【Windows XP、Office 2003 サポート終了まであと 6 日】あらためて、「使い続けるリスク」のまとめ

/ By Japan Security Team / April 2, 2014

サポート終了まであと 6 日となりました。サポート対象の新しい製品への移行はお済みでしょうか？

これまで、シリーズで、サポート終了後のセキュリティリスクに関するブログを投稿してきました。

Windows XP サポート終了後のセキュリティ～マルウェア感染率が示すリスク (2013/11/1)
サポート終了後の Windows XP、マルウェア対策ソフトが動いていれば安心？ (2013/12/24)
サポート終了後のセキュリティ～ネットに接続しなければ大丈夫？ (2014/1/24)
サポート終了後のセキュリティ～危険なサイトにアクセスしなければ大丈夫？ (2014/1/30)
改めて Windows XP サポート終了について (2014/2/20)
サポート終了後のセキュリティ～重要な情報は保存していないから大丈夫 ? (2014/2/24)
Windows XP 上でなければ Office 2003 を使い続けても安全？ (2014/3/10)
証明書更新機能の進化と Windows XP サポート終了後のリスク (2014/3/20)
Windows XP に対するサイバー脅威、および中小企業と個人消費者へのガイダンス (2014/4/2)

今日は、これまでのまとめを 1 ページでお届けしたいと思います。

サポート終了後のセキュリティリスクに関する「よくある質問」

Q. サポート終了後でも、マルウェア対策ソフトが動いていれば安心でしょ？

A. いいえ。たとえマルウェア対策ソフトのリアルタイム保護が有効でも、マルウェアには感染します。また、リアルタイム保護が有効なマルウェア対策ソフトを実行していても、サポート終了後の製品は、サポート継続中の製品よりも 2 倍以上マルウェアに感染したというデータがあります。

昨今の攻撃においては、有名なマルウェア対策ソフトで検知されないことを確認してからマルウェアを配布したり標的型攻撃を行うケースや、一度端末に侵入するとマルウェア対策ソフトを OFF にしたりパターンファイルの更新を妨害するマルウェアもあります。標的型攻撃が増える中、セキュリティベンダーが新型マルウェアを先行入手できない結果、最新のパターンファイルに更新しても最新のマルウェアを捕まえられない状況も起きています。また今後、攻撃者は、サポート終了により修正されないままの脆弱性を狙い日々新しいマルウェアを開発します。そのスピードに常にマルウェア対策ソフトが追いつける保証もありません。つまり、マルウェア対策ソフトだけでは 100％の防御策にはなりません。

Q. サポート終了後でも、インターネットに接続しなければ安心でしょ?

A. いいえ。マルウェアの感染経路は、インターネット以外にもあります。USB メモリーなどのリムーバブルメディアを介して感染するマルウェアは Windows XP でトップの脅威です。

マイクロソフトが定期的に行っている調査において、リムーバブルメディアにより感染が広まる INF/Autorun と呼ばれるマルウェアは、ここ数年の間、常に感染率・遭遇率の高い種類となっています。特に、2013 年第二四半期においては、Windows XP SP3 で最も多く感染が確認されているマルウェアです。CD-ROM や USB などのリムーバブルメディアを挿入した際に、自動でプログラムを実行する動作を悪用しており、知らぬ間に感染を広げます。SD カード、デジタルカメラ、音楽プレイヤー、外付けハードディスクなどの記憶媒体も、マルウェアの「運び屋」となります。

Q. サポート終了後でも、危険な Web サイトにアクセスしなければ安心でしょ ？

A. いいえ。安全だと思っている正規の Web サイトが改ざんされていることもあります。そのため、ブックマークからアクセスしても危険です。

IPA (独立行政法人情報処理推進機構) の「2014 年 1 月の呼びかけ」にもある通り、Web サイトの改ざん数は増加傾向にあります。IPA への届け出件数は過去流行時の約 2 倍です。正規の Web サイトが改ざんされた場合、一見しただけでは判別することは難しく、危険なサイトにアクセスしてしまったことさえ気づかずに、マルウェアがダウンロードされたり、金銭情報や秘密情報が抜き取られたりします。そのため、メールや Web サイト、検索結果などのリンクをクリックする際に注意を払うのは当然のことですが、いつも利用しているブックマークからアクセスしている場合でも安全ではない場合があることに注意が必要です。

Q. 自分のコンピューターには重要なデータは保存していないから、使い続けても平気でしょ ？

A. いいえ。自身に被害がなくとも、気づかないうちにコンピューターを乗っ取られ、攻撃者の命令を受けて他人へ被害をもたらす加害者となることがあります。また、企業環境においては、自身のコンピューターが踏み台となり、社内の他のコンピューターが感染したり企業情報を抜き取られたりすることがあります。

例えば、2012 年の夏から秋にかけて起こったパソコン遠隔操作事件では、悪意のある攻撃者にコンピューターを遠隔操作されました。また、コンピューターがボットネットに組み込まれてしまった場合は、攻撃者の命令を受けてロボットのように迷惑メールを他人に送る、他のコンピューターにサービス拒否攻撃 (DDoS 攻撃) を仕掛けるなどします。つまり、あなた自身が気づかないうちに攻撃者、かつ、加害者となってしまうのです。また、企業環境においては、自身のコンピューターを踏み台にして組織内部のシステムに侵入され、重要な情報を盗まれるなどの被害が拡大する可能性があります。コンピューターは、他のコンピューターとネットワークもしくは USB などを通じて接触を持つという前提で、自分だけの事ではなく、周囲への影響を考えた対応が必要です。

Q. Windows XP 上でなければ Office 2003 を使い続けても安心でしょ ？

A. いいえ。アプリケーション自身の脆弱性もあるため、たとえ Windows Vista や Windows 7 などのサポート継続中のオペレーティングシステム上であっても、Office 2003 を使うことは危険です。

オペレーティングシステムと同様、Office などのアプリケーションにも脆弱性が存在します。サポート終了後は、新たな脆弱性が発見されてもセキュリティ更新プログラムは提供されません。また、サポート終了後、サポート継続中の上位の Office バージョンにセキュリティ更新プログラムが提供された場合、攻撃者はリバースエンジニアリングを行い、Office 2003 に存在する同じ脆弱性をすぐに特定して悪用コードを作成する可能性があります。サポート終了によりセキュリティ更新プログラムが提供されない Office 2003 は永遠に「ゼロデイ」状態となり、より狙われやすくなります。

その他よくある質問

Q. サポート終了で、Windows XP や Office 2003 は動かなくなるのですか？

A. サポート終了後も、Windows XP や Office 2003 は引き続き動作します。また、Office 2003 で作成したファイルも引き続き使用できます。しかしながら、製品に対するサポートが受けられなくなるとともに、新規のセキュリティ更新プログラムの提供が行われない、証明書を更新するためのパッケージの提供が終了するなど、セキュリティリスクが高まります。

Q. 新規のセキュリティ更新プログラムはいつまで提供されますか？

A. Windows XP および Office 2003 の新規のセキュリティ更新プログラムは、2014 年４月９日 (日本時間) まで提供されます。

Q. サポートライフサイクルの終了日と同日に、新規のセキュリティ更新プログラムが公開されることはありますか？

A. はい。サポートライフサイクルの終了日と同日に、その製品に対するセキュリティ更新プログラムが存在した場合は、セキュリティ更新プログラムを公開します。また、製品のサポートライフサイクルが終了する日と同時にマイクロソフトがセキュリティ更新プログラムをリリースする場合、最短 30 日間そのセキュリティ更新プログラムのサポートを継続します。

Q. サポート終了後、これまでに提供されていたセキュリティ更新プログラムは提供停止になりますか？

A. 既存のセキュリティ更新プログラムは、オンラインセルフヘルプサポート期間中 (サポート終了後最短 1 年間) は引き続き利用可能です (Windows Update/Microsoft Update を利用した更新プログラムの提供を含みます）。

Q. Office 2007/2010 を Windows XP で利用している場合、引き続きセキュリティ更新プログラムは提供されますか？

A. Office 2007/2010 のセキュリティ更新プログラムは、それぞれの延長サポートフェーズの終了までセキュリティ更新プログラムが提供されます。Windows XP にインストールされている Office であっても、Office の更新プログラムは Microsoft Update を通じて提供されます。

Q. Windows 7 上の Windows XP モードもサポート終了対象ですか？

A. はい、サポート終了対象です。Windows XP のセキュリティ更新プログラムが終了することから、Windows XP モードをお使いの場合も、通常の Windows XP と同じセキュリティリスクがあります。

Q. Windows XP 上で利用する場合、マイクロソフトのセキュリティ製品はサポートされますか？

A. サポート終了後、マルウェア対策製品を含むマイクロソフト製品は、Windows XP での動作はサポートされません。しかしながら、サポート終了日までに完全に移行を完了できないというお客様が複数いらっしゃる状況を考慮し、Windows XP に対するマルウェア対策ソフトの 定義ファイル および エンジン のアップデートについては、2015 年 7 月 14 日 (米国時間) まで継続します。

※対象製品：System Center Endpoint Protection (SCEP)、Forefront Endpoint Protection (FEP)、Forefront Client Security (FCS)、Windows Intune、Microsoft Security Essentials (MSE)

この決定は、あくまでも、移行に猶予期間が必要なお客様の状況を考慮した上での決定であり、Windows XP の利用を推奨するものではありません。Windows XP のセキュリティ更新プログラムが提供されないサポート終了後は、マルウェア対策ソフトの利用だけでは大きなセキュリティリスクが存在します。Windows XP からのなるべく早い移行をお勧めします。

Q. Windows XP 用の悪意のあるソフトウェア削除ツール (MSRT) はいつまで提供されますか？

A. Windows XP 用の悪意のあるソフトウェア削除ツール (MSRT) は、2015 年 7 月 14 日 (米国時間) まで提供を行います。

Q. サポート終了後も製品を安全快適に利用し続ける方法はあるのですか？

A. コンピューターを『安全・快適に使い続けたい』とお考えのお客様には、Windows XP 発売当時と比べセキュリティ機能や処理速度が飛躍的に向上している最新コンピューターへの買い替えをお勧めしています。Windows XP が発売された 2001 年 11 月当時と現在では、PC を取り巻く環境は劇的に変化しており、Windows XP は現代の進化した脅威に対する技術やセキュリティ機能を兼ね備えていません。サポート終了前の製品移行が難しい場合には、マルウェア対策ソフトを常に最新に保つ、ファイアウォールで接続を制限する、メールの送受信やウェブサイトの利用は限定するかインターネットに接続しない、リムーバブルメディアを利用できないようにする (利用しない)、などの努力に加え、Web ブラウズには可能な限り最新ブラウザーを使用する、システムでは極力管理者権限を使わない (ユーザー権限でログイン) などの対策を行ってください。

安全神話のある日本も、昨今は世界から攻撃の標的とされています。サポート終了とともに情報漏えいや金銭詐欺の被害が横行ということがないように、備えられることはきちんと備えて、安全・安心なインターネット利用を担保したいですね。