niitan×cafe×sec第8回(2014.10.25放送分)

1. これまでの振り返り
ﾋｭｰ(ﾉ・ω・)ﾉ*。○.＊*ﾄﾞﾝﾄﾞﾝﾊﾟﾌﾊﾟﾌｰ

2. 第一回PC遠隔操作 解説：松本さん（ネットエージェント） 加賀谷さん（IPA）
片山祐輔容疑者のＰＣ遠隔操作事件
題材
•容疑者は、他人のＰＣを遠隔操作し、殺人予告などを行った
CSRFとトロイの木馬型マルウェア
手法
•容疑者がある程度の知識を有していたため、犯行が可能となった
•この遠隔操作の知識・技術は必ずしも悪いことだけに使われているわけではない
出所の不明なファイルは開かない
対策
•信頼出来ない場所で入手した出所不明のファイルを開くことを避けることが、最低 限の対策である

3. 第二回遠隔操作アプリ 解説：加賀谷さん（IPA）
スマフォ監視アプリを用いた盗撮・盗聴
題材
•スマフォの紛失・盗難防止アプリを他人にインストールされ、スパイアプリとして 悪用された事件
自分のスマフォは自分で管理する
対策
•アプリが誰かによって勝手にインストールされないようにする
•スマホを他人の手に委ねない、触らせない
•スマホの画面ロックを有効にし、適切に管理する

4. 第三回ＬＩＮＥ乗っ取り 解説：辻さん（ソフトバンクテクノロジー） 新井さん（トレンドマイクロ）
LINE乗っ取り事件
題材
•LINEのアカウントを乗っ取られ、webmaney等の購入を要求された事件
パスワードリスト型アカウントハッキング
手口
•総当たり攻撃（アカウント固定）・辞書攻撃（パスワード固定）
•他社から流出したアカウント・パスワードを不正使用
複数のサービスでパスワードを使い回さない
対策
•パスワード管理ソフトを使うなどして、サービス毎にパスワードを変える
•似た文字列を使う（n→N、i→1、a→＠など）
•不審なメッセージが送られてきたら、本人に確認する

5. 第四回オンラインバンキングのフィッシング 解説：相戸さん
オンラインバンキングのフィッシング詐欺
題材
•大手銀行を騙るサイトから、不正にパスワードや口座番号等を入手される事案
•ゼミ生にも該当メールが届く
オンラインバンキングって何？
そもそも
•インターネット通じて様々な銀行取引が可能なサービス
•利用者は社会人が多く、若年層の利用率は低い
メールで誘導、パスワード等を入力させる
手口
•「お使いのメールアドレスを確認してください」等のメッセージと偽サイトに誘導 するボタンがあるメールを送信、パスワード等を入力させて不正入手

6. 第五回オンラインバンキングのフィッシング 解説：山本さん（フィッシング対策協議会） 辻さん（ソフトバンクテクノロジー）
ユーザーへの啓発やSSL証明書の導入
銀行による対策
•日頃からユーザーへ注意喚起を行う
•EVSSL証明書を導入、ユーザーがサイトにアクセスするとURLが緑色に
•銀行からのメールにはS/MIMEという証明書を添付
正規のメールか疑う
ユーザーの対応
•パスワードの変更を促すメールが届いたら、まず正規のメールか疑う
•疑わしいメールが届いたら、銀行の窓口かフィッシング対策協議会へ連絡を
•銀行が提供している、安全にオンラインバンキングを利用するためのサービスを上 手く活用する

7. 第六回CSRF・XSSについて 解説：辻さん（ソフトバンクテクノロジー）
クロスサイトリクエストフォージェリ
CSRF
•wwwやHTML形式のメールに攻撃用ページが組み込まれ、意図せず他サイトへの攻撃 が行われるもの
•対策として、ログインが必要なサイトはログインしっぱなしにしない
•不審なメールは開かない
クロスサイトスクリプティング
XSS
•掲示板やURL、SNSの書き込み等にスクリプトを埋め込み、表示した際に実行される ようにしたもの
•対策として、掲示板の管理者は、＜＞や“等の記号を書き込めないようにする

8. 第七回パクリツイート 解説：太田さん（ITmedia）
パクリツイート、通称パクツイ
題材
•他の人のツイートを、自分のツイートのように投稿すること
•面白い話やイラストは狙ってパクツイされる
偽アカウントとの区別
認証アカウント
•著名人が、本人のアカウントであることを証明するための認証を得たアカウント
•現在、一般ユーザーの認証リクエストは受け付けていない
ねとらぼの調べ方
見分け方
•プロフィールや過去のツイートを見る
•Google画像検索で同様のツイートがないかチェックする
•それでも、パクツイであることを見抜けないことも