# オープニング #仕事のスイッチの入れ方 どうもー、セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は仕事のスイッチの入れ方に関する話なんですけども、 そうですね、年末年始のですね、 年々に比べるとですね、比較的長めの連休が終わりまして、 今日からですね、仕事始めの方も多いんじゃないかなと思うわけなんですけども、 個人的にはですね、本当に今年身に染みて感じているのはですね、 いわゆるこの年明け一発目ですよね、 スイッチを入れるのはですね、 無理です。存在にですね、電球をつけるようにですね、 パチンとですね、スイッチは入らないということをですね、 今年改めてですね、ひしひしと感じております。 というのもですね、昨年末までは、その仕事のスイッチを切らないという、 社長という仕事をですね、10年ほどやらさせていただいておりましたので、 そもそもですね、個人的にそのスイッチのオンオフがですね、 得意な方ではないというところもあるんですけども、 今年はですね、本当にしっかりと年末年始休ませていただきまして、 完全にですね、そのスイッチをオフにしてたんですけども、 なかなかこのスイッチ、硬いです。オンにですね、戻すの難しいなというふうにですね、 身に染みて感じておりますので、ぜひ皆さんもですね、 無理やりスイッチを入れてしまうと、壊れてしまうところもありますので、 ここは一つですね、ゆっくりそのスイッチをですね、 いわゆるジュワーッとですね、レバーを開けるようなスイッチだというふうにイメージしていただいて、 ゆっくりですね、エンジンをかけていただければ、いかがかなと思っております。 本当の連休明け、仕事のスイッチを入れるのは、 成人式明けからというので、いかがでしょうか。 はい、ということで今回は、著名なテキストエディターの公式サイトで発生した インシデントについて取り上げております。 この放送を通じてリスナーの皆さんは、正規サイトへの信頼性に対する考え方と、 デジタル署名の確認の重要性について理解を深めていただければと思います。 それではどうぞ。 # EmEditor 公式サイトの「今すぐダウンロード」ボタンが改変、別組織のデジタル署名が付与されたファイルをダウンロード Mエディター公式サイトの今すぐダウンロードボタンが改変 別組織のデジタル署名が付与されたファイルをダウンロード 株式会社Mソフトは12月23日 Mエディター公式サイトにおけるダウンロード動線に関するセキュリティー インシデントについて発表した こちらの記事を簡単に解説をお願いできますでしょうか はい、あるテキストエディターの開発会社が自社公式サイトでの重大なセキュリティ侵害を発表しました 具体的にはサイト上に設置されていたソフトウェアのダウンロードボタンの設定が第三者によって勝手に書き換えられてしまったのです この改ざんは2025年12月20日の午前11時39分から23日の午前5時50分までの約3日間に渡って行われました この期間にダウンロードボタンを押したユーザーは本来の正規ファイルではなく 悪意を持って設置された別のファイルをダウンロードさせられた可能性があります 調査の結果、その不正なファイルには正規の開発元のものではなく 全く別の組織名のデジタル署名が付いていたことが判明しています 現在は該当ファイルは削除されていますが、実行すると危険なコマンドが動く仕組みになっていました デジタル署名とは具体的にどういう役割のものですか はい、デジタル署名とはインターネット上で配布されるファイルが誰によって作られたかを証明し さらに作成後に改ざんされていないかを保証するための、いわば電子的な印鑑証明のような技術です 通常、ソフトウェアをインストールする際には画面に発行元の名前が表示されますよね あれがデジタル署名の情報です 今回のケースでは、本来ならば開発会社の名前が表示されるはずの場所が 全く無関係なワルシャムインベストメンツリミティットという組織名になっていました これにより、ファイルがすり替えられていたという事実が客観的に証明されたわけです なぜボタンを押しただけで違うファイルが落ちてきたのですか はい、それはウェブサイト上のREDIRECTという転送設定が攻撃者によって書き換えられてしまったからです 通常、ダウンロードボタンにはこのボタンが押されたら 自動的にファイルの保存場所へ案内するという転送の仕組みが設定されています 今回のインシデントでは、この案内先のアドレスが正規のサーバーから 攻撃者が用意した別のサーバーへと書き換えられていました ユーザーから見れば、いつもの公式サイトのいつものボタンを押しただけですので 裏側で転送先が変わっていることにはまず気づけません これがこの攻撃手法の非常に恐ろしい点と言えます 不正なファイルを実行すると、どんな危険があるのですか? はい、今回の不正ファイルには PowerShellというWindowsの管理機能を悪用するコマンドが埋め込まれていました 具体的には、IRMとIEXという略語のコマンドが含まれていたのですが これはインターネット上にある特定のサイトから命令文をダウンロードし それを即座にパソコン上で実行させるという挙動をします つまり、攻撃者はいつでも好きなタイミングで 感染したパソコンに対して遠隔操作で命令を送ったり ウイルスを送り込んだりできる状態を作ろうとしていたのです 非常に危険度が高い典型的な攻撃への入り口となる動作です こういった改ざんは、企業側はどうやって検知するのですか? はい、企業側での検知方法としては ウェブサイトのファイルの変更を監視するシステムの導入や アクセスログの定期的な解析などが挙げられます しかし、今回のように正規のサーバーの設定だけを巧みに書き換えられると 検知が遅れることも珍しくありません また、ユーザーからのインストール時に知らない会社名が表示される といった問い合わせで発覚するケースも多いです そのため、企業はサーバーのセキュリティを強化するだけでなく 万が一解散された場合に備えて 即座に異常を知らせるアラートシステムの整備や 外部からの通報を受け付ける窓口の設置が極めて重要になります 私たちがダウンロードする際、何に気を付ければいいですか? はい、最も有効でかつ誰にでもできる対策は インストールを開始する直前の確認画面をしっかり見ることです Windowsの場合、ユーザーアカウント制御の画面が表示された際に 確認済みの発行元という欄に正しい会社名が表示されているかを 必ずチェックしてください もしそこに今回のように見覚えのない組織名や 不明な発行元と表示されていた場合は 迷わずEAを押してインストールを中止すべきです 公式サイトからダウンロードしたからといって申し訳せず 目で署名を確認する習慣をつけることが最大のリスク低減策になります なるほど 公式サイトだからといって安心せず インストールの直前に表示される発行元の名前 つまりデジタル署名を毎回チェックする癖をつけることが大切なんですね また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、テキストエディタの公式サイトで発生したインシデントということでですね、 そのソフトウェアがマルウェアに置き換えられてしまっていたと いうことなんですけれども、少し難しさを感じるのがですね、 例えばこのソフトウェアに脆弱性が見つかった際は、 われわれセキュリティを生業にしているものとしてもですね、 公式サイトから最新版を入手してくださいということをですね、 よく申し上げるわけなんですけれども、その前提としてはですね、 公式サイトであればですね、正しいソフトウェアが配布されているであろうということが 前提となっているわけなんですけれども、 当然ながらですね、その公式サイトが解散されてしまうと、 その前提が崩れてしまうということになります。 結果、今回のようなですね、そのマルウェアをダウンロードしてしまうような インシデントにつながりかねないということになるわけです。 ですから、本質的に何が重要かというところですね。 これは本編でも解説させていただきました。 実際に信頼できる組織から配布されているソフトウェアを入手すると。 それは公式サイトであってもしっかりと確認する必要があるということを、 今回のインシデントから学べるということですね。 それから、インストールする際にですね、 OSからこれは本当に信頼できるソフトウェアですかという 警告のですね、ポップアップが出ているはずなんですね。 ただ、割とですね、多くの人がそのポップアップを 読み飛ばしてしまっているんじゃないかなというふうに思うわけですね。 その中には当然ながら、デジタル商品の内容を確認するという プロセスが必要になってくるわけなんですけども、 今回のインシデントがありましたので、 ぜひですね、皆さんもそういったポップアップがあった際は、 その読み飛ばさずにですね、一つ一つ確認するという プロセスを今後は挟んでみてはいかがでしょうか。 今日の10分セキュリティラジオは、月曜から土曜に 祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you.