LirのFF日記

注意喚起。

前回のエントリでちょこっと書いた、テンプレートがハックされてiframeが埋め込まれた件、もうちょっと詳しく。
詳細に関しては、FF11 ペット狩り黒猫奮闘記様を参考に。
FFに限らず一般事項としても、IT Media 正規サイトでもウイルス感染にご注意を」被害が出ています。

■iframeとはなんぞや
簡単に言っちゃうと、外部webリソースを読み込んで表示させちゃうようなタグ。サイズも指定できるから、1つのwebページ内に窓のように表示させることが可能。
で、このサイズを縦横ともに0にすると、ブラウザ上には表示されない（枠サイズがゼロだからね）のに、外部リソースにリクエストを投げてリソースを取得してしまう。

んと、iframe要素そのものは、

<iframe src="" width="" height="">無効時の代替テキスト</iframe>

こんな感じで記載。で、src=""のところに外部webリソースを埋め込む。
もうちっと具体的な例にすると、

<iframe src="http://www.playonline.com/FF11/index.html" width="100" height="100">FF11 公式サイト</iframe>

iframeが無効になっていなければ、100x100の枠にFF11の公式サイトが表示される。当然公式サイトは100x100以上のサイズだから、枠にスクロールバーが表示。
iframeが無効になっているときは、”FF11公式サイト”という文字列が表示。

ここで、width="0" height="0"になっていると、見かけは表示されないけれど、内部的にはplayonlineにindex.htmlを取得しに行って、それがサーバ上にあればちゃんと自分のPCまで返ってきている。
playonlineのindex.htmlなら問題ないけれど、よくある業者のサーバだったりしたら……？それがアカウントハック用のjava scriptあたりだったりしたら……？

■自衛のために
ひとまず、自衛しないことにはどうにもならない。

まずブログ管理者。私もこの事件の知ったあと、すぐにテンプレートをチェックして、iframeが埋め込まれていないことを確認。以後、こまめにチェックしています。
fc2は業者の偽ブログも多いし、他のブログに移動した方がいいのかもしれないけど……ひとまず仕事が落ち着いてから考える。それまでは、最終確認日でもprofileに乗せておきます。

で、読者側。今回の件に限っていえば、iframeを無効化することで防ぐことが可能だけど、iframeだけに限らずjava/java scpritなど外部コントロールをうけやすいものは無効化することもひとつの対策。

IEを使わない。これも重要。Sleipnirだっけ？これもIEの描画エンジンを使っていたような記憶がある。最新版では変わっているのかな？ちとあやふや。
今回はIEのバグじゃなくて、RealPlayerのバグみたいだけどね。

Firefoxは更新速度が速いから、そういった面では安心かな？カスタマイズが初心者には厳しいかもしれないけれど……で、私はOperaデス。更新速度遅いけどね。Lunascapeはよくしりませぬ。

iframeの無効化だけど、
IEの場合
インターネットオプション -> セキュリティ -> レベルのカスタマイズ -> その他

Firefoxの場合
add-onで。NoScriptがお勧め。

Operaの場合
設定 -> 詳細設定 -> コンテンツ -> スタイルオプション

アンチウィルスソフトの導入はあたりまえです。”自分は大丈夫”という思い込みが一番危険。
今更いうまでもないことだけど、mixi含めた怪しげなURLは安易にクリックしない。

あと、今回バグを付かれたRealPlayerなど、滅多に使わないソフトはアンインストールしておく。特にインターネットからリソースを取得できるモノ。

FF11に限らず、個人がもっている”PC全体のセキュリティ”を意識しないとね。FF11のアカウントは守ることができたけど、クレジットカードの番号が盗まれたなんてのは本末転倒。

■
しかし、やり口が悪質極まりなくなってきている感じ。自衛するといっても個人レベルだと限界があるのは確か。SQUARE-ENIXは自衛しろとは言ってるけれど、POL自体でもセキュリティを高めてほしい。
もともとこんなに業者がはびこるようになったのは、散々放置していた運営側が原因でしょ？早期の段階で芽を摘んでおけばよかったものを……

まぁ、どう見ても今の運営方針はコストを削る方向のようだし、期待はできないけどさ。放置すれば、SQUARE-ENIXのセキュリティレベルが知られて、新MMOも様子見になる人が多くなりそうなんだけど、今の社長がそこまで考えるとも思えないし。