見覚えのあるウェブサイトです。以前にも訪れたことがあり、ブックマークしているかもしれません。ところが、そのサイトが突然、更新プログラムのインストールや通知の許可、あるいは「人間であることを証明する」ためのコマンド実行といった、普段とは違う操作を求めてきます。
まずは立ち止まって確認してください。信頼しているサイトであっても、従うべきでない指示が表示される可能性があります。Malwarebytesの研究者らは、攻撃者が正規のウェブサイトを乗っ取り、偽の認証ページを配信して、訪問者をだましマルウェアをインストールさせる攻撃を確認しています。
同じ週のうちに、ウェブのセキュリティを支えるインフラの複数の領域で、深刻な問題が相次ぎました。攻撃者はPHPの2件の脆弱性を悪用しており、研究者はNode.jsが使用するソフトウェア「Brotli」の重大な脆弱性を公表しました。さらに、8件の侵害されたセキュリティ証明書が見つかり、ブラウザーやアプリがウェブサイトを検証する仕組みへの懸念が高まっています。原因もリスクの度合いも異なる事案ですが、これほど短期間に集中して起きるのは異例です。
W3Techsによると、PHPは、使用しているプログラミング言語が判明しているウェブサイトの約7割で使われています。Node.jsは、ウェブサーバー技術が特定されているサイトの7.4%で使われています。どちらもウェブサイトの裏側で動作しているため、これらに脆弱性があれば、利用しているサイトが危険にさらされかねません。ほとんどのブラウザーは該当の証明書をすでにブロックしていますが、ほかのソフトウェアやデバイスでは更新が必要になる場合があります。
だからといって、ウェブの閲覧をやめる必要はありません。ただし、ソフトウェアとセキュリティ対策を常に最新の状態に保ち、予期しない要求には警戒してください。
安全に閲覧するための対策
ウェブサイトのアドレスは確認してください。ただし、本物のサイトであっても侵害されている可能性があることを忘れないでください。重要なのは、ページの指示が筋の通ったものかどうかです。なじみのあるサイトなら訪問する価値はあるかもしれませんが、だからといって、自分のデバイス上でソフトウェアを実行させてよいわけではありません。
確認されている攻撃キャンペーンでは、悪意ある指示はそっくりなドメインだけでなく、乗っ取られた正規のWordPressサイトにも表示されていました。
また、接続が安全だからといって、ページが安全だとは限りません。HTTPSが保護するのは、ブラウザーとサイトの間の通信です。危険なコンテンツに対するブラウザーの保護機能は、これとは別の層にあたります。ソフトウェアのインストールや機密情報の入力を求めるページは、通信が暗号化されていても慎重に見極める必要があります。
「この要求は、自分がここに来た目的に見合っているだろうか」と自問してみてください。
記事を読むのにPowerShellを開く必要はありません。動画を見るのに、パソコンを「修復」するようサイトの指示に従う必要もありません。これらは、悪意あるコマンドを定型的な認証やトラブルシューティングの手順に見せかけるClickFix攻撃でおなじみの手口です。
他人のウェブサーバーにパッチを適用することはできませんが、自分のデバイスのソフトウェアを最新に保つことはできます。OS、ブラウザー、アプリケーションは、可能な限り自動更新を有効にし、インストールを何度も先延ばしにしないようにしてください。更新プログラムは、攻撃者がファイルやアカウントへのアクセスに悪用しかねないセキュリティ上の欠陥を修正します。
ブラウザーのフィッシング対策・マルウェア対策機能も有効にしておきましょう。Malwarebytes Browser Guardのような無料のブラウザー拡張機能は、既知の危険なサイトや悪意あるダウンロード、クリップボードの乗っ取りについて警告します。警告が出た場合は、回避すべき障害ではなく、そのページから離れるべき理由として受け止めてください。こうしたチェックは有効な防御層のひとつですが、警告が出ていないすべてのページの安全性を保証するものではありません。
パスワードマネージャーに保存した強力で一意のパスワードを使い、重要なアカウントでは多要素認証を有効にしてください。これらの対策は、アカウントへの不正アクセスを防ぐ助けになります。
コードの実行やデバイスの設定変更を伴う要求は、別の手段で確かめましょう。サイトがブラウザーの更新が必要だと主張してきた場合は、そのプロンプトを閉じ、ブラウザー自身の設定画面から確認します。アカウントやサービスに対応が必要だと表示された場合は、公式アプリやヘルプページ、自分で開いたサポート窓口から確認してください。
攻撃者は、有害な操作を「やりたいことを実現するために必要な手順」として見せかけることがよくあります。接続の修復、プレーヤーの有効化、セキュリティチェックの完了といった名目です。アクセスを阻まれたいらだちから、つい指示に従いたくなるかもしれません。
デバイスには、最新のリアルタイムマルウェア対策を導入し、マルウェアによる被害や情報の窃取を食い止めましょう。
なじみのあるサイトでも、予期しないコンテンツやダウンロード、リダイレクト、繰り返されるログイン要求には注意してください。おかしいと感じたら、そのページから離れましょう。判断に迷う場合は、Malwarebytes Scam Guardを使えば、その要求が詐欺かどうかを確認でき、次に取れる対応も示されます。
脅威の報告から、脅威の除去まで。
サイバーセキュリティのリスクは、見出しの中だけにとどめておくべきです。今すぐMalwarebytesをダウンロードして、脅威をデバイスに寄せつけないようにしましょう。
