セキュリティエンジニアが気になったニュースまとめ　2024/9/30～10/4

最近話題になったセキュリティ関連のニュースから、気になるものをピックアップしてお届けします。

2024/10/1

プリンター、スキャナーおよびネットワークインターフェイス製品のWeb Configにおける脆弱性について

プリンター、スキャナーおよびネットワークインターフェイス製品のWeb Configにおける脆弱性について｜エプソン (epson.jp)

平素はエプソン製品をご愛用いただきまことにありがとうございます。
一部のエプソンプリンター、スキャナーおよびネットワークインターフェイス製品において、Webブラウザー上で製品本体の状態を確認、もしくは設定を変更することが可能なソフトウェア（Web Config^（注1））に脆弱性が確認されました。

（注1）Web Configは、製品本体のIPアドレスをEdgeやSafariなどWebブラウザー上のURL欄に入力することで製品本体の状態を確認、もしくは設定を変更することができます。なお、Web Configは、一部製品でRemote Managerと呼ばれる場合があります。

本脆弱性は、プリンターなどの一部製品において実装されているソフトウェア（Web Config）において、管理者パスワードが未設定（空）の状態だった場合、アクセスした際にパスワードの設定が可能というもの。
現時点で、本脆弱性を悪用した攻撃の報告はされていないとのことですが、このような状態で外部に公開されている場合、容易に製品機器を乗っ取られ、遠隔から操作される可能性がありますので、早急に公式情報を確認の上、対策することを推奨します。

対象製品は下記になります。

2024/10/1

個人情報漏えいのおそれがある事案について

個人情報漏えいのおそれがある事案について｜新着情報バックナンバー ｜ 三菱重工健康保険組合 (mhi.or.jp)

この度、当健康保険組合が2017年に承継致しました日本輸送機健康保険組合(以下、ニチユ健保)に関する個人情報が漏えいしたおそれがあることを当健康保険組合の業務委託先である一般財団法人関西情報センター（以下、KIIS）及び再委託先であるニッセイ情報テクノロジー株式会社（以下、NISSAY IT）から報告を受けました。

つきましては、現在判明している事実関係等について以下のとおりお知らせ致します。関係者の皆様にはご迷惑とご心配をお掛けし、心よりお詫び申し上げます。

情報漏洩の経緯が多少複雑ですが、根本的な原因としては、情報管理の不備により、業務委託の関係にない業者にデータが流出し、その業者が外部からのランサムウェアによる不正アクセスを受け、個人情報が流出した可能性があるといものです。
外部流出の可能性がある個人情報は、2016年当時の氏名、保険証番号などが含まれていますが、医療機関受診歴や健康診断結果等のセンシティブな情報は含まれていないとのことです。
近年被害が拡大しているランサムウェアによるサイバー攻撃ですが、今回のケースのように、ランサムウェアによる被害以前に関係のない業者に情報が漏洩している点についてもう少し詳細な情報を公開して欲しいと思いましたが、確認する限り続報はありませんでした。

2024/10/2

本学研究室が所有するサーバへの不正アクセスについて

https://www.ynu.ac.jp/hus/joho/32308/detail.html （※10/15時点、元記事アクセス不可）

本学の研究室で所有している、数値計算等を行うために運用しているサーバが不正アクセスを受け、外部への攻撃の踏み台となっていたことが判明いたしました。
2024年9月5日（木）、当該サーバのIPアドレスからの不正な通信について外部機関より通報を受けて調査をしましたところ、当該サーバが外部からの不正アクセスにより攻撃の踏み台となっていたことが判明したため、ただちにネットワークから遮断しました。

原因として、リモート接続に使用していたSSHサーバが不正にアクセスされたもので、詳細については現在調査中とのことです。

踏み台攻撃とは、攻撃対象ではない第三者のサーバーやパソコンを遠隔操作し、サイバー攻撃などをさせる手法のことです。ソフトウェアの脆弱性やマルウェア感染をさせたり、IDやパスワードを奪い取ったりしたのち、別のサーバーやパソコンに攻撃します。攻撃者は直接ターゲットを攻撃するのではなく、まずは踏み台となるパソコンやサーバーへ侵入し、マルウェア等に感染させ、感染後は踏み台となったサーバーやパソコンに遠隔で指示を出し、標的を攻撃します。攻撃者のメリットとして、実際の攻撃者と攻撃の指示を出している人物が踏み台で隔てられているため、真の攻撃者が割り出しにくいという特徴があります。

想定される被害として、セキュリティ対策が甘いことが露呈し社会的信用を失ったり、場合によっては損害賠償責任を負うことになります。

対策としては、IDやパスワードを定期的に変更する、セキュリティ対策ソフトを導入する、不審なメールやサイトを開かない、ログを取得し保存するなどです。踏み台攻撃の被害者・加害者とならないためにも、社内のセキュリティ対策を万全にしておきましょう。