OpSafeWinter と保険会社へのサイバー攻撃
NTTセキュリティ・ジャパン

OSINTモニタリングチーム
2023年1月13日

エグゼクティブサマリー• 2022年12月、渋谷区は美竹公園にて不法な占用を続ける路上生活者に対して行政代執行を行った。
• 年が明けて1月3日、本件に抗議して、アノニマスが渋谷区のWebサイトに対し OpSafeWinter の作戦
名の元に DDoS 攻撃を実施したと発表。数日間、渋谷区のWebサイトの表示が不安定になった。
• 続いて、アノニマスは国内の奥多摩町等の複数のWebサイトに攻撃を行い、閲覧不能な状態に追い込んだ。

• 1月8日、サイバー犯罪を繰り返しているアクターが、生命保険会社のチューリッヒとアフラックから窃取した日本人顧客の個人情報を、ハッカー掲示板にて暴露した。
• その後、アノニマスがこのデータを別のサイトに転載し、OpSafeWinter の名の元に Twitter に投稿し拡散させた。

© 2023 NTT Security Holdings All Rights Reserved2

渋谷区の美竹公園路上生活者立ち退き問題と#OpSafeWinter© 2023 NTT Security Holdings All Rights Reserved

渋谷区の美竹公園路上生活者立ち退き問題について• 渋谷区立美竹公園では、路上生活者による不法な占用が続いていた。
• 美竹公園の再開発を進める渋谷区は2022年10月、美竹公園の利用の停止を決定。12月には美竹公園の立ち入りを禁止し、立ち退かない路上生活者らに対し行政代執行を開始した。
➢ 渋谷区は、事前に立ち退きを依頼。それに合わせ、路上生活者らの生活や社会復帰を支援（※）している。
➢ 支援団体は、公園からの強制立ち退きに抗議。また、区の支援についても不十分であると反論している。

美竹公園の再開発着手にあたっての渋谷区の説明※渋谷区の支援：公園に寝泊まりさせるのではなく、社会復帰を支援することが自治体の責務との考え•
渋谷区独自の施策として、アパート等住まいを提供のうえ、食事の提供など生活支援を通して、地域社会での生活へとつなげる「ハウジングファースト事業」を提供•東京都と共同で、就労して自立を目指す路上生活者への支援事業を展開© 2023 NTT Security Holdings All Rights Reserved

出典：https://www.city.shibuya.tokyo.jp/kankyo/machi/shibuya_eki/stepup_pj_junbi_kouji.html
https://www.security-next.com/142651

4

#OpSafeWinter（安全な冬作戦）• 2023年1月1日、渋谷区による路上生活者の立ち退き政策を非難する主張に共感するツイートを、アノニマスのメンバーである
YourAnonRiots が行った。
• 以降、本件に関連する投稿を行う場合、アノニマスは#OpSafeWinter（安全な冬作戦）というハッシュタグを付けるようになった。
➢ アノニマスはオペレーション（作戦）の遂行時、「#Op～」のように、Opが付いた作戦名のハッシュタグを使用する• YourAnonRiots は日本在住のアクターと見られ、過去に日本に関連するオペレーションに関して、主導的な役割を果たしていた。
• 同アクターが主導したオペレーションおよび攻撃の被害に遭った組織には下記が含まれる：➢ #OpMyanmar [ミャンマー国軍による市民への弾圧に抗議]：鴻池組、ミャンマー日本商工会議所等➢ #OpBoycottOlympics [東京オリンピックのボイコットを訴える]： Coltテクノロジーサービス等➢ #OpFukushima [福島第一原子力発電所の処理水の海洋 左：#OpSafeWinter のハッシュタグを付けた YourAnonRiots のツイート
放出に抗議]：経済協力開発機構原子力機関等
右： YourAnonRiots がミャンマー日本商工会議所及び鴻池組のWebサイトをダウンさせたと主張するツイート© 2023 NTT Security Holdings All Rights Reserved5

#OpSafeWinter（安全な冬作戦）• 他のアノニマスメンバーも YourAnonRiots に同調するツイートを発信した。
• 翌2日、Parrattarna というメンバーは、 YourAnonRiots と同様に#OpSafeWinter のハッシュタグを付け、渋谷区を非難する投稿を行った。
• 同メンバーはクルド人である可能性が考えられる。

• 「我々は黙っていないであろう」といった、今後の攻撃を示唆するような投稿も行った。

訳：「渋谷区、およびホームレスを追い出したことに責任を負うべき全ての人々に言う：我々は黙っていないであろう」

左記の投稿から数分後の Parrattarna のツイート
渋谷区の対応を非難する
Parrattarna のツイート© 2023 NTT Security Holdings All Rights Reserved

6アノニマスによるDDoS攻撃© 2023 NTT Security Holdings All Rights ReservedアノニマスによるDDoS攻撃• Parrattarna は翌3日 0時20分に、渋谷区のWebサイト「city.shibuya.tokyo.jp」をダウンさせたとツイートした。
• DDoS攻撃を実行したとみられ、この投稿には、DDoS攻撃成功の証拠となるスクリーンショットも添えられていた。
• 渋谷区への報復としてDDoS攻撃を行った旨の主張が記されていた。

Parrattarna によるサイトダウン報告のツイート
訳：渋谷区がホームレスのシェルターを閉鎖したのだから、我々は渋谷区のサイトを閉鎖する© 2023 NTT Security Holdings All Rights Reserved8アノニマスによる攻撃の被害状況• アノニマスの攻撃により、実際に1月3日未明から、渋谷区公式サイトが閲覧しづらい状態となった。
• 渋谷区は同日から4日にかけ、この事象はアノニマスが実行するDDoS攻撃によって引き起こされたこと、更に5日にはこの状態が未だに続いていることを発表した。

1/5付の渋谷区による発表（Twitter）

1/4付の渋谷区による発表（公式サイト）
出典：https://www.city.shibuya.tokyo.jp/kusei/koho/website_syougai.html
https://twitter.com/city_shibuya/status/1610947126904918016© 2023 NTT Security Holdings All Rights Reserved

9継続する日本のサイトへの攻撃• 渋谷区のWebサイトに対する攻撃の1時間後には
team_insane_pk と名乗るアノニマスが、下記のように東京都奥多摩町を含む複数の日本のサイトを表示不可能にしたと主張した。
➢ town.okutama.tokyo.jp➢ setagaya.tokyo.jp➢ olympic.tokyo.jp• この人物も、Parrattarna と同様に、渋谷区に対する報復の意図を示している。
• 自身をパキスタンのハッカーグループであると述べている。

DNSサーバーを攻撃したことを示唆するツイート

team_insane_pk のツイート
右図の4件と合わせ、「たくさんの日本のサイトが表示不可能となった」とツイート© 2023 NTT Security Holdings All Rights Reserved

10継続する日本のサイトへの攻撃• 5日には、別のアノニマスである
MysteriousTeam0 が、公益財団法人アーツカウン
シル東京のWebサイトを表示不能にしたと主張した。
• 同アクターは自身を「バングラデシュのサイバー戦士たち」であると表現している。
• また同日には、TheGhostJapan1 と名乗るアノニマスが、東京都庁のWebサイトを攻撃したことを報告した。
• これらのメンバーはこれまでにも、他のアノニマスのオペレーションで攻撃に関与していることが確認されている。

MysteriousTeam0 のツイート

TheGhostJapan1 のツイート© 2023 NTT Security Holdings All Rights Reserved

11チューリッヒ/アフラックの顧客個人情報暴露© 2023 NTT Security Holdings All Rights Reservedチューリッヒ保険の情報暴露• 1月9日、アノニマスの team_insane_pk が#OpSafeWinter のハッシュタグと共に、チューリッヒ保険日本法人の個人情報を暴露した。
• 260万ユーザーのデータベースと称するリンクが、同アクターのツイートに記載されていた。

team_insane_pk のツイート© 2023 NTT Security Holdings All Rights Reserved

13日本の保険企業2社の被害公表• 1月10日、チューリッヒ保険日本法人およびアフラック生命保険日本法人は、個人情報の流出があったことを公表した。
• 7日以降に、両社が業務を委託していた同一の米企業が不正アクセスを受け、個人データが盗み出されていた。

• 実際に対象となった顧客数はアノニマスの主張とは異なり (※)、チューリッヒは最大で75万人と発表している。またアフラックが発表した人数は132万人であった。
※ 同一人物による複数の契約情報や、解約者の情報等によって、差分が出ている可能性が考えられる

チューリッヒから漏洩した可能性のある情報：①姓のみ（漢字、カタカナ）
②性別
③生年月日
④メールアドレス⑤証券番号⑥顧客 ID⑦車名、等級など自動車保険契約にかかる事項© 2023 NTT Security Holdings All Rights Reserved

チューリッヒ（左）、アフラック（右）のプレスリリース

アフラックから漏洩した情報：①姓のみ（漢字、カナ）・
年齢・性別②証券番号、③加入している保険種類番号・保障額・保険料

出典：https://www.zurich.co.jp//media/jpz/zrh/pdf/pr/2023/NewsRelease_202301
10_ZurichInsuranceCompanyLtd.pdf
https://www.aflac.co.jp/news_pdf/2023011001.pdf
https://www3.nhk.or.jp/news/html/20230110/k10
013946151000.html

14

チューリッヒ/アフラックの顧客個人情報暴露• 1月8日に、IntelBroker と名乗る人物が2023年1月に両社から盗んだと主張する個人データをハッカー掲示板に投稿していた。
• チューリッヒ保険については260万人分、アフラック生命保険については310万人分と述べている。

• アノニマスの team_insane_pk は自身で両社のデータを窃取したのではなく、当掲示板で公開されていたデータを転載した可能性が考えられる。

ハッカー掲示板に投稿されたチューリッヒ、アフラックのデータベースの暴露
サンプルとして一部個人データが掲載されているため、該当部分を加工© 2023 NTT Security Holdings All Rights Reserved

15IntelBroker について
• IntelBroker はセルビア出身であり、ロシア語圏を含む複数のハッカー掲示板等での、収益を目的としたサイバー犯罪活動が確認できる。
• アノニマスとの関係性については確認できていない。

• これまでに、米国の複数の公的機関やボルボ社等の民間の大企業に対してハッキングを行った実績がある。
• ランサムウェアサービスを立ち上げようとしており、ハッカー仲間を募っている。サービスは未だ開発途中であるが、既に攻撃を行っていることを示す投稿が確認できる。
• チューリッヒ/アフラックの個人情報は、IntelBroker とその仲間たちのハッキングにより窃取されたと考えられる。

IntelBroker によるハッカー掲示板への投稿
自身でランサムウェアを開発中であり、サービス化に向けてハッカー仲間を募っている© 2023 NTT Security Holdings All Rights Reserved

16

まとめ

© 2023 NTT Security Holdings All Rights Reserved

まとめ• アノニマスの活動は、内部対立や法執行機関の取り締まり強化等により、2010年代半ば頃からは低迷していた。
• 今回の#OpSafeWinter の活動では、様々なアクターが短期間のうちにサイバー攻撃を実行しており、過去数年にはなかったような勢いがみられる。
• ウクライナ侵攻以降のアノニマスの活動が注目を浴びており、求心力を再び取り戻した可能性が考えられる。
• 今後のアノニマスの活動には、注意を要する。

© 2023 NTT Security Holdings All Rights Reserved18