【セキュリティ】クリップボード・ハイジャック
正規サイトに不正Flash広告掲載か：URLをコピペしたら悪質サイトに――乗っ取り被害が続出 - ITmedia NEWS
セキュリティホールmemoには、いい感じに情報が集まっている。
いままでにも、ブラウザからクリップボードを操作できることは、セキュリティ的な問題だと認識されていたけれど。
今日の話が新しいのは、クリップボードの情報を盗むのではなく、クリップボードに悪質なサイトのURLを送り込む（そして、それが開かれることを期待する）ことと、Flashを使うことでWindows以外、IE以外の環境でも攻撃されること、らしい。
正直、この手の攻撃を避ける（可能性を高める）には、「通常時はJavaScriptやFlashを無効にする」ことがお手軽かつそれなり以上の効果があるわけで。
で、この手のことに興味があるひとなら、それは常識のレベルなのに。
なのに、それが、「一般的な常識」にならないのは、そうしようとする動きもまったく見えないのは、どうしてなんだろう。
そういう話だと、個人的に、ITproが気に食わないと言いたくなる。
「JavaScriptを有効にしているとリスクが高いから、NoScriptなどで禁止にしよう」とかいう記事がありながら、ITpro自身はスクリプト有効にしないと閲覧ができないような構成をとっている。
いやまぁ、日経新聞って、情報とかセキュリティとかの話題にはものすごく弱いみたいだから、仕方ないといえばそうだし、日経なんかにそれを期待しちゃいけないって思っているけれど。
逆に考えてみると。
『攻撃者』からしたら、そういう『弱い』ユーザがいっぱいいるんだから、いまのままの攻撃方法でも効果が高いから。
もっと手の込んだ、自衛しているユーザにも効果がある攻撃を編み出す可能性は低くなって。
お手軽な対策だけでも、気持ち安心、なのかもしれない。
