アクセスポイントに重大な脆弱性が 急ぎ確認を【セキュリティニュースまとめ】：週刊セキュリティニュース

ランサムウェア攻撃は対象を選ばない。11月初週は大学が攻撃されて成績情報が流出した他、コーヒーを扱う商社のデータが暗号化された。この他、Cisco SystemsやHPEでは重要な脆弱性が見つかっている。

[畑陽一郎，キーマンズネット]

　2024年11月4日を含む前後の週は、複数のランサムウェア攻撃についての発表が関心を集めた。いずれも直接攻撃を受けたのではなく、2段階にわたった侵入プロセスを経ていた。

　脆弱（ぜいじゃく）性ではCisco Systemsの「Cisco Unified Industrial Wireless Software」やHewlett Packard EnterpriseのHPE Aruba Networkingのアクセスポイントにすぐに対応が必要なものが見つかった。

ランサムウェア被害の他、アクセスポイントに重大な脆弱性

　2024年6月にKADOKAWAを狙った大規模なランサムウェア攻撃が注目を集めたが、より小規模な攻撃はあらゆる業種や規模の企業を狙っている。

　今回は飲料や食品を扱う中堅商社と私立大学がランサムウェア攻撃に遭った。他社の被害事例を教訓に、今後のセキュリティ対策を考えていきたい。1週間のセキュリティインシデントを振り返っていこう。

---

●2024年11月1日

　コーヒーを中心とした飲料食品事業を営む石光商事は、石光商事はランサムウェア被害についての調査結果を発表した。2024年9月18日に攻撃を受けた結果、ファイルが暗号化されていることを確認し、外部専門家によるフォレンジック調査を進めていた。調査の結果、SIMカードを搭載した同社のグループ会社のノートPCに対して、まずリモートデスクトップ接続による不正アクセスを受けた。その後、同社と国内グループ会社の一部サーバに不正にアクセスされ、データを暗号化された。同社グループが保有するデータに不正にアクセスされた結果、一部または全部が外部へ転送された痕跡を確認したものの、アクセスされた範囲中には個人情報などは含まれていなかったという。なお、バックアップなどがないため、石光商事の社内特定個人情報21件と履歴書28件、同社の連結子会社のユーエスフーズの社内の特定個人情報13件と、同社グループ以外の顧客の銀行口座最大100件、履歴書11件を復元できなかったという。

---

●2024年11月5日

　Hewlett Packard Enterprise（HPE）は、HPE Aruba Networkingのアクセスポイントに脆弱性が判明したため、セキュリティアドバイザリを発表した。脆弱性は6件ある。PAPIプロトコルによるアクセスを受けるCLIサービスにおける認証されていないコマンドインジェクション脆弱性「CVE-2024-42509」を悪用されると、認証を経ることなくリモートから任意のコマンドを実行されてしまう。共通脆弱性評価システム「CVSSv3.1」のベーススコアは9.8と高く、重大な脆弱性（critical）とされている。

---

●2024年11月6日

　Cisco Systemsは、複数の製品で見つかった15件の脆弱性についてセキュリティアドバイザリを発表した。「Cisco Unified Industrial Wireless Software」に関する脆弱性「CVE-2024-20418」を悪用されると、リモートからコマンドを実行されるおそれがある。CVSSv3.1のベーススコアは最高値の10で、重大な脆弱性（critical）とされている。

　東北学院大学はランサムウェア攻撃に遭った結果、個人情報などが流出したと発表した。職員が利用する学外からアクセス可能な業務用PCのIDとパスワードを窃取された後、2024年9月7日にランサムウェア攻撃を受け、同9月9日に発覚した。共有ドライブから個人情報と業務データが不正にダウンロードされた。漏えい対象は学外者、学生、教職員に分かれる。学外者は同大学のシステム構築や運営にかかわる外部企業41社119人が対象。氏名や電話電話番号、メールアドレスなどが漏えいした。3490人の学生の情報は卒業生のものを含む。学生番号と2023年開講の1科目の成績情報（3071人）、メールアドレス、氏名が漏えいした。教職員の情報は教職員番号と氏名、一部のメールアドレスで3476件ある。同大学の統合認証アカウントのパスワードは漏えいしていないという。

---

●2024年11月8日

　リコーはレーザープリンタや複合機で脆弱性が明らかになったことを発表した。2024年10月31日に公開した情報を更新したもの。機器類に実装されたWebサーバ「WebImage Monitor」にスタックベースのバッファオーバーフローの脆弱性「CVE-2024-47939」があり、認証を経ずに任意のコードを実行したり、サービス拒否を実行できたりする。CVSSv3.1のベーススコアは9.8と評価されており、重大な脆弱性（critical）とされている。対象モデルは142ある。なお前回紹介したシャープの複合機で見つかった脆弱性とは異なる。

　ウエルシア薬局は不正アクセスにより、顧客などの個人情報が流出した恐れがあると発表した。2024年10月24日に同社の通販サイト「ウエルシアドットコム」の業務に使用するPCを利用中の同社従業員がサポート詐欺によって悪質なWebサイトに誘導された後、遠隔操作ソフトウェアをインストールさせられた。この結果、退会者を含むウエルシアドットコムの3万9805人の顧客情報（氏名や住所、電話番号、生年月日、性別、同通販サイトの利用ID、パスワード、購入商品名）の他、同社とグループ企業の従業員931人の情報（氏名や所属組織、会社のメールアドレス）が漏洩した恐れがあるという。