サイバーセキュリティレポート
2023.01

NTT セキュリティ・ジャパン株式会社
コンサルティングサービス部 OSINT モニタリングチーム
Information Asset Classification: Public© NTT Security Holdings

Page 0 of 16
13 February 2023 | Version 0.01

目次
パスワード管理サービスへの不正アクセス .................................................................................... 3
パスワード管理サービスで相次ぐセキュリティ事件 ...................................................................... 3
パスワード管理サービスとは.............................................................................................. 3事件の概要 .............................................................................................................. 4
まとめ ...................................................................................................................... 5
ChatGPT の活用とサイバー攻撃 ............................................................................................ 6
概要 ...................................................................................................................... 6
ChatGPT とは ........................................................................................................... 6
想定されている ChatGPT のサイバー攻撃への悪用 ................................................................. 7サイバー攻撃利用への模索............................................................................................. 8
セキュリティ対策への活用 ............................................................................................. 10
まとめ .................................................................................................................... 11
ロイヤルメールへのランサムウェア攻撃....................................................................................... 12
概要 .................................................................................................................... 12
ランサムウェア攻撃によるイギリス国内の混乱 ........................................................................ 12
LockBit の攻撃への関与 ............................................................................................ 13
まとめ .................................................................................................................... 15

Information Asset Classification: Public© NTT Security Holdings

Page 1 of 16
13 February 2023 | Version 0.01

【当レポートについて】
当レポートでは 2023 年 1 月中に生じた様々な情報セキュリティに関する事件、事象、またそれらを取り巻く環境の変化の中から特に重要と考えられるトピック 3 点を選び、まとめたものである。各トピックの要旨は以下のとおりである。
第 1 章 『パスワード管理サービスへの不正アクセス』 1 月 9 日、Gen Digital 社が提供するノートンのユーザーアカウントへのリスト型攻撃により、同社のパスワード管理サービスも不正アクセスを受けた可能性があることが明らかになった。2022 年 12 月 22 日には、LastPass 社も同社のパスワード管理サービスで個人情報や認証情報が漏洩した可能性があると公表していた。
 パスワード管理サービスを利用すると、単純なパスワードの設定や、1 つのパスワードを複数のサービスで設定してしまうことを防ぐことができ、便利な一方で、ユーザーにはセキュリティを意識した使用やサービス選定が求められる。
 サイト毎、サービス毎に独自の認証システムを持つことで、パスワード管理の問題が発生している。ID をリンクする ID フェデレーションを広めることで、業界全体でパスワードに依存した認証の問題を解消していく必要がある。
第 2 章 『ChatGPT の活用とサイバー攻撃』
 2022 年末に米 OpenAI 社が一般公開した対話型 AI の ChatGPT が注目を浴びている。様々なジャンルの話題に対し的確な返答をすることから、サイバー攻撃への利用も懸念されている。
 フィッシング攻撃のメール文面と添付ファイルを作成できるといったことがセキュリティ研究者の実験で実証されているほか、攻撃者もマルウェア開発等への利用を模索している。
 対話型 AI の活用はサイバー攻撃だけではなく、防御にも利用できないか検討されている。攻守両面から今後のサイバーセキュリティを変える可能性がある。
第 3 章 『ロイヤルメールへのランサムウェア攻撃』
 イギリスで郵便事業最大手であるロイヤルメールが LockBit ランサムウェアグループから攻撃を受け、手紙や小包の海外発送が 1 週間にわたり停止した。
 LockBit グループでは、自身の暴露サイトで発電所や、パイプライン、公立の学校、病院等への攻撃を禁じているが、今回の攻撃はそのルールに該当しなかった。過去には禁止対象を攻撃した際、謝罪し復号鍵を提供した例もある。
 もし組織が LockBit に攻撃され、攻撃禁止対象に該当する場合、復号鍵の提供を求める交渉も考えられる。

Information Asset Classification: Public© NTT Security Holdings

Page 2 of 16
13 February 2023 | Version 0.01

パスワード管理サービスへの不正アクセス
パスワード管理サービスで相次ぐセキュリティ事件
パスワード管理サービスでセキュリティ事件が相次いで発生している。1 月 9 日、セキュリティブランドの「ノートン」で知られる
Gen Digital 社は、2022 年 12 月 1 日頃から、同社のユーザーアカウントに対しリスト型攻撃が行われ、ログインされたユーザーの個人情報が窃取された恐れがあると発表した1。加えて、同社のパスワード管理サービスを利用しているユーザーは、同サービスに記憶させていた他のサービスの ID やパスワード等の認証情報にもアクセスされた可能性がある。
他にも、2022 年 12 月 22 日には LastPass 社が、同社の運営するパスワード管理サービスで、8 月に始まった不正アクセスによって、ユーザーの個人情報や暗号化されたパスワードなどのデータが漏えいした可能性があることを公表していた2。

パスワード管理サービスとはパスワード管理サービスは、パスワードを暗号化してから安全な状態でまとめて保管し、これらをログインの際に自動入力させる機能等を提供する3。PC のソフトウェアやブラウザーの機能拡張としてだけでなく、スマホ用のアプリとしても用意されているものが多く、様々なサービスで利用するパスワードの管理を一括して任せられる。
保有する ID とパスワードの認証情報が増えたり、それぞれのサービスのパスワードを複雑にしたりしても、利用者はパスワード管理サービスを利用するために必要なマスターパスワードだけを覚えておけばよい。その結果、単純なパスワードの設定や、1 つのパスワードを複数のサービスで設定してしまうことを防ぐことができる。

図 1 パスワード管理サービスの模式図1

出典：Office of the Vermont Attorney General 『2023-01-09-NortonLifeLock-Gen-Digital-Data-Breach-Notice-to-Consumers』
https://ago.vermont.gov/sites/ago/files/2023-01/2023-01-09-NortonLifeLock-Gen-Digital-Data-Breach-Notice-to-Consumers.pdf

2

出典：LastPass 『Notice of Recent Security Incident』

3

出典：PC Watch 『パスワード管理アプリのおすすめ 4 選＋α。無償で使える Bitwarden などを紹介』

https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/
https://pc.watch.impress.co.jp/docs/topic /feature/1320678.html

Information Asset Classification: Public© NTT Security Holdings

Page 3 of 16
13 February 2023 | Version 0.01

事件の概要【ノートン】
2022 年 12 月 1 日頃から、攻撃者はダークウェブなどから入手したと見られるユーザー名とパスワードのリストを利用し、ノートンのユーザーアカウントに対し、ログインを試みていた4。パスワードの使い回しをしているユーザーを狙ったリスト型攻撃とみられる。12 月 12 日、ノートン（Gen Degital 社）は異常なほど大量のログイン試行が失敗したことを検知したため、調査を開始。12 月 22 日までに、ノートンのシステムにおいて被害は無かったものの、ユーザーのアカウントが侵害されたことが確認された。
同社が運営するパスワード管理サービスを利用しているユーザーは、ノートンのアカウントと同じパスワードをマスターパスワードにしていた場合、パスワード管理サービスに保存していたパスワードにもアクセスされた可能性がある。ノートンは、本件の対象となった顧客に対して、パスワード管理サービスに保存していたすべてのアカウントのパスワードを変更し、多要素認証を利用するよう求めた5。

【LastPass】
2022 年 8 月、世界で 3,000 万人を超えるユーザーを抱える LastPass 社が不正アクセスを受けたことにより、開発者のアカウントの 1 つが乗っ取られ、ソースコードの一部と同社のパスワード管理サービスの技術情報が持ち出された。この時点で同社は、顧客データや保存された認証情報にアクセスされたことは無いと発表していた6。
ところが 11 月になって、同社が利用していたクラウドストレージで異常が検知されたことから調査を開始したところ、何者かが8 月に窃取した情報を使って顧客情報の一部にアクセスしていたことがわかり、LastPass 社はこれを同月 30 日に発表した
7。さらに、12 月 22 日、顧客向けの告知ページを更新し 2、8 月の攻撃後、別の従業員のアカウントも乗っ取られ、本番環境のバックアップ等に利用していたクラウドストレージのデータとその一部を復号できる認証情報とキーが窃取されていたことを公表した8。
初動において、リスクを低く見積もったことから 11 月の攻撃を防ぐことができず被害が拡大したこと等、LastPass 社の対応やセキュリティ体制の不備について専門家から非難の声が上がった9。
攻撃者はこのバックアップデータから、ユーザーの氏名、住所、電話番号、メールアドレス等に加え、個々のユーザーのマスターパスワードで暗号化された状態にあった認証情報も手に入れた可能性がある。
LastPass 自体はユーザーのマスターパスワードを保存していないため、攻撃者がこのデータを復号するためには、何らかの方

4

出典：Bleeping Computer 『NortonLifeLock warns that hackers breached Password Manager accounts』

5

出典：Cybernews 『Norton Password Manager breach: nearly one million users targeted』

https://www.bleepingcomputer.com/news/security/nortonlifelock-warns-that-hackers-breached-password-manager-accounts/

https://cybernews.com/security/hackers-compromise-norton-password-manager/6

出典：窓の杜 『パスワード管理ツール「LastPass」がハッキングの被害、ソースコードと独自技術が漏洩』

7

出典：Bleeping Computer 『Lastpass says hackers accessed customer data in new breach』

https://forest.watch.impress.co.jp/docs/news/1435104.html
https://www.bleepingcomputer.com/news/security/lastpass-says-hackers-accessed-customer-data-in-new-breach/8

出典：TECH+ 『パスワード管理サービス「LastPass」のバックアップ環境に不正アクセス』https://news.mynavi.jp/techplus/article/20221223-2544442/

9

出典：THE VERGE 『The LastPass disclosure of leaked password vaults is being torn apart by security experts』
https://www.theverge.com/2022/12/28/23529547/lastpass-vault-breach-disclosure-encryption-cybersecurity-rebuttal

Information Asset Classification: Public© NTT Security Holdings

Page 4 of 16
13 February 2023 | Version 0.01

法でマスターパスワードを別途入手するか、総当たり攻撃等を試みる必要がある。攻撃者は上述したようなユーザーの連絡先や個人情報を入手していることから、今後、マスターパスワードを入手するために、ユーザーに対してフィッシングやソーシャルエンジニアリングが行われる可能性があることを LastPass 社は警告した。

まとめ
パスワードは、安全性を高めようと長く複雑にすると人間には記憶しづらくなり、却ってパスワードの使い回しを誘発する危険性がある。パスワード管理サービスは、長く複雑なパスワードを手軽に管理できる便利なサービスである。一方で、ユーザーにはセキュリティを意識した使用やサービス選定が求められる。
サイト毎、サービス毎に独自の認証システムを持つことで、パスワード管理の問題が発生している。ID をリンクする ID フェデ
レーションを広めることで、業界全体でパスワードに依存した認証の問題を解消していく必要がある。

Information Asset Classification: Public© NTT Security Holdings

Page 5 of 16
13 February 2023 | Version 0.01

ChatGPT の活用とサイバー攻撃
概要
2022 年末、米 OpenAI 社が対話型 AI 技術の ChatGPT を一般公開した。様々なジャンルの話題に対し的確な回答をするということで、公開直後から ChatGPT は注目を浴び、Google 等のビッグテックも対話型 AI のサービスを公開しようとしている。
ChatGPT はサイバー攻撃への悪用が懸念されており、実験から、実際に攻撃に使われるものと遜色のないフィッシングメールが作成できることが分かっている。さらに攻撃者も、マルウェアのソースコード生成等の模索を始めている。一方で、サイバー攻撃だけでなく、防御にも生かせないか研究が始まっている。

図 2 ChatGPT との対話例

ChatGPT とは
ChatGPT は、米 OpenAI 社が公開している対話型の AI である10。チャット形式の画面上で自然言語（人間の話し言葉）で質問すると、あたかも人間が回答したかのような違和感のない文章を生成する11。
「GPT」は「Generative Pre-trained Transformer」の略で、大量のデータ学習により回答を自動で生成することができる AI のモデルである。ChatGPT には OpenAI 社が自社開発した AI モデル「GPT-3.5」が搭載されている。ChatGPT はイ
ンターネットから収集した膨大な量のデータによるトレーニング、加えて対人間の強化学習を実施することにより、対話用に最適

10

出典：OpenAI 『ChatGPT: Optimizing Language Models for Dialogue』
https://openai.com/blog/chatgpt/11

出典：日経クロステック（xTECH）『公開直後に話題をさらった ChatGPT、活用の可能性はどんな領域に？』
https://xtech.nikkei.com/atcl/nxt/keyword/18/00002/010500220/

Information Asset Classification: Public© NTT Security Holdings

Page 6 of 16
13 February 2023 | Version 0.01

化されている12。この AI モデルの採用とトレーニングにより、「やりとりの流れに沿って質問に回答できる」「誤った前提で質問すると、回答する前に異議を唱える」「適切でない質問への回答を拒否する」といった、単純ではないやりとりを実現している。ただし、物事の関連付けのデータから文章を生成することはできるが、回答の妥当性自体を判断する能力は無い。誤った内容の回答をしばしば生成するため、結果の採用には人間の判断を必要とする13。
2022 年 11 月末に一般公開された直後から、ChatGPT は哲学的な問いや大学レベルのレポートといった様々なジャンルの質問に対し的確な回答をするということで話題になっている。米大学の教授が、経営学修士(MBA)課程の最終試験の模試に回答させる実験を行ったところ、合格点に達することが確認された14。一方で、ニューヨーク市教育局はカンニングや丸写しを懸念し、管轄する学校組織からの ChatGPT へのアクセスを禁止した15。
ビッグテックも対話型 AI に注目しており、ChatGPT が脚光を浴びたことを受け対話型 AI サービスの一般公開に動いている16。OpenAI 社に出資しているマイクロソフトは、検索エンジン「Bing」と Web ブラウザー「Edge」に、OpenAI 社の新たなAI モデル「GPT-4」を組み込むことで対話機能を追加したと発表した17。一方 Google は、自社の対話型 AI「Bard」を今後展開していくと発表している18。他にも中国の百度が、対話型 AI「文心一言（アーニーボット）」を検索サービスに組み込んで公開する予定と発表している19。

想定されている ChatGPT のサイバー攻撃への悪用
ChatGPT はサイバー攻撃にも応用可能であるとの見解を、複数のセキュリティ会社が発表している。20 21 22
開発元の OpenAI 社は ChatGPT の反社会的な使用を禁止し、悪用に繋がるような質問には答えないよう設定している。サイバー攻撃の方法についても、質問をすると警告が出て回答は表示されない。しかし、サイバー攻撃に関係が無さそうな聞き方をしたり、脅迫的な言い回しをしたりすることで回答が得られることが分かっている。

12

出典：OpenAI 『ChatGPT FAQ』
https://help.openai.com/en/articles/6783457-chatgpt-faq

13

出典：NHK 『AI「ChatGPT」とは プログラミング 小説執筆 学校の宿題もできるの？』
https://www3.nhk.or.jp/news/html/20221209/k10013917101000.html

14

出典：Mack Institute for Innovation Management 『Would Chat GPT Get a Wharton MBA? New White Paper By Christian Terwiesch』
https://mackinstitute.wharton.upenn.edu/2023/would-chat-gpt3-get-a-wharton-mba-new-white-paper-by-christian-terwiesch/15

出典：ZDNET 『ChatGPT was just blocked by the biggest US school district. Here's why』
https://www.zdnet.com/article/chatgpt-was-just-blocked-by-the-biggest-us-school-district-heres-why/

16

出典：NHK 『グーグル AI 対話ソフト 一般提供開始へ AI 技術の開発競争激化』
https://www3.nhk.or.jp/news/html/20230207/k10013973051000.html

17

出典：Impress Watch 『Microsoft、AI による新たな検索「Bing」発表 「ChatGPT より有能」』
https://www.watch.impress.co.jp/docs/news/1476776.html

18

出典：Google 『Google AI updates: Bard and new AI features in Search』
https://blog.google/technology/ai/bard-google-ai-search-updates/

19

出典：Bloomberg 『百度も ChatGPT 類似サービス投入へ、名前は「アーニー」－株価急上昇』
https://www.bloomberg.co.jp/news/articles/2023-02-07/RPOWU4T0AFB401

20

出典：レバテックラボ 『【ChatGPT✕サイバーセキュリティ】ChatGPT はネット世界の安全を脅かす存在になるか【テッククランチ】』
https://levtech.jp/media/article/news/detail_190/

21

出典：ウィズセキュア 『ウィズセキュア、ChatGPT のサイバー攻撃への悪用の可能性をリサーチ』https://prtimes.jp/main/html/rd/p/000000350.000001340.html

22

出典：Kaspersky 『Practical application of ChatGPT』
https://usa.kaspersky.com/blog/chatgpt-cybersecurity/27719/

Information Asset Classification: Public© NTT Security Holdings

Page 7 of 16
13 February 2023 | Version 0.01想定されている様々な悪用方法を大別すると、以下のとおりである。

【生成した文をソーシャルハッキングに活用】
人間が騙されやすい文章を ChatGPT で生成すれば、フィッシングメール等に利用できる。人間とのやりとりが得意であり、文体や口調を真似させるといった、特定の人物や専門家等へのなりすましに役立つ調整も可能であるため、SNS 等のチャットで人間とやりとりする詐欺等にも使われていくと予想されている。

【マルウェアの開発】
ChatGPT はプログラム開発に関するさまざまな情報を蓄えている。そのため、自然言語による回答だけでなく、プログラムのアイディアを投げかけると、適切なソースコードを返すといったこともできる。この能力を応用すれば、サイバー攻撃に使えるコードも効率よく開発できると考えられている。

【フェイクニュース】
上記 2 つのような対象を絞った攻撃だけでなく、幅広く対話型 AI がインターネット全体に影響を及ぼす攻撃も、懸念されている。
ChatGPT を使うと、陰謀論のようなウソを混ぜた、もっともらしいフェイクニュースが、自然な口調の文章として簡単に生成できることが分かっている。インターネット上にこのような情報が大量に拡散されれば、本物のニュースを覆い隠す恐れもある。さらに、インターネットから学習する対話型 AI がそれを学習し、正しい内容を返せなくなるのではないかとも考えられている23。

サイバー攻撃利用への模索
サイバー攻撃に利用可能であることは、研究者による実験で証明されつつある。
セキュリティ会社のチェック・ポイント・ソフトウェア・テクノロジーズ社は、ChatGPT を利用することでメールフィッシング攻撃の実施が可能であると発表している。同社はメール文案を生成させ、受信者を騙せるよう文案を洗練させるのに使用したうえ、添付する Excel マクロファイルに埋め込む VBA コードの開発にも利用できることを実証した（図 3）24。同社の他にも、侵入先で Office ファイルを発見して外部へと盗み出し、その後暗号化するランサムウェアのコードを ChatGPT に書かせることに成功した研究者もいる25。
攻撃者たちも実用化に興味を示している。彼らが情報交換をするハッキングフォーラムでは、情報の窃取やランサムウェア等マルウェアの開発への ChatGPT の利用を自慢する書き込みが、複数発見されている。情報を窃取するマルウェアのコードの生成に成功したという攻撃者は「プログラムが何をすべきか、どのような手順を踏むべきかを（ChatGPT に）指定することが、思い通りのものを作らせる鍵となる。」と、作成して感じたコツを述べている。(図 4)26。

23

出典：MIT Tech Review 『AI 生成コンテンツに汚染されるインターネット、その対策は？』https://www.technologyreview.jp/s/293619/how-ai-generated-text-is-poisoning-the-internet/

24

出典：チェック・ポイント・ソフトウェア・テクノロジーズ『チェック・ポイント・リサーチ、ChatGPT を利用した悪意あるメールやコード攻撃への注意喚起』
https://prtimes.jp/main/html/rd/p/000000166.000021207.html

25

出典：レバテックラボ 『【ChatGPT✕サイバーセキュリティ】ChatGPT はネット世界の安全を脅かす存在になるか【テッククランチ】』
https://levtech.jp/media/article/news/detail_190/

26

出典：Check Point Research 『OPWNAI : Cybercriminals Starting to Use ChatGPT』
https://research.checkpoint.com/2023/opwnai-cybercriminals-starting-to-use-chatgpt/

Information Asset Classification: Public© NTT Security Holdings

Page 8 of 16
13 February 2023 | Version 0.01

図 3 ChatGPT が質問に答えて生成した VBA コード

図 4 ChatGPT を使用して情報窃取マルウェアを作成したというハッキングフォーラムへの書き込み
Information Asset Classification: Public© NTT Security Holdings

Page 9 of 16
13 February 2023 | Version 0.01

セキュリティ対策への活用
攻撃者に対抗するセキュリティ対策にも、ChatGPT のような対話型 AI の活用が模索されている。既に、受講者に合わせたセキュリティ教育、セキュリティレポートの下書き、セキュリティーツール開発のコーディング等で ChatGPT が使われ始めているという27。今後、マルウェアの分析支援やソフトウェアの脆弱性発見のために、プログラムを逆コンパイルして可読化したコードを、対話型 AI に読み解かせて問題箇所を特定するといった発展が予想されている28。
技術的な分野だけでなく、セキュリティコンサルティング分野においても対話型 AI の活躍が期待されている29。現時点のChatGPT も、セキュリティ対策についての質問に対しオーソドックスな対策を回答する実用性を有している（図 5、図 6）。
開発が進めば、対話型 AI が未知のサイバー攻撃を見つけ出して、さらにそれに対抗するためのセキュリティ対策も提案するといった可能性が考えられている。

図 5 ChatGPT が回答した、フィッシングに使えるメール文

27

出典：レバテックラボ 『【ChatGPT✕サイバーセキュリティ】ChatGPT はネット世界の安全を脅かす存在になるか【テッククランチ】』
https://levtech.jp/media/article/news/detail_190/

28

出典：Kaspersky 『Practical application of ChatGPT』
https://usa.kaspersky.com/blog/chatgpt-cybersecurity/27719/

29

出典：レバテックラボ 『【ChatGPT✕サイバーセキュリティ】ChatGPT はネット世界の安全を脅かす存在になるか【テッククランチ】』
https://levtech.jp/media/article/news/detail_190/

Information Asset Classification: Public© NTT Security Holdings

Page 10 of 16
13 February 2023 | Version 0.01

図 6 上記の図 5 に続けて ChatGPT が回答した、フィッシング対策

まとめ
ChatGPT には善悪を判定する能力は無い。攻守どちらにおいても利用できる ChatGPT の、サイバーセキュリティでの実用化が今後進むと、今はまだ発見されていない、思いもよらない使い方が編み出される可能性もある。
ビッグテック等の参入と一般公開が続いている対話型 AI は、OpenAI 社が ChatGPT に採用した「GPT-3.5」をさらに進化させた AI モデル「GPT-4」を実用化する等、早いスピードで性能向上が進んでいる。普及と進化の両方に拍車がかかっている対話型 AI は、今後のサイバーセキュリティのカギを握っているのかもしれない。

Information Asset Classification: Public© NTT Security Holdings

Page 11 of 16
13 February 2023 | Version 0.01

ロイヤルメールへのランサムウェア攻撃
概要30
2023 年 1 月 13 日、イギリスの郵便事業最大手であるロイヤルメールがランサムウェアグループと見られるサイバー犯罪グループから攻撃を受けたことを発表した。攻撃によってイギリス国内からの手紙や小包の海外発送は約 1 週間、停止した。残された身代金メモから LockBit ランサムウェアグループ（以下、LockBit）の攻撃への関与が疑われた。犯罪フォーラムで
LockBit の運営者のアカウントは当初、攻撃への関与を否定していたが、その後一転してグループ関係者の関与を認めた。

ランサムウェア攻撃によるイギリス国内の混乱
英メディアの Telegraph によると、海外配送用の小包に貼る税関ラベルを印刷するために使用していた PC にランサムウェアが感染し、50 万件以上の国際郵便の配達を中断せざるを得なくなった31。
ロイヤルメールの CEO であるサイモン・トンプソンは英議会の公聴会で、同国の居住者や企業が手紙や小包を未だに海外へ発送することができないため、サービスの復旧に向けた解決策を模索していると語った32。

図 7 ロイヤルメールの Twitter 33
訳：国際輸出サービスが中断されており、一時的に海外に物品を発送できません。
問題が解決するまで、輸出品を送らないでください。

図 8 英議会の公聴会で証言する

本件によって途絶や混乱が生じることをお詫びします。

ロイヤルメールの CEO 32

今回の攻撃により特に深刻な影響を受けたのが、イギリス国外に工場や倉庫を持たない小売業者であった。宝飾品メーカーのオーナーは、海外に送った商品を追跡できないと嘆いた34。取引先の約 45 パーセントが海外だという中古レコード取扱業者

30

出典：THE FINANCIAL TIMES 『Royal Mail hit by ransomware attack by prolific hacker gang』
https://www.ft.com/content/2ab26050-6b17-4b10-96d1-faeb664f4501

31

出典：THE Telegraph 『Russia-linked hackers behind Royal Mail cyber attack』
https://www.telegraph.co.uk/business/2023/01/12/russia-linked-hackers-behind-royal-mail-cyber-attack/32

出典：THE FINANCIAL TIMES 『How Royal Mail’s hacker became the world’s most prolific ransomware group』
https://www.ft.com/content/5d53c9fe-ce36-444b-bcf0-f55f81cff93d

33

出典：Twitter 『Royal Mail』
https://twitter.com/RoyalMail/status/1613556388399124480

34

出典：THE FINANCIAL TIMES 『Small businesses count cost of Royal Mail’s cyber attack』
https://www.ft.com/content/2664ca9b-df6f-45c2-b71d-547d707af62c

Information Asset Classification: Public© NTT Security Holdings

Page 12 of 16
13 February 2023 | Version 0.01

は、「顧客を待たせている。ロイヤルメールから情報の更新もなく、いつ再開できるかわからなくてがっかりだ」と述べた35。
事件発表から約 1 週間後の 1 月 21 日、国際郵便物の発送が再開された。2 月に入ってからも国際プライオリティー郵便等が復旧したことが告知されている36。

LockBit の攻撃への関与事件が公表される 3 日前の 1 月 10 日、ロイヤルメール配送センターの仕分けスタッフが、プリンターから大量の文書が出てきたところを目撃した。それらは身代金を要求するメモであり、「LockBit Black Ransomware」という文字列と、身代金交渉のためのアクセス先である暴露サイトの URL も記載されていた 31。

LockBit Black Ransomware
データを盗み、暗号化した。身代金を支払わなかった場合、盗んだデータを暴露サイトに投稿する。我々に連絡すれば、暴露サイト上のファイル 1 件を（サンプルとして）無料で復号してやる。
図 9 身代金要求メモ 31
セキュリティ・テクノロジーニュースメディアの Bleeping Computer が、犯罪フォーラムで LockBit 運営者のアカウントに連絡を取ったところ、「ロイヤルメールを攻撃していない。過去にリークされた LockBit ランサムウェアを、他のサイバー犯罪者が悪用しているのだ。」との回答があった37。ところがその後、LockBit 運営者は犯罪フォーラムに、アフィリエイト（ランサムウェアサービスの運営者から提供されたランサムウェアを利用する攻撃の実行役であり、身代金の一部を得る）を特定したと投稿。そしてロイヤルメールから盗んだデータを暴露する旨の脅迫メッセージを暴露サイトに掲載した。実は最初の Bleeping Computer への LockBit 運営者の回答は誤りであり、LockBit 運営者が把握していないところで、アフィリエイトが攻撃を行っていたとみられる。

35

出典：BBC 『How cyber-attack on Royal Mail has left firms in limbo』
https://www.bbc.com/news/business-64291272

36

出典：Twitter 『Royal Mail』
https://twitter.com/RoyalMail/status/1616480676986880035
https://twitter.com/RoyalMail/status/1623713336524263425

37

出典：Bleeping Computer 『Royal Mail cyberattack linked to LockBit ransomware operation』
https://www.bleepingcomputer.com/news /security/royal-mail-cyberattack-linked-to-lockbit-ransomware-operation/

Information Asset Classification: Public© NTT Security Holdings

Page 13 of 16
13 February 2023 | Version 0.01

みんな、落ち着け。攻撃を実行したアフィリエイトを見つけた。トップ 10 に入るアフィリエイトだ。（ロイヤルメールから）身代金が支払われれば、暗号化されたデータを復号するツールを提供し、盗んだデータは削除する。

図 10 攻撃が行われていたことを確認した LockBit の投稿【LockBit アフィリエイト】
LockBit の活動においては、グループの運営者ではなくアフィリエイトが被害組織と直接交渉し、身代金を受け取ることが特徴として挙げられる。そのため他のランサムウェアグループより、標的とする組織の決定や身代金金額の設定等についてアフィリエイトの自由度が高い。これが影響しているのか LockBit グループでは、運営者が攻撃禁止対象に指定している分野の組織（後述）に対して攻撃が行われる等、統制の取れていない現象がみられる。これはアフィリエイトが、脆弱性のある VPN を使用している組織を無差別にランサムウェアに感染させる攻撃手法を取っていることから、感染時にターゲットの組織が攻撃禁止対象であるか確認できていないといった状況によるものと推測される。

【LockBit の攻撃禁止対象】
LockBit は自身の暴露サイトに、アフィリエイトに対する規約のページを設けている。その中で、発電所や石油パイプライン、生死に関わる医療機関等の重要インフラを攻撃することを禁止している。
この禁止ルールは、大手石油企業への攻撃で米国の石油パイプラインを麻痺させたことにより米国政府の捜査を受け解散した、DarkSide グループのような事例を反面教師としていると考えられる。目立ちすぎて政府機関が本腰を入れて対応してくることを LockBit が恐れているためと推測されている。

Information Asset Classification: Public© NTT Security Holdings

Page 14 of 16
13 February 2023 | Version 0.01

図 11 暴露サイトに掲載されているアフィリエイトのルール
LockBit は 2022 年 12 月、カナダのトロントにある子ども病院 Hospital for Sick Children (SickKids)を攻撃したが38、その後、異例の謝罪を表明し、暗号化されたデータを復号するツールを提供した(図 12)。

SickKids への攻撃について正式に謝罪し、復号ツールを無料で提供する。

図 12 LockBit が暴露サイトに掲載した謝罪文

ルールを破り攻撃を行ったアフィリエイトを除名した。

まとめ
LockBit はアフィリエイトへの関与が低く、その結果、アフィリエイトが活動しやすい状況を提供することで多くの支持を得て、この業界でのトップシェアを確保している状況が推察される。
今回のロイヤルメールの攻撃はイギリス国内で国際郵便の送付を 1 週間以上も停止させ、多くの国民を混乱させたが、攻撃禁止対象のルールには抵触しなかったようである。しかし、過去には攻撃禁止対象組織を攻撃した場合、謝罪し復号鍵を提供した事例もある。もし、LockBit の攻撃を受け、自組織が攻撃禁止対象に該当する場合は、復号鍵の提供を交渉する選択肢も考えられる。
以上38

出典：The Hospital for Sick Children (SickKids) 『Update on SickKids response to cybersecurity incident』
https://www.sickkids.ca/en/news/archive/2022/update-on-sickkids-response-to-cybersecurity-incident/

Information Asset Classification: Public© NTT Security Holdings

Page 15 of 16
13 February 2023 | Version 0.01

免責事項
本記事の内容は、正確であることに最善を尽くしておりますが、内容を保証するものではなく、本記事の利用に起因して発生したいかなる損害、損失についても補償しませんのでご留意ください。記事内に誤植や内容の誤り、その他ご指摘等、お問い合わせ事項がある場合は、お手数ですが下記までご連絡ください。

お問い合わせ先：NTT セキュリティ・ジャパン株式会社
コンサルティングサービス部 OSINT モニタリングチーム
メールアドレス： WA_Advisorysupport@ntt.com

Information Asset Classification: Public© NTT Security Holdings

Page 16 of 16
13 February 2023 | Version 0.01