前回は、マルウェアも普通のソフトウェアと同様なので、起動しなければ脅威にならないというお話をしました。
ところが現実にはマルウェアの被害が多く発生しています。
これは、攻撃者がコンピューターの脆弱性を悪用して利用者が気付かないところでマルウェアを起動させたり、コンピューターの利用者がマルウェアを起動してしまうようにあの手この手を使ったりしているからなのです。
今回は、コンピューターの脆弱性と、ついつい利用者が起動してしまいたくなる攻撃者の手口についてご紹介します。
攻撃者の手口を応用すると、ついクリックしてしまいたくなる広告が作れるかもしれませんが、悪用は厳禁です。
脆弱性（ぜいじゃくせい）
まず、ソフトウェアの脆弱性についてです。
セキュリティ用語としてよく使われる脆弱性とは、簡単に言ってしまうと「ソフトウェアの不具合による情報セキュリティ上の弱点」です。
実際にあった脆弱性の事例としては次のようなものがあります。
Apple、パスワードなしで管理者ログインできる脆弱性を修正 ユーザーに謝罪（ITmedia エンタープライズ）
本来はパスワードを入れないとログインできないはずが不具合によってパスワードを知らない人もログインできてしまうため、喫茶店でちょっと席を外した隙に悪意を持った人に機密情報を見られてしまうかもしれません。
次にマルウェアの侵入を許してしまう弱点という事例もあります。
Adobe Flash Player の脆弱性対策について（情報処理推進機構）
この脆弱性を利用したマルウェア（Flashで作られたもの）を含むウェブページを閲覧することで、コンピューターがマルウェアに乗っ取られてしまうという脆弱性です。
こういった脆弱性を利用した攻撃により、利用者は知らないうちに被害にあってしまいます。
攻撃から身を守るために、利用者はセキュリティ対策用に公開される更新用ソフトウェアをできるだけ早くインストールすることが大切です。
できるだけ早くというのがポイントです。
というのは、情報処理推進機構から発表された2018年の情報セキュリティの脅威のうち
「情報セキュリティ10大脅威 2018」（情報処理推進機構）
「組織」の第4位に
脆弱性対策情報の公開に伴い公知となる脆弱性の悪用増加
というのがあるように、セキュリティ対策用に更新用ソフトウェアが公開されると、その情報をもとに悪意をもった開発者がマルウェアを作るという動きがみられているのです。
いつまでも放置していると被害を受けてしまうことになりますので、何度も繰り返しになりますが、できるだけ早く対応することが重要です。
騙しの手口：トロイの木馬
トロイの木馬は、ギリシア神話のトロイア戦争に出てくる木馬にちなんで命名された、利用者を騙して起動させるタイプのマルウェアです。
トロイアの木馬（ウィキペディア）
利用者にとってメリットがあるソフトウェアだと信じさせ、利用者自らが起動することで被害を受けてしまうマルウェアです。
前回も紹介したウイルス対策ソフトに見せかけたマルウェアや、
無料製品模倣の偽ウイルス対策ソフト、MSのツールで対応（ITmedia）
ビデオ閲覧ソフトを装ったマルウェア
ビデオ閲覧ソフト装うマルウェア、DNSサーバ設定を変更（ITmedia）
動画閲覧中にFlash Playerの更新であると騙してマルウェアをダウンロードさせて実行させるもの
動画サイトを閲覧中に偽Flash Playerの更新通知が表示されマルウェア感染する事象の対応方法（トレンドマイクロ）
など、様々な種類のトロイの木馬が生み出されています。
「こういったトロイの木馬は怪しげなサイトで配布されているので、きちんと正規のサイトから正規のソフトウェアをダウンロードして使えば大丈夫」などと決めつけてはいけません。
正規のオープンソースとして配布されていた動画変換ソフトが、マルウェアに入れ替わっていた事例もあるのです。
動画変換ソフト「HandBrake」Mac版にマルウェア感染の危険性（CNET Japan）
こちらはもともと役立つソフトウェアとして実績があったものが、本来の開発者の知らないところで、マルウェアに置き換えられて配布されてしまったというものです。
こうなってくると何を信用したら良いか分からなくなってしまいますが、ダウンロードしたソフトウェアは実行前にウイルスチェックソフトで問題ないことを確認する、という手順を踏む事でかなりの確率で身を守ることができるかと思います。
騙しの手口：標的型攻撃とソーシャルエンジニアリング
最後にもうひとつ、人の弱みや心理的な隙につけ込んでマルウェアを実行させる方法を紹介します。
この手口が世の中に出てきた当初（2000年代）は「ソーシャルエンジニアリング」と呼ばれていましたが、2010年代くらいから「標的型攻撃」と呼ばれるようになっています。
具体的な事例を見てみましょう。
かなり古い（2002年頃）事例ですが、ラブレターに偽装してマルウェアを配布するというというものがありました。
VBS/LOVELETTERに関する対策について（情報処理推進機構）
これは添付ファイル付きのメールで、メール本文中に添付ファイルを開くよう促す巧妙な記述があり、添付ファイルを開いてしまうとウイルスに感染するというものです。
異性から好意を向けられるとついつい無防備になってしまうという、心理的な隙につけ込む方法です。
標的型攻撃と呼ばれるようになってからは、日常の業務で扱う内容と誤認させるメールにマルウェアを添付し、利用者が「いつものメールだろう」と思ってしまうという心理的な隙につけ込む攻撃が増えています。
例えば、広報担当者に対して新聞社からの取材申し込みの体裁でメールを送り、参考資料と称したマルウェア入りの添付ファイルを開くように促したり、採用担当者に対して、履歴書と称したマルウェア入りの添付ファイルを開くように促したりする、といったものです。
具体的な事例と対策方法が公開されていますので、一度見ていただくと良いかと思います。
IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方」（情報処理推進機構）
広告運用に関わっているみなさんもレポート（Excelファイルなど）添付したメールを日常的にやり取りされているかと思います。
ついうっかり日常の作業の延長でマルウェア付きの添付ファイルを開いてしまわないよう、送信元のメールアドレスを確認することや、添付ファイルを開く前のウイルスチェックソフトによる確認を習慣づけていただければと思います。
今回のまとめ
脆弱性があるソフトウェアを使っていると、利用者が知らないうちにマルウェアによる被害を受ける恐れがあります。
脆弱性が公表されたら、セキュリティ対策用の更新ソフトウェアをなるべく早くインストールする、ということを心掛けてください。
また、マルウェアを使った攻撃者の騙しの手口はとても巧妙です。
自分だけは騙されないと過信せず、インターネットからダウンロードしたファイルや、メールに添付されたファイルを開くときには、事前にウイルスチェックソフトで確認することを習慣にしていただきたいと思います。
次回は不正広告、Malvertising（マルバタイジング）についてです。
facebook
X (twitter)
LINE
