「Log4j」の脆弱性が公開されて1カ月以上が過ぎた。現在のところ、大規模な悪用被害は発表されていないが、対象範囲が非常に広く、深刻な影響を受ける可能性があるため、各所から注意喚起が発表されている。ここでは、検知状況や対策状況についてまとめる。 Log4jの脆弱性への対応の難しさ Log4jとは、Apacheが提供するデータログ生成・記録APIである。このLog4j（正しくはそのバージョン2系である「Log4j 2」）に、リモートコード実行という深刻な脆弱性が確認された。リモートコード実行とは、脆弱性のあるシステムに対して遠隔から任意のコードを実行できる、つまり乗っ取りが可能な脆弱性であり、非常に深刻度が高い。 ただし、このレベルの脆弱性は決して珍しいものではない。年に数回は発見されるレベルである。Log4jの脆弱性が話題になっているのは、汎用性が高くさまざまな環境に存在するためだ。Log

そのQRコードは大丈夫？　詐欺目的の利用増加、キャッシュレス決済の普及を逆手に：この頃、セキュリティ界隈で 「パーキングメーターの駐車料金支払い用QRコードから、料金をだまし取る不正サイトに誘導された」「メールで届いたQRコードを読み取って、詐欺サイトとは気付かずログイン情報を入力してしまった」――。米国でそんな詐欺の手口が相次いで報告されている。 飲食店の料金支払いや紙のメニューに代わり、非接触のキャッシュレス決済など、コロナ禍で普及が進んだQRコード。便利な半面、軽い気持ちで読み取ってしまいがちな実態に付け込んで悪用されるケースが増えているとして、米連邦捜査局（FBI）などが注意を呼び掛けた。 駐車場の料金支払い用QRコードに偽のステッカー テキサス州オースティン警察によると、2021年末から年明けにかけ、同市内の複数の駐車場で、料金支払い用のQRコードの上に偽のQRコードステッカーが

「MacはLinuxだった」って本当？　「そうだね……」元Mac雑誌編集者は昔語りを始めた：ヤマーとマツの、ねえこれ知ってる？（1/4 ページ） 経歴だけは長いベテラン記者・編集者の松尾（マツ）と、幾つものテック系編集部を渡り歩いてきた山川（ヤマー）が、ネット用語、テクノロジー用語で知らないことをお互い聞きあったり調べたりしながら成長していくコーナー。交代で執筆します。 マツ　「MacはLinuxだった」という趣旨のツイートが話題になっていて、ああそういうこともあったなあ、と思い出したので、ちょっと昔語りしようかなと。茶でも飲みながら。 ヤマー　私は紅茶を用意してきます。 戻ってきました。macOSは何がベースになっているかって話ですよね。 マツ　結論から言っちゃうと、現在のmacOSはUNIX系列のOSではあるけど、Linuxではないです。macOSのベースになっているのはDarwin。

一見すると同じ式なのに計算結果が変わる、しかも1＋1が4になる──Excelのこんな仕様がTwitterで話題になっている。「セルの結合」が原因で、セル結合の扱い方についてさまざまな意見が寄せられている。 話題の元になった画像を投稿したふじた（@nfujita55a）さんは、2種類のSUM関数の計算結果を提示。計算に使う数値や足したセルの数などに違いはなく、関数の引数とする範囲が1行違うことしか変わった点は見受けられない。しかし、計算結果は一方が「2」であるのに対し、もう一方は「4」と異なっている。 このような結果を生じたのは、旧バージョンのExcelの仕様が原因のようだ。旧バージョンの一部では、別のセルからコピーした数値を結合したセルにペーストする場合、結合元になったセルのそれぞれに数値が入力される仕様になっているという。 今回であれば、3つのセルを1つに結合していたことから「1」が3つ

NTTドコモとソフトバンクは1月13日、迷惑SMSの受信を拒否する機能の提供を今春に始めると発表した。SMSを使ったフィッシング詐欺「スミッシング」による被害を防止する。 不正なアプリのダウンロードやフィッシングサイトに誘導するURLなどを含むSMS、キャリアなどをかたる“なりすましSMS”などを判別してシャットアウトする機能。提供開始後に自動で稼働するため申し込みや利用開始の手続きは不要。使用料は無料。ahamoやLINEMOなどのサブブランドのユーザーにもサービスを提供する。 ドコモは警察庁や日本サイバー犯罪対策センターなどの公的機関と連携して得た情報や顧客から寄せられた報告に基づいて、送信元情報や本文内容から迷惑SMSを判別する。ソフトバンクはAIによる解析で迷惑SMSを見分ける仕組み。 関連記事 フィッシングメールの報告件数、8月は5万3177件で過去最多　偽サイトも9000件超　

アサヒビールは1月6日、主力ブランドである「アサヒスーパードライ」を2月中旬以降の製造分からフルリニューアルすると発表した。同製品のフルリニューアルは、1987年の発売以降初めての試み。中身やパッケージ、コミュニケーションを同時に刷新し他社製品との差別化を図る。 今回のフルリニューアルでは、スーパードライの特長である“辛口”のコンセプトはそのままに、発売以来初めて中身の処方を変更。“キレのよさ”は維持しながら“飲みごたえ”を向上させたという。 煮沸の終了直前にホップを投入するレイトホッピング製法による“ほのかなホップの香り”を新たに付与しつつ、発酵開始時の酸素量を制御し、酵母の働きを調整。“発酵由来のビールらしい香り”を向上させたと説明する。 パッケージは、従来品よりもシンプルで洗練させたデザインを採用。「Asahi」と「SUPER“DRY”」ロゴの視認性を向上させた。 また、缶体裏面には

コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 歯止めの利かない情報漏えい 12月22日までに日本で公表された、ECサイトにおける21年のクレジットカード情報流出の被害件数は、手元の集計では71件だった。これは前年比で約1.7倍の数値だ。しかも被害の多くで、クレジットカードのセキュリティコードまでもが盗み取られている。 本連載で過去に説明した通り、こういったWebスキミング被害の多くで、Webサイトにアクセスしたブラウザ内で動作する悪性のJavaScriptによって情報が読み取られている。不正なスクリプトをブラウザに挿入する手口と対策上の課題について

2021年は、ニュースアプリや広報アカウントの“誤配信”が例年より目立った印象がある。例えば、国土交通省北海道開発局の「国道40号ばばばばばえおうぃおい～」や、Yahoo!系アプリの「【政府発表】[配信テスト][dev]ゲリラや特殊部隊による攻撃が発生しました」などだ。 これらの誤配信には、笑えるものと笑えないものがある。本記事では21年に起きた誤配信の影響を振り返ることで、配信テストの教訓を探っていこう。 国土交通省北海道開発局の「国道40号ばばばばばえおうぃおい～」 1月19日、道路情報を伝える国土交通省北海道開発局のTwitterアカウントが「国道40号ばばばばばえおうぃおい～べべべべべべべべべえべえええべえべべべえ（9.9km）で通行止を実施しています」という謎のツイートを投稿し、「面白い」「癒やされた」と話題になった。テスト用のテキストがサーバ更新作業中のエラーにより投稿されてし

コロナ禍で一気に進んだデジタル化。そんな昨今でも特に請求書など、送ったデータを「紙でほしい」なんて言われることもあるかもしれない。わざわざ印刷して、封筒と切手を買って、ポストに投函して……と考えると、コスト以上に面倒臭すぎる。プリンタが家にない人にとっては、コンビニに駆け込んでプリントアウトするしかない（封筒と切手も買えるから一石三鳥かもしれないが……）。 そんな悩みを解決するサービスが最近Twitterで話題になった。日本郵便が提供している「Webレター」だ。簡単に説明すると、文面／宛名印刷、封筒詰め、切手貼り、発送を白黒なら1通99円からやってくれるというもの。ページ追加にも対応しており、1ページ当たり5円（最大8ページまで）。コンビニのネットプリントよりも安い。カラーは146円（同52円）。支払いはクレジットカードと料金後納に対応する。 初めにユーザー登録が必要だが、あとはWebレタ

「光回線をアナログ回線に戻せば料金が安くなる」などと勧誘し、手続き代行やオプションサービスの料金として高額な請求をする、いわゆる「アナログ戻し」のトラブルが増えている。国民生活センターが12月9日に注意喚起した。 相談件数は2018年度に316件だったが、19年度に565件、20年度は873件と年々増えている。21年は11月30日までで1398件となった。 「電話で勧誘され、了承したところ高額な契約になっていた」「NTTの勧誘だと思っていたのに別の事業者だった」といった事例が報告されている。中には通信事業者を装って家を訪問し、勧誘を断ったにも関わらず、書面を置いていくケースもあった。書面には関係のない事業者と月額約5000円の生活サポートの契約をしたことになっていたという。 国民生活センターは、1）勧誘を受けた事業者名と契約内容をしっかり確認する、2）必要のない契約はきっぱり断る、3）光回

ソフトバンクは12月2日、PC・タブレット・Wi-Fiルーター向け料金プラン「データ通信専用3GBプラン」用のオプション「時間制ギガ無制限オプション」を15日から提供すると発表した。利用時間を指定して申し込むと、その時間はデータ通信を使い放題になる。 ソフトバンクユーザーが料金などを確認できるサイト「My SoftBank」で申し込みを受け付ける。料金はデータ通信専用3GBプランの月額利用料1408円（税込、以下同）に加え、1時間が110円、3時間が220円、6時間が330円、12時間が440円、24時間が550円。 Web会議や外出中など一時的に大容量のデータ通信をする必要がある場面を想定している。 関連記事 現povoユーザーが物申したい、「ココが違うよpovo2.0」 一時はサーバダウンするほど人気のpovo2.0だが、そこに穴はないのだろうか。現役povoユーザーである小寺信良さん

スマホから「ワンセグ」が消えつつある。これまで、ワンセグは国内メーカーのスマートフォンを中心に搭載機種が多かったが、2021年に発売されたスマホでワンセグを搭載した機種はゼロだった。なぜワンセグがスマホから消えたのか。その背景を探った。 フルセグ対応機は絶滅、ワンセグ対応機は1機種のみに ワンセグは、地上波テレビ放送のデジタル化に伴って2006年にスタートした携帯電話・カーナビ向けの放送サービスで、正式名称を「携帯電話・移動体端末向けの1セグメント部分受信サービス」という。地上デジタル放送の周波数の13分の1がワンセグに割り当てられており、320×240ピクセル（QVGA）という低解像度で、携帯電話の小型アンテナでも安定して受信できるようにした放送サービスだ。 スマートフォンでは、テレビ放送と同じ解像度の「フルセグ」が受信できる機種も登場した。2013年発売の「ARROWS NX F-06

NordVPNは2021年に使用されたパスワードランキングのトップ200を発表した。2021年のデータは、国別だけでなくジェンダー別で使用されやすいパスワードを掲載した。これらのパスワードを使用しないよう注意したい。

大変残念ですが「やはり」というセキュリティのビッグニュースが飛び込んできました。あの悪名高いマルウェア「Emotet」の活動再開が観測されたとのことです。情報処理推進機構（IPA）はこれまで精力的にEmotet関連の情報を公開しており、メールの例文や添付ファイルのパターンを都度更新していました。それが今回、久々にアップデートされています。 Emotetはテイクダウンされたはずでは……？ Emotetは2017年から存在するマルウェアで、メールやWebでダウンロードした不正な書類やプログラムを通じて感染経路を拡大します。Emotetに感染したPCは、他のPCを標的にした攻撃メールを送信する踏み台として利用される可能性があります。 Emotetについては、2021年1月に欧州刑事警察機構（EUROPOL）が世界的なオペレーションの結果、攻撃インフラの停止（テイクダウン）に成功したことが記憶に新

Trend Microの調査によれば、ランサムウェアは2021年第2四半期に引き続き活発で、従来型ランサムウェアのシェアに大きな動きが見られない半面、新型ランサムウェアではシェアに大きな変動があった。同社はこの原因について「新型ランサムウェアが標的を絞り込んだ攻撃に使用されているため、脅威アクターの活動に左右されてシェアが変動している」と見ている。 ランサムウェア検出ランキング　日本は何位？ 脅威アクターによるサイバーセキュリティインシデントは世界中で毎日発生している。他国の出来事だと感じるかもしれないが、実は日本もサイバーセキュリティインシデントが多発する国の1つだ。 関連記事 Emotetが活動再開　インターネット利用者全員が取るべき対策をおさらいしてみた 複数のセキュリティベンダーが2021年1月にテイクダウンされたマルウェア「Emotet」の活動再開を報じています。メールを主な感染

神奈川県の子育て支援サイト「かながわ子育て応援パスポート」が、利用登録の際に子供の生年月日をパスワードにするよう指定していることがTwitterで話題になっている。指摘を受け、県は仕様を修正する予定。 かながわ子育て応援パスポートは、小学校6年生以下の子供を持つ子育て世代向けに、特典やサービス、支援施設などの情報を発信しているWebサイト。利用登録時にパスワードの設定画面で「最年少のお子さんの生年月日を半角数字で入力してください」と求めている。生年月日の書式になっていない場合は登録できず、設定後の変更はできない。 パスワードに認証以外の役割 県によると、パスワードに生年月日を指定しているのは、同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという。同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを

メールの添付ファイルを通じて感染するマルウェア「Emotet」が10カ月ぶりに活動を再開したと、セキュリティ企業のLACが注意を呼び掛けている。11月17日ごろから、日本の組織にも攻撃メールが届き始めているという。 Emotetに感染すると、メールや添付ファイル、メールアドレス、Webブラウザやメーラーに保存されたパスワードが窃取されたり、Emotetへの感染を引き起こすメールを他の組織や個人に送信したりする。 2014年ごろから2021年にかけて世界で猛威を振るい、関西電力や京セラ、NTT西日本など大企業を含む多数の日本企業が個人情報流出などの被害にあった。 2021年1月にユーロポール（欧州刑事警察機構）がEmotetネットワークの情報基盤に侵入して制圧したため、脅威はほぼなくなったとみられていた。 しかしLACによると、2021年11月15日、Emotetの活動再開を確認。検知数はま

米連邦捜査局（FBI）は11月13日（現地時間）、公式メールアカウントが乗っ取られ、偽の電子メールを配信した事件を認識していると発表した。現在調査中で、これ以上の情報は提供できないとしている。侵入されたメールサーバは問題発見後すぐにオフラインにしたという。 この件については、スパム情報収集の非営利組織Spamhausが同日「FBIおよびDHSから“恐ろしい”メールが送信されている。実際にFBIとDHSのインフラから送信されているが、われわれの調査によると、これらのメールは偽物だ。これらの偽警告メールは、ARINデータベースから取得されたアドレスに送信されているようだ。ヘッダは本物であり、FBIのサーバから配信されているため混乱を引き起こしている」とツイートで警告した。10万以上のメールアドレスに偽警告メールが送られたという。 本物のインフラから送信されたため、スパムフィルタをかいくぐって多

狙われるワンタイムパスワード、多要素認証を破る闇サービスが浮上：この頃、セキュリティ界隈で（1/2 ページ） ネット上のアカウントに対する不正アクセスを防ぐため、今や多要素認証は欠かせない対策となった。たとえIDとパスワードが盗まれたとしても、ワンタイムパスワードの入力が必要な状態にしておけば、アカウントは守られるという想定だ。ところがその仕組みを突破しようとする攻撃が増えつつある。 暗号資産取引所大手のCoinbaseでは、顧客約6000人がSMSを使った多要素認証を突破され、暗号通貨を盗まれる事件が発生した。 BleepingComputerによると、2021年3月～5月にかけ、何者かがCoinbase顧客のアカウントに不正侵入して暗号通貨を盗み出していたことが分かった。攻撃者はまずフィッシング詐欺などの手口を使い、顧客がCoinbaseのアカウントに登録したメールアドレスやパスワード

「僕達の新事業のQRコードを読み取ってもらえませんか？」──街中で謎の声かけにあったというツイートが話題を集めている。ツイートをしたのは、VRアーティストのせきぐちあいみさん（@sekiguchiaimi）。せきぐちさんのツイートによると、27日に中目黒駅で見知らぬ男女2人に、前述のように声をかけられたという。 せきぐちさんは「得体の知れないQRを読み込むのは怖いので検索とか出来ますか？」と返事をすると、「それはできない。じゃあ大丈夫です」と言い残し、2人組は去っていったと説明する。 このツイートを見たTwitterユーザーたちからは「怪しすぎる」や「新手の詐欺？」「中目黒以外でも見たことがある」「本当に新規事業ならもう少しやり方を考えたほうがいい」などの声が集まった。 中には「これは、一時期中国で流行した詐欺。レンタルサイクルのQRコードの上に、自分の口座に金を振り込ませるQRコードを貼