詳細版

TA

BL

E

OFCO

NTE

NT

S

JC3 Forum 2016 レポート… …………………………………………………………………… 3
Threat Scope… ………………………………………………………………………………… 6●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2016. All rights reserved.

2

サイバー脅威の特定・軽減・無効化に向けて

JC3 Forum 2016 レポート
取材 + 文 = 斉藤健一

産官学の連携でサイバー脅威に対抗する JC3
本 年 3 月 10 日、 東 京・ ベ ル サ ー ル 神 田 にて、 日 本 サ イ バ ー 犯 罪 対 策 セ ン タ ー（JapanCybercrime Control Center：以下 JC3）主催の「JC3Forum 2016」が開催された。
JC3 とは、昨今のサイバー空間における脅威の深刻化や複雑化に対処する目的で 2014 年に設立された一般財団法人。産業界・学術研究機関・捜査機関の新たな連携組織であり、サイバー脅威に公益財団法人東京オリンピック・パラリンピック競技大会組織関する情報の収集・共有や海外組織との連携など委員会・警備局長 今井勝典氏の活動を行っている。

パラリンピック競技大会組織委員会・警備局長の今回のフォーラムでは「サイバー脅威の特定・今井勝典氏が登壇、「オールジャパンの危機管理軽減・無効化に向けて」という副題が掲げられた。

体制構築について」と題して講演を行った。

開会の挨拶に立った JC3 代表理事の清水隆明氏は、

今井氏は、オリンピックは世界最大規模のイベ現在のサイバー攻撃による脅威は深刻であると述ントだとし、2020 年の東京五輪では 930 万人のべ、インターネットバンキングの不正送金の被害観客数が見込まれているという。一方、警備概要が史上最悪となり信用金庫などにも被害が拡大しはいまだ決まっていないとしながらも、5 万人規ていることや、日本年金機構の事件をはじめとす模の体制になるだろうとも述べた。

る標的型攻撃による情報窃取が続いていることをまた今井氏は、東京五輪に対する脅威として「テ例に挙げた。

ロによる脅威」「自然発生的脅威（地震・猛暑・また清水氏は、犯罪者はオペレーション（作戦）ゲリラ豪雨など）」「サイバー攻撃による脅威」をとして攻撃を行っており、予防だけに頼るセキュ挙げ、特にサイバー攻撃については「必ずあるもリティには限界があると指摘。状況を変えていくの」と想定して対応すると語気を強めた。

ためには産官学が連携し、脅威全体像の把握、お2012 年のロンドン五輪では、大会期間中に 2よび脅威の軽減・無効化への取り組みが必要だと億回を超えるサイバー攻撃があったとし、開会式強調した。そして、JC3 の取り組みは一定の成果当日には会場に電力を供給するシステムに対すを挙げており、この協調の輪が今後も広がることるサイバー攻撃の可能性もあり、攻撃に備えてを期待すると述べた。

約 250 人の技術者が現地で待機するという事態もあったという。

基調講演はそこで、2020 年の東京五輪ではオールジャパ

2020 年東京五輪のセキュリティがテーマにンの危機管理体制の取り組みとして、「CIRT2020（組織委員会）」、「オリンピック・パラリンピック基調講演では、公益財団法人東京オリンピック・CSIRT（NISC）」、「東京都 CSIRT（東京都）」を設置
3

2020 年東京五輪開催に向け 3 つの CIRT 組織を設置、相互連携

警察庁生活安全局情報技術犯罪対策課・課長の逢阪貴士氏を図る

バンキングにアクセスした時点でニセのページにし、関連組織との連携・協調を図るという具体案

誘導して ID・パスワードやワンタイムパスワードを示した。

をも窃取する MITB（Man In The Browser）と呼ば

CIRT2020 の主な活動内容は、「脅威情報の収集・れるものがあるという。また、逢坂氏は事件の背分析」「外部 CSIRT との情報共有」「CSIRT 要員の後に大がかりな犯行組織の存在も指摘している。

トレーニング」といった日常業務や、有事対応とサイバー犯罪の捜査で欠くことができないのはしての「簡易フォレンジック」「ログ分析」「マル犯行に使われた IP アドレスの特定と追跡だが、海ウェアの簡易分析」に加えて、品質改善活動とし外からの接続、ログが保存されていない、不正にての「各種ガイドライン作成の支援」「職員の教取得された携帯電話からの接続といった理由で追育・研修実施」など。今井氏は、2020 年の開催

跡が困難な事件も多い。に向け段階的な機能拡大と体制強化を図っていきそこで、警察は海外の組織との連携強化や、捜たいと今後の展望を述べた。もちろん、計画実現

査においてクラウド上のデータを差し押さえるのためには人材育成という課題があることも認識「リモート差押」（刑事訴訟法第 218 条第 2 項）をしており、CIRT2020 が果たすべき役割とそのス行うなどの対応を行っているという。また、ログ

キル、および必要な人数を定義し、民間や学生な保存の必要性を協調し、総務相が策定した「電気ども積極的に取り込んで、訓練を重ねていきたい

通信事業における個人情報保護に関するガイドラとも語った。

イン」を取り上げ、接続認証ログの保存期間の目安なども紹介した。

急増するサイバー犯罪被害に講演の後半では、海外の組織と連携したボット

警察はどう立ち向かうのか !?

ネットのテイクダウン作戦や、不正アクセスの温床となっている悪質な中継サーバー業者摘発の事

今回のフォーラムでは、「警察におけるサイバー例、さらに C&C サーバー群の中に警察が管理する犯罪対策と JC3 との連携」と題して警察庁生活安コンピューターを設置し、接続してきた PC に対全局情報技術犯罪対策課・課長の逢阪貴士氏によして不正アクセスを無害化するプログラムを配布る講演も行われた。

するなどの取り組みについても語った。

講演の前半では主にインターネットバンキング
産官学連携による情報共有の意義の不正送金に焦点が当てられた。警察庁の統計によれば、平成 27 年中の不正送金による被害額は約 30 億円と、過去最高だった前年をさらに上回

フォーラムでは「サイバー驚異の特定・軽減・るものだった。その手口は、マルウェアやフィッ無効化に向けて」と題したパネルディスカッショ

シングサイトを用いて利用者の ID・パスワードをンも行われた。この中で、横浜国立大学・大学院窃取するものや、利用者が正規のインターネットの吉岡克成氏が「IoT 機器の大量マルウェア感染」
4

に関する研究結果を発表。監視カメラ・ネットワーの NCFTA（National Cyber-Forensics & Training

ク機器・VoIP ゲートウェイなど 361 種、15 万台Alliance）と JC3 だけなのだそうだ。の機器からおとりシステムの TELNET ポートに対捜査権限をも活用して、脅威の特定・軽減・無して約 90 万回の攻撃が確認されたというものだ。

効化を図ることが組織の目的であり、インター他にも標的型攻撃で使われるメールの文面からネットバンキングの不正送金の事案では、犯行の攻撃を受けている周辺の関連組織や個人の関係流れから見た不正送金グループの全体像を把握も調査しているとのこと。吉岡氏によれば、学術し、犯人検挙の端緒になるなど一定の成果を上げ機関だけではこのような調査はできなかったといているとも述べた。

い、JC3 のような連携組織の重要性を述べた。
また、JC3 業務執行理事の坂明氏は自組織の現在、セキュリティ業界では組織の垣根を超え概要やその活動について触れた。脅威情報を共た情報共有の枠組みの必要性が叫ばれている。そ有する組織としては、ユーロポールのサイバーのような中で捜査権限を活用できる JC3 の意義は犯罪センターである EC3（European Cybercrime

大きい。フォーラム開会での清水氏の挨拶にもあCentre）やインターポールのサイバー担当である

るとおり、この協調の輪が今後さらに広がっていIGCI（Interpol Global Complex for Innovation）なくことを期待したい。

どが存在しているが、民間主導の組織は、米国

5ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#17 大きな脅威になりつつあるランサムウェアに対して組織はどのように対処すべきか猛威を振るうランサムウェア

文 = エル・ケンタロウ

ランサムウェアが現実社会に影響を及ぼす事案も !

ランサムウェアとはマルウェアの一種で、感染した PC のシステムをロックしたりファイルを暗技術的な観点からみればランサムウェア自体は号化したりして人質にとり、身代金を要求する。

決して新しい脅威ではない、セキュリティ研究者

2013 年ごろから話題になりはじめたが、2015 年の間では 1989 年の AIDS トロイの木馬 ( 別名：PC後半から急速に被害が拡大している。

Cyborg) が初のランサムウェアとされている。しかそれまで標的とされてきたのは個人の端末が多し、ここ 1 ～ 2 年でランサムウェアは進化を遂げ、かったが、2015 年 11 月にはサーバーを丸ごと人急激に拡散した。

質にとるランサムウェアが登場した。また本年 3 月、その要因には、ランサムウェアコードの成熟とこれまで被害とは無縁だった Mac OS X でも初のラ作成を容易にするツールの登場、匿名性の高い仮ンサムウェアが確認された。

想通貨の普及などが挙げられる。また、データへランサムウェアが脅威として台頭してきているのアクセス制限という本来ならセキュリティを高背景には、従来の脅威に比べ攻撃主体者が被害者める機能を逆手にとった攻撃も、セキュリティ業に対してデータの身代金を要求することで、攻撃界の不意を突く格好となり、結果として「完全なから容易に金銭的な利益を生み出せることが挙げ嵐（パーフェクト・ストーム）」を生んでしまっられる。米国連邦捜査局（FBI）のインターネットたと言える。

犯罪報告センター IC3 の統計によれば、2015 年に医 療 セ ン タ ー（Hollywood Presbyterian Medicalは 2453 件の被害が報告されており、被害総額はCenter：HPMC）で発生したランサムウェアによる2410 万ドルに上るとしている。しかし、この統計

人質事件は、ネットワーク化された社会においてはあくまでも報告があった事案のみで、潜在的被ランサムウェアの人命・社会への危険性を浮き彫害状況はより深刻だと予想される。

りにした。

本年 2 月にハリウッド長老教会派

ランサムウェアの急増を受けてさまざまなセHPMC では被害発生時に病院内のシステムの一キュリティベンダーやセキュリティ関連シンクタ部が使用不能になり運用に支障をきたしたとされンクは 2016 第 1 四半期にランサムウェアに関するている。また、一部の報告では HPMC は被害時にレポートを次々と発表し、ランサムウェアが予想救急患者の受付を停止し、数名の患者が急きょ別を超える勢いで拡散している事態に警鐘を鳴らしの病院に搬送されることになったとも言われていている。

る。

その中の 1 つ、重要基幹インフラ技術研究所

結果として、HPMC は約 1 万 7000 ドルの身代金（Institute for Critical Infrastructure Technology：を払ったことを明らかにした。実際にランサムウェICIT） が 発 表 し た レ ポ ー ト “ICIT Ransomware

アの被害にあった場合の対処に関してはセキュリ

Report” では、2016 年はランサムウェアが米国のティ業界でも意見が二分化している。身代金を払重要基幹インフラを人質にとる年になるだろうとうのは苦渋の選択と判断する研究者もいるが、一予測している。

方で身代金を払うことで結果的にランサムウェア
6を使った攻撃主体者は資金的に潤い、より悪質なBonavolonta）氏は、「正直、被害者には身代金を攻撃を展開する可能性を指摘する研究者もいる。

払うように勧めている」と答えている。
ランサムウェアの脅威は従来の産業スパイ行為

FBI もお手上げ !

的な脅威とは異なり、感染した場合の被害が甚大解決手段は身代金を支払うこと ?

でネットワーク上のバックアップも暗号化される危険性がある。つまり、感染後の対策が存在せず、あえて対策を挙げるとすれば被害に遭わないよう

前述の ICIT のレポートでは、捜査機関の対応のに予防するしかない。

遅れも被害拡大の原因だと指摘している。本年 2 月、米国サウスカロライナ州ホリー郡にある 51 の公立

もはやパッチの適用などはセキュリティ関連脅学校で構成される学区のネットワークが被害に遭

威対策の一環として片付けるのではなく、日々のい、FBI が捜査にあたったが攻撃主体者を特定でき運用プロセスに組み込むべきであろう。また、ラず、結果として 25 台のサーバーにあったデータのンサムウェアなどの台頭、新しい標的型攻撃への復号のために身代金 1 万ドルを払った例を挙げて警戒など事前に状況を察知するために、脅威インいる。

テリジェンスを迅速に吸収・分析し、エンドポイ

レポートの中で FBI のサイバーと防諜プログラントやユーザーへの対策実施に活かしていくことム（CYBER and Counterintelligence Program）が、組織の脅威対策には求められていくだろう。

責 任 者 の ジ ョ セ フ・ ボ ナ ヴ ォ ロ ン タ（Joseph●参考 URL
Pay up or else: Ransomware is the hot hacking trend of 2016
http://www.cnet.com/news/pay-up-or-else-ransomware-is-the-hot-hacking-trend-of-2016/
FBI Says Threat From ‘Ransomware’ Is Expected to Grow
http://www.wsj.com/articles/fbi-says-threat-from-ransomware-is-expected-to-grow-1457649891
New OS X Ransomware KeRanger Infected Transmission BitTorrent Client Installer
http://researchcenter.paloaltonetworks.com/2016/03/new-os-x-ransomware-keranger-infected-transmission-bittorrent-client-installer/
ICIT Ransomware Report
http://icitech.org/wp-content/uploads/2016/03/ICIT-Brief-The-Ransomware-Report2.pdf
Los Angeles hospital paid $17,000 in bitcoin to ransomware hackers
http://www.theguardian.com/technology/2016/feb/17/los-angeles-hospital-hacked-ransom-bitcoin-hollywood-presbyterian-medical-center
A Hospital Paralyzed by Hackers
http://www.theatlantic.com/technology/archive/2016/02/hackers-are-holding-a-hospitals-patient-data-ransom/463008/
Hospital pays $17k for ransomware crypto key
http://arstechnica.com/security/2016/02/hospital-pays-17k-for-ransomware-crypto-key/

7