1220SCCS

サイバー脅威の背景と実状理解

2012年5月

サイバーディフェンス研究所
名和 利男

アジェンダ
1. 「攻撃者」と「サイバー脅威」

12

2. サイバー脅威の動向と既存対策の分析

SC

CS

20

［事例解説］• 2011年 日本における標的型攻撃（ソニーグループ、三菱重工、衆議院）• 2011年8月 韓国LG U+ モバイルネットワークの障害• 2011年-2012年 Android ﾓﾊﾞｲﾙ用犯罪ｱﾌﾟﾘ（ZITMO）
3. 今後の組織に求められる防衛策のポイント

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

2

12
20
CS
SC

トピック 1「攻撃者」と「サイバー脅威」

3

「攻撃者」と「サイバー脅威」の変化
数年前まで

Hacktivists

SC「ハッキングという道具を使って抗議をし、より広い闘争に参加しようとする反乱者、
フリーダム・ファイター、テロリスト、その他
ディジタルな戦場で活動をする人々のこと」
1. 実行者のメッセージを極めて広汎な徴収に届けることができる。
2. 実行に際してほとんどコストが掛からない。
3. 地理や距離的制約を超えることができる。
4. 匿名で危険を伴うことなく闘争に参加出来る形態である。

CS

Hacktivist = Hacker + Activist

20

12

Geeks/Hackers?

Source: Activists and Terrorists Turn to Cyberspace by Dorothy Denning
The Future of War, Vol. 23 (2) - Summer 2001 Issue

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

Possible Victim
現在

Targeted Victim
4中国の代表的な攻撃者コミュニティ - 中国红客联盟

中国红客联盟• 黒客（ヘイカー）／駭客（ハイカー）→ 「ハッカー」•

英語名• 紅客（ホンカー） → 「愛国的なハッカー」–• （稀に）博客（ポーカー） → 「ブロガー」

–

中核メンバ

–
–
–
–

登録者数
–

•

lion ： 連盟の創設者で Web マスター、ネットワーク
セキュリティを担当
bkbll： 連盟の総務を担当
yaya： 連盟の会計兼人事のネットワーク管理を担当
Redfreedom： 米国に対するサイバー攻撃、非常勤の技術責任者を担当
NikNanA： 連盟の運用及びネットワーク管理担当

20

–

•

2000年12月31日

CS

•

12

設立日

SC

•

Honke Union of China

ピーク時は8万人（約65%は大学生）

http://www.cnhonkerarmy.com/

概要
1.
2.
3.
4.
5.

1998年 3月 インドネシアに対するサイバー攻撃
1999年 3月 米国に対するサイバー攻撃
1999年 8月 台湾に対するサイバー攻撃
2000年 1月~2月 日本に対するサイバー攻撃
2001年 4月 米国に対するサイバー攻撃

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

6. 2004年12月 解散
7. 2005年 4月 再編
8. 2005年 日本に対するサイバー攻撃
9. 2010年 8月 フィリピンに対するサイバー攻撃
10. 2010年 9月 日本に対するサイバー攻撃
5中国红客联盟の経緯（1）“红客联盟”の脅威
大規模
DDoS攻撃12“红客联盟”の確認

尖閣諸島問題

ｺｰﾄﾞﾚｯﾄﾞ
出現

海南島事件

20

（中国空軍ﾊﾟｲﾛｯﾄ行方不明）

CS“红客”の確認

日米のｻｲﾄ改ざんSC

ユーゴ紛争（中国大使館誤爆）

愛国思想の強い中国人ﾊｯｶｰによる活動

中国における愛国主義教育の強化
天安門事件

中国における科学技術の推進
863计划
（国家高技术
研究发展计划）

1985

1990

1995

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

2000

2005

2010
6

中国红客联盟の経緯（2）863计划（人民網による邦訳：国家863計画）

中国の愛国主義教育に関する諸規定（一部抜粋）

1986年3月に始まったハイテク技術の研究発展計画。
王大コウ、王淦昌、楊嘉チ、陳芳允の4人のベテラン
科学者が1986年3月3日、「世界の先端技術から取り残されないためにも、国内のハイテク技術を発展させていく必要がある」として、中国共産党中央に陳情書を提出したことから始まった。

中国の教育の基本法である ｢教育法｣ は1995年3月18日に制定され､ 同年9月1日施行された｡ ｢教育法｣ は､ 諸外国の教育基本法を比較検討し､ それらを参考にしながら草案の改訂を重ね､ 立案以来年の歳 月を経てようやく成立した。
愛国主義教育に関する条文は次のとおりである｡

問題を重視した鄧小平氏は「すぐに決めるべきで、引き延ばすべきではない」とし、計画の開始に向け自ら指示を行った。

なお､ 後述するように､ ｢教育法｣ 成立に先立って､ 1994年に ｢愛国主義教育実施要綱｣が制定された｡ これは中国共産党の教育政策における重要文献と位置付けられ､ ｢教育法｣ の愛国主義教育規定もその方針に沿ったものであると考えられる｡

その後の全面的な科学論証や技術論証を経て、国務院は「ハイテク技術研究発展計画概要」を批准。
これが通称「国家863計画」と呼ばれる。863計画では生物、宇宙、情報、レーザー、オートメーショ ン、エネルギー、新素材の7分野（1996年に海洋技術を追加）を重点分野に決定。

｢教育法｣ 以外の教育関係法では､｢教師法｣（1993年10月31日制定、1994年1日1日施行）と｢高等教育法｣ （1998年8月29日制定、1999年1月1日制定）に､ 愛国主義
教育に関する条文がある｡｢教師法｣ では､ 教師の履行すべき義務を６項目定めた
第８条において､ その３項目目として､ ｢学生に対し憲法の定める基本原則の教育､

CS

20

12

｢国家は教育を受ける者に愛国主義､ 集団主義､ 社会主義の教育を行い､ 理想､ 道
徳､ 規律､法制､ 国防､ 民族団結の教育を行わなければならない｡｣ （６条）

SC

愛国主義・民族団結の教育､ 法制教育及び思想品性・文化・科学技術教育を行い､学生を組織・引率して有益な社会活動を展開する｣ と規定している｡

これらの重点分野で世界最先端のレベルに照準に合わせ、優れた技術力を結集、先進国との技術格差を縮小させ、関係分野の科学技術の進歩を促進、優秀な人材を育成し、将来のハイテク産業の発展に向けて条件を整備していくことを目的としている。
（http://j.people.com.cn/2003/02/13/jp20030213_26019.html）｢高等教育法｣ では､ ｢高等教育機関の学生は法律・法規を遵守し､ 学生行為規範と学校の各種の管理制度を遵守し､ 教師を敬い､ 勉学に励み､ 体質を向上させ､ 愛
国主義と集団主義と社会主義の思想を打ち立て､ マルクス・レーニン主義と毛沢東
思想と小平理論の学習に努め､良好な思想品性を備え､ 高度な科学文化知識と専門技能を身に付けなければならない｡｣ （53条）として､ 愛国主義教育そのものではないが､ 学生自身が愛国主義思想の涵養に努めなければならないことを明記している｡
なお､ ｢義務教育法｣ （1986年4月12日制定､ 同年7月1日施行）には､ 愛国主義という言葉は条文に盛り込まれていない｡ これは､ 愛国主義教育の強化が本格的になる前に制定されたためであると考えられる｡（http://www.ndl.go.jp/jp/data/publication/refer/200412_647/064705.pdf）

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

7

中国红客联盟の最近の状況

COG信息安全论坛（COG情報セキュリティフォーラム）http://www.chowngroup.com/

12• 日時： 2011年9月22日

20• 場所：上海浦东干部学院（上海市浦东新区前程路99号）

CS• 目的： 安全なインターネットライフ、技術的な自由、共有、平等及び連帯の追求。

SC• 参加者： ハッカーグループリーダ、製造業、ネットセキュリティ
関係者、メディア、学生 他（約350名、うち米国人1名／日本人1名／台湾人3名）• 注目すべき発言：
COG信息安全论坛の閉会翌日（9月23日）、中国紅客聯盟の創始者Lion（林勇）が、公式Webサイトおよび自身の微博（中国版Twitter）を通じて、「10年ぶりに中国紅客聯盟の再編する」と宣言。
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

8

中国红客联盟によるサイバー攻撃（2010年/2011年、日本）•

2010年及び2011年9月、中国紅客連盟による 日本 に対するサイバー攻撃（DDoS攻撃、Web改ざん、不正侵入等）– 発端は、2010年9月7日尖閣諸島沖での中国船長の逮捕

SC

CS

20

12

– 最終的な攻撃日となった9月18日は日本にとっては満州事変が勃発した日であるが、中国では旧日本軍から侵攻を許してしまったため、「国恥の日」とされ、反日感情と愛国心が高まる時期である。
– 2011年は、満州事変80周年目となり、より一層の盛り上がりが見られた。

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

9

世界の代表的な攻撃者コミュニティ - Anonymous•

Anonymous（アノニマス）

CS

20

12

– 米国の画像掲示板サイト”4chan”などから派生したハッカーコミュニティ。
– “Knowledge is Free”（知識は自由）を掲げ、ネット上の言論の自由を守るために戦う自警団を自称する集団。
– DDoS攻撃（大量のパケットを送信してシステムダウンを引き起こすトラフィック攻撃）などのサイバー攻撃や、現実世界での抗議運動も実施する。

www.2chan.net

SC

2ch.netCopyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

www.4chan.org

Anonymous

驚異的な身体能力と頭脳によって、独裁政権に反旗を翻す架空の義賊を描いたSF映画「V for Vendetta」の主人公「V」の仮面を被ったAnonymousメンバ

10

CS

20

12

Anonymous によるサイバー攻撃（2011年、日本）

SC

OPERATIONGREENRIGHTS

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

FlyerOP: http://img69.imageshack.us/i/tepto04.jpg/
Press eng
Fukushima tragically reminded the world that the nuclear risk
is unmanageable and its consequences are unacceptable.
Nuclear power involves the intrinsic need to lie, tomisrepresent, hide information and the size of the facts as we
saw in Fukushima and informs us as WikiLeaks be done by the
IAEA in relation to TEPCO.
・・・
11

Anonymous によるサイバー攻撃（2011年、米国）（1）
ターゲット

起因するイベント

攻撃者の反応PayPal（クレジットカード決済代行会社）

PayPalがWikiLeaks のWebサイトに対するサービスを停止した。

Anonymous の一部メン
バが、PayPalに対してDDoS攻撃成功させ、サービスの一時的な途絶を引き起こした。

HBGary（ITセキュリティサービス会社）

HBGaryのCEOが、
WikiLeaks の Webサ
イトに対するサービスを停止した PayPalのサービスを途絶した
Anonymous のリー
ダーを特定した。

Anonymous の一部のメンバが、HBGaryに対して
SQLインジェクション攻撃とDDoS攻撃を行ない、40,000件のEメールを搾取及び公開した。また、Anonymous の一部のメ
ンバは1テラバイトのデー
タを削除した。

時間差

1日後

SC

CS

20

12

2～3日後

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

12Anonymous によるサイバー攻撃（2011年、米国）（2）
起因するイベントSony（大手電
子機器メー
カー・電機メーカー）

Sony が、その会社製品のセキュリティを無効にしたハッカーを見つけ、提訴した。

攻撃者の反応Anonymous と LulzSec の一部メンバが、DDoS攻撃を行ない、Sonyの さまざ
まな Web サイトや各部署の社員アカウント情報を盗み出した。

12

ターゲット

時間差
訴訟の和解
から2日後

最初の訴訟
から2～3ヶ月後

殺虫剤や遺伝子組み換え食品を製造する会社が、成長ホルモンを含んでいないというラベル表記した有機栽培農家に対して、訴訟を起こした。

Anonymous の一部メン
バが、MonsantoのWebシ
ステムに2日間に渡るサイバー攻撃を行ない、3
つのメールサーバの機能低下、広範囲に渡る農産業を含む2,000件以上の個人情報を搾取し、公開
した。

2ヶ月後

SC

Monsanto（多国籍バイオ化学メーカー）CS

20

LulzSec の一部メンバが、100万件の米国、ベル
ギー、オランダの顧客のユーザーネームとパス
ワードを公開した。

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

13

Anonymous によるサイバー攻撃（2011年、米国）（3）
起因するイベント

攻撃者の反応Exxon Mobil,
ConocoPhillips,
Canadian Oil
Sands, Imperial
Oil（石油会社）

石油会社が、カナダのアルバータ州から
米国テキサス州のポートアーサー間に
2,100マイルの送油パ
イプラインの構築に取り掛かった。

Anonymous のメンバが“Operation Green Rights プ
ロジェクト：Tarmageddon”
を開始した。これは、大手石油会社にサイバー攻撃を行う意図と、環境問題に対する自分たちの位置づけを示した宣誓となる。

パイプライン
構築に伴い脅威を発生とあるが、まだ攻撃は発生していない。

法執行機関

捜査当局者が、複数の容疑で、Anonymous 攻撃者をターゲットとした全国的な活動を開始し、複数の容疑者を逮捕した。

Anonymous とLulzSec の一部メンバが、米国全土の70人以上の保安官事務所に対してサイバー攻撃を行ない、機微情報を含む
10ギガバイトのデータを公
開した。

2週間後

BART（サンフラ
ンシスコの公共交通機関）
管理センタ

BART 管理センターが、抗議団体の結成を抑制するために、幾つかの駅で非合法のモ
バイル電話サービスを遮断した。

時間差

SC

CS

20

12

ターゲット

Anonymous の一部メンバ
が、その公共交通機関管
理センタのWebサイトに対してサイバー攻撃を行ない、その利用者の個人情報を含む 2,400人のユー
ザーアカウント個人情報を搾取した。

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

1週間後

14

12
20
CS
SC

トピック 2

サイバー脅威の動向と既存対策の分析

15

国内のサイバー攻撃の動向変化
高度なﾏﾙｳｪｱ（Stuxnet等）
高度・巧妙・持続的な手法

12（特殊なﾏﾙｳｪｱ+ｾﾞﾛﾃﾞｲ脆弱性+高度なｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞの複雑な組合せ）

20

大規模化DDoSCS

ｾﾞﾛﾃﾞｲ脆弱性

特殊な攻撃手法（SQLｲﾝｼﾞｪｸｼｮﾝ、DNSｷｬｯｼｭ 等）

SC

特殊なﾏﾙｳｪｱ（Conficker, Gumbler等）
巧妙な手法（ﾌｨｼﾝｸﾞ詐欺=ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ+ｻｲﾄ改ざん）

情報漏洩（Winny/Share、USBﾒﾓﾘ紛失、ﾒｰﾙ誤送信等）
主要ｻｲﾄ改ざん（脆弱性悪用）

ｻｲﾄ改ざん（特殊なﾏﾙｳｪｱ+ｻﾌﾟﾗｲﾁｪｰﾝ悪用）

旧来の攻撃（DDoS、ﾏﾙｳｪｱ、ﾊﾟｽﾜｰﾄﾞｸﾗｯｷﾝｸﾞ、ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ、脆弱性悪用等）
2000

2005

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

2010
16

情報の発信／交流の変化
高度なﾏﾙｳｪｱ（Stuxnet等）
高度・巧妙・持続的な手法
ミニブログ（ｲﾝﾀｰﾈｯﾄ及びｽﾏｰﾄﾌｫﾝを利（特殊なﾏﾙｳｪｱ+ｾﾞﾛﾃﾞｲ脆弱性

12

用する個人及び一部の組織・団体による+高度なｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞの情報発信／完全交流）
複雑な組合せ）

20

大規模化DDoS

ｾﾞﾛﾃﾞｲ脆弱性CS

SNS（ｲﾝﾀｰﾈｯﾄを利用する個人及び一部の組織・
特殊な攻撃手法（SQLｲﾝｼﾞｪｸｼｮﾝ、DNSｷｬｯｼｭ 等）
団体による情報発信／完全交流）

SC

特殊なﾏﾙｳｪｱ（Conficker, Gumbler等）
巧妙な手法（ﾌｨｼﾝｸﾞ詐欺=ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ+ｻｲﾄ改ざん）

ブログ（主にｲﾝﾀｰﾈｯﾄを利用する個人による情報発信／一部交流）
情報漏洩（非意図的）
主要ｻｲﾄ改ざん（脆弱性悪用）

ｻｲﾄ改ざん（特殊なﾏﾙｳｪｱ+ｻﾌﾟﾗｲﾁｪｰﾝ悪用）

Webサイト（主にｲﾝﾀｰﾈｯﾄを利用する組織・団体による情報発信／ほぼ交流なし）
旧来の攻撃（DDoS、ﾏﾙｳｪｱ、ﾊﾟｽﾜｰﾄﾞｸﾗｯｷﾝｸﾞ、ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ、脆弱性悪用等）
2000

2005

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

2010
17

情報発信量 ＝ 発信規模=

Webサイト
+ ブログ
=
+ SNS
+ ミニブログ×

組織・団体（ｲﾝﾀｰﾈｯﾄ）＋
個人と一部の組織・団体（ｲﾝﾀｰﾈｯﾄ）

組織・団体（ｲﾝﾀｰﾈｯﾄ）＋
個人と一部の組織・団体（ｲﾝﾀｰﾈｯﾄ）＋
個人と一部の組織・団体（ｲﾝﾀｰﾈｯﾄ+ｽﾏｰﾄﾌｫﾝ）

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

発信頻度
数日～1週間
数日～1週間

×

＋

12

組織・団体
（ｲﾝﾀｰﾈｯﾄ）＋
個人と一部の組織・団体（ｲﾝﾀｰﾈｯﾄ）

ほぼ毎日

20

Webサイト
+ ブログ
+ SNS

=

組織・団体
（ｲﾝﾀｰﾈｯﾄ）CS

Webサイト
+ ブログ

=

SC

Webサイト×

数日～1週間× ＋
ほぼ毎日＋ 1日数回

数日～1週間＋× ほぼ毎日＋ 1日数回＋ 数時間
18

国内のサイバー攻撃の動向変化（ここ数年）
高度なﾏﾙｳｪｱ（Stuxnet等）
高度・巧妙・持続的な手法

12（特殊なﾏﾙｳｪｱ+ｾﾞﾛﾃﾞｲ脆弱性+高度なｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞの複雑な組合せ）

20

大規模化DDoSCS

ｾﾞﾛﾃﾞｲ脆弱性

特殊な攻撃手法（SQLｲﾝｼﾞｪｸｼｮﾝ、DNSｷｬｯｼｭ 等）

SC

特殊なﾏﾙｳｪｱ（Conficker, Gumbler等）
巧妙な手法（ﾌｨｼﾝｸﾞ詐欺=ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ+ｻｲﾄ改ざん）

情報漏洩（Winny/Share、USBﾒﾓﾘ紛失、ﾒｰﾙ誤送信等）
ミニブログ（ｲﾝﾀｰﾈｯﾄ及びｽﾏｰﾄﾌｫﾝを利用する個人及び一部の組織・団体による主要ｻｲﾄ改ざん（脆弱性悪用）
ｻｲﾄ改ざん（特殊なﾏﾙｳｪｱ+ｻﾌﾟﾗｲﾁｪｰﾝ悪用）
情報発信／完全交流）

旧来の攻撃（DDoS、ﾏﾙｳｪｱ、ﾊﾟｽﾜｰﾄﾞｸﾗｯｷﾝｸﾞ、ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ、脆弱性悪用等）
2000

2005

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

2010
19

既存のセキュリティ対策の無力化
現場対応限界⇒（Stuxnet等）
経営的対応?
高度なﾏﾙｳｪｱ

高度・巧妙・持続的な手法

12（特殊なﾏﾙｳｪｱ+ｾﾞﾛﾃﾞｲ脆弱性+高度なｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞの複雑な組合せ）

20

ｴﾝｼﾞﾆｱ対応（現場対応）
大規模化DDoS
既存対策の無力化CS

ｾﾞﾛﾃﾞｲ脆弱性

特殊な攻撃手法（SQLｲﾝｼﾞｪｸｼｮﾝ、DNSｷｬｯｼｭ 等）

SC

特殊なﾏﾙｳｪｱ（Conficker, Gumbler等）
巧妙な手法（ﾌｨｼﾝｸﾞ詐欺=ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ+ｻｲﾄ改ざん）

情報漏洩（Winny/Share、USBﾒﾓﾘ紛失、ﾒｰﾙ誤送信等）
主要ｻｲﾄ改ざん（脆弱性悪用）
ｻｲﾄ改ざん（特殊なﾏﾙｳｪｱ+ｻﾌﾟﾗｲﾁｪｰﾝ悪用）
個人情報保護法による規制（経営的対応）
旧来の攻撃（DDoS、ﾏﾙｳｪｱ、ﾊﾟｽﾜｰﾄﾞｸﾗｯｷﾝｸﾞ、ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ、脆弱性悪用等）
ﾌﾟﾗｲﾊﾞｼｰﾏｰｸ／ISMS 認証取得（経営的対応）
2000

2005

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

2010
20

セキュリティ対策が後追いになる要因と効果を出さない対策（例）•

日本においてセキュリティ対策が後追いとなる要因
インシデントの発生と対応

通常のIT運用

経営層

IT部門

20

SC

 欧米のIT部門は、日本に比べてジョブアサイメント（業務割り振り）とジョブディスクリプション（業務内
容）が明確

•

発生インシデントへの認識不足と意思决定の機会喪失 インシデントの脅威
実情と動向の変化に気付きにくい 適切な対策レベルと適切な意思決定がされない

CS

IT部門における業務のアサイメン
ト、内容、達成レベルが曖昧

発生インシデントへの対応に関する認識と行動 「業務及び運用上の品質の維持」と認識
 想定業務や業務範
囲外の対応活動を許容↓

12

IT部門は、高いレベル業務クオー
リティ（品質）が求められ、かつ、それに努力～2010年： 現場で対処
2011年～： 現場で限界効果を出さない既存対策は、想定脅威が時代遅れ
組織(～2010年) 脅威変化 (2011年～)

非意図的な情報漏えい
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

攻撃者

組織
意図的な侵害行為
21

12
20
CS
SC

事例解説

2011年 日本における標的型攻撃ソニーグループ、三菱重工、衆議院

22

ソニーグループに対するサイバー攻撃（1）
2011年

アノニマス

Hotz氏による
PlayStation 3
改造方法
公開

ソニー技術
的措置・警告PlayStation3
機能削除
訴訟問題
（米国）

ソニーによる
Hotz氏ほか100名に対する法的措置

ソニーによる
法的措置
（ドイツ）

4月

ソニーによるPlayStation 3
不正ツール
公開サイトの閲覧IPアドレス
開示請求手続き（法的措置）ソニーと Hotz氏の和解

20

Hotz 氏によるPlaystation3
プロテクト解除

3月

CS

攻撃者

2月

SC

事象

1月

12

2010年

5月
ソニー
記者
会見

大規模侵害
（情報搾取）
攻撃

攻撃
宣言

DDoS
攻撃

ｿｰｼｬﾙｴﾝｼﾞ
ﾆｱﾘﾝｸﾞ攻撃

ソニーに対する
抗議の扇動

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

23

ソニーグループに対するサイバー攻撃（2）（2011年）6月
ソニー・ミュージック
（日本）

ソニー・ピクチャー
（日本）

20

12

ラルズセックCS

アイダハク

ソニー・エリクソン カナダ

SC（レバノンのハッカー
集団）

その他の攻撃者または特定の難しい主体7月

ソニー ・オンライン・
エンターテイメント
アメリカ

ソネット
（日本）

ソニー BMGベルギー

ソニー BMG オランダ

ソニー ヨーロッパ

ソニーBMG ポルトガル

ソニー タイ

ソニー・ピクチャー ロシア

ソニー・ミュージック
インドネシアソニー・ミュージック
ギリシャ

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

24

ソニーグループに対するサイバー攻撃（2）サイバーディフェンス研究所によるアナリストコメント

企業とハッカーのそれぞれの文化の違い––

事後における社会的要請レベルの向上と単独（自社）対処可能レベルの低下（双方の乖離の拡大）
–

–

–

–

CS

•

12

–

システムの安全性を高めるため情報をブラックボックスに閉じ込めて管理したい「企業」と、技術の進化はオープンな環境から生まれると考えている「ハッカー」の間には、大きな意識の隔たりがある。
ソーシャルメディアの重要性が増してきているが、オンラインでコミュニティを作り、価値を生み出してきたのはハッカーである。目的は違うが、ハッカーの試行錯誤の歴史から学べる点はいろいろある。
今日のインターネット技術は、ハッカーたちが産み出してきたものが多くある。その目的や考え方を学ぶことで、表層の現象だけでないレベルでインターネットを理解することができる。
インターネットは、もはや、ソニーという企業グループだけでなく、チュニジア等の一国の歴史を変えるほどの影響力を持ち、その影響力は相当大きなものがある。

20–

サイバー空間を利用したIT関連のサービスやプロダクト（製品）と、その情報処理等の増大により、システムが複雑
かつ大規模になる傾向にあり、インシデント発生時の規模が非常に大きくなる。しかし、サービス継続の観点で「インシデントを発生させない仕組み」に偏重することが多くなり、「インシデントが発生した場合の対処プロセス」に対する事前準備が不十分になりやすい。
ところが、世界各所で発生しているサイバーインシデントに対する懸念が高まる中、インシデント発生後における社会的な要請レベルが向上しているため、企業の経営層も、事後対応の仕組みの整備が急がれている雰囲気は感じ取っている。
しかしながら、企業における事後対応の仕組みや整備の実情としては、「現場任せ」のところが多く、経営層とIT管理やセキュリティ管理の部門と一体化になっていないのがほとんどである。このため、組織単独で対処可能な能力に一定の限界が出てくる。この理由は、サイバー空間で発生する事象に対する認識と判断基準が、経営層と現場のIT／セキュリティ部門では大きく異なり、解決に向けた対処プロセスに食い違いが出てくるためである。
今回のソニーの不正アクセスによる情報漏洩問題に関するさまざまな公表情報を見る限りでは、規模の拡大を続けるソニーが、社会的要請レベルの十分な認識と、それに見合う「インシデント発生後の対処能力」を実現可能とする
体制や対処準備がされていたとは言い難い。

SC•

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

25三菱重工に対するサイバー攻撃（1）① 標的型メール
送付

攻撃者がコントロール
可能なコンピュータ（サーバ）インターネット

日本航空宇宙工業会*

CS④ 標的型メール
送付

業務管理用
コンピュータ⑥ 外部に強制接続

20

攻撃者がコントロール③ 実際の電子可能なコンピュータ（PC）
メールメッセージを搾取

SC② ウィルス感染

12

特定されてい
ない攻撃者

メール
サーバ

プロキシ
サーバ

三菱重工

⑦ 外部からリアル
タイム操作

内部情報を盗み出す
タイプのウイルス

ウイルス
に感染し
ていない

⑤ ウィルス感染
一部に防衛品情報を格納

業務管理用
コンピュータ

防衛機密用コンピュータ接続されていない*日本航空宇宙工業会: 航空宇宙工業の健全な発展を図り、世界の航空宇宙産業の健全な発展に貢献することを目的とする民間公益団体
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

26三菱重工に対するサイバー攻撃（2）サイバーディフェンス研究所によるアナリストコメント
三菱重工業に対するサイバー攻撃について、注目すべき攻撃技術分析情報は、次の3つのマルウェア分析レポートである。
–
–
–

20

それぞれの発見されたマルウェアが「proxy.smw.mhi.co.jp」の DNSクエリを実行しようとしているが、次のサイトで確認する限り、このドメインは存在しているようである。

SC

CS

•

Sophos Troj/Derusbi-A (2011月9月21日)
http://www.sophos.com/en-us/threat-center/threat-analyses/viruses-and-spyware/Troj~Derusbi-A/detailed-analysis.aspx
Symantec Infostealer.Derusbi (2011年9月30日)
http://www.symantec.com/security_response/writeup.jsp?docid=2011-093012-0008-99&tabid=2
Dr.Web Trojan.DownLoader4.46395（公開日不明）
http://www.drwebhk.com/zh/virus_techinfo/Trojan.DownLoader4.46395.html

12•

http://www.robtex.com/dns/proxy.smw.mhi.co.jp.html#records（2012年3月20日11:55確認）••

このドメインは、インターネット上の Whois で公開されていなく、かつ、proxy（代理）という言葉を利用していることから、内部のローカルネットワークで利用されているものであると考えられる。
Dr.Web の分析では、このマルウェアは「proxy.smw.mhi.co.jp:12080」に接続を試みるとされている。
––•

12080ポートは、チェコ共和国に本社を置くAVAST Software a.s. が開発、販売するウィルス対策ソフト avast! antivirus において、
Webshield と呼ばれるWeb閲覧リアルタム監視で自動的に設定されるローカルプロキシとして設定されるポートである。
この他、Dwyco Video Conferencing, NetworkServer のアプリケーションでも使われているポートでもある。

Sophos の報告では、12080ポートで バックドア型HTTP プロキシとして機能するマルウェアが存在する。
–

Sophos Troj/Agent-E
http://www.sophos.com/en-us/threat-center/threat-analyses/viruses-and-spyware/Troj~Agent-E/detailed-analysis.aspx

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

27三菱重工に対するサイバー攻撃（3）サイバーディフェンス研究所によるアナリストコメント

社内の部署の有機的な連携について

外部からの積極的なサイバー攻撃対処に関する取り組みについて
–
–
–

•

三菱重工の説明では、インシデントを発生させないという文脈の取り組みが多く見られるが、インシデントが発生した後の取り組みに関するものがほとんどみられない。
サイバー攻撃への取り組みとしては、従業員の不可抗力によるウィルス感染に対する対策と読み取れるものしかない状況である。
最近は、攻撃者による積極的なサイバー攻撃が多発しており、従業員が意識をしていても、 「不可抗力によるウィルス感染の防止策」だけでは継続的かつ巧妙に仕掛けられるサイバー攻撃に対しては無力になることがほとんどである。

CS

•

12

–

三菱重工の説明では、情報セキュリティ確保は「IT推進部」と「総務部」が中心となって全社的に体制をもって取り組んでいることになっている。
しかし、情報通信技術は、事業プロセスに深く入り込んでいるため、インフラ及びサポートの役割を担う「IT推進部」と「総務部」
がどこまで、事業推進を担う「事業関連部門」に対して、セキュリティ確保にかかる強い影響力を行使できていたかについて注
目すべき。

20

–

SC

•

インシデント対応能力について––

2011年5月下旬にサイバー攻撃を受けた米国軍事産業企業ロッキード・マーチンは、その直後の声明において、「社内の情報
セキュリティ部門が攻撃開始とほぼ同時に、情報システムとデータを保護するための “積極的な行動” を取り、速やかに対応したため、被害はなかった」としている。つまり、ロッキード・マーチン社内の部署のインシデント対応能力は高いレベルにあったことを示唆している。
しかし、2011年8月の三菱重工の場合は、サイバー攻撃発生後、声明を出すことなく、外部のセキュリティ会社や警察と相談というプロセスをとったところを鑑みると、社内のインシデント対応能力は十分でなかった可能性がある。

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

28

衆議院に対するサイバー攻撃

特定されていない攻撃者

攻撃者がコントロール
可能なコンピュータ（サーバ）12

攻撃者がコントロール
可能なコンピュータ（PC）⑤ ID及びパス
ワード等を搾取④ 外部に強制接続（中国
接続（中国の
サービス）
のサーバ）

SC

メール
サーバ

⑥ 「トロイの木馬」
ウィルスを設置

CS①「トロイの木馬」
ウィルス添付の標的型メール

20

インターネット衆議院⑦ ウィルスが感染
拡大

議員用PC② ウィルス感染③ ウィルス
感染

議員用PC

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

後援会、献金者名簿、帳簿、議会事務資料を保存

29

12
20
CS
SC

事例解説

2011年8月 韓国LG U+ モバイルネットワークの障害

30

事象発生
2011年8月2日、韓国 LG U+ の 3G モバイルネットワークにおいて、一時的なネットワーク
障害が発生した。

12•

LG U+ （旧 LG テレコム）は、韓国LGグループにおけるモバイルフォンオペレーター会社––•

民間で 最初に3G サービスを開始したことで有名
モバイルバンキングサービスを提供する BankOn を推進

SC

•

CS

20

https://twitter.com/#!/LGUplus/status/98200868263952384（3G網過負荷で一時的にネットワーク接続が困難な状況です。
早急な問題解決のために努力します。 ）2011年4月に発生した韓国農協（金融業務）に対する大規模なサイバー攻撃に、北朝鮮が関与したと見られたため、幾つかの国の政府機関や情報機関が強い関心を示し、関連情報の提供の要請があった。

「韓国LG U+ におけるネットワーク障害」の事象解明と安全保障上の脅威との関連性の分析要請
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

31

情報収集（1）•

LGユープラス、不通にも株価は “黙々”（2011.08.02 15:18）
http://finance.joinsmsn.com/news_stock/article/article.asp?ctg=1103&Total_ID=5889314

SC

CS

20

12

–

– 「LGユープラスは、・・・午前8時前後で3Gデータ網が不通になり​、​ 午後3時現在70％ほど回復したと発表した。・・・」– 「LGユープラスは、”サービスの不通で不便を経験した利用者の条件に応じて適切な被害補償が提供されるだろう“と明らかにした。 LGユープラスの条件は、3時間以上の障害が発生した場合の補償をするようになっている。」

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

32

情報収集（2）•LG U +、不通7時間 “原因不明”...再発の可能性を示唆（2011.08.02 15:42）
http://ddaily.co.kr/news/news_view.php?uid=80896

SC

CS

20

12

–

– 「LGユープラスよると、午前8時からロングタームエボリューション（LTE）を除く全国の移動通信ネットワークが不通だ。」– 「70％の回復は、10回のデータの通信の試行中に7回は接続されている状態というのがLGユープラスの説明だ。」– 「LGユープラス関係者は“データのトラフィックが急に通常の5倍に増加したため、ネット
ワーク障害が発生した。回復は進行中だ。 しかし、なぜ、データトラフィックが5倍になったのかは把握できていない"と述べた。」
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

33

情報収集（3）•

焦るLGユープラス、LTEは"温い"2Gは"不通”（2011.08.02 18:22）
http://www.asiatoday.co.kr/news/view.asp?seq=510278

CS

20

12

–

SC

– 「先月1日、業界1位の飛躍を叫んで商用化を開始した第4世代（4G）移動通信のロン
グタームエボリューション（LTE）までの市場での生ぬるい反応を得ており、大きな悩みに陷った。」– 「最も影響を及ぼす可能性は機器の老朽化に応じて、携帯電話網（MSC）が正常に動作しないことができなかったはずだという推測だ。 LGユープラスがLTEにだけ神経を使うため2G網の設備投資不足で装置の改​​善に怠ったという指摘だ。 」– 「LGユープラスは、1.8㎓帯で2Gのサービスの運用中には、計7つの周波数チャネル（FA）を使い、そのうち4つのFAは、音声用に使っていて、残りの3つのFAはデータ専用に使っている。 このうち、データ専用で使っている3つのFAで過負荷が発生し、すべてのデータサービスが中断されたという説明だ。」
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

34

情報収集（4）•

LGユープラス不通の事態は、トラフィックの急増比不良が原因…類似事故対策
急ぐ（2011.08.03）
http://www.etnews.com/news/detail.html?id=201108030143

CS

20

12

–

SC

– 「LGユープラスは、前日のデータ通信網不通の事態は、午前8時頃、約5分間、通常
20万〜30万件に比べて5倍の140万〜150万着信の試みが続いたためだと発表した。」– 「LGユープラスは、大規模なトラフィックを誘発する主要なサイトは継続的に監視するが、前日、障害発生の原因となったサイトでは管理の範囲に含まれていないため、対応していないと説明した。 現在のところ、悪意のある攻撃の可能性は低いとLGユープ
ラスは明らかにした。」– 「これによりLGユープラスは、スマートフォンアプリが基地局と頻繁に交信して発生させるトラフィック（Keep Alive Message）を制御するための対策を用意する計画だ。」
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

35

情報収集（5）•

LGユープラスの不通は'グーグル'だ（2011.08.15）
http://news.mk.co.kr/v3/view.php?sc=30000001&cm=%C7%EC%B5%E5%B6%F3%C0%CE&year=2011&no=528806&selFlag=&relatedcode=000060051&wonNo=527583&sID=300

SC

CS

20

12

–

– 「LGユープラスの基地局に接続され、Googleのサーバーが一時的にダウンしたため発生した。 LGユープラスは、Googleに公式文書を送って抗議したが、Googleは、“事業者を差別しない”という原論的な立場を明らかにしたものが知られて論難が予想される。」– 「Googleのサーバは、100万台を超えるほどに多いが、この日、ダウンしたサーバーは
特にLGユープラスのAndroidスマートフォンの基地局に多数の接続されていたと推定される。 」
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

36

情報収集（6）•

LGユープラス2日のデータ不通の原因は…グーグル、地図サービス遮断措置理由（2011.08.17）
http://news.hankooki.com/lpage/economy/201108/h2011081702350621540.htm

SC

CS

20

12

–

– 「状況から、Googleがこのような措置を取った背景には、独島の表記をきちんとしていない、Googleに対するネチズンの攻撃があった蓋然性が高いと思われる。 」– 「16日、関連業界によると、LGユープラスで内部調査をした結果、Googleのモバイル
Googleマップサービスへのアクセス遮断が不通の事態につながったことが確認された。」– 「グーグルコリアの関係者は"国際的に独島は紛争地域なので混乱の素地を作るために、意図的に地図サービスで削除した"とし"この問題で、ネチズンたちの世論が良くなかったことを知っていた"と説明した。」
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

37

SC

CS

20

12

事象のまとめ（1）Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

38

SC

CS

20

12

事象のまとめ（2）Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

39

SC

CS

20

12

事象のまとめ（3）Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

40

関連情報（1）2011年7月19日、外交通商部は21日からインドネシア、バリで開かれるＡＳＥＡＮ
地域安保フォーラム(ARF)で日本の独島（ドクト、日本名：竹島）挑発問題を必ず確かめると明らかにした。

SC

CS

20

12

•

http://www.newsis.com/article/print.htm?ar_id=NISX20110719_0008714357&type=1

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

41

関連情報（2）2011年8月1日、韓国政府は竹島（韓国名：独島）に近い韓国の鬱陵島を視察しようとした自民党の新藤義孝衆議院議員ら議員3人の入局を拒否した。新藤議員
らは9時間ほど金浦空港で待機しながら韓国側の説明を求めたが、入国の目途が立たず、夜の最終便で帰国した。
（以下は、韓国のメディアが報道した関連画像）

SC

CS

20

12

•

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

42

関連情報（3）
事象発生の前夜（2011年8月1日）、Twitter において、スマートフォンの Google
Map において、独島が竹島と表記されていることを伝えるメッセージが、膨大にリツイートされる。

12

•

SC

CS

20

“グーグル地図に独島が再び竹岛（竹島）と表記されますね”

竹島と表記されている

http://twitaddons.com/pic/detail.php?id=8268237
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

43

関連情報（4）•現在（2011年10月10日）の Google Map 検索結果を確認すると「Dokdo-ri」と
なっている

CS

リアンクールロック（Liancourt
Rocks）という表記になっている（1952年以来、日本と韓国が領有権を争っている。【語源】1849年にこの島を発見して欧米に紹介したフランス捕鯨船の名称Liancourtから。 ）SC

Dokdo-ri（独島）という表記になっている20

12

竹島（韓国名:独島）内の地名が消えている

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

44

事象分析
•

関連するオープンソース情報を統合し、評価及び分析

CS

20

12

– 2011年7月中旬から8月1日までの間、韓国において、「日本と韓国における領土問題（日本名:竹島、韓国名:独島）の盛り上がりが、これまでにない程大規模なものとなっていった。
– 2011年8月1日、スマートフォンの Google マップにおいて、領土問題の対象（日本名:
竹島、韓国名:独島）が韓国において認められていないものになっていることに対する反感は、異常なものとなった– 過去に発生した韓国を発信源とする大規模なサイバー攻撃（特に、2009年7月及び2011年3月のDDoS攻撃）を鑑みると、「Google Map に対するDDoS攻撃の発生の可能性は十分に考えられ、その規模は大となる恐れがある」と評価でき、米国企業である Google はそれを予見できたと考えるのが自然である。

SC「韓国LG U+ におけるネットワーク障害」は、2011年7月中旬から8月1日までの韓国における「日本と韓国の間の領土問題」の高まりを起因とし、スマートフォンの地図サービスにおいて「竹島」と表記をしていた Google に対するサイバー攻撃の機運を予見したGoogle 社の対応が、韓国 LG U+ のネットワーク系の障害を与える結果となったと分析できる。

日本でも、韓国における領土問題の高まり時に、国内事業者のインターネットサービスのコ
ンテンツ中に「竹島」が表記されている場合、何かしらのサイバー攻撃を受ける可能性が十分に考えられる
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

45

12
20
CS
SC

事例解説

2011年-2012年 ANDROID ﾓﾊﾞｲﾙ用犯罪ｱﾌﾟﾘ（ZITMO）

46

ZITMO とは•ZITMO とは
– Zeus In The MObile： Android モバイルをターゲットにした、情報搾取が目的のトロイの木
馬型マルウェア
– PCからモバイルにターゲットを広げた ZueS の亜種であり、Zeusとは、主に金融機関の顧客のPCをターゲットにし、金融機関の認証情報を搾取を目的とし、結果としてインターネット上の電子取引から不正に利益を得ることを可能にしたトロイの木馬型マルウェ
ア

12

•

ZITMO の目的

CS

•

20

– 2011年2月、ポーランド国内銀行の Android モバイルフォンを利用した顧客に影響を与えた
新しい脅威として認識される。

•

SC– 多くの銀行が、モバイルデバイス向けの新しいセキュリティ対策として、モバイルを通じた取り引きを行う際、2要素認証として m-TAN（Mobile Transaction Authentication Number）を
SMS 経由で送信している認証情報を第三者に送信させる。

ZITMOの特性（2011年7月時点の分析）– すべてのSMSメッセージを傍受し、第三者に対する送信に、暗号化されず、難読化もされていない（高度なマルウェアではない）– SMS傍受したメッセージをフィルタしていないため、特定の銀行を狙ったものではない。（単なるSMSスパイウェアと呼ばれることもある）– 第三者の意図による、アドホックな SMSメッセージ盗聴やURL変更等のメカニズムがないた
め、（Zeusに比べると機能不十分）

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

47

m-TAN の説明• 日本銀行による m-TAN の説明

SC

CS

20

12

③ 必要の都度別の通信経路で連絡するタイプ
取引の都度、インターネットとは別の通信経路で、
リアルタイムにパスワードが送られてくる方法等である。代表的なものとしては、あらかじめ登録されている携帯電話のSMS（ショートメッセージサービス）等にパスワードが送られてくるmobile-TAN等がある。インターネット以外に別の通信経路を使っているため、「二経路認証」にもなっている。
なお、ワンタイムパスワードではないが、携帯電話を使った他のセキュリティ対策としては、携帯電話自体を認証トークンとして位置付け、取引の際に携帯電話にコールバックを行い、通常のパスワードを携帯電話経由で送信することによって認証するタイプのものや、予め携帯電話によって口座のロックを解除する連絡をしないと資金移動が出来なくするといった方法も存在する。

インターネットバンキングの安全性を巡る現状と課題（日本銀行 2006年7月）
http://www.boj.or.jp/research/wps_rev/rev_2006/data/rev06j14.pdf

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

48

ZITMO の展開プロセス

20

スマートフォンの種類と電話番号

CS

3. 攻撃者が、2. で得た情報を元に、被害者のスマートフォンに対して悪意のあるSMS
メッセージを送付し、ZITMO をインストールさせる。

（ログインプロセス）

正規サイト

正規サイト
コンテンツ

改竄サイト
コンテンツ

SC

2. インストールされたマ
ルウェアが、閲覧している正規の銀行サイ
トのログインの一部プ
ロセスを改ざんし、スマートフォンの種類や電話番号を攻撃者に通知させる。

12

1. 攻撃者が、ドライブバ
イダウンロードなどの手法によりPCにマル
ウェアをインストールする。

3. 攻撃者が、被害者のスマートフォンに着信したSMSメッセージを不正に入手。
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

49

ZITMO の事例（1）2011年7月、アンドロイドフォンをターゲットにした ZITMOが発見される。
1. フィッシング詐欺目的で送付された SMS
メッセージ中の URL をクリックすると、次のようなサイトにアクセスする。

CS

20

2. http://*************.com/tr.apk からセキュリティソフトと見せかけた、不正なアプリ（ZITMO）を、アンドロイドフォンにダウンロードさせる。

1.

12

•

2.

SC

3. アンドロイドフォンにインストールされた
ZITMO は、受信したSMSメッセージをhttp://******rifty.com/security.jsp に送信する。

• 送信フォーマットは、次のとおり。
f0={SMS_sender_number}&b0={SMS_text}&pid={infected_device_ID}

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

3.

• サイズ： 19KB
• アンドロイドマーケッ
トから削除されているが、他のミラーサイトで公開中。
50

ZITMO の事例（2）2011年3月11日時点で公開されている ZITMO アプリ

CS

20

12

•

http://www.androidzoom.com/android_applications/tools/trustmobile_bbvkl.html

本物の Trusteer のサイト

SC•

http://www.trusteer.com/product/trusteer-rapport
Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

51

ZITMO に関する報告
McAfee による報告

SC

CS

20

That month, a cybercrime group also
released Zitmo (Zeus in the Mobile), a Zeus
plug-in that monitors SMS messages thathave been sent to banks in order tovalidate money transactions committed byclients.
（2011年9月、サイバー犯罪グループが銀行からの SNS メッセージを搾取する Zeus
プラグインとなる Zitmo を公開した。）

12

M86 Security Lab による報告

http://www.m86security.com/documents/pdfs/secu
rity_labs/m86_security_labs_predictions_2012.pdf

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

In 2010, the Zitmo Trojan for Android
mounted a successful attack on dual
authentication. Zitmo, “Zeus in the Mobile,”
is an extension of the PC-based Zeus
banking-Trojan family.
（2010年、アンドロイド向けの Zitmo トロイの木馬が、2要素認証に対する攻撃を成功させた。Zitmo とは、PCベースのZeus 銀行をターゲットにしたトロイの木馬と同じ種類）

http://www.mcafee.com/us/resources/rep
orts/rp-securing-mobile-devices.pdf
52

12
20
CS
SC

トピック 3

今後の組織に求められる防衛策のポイント

53

防衛策の「現実的な策定」をするためのポイント（1）• サイバー空間における脅威を適切に把握すること

12– 一般メディア等が発信する情報を鵜呑みにしない– オジリナル・レポーター（Original Reporter）が発信する情報を追求する

情報量10%を把握

情報量80%
を把握

SC

CS

20

情報量50%を把握

ｵﾘｼﾞﾅﾙ・ﾚﾎﾟｰﾀｰ（CSIRT）

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

メディア• 双方向のやり取り• 信頼関係• 協調活動企業（CSIRT）
情報量60%を把握

54

防衛策の「現実的な策定」をするためのポイント（2）• サイバー空間における動向情報を積極的に収集すること
インターネット（グローバル）他のネットワーク12

攻撃者ｺﾐｭﾆﾃｨ

CS

20

他のネットワーク

ﾌｧｰｽﾄﾚｽﾎﾟﾝﾀﾞｰ

SC

専門家ｺﾐｭﾆﾃｨ

既知の攻撃情報及び対処技術の把握のみに限られる。

ﾘｻｰﾁｬｰ・ｱﾅﾘｽﾄ

ファイアウォール
内部ﾈｯﾄﾜｰｸ

社内端末による情報収集

内部ﾈｯﾄﾜｰｸ
内部ﾈｯﾄﾜｰｸ

法執行機関（捜査機関）

セキュリティ対策部門
さまざまなサイバー攻撃に関する情報を収集。特に、今後、日本（自社）に到達する可能性のある攻撃情報
や対処技術等の動向を事前に把握。

セキュリティカンファレンス（国内及び海外）参加

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

社内ネットワーク55

防衛策の「現実的な策定」をするためのポイント（3）• ある程度の攻撃の仕組みを理解し、その攻撃経路における適切なセキュリティ対策を実装すること

20

12– サイバー攻撃を「静的な絵」として理解するのではなく、組織全般に渡る＆時間の流れのある「動的ストーリー」として理解することが必要– 主要な（攻撃）経路ポイントにおけるセキュリティ対策の要否及びレベルの設定には、業務慣習や部署風土も考慮することが必要

SC

インターネットCS

ｻｰﾊﾞｾｷｭﾘﾃｨ①
ﾈｯﾄﾜｰｸ
ｾｷｭﾘﾃｨ

USBﾒﾓﾘｾｷｭﾘﾃｨ

③②④

ｸﾗｲｱﾝﾄｾｷｭﾘﾃｨ

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

56

防衛策の「現実的な策定」をするためのポイント（4）• サイバー脅威に対して、メリハリのついた対策 を検討し、実装及び確実な運用をすること。

SC

CS

20

12

– 日本国内の対策は、「防御策（Protect）に偏重」しているため、いたずらにコストがかかってしまう状況が見られる。
– 最近のサイバー防衛策におけるベストプラクティス（最善策）は、対処策（Respond）である。（最低限のリスクを受容し、実質的な被害を発生させないことで、結果的に有効な防衛策となる。）– 基本的な対策コンセプトは、次の4つのとおり。

VictimVictim

回避策（Prevent）

Victim
防御策（Protect）

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

Victim
対処策（Respond）

復旧策（Recovery）
57

本資料に関する連絡先

名和 利男（Toshio NAWA）

20

SC

CS

Email: nawa@cyberdefense.jp
SNS: about.me/nawa
Tel: 03-3424-8700

12

サイバーディフェンス研究所
情報分析部／CDI-CIRT

Office: www.cyberdefense.jp
Response Team: www.cirt.jp

Copyright © 2012 Cyber Defense Institute, Inc. All rights reserved.

58