Windowsの脆弱性を突き、USBメモリなどを通じて感染するワーム「Conficker」（別名Downadup）が依然として活動を続けている。4月に一斉攻撃開始の可能性が取り沙汰され、メディアでも騒がれたが、この騒ぎが収まった今でもワームの勢力はまったく衰えていないと、セキュリティ企業の米Symantecが指摘した。 Symantecによれば、直近の亜種である「Downadup.E」は、2009年5月3日になると自らを消去する機能を備えていた。しかしこの日を過ぎても、感染数は予想されたほどには減っていない。 Symantecが検出したDownadupの新規感染数は、5月3日以降下旬までの1カ月間で、わずかに減りはしたが、ほぼ一定数を保っているという。 こうした状況を受けてSymantecは、Downadupの動向や仕組みについてまとめた報告書「Downadup Codex」を公表。Dow

KDDIは6月3日、同社が2日に顧客へ送信した広告メールで他人のメールアドレスが見られる状態になっていたと発表した。合計4464件のメールアドレスが流出した。 同社は、2009年2月1日～5月28日に国際電話Webサイトで「001国際モバイルトーク」を申し込んだ顧客に対して、2日午後1時4～18分に5回の広告メールを送信した。その際、操作ミスが原因でメールアドレスがあて先欄に表示される状態になったまま、メールが送信された。 同社によれば、1回当たりの送信を1000件のメールアドレスに制限していたため、受信者が知り得る他人のアドレスは最大で999件となっている。メールアドレス以外に流出した情報はなく、不正利用も確認されていないという。 同社は、2日午後3時15分にメールアドレス流出の事実を対象顧客へ通知するとともに、削除を求めるメールを送信。3日午前11時にも経過報告と謝罪のメールを改めて送

IPAは、新型インフルエンザに便乗したスパムメールや、スパムに添付された不正プログラムに注意するよう呼び掛けている。 情報処理推進機構（IPA）セキュリティセンターは6月3日、5月の「コンピュータウイルス・不正アクセスの届出状況」を発表した。新型インフルエンザに便乗するスパムやマルウェアに対する警戒を呼び掛け、特徴を解説している。 見つかった手口では、「新型インフルエンザへの対策」などの件名でスパムを送りつけたり、検索結果に悪質サイトへのリンクを表示させるSEOポイズニングなどを利用したりするものがあった。スパムには、「詳細ガイド」とうたった不審なPDFファイルが添付され、国内では国立感染症研究所をかたった偽メールも見つかっている。 添付ファイルは、Adobe PDFの既知の脆弱性を悪用するマルウェア「Trojan.Pidief.C」が仕掛けられており、脆弱性が解消されていない状態で添付フ

JPCERT/CCは、ソフトウェアの設計段階で脆弱性の発生や要因を減らすことを目的とした技術資料を公開した。 JPCERTコーディネーションセンター（JPCERT/CC）は5月19日、ソフトウェアの脆弱性発生を設計段階で低減することを目的とした技術資料「セキュアデザインパターン英語版」を公開した。 資料では、ソフトウェアの設計工程において脆弱性につながる要因の数と脆弱性の被害を最小限にするためデザインパターン（設計のひな形）を取りまとめた。認証や認可など特定のセキュリティ機能要件を満たすものではなく、ソフトウェアやシステムに対するセキュリティ品質の向上を目的にしている。 適用範囲や開発環境などに依存しないことから、さまざまなソフトウェア開発案件に適用できるといい、プログラミング段階でのセキュアコーディングと併用することで脆弱性対応関連のコスト削減にもつながるとしている。 日本語版の資料は6

感染マシンにはさらなるマルウェアが送り込まれ、攻撃側がリモートからあらゆる行為を実行できる状態になっていた。 セキュリティ企業の米Finjanは、マルウェアに感染した190万台のコンピュータで構成されるボットネットを発見したと伝えた。1つの犯罪組織が制御しているボットネットとしては、今年同社が見つけたものの中で最大級だとしている。 Finjanは、ウクライナにあるボットネットのコマンド＆コントロールサーバを調査した。その間にも、感染マシンの台数は増え続けていたという。 攻撃側は、金銭狙いからこのボットネットを使い、感染マシンにさらなるマルウェアを送り込んでいた。管理用コンソールから感染マシンに対して、設定ファイルのダウンロード、更新ファイルの適用といった命令を出し、ロシアのハッカーフォーラムには、感染コンピュータの交換を持ちかける投稿を送っていたという。 感染マシンにダウンロードさせていた

1回の充電で東京―大阪間に相当する500キロメートルを走れるリチウムイオン電池技術の開発が活発だ。積水化学工業の技術は突破のメドがたち、旭化成も近づいた。いずれも既存の電極を使うこ…続き 再エネ効率的に貯蔵、「ナトリウムイオン電池」寿命・容量が増大 ［有料会員限定］ トヨタの全固体電池　2025～30年ＥＶが化ける ［有料会員限定］

IPAらが発表した1～3月の脆弱性届出動向で、Webサイトに関連するもののうち、XSSとDNSキャッシュポイズニング、SQLインジェクションが全体の95％を占めた。 情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は4月21日、2009年1～3月期の脆弱性関連情報の届出状況を発表した。 期間中の届出件数は、ソフトウェア製品関連51件、Webアプリケーション（Webサイトを含む）関連825件の計876件だった。2004年7月8日以降の累計では、ソフトウェア製品関連912件、Webサイト関連4339件の計5251件となった。 Webサイト関連の脆弱性は821件で、このうちDNSキャッシュポイズニングの脆弱性が343件（42％）、クロスサイトスクリプティング（XSS）が334件（41％）、SQLインジェクションが100件（12％）となり、これら3種類の脆弱

米Verizon Businessは4月15日、企業の情報漏えい事件に関する実態調査報告書を公開した。部外者に起因する漏えいが全体の74％を占め、セキュリティ管理の仕組みを見直す必要性があると指摘している。 報告書は、2008年に同社が調査対応した情報漏えい事件の動向を分析したもので、今回で2回目となる。漏えいしたデータの件数は2004～2007年の累計で2億3000万件だったが、2008年は2億8500万件となり、大幅に増加した。 漏えいしたデータのうち、74％は部外者に起因し、特にビジネスパートナーが関係するものが32％を占めた。部内者が起因するものは20％だった。64％は複数の要因が関係して発生し、最も悪質なケースでは企業の過失を悪用して不正アクセスを行い、さらにマルウェアを仕掛けて情報を盗み出していた。 情報漏えい元の大半はサーバやアプリケーションで、漏えいしたデータの99％を占め

駐車場に停めておいた車に「駐車違反」のカード。そこに記されたWebサイトではマルウェアを配布していた。 駐車違反チケットに見せかけたチラシを駐車中の車に置き、マルウェアの配布サイトを閲覧させるという新手の方法が米国で報告された。 SANS Internet Storm Centerや米McAfeeによると、問題のチラシはノースダコタ州グランドフォークスで配られた。「駐車違反」と記した黄色い用紙がフロントガラスに置かれ、「この車両は駐車規制に違反しています。以下のWebサイトであなたの駐車方法に関する画像と情報を参照してください」と書かれていたという。 用紙に記載されたWebサイトを閲覧すると、駐車場に停められた車の写真が表示され、自分の車の写真をもっと探すためと称して「PictureSearchToolbar.exe」というツールバーのダウンロードを促される。 しかし、このツールバーの実態

Ponemon Instituteの調査によると、情報漏えいに起因する平均コスト（検出、通知、事業機会の損失などにかかわるコスト）は増加しつつあるようだ。企業にとって最大のコストは事業機会の喪失で、情報流出コスト全体の69％を占めている。 情報流出、特に外部の人間による情報流出はコストを発生させ、その金額は増加傾向にあるようだ。 情報流出に伴うコストに含まれるのは、関係者への通知に関連した費用だけではない。事業機会の喪失というコストも発生するのだ。そしてPonemon Instituteの調査によると、このコストは情報流出に起因するコストで最大の部分を占めている。 PGPがスポンサーとなって実施されたこの調査によると、2008年の情報漏えいに伴う対応作業（調査、通知、事後対策など）の平均コストは、情報1件当たり202ドルで、2007年の1件当たり197ドルと比べて増加した。 この調査では、

IPAがWebサイト運営者に行ったアンケートから、Webサイトに対するセキュリティ意識が十分に浸透していない状況が分かった。 Webサイト開発時にセキュリティを意識した運営者は50％――情報処理推進機構（IPA）とJPCERT コーディネーションセンター（JPCERT/CC）が1月26日に発表した2008年10～12月期の「脆弱性関連情報に関する届出状況」で、Webサイト運営者のセキュリティ意識が十分に浸透していない状況が明るみになった。 IPAでは、脆弱性対策を実施したWebサイト運営者にセキュリティ意識などをアンケートし、2008年7月から210件の回答を得た。その結果、Webサイトの開発段階でセキュリティを意識したという回答は50％だった。2006年の30％程度に比べて増加したものの、半数近くが意識していないことが判明した。 Webサイト開発時にセキュリティ対策を実施した割合は、上場

Microsoftが臨時パッチ「MS08-067」で対処した脆弱性を悪用するワームが、企業ネットワークで感染を広げている。 米Microsoftが10月の臨時パッチ「MS08-067」で対処した脆弱性を悪用するワームが依然猛威を振るっている。 SANS Internet Storm Centerやセキュリティ企業の米Symantecによると、MS08-067ワームは最初に出回った「Downadup.A」に続き、12月下旬に亜種の「Downadup.B」が出現した。同じワームはセキュリティ企業によって「Conficker」などの別名で呼ばれている。 ワームに感染すると、ユーザーが設定したシステム復元ポイントを削除し、Windows Update Serviceを無効化。辞書攻撃を使ってローカルネットワークの共有パスワードを破ろうとする。Downadup.Bは2009年1月以降、外部のWebサ

社外に持ち出したデータの紛失やうっかりミスによる流出が35.2％を占めている。内部関係者による窃盗は15.7％に増えた。 2008年に起きた企業や公的機関からの情報流出件数は前年に比べて大幅に増えたことが、非営利組織の米Identity Theft Resource Center（ITRC）がまとめた統計で分かった。 それによると、2008年に報告された情報流出の件数は656件で、前年の446件に比べて47％増加した。組織別に見ると、最多は一般企業の240件。次いで教育機関131件、政府・軍機関が110件、健康・医療機関が97件、金融機関が78件となっている。 流出した情報を暗号などの強力な手段で保護していたのはわずか2.4％のみ。パスワードを設定していたのは8.5％のみだった。 流出の原因は、マルウェア攻撃／ハッキング／社内関係者による窃盗が合計で29.6％を占めている。特に内部関係者が