第12回情報セキュリティマネージャー ISACAカンファレンス in Tokyo「リスクの変化とセキュリティマネジメント」

今知っておくべきサイバーセキュリティの脅威実態～ランサムウェアとランサムウェア以外の話～
株式会社マクニカ
セキュリティ研究センターセンター長補佐
瀬治山 豊©Macnica,Inc.

自己紹介
瀬治山 豊 Yutaka Sejiyama✓セキュリティ脅威動向の情報収集と発信・脆弱性、ランサム関連の脅威動向リサーチ
・X/Twitter @nekono_naha
・ばらまきメール回収の会
・(ISC)2 Japan Chapter Annual Conference 2022
・JSAC 2023 （Best Speaker賞受賞）
・JSAC 2024

✓マクニカグループ グローバルCSIRT担当者
・23カ国/地域、81拠点
・国内外でのセキュリティインシデント対応
・パッチマネジメント✓マクニカ独自のセキュリティサービス企画・運営
・外部公開サーバ調査 等
・SOC（セキュリティ監視代行）©Macnica,Inc.

1

セキュリティ研究センター
日本を狙った標的型攻撃をリサーチし得られた知見を様々な社会活動に還元 （リサーチ、教育、カンファレンス）センター長

センター長補佐

主幹

主幹

主席

主席

主席

政本 憲蔵

瀬治山 豊

凌 翔太

柳下 元

竹内 寛

勅使河原 猛山﨑 剛弥

国際カンファレンス

国内カンファレンス

その他の社会活動

脅威リサーチ●Black Hat USA Arsenal 2013 – 2016、2023●JSAC 2018、2021、2022、2023、2024●セキュリティキャンプ全国大会 講師●セキュリティ研究センターブログ●HITCON CMT 2023

●BSides Tokyo 2023

●官公庁 セキュリティアドバイザー

https://security.macnica.co.jp/●Mandiant Cyber Defense Summit 2021●(ISC)² Japan Chapter Annual Conference 2022

●日本経済団体連合会 21世紀政策研究所 研究委員

●VB2020 localhost●笹川平和財団サイバーセキュリティセミナー 2019, 2021

●令和3年度多国間サイバー防護競技会●CONFidence 2020

●情報セキュリティワークショップin越後湯沢 2021

●セキュリティコミュニティ 濱せっく 運営● HITCON Pacific 2018

●白浜シンポジウム 第18回

● BSides Austin 2018
● Black Hat Asia Arsenal 2017
● DEF CON 25 Demo Labs 2017

書籍監訳
●インシデントレスポンス 第3版

2

本日のトピック
1 日系企業のランサム被害傾向と関連情報
2 脆弱性対処のトレンド
3 要警戒 情報窃取特化型マルウェア Info Stealer
4 日本企業を狙う標的型攻撃の印象的な事件
5 （予備）多要素認証を無力化する攻撃©Macnica,Inc.

3

日系企業のランサム被害傾向と関連情報©Macnica,Inc.

4

ランサムアクターによるグローバルでのリーク件数✓個別の企業や業種をターゲットにした標的型ランサム、データ暗号化と情報漏えいによる二重の脅迫を行う
暴露型ランサムの被害が世界的に増加

11899件が暴露型ランサムの被害（リークサイトに掲載）にあっている✓ 2023年12月末時点で✓リークされていないランサムウェアの被害数も含めると被害企業は上記の数倍以上～にのぼる可能性がある
507

503

476

488

441
416
380

363
343
272
202

259
227

180

253
238
230237
199204191197

128

345
320

262

261

239

218
184

193

369
346

375

385

269
239
218229
183

148

95
51

35

0

※2023年2月～12月のデータはMBSD社MBSD Cyber Intelligence Group (CIG)データを引用
https://www.mbsd.jp/research/20240118/cig-monthly/©Macnica,Inc.

5

日系企業・組織のランサム系インシデント✓公開情報から確認できる範囲でも380件のランサムインシデントが発生
・各企業や組織のプレスリリースやランサムウェア攻撃者のダークウェブ上の犯行声明を集計※Webサイトの改ざんやWebサイト経由での情報漏えい、Emotetの感染事案は除く
・2020年5月～2023年12月の45ヶ月間の集計
・情報公開されていないランサムウェアの被害数も含めると被害企業は上記の数倍以上～にのぼる可能性がある
18
16

16

15

15

14
13
12 12

12
11

10

11

11

10
8

8

10 10 10

12

11
10

10

8

7
6

13

12

7

6

6
5

5
4

3
2
1
0

3

3

2
1
0

©Macnica,Inc.

6

インシデント発生傾向の比較• 日本だけの被害数が増加しているわけではなく世界的なランサム系活動の増減に連動して日本”も”増減✓グローバルと日系組織インシデントの件数比較
18

グローバルでのリーク件数
日系企業のインシデント件数

16

507

503

476

16

15

488

441

15

416
14
380
12 12

363
343

12

345
11

10
259
227
202
1806

253
238

230237
7
199204191197
6
5

262

3

2
51

0

1 35

11

8

10 10 10

10

8

8
218

239

184

6
148

13

375

385

12

12
10

269

261

128
95

11

320
10

272

13
369
346
11

193

239
229
218

7

183

5
4

3

3

2
1
0

©Macnica,Inc.

7

インシデント発生傾向分析• 国内外ともに被害件数は年々増加しており歯止めが効いていない状況• グローバルではある手法（P23参照）の影響で被害が特に増加✓グローバルでの件数（年毎）※2020年4月～2023年12月までの件数✓日系組織での件数（年毎）

135※2020年4月～2023年12月までの件数

4758

125

62％増

8％増

94
2845

2974

1352

26

2020年

2021年

2022年

2023年

2020年

©Macnica,Inc.

2021年

2022年

2023年

8

日系組織のプレスリリース分析••

以降のスライドでは日系組織の被害380件の内、被害公表があった281件やリーク事案157件の情報を分析し被害傾向を確認
ただし、企業によっては情報非公開範囲が広いケースもあるため以降の数値は下限の情報となる点に注意
2023年4月13日
株式会社 ○○○○
代表取締役 ○○○○

情報公開日

ランサムウェアによるサイバー攻撃の発生について（第2報）

企業名
攻撃発生日時

被害拠点

侵害原因

業務影響

2023年4月7日付「ランサムウェアによるサイバー攻撃の発生について」にて公表した通り、当社は、2023年4月1日未明にランサム
ウェアによるサイバー攻撃を受けました。調査および弊社業務復
旧状況についてお知らせいたします。
攻撃は、当社の海外拠点（タイ）が標的にされ、VPN機器の脆弱性をつかれたものと判明しました。その結果、基幹システムまで攻撃が及び、業務に影響が出ています。現在も復旧作業を進めておりますが、完全な復旧には至っておりません。

リーク日

このような事態を招き、お客様や関係者の皆様にご迷惑をおかけし、誠に申し訳ございません。当社では、復旧作業に全力を尽くすとともに、関係機関と協力し、再発防止策を講じてまいります。
以上のとおり、当社では、事態を真摯に受け止め、誠実な対応に取り組んでまいります。今後も、お客様や関係者の皆様に信頼される企業を目指し、より一層の努力を続けてまいります。
お問い合わせ先株式会社 〇〇○○
担当者 ○○○©Macnica,Inc.

9

日系組織のインシデント発生傾向✓攻撃者による日系組織のリーク件数✓日系組織のプレスリリースでの公表件数

100%

100%

90%

90%

14
26
80%

11

65
56

70%

70%
92

60%

15

60%

無し

50%

無し

50%

111

有り
40%

40%

30%

30%

15

70
38

20%

20%

33

10%

68

有り

91

11

10%

0%

0%
2020年

•

44

80%

2021年

2022年

2023年

2020年

•

ランサム系インシデントが攻撃者のリーク行為により発覚する割合は年々減っていたが2023年に再度上昇。身代金支払い圧力の強化も関係か。

•©Macnica,Inc.

2021年

2022年

2023年

公表割合増加についてはランサム系インシデントの
世間的な認識の変化や個人情報保護法改正も影響か
2023年は海外拠点被害（攻撃者からのリーク）でプレスが公表されないケースが増加

10

日系組織のプレスリリース分析✓攻撃認知からリーク発生までの日数✓攻撃認知からプレス公開までの日数※攻撃者にリークされ企業からのプレス公開（正確な攻撃発生日情報）がある69件を対象に集計
100%

100%
2
90%

1
4
9

2
4
3
3
6

5
2
4
4

1

4

17

11

1

6

1
90%

5

1

2

4
80%

80%
4
70%

4

60%

1

50%

9

3

21~40

40%

50%

4

15~21
8~14
4~7
0~3

7

20%
6

10%

18

30%

5

20%

22~31

14

40%

-13~0

62~100
32~61

4~7
1~3

3

26

2

8~14

2

101~
13

4

60%

15~20
4

30%

70%

1

5

50
26

34

10%

3
0%

0%
2020年

•

2021年

2022年

2020年

2023年

•

約6割のケースでは企業が攻撃を認知してから7日以内にリークサイトへの掲載が発生©Macnica,Inc.

2021年

2022年

2023年

約6割のケースでは企業が攻撃を認知してから7日以内にプレスリリースでの情報公開が行われている11

日系組織の攻撃発生タイミング分析• 休日や祝日、夜間や早朝等の人がいない時間帯を狙って攻撃されるケースは年々増加傾向• 認知や対処を遅らせ被害範囲（暗号化対象ホストやファイル数）拡大を狙った攻撃者側の戦術の変化と考えられる• 2023年は海外拠点の被害が多く詳細が記載されないケースが増加しやや減少✓攻撃発生日✓夜間・早朝・休日等の攻撃

100%

100%

90%
80%
70%
60%

50%

10

55

77

90%

67
平日

40%

44

80%

土日

30%
20%
10%
0%

1
2020年

✓攻撃時間

42

34

13
2021年

34

24

2022年

2023年

70%

7

60%

その他

50%

100%

休日・夜間・早朝

90%
40%

80%
70%
60%

42

62

8

59

67

30%

明記なし

50%

夜

40%
10

30%
20%

1

10%

2

16

20%

朝方・未明

21
14
28

34
4

10%

18
0%

0%

2020年

49

2021年

2022年

2023年

©Macnica,Inc.

2020年

2021年

2022年

2023年

12

日系組織の攻撃発生タイミング分析• 平日ではなく土日や金曜を狙って攻撃をしかける傾向は年々強まっている• 暗号化対象ホストやファイル数などの被害範囲拡大を狙った攻撃者側の戦術の変化と考えられる✓攻撃が発生または認知した曜日（20～23年）
56
42
35

43

40

36

29

月曜日

火曜日

水曜日

✓2020年✓2021年

4

14

12
3

木曜日

金曜日

1

1

19

18

16

20

12

18
16

10

1

日曜日

✓2023年✓2022年

9
7

1

土曜日

14

16
14

11

13
8

11
8

4

月曜日 火曜日 水曜日 木曜日 金曜日 土曜日©Macnica,Inc.

13

深刻化する事業継続への影響
被害に関する公表事例
業種

時期

事業への影響サービス

2023年3月

ネットワーク広域に攻撃の被害が及んでいることもあり、全ての特定・調査完了と日常業務への完全な復旧ま
でにはしばらくの時間がかかる見込み

製造

2023年3月

基幹システムが使⽤できない状況。紙ベースにて復旧作業を進めているが、すべて復旧するには1カ月から2カ月程度要する見込み

製造

2023年2月

被害の拡大を防ぐため、速やかにサーバーの停止やネットワークの遮断などの対応を行いましたが、基幹システム
や関連システムにも被害が及んでいるサービス

2022年9月

基幹システムや関連システムにも被害が及んでおり、一部の業務に影響が出ている

サービス

2022年7月

基幹システムや関連システムにも被害が及んでおり、自社のオンラインサイトでの販売や取引先への配送にも影響。今回の不正アクセスは、サーバー内の情報を暗号化し、アクセスログの抹消を伴うものであったため、調査や被害状況の確認にも時間を要しているサービス

2022年7月

弊社では、不正アクセスの内容と範囲の特定を進めておりますが、システム障害の発生により、各種業務への影響が継続している

製造

2022年7月

攻撃の被害が広範に及んでいることもあり、全ての特定・調査完了と日常業務へ復旧するまでには今しばらくの時間がかかる見込み

小売

2022年7月

サイバー攻撃により販売管理システムを含めて機能が停止。伝票起票などが不可となり事務処理や取引が遅延メディア

2022年6月

制作システムを含めてサーバがランサムウェアの攻撃を受ける。製作作業に影響が出たため他社の協力を得て事
業を継続

金融

2022年6月

ランサムウェアによりシステムが暗号化され、データの読み取りができない状態。お問い合わせへのご回答や書類の発送等に支障

製造

2022年5月

業務復旧にしばらく時間を要する見込み。約1ヶ月後にシステムが復旧したものの一部の業務は継続して提
供が不可

化学

2022年5月

社内システムがランサムウェアによる攻撃を受ける。翌日には生産・受注・出荷は再開できたものの基幹システム
復旧には時間を要する見込みで関連会社2社も同様の状況

小売

2022年5月

不正アクセスによりシステム障害が発生。2日程度キャッシュレス決済が停止。商品の取り寄せサービスや店舗間配送にも影響が発生

小売

2022年4月

サーバが不正アクセスを受け、受注出荷システム含めて停止。復旧目処が立たずほぼ全ての日常業務に影響が発生し子会社も同様の状況

製造

2022年4月

ランサムウェアによる不正アクセスで約10日後にメールが復旧したものの、全社内システムは障害継続。完全復
旧には約2ヶ月

製造

2022年4月

所有するパソコンのメールの送受信、サーバー等へのアクセスが始業より不可で全ての復旧には数週間程度かかる見込み• 軽微な被害ですんだケースもあるが、多くの場合は復旧に1週間以上、深刻なケースでは数ヶ月を要したケースもある• 期間は少なくとも代替システムの確保やサーバ入れ替え、対外対応
等の様々な対応が必要となる✓警察庁まとめによるランサムウェア被害詳細

警察庁公表「令和４年におけるサイバー空間をめぐる脅威の情勢等について」より
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R04_cyber_jousei.pdf©Macnica,Inc.

14

近年のランサムウェアにより大きな事業影響が出る理由✓数年前のランサムウェア
・ランサムウェアを実行したPC1台が被害にあう・周辺PCが暗号化されることもあり（自動拡散）
・PCが暗号化されてもバックアップで復旧可能✓最近のランサムウェア
・攻撃者が手動操作で組織NW内を渡り歩き奥深くに侵入される・AVやEDRが未導入の箇所を経由するか無効化される・二重脅迫のために暗号化前に情報を持ち出す
・バックアップサーバも事前に攻撃し復旧不可能にする・Active Directory等を経由し全PCやサーバを一気に暗号化・被害拡大のため夜間、休日、早朝に攻撃・侵入から最終攻撃の実行までは約1週間※ただし2023年に入り攻撃の被害レベルが2極化しつつある※暗号化をせず情報だけ窃取するケースも流行©Macnica,Inc.

15

日系企業の海外拠点の被害•••

公開情報から確認できる範囲でも日本企業の被害の多くは海外拠点で発生している事が多い
被害総数380件中 115件 (30%)が海外拠点または海外拠点きっかけのインシデントとなっている
実態としてもこの数字以上に日本企業のインシデントは海外で発生している✓被害が発生した拠点の分布✓被害拠点の明記
100%
90%
80%

英国4
70%

19

デンマーク1
欧州10

86

64

ドイツ1 *国名無し
オランダ1

96

60%

カナダ1

中国6

海外拠点 10
※国名無し

明記なし

50%

海外

スペイン2

インド 3

台湾5

40%
30%
20%
7

49

30

ベトナム 4
タイ6

29

10%

アジア 1
シンガポール 6
インドネシア4マレーシア3
フィリピン4

北米2

米国38

メキシコ1
ブラジル1

オーストラリア 2

0%
2020年

2021年

2022年

2023年

©Macnica,Inc.

16

日系企業のインシデント発生原因• 侵入経路として外部に公開されたサーバの脆弱性や設定不備が悪用されるケースが多くなっている• 侵入経路まで明記されるケースは稀だが、それでも2022～23年は30％超の事例で公開サーバが侵入経路✓侵入経路の記述✓なぜ公開サーバが悪用されるのか

100%

•

従来のWebやメール経由の侵入が困難になる一方で公開サーバの企業側の守りや対策が未だに薄い

90%
80%
70%
74

60

52

60%
10

明記なし

50%

公開サーバ
40%
30%

•

攻撃者にとって悪用しやすいクリティカルな脆弱性が高頻度で発見されてしまう※研究者、攻撃者がそれぞれ脆弱性を探している
日

20%
37

31

2022年

2023年

月

火

水

木

金

土

16

10%
1
0%
2020年

2021年

©Macnica,Inc.

17

外部公開サーバ経由で発生するインシデントのグローバル統計• 様々なセキュリティ関連組織発行の公開IRレポートからその組織が対応したインシデントの発生原因のデータを抽出• 外部サーバが起点となっているインシデントの割合（黄色字）は少なくなく平均で63%
発行機関

発行時期

レポート名

Trend Micro

2023年12月

4年半にわたる国内組織のインシデントレスポンスから見えてきた「ランサムウェア攻撃のリアル」とは？

警察庁

2023年9月

警察庁

外部公開サーバや脆弱性が原因になった割合

その他

URL

67%

VPN/RDP/脆弱性※2021年1月～2023年6月

その他 33.3%https://www.trendmicro.com/ja_jp/jpsecurity/23/l/securitytrend-20231211-03.html

令和５年上半期におけるサイバー空間をめぐる脅威の情勢等に
ついて

81%

VPN機器 35件（71％）
リモートデスクトップ 5件（10％）

不審メールやその添付ファイル 2件（4％）
その他 7件（14％）

https://www.npa.go.jp/publications/statistics/cybersecu
rity/data/R05_kami_cyber_jousei.pdf

2023年3月

令和４年におけるサイバー空間をめぐる脅威の情勢等について

81%

VPN機器 63件（62％）
リモートデスクトップ 19件（19％）

不審メールやその添付ファイル 9件（9％）
その他 11件（11％）

https://www.npa.go.jp/publications/statistics/cybersecu
rity/data/R04_cyber_jousei.pdf

SecureWorks

2022年12月【年次レビュー】
2023年サイバー脅威の実態

32%

脆弱性スキャン・悪用 – 32%

・窃取した認証情報の利用 – 32%・フィッシングメール経由で配布したマルウェアの利
用 – 14%https://www.secureworks.jp/resources/rp-state-of-thethreat-2023

SecureWorks

2022年10月

2022 State of the Threat:A Year in Review

52%

Exploitation of remote services

Credentials 39％ 、commodity malware infection 3%
Drive by download 2% 、Phishing 2% 、Network
misconfiguration 2％

https://www.secureworks.com/resources/rp-state-ofthe-threat-2022

Trend Micro

2022年10月

直接侵入に繋がるネットワーク機器の侵害：
新たな脆弱性「CVE-2022-40684」に注意

50%

ネットワーク機器経由
RDP経由 25％

メール経由 4%、その他 13%、不明 33%

https://www.trendmicro.com/ja_jp/research/22/j/fortinet
.html

警察庁

2022年9月

令和４年上半期におけるサイバー空間をめぐる脅威の情勢等に
ついて

83%

VPN機器 32件（68％）
リモートデスクトップ 7件（15％）

不審メールやその添付ファイル 4件（9％）
その他 4件（9％）

https://www.npa.go.jp/publications/statistics/cybersecu
rity/data/R04_kami_cyber_jousei.pdf

COVEWARE

2022年7月

Fewer Ransomware Victims Pay, as Median Ransom Falls in
Q2 202250%

RDP Compromise 約～30％
Software Vulnerability 約20%＋

Email Phishing 約30%～
Other 約20％＋

https://www.coveware.com/blog/2022/7/27/fewerransomware-victims-pay-as-medium-ransom-falls-inq2-2022

Palo Alto

2022年7月

Attackers Move Quickly to Exploit High-Profile Zero Days:
Insights From the 2022 Unit 42 Incident Response Report

46%

ソフトウェアの脆弱性 31%
総当たりによるクレデンシャル攻撃
以前に流出したクレデンシャル 6%

SOPHOS

2022年6月

The Active Adversary Playbook 2022

55%

Exploited Vulnerability 47%
Compromised Credentials 5%
Brute Force Attack 3%

Unknown 36%、Phishing 8%、Download 1%

https://news.sophos.com/en-us/2022/06/07/activeadversary-playbook-2022/

Arctic Wolf

2022年6月

Q1 2022 Incident Response Insights from Tetra Defense

82%

External Vulnerabilities 57%
RDP 25%ーhttps://arcticwolf.com/resources/blog/q1-2022incident-response-insights-from-tetra-defense

Group-IB

2022年5月

Ransomware Uncovered 2021/2022

68%

External remote services 47%
Exploit public-facing application 21％

Phishing 26%、Other 6%https://www.group-ib.com/media-center/pressreleases/ransomware-2022/

警察庁

2022年4月

令和３年におけるサイバー空間をめぐる脅威の情勢等について

74%

VPN機器 41件（54％）
リモートデスクトップ 15件（20％）

不審メールやその添付ファイル 5件（4％）
その他 15件（20％）

https://www.npa.go.jp/publications/statistics/cybersecu
rity/data/R03_cyber_jousei.pdf

IBM

2022年1月

X-Force Threat Intelligence Index 2022

53%

Vulnerability exploitation 47%
Stolen credentials 3%
Brute force 3%

Phishing 40%、Removable media 7%

https://www.ibm.com/reports/threat-intelligence/

Kaspersky

2021年9月

Incident response analyst repot

63%

総当たり攻撃 31.6%
脆弱性の悪用 31.5%

悪意のあるメール 23.7％、ドライブバイダウンロード
リムーバブルメディア 2.63%、内部関係者 2.63%

COVEWARE

2021年4月

Ransomware Attack Vectors Shift as New Software Vulnerability
Exploits Abound70%

RDP Compromise 約～50%
Software Vulnerability 約20～%

Email Phishing 約～30%
Other 約～5％

52%

25％

©Macnica,Inc.

9％フィッシング 37％、内部脅威 5％、ソーシャルエンジニアリン
https://unit42.paloaltonetworks.jp/incident-responseグ 5％、信頼関係の悪用・信頼されたツールの悪用 4％、そのreport/ほか 3％

7.89%、 https://media.kaspersky.com/jp/pdf/pr/Kaspersky_IRA
nalystReport2020-PR-1056.pdf
https://www.coveware.com/blog/ransomware-attackvectors-shift-as-new-software-vulnerability-exploitsabound18

日系企業の外部公開サーバの状況• 一般的な大企業では1グループあたり数百～2、3千台（平均1400台）の外部公開サーバを運用している• その内、平均で約67%程度のサーバを本社情シスが把握できていない

旧東証一部上場企業 50社のサンプル調査• 本社企業が問題を有するケースは約40%も、海外や子会社まで含めると90%もの企業で問題点を検出• 膨大な数のサーバを常時セキュアにすることは難易度が極めて高い
サポート切れOS（Windowsサーバ、CentOS）が稼働

サポート切れソフトウェアが稼働

リモートデスクトップが公開されたサーバを利用

5
24%

15

10%

12

38

76%
・古いものだとWindows 2000（2010年EOL）や Server 2003 （2015年EOL）

45

90%・ApacheやPHP、OpenSSL、OpenSSH、MariaDB、Serv-U等

35

30%

70%

・上記の内4社分はテレワークPC※バックポート修正版の可能性が高いものは除いて調査を実施©Macnica,Inc.

19

Exchange Server/ProxyNotShellの脆弱性の国別対策傾向• 2022年9月にゼロデイ脆弱性として報告され2022年11月にパッチが公開された脆弱性 ProxyNotShellの対処スピード観測• 欧米はパッチ公開から1ヶ月で約半数が対処されているところ、アジア圏では25％程度しか完了していない• 対処が遅い国（右グラフ）もアジア圏ばかりが上位を占めている✓脆弱サーバの割合推移（地域別）✓脆弱サーバの割合推移（国別）
100%

100%
90%

90%

80%

80%
77%
75%

70%

74%
72%

100%

Korea
98%

96%

Indonesia

73%
70%

61%

60%

59%

57%
54%

Asia
Other

50%

Europe and America

57%
54%
52%
49%

50%

RussiaHong Kong
ThailandIndia
SingaporeJapan
Taiwan

40%

Italy
34%

30%

China

60%

Global
40%

87%
83%
81%
78%
75%
72%
71%
67%
63%

30%

TurkeyGlobal20%
20%

UnitedKingdom
France10%10%United States

0%30-Sep11-Nov

14-Nov

15-Dec27-Dec0%Germany
30-Sep※データ取得タイミングの都合上グラフの日付が等間隔ではない点にご留意ください ©Macnica,Inc.

11-Nov

14-Nov

15-Dec27-Dec20

Atlassian Confluence/CVE-2022-26134の脆弱性の国別対策傾向•••

ゼロデイの脆弱性で2022年6月2日にパッチが公開、その後も継続的に悪用が報道されている
2022/12/4時点ではグローバルで7001台中2303台、日本国内では43台中28台が脆弱なまま
パッチ公開から約半年が経過し欧米では脆弱サーバが2割まで減少するもアジア圏では7割残る✓脆弱サーバの割合推移（地域別）
100%✓脆弱サーバの割合推移（国別）
100%

100%

China
Japan

96%
90%

Hong Kong

90%

89%
85%

86%

Korea

86%

Viet Nam

80%

80%

Russia

77%
70%

73%

72%

59%

62%
57%

64%

64%

58%

58%

60%

65%

Poland61%

Belgium
GlobalGlobal50%

Europe and America
Asia

40%

Canada

50%

49%

40%

40%

33%
30%

33%
30%

25%
23%

FranceAustralia

37%

20%

Singapore
Iran

67%

65%
60%

73%

70%

20%

FinlandUnited Kingdom
United States

26%

Czech Republic

22%

SwedenItaly
Netherlands

11%

10%

10%

IrelandGermany0%

Switzerland

0%3-Jun 9-Jun 21-Jun 15-Jul 25-Jul 3-Aug 3-Oct 4-Dec

3-Jun※データ取得タイミングの都合上グラフの日付が等間隔ではない点にご留意ください ©Macnica,Inc.

9-Jun

21-Jun15-Jul

25-Jul

3-Aug

3-Oct

4-Dec

Austria21

ゼロデイ脆弱性の悪用によりグローバルでの被害が急増
・ゼロデイ脆弱性＝メーカによるパッチ公開前に攻撃者がセキュリティホールを発見し攻撃に利用される脆弱性
・ゼロデイ脆弱性の悪用は年々増加しており2023年は特に被害が深刻化しグローバルでの被害が急増した要因となった
話題になった時期

2023年1月

2023年2月

2023年3月
2023年4月
2023年5月
2023年6月

2023年7月

2023年8月

2023年9月

2023年10月

2023年11月

2023年12月

製品
ZOHO ManageEngine
Exchange Server
Cacti
CentOS Web Panel
FortiGate
IBM Aspera Fasted
VMware ESXi
SugarCRM
Go Anywhere
FortiGate
Adobe ColdFusion
Papercut MF/NG
Veeam Backup
Barracuda ESG
Rucks Wireless Admin
Zexel
FortiGate
MoveIT Transfer
ZimbaraArrayAG
Adobe ColdFusion
Citrix ADC/Gateway
Ivanti MDM
Citrix Share Fileノースグリッド Proself
Ivanti Sentry
OpenFire
Apache RocketMQ
MinIO
JetBrains TeamCity
Cisco ASA
Progress WS_FTP Server
F5 BIG-IP
Cisco IOS XE
Atlassian Confluence
Citrix ADC/Gateway
ノースグリッド Proself
ownCloudAtlassian Confluence
Apache ActiveMQ
SysAidQlik Sense
Apache Struts 2
Barracuda ESG
Apache OFBiz

CVE
CVE-2022-47966
CVE-2022-41040等
CVE-2022-46169
CVE-2022-44877
CVE-2022-42475
CVE-2022-47986
CVE-2021-21974
CVE-2023-22952
CVE-2023-0669
CVE-2022-41328
CVE-2023-26359等
CVE-2023-27350
CVE-2023-27532
CVE-2023-2868
CVE-2023-25717
CVE-2023-28771等
CVE-2023-27997
CVE-2023-34362
CVE-2023-37580
CVE-2023-28461
CVE-2023-29298等
CVE-2023-3519
CVE-2023-35078等
CVE-2023-24489
CVE-2023-39415等
CVE-2023-38035
CVE-2023-32315
CVE-2023-33246
CVE-2023-28432
CVE-2023-42793
CVE-2022-47966
CVE-2023-40044
CVE-2023-46747等
CVE-2023-20198
CVE-2023-22515
CVE-2023-4966
CVE-2023-45727
CVE-2023-49103
CVE-2023-22518
CVE-2023-46604
CVE-2023-47246
CVE-2023-41265
CVE-2023-50164
CVE-2023-7102
CVE-2023-51467

ゼロデイ

大規模被害
◯

通常のランサムウェア

◯
◯
◯
◯
◯
◯

◯

・標的組織を数日～数週間をかけてじっくりと攻撃するため被害組織数は限定的
・攻撃の過程で被害組織に気づかれて阻止される可能性も高い◯①不正アクセス◯◯②情報持ち出し◯◯◯◯③暗号化・破壊
④脅迫

◯
◯
◯
◯

◯

ノーウェアランサム（情報窃取型ランサム）◯◯・ゼロデイを悪用し一気に世界中の数百～数千の公開サーバへ攻撃を行う
・情報窃取のみとなるため気づかれるリスクもなく暗号化機能の開発コストも不要
◯

◯

◯
◯
◯
◯
◯

◯

①不正アクセス②情報持ち出し

◯

③脅迫
◯

◯

◯

©Macnica,Inc.

22

被害急増の原因となった主な事件
ESXi Args
・2月にVMware ESXiの既知脆弱性を悪用
・数日間で4000台超のサーバが暗号化

GoAnyWhereMFT
・2月にランサム攻撃者Cl0Pがゼロデイ脆弱性を悪用
・グローバル約130社が被害にあう

MoveIT Transfer
・6月にランサム攻撃者Cl0Pがゼロデイ脆弱性を悪用
・グローバル３００0社弱が被害にあい7700万人分の個人情報が漏洩

Citrix・ゼロデイ脆弱性で7月頃認証情報を窃取するWebShellが数百台に設置される事案が発生
・ゼロデイ脆弱性で11月頃にセッショントークンを窃取可能な脆弱性 Citrix Bleedが発生し被害続発© Macnica, Inc.

23

要注意ホスト、要注意プロダクト
自社環境での1のようなサーバの駆逐、2・3の製品のパッチ管理が非常に重要
2 ネットワークアプライアンスへの攻撃（不正ログイン、脆弱性悪用）

1 特定ポートに対する不正ログイン

Citrix（ADC、Gateway）、
Ivanti（EPMM、Sentry、Pulse Secure、旧 MobileIron ）Cisco（IOS/IOSXE機器、ASA、RV、Small Buisiness等）
Fortinet（FortiOS機器）
SonicWall（SMA） F5(Big-IP)、Palo Alto（PAN-OS機器）、Zyxel、Sophps（UTM、FireWall、 Web Appliance ）、WatchGuard、Juniper（Junos OS機器）

RDP、WinRM、SMB

3 サーバーソフトウェアの脆弱性悪用
Microsoft Exchange Server、Zimbra、ZOHO（ManageEngine、Service Desk、 Desktop
Central ）Atlassian（Confluence 、BitBucket、Crowd、Jira）
Vmware（ESXi、Workspace ONE、Horizon、vCenter等）
Mitel MiVoice、Microsoft Sharepoint※本スライドは上記メーカや製品に問題があることを示すものではありません。脆弱性はいかなるソフトウェアでも発生し、上記製品は世界中で広く・多く利用されているため、特に狙われやすいという背景もあります。
©Macnica,Inc.

24

ここまでのまとめ

1

ランサム攻撃件数は高止まり
今後数年間は継続する

4

日本企業は海外が弱い
特にアジア圏の拠点に注意

2

土日・早朝・夜間などの人がいない時間帯の攻撃に注意

3

5

公開サーバ起因のインシデントが再び増加中

6©Macnica,Inc.

侵入後の横移動により被害範囲が拡大する

自社グループの国内外サーバの把握と脆弱性管理（ASM）の徹底を

25

脆弱性対処のトレンド©Macnica,Inc.

26

脆弱性対策のあり方・常識の変化について
これまでの脆弱性対策

これからの脆弱性対策✓ 可能な限りすべてのパッチを適用✓ リスクの高い脆弱性を最優先で対処✓ 脆弱性を抱える資産の性質は加味しない✓ 攻撃を受ける可能性や保持する情報やインパクトも加味・CVSS 7.0以上の場合は優先度を上げる※サーバやホストが侵害された場合のビジネスリスク※サーバの設置セグメント 等

専用の脆弱性管理ツールの活用✓ Excelなどで対応状況を人手で管理✓ ※新たなソリューションカテゴリの出現
・Risk Based Vulnerability Management（RBVM）
・Vulnerability prioritization technology (VPT)
・Software Bill of Materials（SBOM）✓ 結果として本来対処が必要な脆弱性にも対処の手が回らずインシデントにつながっている✓

限られたリソースの中でも効果的にリスクに対抗©Macnica,Inc.

27

リスクの高い脆弱性とはなにか？
脆弱性に関するよくある誤解
CVSS7.0以上の脆弱性は特に危険なため✓ 優先して対処が必要である✓ 脆弱性は全てリスクがあり危険なので対処すべき
IT News〇〇の複数の緊急の脆弱性
202X年4月○○に複数の脆弱性、○百万台に影響
202X年4月○○に緊急の脆弱性、至急アップデートを
202X年4月○○の定例アップデートで○件の脆弱性
202X年4月©Macnica,Inc.

28

CVSS7.0以上は特に危険なため、優先して対処が必要か✓ CVSS管理関係団体（CERT/CC）からCVSSによる優先度付は誤用である旨が指摘されている

CVSSは、脆弱性の技術的な深刻度を測定するように設計されているにも関わらず、脆弱性の優先順位付けとリスクの評価の手段として広く誤用されています。

CVSSは脆弱性の深刻度を評価します。セキュリティリスクではありません。
TOWARDS IMPROVING CVSS/ December 2018https://resources.sei.cmu.edu/asset_files/WhitePaper/2018_019_001_538372.pdf
https://insights.sei.cmu.edu/blog/towards-improving-cvss/©Macnica,Inc.

29

CVSSによる優先度付の限界✓ 2022年に特定された約20000件の脆弱性・High/7.0-8.9 が 40％
・Critical/9.0-10.0 が 17％→ CVSSベースでは半数以上が至急対処となる

https://www.tenable.com/blog/you-cant-fix-everything-how-to-take-a-risk-informedapproach-to-vulnerability-remediation

7.0未満でも優先して対処すべき脆弱性は存在する✓ CVSS※主に権限昇格系の脆弱性※CVSS7.0 未満の脆弱性組み合わせでの攻撃もしばしば発生

https://www.first.org/epss/model

CVSSは脆弱性を評価する重要な指標だが、対処の優先度付としてはそれのみを根拠とすべきではない©Macnica,Inc.

30

実際にリスクとなる脆弱性は全体のごく一部である✓公表される脆弱性（CVE付）の中で攻撃が可能で実際に悪用される脆弱性は約約5％程度 しかない*1✓悪用が報告された脆弱性は自社への攻撃へ使われる可能性があるため最速での対処が必要

極めて容易に攻撃が可能
攻撃が成立する可能性が高い
限定された条件下で攻撃が成立する
可能性がある

脆弱性悪用条件不明
攻撃方法が未実証

攻撃手法の情報やPoCがある*1：悪用される脆弱性の割合に関するデータ
https://www.cisa.gov/binding-operational-directive-22-01
https://www.tenable.com/risk-based-vulnerability-management
https://www.kennasecurity.com/blog/what-is-risk-based-vulnerability-management/
https://www.xmcyber.com/is-prioritization-important-in-risk-based-vulnerability-management/
https://www.recordedfuture.com/prioritize-patching-vulnerability-intelligence/https://weis2019.econinfosec.org/wp-content/uploads/sites/6/2019/05/WEIS_2019_paper_53.pdf
https://blog.aquasec.com/container-vulnerability-management
https://outpost24.com/blog/reduce-and-prioritize-remediation-efforts-with-likelihood-of-an-actual-attack©Macnica,Inc.

31

少し前の大きなニュース✓ 米国連邦政府の方針変更 CISAによるKEVカタログの運用開始とリスクベースへの転換
・Known Exploited Vulnerabilities Catalog
・米国 国土安全保障省 サイバーセキュリティ・インフラセキュリティ庁が運用
・実際に悪用されていることが報告された脆弱性のリスト
・21年11月3日に運用が開始
・合計1072件の脆弱性が掲載されている（2024年1月29日現在）
・CISAが悪用を認識し24時間以内に不定期に情報が更新される
・米国 連保政府機関は掲載された脆弱性は指定期日（原則2週間）までに対処必須
・以下URLより無償で誰でも参照可能
・WEB、JSONやCSV、メール通知で情報取得が可能

https://www.cisa.gov/known-exploited-vulnerabilities-catalog
sends a clear message to all organizations across the country to focus remediation effortson the subset of vulnerabilities that are causing harm now
全国のすべての組織に対し、今まさに被害をもたらしている脆弱性のサブセットに改善の努力を集中させるという明確なメッセージを発信しています。

https://cyber.dhs.gov/bod/22-01/#what-is-the-difference-betweenvulnerabilities-listed-in-the-national-vulnerability-database-nvd-andthose-in-cisas-catalog-of-known-exploited-vulnerabilities-kevs

Agencies are not required to patch all CVEs. To be effective, vulnerability management programs musttake active threats into consideration.

政府機関は、すべてのCVEにパッチを適用する必要はありません。脆弱性管理プログラムを効果的にするには、アクティブな脅威を考慮に入れる必要があります。

©Macnica,Inc.

32

限られたリソースは現実的なリスクへの対策に投入すべき大量の蟻に壁がかじられてビルが倒壊

隕石の直撃に備えたシェルターハウス

高度な知能に進化した
イルカの襲来

地震対策

火災対策

不審者対策

©Macnica,Inc.

33

脆弱性情報のソース••

全パッチ適用が可能な組織はそれを継続すべきだが、それが難しい場合は特にリスクの高い脆弱性について対処する
リスクの高い脆弱性を把握するための推奨の情報ソース✓Bleeping Computer
・脆弱性に関する情報以外も配信する海外メディア
・取り上げる事案の選定、内容の粒度や信頼性、スピードに優れる
・脆弱性ニュース内のPoCや攻撃発生に関する記述に留意✓無償の脆弱性インテルサイト

https://www.bleepingcomputer.com/
PoC code：脆弱性の利用を実証したコード
The researchers found that an attacker could exploit the vulnerability by sending a
specially crafted packet to the VPN server, causing it to crash and leak memory
contents. By analyzing the leaked data, an attacker could obtain the private key
used for encryption and decryption, as well as user credentials and session data.
To demonstrate the severity of the vulnerability, the researchers also released a
proof-of-concept (PoC) code, which can be used to reproduce the exploit.

当日配布資料でのみ掲載

In the wild：脆弱性を悪用した攻撃発生を示す言葉
A critical vulnerability in SecureLink VPN has been exploited in the wild,
according to reports by multiple security firms. The vulnerability, which was
discovered last month by security researchers, allows attackers to bypass
encryption and access sensitive information, including user credentials andsession data. The flaw affects the latest version of SecureLink VPN on all
major platforms, including Windows, macOS, iOS, and Android.
※上記は実際のBleeping Computerの記事ではなく架空のサンプル文章です
Written with ChatGPT©Macnica,Inc.

34

要警戒 情報窃取特化型マルウェア
InfoStealer©Macnica,Inc.

35

Info Stealerとは？
• 情報窃取に特化したマルウェアのこと• Webやメール経由でPCに感染し様々な情報を攻撃者へ送信する
https://xxxxxxxxxxxxxxxxxxxxxxxxxx

XXツール インストーラ

✕

検索

スポンサー
XXXXをインストール
様々なPCの作業を快適に。最新版のインストールはこちらら
XXX 公式サイト
PCの作業を快適にするツールの開発を行っています

ソフトウェア集
PCの作業を快適にするツールの開発を行っています

Webサイト（広告の悪用）

TO:xxxxxxxxxxxx
From:xxxxxxxxxxxxxxxxx
ご担当者様
今度宿泊をするものです。
私の娘に食事のアレルギーがあります。
このURLから食品リストのファイルをダウンロー
ドしてください。
32GB Memory

https://drive.google.com/soipxxxxxxxxxxxxxxxxxx

メール添付ファイル

USBメモリ中のファイル※ニセソフトやアドウェア
ブラウザやメーラに保存された認証情報
キーボード入力、スクリーンショット
クリップボード情報、各種アカウント情報
カード、口座情報、メール等©Macnica,Inc.

36

認証情報の漏洩とその悪用による不正侵入に警戒・何らかの理由でシステムログイン用のIDとパスワードが漏洩し、それを悪用され不正侵入されるケースが急増中
・2023年に国内セキュリティベンダが実施した調査でも国内500社中100社超の情報がInfo Stealer経由で漏洩していることが確認
https://image.sompo-rc.co.jp/infos/20231016_1.pdf
Info Stealerの感染台数推移
・毎年、前年比で2倍以上の勢いで感染台数が増加中

認証情報窃取により組織への侵入が発生したインシデント
・日系企業のプレスリリースの中でこのパターンが大きく増加
・昨年まではこのような記載は見られず2023年の特徴

・様々な種別のInfo Stealerが開発されており攻撃者側も本領域に注力中

時期

企業

コメント

2023年10月

IT

攻撃者により一部社員のアカウント／パスワード情報が盗まれました。これを起点に以下の攻撃を受けました。

2023年8月

製造

攻撃者は、流出済みのVPN の認証情報を利用し、弊社の業務用サーバ等に不正にアクセスし、ランサムウェアを実行し、データの暗号化を行ったものと考えられます。

2023年6月

製造

リモートアクセスで実際に利用するIDやパスワードを何らかの方法
で攻撃者により特定され、内部ネットワークへ侵入されたものと見られる。特定された背景などはわかっていない。

IT

クラウドAZタワーの利用者に対して、IDとパスワードをパーパスが割り当てている。ある事業者が使っていた正規のIDとパスワードを使用して侵入してきた。1社だけでなく、複数の企業にそれぞれ発行したIDとパスワードだったIT

再発防止策として以下内容を対応しております。
・各種アカウントの認証情報リセット、管理ポリシーの見直し、社内ネットワーク通信のセキュリティ強化

建設

当社が管理運用していたVPN機器の管理アカウントのパスワードが推測可能なものであったため、当社が導入していたVPN機器を経由して当社内サーバー等への不正なアクセスに利用されていたとのことでした。

2023年3月

製造調査の結果によれば、攻撃者は、何らかの方法で当社の VPNに侵入し、これを通じて当社社内サーバーに侵入して、ランサ ムウェアを実行し、ファイルの暗号化を行ったものと考えられます。

2023年1月

サービス

今回の不正アクセスは、サーバーの脆弱性を利用した攻撃であり、弊社のネットワーク設定やパスワードの強度の問題により発生したものと考えております。

2023年6月

2023年5月

2023年4月©Macnica,Inc. https://x.com/stealthmole_int/status/1656528528287088642?s=2037特に考慮が必要なポイント✓ アジア、東南アジア圏✓ 社員の私用PC感染

•
•

•
•

•

外部ファイルの取得/実行に抵抗が少ない
Info Stealerの感染数が非常に多い• 被害の多い国を攻撃者も狙っている
海外拠点から未把握経路での国内侵入に注意

社内システムの認証情報が個人PC経由で漏洩
Chromeの同期機能での認証情報流出に注意⑤侵入に利用

④攻撃者に社用システムの認証情報が漏洩①社用PCのChromeに
社内システム利用時の認証情報を保存

私用PC②同一のGoogleアカウント
で両PCにログイン

社用PC③認証情報が同期

備考：Cisco、Retool、Oktaも同期機能要因で被害発生
https://blog.talosintelligence.com/recent-cyber-attack/https://retool.com/blog/mfa-isnt-mfa
https://www.okta.com/jp/blog/2023/11/harfiles/©Macnica,Inc.

38

Info Stealer対策✓ダークウェブ調査サービス
・自社の情報がダークウェブに漏洩していないかを調査するサービス
・InfoStealer経由の情報漏えいも調査可能な場合が多い
・ただし、大なり小なり情報漏洩はあるため慌てない、高額なサービスを購入しないことに注意✓基本的な情報セキュリティルールの徹底
・業務で利用する情報を私用PCに持ち出させない、保存させない※P38のシナリオの対策
・同じパスワードを使い回さない※会社PCと個人PCが同期していない場合でもパスワードの使いまわしがあれば不正ログインリスクが高まる✓テクノロジーでの解決
・CASB機能でGoogleアカウントのログインを制御する
・エンタープライズブラウザでGoogleアカウントのログインを制御する
・Googleの企業向け管理機能を利用する
https://support.google.com/a/answer/1668854?hl=ja©Macnica,Inc.

39

日本企業を狙う標的型攻撃の印象的な事件©Macnica,Inc.

40

サイバー攻撃における脅威分類例
標的型攻撃ランサムウェア

ばらまき型攻擊

ハクティビスト

個人

標的

特定の組織

組織

不特定多数の組織と個人

政府や特定組織

政府や特定組織目的

設計図/政治動向などの知財
個人情報

攻撃

主に侵害されたメールアカウ
ランサムウェアでファイントからのスピアフィッシン
大量のトラフィックをルを暗号 し解除のため大量のトラフィックを検知率の低い遠隔操作マル
グメールに添付のファイルを対象組織に送りサービの身代金を要求する。
対象組織に送りサービ
ウェ アをシステムに常駐さ実行することで、マルウェア
スを不可にするDDoS
近年は更に暗号前にデースを不可にするDDoS
せて、長 期に組織に潜伏しに感染する。オンライン取引
代行サービスの利用、タを窃取 して、データ
や、サイトの改ざん、て情報を窃取 するの盗聴、感染者のクレデン
サイトの改ざん、情報開示に対する身代金 も情報の暴露等
シャルやメールの窃取、組織窃取等要求するケースが増加
内での感染拡大例

LODEINFO
Operation RestyLink
A41APT攻撃キャンペーン

金銭(身代金の要求)

LockBit
CL0P
ALPHV (BlackCat)

自らが主張する政治的金銭(オンラインバンキングア
自己顕示、個人的な動または社会的な理念のカウントなど)機
推進

EmotetRedLine Stealer
QakBot©Macnica,Inc.

Anonymous
Operation Payback

Kevin David Mitnick
Adrian Lamo41

タイムチャート

当日配布資料でのみ掲載©Macnica,Inc.

42特に注意が必要な企業

当日配布資料でのみ掲載©Macnica,Inc.

43

XXXXXを使った配送

当日配布資料でのみ掲載©Macnica,Inc.

44物理的な接近当日配布資料でのみ掲載©Macnica,Inc.

45

進むEDR対策

当日配布資料でのみ掲載©Macnica,Inc.

46

マクニカオリジナルの標的型攻撃分析レポート
以下URLより個人情報登録不要で無償配布中
https://www.macnica.co.jp/business/security/security-reports/©Macnica,Inc.

47

標的型攻撃対策

当日配布資料でのみ掲載©Macnica,Inc.

48本日のまとめ
1 日系企業のランサム被害傾向

被害増加傾向は変わらず
海外、子会社含めた公開サーバの管理を

2 脆弱性対処のトレンド

CVSS基準の脆弱性対処ではなく
特にリスクの高い脆弱性を最速で対処

3 要警戒 情報窃取特化型

情報漏洩被害が急増中
アジア拠点や私用PCからの漏洩にも注意と関連情報

マルウェア Info Stealer

日本企業を狙う標的型
4 攻撃の印象的な事件

物理的なアプローチ
EDR未導入端末の保護©Macnica,Inc.

49

（予備セッション）
多要素認証を無力化する攻撃©Macnica,Inc.

50

多要素認証/MFAとは
1：IDとパスワードを入力する

メール閲覧ポータル

2：認証方式に応じて追加の認証操作が要求されるワンタイムコード入力

827983

ログイン
パスワード

モバイルアプリプッシュ通知

SMS経由ワンタイムコード

電話認証（機械音声）

許可

不許可

認証に以下コードを利用して下さい 838209

ログインを許可する場合
は＊を押してください

QRコード読み取り
デバイス証明書
生体認証（指紋等）©Macnica,Inc.

51

AiTM/Adversary-in-the-Middle• 攻撃者が設置した偽サイトがProxy的に動作しておりユーザが入力したID/Passwordを正規サイトへ中継しつつ、MFA認証後に発行されるCookieも窃取する• 攻撃者は窃取したCookieを利用しユーザのサービスにアクセスする手法• 現在のフィッシングサイトの多くはAiTMの機能を有しているため種類によってはMFAが有効打とならずに自社のM365のテナント等への侵入が行われてしまう

正規サイト

ニセサイト
ログイン

ログイン

パスワード

パスワード

①ログイン

②ログイン
情報が透過
③MFA要求画面へ遷移

ニセサイト④MFA実行③MFA要求画面を透過⑦セッションCookie透過

二要素コード正規サイト
二要素コード⑥セッションCookie発行⑤MFA透過©Macnica,Inc.

52

MFA疲労攻撃（MFA Fatigue）/MFA爆撃（MFA bombing attacks）• ユーザがログインを許可するまでMFAリクエストを送り続ける手法• 一時期この手法が流行し被害が多発していたが現在はサービス側で対処され減少傾向• 見覚えのないログイン承認要求は拒否するようなユーザ教育は継続して必要①正規ID/Passwordによるログイン試行②大量のプッシュ通知

正規サイト
ログイン
パスワード

④ログイン許可③操作ログイン許可※攻撃者が正規のITスタッフを装い利用者へ連絡して認証の許可操作を迫ることもあり

2022年8月 Cisco：従業員が個人Googleアカウント侵害＋MFA疲労＋ヴィッシングで攻撃を受けるCisco社内のデータが窃取されリーク
https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html
2022年9月 Uber：外部委託先のカスタマー サポート エンジニアのアカウントをMFA疲労＋ヴィッシングで侵害VPN経由で社内の様々なシステム情報が暴露される
https://www.uber.com/newsroom/security-update/©Macnica,Inc.

53

多要素認証を回避する手法まとめ

当日配布資料でのみ掲載©Macnica,Inc.

54

AiTMについての対策案

当日配布資料でのみ掲載©Macnica,Inc.

55

・本資料に記載されている会社名、商品またはサービス名等は各社の商標または登録商標です。なお、本資料中では、「™」、「®」は明記しておりません。
・本資料のすべての著作権は、第三者または株式会社マクニカに属しており、（著作権法で許諾される範囲を超えて）無断で本資料の全部または一部を複製・転載等することを禁じます。
・本資料は作成日現在における情報を元に作成されておりますが、その正確性、完全性を保証するものではありません。

©Macnica,Inc.