中国製IPカメラにCVSS 10.0の脆弱性 ベンダーは“音信不通

https://www.itmedia.co.jp/enterprise/articles/2507/16/news042.html (07/16)

脆弱性は「NVD - CVE-2025-7503」として公開済み。

 

『セキュリティ企業Toreonは共通脆弱性評価システム（CVSS）v4.0におけるスコアを10.0としており、深刻度「緊急」（Critical）と評価 …

Telnetサービスはデフォルトで有効になっており、ユーザーマニュアルに記載されておらず、デバイスのWebインタフェースでは設定できないようになっている。ネットワークアクセス権を持つ攻撃者は、デフォルトの認証情報を使用して認証し、デバイスへのルートレベルのシェルアクセスを取得する可能性がある …

現時点で修正パッチやファームウェアアップデートも提供されていない。Telnet機能を無効化する設定はアプリケーションにも存在しておらず、ユーザーはこのサービスの稼働に気が付かないまま使用を続ける危険性がある。』

拡張機能、広告ブロッカー等のリスク

一部の広告ブロッカーでは、問題のある広告がより多く表示されてしまうとの調査結果【やじうまWatch】 - INTERNET Watch (07/14)

Ad blockers may be showing users more problematic ads, study finds (07/09)

『米国とドイツの1,200を超える広告を分析したこの調査では、Adblock Plusの「許容される広告」機能のユーザーは、広告ブロックソフトウェアなしで閲覧しているユーザーと比較して、問題のある広告に遭遇する割合が13.6%多いことがわかりました。』

そして"拡張機能"の根源的リスク　↓　こうなると拡張機能を全て削除したくなるが ..

このリストにあるChrome・Edgeの拡張機能をすぐに削除せよ | Forbes JAPAN 公式サイト（フォーブス ジャパン） (07/11)

『ChromeとEdgeで、18個の削除すべき拡張機能が発見』

 

Chrome・Edgeの不正な拡張機能で、230万人に影響─対策が難しい巧妙な手口とは | Ops Today (07/10)

『影響と対策

・・・

1. 拡張機能の見直し：信頼性の低い拡張機能や使用頻度の低いものを即座に削除。
2. アップデートの監視：自動更新を無効化し、アップデート内容を確認。
3. セキュリティツールの強化：最新のセキュリティソフトでリアルタイム監視を実施。
4. 公式ストアの徹底：非公式ソースからの拡張機能インストールを避ける。

』

上記サイトのリストと参考サイト(↓)として記されているリンク先のリストとで、不一致がある。

Google and Microsoft Trusted Them. 2.3 Million Users Installed Them. They Were Malware. | by Idan Dardikman | Jul, 2025 | Koi Security (07/08)

こちらの英語サイトの内容の方が、具体的で、機械翻訳でも納得感もある。

『Web サイトにアクセスするたびに、拡張機能は次のことを行います。

1. アクセスしているページのURLをキャプチャします
2. 一意のトラッキングIDとともにリモートサーバーに送信します
3. コマンド&コントロールサーバーから潜在的なリダイレクトURLを受信します
4. 指示があれば自動的にブラウザをリダイレクトします

』

記事での被害シナリオは次の通り。

『 Zoom ミーティングの招待状を受け取り、リンクをクリックします。

ミーティングに参加する代わりに、悪意のある拡張機能の 1 つがリクエストを傍受し、参加するには「重要な Zoom アップデート」をダウンロードする必要があると主張する説得力のある偽のページにリダイレクトします。正規のソフトウェアに見えるものをダウンロードしましたが、システムに追加のマルウェアをインストールしたに過ぎず、マシンの完全な乗っ取りとデバイスの完全な侵害につながる可能性があります。

または、銀行のWebサイトにログインすることを想像してみてください。この拡張機能は、リクエストをキャプチャし、攻撃者のサーバーでホストされている銀行のログインページのピクセルパーフェクトなレプリカにシームレスにリダイレクトします。アカウントに安全にアクセスしていると思って資格情報を入力しますが、単に銀行情報をサイバー犯罪者に渡しただけです。

これらは理論的な攻撃ではありません。18の異なる拡張機能で230万人のユーザーが監視されているこのキャンペーンは、いつでも悪用できる大規模な永続的な中間者機能を生み出します。すべてのクリック、すべてのWebサイトへのアクセス、すべてのオンライントランザクションは、この広大なネットワーク全体で潜在的な攻撃ベクトルになります。攻撃者は、個々のWebサイトを侵害したり、フィッシングメールに依存したりする必要はなく、信頼できるツールの多様なポートフォリオを通じて、ユーザーのブラウザ自体をすでに侵害しています。

』　

 

『必要な即時アクション

これらの RedDirection キャンペーン表示オプションのいずれかがインストールされている場合:

1. 影響を受けるすべての拡張機能をChromeとEdgeからすぐに削除します
2. ブラウザのデータを消去して、保存されているトラッキング識別子を削除する
3. システム全体のマルウェアスキャンを実行して、追加の感染を確認します
4. 機密性の高いサイトにアクセスした場合に不審なアクティビティがないかアカウントを監視する
5. 提供されている IOC を使用して、インストールされているすべての拡張機能に同様の疑わしい動作がないか確認します

』

・・・以上　『』内は機械翻訳・一部手直し

QRコードのリスク

QRコードのここがダメ？（森井昌克） - エキスパート - Yahoo!ニュース (2017/08/20)

『導入が簡単であるばかりか誰でも勝手に作れてしまうQRコードという原始的な仕組みと書かれているように、QRコード自体には不正な利用に対する対策は何ら取られていません。パスワードと同様、導入や使い勝手も簡単なゆえに利用については、より深い理解と注意が必要です。』

 

QRコードを読み込むだけでお金が無くなる？　それ以外でもこんな被害が！（森井昌克） - エキスパート - Yahoo!ニュース (07/14)

『QRコードはURLだけでなく、Wi-Fi設定、決済命令、SNS連携など多彩な機能を含むことができ、

　 見た目ではそれが危険なコードなのかを判別することは不可能です。

…

お金の被害だけではありません。過去には、街角で「これを読み込むとイベント情報が見られます」などと声をかけられ、誘導されるままにQRコードを読み取ったところ、LINEの友達として自動追加され、その後イベントの勧誘がしつこく送られてきたという事例も報告されています。さらには、フィッシングサイトに飛ばされ、意図せず個人情報やクレジットカード情報を入力させられてしまうケースもあります。』

…

一部の高機能QRリーダーでは、スキャン後にURLの危険性を判定したり、アクセス前に確認画面を挟む機能が備わっています。』

 

QRコードのセキュリティ対策、欧米と日本の違い

---

 日本のQRコードセキュリティ対策

1. 普及率と意識のギャップ

日本ではQRコードの利用率は約6割にとどまり、欧米や中国に比べて普及が遅れているとされます [1] [2]。その背景には、セキュリティ意識の低さや、QRコード決済に対する不安感があると指摘されています。

2. 典型的な脅威と事例

• 偽装QRコードによるフィッシング：ポスターやチラシに貼られたQRコードが、実は偽サイトに誘導するものである事例が報告されています [3]。
• 短縮URLの悪用：QRコードに埋め込まれた短縮URLが、悪質な広告や詐欺サイトに誘導するケースも確認されています。
• 決済アプリの脆弱性：PayPayなどのQRコード決済では、スキャン後に即座に決済が完了する仕様が悪用され、数十万円の被害が発生した事例もあります。

3. 対策の現状

• 利用者への注意喚起が中心で、技術的な対策（例：QRコードの署名検証や読み取り前の警告表示など）は限定的。
• 一部企業では、QRコードの読み取り時にアドレス確認や警告表示を導入しているが、標準化は進んでいない [3]。

---

 欧米のQRコードセキュリティ対策

1. 普及と文化的背景

欧米ではQRコードの利用率が8〜9割と高く、特にレストランのメニューやイベントチケット、医療情報など多様な場面で活用されています [1] [6]。

2. セキュリティ設計の違い

• セキュリティ機能付きQRコード：一部の企業では、QRコードに電子署名や暗号化を施し、改ざんや偽装を防止する技術が導入されています [3]。
• 読み取りアプリの安全設計：欧米の多くのQRコードリーダーアプリでは、読み取り後にURLの安全性を評価し、警告を表示する機能が標準搭載されています [7]。
• 企業側の対策強化：QRコードを用いた決済や認証においては、二要素認証やトランザクション確認画面の導入が一般的です [8]。
  
  

---

 比較表：日本 vs 欧米

項目	日本	欧米
普及率	約6割	約8〜9割
主な脅威	偽装QRコード、短縮URL、決済アプリの脆弱性	偽装QRコード、フィッシング、改ざん
技術的対策	限定的（注意喚起中心）	電子署名、URL評価、警告表示など
利用者教育	一部企業が実施	業界全体で啓発活動が活発
決済安全性	スキャン即決済が多く、誤操作リスクあり	二要素認証や確認画面が標準化

---

QRコードは便利な一方で、セキュリティリスクも高まっています。欧米では技術的・制度的な対策が進んでいるのに対し、日本ではまだ利用者任せの部分が多く、今後の標準化や教育が課題です。

References

[1] 【世界のQRコード実態調査】日本はQRコード「後進国」？中国・欧米が使用率8～9割を超えるなか、日本は6割にとどまる結果に。

[2] 日本のQRコード普及、海外に遅れ コロナ禍で利用場面拡大も - ITmedia NEWS

[3] QRコードのセキュリティ対策｜偽装QRコードの仕組みや被害事例について徹底解説｜サイバーセキュリティ.com

…

[6] 【海外のQRコード決済事情】国別の特徴と最新動向を徹底解説！

[7] QRコードのセキュリティ：QRコードの概要と安全に使用する方法

[8] 【2025年最新】QRコード決済の最新動向とセキュリティ対策｜不正利用を防ぐDigishot®とは？ QRコード決済の普及が進む一方で、不正 ...

 

関連

PayPay詐欺 (06/26)

その他、関連記事クエリー → https://akasaka-taro.blogspot.com/search?q=QR%E3%82%B3%E3%83%BC%E3%83%89