セ	日本テレビ放送網株式会社のWebサイトに不正アクセスがあり、約43万人分の個人情報が流出した可能性があることが分かった。 攻撃者は「ケータイキットfor Movable Type」の未知の脆弱性を悪用して、OSコマンドインジェクション攻撃を行った。 「弊社ホームページへの不正アクセスによる個人情報流出の可能性について」（http://www.ntv.co.jp/oshirase/index_20160421.html）。
22	セ	メキシコの有権者情報9,340万人分のデータがインターネット上に公開されていたことが、セキュリティ研究者によって判明した。MongoDBの設定ミスによるもの。 "BREAKING：Massive Breach of Mexican Voter Data"（https://mackeeper.com/blog/post/217-breaking-massive-data-breach-of-mexican-voter-data）。
23	セ	株式会社J-WAVEのWebサイトに不正アクセスがあり、約64万人分の個人情報が流出した可能性があることが分かった。攻撃者は「ケータイキットfor Movable Type」の未知の脆弱性を悪用して、OSコマンドインジェクション攻撃を行った。 「J-WAVE WEBサイトへの不正アクセスによる個人情報流出の可能性に関するお知らせ : J-WAVE 81.3 FM RADIO」（http://www.j-wave.co.jp/topics/1604_info.htm）。「不正アクセスによる個人情報流出の可能性に関する特別調査委員会による調査結果のお知らせ : J -WAVE 81.3 FM RADIO」（http://www.j-wave.co.jp/topics/1606_info.htm）。
26	セ	2月に発生したバングラデッシュ中央銀行の不正送金事件で、SWIFTの送金システムにマルウェア感染があったことをBAE Systemsの研究者が報告した。SWIFTも顧客に注意喚起を出した。
27	脆	Apache Struts2にDynamic Method Invocation（DMI）を有効にしている場合に任意のコード実行の可能性がある脆弱性（S2-032）が見つかり、修正された。また、この脆弱性を標的としたアクセスが観測されているとして、警察庁から注意喚起された。 Apache Software Foundation、"S2-032"（https://struts.apache.org/docs/s2-032.html）。 警察庁、「Apache Struts 2の脆弱性を標的としたアクセスの観測について」（https://www.npa.go.jp/cyberpolice/detect/pdf/20160427.pdf）。
	セ	株式会社NETSEAのB2B卸プラットフォームサイト「NETSEA」において、外部からの不正アクセスによりクレジットカード情報を含む顧客情報が流出した可能性があることが分かった。 「不正アクセスについてのお詫び | 株式会社NETSEA」（http://netsea.co.jp/press/20160427.php）。
29	セ	栄光ゼミナールのWebサイトに不正アクセスがあり、2,761人分の個人情報が流出した可能性があることが分かった。攻撃者は「ケータイキットfor Movable Type」の未知の脆弱性を悪用して、OSコマンドインジェクション攻撃を行った。 株式会社 栄光、「お客様情報の流出に関するお詫びとお知らせ」（http://www.eikoh.co.jp/news/pdf/20160429.pdf）。

1.インフラストラクチャセキュリティ

• 1.1 はじめに
• 1.2 インシデントサマリ
• 1.3 インシデントサーベイ
• 1.4 フォーカスリサーチ
• 1.5 おわりに