【転載】マルウェアEmotetの活動再開（2020/07/17-）

マルウェアEmotetの活動再開（2020/07/17-）:



2019年より日本に向けても活動を行っているマルウェアEmotet (2020/02/07以降活動休止) が2020/07/17より約5ヶ月ぶりに活動を再開しました。



※Emotetは休止以前と基本的な挙動は変わっていません。以下の記事の内容は有効です。

・マルウェアEmotetについて

・Emotet感染時の対応

■活動再開とは

活動再開、というのは何を意味しているかというと「Emotetに感染した端末がEmotetに感染させるようなメールの送信を再開した」ということです。


2020/02/07以降もEmotetは感染した端末上でC2と通信を行い、Emotet自身のバイナリの更新などを行っていました。
しかし、メールの送信活動は2/7以降確認されていませんでした。
今回、メール送信活動が確認されたため、Emotetの活動再開、といわれています。



最初に確認したのはSpamhausです。

EMOTET UPDATE | We are observing more activity coming from the #Emotet #Botnet today. We are seeing email traffic from this botnet again. Both URLs and Attachments are being utilized for distribution. #malspam #threatintel pic.twitter.com/9zrc9fWMlN

— Spamhaus (@spamhaus) 2020年7月17日

国際的なEmotet対策の有志のチームである @Cryptolaemus1 もすぐに確認しています。

#Emotet Quick Recap - E2 start spamming around 1400UTC - shortly there after @nazywam @spamhaus alerted us to this. E2 was confirmed to be spamming attachment docs and links. E3 seemed to fire up next doing both forms of malspam and then E1. All of them were spamming at 1530UTC.

— Cryptolaemus (@Cryptolaemus1) 2020年7月17日

 日本時間2020/7/17 23時(1400 UTC)頃からメール配信が始まったようです。Emotetの3つあるbotグループのうち、メインであるE2からはじまり、その後にE3,E1もメール配信が始まり全てのbotグループでメール配信が始まっています。その後7/18 7時(2200 UTC)頃まで続いたようです。



なお、活動休止中に何をしていたかというと、Emotetのバージョンアップを画策していたのではないか、と言われています。休止の直前にEmotetの実行ファイルの大きなバージョンアップがあり、これが意図した通り動いていないのでは、という憶測もありました。実際、幾つかテスト的な動きや変更は見れたものの、予想されたように大きくバージョンアップされることはなかったようです。

■変更点

2/7以前と比較して、以下の点が変わっています。

• デコイファイル(docファイル)の見た目

メールの添付ファイルまたはメール内のリンクからダウンロードされるファイルの中身の表示内容が新しくなっています。

• 感染ファイルのハッシュのユニーク化

端末がEmotetの実行ファイルに感染後、C2からファイルが更新される際にバイナリの一部が書き換えられ、端末ごとにハッシュが異なるハッシュに書き換えられるような処理が加わっています。
　以前から言われていますが、hashの一致による検出というのはEmotetに対しても無意味です。

• （正確には2/6からの変更点）Emotetの感染後のファイル名と永続化の設定の変化

Emotetは端末に感染後、ファイル名を変えます。変更後のファイル名は2020/1ではハードコードされたリストの中から選択する形でしたが、現在は端末のC:\Windows\system32\フォルダにあるexeまたはdllのファイル名を選択するようになりました。
　また、以前は変更後のファイル名を特定のレジストリ(HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\配下)に書き込んでおり、これを調査することでEmotet感染有無を調べることが可能でしたが、現在ではこの設定は使われなくなり、感染の度に上記のフォルダ内にあるファイル名から選択され直します。

　これにより、Emotet感染有無を確認可能なツールであったJPCERT/CCの「EmoCheck」はすり抜けられてしまいます。

■変わっていない点

• 感染手法

メールの添付ファイルまたはメール内のリンクからダウンロードされる.docファイルのマクロを有効化することで感染に至ることは変わりません。
感染しないためにはファイルを開かない、マクロを有効化しないことが重要な対策となります。

• PoserShellによる実行ファイル取得

docファイルのマクロを有効化するとPowerShellが実行され、外部サイトへアクセスしEmotetの実行ファイルを取得してくることも変わりありません。



PowerShellの引数から通信先を取得するには以下のツールで可能です。

CyberChef レシピ実装済URL
https://gchq.github.io/CyberChef/#recipe=From_Base64('A-Za-z0-9%2B/%3D',true)Decode_text('UTF-16LE%20(1200)')Split('%5C'','%5C%5Cn')Split('*','%5C%5Cn')Extract_URLs(false)Defang_URL(true,true,false,'Valid%20domains%20and%20full%20URLs') 

 インターネットへのPowerShellによるアクセスをWindowsFirewallなどで制限することでも感染を防ぐことが可能です。

• 返信型メールとばらまき型メール

メールの本文は幾つかのテンプレートの中から選ばれるばらまき型メールと過去の正規メールの本文を窃取して会話している相手にメールを送る返信型メールがあります。
再開後のメールでも、既に同じようにどちらのパターンも確認されています。

EMOTET UPDATE | We are observing more activity coming from the #Emotet #Botnet today. We are seeing email traffic from this botnet again. Both URLs and Attachments are being utilized for distribution. #malspam #threatintel pic.twitter.com/9zrc9fWMlN

— Spamhaus (@spamhaus) 2020年7月17日

■日本への影響

既に、日本でもEmotetに感染するメールの受信を確認しています。

エモいのきた。 #Emotet https://t.co/2ZXPGRGy6p

— _roku_ (@00001B1A) 2020年7月17日

日本語ではありませんが #Emotet 来ました。
Subject: Estimate R9334
Filename:Estimate.doc
Hash(MD5):a419ea9e968fb2d21f38927014a24210
Anyrun:https://t.co/BFYzqQJAhy pic.twitter.com/nFnbYPcXbY

— さとっぺ (@satontonton) 2020年7月21日

また、国内のメールサーバ/メールアカウントを利用してメールを送信されることも確認しています。以前より国内外のリサーチャーらと協力し、そういったアドレスを収集し可能な範囲で被害者へ連絡を入れています。今回は活動再開後の数時間で20以上のアドレスが共有されました。（被害者には通知済です。）



これらのアドレスがどうやってEmotetに窃取されてしまったのかというと、2月以降も継続的にEmotetに感染したままだったと考えられます。（Emotetは一度感染した後も定期的に自身を更新し続けるため、アンチウイルスソフトにより検知・駆除することが困難です。）

Emotetは6月以降にメール情報を窃取するモジュールを感染端末で使用し始めていました。その時にメールアカウント情報が盗まれてしまい、メール拡散の基盤として悪用されてしまったのだと考えられます。
観測されている返信型メールでは、6月や7月に送受信したメールを悪用されているケースもあり、これも同じモジュールによるものと考えられます。

Emotetの攻撃者グループも活動再開をする準備を行った上で活動再開しているということが考えられます。

■活動再開後の動き

2020/07/17(金)に活動再開後、翌営業日の2020/07/20(月)の同じく23時頃より、再度Emotetに感染させるメールの送信活動を再開しました。

#emotet C2 binary update ~13:30 UTC 20200720

only E2 changes at the moment, update will follow

spamming on E1/E2 currentlyhttps://t.co/N6Y3ePaTRm

— Cryptolaemus (@Cryptolaemus1) 2020年7月20日

 E1, E2が動いた1時間後からE3も動き出しました。金曜日はテストなのか以前に比べて配信ボリュームも小さかったですが、月曜日はより大きな配信量となっていました。

 また、7/20(月)よりEmotetが他のマルウェアに二次感染させるようになりました。休止以前より活発に感染させていたTrickbotです。
TrickbotはGtagがmor113でした。過去2/7の時点ではmor93であり、休みの5ヶ月の間にも恐らくはEmotetからTrickbotへの二次感染は行われ続けていた（検知回避を目的としてTrickbotもEmotetによって約20回(約週1回)更新されていた）のだと考えられます。

#Trickbot observed on #Emotet, Epoch1. Gtag: mor113.
Stay safe out there guys. I'll see if I can share the sample I have.

— James Quinn (@lazyactivist192) 2020年7月20日

2020-07-20 (Monday) - Data dump: #Emotet infection with #Trickbot - includes an #Emotet only #pcap from Friday 2020-07-17 - and 14 examples of Emotet #malpsam (3 with attachments, 11 with links) from today (Monday) - https://t.co/uij4uSIyyf pic.twitter.com/qHkT2OMS2Q

— Brad (@malware_traffic) 2020年7月21日 

二次感染するマルウェアは7/21 午後にはQbot (Qakbot) に変更されました。

17時頃にEmotetからQbotに二次感染するケースが確認されました。

qbot のsamplehttps://t.co/6H4ZMl7ed7

— bom (@bomccss) 2020年7月21日

 配信手法にも変化があり、docの添付ファイルとメール本文のリンクからのdocファイルだけでなく、7/21には添付したpdfファイルに含まれるリンクからdocファイルへ誘導するタイプが出ました。

Proofpoint researchers have observed a shift in #Emotet payload delivery. Geos include #Argentina #Brazil #Canada #Chile #Ecuador #Mexico #US #UK. Malicious URLs are now being distributed in PDFs, in addition to maldocs & malicious URLs in email body.

— Threat Insight (@threatinsight) 2020年7月21日

メール配信で使用されるテンプレートの言語も、始めは英語だけだったものが、 スペイン語、フランス語、ポルトガル語、と日々増えています。

日本時間 7/21 のEmotetの動きは

感染経路として
・docの添付ファイル
・メール内リンクからdocファイル
・pdfの添付ファイル内のリンクからdocファイル

メールの本文テンプレートは英語以外も出現(4言語)したが、日本語はまだ確認されていない。

しかし、返信型メールは日本にも既に着弾している https://t.co/xmLRDFw28b

— bom (@bomccss) 2020年7月21日

<2020/07/23追記>
2020/07/23 8:30頃より、日本語の件名、本文、添付ファイルのEmotetに感染するメールが確認されました。

2020/07/23 8:30頃より、日本語件名の #Emotet のメールの送信を確認しました。

以前にも来ていた、請求書系の件名です。https://t.co/LexHXzwDZU

ご注意ください。 pic.twitter.com/Ex78DN7PWT

— bom (@bomccss) 2020年7月23日

【注意】#Emotet
日本語の件名、本文、添付ファイル名のメールを観測しました。

件名：請求書の件です。 17447 20200723

sample：https://t.co/bCx6BYdVmj pic.twitter.com/aJAsW2lKLC

— sugimu (@sugimu_sec) 2020年7月22日

幾つかのi日本語パターンを確認しました
送信には窃取されたメールアカウントが使われているため、差し出しメールアドレスが異なる点に注意ください。 pic.twitter.com/cxpgkfwgjW

— moto_sato (@58_158_177_102) 2020年7月23日

今朝届いた #emotet メールです。
件名:請求書の件です （ランダムな数字）_（日付）
File:（件名と同じ）.doc pic.twitter.com/itep2hBLAU

— さとっぺ (@satontonton) 2020年7月23日

  休止前に使われていたテンプレートが再度利用されるようになりました。以前の件名と添付ファイル名のパターンはこのようになりますが、今回も同様のものが観測されています。

■今後の動き

総じて、Emotetは活動を再開した、と言って良いと考えられます。
これは、メール送信を再開した、ということだけではなく、サイバー犯罪グループとして利益を最大限巻き上げるための活動を再開した、という意味です。
そしてそのための攻撃活動は徐々に勢いを増していく、と考えられます。

Emotetは自身に感染させることでメール配信基盤を構築し、更に感染数を増加させます。5ヶ月の休止期間で多少は減ったであろう感染端末を再び取り戻すために感染数を増加させることに力を入れると考えられます。

それと同時に、メールを窃取することで、メールから文書を学習していこうとしているように感じられます。学習が終わった言語から、テンプレートが増えていくのではないかと考えられます。


1つ不思議な点として、活動再開後のメールテンプレートが非常に簡素なことです。返信型であれ、ばらまき型であれ、短くて種類も少ないです。活動休止前にはあんなにも巧妙なメールテンプレートを使っていたにも関わらず、それを再利用している気配がありません。
もしかしたら、EmotetのC2のメール情報を蓄えていたDB（で表現が正しいかは不明ですが）が意図的かは不明ですが初期化されたのかもしれません。それにより、イチからメール情報を学習し直しているのかもしれません。
もしそうであれば、日本語を学習されないためにも感染端末を増やさない、減らしていくことが重要です。



<2020/07/23追記>
Emotetの活動再開後、日本語のメールが使われる前から、感染端末と見られる数は日々増加しています。

そして、日本を明確に標的としたEmotetに感染するメールが確認されました。日本も標的としてますます感染端末数が増えてしまうことが懸念されます。

既に同じ組織内でEmotetに感染するメールを送りあって組織内の感染が増えてしまっているとみられるものも出てきています。

活動休止前に使われていたメールテンプレートの再利用も確認されました。 今後、ますますメールのテンプレートのパターンが増加してくることが予想されます。中にはとても巧妙なもの（件名：会議開催通知）もありましたので、注意が必要です。

■最後に

残念ながら日本国内には既に感染端末は多数存在します。感染による負の連鎖で感染端末が再び日本国内で爆発的に増加しないように、対策を取る必要があります。対策は休止前と何も変わりません。

個人としては、docファイルは開くかどうか特に注意する、マクロの自動実行は許可しない、デコイ文書の画像が見えたらマクロは有効にしない。

組織では、メールセキュリティ製品でマクロ付きdocファイルを規制する、PowerShellによる外部への接続を制限する、URLHausのfeed( https://urlhaus.abuse.ch/api/ )を取得しブロックリストに加える、感染拡大防止のために管理共有を無効化しておく、といった対策が必要です。

少しでも感染する機会が減ることを願っています。

【転載】最新の状況に刷新「TLS暗号設定ガイドライン」など公開（NICT、IPA）

最新の状況に刷新「TLS暗号設定ガイドライン」など公開（NICT、IPA）:

• 
  
  TLS暗号設定ガイドライン
  
  
  

国立研究開発法人情報通信研究機構（NICT）と独立行政法人情報処理推進機構（IPA）は7月7日、共同で運営する「暗号技術活用委員会」の2019年度の活動成果として、「TLS暗号設定ガイドライン」第3.0版および「暗号鍵管理システム設計指針 (基本編)」第1版を作成し、公開した。TLS暗号設定ガイドラインは、2020 年 3 月時点における TLS 通信での安全性と相互接続性のバランスを

踏まえた TLS サーバの設定方法を示すもの。



以前の「SSL/TLS 暗号設定ガイドライン（version 1.x/2.x）」発行以降、TLS1.3 発行[RFC8446]や、SSL3.0禁止[RFC7525]、ChaCha20-Poly1305 追加[RFC7905]、RC4 禁止[RFC7465]など、同ガイドラインの記載内容に大きく影響する規格化が相次いで行われており、SSL/TLS の利用環境も大きく変化した。また、推奨セキュリティ型で利用が認められていた TLS1.0 や TLS1.1 は、本ガイドラインではセキュリティ例外型のみで利用可能としている。



具体的には、次のような要求設定となっている。



・高セキュリティ型

TLS 1.2

→TLS 1.3（必須）およびTLS 1.2（オプション）

・推奨セキュリティ型

TLS 1.2～TLS 1.0のいずれか（PFSなしも推奨）

→TLS 1.2（必須）およびTLS 1.3（オプション）、PFSのみ推奨

・セキュリティ例外型

TLS 1.2～SSL 3.0のいずれか

→TLS 1.3～TLS 1.0のいずれか



また、以前のバージョンではすべての設定項目が「要求設定」となっていたが、本バージョンでは設定項目が安全性へ寄与する度合いを考慮し、最低限の安全性を確保するために必ず満たさなければならない「遵守項目」と、当該設定基準としてよりよい安全性を実現するために満たすことが望ましい「推奨項目」に分け、より現実的かつ実効性の高い要求設定としている。



章構成においても、以前のバージョンでは「プロトコルバージョンの設定（4 章）」「サーバ証明書の設定（5 章）」「暗号スイートの設定（6 章）」として、それぞれの章に高セキュリティ型、推奨セキュリティ型、セキュリティ例外型の設定項目を記載していたが、本バージョンでは「推奨セキュリティ型の要求設定（4 章）」「高セキュリティ型の要求設定（5 章）」「セキュリティ例外型の要求設定（6 章）」とし、それぞれの章にプロトコルバージョン、サーバ証明書、暗号スイートの設定項目を記載。参照しやすくしている。



暗号鍵管理システム設計指針 (基本編)は、セキュアな暗号アルゴリズムを利用する上で極めて重要な役割を果たす「暗号鍵」の管理に関する在り方を解説し、暗号鍵管理システム（CKMS：Cryptographic Key Management）を設計・構築・運用する際に参考すべきドキュメントとして作成されたもの。暗号鍵管理の位置づけと検討すべき枠組みや、技術的な内容について解説している。

《吉澤 亨史（ Kouji Yoshizawa ）》




バックアップ

事業会社におけるセキュリティの位置付け

ガートナーの長谷島さんの本「変革せよ！IT部門」を読んで、事業会社におけるセキュリティの位置づけが少し進んだ。

事業会社におけるセキュリティとは、果たして何なのだろうか。

対策を怠ると機密情報が流出したり、企業のブランドイメージを毀損する等に繋がる一方で、セキュリティに投資をしても売り上げ増には繋がらない。

となると、コストに位置付けられる。

頑張ってもCSR(企業の社会的責任)強化程度の説明にしかならない。

一方で、このセキュリティをITガバナンスの一部としてみると、少し景色が変わってくる。

ITガバナンスとして俯瞰するとセキュリティはJ-SOXやIFRSと同列のものとして出てくる。

J-SOX対応やIFRS対応をコストだからと言ってケチる経営者はいるのだろうか？

セキュリティもJ-SOXやIFRSと同様の統制強化の一環として取り組めば、コスト云々の苦行から脱することができるのではなかろうか？

ただ、J-SOXやIFRSはある程度のゴール設定があるのに対して、セキュリティはDXの一部でもあり、明確なゴールは設定できない(正確には設定しても時間の経過とともに変わってしまう)。

そうなると、アプローチとしては「やるべきこと」をまずは洗い出し、優先順位を立てて絞り込んでいく流れとなる。

絞り込みのアプローチの一つとしては、原資を明確にすることである。

セキュリティの原資はIT予算における比率で計算する。

で、IT予算はどう計算するのかというと、企業の売上高から計算する。

例えば、売上高1,000億円のA社があるとする。

一般社団法人日本情報システム・ユーザ協会(JUAS)の調査によると、金融業界のIT 予算(19年度)はトリム平均で売上高の1.28%となっている。

まず、ここから適切なIT予算を試算する。

1,000億円x1.28%=12.8億円

次に、このIT予算からセキュリティ対策の原資を試算する。

JUASの調査によると、 IT 予算中の情報セキュリティ関連費用割合は、15％以上と 5％未満の高低 2 極に分かれる傾向にあるので、15%のケースと、平均して10%のケースで試算してみる。

15%のケース：12.8億x15%=1.92億円

10%のケース：12.8億x15%=1.3億円

これで、セキュリティ対策の原資が出せたので、「やるべきこと」の優先順位を踏まえて対策の予算化を行う。

これは、IT予算からの算出アプローチだが、同様に売上高に占めるJ-SOX対応やIFRS対応のコストと比較しながらセキュリティ対策の原資試算を行ってみてもいいかもしれない。

【参考】
企業IT動向調査報告書2020（一般社団法人日本情報システム・ユーザ協会(JUAS)）

セキュリティ対策の基本はシステムの運用管理徹底にアリ！？

2020年7月までに国内外の複数のドメイン名が「Subdomain Takeover」とみられる影響を受け、当該サイトに接続した利用者が詐欺サイトに誘導される事象が発生している。

自分も調べてみたところ、日本〇〇〇産業のサブドメインがことごとく詐欺サイトに転送される様を目の当たりにした。

今回の件、正解かどうかは置いておいて、自分の中では↓の様に一旦理解した。

情報セキュリティには3つの脅威があるといわれている。

■技術的脅威
プログラムが介在するもの。

・マルウェア
・フィッシング詐欺
・標的型メール
・クロスサイトスクリプティング
・バッファオーバーフロー攻撃
・Dos攻撃
・ポートスキャン
・ゼロデイ攻撃
・総当たり攻撃、etc

■人的脅威
直接 人が関わるもの。

・操作ミスによるデータ消失
・外部にパソコンやUSBメモリーを持ち出して紛失
・内部関係者による意図のあるデータ抜き取り
・メール誤送信による情報漏洩
・パソコンや記憶機器などの盗難

■物理的脅威
物理的に破損したり妨害されたりするもの。

・地震
・洪水
・火災、etc

すべての脅威は大体この中に当てはまるという。

で、今回の「Subdomain Takeover」は何に当たるか？

個人的な見解は「人的脅威」である。

今回は役目を終えたDNSのCNAMEレコードを消さずに放置するという、事業会社のITシステムの管理責任の怠慢である。

cloudapp[.]netの名前が出たが、これはあくまで事件の舞台の話であり、最終責任は利用する企業の側にある。

事業会社が契約しているクラウドの設定を誤って自社の機密情報を露出させるのと同じレベルである。

個人的にはこういったITシステムの管理がだらしない会社は実名公表していったほうが、長期的にはIT部門のためになると思うのだが。。。

【参考】
https://piyolog.hatenadiary.jp/entry/2020/07/08/025056
https://blog.shibayan.jp/entry/20200707/1594111967
https://twitter.com/hdais/status/1280355564208353282
https://www.pc-master.jp/security/kyoi.html

【転載】Subdomain Takeoverによる詐欺サイトへの誘導についてまとめてみた

Subdomain Takeoverによる詐欺サイトへの誘導についてまとめてみた:

2020年7月までに国内外の複数のドメイン名が「Subdomain Takeover」とみられる影響を受け、当該サイトに接続した利用者が詐欺サイトに誘導される事象が発生しています。ここではこの事象に関連する情報をまとめます。

何が起きてるの？

誘導される詐欺サイトの一例

• 大手組織を含む複数のドメイン名において、検索サイトから接続した際に詐欺サイトへ遷移させる事象が発生していた。
• 各組織管理のサーバーやレジストラ、CDNサービスが直接被害を受けたのではなく、Subdomain Takeoverと呼称される手法により過去使用されていたドメイン名が狙われたとみられる。

どう対応すればよい？

• 
  不要なCNAMEレコードを削除する。

影響範囲は？

• 正確な被害状況は把握していないが、複数の国内外のドメイン名が影響を受けており、検索にかかるものだけでも100件以上をpiyokangoは確認（2020年7月7日時点）。既に対応されたものを含め、日本の上場企業のドメイン名でも今回の被害を確認している。
• 影響を受けたドメイン名においてサブドメインに使用される文字列から、開発(dev)やテスト(test)、デモ(demo)等の一時的な利用目的だった可能性がある。

影響を受けたドメイン名は「近日公開」とトップページに掲載されていた同じ構成のページが検索に複数表示される状況

自組織が影響を受けた（受ける）か確認するには？

1. 自組織のドメイン名において、CDN等の外部のサービス（今回のケースではMicrosoft Azureが確認されている）を定義したCNAMEレコードが存在するかを確認する。
2. 該当のCNAMEレコードが存在する場合、定義されたサービスが正常に稼働しているかを確認する。

Subdomain Takeoverって何？

今回確認されたSubdomain Takeoverのケース

• Not foundとなったCNAMEレコードを対象に、自組織で管理するサブドメインが被害に遭う攻撃手法。
• CDN等の外部サービスが定義されたCNAMEレコードにおいて、定義先のサービスを終了したにもかかわらずCNAMEレコードがそのままとなっている、かつ外部サービス側で使用されるドメイン名に第三者が任意のサブドメインを指定でき所有確認等が行われない場合、影響を受ける可能性がある。*1
  

【Subdomain Takeover】
①Webサイトを立ち上げ（一般的な運用）
- CDNを契約
- CDNへのCNAMEを、自分のドメイン名に設定

②Webサイトを終了
- CDNを終了
（この時点でCNAMEの参照先が削除、Not foundに）
- CDNへのCNAMEはそのまま
（削除の必要があると思ってない or 削除忘れ）

この状態で、

— Yasuhiro Morishita (@OrangeMorishita) 2020年7月7日

（承前）
③悪意を持つ第三者が、この状態のドメイン名を発見
- この状態のドメイン名は、Subdomain Takeoverに対して脆弱
④悪意を持つ第三者が、一般客として同じCDNを契約
- CNAMEの参照先と同じドメイン名のWebサイトを、CDN上に作成

→ Subdomain Takeoverが成立

— Yasuhiro Morishita (@OrangeMorishita) 2020年7月7日

確認されている被害は？

• 被害を受けたドメイン名の解決先が攻撃者が設置したAzure上のサーバーとなり、検索サイトから接続した場合、このサーバーよりリダイレクトされ最終的に詐欺サイトへ誘導される。
• 攻撃者のサーバー上には検索サイトに表示されることを目的にしたと推定される無数のランディングページが存在している。トップページにはsitemap.xmlが設置されており、ある被害を受けたドメイン名配下のsitemap.xmlでは3万件以上のURLが掲載されていた。

大量のランディングページが存在か

• 検索結果にも表示されるケースが確認されており、今回の事案の影響を受けたサイトに対してなりすまされた組織側が注意喚起を行っている。

関連情報

• Subdomain Takeoverの影響は第三者にWebサイトが設置されるというだけでなく、稼働するサービスに影響が及ぶ可能性もある。最近では2020年4月に修正されたMicrosoft Teamsのアカウントハイジャックの脆弱性が有名。www.cyberark.com
  

• 以下の方の情報を参考にさせていただきました。

MS Azure Cloud Services のデフォルトドメイン cloudapp[.]net にCNAMEが向いている大量のWebサイトが改ざんされているようです。
Googleでの検索結果には何れも星評価が付いています。
(1/N) pic.twitter.com/5kDUZTGPg2

— tike (@tiketiketikeke) 2020年7月6日

diary.shift-js.info

更新履歴

• 2020年7月8日 AM 新規作成

*1:AWSのCloudfrontではSubdomain Takeover対策とみられる仕組みが導入されているとの情報がある

ノーモア〇〇〇〇

「ノーモア....」と聞いて、後続の言葉として何が思い浮かぶだろうか？

恐らく、圧倒的に多いのは「ノーモア映画泥棒」だと思う。

また、セキュリティ業界の多くの方は「ノーモアランサム」を連想される方もいるかもしれない。

んで、今日のテーマは「ノーモアコンサル」である。

自分は事業会社サイド(=ユーザー企業)のITに長く携わってきたが、ガートナーの長谷島さんの本「変革せよ！IT部門」は結構納得させられることが多い。

ユーザー企業のIT担当の価値とは何だろうか？

それは自社に最適なITシステムを導入し、そのシステムのマネジメントを通じて自社の利益に貢献(又はリスクの最小化に貢献)することである。

当然ITシステムの導入に際しては自社単体では難しいので、ITベンダーを活用する。

ユーザー企業におけるIT担当の価値は、ここでITベンダーの意見を鵜呑みにせず、自分自身の考えるあるべき姿や、自社にとってのベストプラクティスは何かを考え、ITベンダーやコンサルをマネージすることである。

そして導入～運用フェーズに向けてはドキュメント化を進め、内製化を行い、ランニングコストの最適化を図る。

また、自社のIT戦略策定についても最初は自社単体では厳しいため、コンサルを活用する。

しかし、コンサルに丸投げで後はヨロシクでは駄目である。コンサルがまとめたものは所詮はコンサルがまとめたものであり、それを踏まえて、自社のITシステム担当が最後は責任をもって作り上げるのである。

可能であれば、コンサルに任せた戦略策定のプロセスそのものも吸収して内製化し、次回の戦略策定からは自社で実施するというのもありかもしれない。

自分はこれがユーザー企業におけるIT部門の価値だと思う。

これを怠り、ITベンダーやコンサルに丸投げを続けて自身の価値を落としていくと、↓みたいな結果を招く。

ソニー、社内IT業務をアクセンチュアに委託

ITベンダーやコンサルは適材適所で使用するのは全く構わないが、過度に依存しすぎるのはまずい。

長谷島さんも本に書いているが、間違ってもよいので、自分たちで考えることが重要である。

出典：変革せよ！IT部門

【転載】新しい Behave! 拡張機能は、ウェブサイトのポートスキャン、ローカル攻撃について警告します。

新しい振る舞い!拡張は、ウェブサイトのポートスキャン、ローカル攻撃を警告します:

振る舞うという新しいブラウザ拡張機能!Web サイトがスクリプトを使用して、ネットワーク上のローカルおよびプライベート IP アドレスに対してスキャンや攻撃を実行している場合は、警告が表示されます。

Web を参照する際、Web ページに埋め込まれたスクリプトを使用して、訪問者のコンピュータを開いている TCP ポートをポート スキャンするだけでなく、ネットワーク上の他のデバイスへの攻撃を開始することもできます。

5月には、eBay、シティバンク、TDバンクなどの有名なサイトが訪問者のコンピュータをポートスキャンして、その上で実行されているWindowsリモートアクセスプログラムを識別することが判明しました。

eBay ポートスキャンサイト

ソース: ブリーピングコンピュータ

このポートスキャンは、サイトを使用しようとしている潜在的にハッキングされたコンピュータを検出するために使用される詐欺防止スクリプトによって行われました。

正当な理由で行われている間、ポートスキャンされているユーザーは、侵入的でプライバシー侵害を見つけます。

さらに悪いことに、悪意のあるアクターは、Web サイトに埋め込まれた JavaScript を使用して DNS 再バインド攻撃を実行します。

DNS 再バインド攻撃は、DNS 解決が短い TTL を介して操作され、被害者のコンピュータを使用して同じ発信元ポリシー (SOP) をバイパスし、内部ネットワーク上の他のデバイスに対する攻撃を開始する場所です。

これらの攻撃は、ルータ、IoT デバイス、および  脆弱なソフトウェアを実行することが知られている他の内部コンピュータに対して使用される一般的な です。

行きの行き見を入力してください!ブラウザ拡張機能

ステファノ・ディ・パオラ、共同創設者、CTO、マインドセキュリティのチーフサイエンティスト、ベベ動作によって作成されました!ブラウザ拡張機能は、訪問者のコンピュータ上でローカル攻撃やスキャンを実行するためにブラウザ機能を悪用するWebサイトのユーザーに警告する実験として生まれました

「振る舞う!これらの機能の一部を乱用する可能性のある Web ページの動作に関する概念的な実験として生まれました。これからも、意識を高めるのに役立つ長期的なプロジェクトになるかもしれない」と語った。

「例えば、ローカルポートスキャン、クロスプロトコル攻撃、DNS再バインドは、Webエコシステムのコア機能を乱用しているため、ブラウザベンダーによってまだ可能であり、完全に「修正」することは困難な非常に古い攻撃です。

インストールすると、振る舞う!次のブロックに属する IP アドレスにアクセスしようとするスクリプトを監視します。

• ループバック アドレス IPv4  127.0.0.1/8
• ループバック アドレス IPv6  ::1/128
• プライベート ネットワーク IPv4  10.0.0.0/8    172.16.0.0/12  -  192.168.0.0/16
• 一意のローカル アドレス IPv6  fc00::/7

検出された場合、拡張機能のアイコンには赤いインジケータが表示され、クリックするとサイトによって実行されたアクティビティが一覧表示されます。

動作！eBay からのポートスキャンの警告

拡張機能は、動作が検出されたときにブラウザー通知を表示するように構成することもできます。

ブラウザ通知

拡張機能のバグが DNS 再バインドアラートで誤検出を引き起こす可能性があり、ディ Paola は修正に取り組んでいます。

行き振る舞い!拡張機能は、クロムとFirefoxの両方のために利用可能であり、ディパオラは、彼がエッジとサファリのためにそれをリリースしたいと私たちに言いました。

将来追加したいと考えている機能には、「ローカル接続を実行すると予想されるホワイトリストのウェブページ/ホスト名」や「不審なアクションを実行するコードを追跡する」機能などがあります。

あなたが訪問するウェブサイトからの潜在的に虐待的な行動について警告されることに興味がある人のために、振る舞ってください!インストールする興味深い拡張機能です。



ー以下原文ー

A new browser extension called Behave! will warn you if a web site is using scripts to perform scans or attacks on local and private IP addresses on your network.

When browsing the web, scripts embedded on web pages can be used to not only port scan a visitor's computer for open TCP ports, but also initiate attacks on other devices on your network.

In May, it was discovered that well-known sites such as eBay, Citibank, TD Bank, and more would port scan a visitor's computer to identify Windows remote access programs running on it.

eBay port scanning a site
Source: BleepingComputer

This port scanning was conducted by the LexisNexis' ThreatMetrix fraud protection script used to detect potentially hacked computers trying to use the site.

While done for good reasons, users who are being port scanned rightfully find them intrusive and a privacy violation.

Even worse, malicious actors will also use JavaScript embedded on web sites to perform DNS Rebinding attacks.

DNS Rebinding attacks are where the DNS resolution is manipulated through short TTLs to use a victims' computer to bypass Same Origin Policy (SOP) and launch attacks against other devices on an internal network.

These attacks are commonly used against routers, IoT devices, and even other internal computers known to run vulnerable software.

Enter the Behave! browser extension

Created by Stefano Di Paola, co-founder, CTO, and Chief Scientist of MindedSecurity, the Behave! browser extension was born as an experiment to warn users of web sites that abuse browser features to perform local attacks or scans on a visitor's computer

"Behave! was born as a conceptual experiment around the behavior of web pages that might abuse some of those features, and if the interest on Behave! keeps raising, it might hopefully be a long lasting project to help raising awareness."

"For example local Port Scan, Cross Protocol attacks, DNS rebinding are very old attacks that are still possible and difficult to completely "fix" by browser vendors because they abuse core features of the Web ecosystem,"  Di Paola told BleepingComputer via email.

When installed, Behave! will monitor for scripts that attempt to access IP addresses belonging to the following blocks:

• Loopback addresses IPv4 127.0.0.1/8
• Loopback addresses IPv6 ::1/128
• Private Networks IPv4 10.0.0.0/8 - 172.16.0.0/12 - 192.168.0.0/16
• Unique Local Addresses IPv6 fc00::/7

If detected, the extension's icon will show a red indicator, and when clicked on, will list the activity conducted by the site.

Behave! warning of port scans from eBay

The extension can also be configured to show browser notifications when concerning behavior is detected.

Browser notification

It should be noted that a bug in the extension may cause false positives on the DNS Rebinding alerts, and Di Paola is working on a fix.

The Behave! extension is available for both Chrome and Firefox, and Di Paola has told us that he hopes to release it for Edge and Safari.

Some features that Di Paola hopes to add in the future include "white listing web pages/hostnames that are expected to perform local connections" and the ability to "track back the code performing the suspicious actions."

For those interested in being warned about potentially abusive behavior from web sites you visit, Behave! is an interesting extension to install.

【転載】経済産業省、企業に対するサイバー攻撃の特徴や今後の対策を発表

経済産業省、企業に対するサイバー攻撃の特徴や今後の対策を発表:

経済産業省は6月12日、昨今のサイバー攻撃の特徴や具体的事例と共に、今後の取り組みの方向性をまとめた報告書を発表した。

同報告書では、大企業から中小企業まで、サプライチェーン（製品を作る最初の段階から消費者に届くまでの流れ）の弱点を狙ったサイバー攻撃が日々高度化しており、サプライチェーン全体のサイバーセキュリティ対策を継続的に点検していくことがますます重要になっているとしている。 三菱やNECなど防衛省と取引のある大企業が高度なサイバー攻撃を受けたことが相次いで明らかになったほか、大手輸送機器メーカーであるホンダもサイバー攻撃の被害にあっている。 その他にもサイバー攻撃で企業情報が流出した可能性がある事例も続いているのが現状である。


このような状況を受け経済産業省は機微情報を保有する企業に対して、各社のセキュリティ対策の点検やサイバー攻撃によって重要な情報の漏えいがあった場合には、2月14日まで経済産業省に報告などをするよう求めた。結果、40件弱の報告があったが、重要な情報が漏えいした事例はなかったという。

中小企業に対しては、2019年度に「サイバーセキュリティお助け隊実証事業」を立ち上げ、サイバー攻撃発生後の初動対応を支援した。この事業には中小企業1,064社が参加し、中小企業に対するサイバー攻撃の実態が明らかになった。 さらに、サプライチェーン全体のセキュリティを確保するために企業が取るべき行動として「重要なサプライチェーンを共有する企業間での高密度な情報共有」「軍事転用の可能性のある技術情報の流出時の経済産業省への報告」「適切な場合でのサイバー事案の公表」を示している。


経済産業省では、今後このような取り組みの方向性に基づき、産業界の関係者との調整を強化すると共に、具体的な取り組みの内容について検討し、サイバーセキュリティ対策の推進運動へと繋げていきたいとしている。

【関連リンク】 ・昨今の産業を巡るサイバーセキュリティに係る状況の認識と、今後の取組の方向性についての報告書を取りまとめました（経済産業省）

https://www.meti.go.jp/press/2020/06/20200612004/20200612004.html

TEXT：セキュリティ通信 編集部

バックアップ

【転載】「カメラのキタムラ」に不正アクセス 顧客情報40万件流出か

「カメラのキタムラ」に不正アクセス 顧客情報40万件流出か:

写真現像やカメラなどの販売、買取などを行うカメラのキタムラで知られる株式会社キタムラは6月15日、同社が運営する公式通販サイト「カメラのキタムラネットショップ」で外部から不正アクセスがあり、第三者に顧客の個人情報が閲覧された可能性があることを明らかにした。

サイトでは二段階認証や多要素認証などの不正アクセス防止策は講じられていなかったという。 閲覧された可能性があるのは、顧客の氏名や届け先住所、生年月日、電話番号、性別、メールアドレス、利用店舗、注文履歴、保有Tポイント残高など40万件ほどの個人情報。なお、同社では顧客のクレジットカード情報は保持していないとしている。


同社によると不正アクセスは4月4日から5月27日にかけて国外の複数のIPアドレスから顧客のメールアドレスとパスワードを利用し、会員になりすましてログインする不正アクセスが相次いで発生したとのこと。判明したのは5月28日で、その後も不正アクセスは継続して確認している。

不正アクセスに利用されたメールアドレスとパスワードは、同社とは関係しない外部で不正に入手したものをリスト化したもの。それを用いた「リスト型攻撃」で顧客アカウントへ不正ログインしたとみられる。 キタムラは被害にあった顧客に対して、ログインパスワードを初期化したうえで、注意喚起とパスワードの再設定を促すメールを送った。また、引き続き特定のIPアドレスから不正アクセスがないか監視を強化しているという。


同社では、複数のサービスでのパスワードの使い回しを避けるよう呼びかけると共に「本件を厳粛に受け止め、外部の有識者の助言を踏まえ、更なるセキュリティレベルの向上策を講じ、再発防止に努めていく」としている。

TEXT：セキュリティ通信 編集部

【転載】VPNサービスが機密情報を含む約1.2TBのユーザーデータを流出

VPNサービスは、機密情報を含む約1.2TBのユーザーデータを漏洩したと伝えられている:

ハイテクサービス会社による最近の発見は、世界を嵐に巻き込んだ。VPNサービスは、保証ほど保護され、安全ではない可能性があり、同社は約894GBのクライアント情報とUFO VPNからのデータがウェブ上で公開されていることを明らかにしています。



これは、1.2TBのクライアント情報を公開したと言われている8つの非常に有名なVPNサービスに当てはまることが証明されました。これらのVPNアプリケーションは、Google Playストアではまだアクセス可能ですが、今まで1つだけ削除されています。



漏洩した情報には、アカウントのパスワード、VPNセッションの秘密/トークン、クライアントデバイスとサーバーの両方のIPアドレス、さらにはデバイスのオペレーティングシステムのような微妙な情報が含まれています。



Comparitechによると、発見を担当する技術サービス会社は、毎日2,000万件以上のクライアントエントリがログに含まれています。



VPNスペシャリストの生協も同様に情報流出に関して知らされたが、そのような主張は否定された。UFO VPNは、クライアントログはトラフィック監視のために保存され、その最後のビットはすべて「匿名化」されていると述べた。



その後、オープンオンラインで約1.2TBのクライアント情報を持つ香港ベースのVPN管理がさらに7つあることが判明しました。



リストには、高速VPN、無料VPN、スーパーVPN、フラッシュVPN、セキュアVPN、ウサギVPN、UFO VPNも組み込まれています。VPNmentorによって発見された、これらすべてのVPNサービスは、典型的なElasticsearchサーバーと支払いのための同じ受信者、ドリームファイHKリミテッドを共有していることが発見されました。



これらのVPN管理から明らかになった情報には、自宅の住所、ビットコイン、PayPalの支払いの詳細、メールアドレスとパスワード、ユーザー名などの機密データが含まれています。ドリームファイHKは、これらすべてのVPNサービスの親会社になることが期待されています。



現時点では、これらのVPNアプリケーションはまだPlayストアでアクセス可能であり、ウサギのVPNのみが削除されています。



ーー以下原文ーー

A recent discovery by a tech service company has taken the world by storm. The VPN services may not be as protected and secure as they guarantee to be, the company reveals that around 894GB of client information and data from UFO VPN has been exposed on the web.

This was proved true for eight quite well-known VPN services that have purportedly released a mammoth 1.2TB of client information. These VPN applications are as yet accessible on the Google Play Store with just one removed until now.

The leaked info contains subtleties like accounts passwords, VPN session secrets/tokens, IP addresses of both client devices and servers, and even the operating system of the devices.

As per by Comparitech, the tech service company responsible for the discovery,  more than 20 million client entries are included in the logs every day.

The VPN specialist co-op was likewise informed regarding the information spill yet denied any such claims. UFO VPN said that the client logs are saved for traffic monitoring and that every last bit of it is 'anonymized'.

It was later found that there are seven more Hong Kong-based VPN administrations that have around 1.2TB of client information out in the open online.

The list incorporates FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN, Rabbit VPN, and UFO VPN as well. Found by VPNmentor, it was discovered that all these VPN services share a typical Elasticsearch server and also the same recipient for payments, Dreamfii HK Limited.

The information uncovered from these VPN administrations contain sensitive data like home addresses, Bitcoin and PayPal payment details, email addresses and passwords, user names, and more. Dreamfii HK is expected to be the parent company for all these VPN services.

As of now, these VPN applications are as yet accessible on the Play Store, and only Rabbit VPN has been removed.

【転載】「IoT・5Gセキュリティ総合対策2020を策定」 - 総務省

「IoT・5Gセキュリティ総合対策2020を策定」 - 総務省:

総務省は、IoTや5G時代に向けてサイバーセキュリティ対策のあり方について取りまとめた「IoT・5Gセキュリティ総合対策2020」を策定した。

同省ではサイバーセキュリティタスクフォースにおいて、「IoT・5G セキュリティ総合対策」を2019年8月に公表しているが、新型コロナウイルス感染症によるテレワークの増加や、5Gの本格開始、電気通信事業者による対策、セキュリティ情報の収集、分析能力の向上に向けた産学官連携など、政策課題として捉え、あらたな施策を盛り込み、「同2020」として策定した。

パブリックコメントは6月6日から同月25日にかけて実施。23件の意見が寄せられ、107項目についてタスクフォースの考え方を示すとともに一部追記や表現の見直しを実施した。

同文書では、情報通信サービスとネットワークの個別分野に関する具体的施策として、IoTや5G、クラウドサービス、スマートシティ、無線LAN、重要インフラとしての情報通信分野、地域の情報通信サービス、テレワークシステムなどのセキュリティ対策について取りまとめた。また電気通信事業者による高度で機動的なサイバー攻撃対策の実現を目指すとしている。

また横断的施策として、研究開発の推進や、人材育成と普及啓発の推進、国際連携の推進、情報共有と情報開示の促進などを盛り込んだ。

（Security NEXT - 2020/07/20 ） ツイート

バックアップ

【転載】アメックスのSHOP SMALLキャンペーンが30％キャッシュバックで激熱！多数の飲食店が対象

アメックスのSHOP SMALLキャンペーンが30％キャッシュバックで激熱！多数の飲食店が対象:

アメリカン・エキスプレスは2010年から、地域密着の地元のお店を応援するグローバルムーブメント「SHOP SMALL（ショップ・スモール）」を開催しています。

日本では2017年～2019年は「SHOP LOCAL」として開催されましたが、2020年は満を持して「SHOP SMALL」として大々的なキャンペーンが開催されます。

2020年7月3日(金)～9月24日(木)の期間中、中小企業・個人事業の対象店舗で利用するとなんと30％のキャッシュバックを受けられますよ！

エントリーの上で、対象店舗にてアメリカン・エキスプレスのクレジットカードで支払った場合が対象です。キャッシュバックの総額は期間中で合計5,000円まで。

対象店舗を地図やPDFで確認できる専用ページが用意される予定です。

SHOP SMALLの概要

アメックスが開催している「SHOP SMALL」は、加盟店、行政、NPO、企業が連携し、中小ビジネスを支援し地域コミュニティ活性化を促す取り組みです。

アメリカでは以下の間にあたる土曜日を「スモールビジネスサタデー」と定め、この日に地元の個人店で買い物をすることを呼び掛ける運動として始まりました。

• 感謝祭（11月第4木曜日）翌日のブラックフライデー
• 翌月曜日のサイバーマンデー

現在までに、カナダ、英国、オーストラリアにも広がり、大統領や州知事も参加するなど、各国で社会的な運動として定着しています。

日本では2017年以降に初のSHOP LOCALを展開し、2020年はSHOP SMALLとして実施されます。

SHOP LOCAL 2020では、アメックスが各地域のお店への支援を行い、地域コミュニティの活性化や地方創生の支援を行うとともに、日本国内のキャッシュレス推進にも寄与していきます。

キャンペーンの内容・対象店舗一覧

今回のキャンペーンは事前登録の先着人数は限定されていません。無制限一本勝負という様相を呈しています。

• 事前登録期間：2020年7月3日(金)～9月24日(木)
• 利用期間：2020年7月3日(金)～9月24日(木)

北海道から沖縄まで全国各地の対象店舗にて、30％OFFの割引にてお得にお買い物できます。

30％という水準はアメックスのキャンペーンで最高水準であり、ファンタスティックなキャンペーンです！

キャッシュバックは1回限りではなく、期間中の利用なら何度でも適用されます。

1枚あたり最大5,000円のキャッシュバックが上限なので、通算で約16,700円のショッピングが上限です。

Apple Payによる支払いは対象外なので、必ずクレジットカード払いで支払いましょう。



カード利用によるポイントやマイルはもちろん別途もらえるので、キャッシュバック＋ポイント等で二重に得することが可能です。

将棋において飛車だけよりは飛車・角の方が強いのと同様に、お得な仕組みも一つだけよりは二つの方が嬉しいですね。

地味に家計が助かります。このようなキャンペーンは積極的に参加していきたいですね。

対象カード一覧（提携アメックスも対象）

アメリカン・エキスプレス・インターナショナル, Inc.（日本支社）が発行しているプロパーのアメックスカードは、もちろんSHOP SMALL 30％キャッシュバックキャンペーンの対象です。

個人事業主・中小企業経営者向けのビジネス・アメックスも対象です。他方、以下のコーポレートカードは対象外となります。

• アメリカン・エキスプレス・コーポレートカード
• アメリカン・エキスプレス・ビジネス・トラベル・アカウント
• コーポレート・パーチェシング・カード

これらの券種に関しては例外なくNGですので、問い合わせるだけ無駄です。



アメリカン・エキスプレスがライセンスを許与して提携先のクレジットカード会社が発行しているカードも対象です。

• 株式会社クレディセゾン（セゾン・アメックスなど）
• 三菱UFJニコス株式会社
• 株式会社エムアイカード
• クレディセゾン、三菱UFJニコスの提携カード発行会社・フランチャイジー会社

プロパーカードだけではなく、MUFGゴールド(アメックス)、セゾンプラチナ・ビジネス・アメックス、エムアイカードなども対象です。



今回のキャンペーンは、年会費無料で維持できるセゾンパール・アメックス、ヤマダLABI ANAマイレージクラブカードセゾン・アメックス、ウォルマートカードセゾン・アメックス、三井ショッピングパークカード セゾンも対象です。



ただし、楽天カード アメックスは対象外。アメックスのキャッシュバックキャンペーンでは、楽天カードだけ排除されることが大多数であり、今回も同様となっています。

キャンペーン登録方法はWebもしくはアメックス・オファー

アメックスのSHOP SMALL 30％キャッシュバックキャンペーンの留意点としては、事前登録する前のお買い物は対象外になる点です。まずエントリーです。

Webページの他、アメックス会員サイトの「アメックス・オファー」ページで、サクッと簡単にエントリーできる場合もあります。



現在はリンクをクリックしなくても、トップページを下にスクロールすると、アメックス・オファーの一覧が出るので便利です。



スマホアプリの下部メニュー「アメックスオファー」からもキャンペーンに登録できます。



キャンペーンの登録が完了したら、すぐにお知らせメールが送られてくるので安心です。

SHOP SMALLキャンペーンの注意点

今回のアメックスのSHOP SMALLキャンペーンは、日本国内のみが対象です。

• 日本国内のSHOP SMALL対象の実店舗が対象
• オンラインでの利用は対象外
• 海外のSHOP SMALL対象店舗は30％キャッシュバックの対象外

予約商品、入荷待ち予約受付などの場合や、カード利用代金明細書に記載される日付（利用日）がキャンペーン期間中の場合が対象なので、予約商品・取り寄せなどで決済が後日になる場合は要注意。

キャッシュバックの対象外となるリスクを抑制するためには、在庫ありですぐに届くような商品のみが無難です。

また、ボーナス払い・分割払いは対象外なので、一括払いで支払いましょう。

家族カード・追加カードはOK。複数のカードを持っている場合も全て対象なので、例えば2枚の対象アメックスカードを持っていれば、2回キャッシュバックを受けられます。



ただし、カード毎の登録が必要。例えば、本会員カードをキャンペーン登録しただけでは、家族カードでのお買い物はキャンペーン対象外です。家族カード番号も登録する必要がある点に注意が必要です。

また、複数枚のアメックスカードを持っている場合で、どのカードでもキャンペーンを受けるためには、各々で事前登録が必要です。

アメックス・ビジネス・カードと個人用アメックスの両方を持っている場合、それぞれで登録が必要です。



登録したカード1枚につきキャッシュバックの上限は1回限りなので、最大でも5,000円です。

一例として、2回16,700円使ったり、通算で33,400円使ってもキャッシュバックは10,000円にはならず5,000円となります。

キャッシュバックは、カード会員の登録カードの利用代金明細書で調整されます。現金での返金・振込はありません。



以前にAmazon利用でのキャッシュバックキャンペーンに参加した際も、利用代金明細でマイナスされました。

例えばキャッシュバックが行われる月の請求が77,000円で、5,000円のキャッシュバックがある場合、72,000円が銀行口座から引き落とされます。



キャッシュバックまでの時間は、優待特典の条件を満たした後、最長でキャンペーン終了から90日かかる場合があります。

ただし、利用条件を満たしてから1～3週間ほどで反映することが多いです。以下は5月12日に利用明細が上がり、5日後の5月17日にキャッシュバックされた明細です。

SHOP SMALL ビジネス応援グッズ＆協賛金の贈呈

SHOP SMALLではカード会員側だけではなく、アメリカン・エキスプレスとJCBの加盟店にも無料で販促ツールがプレゼントされます。

除菌・衛生グッズや店頭プロモーションに役立つPOPを、無料で提供します。

無料プレゼントのグッズは、どれも実用的で素晴らしいですね！



ステッカー、レジに置くグッズ、ロゴデータも用意されています！



また、加盟店がソーシャルメディアに投稿する画像を簡単に作成できる「デジタルフレーム」も用意されています。

SHOP SMALLのオリジナルテンプレートを使っておすすめのメニューやアイテムを紹介できますよ！



更に「SHOP SMALLサポートファンド」が立ち上げられて、アメックスが商店街に協賛金最大250万円を提供します。

「SHOP SMALL」の趣旨に沿った店や地域の活性化につながる企画を支援してくれます。

申し込みの内容を審査をし、通過した団体には企画内容や規模に応じた協賛金がプレゼント！

• 応募資格：商店街団体など、集積するお店を構成員に持つ団体（個人はNG）
• 対象：最大100商店街・団体
• 協賛金：30万円〜250万円
• 応募締切：2020年7月31日（金）
• 応募方法：企画書と申込用紙をメール送信
• 企画書の形式：パワーポイント/ワード/PDFいずれかで最大4ページ
• 応募・問い合わせ先：shopsmall_jp@aexp.com

まとめ

アメックスが「SHOP SMALL」で30％キャッシュバックキャンペーンを開催します。

「地元のお店で生まれる、人と人との温かなつながりを大切に。」という地域活性化・地方創生にも寄与するイベントです。

2020年7月3日(金)～9月24日(木)の期間中、主に中小企業・個人事業の対象店舗で利用するとなんと30％のキャッシュバックを受けられますよ！

エントリーの上で、対象店舗にてアメリカン・エキスプレスのクレジットカードで支払うと、期間中の通算で5,000円まで嬉しいキャッシュバックを受けられます。

セゾン・アメックス、エムアイカード、MUFGカード ゴールド アメックス等の提携アメックスカードも対象。ただし、楽天カードアメックスは対象外です。

『着ルダケ』サイト閉鎖のお知らせ

『着ルダケ』ってご存じだろうか。

スーツのサブスクリプションサービスで、入会すると2年ごとに新しいスーツが送られてくる。

自分は物を捨てられない性格のため、スーツを買うと結構ボロボロになるまで来てしまう。

見た目の問題もあるので、スーツを2年ごとに交換してくれるサブスクリプションサービスは非常に魅力的だった。

ここまで書くと、利用者で心底気に入っているように聞こえるかもしれないが、自分は利用者ではない。

利用しようと思ったのだが、自分にフィットするサイズが無かったのである。

もう少し豊富にサイズを取り揃えてくれればいいのになーって思っていたら閉鎖のお知らせである。

今更気が付いたが、『着ルダケ』を運営していたのは、武漢ウイルスで経営破綻したレナウンだった。

レナウン、、、イマイチ

【転載】BYOD端末と撤去控えたサーバーが狙われたNTTコミュニケーションズへの2つの不正アクセスをまとめてみた

BYOD端末と撤去控えたサーバーが狙われたNTTコミュニケーションズへの2つの不正アクセスをまとめてみた:

2020年5月28日、NTTコミュニケーションズは社内ネットワークや一部サービスが不正アクセスを受け情報流出の可能性があると発表しました。また、同年7月2日には発表済み事案の影響顧客に追加があったこと、そしてBYOD端末を経由した別事案を把握し、これも情報流出の可能性があると発表しました。ここでは関連する情報をまとめます。

NTTコミュニケーションズで起きた2つの事案

2つの事案概要を図に整理すると次の通り。両事案とも情報流出が発生した可能性がある。2つの事案の概要図

事案①	複数の海外拠点を経由しNTTコミュニケーションズの一部サービスに侵入した事案。さらにそのサービスで運用されるサーバーを踏み台に、社内ネットワークへ侵入し、ADサーバーやファイルサーバーの操作を行った。サービス上で保管された工事情報等やファイルサーバー上の情報が流出した可能性がある。
事案②	BYODとして使用していた社員の私用端末から正規のアカウントを盗用され社内ネットワークに侵入された事案。社内のファイルサーバーを閲覧された可能性がある。

• 同一の不正アクセス元によるものだったのか等、両事案の関連は公式発表では言及されていない。NTTコミュニケーションズは事案①の調査過程で事案②を把握している。
• 事案①で被害を受けた法人向けクラウドサービスはBiz ホスティング エンタープライズ、Enterprise Cloudオプションサービス。Biz ホスティングエンタープライズは一部オプションサービスを除いて2018年3月にサービス提供を終了している。被害を受けたサーバー群は新サービスへの移行に伴い撤去を控えていた。
• 事案②のBYOD端末がどのように侵害されたのかは公表されていないが、社員が利用する正規アカウント悪用のため、パスワードも盗まれていた。
• 正規アカウントを利用されていたため、攻撃者による影響範囲の特定に時間を要した。VDIサーバーは社内ファイルサーバーへのアクセスのため運用されており、社員の約1割が利用している。*1
  

800社以上の情報流出の可能性

• 事案①、②の被害状況をまとめると次の通り。

情報流の可能性があるサーバー	影響顧客数	関連事案
工事情報管理サーバー	704社(契約終了の83社含む*2 )	事案①で影響
社内ファイルサーバー	188社	事案②で影響、事案①も含まれている可能性あり

• 影響を受けた顧客数は延べ892社になるが、両サーバーに保管されていた顧客に重複はあると報じられている。
• 社内ファイルサーバーにはサービス情報や、提案資料、工事関係資料、連絡先情報、営業関連資料が含まれる。
• 影響を受けたのはいずれも法人向けであり、個人向けサービスの顧客の情報は含まれていない。また海外含むクラウドサービス、およびその品質への影響もない。

自衛隊情報も流出か

今回の事案を受け、自衛隊等に関連する情報が流出した可能性があると報じられている。

防衛省・自衛隊	海上作戦センターの通信設備や配置図、自衛隊約10拠点の回線情報等、少なくとも100以上のファイルが流出した可能性。防衛省指定の秘密該当の情報には当たらないとみられている。また防衛省報告の際、対象情報は外部隔離下で管理のため流出の恐れはないと説明。*3
海上保安庁	通信回線機器の工事情報が流出した可能性*4

発覚まで数か月

被害時系列を整理すると次の通り。両事案とも事態把握の9か月前から不正アクセスが始まっていたとみられる。

日時	出来事
2019年9月頃	シンガポール拠点のサーバーを踏み台にタイ拠点のサーバーに不正アクセス。（事案①発生）
2019年9月以降	社員のアカウントを盗用し社内ネットワークに侵入。*5 （事案②発生）
2019年12月	タイ拠点のサーバーを踏み台に米国拠点のサーバーに不正アクセス。
2019年12月中旬	米国拠点のサーバーを踏み台に法人向けクラウドサービスの運用サーバーに不正アクセス。
2020年5月4日～5日	防衛省関連情報へ複数回アクセスが発生。
2020年5月7日	ADサーバーに対する不正な遠隔操作のログをシステム主管部門が検知。
同日	ADサーバーへの遠隔操作の踏み台となったAD運用サーバーを緊急停止。
：	その調査を受け、クラウドサービスの運用サーバーを緊急停止。
2020年5月11日	社内ファイルサーバーのアクセスログ解析により一部情報流出の可能性を把握。
2020年5月13日	事案の影響を受けたとして防衛省へ報告。
2020年5月26日	事案①の調査過程でVDIサーバー経由で一部の社内ファイルサーバーへの不正アクセスを把握。
同日	BYOD端末、シンクラ専用端末のリモートアクセス環境を停止。
2020年5月28日	事案①による情報流出の可能性を発表。
2020年5月29日	自衛隊関連情報流出の可能性に対する見解として詳細調査中と発表。
2020年6月2日	一部の社内ファイル流出の可能性を把握。
2020年6月26日	事案の影響を受けたとして海上保安庁へ報告。*6
2020年7月2日	事案①の続報、事案②による情報流出の可能性を発表。

• シンガポールの拠点が被害を受けた時期は公開情報から確認できていない。

NTTコミュニケーションズの対策

影響を受けた顧客への連絡を進める他、事案発生後の対策として以下がとられている。

事案①の対応	①以下のサーバーの運用を緊急停止。 ・海外拠点の運用サーバー ・クラウドサービスの運用サーバー ・社内のAD運用サーバー ・クラウドサービスからマルウエアの通信先を遮断。 ADサーバーから外部通信を全て遮断
事案②の対応	①把握直後にBYOD端末、シンクラ専用端末のリモートアクセス環境停止。 ②全社員のパスワード変更 ③リモートアクセス時の認証、監視を強化。

第二報では「今後の対応」として次の対策が挙げている。括弧は同社の注釈より引用。

• UEBA（ユーザーの行動分析を行い、リスクを早期に検知する手法）の導入
• EDR（ユーザーが利用するPCやサーバー(エンドポイント)における不審な挙動を検知し、迅速な対応）の導入
• ゼロトラスト（社内は安全であるという前提の下に境界だけを守るのではなく、社内外すべてが信頼できないことを前提）を基本方針とするセキュリティ対策の強化
• 社内ファイルサーバーの情報管理の徹底
• RedTeam（企業や組織へセキュリティ攻撃を実行し、企業や組織が攻撃に適切に対応できるかの評価や改善提案を行う社内の独立したチーム）の強化
• 社内IT、OT（電力などのライフラインに関わる社会インフラを提供するシステムを最適に動かすための「制御・運用技術・設備」）に対するTLPT（攻撃シナリオにもとづいて疑似的な攻撃を行うことで、セキュリティ対策状況を評価する手法）の継続的な実施

NTTコミュニケーションズの公式発表

• 2020年5月28日 当社への不正アクセスによる情報流出の可能性について
  
• 2020年5月29日 当社への不正アクセスに関する一部報道について
  
• 2020年7月2日 当社への不正アクセスによる情報流出の可能性について(第2報)
  

更新履歴

• 2020年7月3日 PM 新規作成

*1:海保の通信工事情報なども流出か、NTTコムへの不正アクセスで,日経クロステック,2020年7月3日

*2:NTTコム　サイバー攻撃で新たに271社情報流出か　社員用パスワードで不正アクセス,毎日新聞,2020年7月2日

*3:NTTコムにサイバー攻撃　自衛隊の通信情報流出か,日本経済新聞,2020年5月29日

*4:NTTコムのサイバー攻撃、海保でも流出,2020年7月2日,共同通信

*5:延べ892社の情報流出か　NTTコム、追加調査で,日本経済新聞,2020年7月2日

*6:海保の通信機器でも流出　NTTコム、サイバー攻撃,SankeiBiz,2020年7月2日