Security Response

悪質な攻撃への近道

短縮 URL は近年、マイクロブログなど、文字数が制限されているテキストフィールドでスペースを確保する手段として広く使われています。URL によっては多くの文字を使うので、文字数上限を超えたり、テキストが強制改行されたり、Web ページのレンダリング方法に歪みが生じたりする可能性があります。URL 短縮サービスでは、URL を送信すると、特別にコード化された短縮 URL を受け取ることができます。その短縮URL をクリックすると、最初に送信した Web ページにリダイレクトされます。

攻撃者は、実際の URL が表示されないというこのサービスの特徴を悪用し、合法または非合法な短縮リンクを使って、無防備なユーザーを悪質な Web サイトに誘導します。その Web サイトは、脆弱なブラウザを使用してシステムを攻撃するように設計されているというわけです。

ソーシャルネットワークは、このタイプの攻撃を効果的に実行できるプラットフォームとなるので、企業にとってはセキュリティ上の懸案事項となっています。友人が投稿したリンクを見たユーザーは、特に危険だとも思わずにソーシャルネットワークサイトに投稿されたリンクを信頼する（そしてクリックする）傾向があります。そのため、ソーシャルネットワークのアカウントを侵害した攻撃者が、そのアカウントにつながるソーシャルネットワークへの信頼を盾に、悪質な Web サイトにリンクされた URL を投稿する可能性があります。2010 年、3 カ月に及ぶ調査を行った結果、ソーシャルネットワークで確認された悪質な URL の 3 分の 2 が短縮URL でした。現在、ソーシャルネットワークの悪質な URL の大半は、攻撃ツールキットをホストしている Web サイトにユーザーを誘導します。

悪質な短縮 URL を使用すると、攻撃の成功率が大幅に上昇します。シマンテックは、悪質な短縮 URL のクリック回数を計測し、リンクの成功率を判定しました。2010 年、シマンテックはソーシャルネットワークで 4 カ月にわたり、悪質なWeb サイトへの短縮URL を調査しました。その結果、88 パーセントの URL が最低 1 回はクリックされたことが明らかになりました。

Volume 16 of the Symantec Internet Security Threat Report covers trends in the Internet security threat landscape during 2010. It has been an interesting year, to say the least. We saw vulnerabilities implicated in major events such as the Trojan.Hydraq Incident, the Stuxnet attacks, and numerous zero-day attacks.

Here are some highlights:

-          In terms of the sheer number of new vulnerabilities discovered, 2010 was a record year. At the time of writing, we documented 6,253 new vulnerabilities over the year.

-          The rise in vulnerabilities was influenced by an increase in the number of new vendors that were affected by vulnerabilities in 2010. In 2010, Symantec documented 1,914 new vendors that were impacted by vulnerabilities, compared to 734 new vendors in 2009.

-    ...

2011 年度版『インターネットセキュリティ脅威レポート』、中小企業に対するリスクの増加を指摘
Symantec Security Technology and Response ディレクター Kevin Haley

中小規模企業には、インターネットベースの今日の市場で高い競争力を発揮できる柔軟性があります。そして、ビジネスのオンライン化が進むなかでは、機密情報を保護することが、今まで以上に重要になっています。

ハッカーは、企業の規模など考慮しません。彼らが考えるのは、いかにして防御をすり抜け、貴重な情報や金銭を奪い取るかということだけです。ハッカーにとって中小規模企業が狙い目であるのは、エンドユーザーよりお金があり、大企業よりサイバー防御力が弱いという傾向があるからです。しかも今や、そうしたハッカーは技術力の高いコンピュータギークだけではなくなりました。攻撃ツールキットが簡単に手に入るので、初心者でもそれを使えば、コンピュータに侵入し、銀行口座のログイン名とパスワード、あるいは顧客のクレジットカード番号の一覧などを盗み出すために必要な情報をすべて抜き取ることができるのです。『インターネットセキュリティ脅威レポート』 (英語) では、このようなツールキットによって Java の悪用が増えていると報告されています。Java は、ほぼすべてのオペレーティングシステムで、またどの Web ブラウザ上でも実行可能なコンピュータ言語です。

企業の従業員の誰もがソーシャルネットワークを使っています。サイバー犯罪者も使っていますが、もちろんサイバー犯罪者の友だちどうしで連絡を取り合っているわけではなく、...

2011 Internet Security Threat Report Identifies Increased Risks for SMBs
Kevin Haley, Director, Symantec Security Technology and Response

Small businesses have flexibility that can provide them with a competitive edge in today’s Internet-based market. And, with ever more business being conducted online, keeping your sensitive information safe is more critical than ever.

Hackers do not care what the size of your business is. They only care if they can get past your defenses and relieve you of your valuables. What hackers do like about a small business is that they tend to have more money in the bank than an end-user and less cyber defenses than a larger company. And these hackers are no longer limited to highly skilled computer geeks. Using easily available attack toolkits, even a relative novice can infect your computers and extract all the information they...