全世界のWindowsがブルースクリーンに（週刊セキュリティニュース）：週刊セキュリティニュース

2024年7月15日週に起きた国内や海外の主要セキュリティニュースを中心に紹介する。

[畑陽一郎，キーマンズネット]

　2024年7月12〜20日に報じられたセキュリティニュースを振り返る。特にWindowsの問題が多くの人に大きな影響を与えた。

大規模な障害や流出が相次ぐ

　今回最も影響が大きかったのは、2024年7月19日にWindowsで起こった問題だ。電源を投入すると「ブルースクリーン」が表示されてそれ以上何もできなくなったため、多数の企業で業務が停止したり、消費者や企業向けのサービスを提供できなくなったりした。原因はCrowdStrikeのセキュリティソフトウェアだということが分かった。

　個人情報の流出では米国の通信事業者AT＆Tが人口の約3分の1に相当する量の被害を受けた。

　この他、「Oracle Java」や「Google Chrome」について脆弱（ぜいじゃく）性に対応するセキュリティ更新プログラムが発表された。それぞれのニュースの内容は次の通りだ。

●2024年7月12日
　AT＆Tは同社のモバイル通信の顧客データがサードパーティーのクラウドプラットフォームから不正にダウンロードされたことを発表した。流出したのは同社のほぼ全ての携帯電話顧客に加え、ワイヤレスネットワークを使用するモバイル仮想ネットワーク事業者（MVNO）の顧客、2022年5月1日〜2022年10月31日の間にこれらの携帯電話番号とやり取りした同社の固定電話顧客の通話とテキストに関する記録を含むファイルだという。通話やメールの内容、社会保障番号、生年月日などの個人情報、その他個人を特定できる情報は含まれていなかったという。2024年7月時点の同社の顧客数は約1億1500万人であり、約1億人のデータが流出したことになる。

---

●2024年7月15日
　The Wall Street Jounalの報道によれば、The Walt Disney Companyがサイバー攻撃を受け、数千のSlackチャネルからソースコードや未発表のプロジェクトの詳細データが盗み出されたという。攻撃者「Nullbulge」によれば、盗み出したデータの総量は約1TBだという。

---

●2024年7月16日
　GoogleはWebブラウザ「Google Chrome」のセキュリティアップデートを発表した。CVE（共通脆弱性識別子）番号が割り当てられた脆弱性は8件あり、いずれも深刻度が「高」だ。

---

●2024年7月17日
　東京ガスは子会社の東京ガスエンジニアリングソリューションズのネットワークに不正アクセスがあり、約416万人分の個人情報の流出の可能性があると発表した。2024年7月9日に判明した後、個人情報保護委員会へ報告済みだ。流出した可能性があるのは業務上必要な情報として業務委託元から提供を受けている一般消費者の個人情報（住所、氏名、連絡先など）で、金融機関の口座情報やクレジットカード情報は含まれない。東京ガスとの家庭用都市ガスや電気の契約情報も含まれないという。

　上智大学は学生や卒業生のみが利用できる「ソフィアメールシステム」でログイン後に1万5160人の学生と3万6275人の卒業生、教職員の個人情報（学生氏名と学生番号を含んだアカウントID）が閲覧できる状態だったと発表した。学生と卒業生・職員はシステム上別グループに分かれており、同じグループ内で閲覧できていた。なお、パスワードは流出していないという。

　情報処理推進機構（IPA）は同日に公開された「Oracle Java」に関する脆弱性の修正プログラムを適用するよう注意を喚起した。四半期の定例修正プログラムであり、製品ごとに重複した物を除くと175件の脆弱性に対応する。修正しない場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御されたりして、さまざまな被害が発生する恐れがあるという。

　Cisco Systemsは同社のメールセキュリティ製品「Cisco Secure Email Gateway」のコンテンツスキャンとメッセージフィルタリング機能に脆弱性（CVE-2024-20401）が見つかったと発表した。細工されたメールの添付ファイルを利用して、任意のコードを実行したり、root権限を持つユーザーを追加したり、デバイス構成を変更したり、サービス拒否（DoS）を実行したりできるという。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」で、重要度は「クリティカル」だ。

　SonicWallは同社のVPN関連の31製品に影響がある脆弱性「CVE-2024-40764」と「CVE-2024-29014」を発表した。CVE-2024-40764を悪用するとリモートから認証を経ずにサービス拒否を起こすことが可能で、CVE-2024-29014を悪用すると任意のコードを実行される恐れがあるという。

---

●2024年7月18日
　IPAとJPCERT/CCは「ソフトウェア等の脆弱性関連情報に関する届出状況」を発表した。2024年第2四半期（2024年4〜6月）の期間に、ソフトウェア81件、Webサイト31件を受け付けたという。オープンソースソフトウェアの脆弱性の届け出状況や脆弱性の修正完了状況も公開した。

　GoogleなどAIを手掛ける14社はAIのセキュリティと安全基準を策定する「Coalition for Secure AI」（CoSAI）を立ち上げると発表した。14社には設立プレミアスポンサーのGoogle、IBM、Intel、Microsoft、NVIDIA、PayPalと、その他の設立スポンサーのAmazon、Anthropic、Cisco Systems、Chainguard、Cohere、GenLab、OpenAI、Wizが含まれる。グローバルな標準化団体「OASIS」が主催し、セキュア・バイ・デザインにのっとったAIシステムを開発するために必要なガイダンスとツールを提供することを目的としたオープンソースのイニシアチブだ。AIシステムの古典的で独特なリスクに対処する包括的なセキュリティ対策を開発することを目的としており、AIシステムの安全な構築や統合、展開、運用を含み、モデルの盗難やデータポイズニング、プロンプトインジェクション、スケーラブルな悪用、推論攻撃などのリスクの軽減に重点を置くという。

---

●2024年7月19日
　CrowdStirkeは同社のEDR製品「Falcon Platform」のアップデートが原因でWindowsがブルースクリーン表示になり、正常な起動ができなくなる問題について、詳細情報と対応策を発表した。

　フィッシング対策協議会が2024年6月に寄せられたフィッシング情報を発表した。報告件数は海外を含め14万4160件で、フィッシングサイトのURLは5万4991件だった

---

●2024年7月20日
　MicrosoftはCrowdStrikeのソフトウェアが原因でWindowsが起動しなくなる問題について、全世界で影響を受けたPCが推定850万台に上ると発表した。これは全てのWindows端末の1％未満だという。

　MicrosoftはCrowdStrikeのソフトウェアが原因でWindowsがブルースクリーン表示になる問題に対するリカバリーツールを発表した。リカバリー用USBドライブを作成できる。

　なお、CrowdStrikeはWindowsが起動しなくなる問題について、随時、情報を更新している。