サイバー空間の脅威の現状とJC3の主な取組～ 官民学の情報共有と新たな対策に向けて ～2024年7月
日本サイバー犯罪対策センター（JC3） 櫻澤健一
info@jc3.or.jp

JC3 日本サイバー犯罪対策センターの概要© JC3 All Rights Reserved.

CONFIDENTIAL

2JC3の組織概要
法人名今秋が10周年です！

 一般財団法人日本サイバー犯罪対策センター（英語名：Japan Cybercrime Control Center） ※2014年11月13日に業務開始
創設の背景 サイバー空間の脅威が深刻化する中、個別具体の脅威に対して、事後的に防護措置を講ずる受け身の対応→サイバー空間全体を俯瞰し、産学官(警察)それぞれが持つサイバー空間の脅威への対処経験を集約・分析した情報を組織内外で共有し、サイバー空間の脅威を特定、軽減及び無効化するための活動に貢献する。
警察庁の有識者会議等を経て、「世界一安全な日本」創造戦略（平成25年12月閣議決定）でも言及～米国のモデル～ＮＣＦＴＡ=National Cyber-Forensics & Training Alliance
米国ではサイバー空間における脅威への対処を目的とした非営利法人としてＮＣ
ＦＴＡを創設。2002年以降、FBIをはじめとする法執行機関、大学等の学術機関及び200以上の民間企業との連携組織として活動しており、迅速な情報収集、50人以上のアナリストによる情報分析、情報に基づく迅速な捜査等を遂行するためのトレーニングを提供している。
© JC3 All Rights Reserved.

JC3 御賛同いただいている企業・機関・研究者の方々①

正会員等

特定会員

※：親子会社特例制度利用企業

賛同会員

賛助会員

（敬称略）

1. 株式会社あおぞら銀行
22.株式会社日立製作所
1. ｱﾌﾗｯｸ生命保険株式会社
2. 株式会社ｲｵﾝ銀行
23.株式会社bitFlyer
2. Auﾌｨﾅﾝｼｬﾙﾎｰﾙﾃﾞｨﾝｸﾞｽ株式会社
3. 株式会社NTTﾄﾞｺﾓ
24.富士通株式会社
3. SBIﾎｰﾙﾃﾞｨﾝｸﾞｽ株式会社
4. Gftd Japan株式会社
25.株式会社みずほ銀行
4. 株式会社SBI証券※
26.株式会社三井住友ﾌｨﾅﾝｼｬﾙｸﾞﾙｰﾌﾟ 5. KDDI株式会社
5. SBI EVERSPIN株式会社※
27.SMBCｺﾝｼｭｰﾏｰﾌｧｲﾅﾝｽ株式会社※ 6. KELA株式会社
6. NRIｾｷｭｱﾃｸﾉﾛｼﾞｰｽﾞ株式会社
7. 株式会社 ｾﾌﾞﾝ&ｱｲ・ﾎｰﾙﾃﾞｨﾝｸﾞｽ
28.株式会社日本総合研究所※
7. 株式会社NTTﾃﾞｰﾀ
8. SocioFuture株式会社
8. 株式会社NTTﾃﾞｰﾀﾌｨﾅﾝｼｬﾙﾃｸﾉﾛｼﾞｰ※ 29.株式会社三井住友銀行※
9. ｿﾌﾄﾊﾞﾝｸ株式会社
9. 株式会社SBI新生銀行
30.三井住友信託銀行
10.Chainalysis Japan株式会社
10.株式会社ｱﾌﾟﾗｽ※
31.株式会社三菱UFJ銀行
11.日本マイクロソフト株式会社
11.新生ﾌｨﾅﾝｼｬﾙ株式会社※
32.株式会社ﾒﾙｶﾘ
12.株式会社ふくおかﾌｨﾅﾝｼｬﾙｸﾞﾙｰﾌﾟ
33.株式会社ﾒﾙﾍﾟｲ※
12.株式会社ｼﾞｪｰｼｰﾋﾞｰ
13.PayPay株式会社
34.株式会社ゆうちょ銀行
13.ｾｺﾑ株式会社
14.PayPay銀行株式会社
35.LINEﾔﾌｰ株式会社
14.株式会社セブン銀行
15.株式会社ﾐｽﾐｸﾞﾙｰﾌﾟ本社
36.LINE Pay株式会社※
15.株式会社ACSiON※
16.株式会社横浜銀行
16.株式会社ｿﾘﾄﾝｼｽﾃﾑｽﾞ
37.株式会社ﾗｯｸ
17.ﾃﾞﾛｲﾄ ﾄｰﾏﾂ ｻｲﾊﾞｰ合同会社
38.株式会社ﾘｸﾙｰﾄ◆ トライアル ５社
39.株式会社りそなﾎｰﾙﾃﾞｨﾝｸﾞｽ
18.ﾄﾚﾝﾄﾞﾏｲｸﾛ株式会社
19.日本電気株式会社
20.日本ｱｲ･ﾋﾞｰ･ｴﾑ株式会社
 警察庁
 東京都立大学
21.野村ホールディングス株式会社
 情報ｾｷｭﾘﾃｨ大学院大学  東京電機大学© JC3 All Rights Reserved.

4

JC3 御賛同いただいている企業・機関・研究者の方々②
1.株式会社アーティサン
2.ｱｸｾﾝﾁｭｱ株式会社
3.株式会社一休
4.EY新日本有限責任監査法人
5.S＆J株式会社
6.NECセキュリティ株式会社
7.株式会社FFRI
8.グーグル合同会社
9.KDDIデジタルセキュリティ株式会社
10.株式会社KPMG FAS
11.高速道路トールテクノロジー株式会社
12.株式会社ｻｲﾊﾞｰﾃﾞｨﾌｪﾝｽ研究所
13.さくらｲﾝﾀｰﾈｯﾄ株式会社
14.ｻﾝ電子株式会社
15.株式会社JTB
16.ｼｽｺｼｽﾃﾑｽﾞ合同会社
17.Splunk Services Japan合同会社
18.Sky株式会社
19.住信SBIﾈｯﾄ銀行株式会社
20.全日本空輸株式会社© JC3 All Rights Reserved.

正会員等

特定会員

※：親子会社特例制度利用企業

21.綜合警備保障株式会社
22.株式会社ソフトプレックス
23.損害保険ジャパン株式会社
24.ﾃﾞｼﾞﾀﾙﾎｰﾙﾃﾞｨﾝｸﾞｽ株式会社
25.東京海上日動火災保険株式会社
26.TOPPANﾎｰﾙﾃﾞｨﾝｸﾞｽ株式会社
27.ﾈｯﾄﾜﾝｼｽﾃﾑｽﾞ株式会社
28.BBｿﾌﾄｻｰﾋﾞｽ株式会社
29.PwCｺﾝｻﾙﾃｨﾝｸﾞ合同会社
30.ﾌｫｰﾃｨﾈｯﾄｼﾞｬﾊﾟﾝ合同会社
31.BLACKPANDA JAPAN株式会社
32.株式会社マキナレコード
33.三井住友海上火災保険株式会社
34.三井物産ｾｷｭｱﾃﾞｨﾚｸｼｮﾝ株式会社
35.株式会社三越伊勢丹ｼｽﾃﾑ･ｿﾘｭｰｼｮﾝｽﾞ
36.三菱ＵＦＪﾆｺｽ株式会社
37.Musarubra Japan株式会社
38.株式会社ﾚｲ･ｲｰｼﾞｽ･ｼﾞｬﾊﾟﾝ

5

賛同会員

賛助会員

（敬称略）

JC3と官（法執行機関）、民（産業界）、学術機関の連携
産業界と警察との相互理解を深めるための双方向コミュニケーション

対策に向けた情報共有・分析
金融犯罪対策グループ
不正送金情報分析PJ、ﾃｸﾆｶﾙｻﾎﾟｰﾄ詐欺PJ、ﾓﾊﾞｲﾙ事犯PJ
ｅコマース対策グループ
悪質サイト対策PJ、不正トラベルPJ
情報流出対策グループ
ﾗﾝｻﾑｳｪｱ攻撃実態解明PJ

国際連携対策の基盤となる活動

脅威情報グループ
DB改善、暗号資産、ｿｰｼｬﾙｴﾝｼﾞﾆｱﾘﾝｸﾞ
マルウェア解析グループ
国際連携グループ研究・研修グループ© JC3 All Rights Reserved.

法執行機関向け研修事業
 法執行機関のサイバー脅威への対処能力向上支援を目的に、各種トレーニングプログラムを提供
 ログ解析研修（基礎編、サイバー攻撃編）、暗号資産研修、CTF支援、クラウドフォレンジック研修について実施しながら、更なる高度な研修を開発中
 サイバーパトロール支援システムの提供© JC3 All Rights Reserved.

7

国際連携（米国NCFTAのフォーラムに参加）
4月22日（月）から25日（木）、米国ピッツバーグにて開催予定
クローズドの会合に、昨年は９００名以上が参加！
テーマは＃DISRUPTION※ 米国サイバーセキュリティ戦略には、「NCFTAと連携し、 脅威アクターを混乱（Disrupt）させ、破壊（Dismantle）する」との記述」あり

JC3メンバーは、NCFTA本部訪問やNYオフィスでの米国会員企業の皆様との会合も計画しています

JC3メンバーによるプレゼンテーション© JC3 All Rights Reserved.

ライトニング トークにて

G7茨城水戸 内務・安全担当大臣会合への参加
セッション２：サイバー空間の安全確保
・本セッションでは、冒頭、日本サイバー犯罪対策センター（ＪＣ３）の堺代表理事から、我が国のサイバー空間をめぐる情勢やＪＣ３の取組について説明がありました。
・これを受けて、ランサムウェアやフィッシング、国家を背景とするサイバー攻撃といったサイバー空間上の脅威への対処について議論しました。
・松村国家公安委員会委員長からは、ランサムウェアやフィッシング等の被害防止に向けた官民連携の取組を紹介したほか、国境を越えるサイバー事案に対処するため、警察庁のサイバー特別捜査隊を中心にＧ７各国の捜査機関と国際共同捜
査を推進している旨の発言があり、国際連携の必要性について確認しました。
・各国からも企業を含めた国際社会の取組や、国際的な捜査協力の推進の必要性に関し活発な発言があり、Ｇ７として、捜査能力の向上を図りながら、サイバー事案の厳正な取締りや実態解明、官民連携等を推進していくことを確認しました。

https://www.npa.go.jp/bureau/soumu/kokusai/20231210_G7ISMM_
communique_principal.pdf© JC3 All Rights Reserved.

9

サイバー空間からの攻撃や犯罪～ありとあらゆる方法で、個人情報・資産と安全が狙われている！～
JC3の活動からわかること

・フィッシングによる情報窃取と詐欺・ランサムウェア攻撃
・偽ショッピングサイト
・テクニカルサポート詐欺
・標的型APT攻撃
等© JC3 All Rights Reserved.

CONFIDENTIAL

10情報窃取の裏側にあるフィッシング ～ インターネットバンキングの不正送金も激増 ～ フィッシング(Phishing)による不正送金

貴方の個人情報が狙われている！

 発生件数・被害額

フィッシングメール/SMS

JC３会員企業・警察の連携により減少するも、反転・急増
9,000
8,500
8,000
7,500
7,000
6,500
6,000
5,500
5,000
4,500
4,000
3,500
3,000
2,500
2,000
1,500
1,000
500
0

アクセス
ID,
Passwordの入力

フィッシングサイト（偽物）ID,
Passwordの悪用

利用者
正規サイト（本物）2013 14

15

16

17

発生件数（件）

18

19

20

21

22

2023年は、件数、被害額とも過去最高を大幅に上回り23

約87億円

被害額（百万円）

引用元：令和５年におけるサイバー空間をめぐる脅威の情勢等について（警察庁）ほか© JC3 All Rights Reserved.

11

不正送金

フィッシングターゲットの拡大・変遷により多くの個人情報が漏洩フィッシングによる被害
クレジットカード情報を窃取するフィッシングサイトが多数存在
不正クレジットカード利用も！
• 不正購入 →（配送）→ 換金

過去最多の年間540億円に！

• 各種決済サービスに紐づけ億円

クレジットカード不正利用被害額

2020年上期
2022年
2023年上期

600
500

番号盗用

偽造カード

その他

件

1,400,000

400

引用元：フィッシング対策協議会

1,200,000

300

1,000,000
800,000

200

600,000
400,000

100
0

フィッシング報告件数

200,000
02014 2015 2016 2017 2018 2019 2020 2021 2022 2023

引用元：（一社）日本クレジット協会© JC3 All Rights Reserved.

122017 2018 2019 2020 2021 2022 2023

見分けられない実際のフィッシングサイト（ホームページやメディアを通じての注意喚起）© JC3 All Rights Reserved.

13

SMSから始まるフィッシング被害（モバイルマルウェア）
 スマートフォンを標的としたマルウェアの観測例
配送業者等を騙ったメッセージ【重要なお知らせ】必ずご確認下さい。
https://****.***/*******①スミッシング

インストールを許可すると- フィッシングサイトへ誘導され、端末内の情報等が窃取される- 攻撃のC2サーバと通信して、コマンドを受け付ける- スミッシングメッセージを他の端末に配信する
etc...

③ iPhoneの場合
ブラウザ
フィッシングサイトへ（架空請求等） アップデートを装った②リンク先へアクセス

偽サイト③ Android端末の場合
不正アプリのダウンロード
 MoqHao(XLoader) KeepSpy• JC3が観測し、携帯事業者へ提供• 危険SMS拒否設定によりブロック• 端末上で隔離する安心アプリも配信基盤化①‘スミッシング

SMS④C2サーバからの指令 C2 Server© JC3 All Rights Reserved.

携帯電話会社から
新たな対策もトビラシステムズ様のサイトより
14

NTTドコモ様のサイトより

主要サイトの変化(KeepSpy) （2023年9月～11月）「イオン銀行」お客様の口座を一時凍結しています、下記をご確認ください。
https://Cdk2Y[.]aosdwieieh[.]com【重要なお知らせ】NTTドコモ未払い料
金お支払いのお願い。
https://5wbe90q[.]duckdns[.
]org「三菱UFJ銀行」お知らせ、お客様の銀行口座の取引における重要な確認について。
https://mufgce[.]com【au】お知らせをご覧いただき、ご確認ください。
https://t[.]co/GXfJDnzO
X6「イオン*銀行」お客様の口座を一時凍結しています。
https://aeonztn[.]github[.
]io【イオン銀行】お客様の銀行口座の取引における重要な確認について。下記URLで検証お願いします。
https://aeondxa[.]com【重要】三菱UFJ銀行お知らせ、お客様の銀行取引を一時的に規制しています、利用再開手続きが必要です。
https://mufgya[.]com【SoftBank】お知らせをご覧いた
だき、ご確認ください。
https://t[.]co/YAkQM6zd
m5

9月4日
Ｚ

9月29日
Ｚ

10月22
日
Ｚ

© JC3 All Rights Reserved.

15
15

11月28
日
Ｚ

不正送金が「暗号資産」に流入している
 暗号資産交換業者への送信金額が不正送金の半数を占める

暗号資産における不正送金の流れ（流れがすべて記録に残っているのが特徴です）

暗号資産
銀行
銀行
(被害者) (一時送金先) 取引所

暗号資産(三時送金先)(二時送金先)

通貨交換

海外地下
銀行など

海外暗号
資産取引所 （ｎ次送金先）※ 提供データを元に研究した結果、集約される場所では、十億円単位の暗号資産が動いていることが多い© JC3 All Rights Reserved.

16

クレジットカード情報を悪用した詐欺事案の背景（例）（外国のSNS等で連絡） （外国のSNS等で連絡）

買取り業者

④
⑧

①
⑤

⑦

荷受けバイト

②

商品注文
＋
カード情報

VPN ・プロキシ
⑥
商品配送

加盟店
カード会社
ECサイト
© JC3 All Rights Reserved.

ウェブサイトに侵入し窃取した
データ

商品注文者
③

住所提供者

カード情報
販売者

ＳＭＳやメールによるフィッシングで詐取したデータ

悪質なフィッシング攻撃の概要（イメージ）と対策
手元で守るだけでなく、より前に出て抑止する活動を行うことが求められている！と認識

不正の検知と予防

インテリジェンス収集（金融機関、クレジット会社等）

テイクダウンとブラウザブロック

意識啓発・注意喚起

攪乱へのチャレンジ
？

犯罪インフラ対策
犯罪が起きにくい
仕組みづくりBy

徹底した犯罪捜査と摘発 ＋国際的な働きかけ（警察、検察）© JC3 All Rights Reserved.

18

フィッシングサイト撲滅チャレンジカップを開催！
各県警のサイバー防犯ボランティアが、JC3の支援ツール「Predator」を活用してAbuse報告数 と テイクダウン数 を競い合う！
第2回チャレンジカップは、埼玉県警との共催で7月22日から29日に開催予定
今回から1グループ3人で実施、申し込みは各都道府県警察を通じて行っています。締め切りは7月19日（金）15:00まで© JC3 All Rights Reserved.

20

暗号資産交換業者への不正送金対策の強化（警察庁）への協力
警察庁、金融庁から各金融機関への要請（2024年2月）

JC3と会員金融機関が協力してその実現を支援© JC3 All Rights Reserved.

JC3のフィッシング対策への取組み
収集

連携・分析

対応

不正送金事犯情報分析PJ

検知・防御

フィッシングサイト

 被害実態 手口・傾向

フィッシングメール

Guardian
PhishHunter
フィッシングキット

不正住所情報Disruption！
© JC3 All Rights Reserved.

ブラウザブロック
テイクダウン

収集・分類
- BP
- CP
- MP
:

注意喚起

Predator
サイバー防犯ボランティア

危険なメッセージ、URL
22

SMS ブロッキングランサムウェア攻撃の特徴① 報告件数の推移、規模や業種
警察庁「令和５年におけるサイバー空間をめぐる脅威の情勢等について」 及び 警察庁実施のアンケート等より■ 情報セキュリティ10大脅威（IPA）では2021年以降連続して1位（組織）■ 企業・団体等におけるランサムウア被害の増加傾向は変わらず■ 二重恐喝（暗号化と流出）が多く、対価は暗号資産を求められる 暗号化をしないノーウェアランサムも■ 企業の規模、業種を問わず被害が発生
 海外の日本関係企業における被害が約27％（JC3調べ）■ リークサイトに掲載された企業のうち、約50％は被害を公表（JC3調べ）
報告件数の推移増加傾向© JC3 All Rights Reserved.

業種規模別

業種別

リークサイトや公表情報からみるランサムウェア被害
自社だけではなく、国民全体に大きく影響を与える問題

リークサイトより＜近年の被害報告例＞

 （2020年）ソフトウエア開発会社、自動車メーカー、医療機関、大手食品メーカー
 （2021年）医療機器メーカー、部品製造業、大手ゼネコン、つるぎ町立半田病院
 （2022年）車両部品メーカー、食品メーカー、国立大学法人、大阪急性期・総合総合センター
 （2023年）名古屋港コンテナターミナル、精密機械メーカー、大手製薬会社

 （2024年）大手スーパーチェーン、医療法人、電力機器会社、化学メーカー、情報処理会社、
準大手税理士法人、大手出版会社、大手化学品メーカーの海外法人＜つるぎ町立半田病院の例＞
2021年に地方の医療機関が感染。感染経路として、リモートメンテナンス用のVPN機器の脆弱性が悪用された。大規模な感染被害により、電子カルテを始めとした医療データの閲覧が不能となったが、病院スタッフの努力により、医療サービスの提供を継続。 詳細な検証レポートが発表され、海外のメディアによりドキュメンタリも作成される。
調査報告書：https://www.handa-hospital.jp/topics/2022/0616/index.html
ドキュメンタリ：© JC3 All Rights Reserved.

https://www.youtube.com/watch?v=XaVkzX7NjmA
24

LockBit３.0に感染した場合の画面~~~ LockBit 3.0 the world's fastest and most stable ransomware from 2019~~~>>>>> Your data is stolen and encrypted.
If you don't pay the ransom, the data will be published on our TOR darknet sites. Keep inmind that once your data appears on our leak site, it could be bought by your competitors at
any second, so don't hesitate for a long time. The sooner you pay the ransom, the sooner
your company will be safe.
Tor Browser Links:
恐喝文書ファイル
http://lockbitapt2d73krlbewgv27tquljgxr33xbwwsp6rkyieto7u4ncead.onion
http://lockbitapt2yfbt7lchxejug47kmqvqqxvvjpqkmevv4l3azl3gy6pyd.onion
http://lockbitapt34kvrip6xojylohhxrwsvpzdffgs5z4pbbsywnzsbdguqd.onion
http://lockbitapt5x4zkjbcqmz6frdhecqqgadevyiwqxukksspnlidyvd7qd.onion
http://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd.onion
http://lockbitapt72iw55njgnqpymggskg5yp75ry7rirtdg4m7i42artsbqd.onion
http://lockbitaptawjl6udhpd323uehekiyatj6ftcxmkwe5sezs4fqgpjpid.onion
http://lockbitaptbdiajqtplcrigzgdjprwugkkut63nbvy2d5r4w2agyekqd.onion
http://lockbitaptc2iq4atewz2ise62q63wfktyrl4qtwuk5qax262kgtzjqd.onion
Links for normal browser:
http://lockbitapt2d73krlbewgv27tquljgxr33xbwwsp6rkyieto7u4ncead.onion.ly© JC3 All Rights Reserved.

ランサムウェア攻撃に対する国際共同捜査
警察庁は、本年2月、ユーロポールが、ランサムウェア攻撃グループLockBitの一員とみられる被疑者の検挙及び関連
犯罪インフラをテイクダウンしたことをプレスリリース。日本警察も捜査で得られた情報を提供するなどの協力を行ったもの。

今後の更なる
国際共同捜査や被害回復ツールの開発に期待が高まります！

© JC3 All Rights Reserved.

26

ランサムウェア攻撃の特徴② 感染経路、検知状況
感染経路別の報告件数■ ＶＰＮ機器やリモートデスクトップを利用した感染を多数確認■ 殆どの被害企業がウイルス対策ソフトを導入していたが、検出がないケースが多数（半数が原因は運用上の問題と指摘） 不正な侵入の兆候を検出する製品（EDR等）については被害企業の約５割が導入していない （約4割が犯人により無効化されていたことを原因と指摘）

ウイルス対策ソフト導入・検出状況と検出がなかった要因© JC3 All Rights Reserved.

EDR等の導入・検出状況と検出がなかった要因

ランサムウェア攻撃の特徴③ 復旧に要する期間・費用、サイバー保険
 復旧中の企業を含め、被害企業の76%が被害復旧に１週間以上を要している 調査・復旧費用から見ても被害は甚大
 サイバー保険加入率は全体の30%と外部の調査結果（26.3%）を上回っているものの、加入しながらサイバー保険を利用しなかった企業も存在
復旧に要した期間© JC3 All Rights Reserved.

調査・復旧費用

サイバー保険の利用状況

ランサムウェア攻撃の特徴④ バックアップの状況と復元できなかった理由 バックアップは約９割の企業が取得していたが、完全に復元できたのは２割程度
 バックアップから復元できなかった理由の、69%が「攻撃者に暗号化されたため」、16%が「運用面の課題（データが古い・欠損、保存状態、誤削除）」によるもの
 暗号化されたバックアップの70％は、社内ネットワークに常時接続されていたバックアップの取得の有無© JC3 All Rights Reserved.

バックアップを取得していた企業の復元状況

バックアップから復元できなかった理由

29

暗号化されたバックアップの保管場所

ランサムウェア攻撃の特徴⑤ 犯人との交渉状況と金銭支払い状況
 犯人との交渉を行った事例は10件に留まり、身代金を支払った被害企業は２社
 1,000万円以上の高額な身代金要求は全体の47%であり、いずれも二重恐喝型のランサムウェアによるもの

犯人との交渉状況

金銭支払いの有無

身代金要求金額（円換算） ～10万円
 ～100万円
 ～1000万円
 ～1億円 ～10億円
 10億円～© JC3 All Rights Reserved.

30※2024/3/29時点の概算レートで換算（1$=151円，1BTC=1,050万円）

ランサムウェア攻撃の特徴⑥ 警察等への通報について
 警察への通報に加えて行われたのは、セキュリティベンダーや個人情報保護委員会への通報
 警察に通報する理由は、「初動対応や被害復旧に関する助言を得るため」
 警察に通報する上で企業が考える課題も多い（通報窓口、通報内容、時間がかかる、解決しない等）
通報先© JC3 All Rights Reserved.

警察に通報した理由

警察への通報を検討する上で企業が考える課題

ランサムウェア攻撃に対する捜査能力の向上に向けて書籍を出版
書籍内容（大項目のみ）
１ 本書について
２ ランサムウェア攻撃
３ 捜査全般の留意事項
４ 捜査体制の確保
５ 平時における準備
６ 事案の認知７ 緊急参集、現場臨場
８ 事情聴取９ 状況把握10 被害法人への助言
11 資料収集の考え方
12 ファスト・フォレンジック
13 刑罰法令14 参考文献（付録）
警察による犯人検挙に向けた© JC3 All Rights Reserved.

証拠保全
32

ランサムウェア攻撃の手法
MITRE ATT&CK （攻撃者の振る舞いを理解するためのフレームワーク）
初期アクセス
・脆弱性攻撃・不正入手アカウント・ブルートフォース攻撃・フィッシングメール
・水飲み場攻撃

コマンド実行・コンピュータ情報調査
・ネットワーク調査
・ツールのダウンロード

永続化
権限昇格
防衛回避
・バックドアの設置
・Admin権限の取得
・ウィルス対策ソフトの停止、削除

認証情報入手

データ収集

横展開

データ窃取

・他コンピュータ
(ADサーバ等)の認証ID・PASS入手
・他コンピュータへ侵入

・機密情報の探索※財務情報等
・情報集約
・攻撃者サーバへ送信

暗号化
情報公開
脅迫
・ランサムウェア実行・ランサムノート蔵置・リークサイトで公開
・バックアップデータの破壊

出典：MITTER ATT&CK https://attack.mitre.org/© JC3 All Rights Reserved.

33

ランサムウェア攻撃の手法（イメージ）
外部サーバ※被疑者側管理

⑩ 取得情報の公開① 初期アクセス② 悪意あるコードの実行※マルウェアやランサム攻撃で悪用されるツールの取得

リークサイト⑧ データの収集・持ち出し⑧ データの収集・持ち出し
外部サーバ※被疑者側管理

ゲートウェイ
（FW・VPN装置）

被害法人内ネットワーク⑧ データの収集・持ち出し⑦ 横展開⑨ ランサムウェアの展開⑥ 認証情報へのアクセス
⑦ 横展開

③ 永続化
④ 権限の昇格⑤ 防御の回避凡例⑨ ランサムウェアの展開
Active Directory
サーバ⑨ ランサムウェアの展開

侵入・感染の流れ

感染起点
（端末A）

本来端末Aに接続権限がないネットワーク

データ窃取の流れ© JC3 All Rights Reserved.

34

ランサムウェア攻撃グループ
Initial Access
Broker

企業情報・企業への初期アクセスを入手
・フォーラムで販売

Ransomware
Affiliaters

金銭支払い

Victim35

RaaS Operator

・ランサムウェアの開発
・ランサムウェアやハッキ
ングツールのサービス提供

・ランサムウェア攻撃
・身代金の要求
金銭支払い© JC3 All Rights Reserved.

ランサムウェア
ハッキングツールランサムウェア攻撃に対する捜査（事情聴取・状況把握）■ 主な聴取対象及び要請内容
No

関係者

1

責任者

2

第一発見者

■ 発見時の状況を聴取

3

情報システム担当者■ 参考人調書の作成■ ネットワーク構成図、各種設計書の提供又は所在場所の聴取

4

業務システム業者■ 業務システムの被害状況の確認

5

端末業者

■ 端末からのメモリダンプ、ディスクイメージ、端末情報等の取得協力

6

ネットワーク業者

7

セキュリティ業者

ランサムウェア攻撃対応の責任者
警察対応窓口

警察対応窓口端末システム開発／保守運用業者
端末導入／保守運用業者
ネットワーク機器導入／保守運用業者
ランサムウェア攻撃の調査依頼をした業者© JC3 All Rights Reserved.

要請内容■ 被害届／被害調書の作成■ VPN機器等のネットワーク機器のログを取得協力■ 収集物・報告書の提供※被害企業様経由で依頼
36

ランサムウェア攻撃に対する捜査（事案の認知）■ 事案認知時に被害企業様へ要請する主な内容
No

要請内容

目的

1

LANケーブルを抜く、無線LANを無効にする

感染拡大防止2

端末の再起動や電源オフをしない（端末が起動中の場合）

証拠保全

3

端末の電源をオンにしない（端末が起動していない場合）

証拠保全

4

端末をウイルス対策ソフトによりフルスキャンしない

証拠保全

5

ネットワーク機器の再起動や電源オフをしない（再起動や電源オフによりログ消失するものが多い）

証拠保全

6

ファームウェアやOSのアップデートをしない

証拠保全※「２～６」の作業は復旧（事業継続）に向けて、対応する必要がある内容である。
そのため、事案発生の早期段階で法執行機関との連携を検討頂きたい→インシデント対応マニュアル等への反映© JC3 All Rights Reserved.

37

企業様へのお願い①

企業様へのお願い②

サイバーセキュリティ経営ガイドライン 身代金支払いに関する注意点（2023/03/24 更新）経済産業省
https://www.meti.go.jp/policy/netsecurity/mng_guide.html

１．身代金を支払っても暗号化ファイルを復号できる保証はないこと※ ランサムウェアの暗号化処理、復号ツールにバグがあり、ファイルを復号できない場合がある。
そもそも復号ツールが提供されない場合もある。
２．身代金が犯罪組織の資金源となり、犯罪の拡大に手を貸すことになること
３．盗まれた情報がリーク（公開）されない保証はないこと
４．さらなる金銭を要求される可能性が高まること
５．将来、再度のランサムウェア攻撃対象になる可能性が高まること
６．別のランサムウェアグループに狙われる可能性が高まること
７．ランサムウェアが有効であることを攻撃者に証明することになること
８．身代金を支払うことで社会的評判が失墜する可能性があること
９．サイバー保険に入っていても、身代金は補償対象外の場合がほとんどであること

経済産業省のガイドラインでも、「金銭の支払いは厳に慎むべきもの」と注意喚起

被害企業の64%がサプライチェーンからの感染と回答© JC3 All Rights Reserved.

https://www.meti.go.jp/press/2020/12/20201218008/20201218008-2.pdf
38

企業様へのお願い④

企業様へのお願い③
ゼロトラストゼロトラスト以前のセキュリティ

バックアップの重要性（３－２－１ルール）

ゼロトラストの考え※３－２－１－１－０ルール：上記に「１つはオフライン保管かクラウド上の保管の場合はデータが不変であること」、「バックアップデータはエラーゼロで完了すること」が加えられたもの© JC3 All Rights Reserved.

39

偽ショッピングサイトでもクレジット情報が盗まれている！
 検索結果の上位に偽ショッピングサイトが表示される（行為者によるSEOポイズニング）© JC3 All Rights Reserved.

40

偽ショッピングサイトに関する取組み
日本語版
チェックサイトSAGI CHECK（昨年2月から公開中）

ここに
URL
を
入力
すると

https://sagicheck.jp/

毎月約2万件の情報を会員企業、APWG、ScamAdovisorに提供© JC3 All Rights Reserved.

41

結果が表示
される

テクニカルサポート詐欺とは（動画）ブログサイトで広告をクリック
すると© JC3 All Rights Reserved.

42

テクニカルサポート詐欺～ 誰もが巻き込まれる恐れのある犯罪 ～パソコンを使っている途中に、突然こんな画面とともに警告メッセージが大音量で流れたら、
あなたはどうしますか？
あわてて〇〇〇〇〇〇〇サポートに電話しますか？
多くが IP電話 050-????-????
ですが、海外の電話番号 0101-?????????

引用元：マイクロソフト（https://news.microsoft.com/jajp/2021/01/29/210129-information/）も

海外でも頻発しており、国際的な協力体制が急務！

 「サポート詐欺」という犯罪があすことを伝えてほしい。
 サポート詐欺に限らずパソコンを使って困ったことが起きたら、 親しい身の回りの方や警察に相談し、絶対に画面の電話番号に電話しないこと と伝えてほしい。

 コンビニなどで高額な電子マネーを買おうとしている人が居たら、声をかけてあげてほしい。
話しかけにくければ、店員さんへ。

※ 参考文献 サイバーグリッドジャーナルVol.15 特集1 突然の警告!? サポート詐欺の謎に迫る！
https://www.lac.co.jp/lacwatch/pdf/20230302_cgjournal_vol15.pdf© JC3 All Rights Reserved.

43

テクニカルサポート詐欺の遭遇経路（誰でも感染する可能性がある）
 様々なオンライン広告をクリックすることで遭遇© JC3 All Rights Reserved.

44

Microsoft社 Digital Crime Unit との協働による対策強化を推進中！
Digital Crime Consortium 2024でプレゼンテーション
松ヶ谷さん（トレンドマイクロ）、 影山さん（ラック）テーマは、テクニカルサポート詐欺と電話オペレータの追跡の経緯と「偽」被害電話によって得られた犯罪プロファイリング
その結果として・・・© JC3 All Rights Reserved.

国家を背景とするAPTグループによる標的型攻撃の実態
APTとは、標的型攻撃のうち「発展した／高度な（Advanced）」「持続的な／執拗な（Persistent）」「脅威（Threat）」の略語で、長期間にわたりターゲットを分析して攻撃する緻密なハッキング手法として、2006年ごろに米国空軍のGreg Rattray氏が使用した標的型サイバー攻撃が、懸念国による諜報活動や情報窃取の最も重要かつ典型的な手段となっている。
ターゲットは、政府機関、重要インフラ、学術・研究機関、シンクタンク、IT・セ
キュリティ企業等、あらゆる分野の組織や団体となっている。
手口としては、未だ存在を知られていないシステム脆弱性を狙った攻撃（ゼロデイ
攻撃）が多く、日本製ソフトウェアの脆弱性も狙われている。
技術情報の窃取には、内通者の存在など、内部脅威も利用されている。
© JC3 All Rights Reserved.

各国のAPT（Advanced Persistent Threat）グループの特徴
主なAPTグループ（ファイア・アイの情報を基に作成）＜中国＞
国家安全部MSSや人民解放軍PLAに関連する組織が多く、政治、外交、行政のほか官民の先進技術情報を狙う。
＜北朝鮮＞
軍事技術を狙った攻撃のほか、暗号資産等の資金獲得（不正送金等）を目的とした攻撃が多くみられる。
＜ロシア＞
保安庁FSBや軍参謀本部情報総局
GRUに関連する組織が多く、政治、外交、安全保障、機関産業等を狙う。破
壊的な攻撃も特徴。

© JC3 All Rights Reserved.

我が国に対するAPTグループによるサイバー攻撃（警察による摘発・公表）
 警察の捜査の結果、攻撃主体の解明に至ったものについてはパブリック・アトリビューションや注意喚起が実施され、サイバー攻撃の抑止につながっている© JC3 All Rights Reserved.

＜今後の課題＞
・先進技術の社会実装と安全安心の両立
・身近な公共空間における犯罪の予防のために・サイバー犯罪対策における官民学連携の意義© JC3 All Rights Reserved.

49

① 先進技術の社会実装と安全安心の両立サイバー分野における新たな先進技術の社会実装には、大きな利益とともに一定のリスクが存在している。 ⇐ 予想されるリスクに対して必要十分な規制が実施されるためには、
より詳細な実態に関する情報が政府に集約される必要あり例えば、、、生成AIによって犯罪も変わる？
ChatGPTが犯罪行為の手助けをしていることをEuropolが警告！
（2023.4.20公表）「ChatGPTの公開からわずか数週間後には具体的な犯罪行為が確認されています」 犯罪に応用！
「ChatGPTは、犯罪の準備プロセスを加速させ、侵入方法やテロ活動、サイバー犯罪、児童虐待等、広範囲な犯罪について学ぶことができます」 犯罪の手口や新しいツールを教える！
「技術的知識が乏しい潜在的な犯罪者にとっては非常に貴重なリソースで、同時に、より高度な犯罪者は、洗練されたサイバー
犯罪の手口をさらに洗練させ、自動化することができます」 手口を高度化！
「会話型チャットボットと非常にリアルなディープフェイクなどの合成メディアを生成できるシステムを組み合わせたAIシステムが、今後の犯罪手法となる可能性があります」 AIが巧妙に人をだます！
© JC3 All Rights Reserved.

50

② 公共空間におけるサイバー犯罪の予防には何が必要か
 子供からお年寄りまで、知識や技術がある人もない人も、都会の人も田舎の人も、生活もビジネスも、もはやサイバーの世界と関係なしではいられない。

⇐ 今後さらに拡大するサイバーの世界の中で安全安心を確保するには、個人のリテラシーの向上も大切だ

が、権限・能力があり信頼される組織が対応することが大切 情報とリソースを持った民間組織の役割
 幅広い情報把握権限・能力と国際連携が可能な行政機関、法執行機関の役割
自衛隊を含めた中央省庁、警察、セキュリティ事業者、システム提供事業者、通信事業者 自治体、勤務先、学校、等が期待に応える能力を備え、積極的に行動することが必要◆誰にどのような権限を持たせるべきか【国家安全保障戦略より】
・ サイバーセキュリティに関する世界最先端の概念・技術等を常に積極的に活用
・ 政府機関等のシステムの導入から廃棄までのライフサイクルを通じた防御の強化、
政府内外の人材の育成・活用の促進等
・ 能動的サイバー防御の導入に期待© JC3 All Rights Reserved.

51

米国サイバーセキュリティ戦略2023から
サイバー空間における役割・責任・リソースの配分について、根本的な転換が必要「サイバーセキュリティの負担を、個人・中小企業・地方自治体から切り離し、
国民のリスク軽減のための最高の能力・最適な立場を備えた組織に移す」＜民間セクターとの連携＞「戦略目標2.2： 敵対勢力を攪乱するための官民作戦オペレーションの強化」
民間部門は、敵対勢力の活動に対する可視性を高めている。その洞察力は、連邦政府よりも広範かつ詳細であることが多い。これは、民間部門とその脅威ハンティング活動の規模が大きいこともあるが、ツールや能力の技術革新のペースが速いことも一因である。悪意あるサイバー活動を効果的に阻止するには、独自の洞察力と能力を持つ民間セクターと、行動する手段と権限を持つ連邦政府機関との間で、より日常的な協力が必要である。（中略）民間セクターのパートナーは、NCFTAのような、連邦政府との作戦協力のハブとして機能する 1 つ以

上の非営利組織を通じて結集し、その努力を組織化することが奨励される。
© JC3 All Rights Reserved.

英国サイバー戦略2022 から＜5つの柱の５＞

 サイバー空間の内部およびサイバー空間を通じた英国の安全保障の強化のために敵対者を検知し、攪乱し、抑止する。
＜ 民間セクターとの連携＞

 あらゆる情報源を活用し、政府、法執行機関、民間セクター全体の専門知識を結集して、最も深刻な国家的、犯罪的、およびその他の種類の脅威の日常的かつ包括的な調査を実施している。

 捜査ではあらゆる情報源からの情報を支えとしつつ、民間セクター全体のスキルと知識も活用し、例えば企業による法執行機関とのデータ共有も円滑化していく。

＜参考＞ 英国の Active Cyber Defense Programme（2016年～）
英国のACDプログラムでは、国民からの通報を受けた政府機関が、１年間にフィッシング関連 6万件を含め、180万件のサイトをテイクダウンするなど、総合的なプログラムで国民の大多数を守るための対策が行われている© JC3 All Rights Reserved.

③ サイバー犯罪対策における官民学連携の意義

攻撃者、犯罪者は、互いの専門性を共有し、合法、違法様々な手段、方法を講じている。

⇐ 現実の脅威に対抗することは、一企業、一組織単独では困難 情報とリソースの共有が重要業界を超えて、官民学の違いを超えて攻撃の主体、動向、対象、手法、犯罪インフラ等のリアルな実態を把握

 ＜企業＞と＜法執行機関＞等との連携の 「場」 の提供（JC3）＜定期的＋随時＞の情報共有等の場の設定→ 業界を超えた関係者間の相互理解の醸成
脅威へ立ち向かう目的意識を共有する関係者による信頼関係、同志的関係の構築
関係者が活用できるデータ、情報の収集、整理

 攻撃者のエコシステムへの対抗

社会全体での、攻撃しづらい環境・システムの構築© JC3 All Rights Reserved.

54

JC3を通じて警察と連携することの意義、そして今後の課題

関係被疑者の検挙 →加担していた者の検挙は、犯罪者グループに一定の打撃！
捜査結果から、犯罪の準備状況、実際の犯行、事後的な収益化まで、犯行の全体図や犯罪抑止のヒントが見える可能性

犯行の具体的手口や悪用された犯罪のツール（犯罪インフラ）が明らかに
指示役等、上位者とのやり取りや、犯罪収益の流れが見える可能性
犯罪グループの組織構成、組織実態が判明する場合も→ 企業の皆様からみて、自身のサービスの弱点が分かり、対策を講じるきっかけになるなど、極めて有益な情報が提供されていると評価されている→ FBI等の海外捜査機関は、「犯罪の拡大や被害防止が捜査機関の役割」と公言し、具体的な働きかけや民間への情報共有を実施。
民間側も、積極的に捜査機関や政府機関に情報を提供© JC3 All Rights Reserved.

55

【追加ページ】 今後の課題 企業に何が求められるのか自社（従業員）が標的となる可能性についての意識啓発が、経営層を含め、企業内の各層で十分に行われ、必要な対策が取られることが前提。
被害が潜在化しやすいサイバー犯罪や攻撃（サイバー犯罪や国家支援型のサイバー攻撃への対処）については、より多くの情報に接する民間企業（被害企業を含む。）側からの情報提供・政府への協力が、悪意ある攻撃への対抗手段をとる上で必須。
⇐ 警察庁Webサイトに、都道府県警察の通報・相談窓口を統一化
企業側が政府へ情報提供や被害の公表を行う上での、法的リスクやレピュテーションリスクを下げるための産業界全体での取組が必要。
 広義のサイバー領域において、企業本体及びそのビジネスを守るために必要な「積極的な投資」を求めたい。
© JC3 All Rights Reserved.

困ったときは、迷わず各都道府県警察・警察庁へ© JC3 All Rights Reserved.

57

【追加ページ】

警察に何が求められているのか、期待されているのか サイバー犯罪・サイバー攻撃やネットワークを利用した犯罪が、国民の治安への不安となっていること（警察庁アンケート結果）
 犯罪被害総額の約45%、詐欺被害の約70％を占めていること（JC3推計）
 被害が目に見えず、潜在化しやすいサイバー分野の被害について、被害者を含む民間企業
側からの積極的な情報提供・協力を求めるためには、警察職員側が十分な知識と経験を積
み重ねることが必須→ 専務員だけでなく全ての職員が、「知らない」「わからない」では済まされないことに留意
 企業側が政府へ情報提供を行う上での法的リスクやレピュテーションリスクを下げるためにも、警察における「保全」（秘密の保持）を確実にすること。

時代の変化に遅れない「視野」「知識」「経験」を身に着けよう© JC3 All Rights Reserved.

治安に関するアンケート結果（令和5年）© JC3 All Rights Reserved.

刑法犯認知件数の減少に対し、犯罪被害総額はどうなっているのか
折れ線グラフ：刑法犯認知件数 棒グラフ：犯罪被害額
400,000,000
3,000,000
350,000,000
2,500,000

刑法犯認知件数の推移と異なる被害総額の増加がみられるのは、

300,000,000

バブル期と近年のみ

2,000,000
250,000,000
200,000,000
1,500,000

原因は、詐欺の急増

150,000,000
1,000,000
100,000,000
500,000
50,000,000

1989
1990
1991
1992
1993
1994
1995
1996
1997
1998
1999
2000
2001
2002
2003
2004
2005
2006
2007
2008
2009
2010
2011
2012
2013
2014
2015
2016
2017
2018
2019
2020
2021
2022

00
詐欺被害額

窃盗被害額

ではどんな詐欺が今増えている？

その他被害額

令和5年の犯罪被害総額は、 約2,519億円 （前年は 約1,608億円 56.7％増加）
うち詐欺による被害額は約64.5％を占める 約1,626億円（前年は 約877億円 85.4%増加）© JC3 All Rights Reserved.

財産犯に占めるサイバー犯罪・インターネット利用犯罪等の割合は？
「インターネットを利用した詐欺の増加等が寄与している」（警察庁）「被害総額の約45%、詐欺被害の約70％を占めていると推計」（JC3）■インターネットバンクIBによる不正送金 87.3億円（前年は 15.2億円）■クレジットカード不正使用 540.9億円 (前年は 436.7億円）■テクニカルサポート詐欺 約61億円と推計（架空請求詐欺 約140億の43.7％がポップアップ表示から）■ロマンス詐欺 177.3億円■SNS投資詐欺 277.9億円

小計 1144.4億円「財産犯の被害額の推移については、約 2,519 億円と前年比で 56.7％増加してい る。その内訳を見ると、詐欺による被害額が約 1,626 億円と増加している（前年比 85.4％増加）（図５）。また、詐欺による被害の増加については、インターネットを 利用した詐欺の増加等が寄与している状況が認められた。」（令和5年の犯罪情勢より）© JC3 All Rights Reserved.

あらゆる犯罪がインターネットやSNS利用型に
警察庁は、「サイバー犯罪」を ①不正アクセス禁止法に規定された不正アクセス、 ②刑法に規定された不正指令電磁的記録に関する罪及びコンピュータ・電磁的記録対象犯罪、 ③インターネットを主な手段とした各種の犯罪の総称であるインターネット利用犯罪（フィッシング等によるインターネットバンキング不正送金、ECサイト等でのクレジットカード不正使用等）としています。
しかしながら、サイバー犯罪か否かに関わらず、ネットワーク上では様々な犯罪や犯罪に関係する行為が行われています。例えば、テクニカルサポート詐欺（ネット画面上に突然ポップアップを表示するなどして、修理名目で送金させる）
出会い系サイトやSNSでは未成年者と出会って、わいせつな行為をする・させる
出会った人からお金を脅し取ったり（恐喝罪）、だまし取ったり（詐欺罪）する「闇バイト」と称して高額な報酬を払うことを約束して、違法な行為をする人を募集する
お互いに顔も名前も知らない者同士で、連絡を取り、指示をして犯罪行為を行う
インターネット上で他人の著作物を勝手に利用・販売する（著作権法違反） 他人を誹謗中傷する（名誉毀損罪）
わいせつ画像を掲載する（わいせつ物頒布罪）
違法な薬物を売買する（薬物関係法令違反）
偽造ブランドの商品を販売
暗号資産取引等を利用して、犯罪行為で得られた報酬をマネーロンダリングする© JC3 All Rights Reserved.

犯罪対策閣僚会議において サイバー犯罪も念頭に置いた対応方針を決定© JC3 All Rights Reserved.

© JC3 All Rights Reserved.

© JC3 All Rights Reserved.

ありがとうございました© JC3 All Rights Reserved.