無線LANの「WPA2」で盗聴や改ざん可能となる脆弱性報告

Wi-Fiで使われている暗号化技術「WPA2」（Wi-Fi Protected Access II）に脆弱性が報告された問題で、米セキュリティ機関のCERT/CCは10月16日、セキュリティ情報を公開しました。

この問題について解説した専用サイトによると、この脆弱性を突いて「KRACK」と呼ばれる攻撃を仕掛けられると、暗号化されて安全が守られているはずの情報を読み取られる可能性があり、クレジットカード番号やパスワード、チャットやメール、写真などを盗まれるおそれがあるということです。

さらに、データの挿入や操作を行ってランサムウェアなどのマルウェアをWebサイトに挿入することも可能とされています。
全体の41％にあたるAndroid搭載端末が影響を受けるといわれ、他デバイスについても多くのパケットが盗聴されるおそれがあるとしています。

ルータに設定したWi-Fiのパスワードが解析されたり取得されるものではなく、パスワードを変更する必要はないようですが、追加的な対策として検討してみてはいかがでしょうか。

今回の問題はパッチなどで実装上の問題を修正することさえできれば「KRACK」を防ぐことは可能ということです。
アップデートが公開されたらインストールするようにしましょう。

参考元
「WPA2」の脆弱性情報、セキュリティ機関が公開　パッチ適用を呼び掛け

株式会社サンロフトでは、最新のセキュリティ情報をお届けします。是非お気軽に、ご相談ください。

　⇒ サンロフトセキュリティニュース

2017年10月のWindows Updateについて

10月のWindows Updateが11日に公開されています。
62件の脆弱性の修正が含まれているとのことです。

• 2017 年 10 月のセキュリティ更新プログラム (月例) – 日本のセキュリティチーム

脆弱性の最大深刻度は、4段階中もっとも高い「緊急」の脆弱性が27件。次いで深刻度が高い「重要」が37件。
（Security NEXT より引用）

悪用された場合の影響は小さいものではありませんので、確実にそして早めに適用しておきましょう。

Windows 10では自動的に適用されているはずです。Windows 7・8.1での適用手順については、下記のマイクロソフト社のサイトを参照してください。

• Windows Update 利用の手順

この機会にWindows Updateの設定などの再確認をおすすめします。今後もWindows Updateの配信は続きますので、確実に適用できるようにしておいてください。

場合によっては、Windowsの標準機能だけで脆弱性に対応していくのは不安に感じられるかもしれません。

対処としては、たとえばカスペルスキーの法人向けセキュリティソフト「Kaspersky Endpoint Security for Business」では、Windows Updateの管理や配信も可能であり、セキュリティ強化という意味で非常に心強いパートナーとなってくれるはずです。

《参考URL》
* 2017 年 10 月のセキュリティ更新プログラム (月例) – 日本のセキュリティチーム

* Microsoft 製品の脆弱性対策について(2017年10月)：IPA 独立行政法人 情報処理推進機構

* MS、10月の月例パッチで脆弱性62件を修正 - ゼロデイ攻撃確認済みの脆弱性も：Security NEXT

株式会社サンロフトでは、サイバーセキュリティ対策についてご案内できるソリューションがあります。是非お気軽に、ご相談ください。

　⇒ 株式会社サンロフト：セキュリティ対策サービス

マルウェア「iXintpwn」の思わぬ手口

2017年6月にランサムウェアを作成した未成年が逮捕された事例がありましたが、その未成年者が作成、拡散したiOS向けのマルウェア「iXintpwn」を解説したブログ記事をトレンドマイクロが公開しました。

■iXintpwnの侵入手口
iXintpwnは不正なアプリをアプリストアに忍び込ませたり、脆弱性を利用した高度な攻撃ではなく、iOSの仕組みである「構成プロファイル」を使った攻撃をします。

構成プロファイルとは、企業が業務で使うiOS端末を統合的に管理する目的でインストールする小さなファイルで、各種設定を自動で行うためのものです。
iXintpwnはこれを悪用し、iOSのホーム画面に大量のアイコンを作成するというマルウェアでした。

アップルのアプリは、「App Store」でアプリの審査を行ってから配布が許可されるため、マルウェアのような脅威が比較的少ないことで知られています。

しかし、今回のような構成プロファイルを悪用した手口はアプリストアを経由しないため、SNS上でURLをクリックしインストールが成立してしまうと今回のように大量にアイコンが作成されてしまいます。

■感染を防ぐには
構成プロファイルは企業向けのものであり、個人ユーザーが使うことはほとんどありませんでした。
しかし最近では面倒な端末の設定を容易にするために個人ユーザーの間でも使われるようになりました。

例えば、格安SIMでiPhoneを利用する場合通信先を指定する必要があるのですが、その設定を簡単に行えるよう構成プロファイルを使っています。
他にもメール設定やデジタルカメラとiPhoneを無線LANで接続する時に使われることもあります。

特に何かを設定しようとしているわけでもないのにインターネット経由で構成プロファイルがインストールされるような画面になった場合は、必ずそれが意図されたものなのかどうかマニュアルなどを確認するようにしましょう。

さらに、インストール元のサイトが改ざんされていないかどうかも注意しましょう。
ただ、今のところは構成プロファイルの案内ページとダウンロード先が「https://」で始まるURLなのかどうかを確認するくらいしか方法がなく、短期的には構成プロファイルを使っている企業の信頼性に頼らざるを得ない状況です。

参考元
iPhoneが安全とは限らない？　マルウェア「iXintpwn」の思わぬ手口

株式会社サンロフトでは、最新のセキュリティ情報をお届けします。是非お気軽に、ご相談ください。

　⇒ サンロフトセキュリティニュース