情報セキュリティ安心相談窓口の相談状況[2024年第2四半期(4月〜6月)]

公開日:2024年7月19日

独立行政法人情報処理推進機構
セキュリティセンター

相談内容

• 当組織のウェブサーバが被害を受けていることを外部からの通報で知った。
• 当組織のドメイン名のURLで他のECサイトに接続されるケースが発生している。
• 原因は特定していないが、WordPressで使用しているプラグインに問題があったと考える。
• WordPressの更新、サイトのページ等の再構築、Google Search ConsoleでキャッシュされたURLを消去したが、検索したときに別のサイトのディスクリプションが表示される。

事象の検証

• Google検索で以下の確認をすると、不審なECサイトのリンクが多数表示された。
  • (1) site: <組織のドメイン名>(ドメインで検索)
  • (2) site: www.<組織のドメイン名>(サブドメイン名で検索)
• 上記検索結果をクリックすると、不審なECサイトへリダイレクトが発生した。

回答 (対処)

• ウェブサイトの再構築をしてもすぐに改ざんされることから、脆弱性が悪用されているか、バックドアが設置されている、または認証情報が知られていると考えられ、詳細を調査し、再発防止を行う必要がある。
• サーバのアクセスログやログイン履歴、CMS(Contents Management System)のログイン履歴等を確認。
• WordPressおよびプラグインやテーマの脆弱性確認と更新。ウェブサイトを構成するウェブサーバ、スクリプト実行環境、保守アクセス用のSSH/FTP等についても確認と更新。

• (参考)
  • JVN:iPedia(脆弱性対策情報データベース)
  • IPA:サーバ用オープンソースソフトウェアに関する製品情報およびセキュリティ情報

• ウェブサイトやCMSの管理者パスワードの変更と、不審なアカウントが追加されていないかを確認。
• サイト内に不審なファイルが設置されていないかを確認。
• サイトの再構築。
• サイトが正常な状態に戻った後で、Google Search Consoleを使用して復旧後のサイト情報を再クローリングのリクエストを行うことで、検索エンジンが保持している不審なURLの削除を早められる可能性がある
• すぐに対処できない場合、ウェブサイトを一時的に停止することも検討。

対策

• ウェブサイトを構成しているソフトウェアの構成管理と、構成管理情報を基にしたソフトウェアの脆弱性情報の収集及び対策の定期的な実施。特に、WordPress等のCMSを使用している場合、CMS本体に加えて、プラグインやテーマの更新状況を定期的に確認し、脆弱性対応が行われている場合は更新する。
• 構成を変更したり、新たなサービスを提供する場合、及び定期的に、脆弱性検査や「ウェブ健康診断」を推奨。
• ネットワーク機器等を利用したネットワーク境界及びデータへのアクセス制限見直しと適切な設定実施。(詳細は、「安全なウェブサイトの運用管理に向けての20ヶ条」の3. ネットワークのセキュリティ対策を参照。)
• 不正な通信の監視、遮断をする環境の構築。
• 自組織内で一定のセキュリティを担保できない場合は、セキュリティ対策が含まれるサービスの活用も検討。
• サイト改ざんの被害にあった際の復旧策として、定期的なバックアップを行う。また、バックアップは適切に世代管理し、複数の世代を保持するのが望ましい。

• (参考)
• IPA:安全なウェブサイトの作り方
• IPA:安全なウェブサイトの作り方別冊「ウェブ健康診断仕様」(PDF:772 KB)
• IPA:安全なウェブサイトの運用管理に向けての20ヶ条〜セキュリティ対策のチェックポイント〜
• IPA:安全なウェブサイトの運営にむけて〜企業ウェブサイトのための脆弱性対応ガイド〜(PDF:1.4 MB)
• IPA:中小企業の情報セキュリティ対策ガイドライン第3.1版

相談内容

• 運営しているウェブサイトの問い合わせフォームに断続的に不審な問い合わせが届いており対応に苦慮している。
• 問い合わせ内容は、意味不明なものである。
• 入力項目として設けている、氏名や電話番号やメールアドレスには、当組織の公開情報などが入力されている。
• この不審な問い合わせは、当組織だけではなく関連する業者の問い合わせフォームにも届いていると連絡が入っている。
• どういった対応がとれるかアドバイスが欲しい。

回答 (対処)

• フォームの送信ボタンをクリックするだけで、フォームの内容がサーバで送信され処理されてしまう場合、機械的なアクセスでお問い合わせを送信することが可能。
• フォームにCAPTCHA認証を設置することによって機械的な投稿を制限することができる。
• しかし、人間が行っている場合はCAPTCHA認証は限定的なものになる。
• ウェブサーバのアクセスログにアクセス元のIPアドレスが残るが、これに規則性がないか確認し、本来の問い合わせフォームを使う必要がないIPアドレスから連続して投稿が行われている場合、当該IPアドレスをブロックすることや、処理を変えることが考えられる。例として、海外のIPアドレス等。ただし、誤ってブロックすると、本来の問い合わせが届かなくなる可能性がある。
• また、フォームへCMSやウェブサーバへの攻撃となる文字列が送信されていないか確認する。

対策

• (下記は取りうることができる対策であり、効果は限定的である対策もあり、複数の対策を施すことを検討するのが良い。)

• CAPTCHAやreCAPTCHAの設置。
• アクセス元のIPアドレスをブロックしたり、限定するなどの制限。
• 必須フィールドを設定したり、適切なフォーマット(Emailアドレス等)での入力を強要する。
• リファラー(遷移元ページやサイト)を限定することで、直接リクエストを受けることを避ける。
• フォームに入力された特殊文字のサニタイズ(除去)やエスケープ(置換)処理。

相談内容

• ヤマト運輸を騙ったメールを受信し、再配達を依頼するためのボタンをクリックした。
• 名前と電話番号と郵便番号と住所を入力する画面に、個人情報を入力してしまった。
• クレジットカード情報を入力してしまった。
• 個人情報やクレジットカードが心配だ。
• ウイルスに感染していないか心配だ。

回答 (対処)

• (1) 個人情報を入力してしまった場合

• 今後の被害としては、名前や住所が記載された内容の、迷惑メール、架空請求メール、偽メール等の不審なメールやSMSが届く可能性がある。
• 不審なメールやSMSは無視して削除。
• 不審なメールやSMS以外の被害は、あらかじめ予測することは困難なので、被害が発生してしまった場合は、発生内容に応じて適切な相談窓口に相談するように。

• (2) クレジットカード情報を入力してしまった場合

• すぐにクレジットカード会社へ連絡し、不正使用がないか確認するとともに、対処について相談するように。

• (3) その他

• 本手口において、ウイルス感染(不正なアプリのダウンロードとインストール)は確認されていない。フィッシングサイトにアクセスした際にダウンロードやインストールがなかったのであれば問題ない。

対策

• 昨今では、送信元や文面が本物らしく、判断が難しい不審メールもある。もし、本物かどうか判断に迷った場合は、公式サイトなど確かな情報源を使ってご確認する。
• 真偽がはっきりしないメールについては、下記の対応をする。不審メールであった場合、被害につながる恐れがある。
  • (1) 添付ファイルを開かない
  • (2) 記載のURLやメール内のボタンからウェブサイトにアクセスしない
  • (3) 記載の電話番号に電話をしない
  • (4) 返信しない

• (参考)
• IPA:URLリンクへのアクセスに注意!〜主な手口と、被害にあわないための対策について〜
• フィッシング対策協議会:ヤマト運輸をかたるフィッシング (2023年02月03日)
• 迷惑メール相談センター:ヤマト運輸になりすました偽メール「件名:お荷物のお届けのお知らせ【受け取りの日時や場所をご指定ください】」(本メールは、実在の企業と無関係に送信されたものです)(2024年6月28日の注意喚起)
• ヤマトホールディングス:ヤマト運輸の名前を装った「迷惑メール・電話」が多発しています。「なりすましサイト」への誘導に十分ご注意ください

相談内容

• インターネットでサイトを閲覧していると、突然、マイクロソフトディフェンダーの警告画面が表示され、警告音が鳴りはじめた。
• ESCキーを押しても画面が切り替わらなかったため、表示されていた010から始まる番号へ電話をかけた。
• 日本語を喋る外国人サポートだと思い込んでしまい、言われるままに遠隔操作ソフトをインストールした。
• 偽のサポートがネットバンクのセキュリティについても確認すると説明し、口座へのログインが必要だと言われたので、IDとログインパスワードを入力してしまった。ワンタイムキーを入力する前に止めてログインはしなかったが、心配だ。
• 最終的に修理のために4万円必要だと言われ、この時点でマイクロソフトではなく詐欺だと気付き、通話を切り、パソコンの電源を切った。
  
• 通話を切ったすぐあとに、電話がかかってきた。番号が03で始まる東京の番号で、調べてみたら実在するサービス業者の番号だったが、そのサービス業者は利用したことがない。
• ネットバンキングに関しては、すぐに確認し、出金された痕跡はなかったが利用制限を設定した。

補足説明

• 着信中の表示や、着信履歴で次のような表示が確認されている。
  • (1) 登録名(電話帳に登録している名前等)が表示される部分に、『 03 xxxx xxxx 』と表示。
  • (2) 発信者電話番号が表示される部分に、『 +813xxxxxxxx 』と表示。
  • 注釈:xxxxxxxxの部分は都内に実在する電話番号。
• 4月以降のサポート詐欺の相談で、この都内の番号から折り返しの電話がかかってきたという事例を数件受付けている。電話に出てしまったという別の相談者によると、サポート詐欺を行っていた外国人の声だった、という情報もある。
• 海外のネット上のサービスやアプリで、発信者番号を偽装して電話をかけるものがあることを確認している。(これらが使用されているかは未確認)

回答 (対処)

• 遠隔操作されたパソコンは、遠隔操作の及ぼす影響について判断できないため、システムの復元によって遠隔操作前の状態に復元する。システムの復元ができない場合はパソコンの初期化を推奨。
• ネットバンキングで入力したパスワードは変更する。
• 遠隔操作中にAmazonでギフトカードを不正に購入した事例があるので、Amazonを利用している場合は、購入履歴やログイン履歴を確認。
• サービスの不正利用により金銭被害が発生した場合は、サービスの提供元と警察に速やかに相談。
• 着信した電話の詳細は不明だが、サポート詐欺の折り返し電話であれば無視することでかかってこなくなる。身に覚えのない番号であれば無視して様子をみる。もし電話に出てしまっても不審な相手であればすぐに切る。

対策

• 偽の警告を信じて電話をしない。
• ベンダーによる正規サポートなどの正当な場合を除いて、パソコンやスマートフォンを安易に第三者に遠隔操作させない。
• 遠隔操作を許可した場合は、決して画面から目を離さない。
• 着信した電話は、身に覚えがない番号や不審な番号であれば無視するのが望ましい。出てしまった場合でも、不審な相手であればすぐに切ることで、それ以上の被害は防げる。

• (参考)
• IPA:偽のセキュリティ警告に表示された番号に電話をかけないで
• IPA:偽セキュリティ警告(サポート詐欺)対策特集ページ
• IPA:遠隔操作ソフト(アプリ)を悪用される手口に気をつけて!