SHIELD Security Reserch Center

TABLEOFCONTENTS

ダーク・タンジェント インタビュー ……………………………………………………… 3
日本における悪質なプロキシサーバー運営業者の摘発事例……………………………… 7
Threat Scope ………………………………………………………………………………… 9●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2015. All rights reserved.

2

主催者が語るＤＥＦＣＯＮの舞台裏や米国セキュリティ業界のトピック

Dark Tangent

23

ダーク・タンジェント

インタビュー

IoT の普及が加速する中、あらゆるもののセキュリティが問われるようになってきた。そして、この潮流に一役買っているのが BlackHat や DEFCON だ。これらのカンファレンスでは、インターネットと物理世界とをつなぐセキュリティがいち早く注目されていた。今年も自動車の遠隔操作を可能にするハックを始め、衛星によるデータ通信の傍受や、産業用に使われるイーサネットスイッチの脆弱性など、数々の講演が行われた。今回は主催者であるダーク・タンジェント氏に今年の DEFCON や米国のセキュリティ業界のトピックなどについて話を伺った。
●インタビュー = 笠原利香（Rika Kasahara）●写真＋構成 = 斉藤健一（Kenichi Saito）

3

Q1

Q3

BlackHat と DEFCON、それぞれの参加者

今年はカーハッキングや IoT ハッキング数について教えてください。など、新たなヴィレッジ（ワークショップ）が設けられましたが、この意図などをお聞かせく

A1

ださい。

こちらで把握している大まかな数字を言うと、BlackHat はトレーニング受講者をA3含めて約 1 万人。103 ヵ国の人々が参加してくれ

今年から会場のホテルが変更となり、スました。一方、DEFCON の参加者は 1 万 8000 人

ペースが広くなったことで、いろいろなほどになります。

ことにチャレンジできるようになりました。OpenCTF の復活などもその一環です。個人的にうれし

Q2

DEFCON は今年から会場が Paris と Bally's

く思っているのは、テスラ社の CTO（最高技術責に移りました。参加者の評判はいかがで任者）である JB・ストラウベル（Straubel）氏が訪れてくれたことです。彼はテスラ社製品のハッすか ?

キングの講演にゲストとして登場し、脆弱性を見A2

開催初日、最初の講演を聞くために大勢つけてくれるハッカーたちに感謝の言葉を述べての人が会場に押し寄せ、3000 名もの人がくれたのです。

廊下で立ち往生してしまいました。このままではまた、規模は小さいのですが、バイオハッキン

参加者から私に大量のクレームが来てしまうと心グに関するヴィレッジが新設されたこともつけ加配したのですが、スタッフがいろいろと対策を講えたいと思います。私自身も詳細まではわかりまじてくれました。例えば、Paris 側で行われているせんが、健康や睡眠、運動、人体に埋め込み可能講演トラックの 1 つを Bally's 側に移動したり、複なセンサー、バイオリズムやバイオフィードバッ

数ある講演トラックの終了時間をずらしたりする

ク、食品やサプリメントなどに焦点を当てているなどして、大量の人が同時に移動することのないのだと思います。
最近ではセンサー類が充実してきており、人間ようにしてくれたのです。
長年、運営に携わっているスタッフたちですかのさまざまな活動が計測可能になってきていまら、誰かに指示される前に、自分たちで考え、行す。また、1 日に必要なカロリーや栄養素を摂取動してくれました。この点については彼らに感謝できると謳う「ソイレント」というドリンクなどしています。

もハッカーたちの注目を集めています。こういったことがバイオハッキングの背景にあるのだと思います。
ヴィレッジ運営者の 1 人は、バイオインフォマ
ティックス（生命情報科学）の分野で博士号を持つ人で、ハプティック（haptic：触覚を伝える）ベストというものを紹介していました。ベストには複数のセンサーとモーターが装備されており、周囲の障害物をセンサーが感知してモーターの振動を使ってベストを着ている人に伝えます。この研究を進めていけば、視力を失った人に対してテクノロジーが新たな知覚を提供することにもつながりますから非常にクールだと感じました。

●ダーク・タンジェント（Dark Tangent）
本名はジェフ・モス（Jeff Moss）。DEFCON 主催者であり BlackHat

Q4

チャーリー・ミラー（Charlie Miller）氏の創設者。米国国土安全保障省の諮問委員や ICANN の CSO（最高と ク リ ス・ ヴ ァ ラ セ ク（Chris Valasek）

セキュリティ責任者）などを歴任。長年にわたりハッカーコミュ
ニティと政府機関との橋渡し役を務めている。

氏による自動車ハッキングの発表によって、事態
4

は自動車メーカーの大規模なリコールにまで発展

務省はこの統制品目の中に脆弱性検査などのセしました。ここ数年の間、彼らは研究を続けていキュリティツールも含めたい意向のようで、現在ましたが、自動車メーカーは当初、彼らを拒絶し国内で議論が行われています。

ていたように見えました。もっと早い時期から統制の対象は「軍需品」「汎用品（民生用にもハッカーコミュニティの意見を取り入れていれば軍需用にも使える品）」、およびその技術ですが、よかったのではないかと思っています。

IT の分野では多くのソフトウェアや技術が汎用品また、自動車メーカーの現在の姿勢は、十数年に当てはまってしまいます。WA の問題の 1 つは、前のマイクロソフトの姿にも似ているとも感じまその品がどういう目的で作られたのかを明確に示した。現在のマイクロソフトはハッカーコミュニさなくてはならないという点です。ただし、このティに対して好意的で、指摘のあった脆弱性に対点を明らかにするのは非常に難しいことだと思いしても迅速に対応していますが、かつてはハッますから、結果として弁護士の儲けにつながるだ

カーコミュニティを敵視していたと思います。こけなのではないかという懸念があります。
また、別の論点もあります。米国では最高裁にのあたりはどのようにお考えですか。

おいてソフトウェアはコンピューターが理解できA4

チャーリー・ミラー氏とクリス・ヴァラる「スピーチ」であると認められているのです。

セク氏の発表に関して、リコールを実施ですから、WA は表現の自由にも関係する問題とした自動車メーカーは彼らに対して謝辞を述べるも言え、この点を協調して議論を起こしている人べきだったと思います。

たちもいます。

ソフトウェア業界とは異なり、自動車メーカー仮に草案のまま WA に参加すると、マルウェアの場合は脆弱性への対応に多額の費用がかかると研究の分野などにおいて、解析結果の情報や検体いう問題があります。現在、自動車メーカーはセを異なる国家間でやりとりすることが規制されてキュリティに関わる人材を数多く採用しているとしまいます。WA に基づく輸出入のライセンスを聞いていますから、今後は企業文化も変わってい個人で取得すれば可能になりますが、もちろん、くのではないでしょうか。

現実的とは言えません。

先ほどのテスラ社の例でお話しすると、コミュさらに WA の最大の問題は草案に「ゼロデイ」

ニティから脆弱性の指摘が最初にあったのは、1といった定義があいまいな言葉が多く使われてい年半ほど前のことです。この時、テスラ社にはまる点です。WA の解釈に混乱をきたし、すでに海だ対応するセキュリティチームがありませんでし外への輸出を自主規制する企業なども出てきていた。しかし、現在では CTO 自らが講演に登壇し、ます。これは経済的にも大きな損失だと言えるで迅速なアップデートを約束してくれるまでになりしょう。

ましたから、組織の改善は急速に進んでいるのだ

Q6と思います。

現在においては、ソフトウェアに日々新たな脆弱性が発見され、それを悪用した

Q5

サイバー攻撃も無数に行われており、人々の生活出規制を強化しようとする動きがあるとが危険に晒されています。製造物責任の観点から、いうニュースを目にしました。この件についてご今後ベンダーはソフトウェアの信頼性について、意見をお聞かせください。

より厳しいチェックが要求されることになると思

最近、米国ではセキュリティツールの輸います。一方でベンダーがソフトウェアを開発すA5

ワッセナー・アレンジメント（Wassenaarる際にオープンソースのコードを利用することもArrangement：以下 WA）のことですね。

多いのが現状です。ソフトウェアの信頼性とオー通常兵器の輸出入管理に関する国際協定で、日本プンソースの利用、この 2 つの要素のバランスはも参加しているはずです。参加国ごとに対応は異どのようにとったらよいと思いますか。

なっており、米国でも起草が行われています。商5A6

IoT の普及によってソフトウェアの信頼性10 ドルの被害と 100 万ドルの被害とではソフトへの要求はさらに増していくと思われま

ウェアの作り方にもおのずと違いが出てくるのです。自動車や飛行機など人命に関わるものもネッはないでしょうか。オープンソースのように誰もトにつながるようになっていますし、例えば家庭がコードを読めるものを利用するのであれば、信にあるスマート家電の不具合によって火災などの頼性を保証しないというスタンスもあると思いま事故が発生したとなれば、当然訴訟ということにす。すこし観点はずれますが、マイクロソフトのなり、裁判所の判断も加わってくるでしょう。まWindows XP のようにライフサイクルを終え、今た、これに伴い保険にも注目が集まることになる

後はサポートも行わないし、信頼性も保証しないと思います。という例もあります。

また、信頼性とオープンソースのバランスについては、信頼性が損なわれたときの被害の大き笠原：ありがとうございました。来年の DEFCONさから考慮するのも 1 つの考え方だと思います。にも期待しています。

6

日本における悪質なプロキシサーバー運営業者の摘発事例
APWG eCrime 2015 講演レポート
文 = 斉藤健一

協力 = 坂東賢太郎

どに踏み台として使われるという側面もあり、プロキシサーバーのアクセスログが残されていないプロキシサーバー運営業者を一斉摘発場合、IP アドレスの追跡が困難になる。
昨年 11 月、20 都道府県警の合同捜査本部が複今回の講演で紹介されたプロキシ業者は、直接数のプロキシサーバー運営業者（以下プロキシ業

エンドユーザーと契約するのではなく、中国国内者）へ一斉摘発を行った。8 社の業者が摘発を受け、の代理店と契約する事業形態で、中国国内の代理逮捕者は 12 名にのぼった※ 1。さらに、その後の店がインターネットで広告・宣伝を行い、エンド警察の調べで、押収されたサーバーから大量のユーユーザーとの契約を行っていた。

ザー ID/ パスワードやフィッシング詐欺に使われ中国国内の代理店は、確認されただけでも約たニセサイトのコンテンツなどが見つかったとい180 社は存在しており、中には堂々とサイバー攻う。新聞・TV 等のニュースでも大きく報じられた撃に利用できると宣伝したり、利用者に対して各事件なので、記憶に残っている方も多いだろう。

種攻撃ツールを提供したりするものもあったそう

本年 5 月、スペイン・バルセロナで開催されだ。つまり、「匿名でサイバー犯罪を行う」こと

た APWG 主催の「eCrime 2015」では、この事件を前提にサービスを提供している事業者も存在しの捜査に関わった警察庁の坂東賢太郎氏（現徳島ていたのだ。

県警）による「A Case Study of Arrests of Criminal

こうしたプロキシサーバーは、インターネットInfrastructure Use In Japan（日本で使われる犯罪イバンキングでの不正送金、企業サーバーなどへのンフラの摘発事例）」と題した講演が行われた※ 2。

DoS 攻撃、金融機関のフィッシングサイトの設置

今回、坂東氏に協力いただき、講演の内容を紹介場所、各種会員サービスに対するリスト型攻撃にすることとしたい。

よる不正アクセスなど、あらゆる犯罪に利用されており、まさに犯罪インフラといっても過言ではない状態だったという。

犯罪目的で提供されていたプロキシサーバー

また、捜査の過程でプロキシサーバーの所在をプロキシ（proxy）とは代理の意味。例えば、調査したところ、日本以外の複数国に設置されてWeb サーバーへのアクセスを中継する HTTP プロいることもわかったといい、警察は一刻もはやくキシでは、プロキシサーバーを介することによっ対策を打つ必要性を感じていた。て、ユーザーは直接 Web サーバーにアクセスす警察の取り組みることなく Web のコンテンツを取得できる。一方、Web サーバー側のアクセスログには、プロキシサーバーの IP アドレスが記録される。この仕坂東氏によると対策は非常に困難だったとのこ

組み自体には何の違法性もないが、プロキシサーと。というのも、プロキシ業者が直接不正アクバーは、自身の身元を隠して接続したい犯罪者なセスなどの犯罪行為を行っているわけではないの※ 1 プロキシ業者が一斉捜索を受けた件をまとめてみた

http://d.hatena.ne.jp/Kango/20141119/1416424239※ 2 Symposium on Electronic Crime Research (eCrime 2015)
https://apwg.org/apwg-events/ecrime2015/https://apwg.org/apwg-events/ecrime2015/7

で、日本の法律による検挙が難しかったからだ。
そこで、警察は ISP に協力を仰いだ。それぞれのプロキシ業者は ISP と多数の回線契約を結び、インターネットに接続していたが、この契約を解除するよう ISP に要請したのだ。これまでは、契約回線の中で犯罪などに利用された特定の回線だけを解約してきたが、これでは別の回線で新たな犯罪が行われてしまい意味がない。そこで、何かしらの犯罪が行われた場合、そのユーザーが契約している回線をすべて解除するように要請したというのだ。
そうしたところ、2012 年以降、ISP は自社の契約約款に基づいて、すべての契約を解除すること

図 摘発を受けたプロキシ業者のネットワークの例
ブロードバンドルーターの脆弱性を突いて得た PPPoE の ID/ パに協力してくれたのだそうだ。この対応に坂東氏スワードを使ってインターネットに接続。中国国内のユーザーは、勇気ある決断をしてくれたと評している。

が接続した時点で ISP への不正アクセスとなる（坂東氏のプレゼ

こうして、複数の ISP が対策を講じたことにより、ンテーションスライドより）悪質なプロキシ業者はインターネットへの接続回線ワードが設定されていた。つまり、中国国内のユーを維持できなくなり、事実上営業が困難になった。

ザーがプロキシ業者を通じてインターネットに接続した時点で ISP への不正アクセスとなる。

ブロードバンドルーターの脆弱性を悪用してなお、このツールには自動的に ISP への接続アカウ

インターネットに接続ントを数秒間隔で変更する機能などもあり、まさにサイバー攻撃に特化したものだと坂東氏は指摘する。

しかし、事態は思わぬ方向へと展開する。プロ

さらに、押収したサーバーの調査を続けたとキシ業者の一部が、家庭用に広く普及している

ころ、53 億もの ID/ パスワードの組み合わせや、ブロードバンドルーターの脆弱性を突いて得た

785 万もの SNS の個人情報、フィッシングサイトPPPoE のユーザー ID とパスワードのリストを入のコンテンツなどが見つかったという。

手、ユーザーにこれを使わせてインターネットにそして、この摘発以降、リスト型攻撃の発生が接続するという暴挙に出たのだ（図参照）。

劇的に減少し、不正送金の件数も減少したという警察は捜査の過程でこの事実を突き止め、日本成果もあわせて発表された。

における悪質なプロキシ業者の取り締まりに乗り出すこととなった。

産官学が連携して摘発の概要は記事冒頭でも触れているが、とあ

サイバー犯罪対策に取り組む JC3

るプロキシ業者では、約 20 台の Windows 2003
Server が設置され、それぞれのサーバーにはさら講演の最後には、昨年設立した日本サイバーに約 20 台分の仮想化した Windows 2003 Server

犯 罪 対 策 セ ン タ ー（Japan Cybercrime Controlがインストールされており、合計でおよそ 400 台

Center：JC3）が紹介された※ 3。

分のサーバーが提供されていた。もちろん、これ激増するサイバー犯罪の情勢を踏まえ、産官学らのサーバー OS は違法コピーであり、マイクロが連携し、それぞれの組織が持つ知識や経験を集ソフトの著作権侵害の推定額だけでも 10 億円に約・分析し、それらの情報を共有していくことで、も及ぶという。

脅威に対抗していくことを目的に設立された。海また、それぞれの仮想サーバー内には、ISP 接外機関との連携も積極的に行い、安全・安心なサ続用のツールがインストールされており、ルーイバー空間の実現に貢献していきたい、と坂東氏ターから盗み取った PPPoE のユーザー ID/ パスは語り、講演を締めくくった。

※ 3 一般財団法人 日本サイバー犯罪対策センター

https://www.jc3.or.jp/

8ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#10 企業の商取引を狙った詐欺が急増
文 = エル・ケンタロウ
さらに、これらの企業詐欺の多くは、従来の標Ubiquiti Networks 社が的型攻撃と同様に標的となる人物の調査を周到に4670 万ドルもの詐欺の被害に !

行った後に攻撃へと移っており、メールの文章だ
けを見て詐欺目的なのか否かを判断するのは難し

さまざまなシステムにログインする際、ID/ パいとしている。

スワードの他にセキュリティコードなどを入力

標的にマルウェアを感染させる標的型攻撃と比する 2 段階認証は、Google をはじめ Facebook、べ、技術面においては稚拙だと思われがちなこれ

Twitter など多くの Web サービスで採用され、一らの詐欺行為だが、アカウントの乗っ取りなどよ般にも認知されるようになってきた。

りもリスクが少なく、かつ得られるものが大きい

しかし、FBI（米国連邦調査局）によると、企業ため、攻撃者にとっては費用対効果の大きい手法

取引においても同様に認証の強化が必要だとされである、とクレブス氏は述べる。

る事件が相次いで発生しているという。

多くの場合、詐欺に使われるのは国際取引だ。

ネットワーク関連機器の製造販売で知られる国際的な犯罪となるため、捜査機関の国家間でのUbiquiti Networks 社は、証券取引委員会に提出協力が不可欠となり、犯人の摘発も難しくなるこ

した四半期決算報告書の中で、4670 万ドルの企とを攻撃者は熟知しているのだ。そして、その手業詐欺の被害に遭ったことを公表した。現在、捜口は、取引担当者だけでなく組織の代表を騙り、査が進行中だとして詳細は開示されていないが、経理担当者などに送金指示を出す事例などが確認

セキュリティ・ジャーナリストであるブライアされている。

ン・ ク レ ブ ス（Brian Krebs） 氏 は 自 身 の ブ ロ グ

また、アカウントを乗っ取るパターンの詐欺とにおいて、Ubiquiti Networks 社の被害は、FBI がは異なり、攻撃者が銀行と直接やりとりするので2013 年に警告を発した MITE（Man-In-The-middle-はなく、あくまで被害者自身が正規の商取引と思Email）攻撃、もしくは BEC（取引メール侵害：い込み、攻撃者が用意した取引口座へ送金を行っBusiness Email Compromise）と呼ばれる詐欺にているために、銀行側での不正取引検知のプロセよるものだ、と見解を発表している。

スも回避できる。
さらに、このような詐欺行為の過程で侵害した企業の経営層を標的にしたサーバーからメールを抽出し、標的となる企業がフィッシング詐欺行っている通常取引の状況や役員の出張予定などを把握し、そこから送金につなげられる情報を抜

これらの攻撃は個人を標的としたフィッシングき出して、詐欺のシナリオに反映する事例もある、詐欺と似ているが、標的は主に企業の経営層であとクレブス氏は語っている。

り、その手口もはるかに高度だといえる。一般的なフィッシング詐欺とは異なり、標的が絞り込ま企業取引も認証を強化するよう FBI が警告れているためメールが大量に送信されることはな
く、スパムフィルターなどでの検知も難しいと、

このような被害は 2013 年ごろから増えている

クレブス氏は指摘している。

ことから、FBI は同年 12 月にプレスリリースを9発表。企業取引においてもメールのみでのやりと非米国被害企業 928 社、被害総額 3520 万ドルで、りに注意するように指摘し、メールだけに頼らず合計すると 2 億 1500 万ドルもの被害が発生して電話など他の通信チャンネルの利用や、メールアいるという。
最近では、流ちょうな日本語を使った標的型攻カウントへのデジタル署名の付加などを促してい撃メールが増加していると話題になっている。こる。
今回の Ubiquiti Networks 社の被害額は突出しのことからもわかるとおり、攻撃者の視線の先にているが、FBI のインターネット犯罪苦情センターは日本が見据えられている。日本の企業において(IC3) の統計によると、2013 年 10 月から 2014 年

も、サイバーセキュリティの一環としてこれまで12 月の間で IC3 に報告があった被害状況は、米国の商取引のプロセスを早急に見直す必要があるだ

被害企業数 1198 社、被害総額 1 億 7970 万ドル、ろう。

●参考 URL
・Tech Firm Ubiquiti Suffers $46M Cyberheist
http://krebsonsecurity.com/2015/08/tech-firm-ubiquiti-suffers-46m-cyberheist/・‘Man-in-the-E-Mail’ Fraud Could Victimize Area Businesses
https://www.fbi.gov/seattle/press-releases/2013/man-in-the-e-mail-fraud-could-victimize-area-businesses
・FBI: Businesses Lost $215M to Email Scams
http://krebsonsecurity.com/2015/01/fbi-businesses-lost-215m-to-email-scams/

10