15:45カレルチャペック紅茶公式通販サイト、クレジットカード情報5万8407件が漏えいの可能性。心当たりの人は確認を10万3289人の個人情報も。Cybercriminals」を公開しました。Playerの3つを上回っていた点です。Playerの脆弱性だったことと比較すると、2017年は大きく変わったと言えるでしょう。この変化は至極当然とも言えます。Playerは不要なものとして、利用者側ではアンインストールされている、または無効にされているケースが増えて来ていると考えられます。Microsoft製品というのも、これまたシェアを考えれば当然でしょう。Playerの悪用が減った理由の1つとして挙げています。ほかにも、上位10個の脆弱性のうち、2017年に公開されたものは3つに過ぎず、半分の5件が2016年であるほか、2014年や2015年に公開された脆弱性も悪用され続けている点に注目する必要があります。新しい脆弱性に注意するだけでなく、古い脆弱性についても修正プログラムの適用漏れがないかを確認することの重要性を改めて示していると言えるでしょう。ちなみに、2番目に多かったCVE-2016-0189(修正プログラムの公開は2016年5月)は、2016年に最も多くの攻撃に悪用された脆弱性であり、前年に引き続き悪用され続けていることが分かります。2017年に最も多く攻撃に悪用されたCVE-2017-0199は、2017年4月に修正プログラムが公開された脆弱性ですが、すでに2017年1月には攻撃に悪用され始めており、いわゆる“ゼロデイ攻撃”が発生していたことが確認されています。これを悪用した攻撃ツールを作成するソフトウェアは400ドルから800ドルで売られているそうです。脆弱性の深刻度を示すCVSS値については、概ね高い値となっていますが、3番目に多かったCVE-2017-0022は4.3と比較的低い値となっています。CVSS値が高くなくても悪用される可能性が十分にあることを示す例でしょう。上位10個の脆弱性それぞれについて関連するマルウェアの数をまとめたのが以下の図です。Cybercriminals」より)例外はありますが、概ねCVSS値が高い脆弱性ほど、マルウェアに使われやすい傾向が見て取れます。次に、脆弱性ではなく、エクスプロイトキットの観点で、新たに観測されたものの推移をまとめたのが以下の図です。Cybercriminals」より)2016年には26種類だったものが、2017年には62%も減った10種類となっています。Futureは、ユーザーがより安全なブラウザーを使うようになったことで、攻撃者が、エクスプロイトキットを使ったウェブ経由の攻撃よりも、(脆弱性を使わずに詐欺的手法などを使って感染させた)暗号通貨採掘マルウェアで直接金を稼ぐ方法をとるようになってきたからではないかと説明しています。今回の報告書は短め(10ページに満たない)で、さらっと読めるものになっていますので、もう少し詳細な内容を知りたい方は、まずは気楽に目を通してみてください。Security)」での掲載が意図的に遅らされている可能性があることが指摘されていましたが、その続報が2018年3月に公開されました。Database)」の公開日に近い日にさかのぼって変更されていたのだそうです。このような公開日の変更が行われた脆弱性情報の数は267に及んでおり、例えば、CVE-2017-0199については、2017年10月の時点で「2017年6月7日」に公開とされていたにもかかわらず、2018年2月に確認したところ、公開日が56日さかのぼった「2017年4月13日」に、また、CVE-2016-10136については、2017年10月の時点で「2017年9月6日」だった公開日が2018年2月には236日もさかのぼった「2017年1月13日」に変更されていました。Security)が自らの諜報活動に使える脆弱性か否かなどを判断している可能性があると指摘していましたが、今回確認された公開日の変更は、その指摘をかわす目的があるのではないかとの見解を示しています。CNNVDとしては公開日の定義を、CNNVDでの初掲載日ではなく、全世界での一般公開日に改めただけなのかもしれません。Futureによる2017年11月の指摘の後であるというのは気になるところです。Futureは継続してCNNVDについての調査を行うそうです。正人CSIRT研究家、フリーライター、翻訳家、コンサルタント。最近は主に組織内CSIRTの構築・運用に関する調査研究や文書の執筆、講演などを行なっている。JPCERT/CC専門委員。