京都⼤学における標的型攻撃メールへの対応訓練
⽚桐 統 1),

斎藤 紀恵 1),

⽯橋 由⼦ 1)

1) 京都⼤学 企画・情報部 情報基盤課
i-s-office@iimc.kyoto-u.ac.jp

The response training against the E-mails of the APT in Kyoto University
Osamu KATAGIRI 1), Norie SAITO 1), Yoshiko ISHIBASHI 1)
1) IT Service Division, Planning and Information Management Department, Kyoto University

概要2015 年 6 ⽉に⽇本年⾦機構に対する標的型攻撃[1]により、多数の個⼈情報が漏洩する事案が報道され、その後⾼等教育機関においても標的型攻撃への対策は重要な情報セキュリティの課題となっている。京都⼤学では、標的型攻撃への対策の⼀環として、教職員が標的型攻撃メールを受け取った際に適切に対応できるよう、2015 年度は職員を対象に対応訓練を実施した。本稿では、この訓練ついて紹介する。

１

はじめに2015 年 6 ⽉に⽇本年⾦機構に対する標的型常勤職員、⾮常勤職員、派遣職員など多彩な雇⽤の形態がある。

攻撃[1]により、多数の個⼈情報が漏えいする事

本稿では、本学における標的型攻撃への対策案が報道された。その後、官公庁・⾼等教育機の⼀環として、これら本学の職員を対象に標的関を含め、標的型攻撃による情報漏えい等の多型攻撃メールに模したメールを送付し、標的型数のセキュリティインシデントが報道されてお攻撃メールを受け取った際に適切な対応ができり、⾼等教育機関においても標的型攻撃への対るように意識づけを⾏うとともに、ウイルス感策は重要な情報セキュリティの課題となってい染が疑われる際の連絡対応の訓練として実施しる。

た、標的型攻撃メールへの対応訓練について紹京都⼤学（以下、本学という。）においては、介する。

本稿執筆時点までにおいて、幸い標的型攻撃にいないが、同様の事案を未然に防ぐために、教２ 標的型攻撃メールへの対応訓練を実施する目的

職員が標的型攻撃メールを受け取った際に適切本学において、標的型攻撃メールへの対応訓に対応できるよう、訓練を実施することが緊急練を実施するにあたり、以下の点を⽬的としての課題である。

設定した。

より個⼈情報等が漏えいする事案は確認されて本学の職員は約 6500 名であり、事務職員、技(1) 訓練対象者が、標的型攻撃と疑われるメー術職員、教務職員、医療系職員（看護師等）なルを受信した際、添付ファイルや URL を開どの職種で構成される。またそれぞれ職種に、封せず削除し、訓練対象者が適切に連絡を⾏えるようにする。

認することを待つ期間で、今回の訓練では(2) 添付ファイルや URL を開封してしまいウイルスに感染した可能性が⾼い場合、本学に１週間の設定とした。
(f) CISO 及び部局⻑会議へ訓練結果を報告す決められた連絡要領に従い、訓練対象者及る。

び情報セキュリティ対応関係者が適切にインシデント対応を⾏えるようにする。

４

事前周知の内容

４．１ 教職員への周知

３ 標的型攻撃メールへの対応訓練の実
施全体像

った際にどのような点に注意し、⾏動すべきか標的型攻撃メールへの対応訓練のフローをを周知する必要がある。このことから、訓練実

Fig. 1 標的型攻撃メール訓練フローに⽰す。
(a) 教職員への周知(b) 事務担当者への周知(c) 訓練メール内容検討(d) 訓練実施(e) 実施終了を掲⽰

まず、教職員には標的型攻撃メールを受け取施に先駆けて、標的型攻撃メールの概要と対応について、次の内容を教職員に周知した。
(1) 標的型攻撃メールとは標的型攻撃メールの説明と、攻撃のパターンを図⽰。
(2) 標的型攻撃メールの例
具体的な標的型攻撃メールの例を⽰す。
(3) 怪しいメールを⾒分けるポイント
IPA が作成している「標的型攻撃メールの例と⾒分け⽅」[2]を参考に、⾒分けるポイントを表で⽰す。

(f) CISO等へ報告(4) ウイルスが添付されている可能性のある疑わしいメールを受信したときはFig. 1 標的型攻撃メール訓練フロー(a) 事前に教職員に対し、不審なメールを受信した際の対応⽅法を周知し、訓練を実施する旨を通知する。
(b) 各部局の情報セキュリティの連絡担当者に、疑わしいメールは、添付ファイルの開封、URL のクリックを決して⾏わず、セキュリティ対策掛まで連絡するように記載。
(5) OS やウイルス対策ソフト等の更新は万全ですか？

不審なメールを受信した⼜はウイルスに感ウイルス感染を未然に防ぐため、⼀般的染した旨の報告があった場合の対応を周知なセキュリティ対策や、機密・個⼈情報を取する。

り扱う際の対策を記載。

(c) 訓練メールの内容を検討する。
(d) 訓練メールの送信を実施する。今回の訓練(6) ウイルス感染の可能性がある場合の対応
ウイルス感染の可能性がある場合の対応

では訓練対象者に３回異なる内容で送信しなどを記載。
（以下は、内容の抜粋）

た。

・ ネットワークから切り離し、部局窓⼝と(e) 最後に送信した訓練メールの集計期間終了
後、全学掲⽰板において、訓練メールの内容とともに、実施終了を掲⽰する。集計期間とは、訓練メールを送信後に、訓練対象者が確セキュリティ対策掛へ連絡すること・ ウイルス対策ソフトで完全スキャンをすること・ OS をクリーンインストール

・ 報告書の提出(3) 多くの⼈が興味を惹く内容を(7) インシデント対応連絡⼿順

訓練対象の職員 6500 名といっても、事務、学内の連絡⼿順を図⽰したもの。

技術、医療などさまざまな職種があり、例え４．２ 各部局の連絡担当者への対応の周知ば事務という職種の中でも、総務系、財務系、本学におけるインシデント対応は、第⼀義的学務系などさまざまな業務分野がある。こには各部局において⾏うことになっている。標れら職種や分野が違えば、当然興味を持つ的型攻撃メールに関する教職員からの連絡も、内容も異なることが想定される。また、職階部局の情報セキュリティに関する連絡担当者にによっても、興味を持つ内容が異なること⼊ることになる。この際に連絡担当者がどのよは想像に難くない。

うに対応を⾏うのかについて、対応訓練実施にこのことも踏まえ、できる限り多くの⼈先駆けて周知した。
周知の際に特に注意を払ったのは、対応訓練が興味を惹く内容を検討した。
５．２ メールサーバの負荷軽減のメールによる連絡であるのか、本当の標的型訓練対象の 6500 名に対して⼀⻫にメールを攻撃メールであるのかが、連絡担当者では⾒分送信すると、メールサーバの負荷が上昇して遅けがつかない点である。これについては、訓練延を発⽣させる。

実施の⽬的(2)を念頭に、実際のウイルス感染時の対応を取る⼿順を⽰した。

このため、メールサーバの負荷軽減として、1 秒間に 1 通ずつメールを送信し、約 2 時間かけてすべてを送信した。

５

訓練メールの準備と送信

５．１ 訓練メール内容検討時に注意した点
訓練メールは、訓練対象者に 3 回送信した。
内容を検討するにあたり、以下の点に注意を払った。
(1) 通常業務へ影響を与えない

これにより、本学のメールサーバには、まったく影響を与えずに訓練を実施することができた。
５．３ 送信順序
メールは、訓練対象者のメールアドレス宛に送信する。前項に⽰した通り、最初のメール送

実際の事務連絡等の⽂書を改変すること

信者から最後のメール送信者まで 2 時間の差がや、実際にある部署名等を使⽤すると、意図あり、同じ順序で送信すると、同じ部署内におせず学内の信頼関係を傷つけてしまい、訓いて受け取る順序が固定化される。これを防ぐ

練後に円滑な本学の業務遂⾏にマイナスのため、３回とも異なる順序で送信した。

影響を与えかねない。訓練によってこのようなマイナスの影響を本学に与えることは、避けなければならない。

６

訓練メールの内容

訓練メールの内容は、以下の通りである。

(2) 嘘は書かない
訓練対象者の中には、訓練メールを訓練とは気づかない者も少なからずいることが想定される。そのような者へ誤った情報を与えてはならない。情報提供を装った訓練メールを作成する場合の内容については、科学的に信頼できる情報を引⽤して作成した。

第1回
送付⽇時：
2016 年１⽉下旬
メール件名：
献⾎のお願い送信者：
社会部 syakaibu@学外のドメイン加した。構成員の意識が向上したと喜ばしい反
第2回

⾯、セキュリティ対策掛としては、⽇々送られ送信⽇時：
2016 年２⽉上旬
メール件名：【機密性２情報】 運営会議資料送付
送信者：
全学メールアドレス<sato@学外のドメイン>てくるウイルスの可能性があるメールへの対処業務が増加した。
セキュリティ対策掛では、報告・相談として転送されてくる不審なメールについて、ウイルスであるか否かを簡易判定して回答するが、判定する際に、セキュリティ対策掛の業務環境にウイルス感染を引き起こす懸念が少なからず存在する。

第3回
送信⽇時：
2016 年２⽉中旬
メール件名：
インフルエンザの流⾏について
送信者：
京都保険機構これに対処するため、インシデント報告⽤のメールアドレスとは別に、不審なメールの通報⽤のメールアドレス(sbox)を作成し、不審なメールの報告・相談は、sbox アドレスへ送るように依頼している。sbox アドレスにメールが届くと、セキュリティ対策掛員のアドレス宛にyou_have_mail_at_sbox という件名のメールが届き、専⽤端末でメールを確認するという作業

７

訓練実施結果を⾏っている。

訓練の結果、3 回⽬の開封率は、1 回⽬の 1/10程度まで減少した。

１０おわりに

本稿では、2015 年度に本学において実施した、８訓練総括

本学における、訓練の総括を以下に述べる。
・ 開封率が、第 3 回で低下しており、訓練による成果が表れている。他組織の平均開封率と⽐較して、⼀定のレベルには達していると考えられる。

標的型攻撃メールの対応訓練について報告した。
標的型攻撃メールの被害に遭わないためには、標的型攻撃メールの対応訓練は、繰り返し実施することが重要と⾔われている。
2016 年度以降も引き続き、本学では標的型攻撃メールの訓練を実施していく予定としている。

・ 事前連絡に従って報告が⾏われ、各部局における連絡報告体制の訓練としての成参考⽂献

果もあった。

[1] 情報セキュリティ戦略本部、⽇本年⾦機構

・ 訓練終了後、不審なメールを受け取ったにおける個⼈情報流出事案に関する原因究明調旨の報告が増加したことで、訓練による査結果、意識向上の成果が⾒られる。

http://www.nisc.go.jp/active/kihon/pdf/incide
nt_report.pdf

９ 訓練実施後のセキュリティ対策掛の対応[2] 独⽴⾏政法⼈情報処理推進機構（IPA）、

８章訓練総括でも述べた通り、訓練実施後はhttps://www.ipa.go.jp/security/technicalwatch/

不審なメールを受け取った旨の報告・相談が増標的型攻撃メールの例と⾒分け⽅、
20150109.html