Struts 2の脆弱性、三度目の正直なのか：セキュリティクラスタ まとめのまとめ 2017年9月版（2/3 ページ）

2017年9月のセキュリティクラスタ、話題の中心は「Apache Struts 2」でした。リモートからサーバOSのコマンドが実行できる脆弱（ぜいじゃく）性が見つかったのは、2017年に限っても3度目です。未成年者のネットを使った犯罪では、中学生とは思えないほど手の込んでいたチケットの販売詐欺と、メルカリを使ったウイルス情報販売が話題になりました。またBluetoothをオンにしているだけで乗っ取られるという「BlueBorne」脆弱性が公表されてAndroidユーザーを中心に騒ぎとなりました。

[山本洋介山（エヌ・ティ・ティ・コミュニケーションズ），＠IT]

中学生がネットで転売詐欺、メルカリでは野獣先輩ウイルスを販売

　最近では中高生がインターネットで罪を犯し、逮捕されることがそれほど珍しいことではなくなってきています。それでも9月にはこれまでと違ったアプローチを進めた2人の中学生が話題になりました。

　1人目はネットのチケット転売詐欺の首謀者です。当初、チケットを転売していた別の人物が誤認逮捕されました。釈放された後、本人が真犯人を突き止め、中学生の逮捕に至りました。

　注目された理由は複雑な手口です。プロである警察官でさえ、当初だまされていたほど巧妙なやり方でした。

　中学生は誤認逮捕された人物と転売チケットを購入する約束を交わし、チケットを手にする前に、複数の人物へ時間をずらして重複して転売しています。最初の転売先は誤認逮捕された人物に代金を支払うだけで、チケットが手に入りません。次の転売先にはチケットが送られて、代金は中学生が手にするという詐欺でした。

　何人かがTwitterに手順の絵図を公開してようやく理解することができた方も多かったようです。まさか中学生がこれほど複雑な詐欺を考えるとは、と驚いていたツイートが多数ありました。

　2人目はウイルス入手情報をメルカリで販売していた中学生です。最近大流行で中高生の利用も多いメルカリに出品するという目新しさが、一般の方々の目を引いていました。セキュリティクラスタで話題となった理由は、情報として売っていたマルウェアが「YJSNPIウイルス」だったことです。

　このウイルスはiOSの画面に表示されるアイコン画像を全て1種類の画像に書き換えて、使いにくくするといういたずらのようなものです。書き換えられたアイコンの画像がいわゆる「野獣先輩」と呼ばれる、ネットで有名な人物の画像でした。そのため日頃ネットで遊んでいる人々の間でも大きな話題となっていました。