# 24/04/01～24/04/05配信分まとめ 皆さん、おはようございます。もしくは、こんにちは。または、こんばんは。 今日の10分シキュリティラジオ、土曜担当パーソナリティの山田です。 土曜日の配信は、今週の月曜日インデギュラー放送の内容を10分間にぎゅーっと圧縮してお送りする、シキュラジー切り抜きチャンネルとなっております。 10分間最後までお付き合いください。 はい、では早速ですが、月曜の配信から振り返ってみます。 タイトルは、「2025年3月末までのEMV3Dセキュア導入に向けた取り組み記載。クレジットカードセキュリティガイドライン改訂です。」 経済産業省から、安全・安心なクレジットカード利用環境整備のため、クレジットカード決済に関係する事業者が実施すべき、 情報導入及び不正利用防止のためのシキュリティ対策を取りまとめた、クレジットカードセキュリティガイドラインの改訂について発表がありました。 主な改訂内容は、クレジットカード情報保護対策として、シキュリティチェックリスト記載のシキュリティ対策実施や、 不正利用対策として、原則、すべてのEC加盟店における、2025年3月末までのEMV3Dセキュア導入に向けての取り組みを記載しています。 EMV3Dセキュアとは、インターネット上でのクレジットカード決済をより安全にするために、国際カードブランドが推奨する本人認証サービスです。 従来の3Dセキュアより利便性が高く、シキュリティも強化されており、世界中で広く導入が進められています。 具体的には、リスクベース認証と呼ばれる仕組みの導入により、クレジットカード決済に必要な追加認証が省略できる場合があり、よりスムーズな決済が可能となります。 また、生体認証やデバイス情報などを利用したより強固な認証により、不正利用のリスクをさらに低減することが期待できます。 さて、ところで皆さん、自分のクレジットカードがどこに置いてあるか把握していますか? カード番号などカード情報を誰かに教えたりしていませんか?利用明細は確認していますか? これらは、私たちカード利用者側が気をつけるべきポイントになります。 カードの情報管理に注意し、安全な利用を心がけましょう。 はい、では続きまして、通用の配信を振り返ってみます。 タイトルは、「メタ社へ申請するも復旧困難と判断。乗っ取り被害の池袋エリア・プラットフォームのFacebookページ削除」です。 今回のインシデントは、池袋エリア・プラットフォームのFacebookページが乗っ取り被害を受け、事務局で更新できない状態になったということで、 メタ社への申請を含め対応を行っていましたが、当該ページの復旧は困難と判断し、被害の未然防止のため当該ページを削除したということです。 さて、セキュラジでも何度か取り上げてきたSNSアカウントの乗っ取り被害ですが、今回は万が一アカウントが乗っ取られてしまった際の3つの対応ポイントをお伝えします。 1、まずパスワードを変更しましょう。現在ログイン中のユーザーを強制的にログアウトさせることができれば、併せて行ってください。 2、次に乗っ取りの可能性があることを関係者へ連絡しましょう。金銭を要求するメッセージを受け取っても信用しないよう注意喚起してください。 3、SNS運営側にアカウント乗っ取りを報告し、アカウントの復旧や不正アクセスの調査を依頼しましょう。また、自身でもアクティビティログなど確認し、アカウントが乗っ取られた原因調査を試みてください。 ひとたびアカウントが乗っ取られてしまうと、今回のニュースのようにアカウント復旧できない可能性があります。復旧にはアカウントの取り被害を正確に確認する必要があり、証拠が不十分な場合は、SNS運営元で適切な対応を取れない場合があります。 また、アカウント乗っ取りは日常的に発生しており、SNS運営元が全てのケースに対応するには膨大なリソースが必要です。そのため、アカウント復旧の仕組みが自動化されている場合があり、運営元が個別の状況を十分に把握しきれていない可能性があります。 アカウント乗っ取りの被害に遭わないためにも、二段階認証を設定するなど、セキュリティを強化し、しっかりとアカウントを守っていきましょう。 では最後、金曜の配信を振り返ります。タイトルは、スマートフォンアプリ、Yahoo!Japanにクロスサイトスクリプティングの脆弱性です。 IPA及びJP3CCから、スマートフォンアプリ、Yahoo!Japanにおけるクロスサイトスクリプティングの脆弱性について、JVNで発表がありました。 脆弱性が発見されたアプリは、Yahoo!Japan、AndroidアプリとiOSアプリで、 影響として、ユーザーの端末にインストールされた他のアプリを介して、当該製品のWebView上で任意のスクリプトが実行される可能性があるということです。 申告度を示すCVSS Ver.3の基本値は5.0で、3枚目に高い警告とされています。 それでは、クロスサイトスクリプティングについて解説いたします。 クロスサイトスクリプティングとは、Webサイトの脆弱性を悪用した攻撃で、ユーザーの個人情報漏洩やマルウェア感染などの被害を引き起こします。 攻撃の出口としては、掲示板やコメント欄などユーザーが入力できる箇所に攻撃者が悪意あるコードの入ったスクリプトを埋め込み、ユーザーが閲覧時に実行させるというもので、 パスワードやクレジットカード情報などの摂取、不正な送金や情報の改ざん、フィッシング詐欺などの被害例があります。 対策としては、Webサイト運営者側では、サイトへ入力されるデータのチェック、サイトへ出力されるデータの中から悪用される特殊文字を変換するようコードを修正することや、WAF導入などが有効です。 利用者側の対策としては、最新ブラウザ、セキュリティソフトの利用、不審なリンクの回避、信頼できるサイトのみの利用などが重要です。 概要欄にJVNの当該詐欺性ページのURLを貼っておきますので、対象のバージョンなどをご確認の上、影響のある方は速やかにアップデートを行ってください。 # エンディングと今日の一言 ということで、シキュラジ1週間を振り返ってみました。 ながらで聞けてためになる、きょうの10分シキュリティラジオは、毎週月曜水曜金曜の朝7時15分より最新回を配信しております。 また、月水の夜8時から、録音では聞けないシキュラジ制作過程の裏側を、Voicyライブアワーから生放送でお届けしています。 そして、土曜日は月水金の内容をダイジェストでお送りする、シキュラジ切り抜きチャンネルを放送しております。 月曜から土曜までの各シキュラジ、ぜひお聞きください。 はい、ということで、今週も1週間お疲れ様でございました。 はい、4月1週目終わりましたね。 新入生の皆さん、新入社員の皆さん、聞いている方がいらっしゃるかは分かりませんが、入学、入社おめでとうございます。 新しい環境って慣れるまでが大変だと思いますが、頑張りすぎないように頑張ってください。 はい、それでは今回はこの辺で失礼いたします。 来週も聞いていただけましたら嬉しいです。 では、またね。