4-6セキュリティ

1

2014 年の情報セキュリティ動向

23松本 悦宜● JPCERT コーディネーションセンター早期警戒グループ 情報分析ライン 情報セキュリティアナリスト

Web 改ざん、パスワードリスト攻撃が継続発生し、ネットバンキング不正送金が過去最悪を更新。標的型攻撃が深刻化し、新たな脆弱性や制御システムの脅威も注目された。対策として国際連携や、情報共有作戦が成果を上げつつある。

456

インターネット上の脅威は増加の一途をたどっある。マルウエアが利用者のパソコンを感染させており、2014 年もさまざまな情報セキュリティイるために使用する脆弱性の多くは既知のものであンシデントが発生した。ここでは、2014 年に発生り、OS やアプリケーションを最新の状態に保つこした情報セキュリティインシデントのうち、注目とで、マルウエア感染を防げることが多い。このされた事例や特徴的な事例について述べる。また、ような基本的なセキュリティ対策を徹底すること昨今注目を浴びつつある制御システムのセキュリが重要である。

ティ動向についても触れたい。

Web サイトを改ざんする手口の詳細は分かっていないが、何らかの方法で盗み出した Web サイト■ Web 改ざんの継続的な発生の管理者用の ID・パスワードでコンテンツ管理シ

一般社団法人 JPCERT コーディネーションセン

ステムに不正にログインしたり、システムに内在ター（以下、JPCERT/CC）では、国内外で発生しする脆弱性を悪用するなどして、ファイルの書きた情報セキュリティインシデント（以下、インシ換えを行ったりしていると考えられる。

デント）に関する対応依頼と報告を受け付けてい1る 。このうち、Web サイトの改ざんに関するイ● CMS 利用サイトの改ざん

ンシデント報告は、2013 年に大きく増加し、2014

最近では、Web サイトの管理・運用コストを低減

年も 9 月現在で 3500 件を超える報告を受領していするために、CMS（Content Management System）

2が利用される。CMS は、ホスティング事業者など報告を受けた Web サイトの改ざんでは、不審なの契約者向けサービスとして普及しているばかりiframe や難読化された JavaScript が挿入されていでなく、企業の自営サイトなどにおいても広く使て、一見しただけでは改ざんされているとは分か用されている。CMS の普及が進むにつれ、特定のらないケースが多い。気付かないまま利用者がアCMS で管理された Web サイトに共通したインシクセスすると、攻撃ツール (Exploit Kit) が設置さデントが発生するケースも増加している。

る 。

れたサイトに転送され、利用者のパソコンに脆弱個々のインシデントで判明した断片的な事実を性があればマルウエアに感染してしまう可能性が総合すると、次のようなシナリオで大規模に改ざ

194

第 4 部 インフラストラクチャー動向

んが行われていると考えられる。既知の脆弱性を本体についてはパッチの適用などの脆弱性対策をもつ CMS で管理されている Web サイトを、検索していても、拡張機能の脆弱性は放置されたままツールなどを利用して探し出し、脆弱性を利用しになっていることが多く、それを狙った攻撃事例て攻撃する。ログイン権限を奪取して、機密情報が少なくない。

を窃取したり、閲覧者をマルウエアに感染させるためにファイルを改ざんしたりする。

こうした攻撃により Web サイトが改ざんされる

2などの被害の可能性を低減するには、CMS 本体だ

多くの CMS には、サードパーティから多様な拡けでなく拡張機能の脆弱性情報を収集し、速やか張機能が提供されているが、これらの拡張機能のに修正プログラムを適用するための体制を構築、中にも脆弱性が存在しうる。そうした場合、CMS維持することが重要である。

資料 4-6-1

13

Web サイトの改ざんに関するインシデントの報告件数456

出典：JPCERT/CC インシデント報告対応レポート

3（2009 年〜2014 年）より作成■パスワードリスト攻撃

は、一般に「パスワードリスト攻撃」と呼ばれて●パスワードリスト攻撃とはいる。パスワードリスト攻撃は、利用者が同じパ

2013 年 3 月ごろから始まった、国内の事業者がスワードを複数の Web サイトで使い回していると提供する Web サービスに対して大量の不正ログ成功確率が高まる。公表された被害状況報告によインを試みる攻撃は、2014 年も継続的に発生しれば、数万件から数百万件のログインが試行され、た。別の事業者から漏えいした ID とパスワードのその 1% 前後で不正なログインに成功したとされ対のリストを使用してログインを試みるこの手法ている。

第4部

インフラストラクチャー動向

195

1

資料 4-6-2

パスワードリスト攻撃の概要

2

3

4

5

6

出典：STOP!! パスワード使い回し!! パスワードリスト攻撃による不正ログイン防止に向けた呼びかけ

4（JPCERT/CC および IPA、2014 年 9 月）

不正ログインに成功した場合、アカウント保有に異なるパスワードを設定し覚えていることは、多者の個人情報やクレジットカード情報が窃取されくの利用者にとって現実には難しい。それを狙っている。一部では、クレジットカードを不正に利て今後も攻撃が継続すると推察されることから、用されたり、アカウント保有者になりすましてそクレジットカード情報などの機微な情報を管理すの知人にプリペイドカードを購入して送らせたりるサービスにおいては、「二要素認証」などのよりするなど、金銭被害も発生している。対策はパス安全な認証方式への切り替えが望まれる。

ワードの使い回しをしないことだが、サービスごと196

第 4 部 インフラストラクチャー動向

資料 4-6-3

パスワードリスト攻撃による被害を受けた企業数の推移

1

2

3

45

出典：STOP!!パスワード使い回し!! パスワードリスト攻撃による不正ログイン防止に向けた呼びかけ（JPCERT/CC および IPA、2014 年 9 月）

●パスワードの使い回しストップを呼びかけして引き出すことで発生している。

パスワードリスト攻撃による不正ログインの被害が後を絶たないことから、独立行政法人情報処

6●マルウエア「VAWTRAK」について

理推進機構 (IPA) および JPCERT/CC は、2014

インターネットバンキングの ID・パスワード情報

年 9 月に「パスワードリスト攻撃による不正ログの窃取に使用されるマルウエアとして、VAWTRAK

5イン防止に向けた呼びかけ」 を公開し、複数のと呼ばれるマルウエアが 2014 年 5 月ごろから話題サービスにおいて同じパスワードを使い回さないになった。VAWTRAK はブラウザに侵入し、利用よう、インターネットサービス利用者に注意を促者がインターネットバンキングサイトにアクセスした。

した時に、自動的に不正送金などを行う一方で、それを画面上では利用者に見せないようにしてい■金融機関を狙うマルウエアると言われる。

ここ数年、インターネットバンキング利用者を従来、このようなマルウエアが動作するのは、対象としたフィッシングやマルウエアによる被害

主に大手銀行のインターネットバンキングにアクが増加傾向にある。警察庁が 2014 年 9 月に発表しセスした時のみであったが、最近では国内のカーたデータによると、インターネットバンキングのド会社にアクセスした時に ID・パスワード情報が不正送金による 2014 年上半期の被害は 18 億 5200窃取され、その後の不正なカード利用に使われる万円に上り、過去最悪を更新した。被害は、マル可能性があることがセキュリティベンダーの調べウエアなどを使ってインターネットバンキングので確認された。

ID・パスワード情報を窃取した攻撃者が、それをこれら不正送金に関連したマルウエア感染の防悪用して被害者の預貯金を別の口座に不正に送金

止は、OS やアプリケーションの修正プログラムを第4部

インフラストラクチャー動向

197

1

できるだけ早く適用するといった一般的なセキュ携して、2014 年 5 月から「国際的なボットネットリティ対策で十分な効果が期待できる。のテイクダウン作戦」 を行った。国内では 20146

年 7 月から JPCERT/CC が、警察庁、総務省、一般●マルウエア「Game Over Zeus」について

2

3

社団法人日本データ通信協会テレコム・アイザッ

不正送金などに使用されているマルウエア

ク推進会議と協力し、国際連携活動の枠組みを通「Zeus」の亜種である「Game Over Zeus」が 2011

じて米国 US-CERT 等から提供された感染端末情年ごろから継続的に確認されており、世界中で感染報に基づいて、国内の感染端末利用者に対する通事例が確認されていた。海外では、米国連邦捜査局

知と、不正プログラムの駆除等に関する情報提供（FBI）および欧州刑事警察機構（ユーロポール）がを行った。

中心となり、協力国の法執行機関、各国 CSIRT と連4

資料 4-6-4

国際的なボットネットのテイクダウン作戦（JPCERT/CC の取り組み）5

6

出典：JPCERT/CC■ 2014 年に発見され注目された脆弱性● OpenSSL の脆弱性「Heartbleed」

2014 年は、「OpenSSL」 や「bash」など多く暗号化通信などで広く使用されているオープンのシステムで使用されているソフトウエアの深刻

ソースソフトウエア OpenSSL に情報漏えいの脆弱な脆弱性が発見された。これらの脆弱性は、攻撃性があることが、2014 年 4 月に公表された。このに使うことが容易であったため、発表されてから脆弱性を悪用するよう細工したパケットを送付す

1 日足らずで悪用した攻撃が確認された。脆弱性る遠隔の第三者が、サーバーのメモリ内の情報を閲対応が遅れたシステムの中には、被害が発生した覧できる可能性があった。本脆弱性は OpenSSL の事例もあった。以下、2014 年に発見され注目されheartbeat 拡張に関連していたため、Heartbleed

た 2 つの脆弱性について紹介する。と呼ばれている。OpenSSL は Web サーバーなど

198

第 4 部 インフラストラクチャー動向

さまざまなソフトウエアで使用されており、攻撃国内外の政府や企業を対象として、対象に特化しが容易である、本脆弱性を使用した攻撃はログにた内容のマルウエア添付メールを送りつけ、マル残らないなどの特徴で、システム管理者を戸惑わウエアに感染させることで、企業や組織の機密情せた。

報を盗もうと試みる。

本脆弱性を使用した攻撃が一部のシステムで確

標的型攻撃の対策で特に難しいのは、一時的に認されており、警察庁の定点観測システムでは、攻撃を防ぐことができたとしても、目的を達成す

本脆弱性の発表から数日後に、本脆弱性が存在するまで攻撃が繰り返されるため、いつか攻撃が成るサーバー等の探索行為と考えられるパケットを功してしまう可能性が高いことである。このため、観測したと発表した。また、国内の組織でも本脆

標的型攻撃への対策では、攻撃に使用された要素

弱性を使用した攻撃により、サーバーに不正アク情報（IP アドレス、メールアドレス、URL など）セスが行われて個人情報が漏えいした事例も確認を基に、ネットワーク機器や IDS（侵入検知シスされた。

テム）などのセキュリティ製品などの未然防止の1

2

3

4

取り組みだけでなく、頻繁にログを確認するなど● bash の脆弱性「ShellShock」

して、インシデントが発生した際に早期に検知すサーバーなどで広く使用されているオープンソーるとともに攻撃の範囲を的確に把握し、被害を最スソフトウエア GNU bash の環境変数の処理に、小限にするための対処を迅速に実施できる運用体

ShellShock と呼ばれる脆弱性があることが、2014制作りを行うことが望ましい。

年 9 月に公表された。外部からの入力が環境変数ともに類似した攻撃を受ける可能性がある組織同に設定される GNU bash の動作環境では、遠隔の士で攻撃に関する情報を共有することで、より早い第三者によってサーバーの任意のコマンドが実行段階で攻撃を検知し攻撃の全体像を把握できる可能される可能性があった。

性があり、国内では情報処理推進機構（IPA）が参加

本脆弱性は Web サーバーも影響を受け、細工したパラメータを遠隔の第三者が Web サーバーに送組織間のハブとなった情報共有の枠組み「J-CSIP」
7を運用しており、成果を上げ始めている。

ることによって、サーバーの任意のコマンドを実また、各企業でもインシデントに備え、組織内に行する可能性があった。本脆弱性の攻撃も一部のCSIRT（Computer Security Incident Responseシステムで確認されており、本脆弱性を使用したTeam；コンピュータセキュリティにかかるインシ攻撃を受けたサーバーがマルウエアに感染する事デントに対処するための組織の総称） を構築する例も見られた。

動きが活発になっている。組織間での CSIRT の連携や情報共有などを目的とした日本シーサート協■標的型攻撃昨今、国内外で大きな問題となっているのが、政8議会 には、2014 の間に 19 もの組織が新たに加盟した。

府や企業を対象として行われる標的型攻撃であり、中でも特定の企業や組織に対し執拗かつ効果的に●アップデートハイジャック攻撃を行う APT（Advanced Persistent Threat）

2014 年ごろから、「アップデートハイジャック」と呼ばれる脅威が深刻になっている。標的型攻撃とよばれる手法が国内で確認された。この手法は、は、2000 年代後半から始まったと言われており、まず攻撃対象となる組織が利用するソフトウエア

第4部

インフラストラクチャー動向

199

56

123456の正規のアップデートサーバーなどに侵入し、アッ情報) の不正書換えによるドメイン名ハイジャッ

プデート情報を改ざんする。利用者を不正なサークの影響により、一部の利用者が当該組織の Webバーに誘導して改ざんされた悪意あるファイルをサイトを閲覧する際の名前解決において、本来のダウンロードさせ、アップデートされたソフトウサーバーとは異なる IP アドレスに誘導され、攻エアだと勘違いさせて開かせることで、マルウエ撃者が用意したサーバーに接続していたことを確アに感染させる。

認した。

正規のソフトウエアにコード署名が付されていドメイン名を使用してサービスを提供している

れば、攻撃者が署名した悪意あるファイルを用意

Web サイトなどのシステムは、登録情報の不正なしていない限り、署名を確認することで悪意ある書き換えによるドメイン名ハイジャックの影響をファイルか否かを判断できるはずが、アップデート受ける可能性がある。現在も、報告を受けたインのプロセスが自動化されている場合などは、確認すシデントの攻撃シナリオの全容を確認できてはいる機会が事実上ない。また、攻撃者が正規のコーないが、ドメイン名登録者やドメイン名管理担当ドサイニング証明書を入手していた場合には、攻者は、登録情報を管理するための ID やパスワー

撃者が用意した悪意あるファイルと正規のファイドなどの認証情報が第三者に不正に使用されないルとをコード署名により区別することができない。

ように適切に管理するとともに、早期検知によるアップデートハイジャックは、ソフトウエアを被害の軽減策として、whois などのコマンドを利使用する不特定多数の利用者を対象にできる攻撃用し、ネームサーバー情報などの登録情報が正しであるが、標的型攻撃で使用される場合には、攻く設定されているか定期的に確認することが望ま

撃対象となる組織の IP アドレスからアクセスされしい。

た時は上述のような攻撃を行うが、他からアクセスされた時には何の悪さもしないなどの手法が併せて用いられた。

■制御システムセキュリティ
一般に、制御システムは最近までセキュリティ標的とされた組織が、この種の攻撃自体を防ぐに対する配慮を欠いたまま設計・構築されたもの

ことは困難だが、組織内で導入してよいソフトウが多く、10 年以上に及ぶライフタイムを通じてセエアを管理することや、ネットワーク機器や IPSキュリティパッチを適用する慣習が定着していななどのセキュリティ製品などのログを確認するこ

いため、多数の脆弱性や弱点が潜在していると見とにより、不正なファイルが配信された場合にもられる。幸いにして国内では、これまで Windows影響範囲を把握し、迅速に対応することが可能でPC 一般を狙ったマルウエアに感染した制御システある。

ムが不具合を起こす事例が散見されるにとどまっている。しかしながら、海外では、制御システムに●ドメイン名ハイジャック

JPCERT/CC は、国内組織が使用している .com対するサイバー攻撃の事例が少しずつ積み上がってきており、対策が急がれている。

ドメイン名の登録情報が不正に書き換えられ、攻制御システムを狙うマルウエアは 2010 年に報撃者が用意したネームサーバーの情報が追加され告された「Stuxnet」だけとされてきたが、2014

るドメイン名ハイジャックのインシデント報告を、年には「Havex」および「Black Energy 2」と呼複数受領した。ドメイン名の登録情報 (以下、登録ばれるマルウエアの感染事例が海外で報告された。

200

第 4 部 インフラストラクチャー動向

いずれも制御システム向けに作り込まれた機能を制御機器（組込み機器）のセキュリティ保証に関備えているが、制御動作に影響を及ぼす機能はもする認証制度 EDSA(Embedded Device Security

たず、システムの内部情報の収集だけを目的に作Assurance) の運用を開始し、一般財団法人日本情られたマルウエアとされている。また、インター報経済社会推進協会（JIPDEC）では制御システムネットに接続された制御システム用機器が 200 万のセキュリティ管理システムの認証制度の運用を台以上見つかったとの報告もあった。

開始した。JPCERT/CC においても、制御システ

制御システムのインシデントは、人命や市民生ム用製品の脆弱性情報の取り扱いを主要ベンダー

活に影響を及ぼす事故を引き起こす可能性があり、の協力を得て本格化し、インシデント対応の支援

セキュリティ対策が急がれている。技術研究組合を行うための態勢整備を進めている。

12

39制御システムセキュリティセンター（CSSC） は、

4
1.JPCERT/CC インシデントの報告
https://www.jpcert.or.jp/form/
2.JPCERT/CC インシデント報告対応四半期レポート
https://www.jpcert.or.jp/ir/report.html

5

3. 脚注 2 参照
4.STOP!!パスワード使い回し!! パスワードリスト攻撃による不正ログイン防止に向けた呼びかけ（JPCERT/CC および IPA、2014
年 9 月）
https://www.jpcert.or.jp/pr/2014/pr140004.html
5. 脚注 4 参照

6

6.JPCERT/CC、「インターネットバンキングに係わる不正送金事犯に関連する不正プログラム等の感染端末の特定及びその駆除について〜国際的なボットネットのテイクダウン作戦〜」に協力
https://www.jpcert.or.jp/pr/2014/pr140002.html
7. サイバー情報共有イニシアティブ（J-CSIP；ジェイシップ）
https://www.ipa.go.jp/security/J-CSIP/
8. 日本シーサート協議会
http://www.nca.gr.jp/
9. 制御システムセキュリティセンター
http://www.css-center.or.jp/

第4部

インフラストラクチャー動向

201