Webサイト閲覧の危険と対策

感染が最も多いのはWeb閲覧です

昔々、ウイルスと言えばメールから感染する場合がほとんどでした。しかし迷惑メール対策が進んだことや、個人ではメールではなくLINEを使用することが多くなったこと、みんなのセキュリティ意識が高まったこともあり、メール経由でのウイルス感染はやや少なくなりました。

そんな中、最近は、Web経路のウイルス感染が非常に増えています。ほとんどの家庭のパソコンは、インターネットに接続され、Webサイトの閲覧（ネットサーフィン）をしていることと思います。そのため、ファイアウォールを入れてもWeb閲覧時のポート（80番）は解放されているため、ウイルスを呼び込みやすいためです。

「怪しいサイトは見ないから大丈夫」、「有名なサイトのみ見るから問題ない」という人も多いかと思います。しかし、大手比較サイトや官公庁のサイトなどがクラッキングされ、そのサイトを見た人がウイルス感染してしまったこともあります。また、自分は、正規サイトにアクセスしているつもりでも、実は偽のサイトに巧みに誘導されていて、暗証番号やパスワードを盗難される場合もあります。どんなサイトでも100％安全ではありません。

ここでは、Web経路のウイルス感染例とその対策についてみていきます。

感染・詐欺例

例１：見ただけウイルス感染

普段見ているWebページを見ただけでウイルス感染する場合があります。これは正規のWebサイトのHTMLファイルに、IFRAMEを埋め込み、別の不正なHTMLを読み込むようにされた場合に起こります。この不正なHTMLにはウイルスをダウンロードしてインストールするスクリプトなどが書かれているため、正規のWebサイトを見るだけで感染するのです。

過去には、超有名な価格比較サイトや、官公庁、企業サイトのHTMLが改ざんされています。あなたが普段見てるサイトも、改ざんされる可能性があるわけです。

なお、正規のHTMLに、不正なHTMLを埋め込むことを「ドライブバイダウンロード攻撃」といいます。

例２：いつものサイトだと思っていたけれど、実は偽サイト

Yahooメールや○○ネットバンキングなどを、普段使っている人は多いと思います。これらの本物そっくりの偽サイトに誘導された場合、あなたは気づくでしょうか？このような偽サイトは、本物のHTMLや画像をコピーして作られているため、おそらく偽サイトとは気づかずに、ユーザ名／パスワードや、口座の暗証番号などを入力してしまうと思います。

偽サイトへの誘導の方法は、簡単です。本物に見せかけたメールを１通送るだけです。そのメールの中に、偽サイトへのリンクを書いておき、「セキュリティ向上のため、至急パスワードを変更してください。」とでも書けば、多くの人は偽サイトに誘導されてしまいます。なお、このように偽サイトへ誘導し、大事な情報を盗むことをフィッシング詐欺と呼びます。

例３：広告画像を見ただけでウイルス感染

多くのWebサイトには、右上などに広告が表示されていると思います。この広告は、サイト運営者が広告を選んで表示している場合もありますが、コンテンツ内容やユーザーの行動などによって最適な広告を自動で表示する広告配信サービスを利用しているケースがあります。この広告配信サービスのサーバーのデータが改ざんされ、不正な広告が表示され、クリックすると悪意あるWebサイトへ飛ばされたり、表示しただけでウイルス感染したりすることがあります。

例４：詐欺広告に騙される

Webサイトを見ていると「お使いのPCがクラッシュ寸前です！」とか「ディスクの空き容量が非常に低下しています」といった表示が"ブラウザ上"に現れたことはないでしょうか？

これらは、実際にPCに問題があるわけではなく、"警告画面風"の広告です。このような広告に騙されて、広告をクリックすると詐欺被害に遭ったり、ウイルスをインストールされたりします。

例５：フリーソフトをダウンロードしたら感染

フリーソフトをダウンロードし、インストールしたら、ウイルスやスパイウェアに感染するケースがあります。　自らインストールを実行するので、セキュリティソフトが入っていなければ、どんなウイルスでも感染してしまいます。

「怪しいサイトからダウンロードなんかしないよ」という方もいると思いますが、有名なサイトからダウンロードしたファイルとて安全とは言い切れません。ダウンロードサイトの最大手のVectorでさえ、以前、ウイルスに感染したソフトを3,956タイトルも公開してしまったことがあります。

例６：セキュリティソフトをインストールしたら偽物だった

WinAntiVirusPro や、Internet AntiVirus Proなど、さも有りそうな名前のセキュリティソフトを押し売りし、クレジットカード番号等を盗みます。

どのようにして売らせるかというと、例として、まずあなたの元の迷惑メールが届きます。その迷惑メール内のリンクをクリックすると、突然ウイルスチェックをしているかのような画面が表示されます。ウイルスチェックが完了するとウイルスに感染してるとの結果が表示され、セキュリティソフトを購入するように誘導します。あとは、偽セキュリティサイトでクレジットカード番号を入力させ、偽ソフトを購入させます。

IPAのページに、過去に発見された偽セキュリティソフト名が書かれています。ただし、今後も新しい偽セキュリティソフトが現れる可能性もありますので、聞いたことのないソフトは使わないほうが賢明です。少なくともセキュリティソフト比較のページで記載した製品は信頼のある製品ですので、安心してお使い下さい。

例７：多額の金額を請求された

アダルトサイトを閲覧中に表示されたポップアップのボタンをクリックすると、多額の入会料を請求される場合があります。　このような詐欺をワンクリック詐欺と呼びます。

ポップアップは、次のような画像が表示されます。

ネットサーフィンに夢中になっていると、内容もよく読まず「OK」ボタンを押してしまうと思います。でもポップアップをよく見ると、「本サービスはこの先78000円の料金がかかります。」、「OKボタンを押した時点でご入会となります。」と書いてあります。不用意にここで「OK」ボタンを押してしまいますと、78000円請求されてしまいます。

なお、このような手法は、ワンクリック詐欺と呼ばれています。

例８：登録してあるWebサイトからID・パスワードが漏れた

自分のパソコンからではなく、Webサイト提供側のサーバーが不正アクセスされたり、Webサイト提供側の社員が個人情報を持ち出したりして、ユーザーのID・パスワードが漏洩することもあります。過去には、Adobe、ベネッセ、JTB、JAL、日本年金機構、PlayStation Network、Yahoo! BB、ジャパネットたかたなど、数多くの企業のサービスのID・パスワードが流出しています。

ここで、怖いのは、ID・パスワードを別のWebサイトでも使い回しているときです。1つのWebサービスのID・パスワードが漏洩すると他のWebサイトへもログインできてしまいます。漏洩したWebではほとんど被害がなかったとしても、他のカードサイト、Webメールサイトにログインされ、重要な情報が盗まれる可能性もあります。

悪意あるサイトへ誘導する手口

上の例の中で、悪意のあるサイトへ誘導されるケースがありましたが、ではいったいどのようにして誘導されるのでしょう？

多いのはアダルトサイトを色々回っているときだと思います。ややテンションが上がっているときは、怪しいサイトであると感じつつも、どんどんリンクをクリックしてしまうことでしょう。このときは、自ら危険に足を踏み入れている状態なので、自分自身で十分注意してネットを閲覧しましょう。

それ以外では、次のような誘導方法があります。

フィッシングは、先ほども触れましたが、銀行などの名をかたってメールを送信し、偽サイトに誘導する手口です。偽サイトで、口座の暗証番号やパスワードを入力させ、個人情報を盗みます。偽サイトに誘導後、ウイルスやスパイウェアに感染する場合もあります。

SEOポイズニングは、GoogleやYahooの検索エンジンで、偽サイトを上位表示させる手口です。Googleなどで上位表示されたサイトは信用されやすいため、疑いなく見てしまう人が多いです。Webサイトを見ただけでウイルス感染する場合もあるので、注意が必要です。

DNSキャッシュ・ポイズニングは、DNSサーバに偽の正引き結果（ホスト名からIPアドレスへの名前解決結果）をキャッシュさせ、偽のサイトへ誘導する手口です。詳細はITProのDNSキャッシュ・ポイズニングとはをご覧ください。

メール本文にURLを掲載し、そのURLを踏ませて誘導するケースもあります。

最近はどういう被害に遭うの？

上の例の中で、ウイルス感染する事例がいつくかありましたが、ウイルス感染したら、その後どうなるでしょうか？ 最近は次のような被害に遭うことが多いです。

ファイルが暗号化され開けなくなり、身代金を要求される

最近流行っているのは、ファイルを暗号化して開けなくし、身代金を要求する被害です。このような身代金（ランサム）を要求するソフトウェアは、ランサムウェアと呼ばれています。ファイルではなくPC自体をロックし使えなくするケースもあります。2017年5月には、WannaCryというランサムウェアが世界中で感染し、日本でも日立やJR東日本のPCで感染が確認されました。

身代金を支払ったところで、ファイルが復元される保証はなく、またセキュリティソフトでランサムウェアを駆除したところで暗号化されてしまったファイルを復元することはできません（一部のランサムウェアは復元ツールで復元可能）。ランサムウェアに感染した場合、バックアップを取っていなければ、ファイルの復元は難しいです。NAS上のファイルを暗号化するランサムウェアもあるため、バックアップをNAS上に保存するも万全な対策とは言えません。

ランサムウェアはパソコンだけでなく、Androidスマートフォン、テレビなどのIoT機器にも感染する可能性があります。

ネット銀行から不正送金される

ネット銀行から不正送金するウイルスもあります。”正規のネット銀行サイト”での振込などの操作中に、不正操作を紛れ込ませるため、ユーザーは気づかずに振り込みをしてしまいます。

警視庁の発表によると、平成27年で約30億、平成28年で約16億円の被害があったようです。減少傾向にあるものの、金銭的な被害に直結するため恐ろしいです。

対策

前は、怪しいサイトを見ないようにすれば、多くの感染・詐欺を防げましたが、最近では有名企業のWebサイトを見ても感染する場合があるため、自己防衛で感染を防ぐのは難しくなってきてきています。

OS・アプリのアップデート

Web閲覧中にウイルス感染する場合、OS、ブラウザ、Flashなどの脆弱性をついて感染する場合が多いです。そのため、OS・アプリのアップデートが公開されたら、速やかに適用するようにしましょう。

セキュリティソフトのインストール

セキュリティソフトをインストールすることで、悪意あるWebサイトや、不正広告を掲載しているサイトをある程度ブロックすることが可能です。また、万が一、ウイルスに侵入されても、ふるまい検知、サンドボックス、マシーンラーニングなどの多段の防御で、ウイルスからパソコンを保護することが可能です。

セキュリティソフトの中には、OSやインストールされているアプリの脆弱性がないかをチェックし、通知および適用まで行ってくれるソフトもあります。

Webサイトの安全評価機能のついたセキュリティソフトを選ぶ

ウイルスバスターや、マカフィーには、Googleなどの検索エンジンで表示されたWebサイトが、安全かどうか評価してくれる機能があります。有害サイトの判定率は100％ではありませんが、このような機能がついたソフトを使えば、事前にある程度、有害サイトへアクセスするのを防ぐことができます。どのソフトに安全評価機能がついているかは、セキュリティソフトの比較表をご覧ください。

バックアップをとる

ランサムウェアの対策には、バックアップをとるのが一番です。ただし、ランサムウェアはNAS上のファイルも暗号化できるため、バックアップ先は取り外し可能な外付けHDDにして、バックアップが終わったら抜いておくのが一番です。

また、カスペルスキーやウイルスバスターなどは、ファイルを暗号化するような動きを見つけたら、事前にバックアップを取ってくれるセキュリティソフトもあります。この機能も万全ではありませんが、このようなソフトを導入するのもよいと思います。