Facebookアカウント5,000万件がハッキング被害に――今すぐやるべき対策とは？【2018年9月セキュリティまとめ】

サイバーセキュリティ、オンラインプライバシー、データ保護の世界では、毎月数え切れないほどの出来事が発生しており、すべてを追いかけるのは簡単ではありません。

そこで本記事では、毎月最も重要なセキュリティ・プライバシーニュースをまとめた月次ダイジェストをお届けします。今回は2018年9月の主な動向をご紹介します。

1. Facebookアカウント5,000万件がハッキングされる

9月最終週、最大級のニュースが飛び込んできました。なんとFacebookの個人ユーザーアカウント5,000万件がハッキングされたのです。Facebook側は念のため9,000万件のアカウントのパスワードを強制リセットしており、最終的な被害件数はさらに増える可能性もあります。

攻撃者は「View As（自分のアカウントを他人の視点で確認する機能）」の脆弱性を悪用しました。この脆弱性は3つのバグの連鎖に起因します。1つ目は動画アップロードツールがView Asページに表示されてしまうバグ、2つ目はそのツールがアクセストークンを生成してしまうバグ、そして3つ目はView Asページが攻撃者の狙う任意ユーザーのアクセストークンを生成できてしまうバグです。

問題はFacebook本体にとどまりません。Instagramなど関連サービスも影響を受けますし、「Facebookでログイン」機能を採用している無数の外部サイトやサービスも危険にさらされています。

当初、被害者かどうかを判別する唯一の手がかりは、警告なしにFacebookから強制ログアウトされることでした。しかし現在では、アカウントが被害に遭っていた場合、ニュースフィードの上部にお知らせが表示されるとFacebookは説明しています。

この事件はEU圏のユーザーにとって特別な意味を持ちます。2018年5月にEU一般データ保護規則（GDPR）が施行されて以降、大手テック企業による初の重大なデータ侵害だからです。Facebookはアイルランドに登録されているため、アイルランドデータ保護委員会はGDPRに基づき巨額の制裁金を科す可能性がありますが、現時点で委員会は「侵害の性質とユーザーへのリスク」について言及していません。

もし被害に遭っていた場合は、直ちに実行すべき対策があります。パスワード変更、二段階認証の有効化、連携アプリの見直し、不審なアクティビティの確認を必ず行いましょう。

2. ファイブアイズ諸国が暗号化への介入を示唆

「米国、英国、カナダ、オーストラリア、ニュージーランドの政府は、個人の権利とプライバシーを重視し、それらを保護する暗号化の役割を支持します」

ファイブアイズ諸国（米英加豪NZ）の閣僚たちは、オーストラリアで開催された年次五カ国閣僚会合（FCM）に集まり、上記の声明を起草しました。

しかし、共同声明を詳細に読むと、同盟各国はApple、Facebook、Googleといったテック大手に対し、製品に「合法的アクセスソリューション」を提供させる法律の導入をちらつかせています。つまり、ファイブアイズ諸国政府は暗号化のバックドアを求めているのです。

残念ながら、これは技術的に矛盾した要求です。特定の人物のためのバックドアを作っても、その存在を他者から隠すことはできません。バックドアが一度開かれれば、何億人もの善良なユーザーのセキュリティは一瞬で失われます。

この議論はすぐに収束する気配がありません。GrayKeyのような暗号解読ツールが法執行機関の助けとして登場することもありますが、ごく限定的です。一方、ドイツ内務省の文書では、AppleやGoogleなどの提供企業に頼らずiOS、Android、BlackBerry端末を直接監視できる「遠隔通信傍受ソフトウェア」の活用に言及しており、各国がさまざまなアプローチを探っているのが実情です。

3. ブリティッシュ・エアウェイズの情報漏洩、30万人に影響

英国のフラッグキャリア、ブリティッシュ・エアウェイズ（BA）は、2018年8月21日22時58分から9月5日21時45分までの期間に、約30万人の顧客の決済情報が漏洩したことを明らかにしました。

盗まれた情報には、この期間中に予約した顧客の個人情報と金融情報が含まれていましたが、パスポートなどの身分証明書データは対象外だったとのことです。BAのアレックス・クルーズCEOはBBCの番組で、今回の攻撃は「高度で悪意ある犯罪行為」であり、影響を受けた顧客への補償に「100％コミットする」と述べました。

BAは公式な手口を公表していませんが、セキュリティ企業RiskIQの調査によれば、ハッカーはJavaScriptライブラリ「Modernizr」の改変版を使ってBAの決済ページに悪意あるコードを仕込み、盗み出したデータをルーマニア経由でリトアニア拠点のVPSプロバイダーのサーバーへ送信していたといいます。

「この攻撃に使われたインフラはブリティッシュ・エアウェイズ専用に構築され、検出を避けるため通常の決済処理に紛れるよう設計されていた」

調査の結果、犯行は「Magecart」と呼ばれるグループの仕業と判明しました。同グループはTicketmasterやNeweggへの攻撃にも関与していたことが知られています。

4. ESET、世界初のUEFI型ルートキットを発見

ESETのセキュリティ研究者たちが、実環境で初となるUEFI型ルートキットを発見しました。このルートキットは、脆弱なシステムに永続的なマルウェアを仕込み、OSの再インストールやフルフォーマット後も生き残る恐れがあります。

UEFIシステムは従来、こうした脅威に対して安全とされてきただけに、この発見は大きな衝撃です。除去にはマザーボードのファームウェア全体を再書き込みする必要があり、通常のアンチウイルスソフトでは対処できません。

ESETのブログは次のように説明しています。「システムのUEFIモジュールをスキャンし、悪性を検出するソリューションはほとんど存在しない。さらに、UEFIファームウェアのクリーニングには再書き込みが必要だが、これは一般ユーザーが日常的に行う操作ではない。これらの理由から、執拗な攻撃者は今後もUEFIを標的とし続けるだろう」

このルートキットは「LoJack」と呼ばれ、ロシア政府と関係があるとされるハッキング集団「ファンシーベア（Fancy Bear）」の仕業と考えられています。彼らはAbsolute Softwareの正規の盗難防止ツールLoJackを改変し、脆弱なUEFIチップを書き換えていたのです。

対策としては、UEFI Secure Bootを有効にしておくことが最も簡単です。適切な証明書を持たないファイルをファームウェアが拒否するため、システムを守ることができます。

5. 北朝鮮人ハッカー、WannaCryとSony攻撃で起訴

米国政府は、2017年の世界的ランサムウェア攻撃「WannaCry」、および2014年のSony Picturesへのサイバー攻撃に関与したとして、北朝鮮国籍のプログラマーを起訴し、制裁を課しました。

起訴状によると、パク・ジンヒョク被告は中国と北朝鮮に拠点を置く政府のフロント企業に勤務し、北朝鮮軍のために悪意ある活動に従事していたとされています。

「起訴状で主張されるサイバー犯罪の規模と範囲は驚異的であり、法の支配を尊重するすべての人にとって許しがたいものだ」とジョン・デマーズ司法次官補は述べ、「北朝鮮政府は国家支援グループを通じて中央銀行や他国の市民から資金を奪い、言論の自由への報復を行い、150か国以上に甚大な損害をもたらすマルウェアを生み出した」と非難しました。

このグループは、ロッキード・マーティンへの攻撃未遂のほか、バングラデシュ中央銀行、エクアドルのBanco del Austro、ベトナムのTien Phong銀行、複数の暗号資産取引所への攻撃にも関与したとみられています。

一方、北朝鮮政府は米国の起訴を「中傷キャンペーン」と一蹴し、被告は「実在しない人物」だと主張しています。

2018年9月 セキュリティニュース速報

以上が9月の主要セキュリティニュース5本です。このほかにも注目すべき話題が多数ありましたので、あわせてご紹介します。

• 米国務省が、「従業員メールボックスの1％未満」に影響するセキュリティ侵害を確認。
• データ管理企業Veeamが、約10日間にわたり4億4,500万件のレコードを公開状態にしていたことが発覚。
• Miraiボットネットの開発者たちが、FBIの複雑なサイバー犯罪捜査に協力する見返りに刑務所行きを回避していたことが判明。
• Uberが2017年のデータ漏洩問題で1億4,800万ドルの罰金を科される。
• Nexusguardの調査によると、DDoS攻撃の平均規模が5倍に拡大し、26Gbpsに達する。

サイバーセキュリティ、プライバシー、データ保護の分野では毎月膨大な出来事が起こっています。来月も最新のセキュリティまとめをお届けしますので、ぜひご期待ください。