セキュリティ on-Demand インテリジェンス 2010

セキュリティ レポート

http://www.hitac hijcoho.com/

目 次
1 エ グゼグテ ィブ・サマリー .................................................................................................................... 32 2010 の総括 .................................................................................................................................... 5
3 スパム： 2010 年の深刻な脅威 ............................................................................................................ 6
3.1スパム をめぐる概況........................................................................................................................... 6
3.2スパムにおけるボッ トネッ トの役目 ....................................................................................................... 6
3.32010 年の各種イベントとニュ ースにより生じたスパム状況 .................................................................... 143.42010 年の重要なスパム 戦術 ............................................................................................................ 15
3.5ウェブメール サービスとスパム .......................................................................................................... 20
3.6スパムの分類 ................................................................................................................................. 21
3.7スパム言語 .................................................................................................................................... 23
3.8ボットネットとスパム言語 .................................................................................................................. 24
3.9スパムで使われるファイル形式 ......................................................................................................... 25
4 MALWARE: 2010 年最大の脅威 ..................................................................................................... 28
4.1ボットネットとマルウェア .................................................................................................................... 29
4.2ターゲット型攻撃 ............................................................................................................................. 31
4.3Bredolab 攻撃：マルウェアの進化の歴史 ........................................................................................... 34
4.4マルウェアのファイルタイプ ............................................................................................................... 36
5 ウェブ： 2010 年の深刻な脅威 ........................................................................................................... 39
5.1ウェブベースのリスクとは ................................................................................................................. 39
5.2ホスティング型マルウェアで使われるファイル形式 ............................................................................... 40
5.3社員のウェブブラウジ ング行動：模範的な行動、リスクを高める行動 ....................................................... 40
5.4 モバイルユーザーによるウェブベースのリスク ..................................................................................... 42
5.5ウェブベースのポリシ ーコントロールのトレンド ..................................................................................... 43
5.6攻撃に利用された正規のウェブサイト ................................................................................................ 45
6 フィッシ ングと詐欺： 2010 年の深刻な脅威 .......................................................................................... 49
6.1フィッシ ングをめぐる概況 .................................................................................................................. 49
6.2ニュ ースやイベントに便乗した詐欺 .................................................................................................... 49
7 複合型脅威: ソーシ ャルメディア ........................................................................................................ 52
8 グローバル化とビジ ネス : 2010 年の深刻な脅威 ................................................................................. 53
8.1サイバー犯罪の蔓延とボッ トネット ..................................................................................................... 53
9 2011 年セキュリテ ィトレンド予測 ....................................................................................................... 55

2

http://www.hitac hijcoho.com/

1

エグゼグティブ・サマリー

本レポートでは、 2010 年における最新情報と、セキュリティをめぐる状況におよぼした影響について詳しく 検証しつつ、2011 年に予測される重大な脅威や懸念分野に関する洞察と分析を提供していま す。 サイバー犯罪者達は、
今年もコンピュ ータや企業を攻撃するための革新的な方法を模索し続け、その結果、 セキュリテ ィをめぐる状況の多くがより高性能なマルウェアにおける技術発展によって特徴づけられることとなりました。
レポートの主な内容は、以下のとおりです。
•
2010 年の世界の平均スパム レートは、前年から 1.4%上昇し、 89.1%となりました。ボッ トネッ トを発信源とするスパムの割合は、大きな伸びを見せ、スパム全体の約 88.2% を占めました。 今年最大の変化としては、 スパ
ム発信地の大幅な移行があげられま す。年始には、 多くのスパム がアジアと南米から発信されていたのに対し、年末には、 ヨーロッパを発信源とするスパムが大多数（世界のスパムの約 30%） を占めるようになりました。2009 年
末には、 96%のスパムが英語で書かれていましたが、2010 年に入りその数は、徐々に減尐し、 8 月には 90%にまで下落し、 その後、横ばいで推移していま す。今では、 流通しているスパムの 10%が現地の言語で書かれています。
•
年間を通じて、 ボットネッ トを遮断しようと多くの試みがなされたものの、 年末には、 アクテ ィブ ボッ トの合計
数は、昨年末とほぼ同数となっていま す。世界中で約 500 万のボッ トネッ トがスパム送信に利用されていま すが、
ボットごとのスパム メール送信数を見ると、 2010 年末時点で 77 通/分と、昨年の約 85 通/分から減尐していま す。
これに伴い、年末にかけて世界で流通するスパム の合計数が減尐することとなりました。ただし例外もあり、特にRustock は、引き続き優勢を保ち、 年末の時点で全スパムの 47.5% に関与していま す。
•
2010 年には、サイバー犯罪者により、 ニュ ースバリュ ーのあるイベントに関連するスパム が多く作成されました。いく つかのイベントは、国内や地域内でしかなじみのないものであったにもかかわらず、 サイバー犯罪者は、
多くの場合、同じ方法で攻撃をしかけていま す。2010 年には、6 月に南ア フリカで開催された FIFA ワールドカッ プ
をはじめとする有名なスポーツ イベントがスパマー達の標的となりました。大会の前後を含む開催期間中を通して、
セキュリテ ィ on-Demand インテリジ ェンスでは、スパム、スキャム、419 型詐欺、マルウェア攻撃など、FIFA ワー
ルドカッ プ関連のさま ざまな脅威を特定しています。 2010 年には、スパマーによるリンク短縮サービスの利用が急増し、もっとも多かった 4 月 30 日には、スパムの約 18.0%に短縮 URL が含まれていました。スパムに何らかの
URL が含まれる割合は、平均 91.1%と、昨年の 91%とくらべて、ほぼ横ばいとなっていま す。短縮 URL が含まれるスパムの割合は、 1.38%（72. 5 通に 1 通）と、 昨年の 0.33%から増加しました。
•
メール トラフィッ クにおけるマルウェア メールの割合は、 平均で 284. 2 通に 1 通（0.352%） と、 昨年の286.4 通に 1 通（0.349%）からほとんど変化はみられませんでした。2010 年にブロッ クされたマルウェア のうち、メール本文に悪質なリンクが含ま れていたものは、約 23.7%と、昨年の 15.1%から増加していま す。 ブロッ クされたメールから見つかったマルウェアは、 33 万 9,600 種以上となり、2009 年から 100 倍以上増加した計算になりま す。
主な要因としてあげられるのが、 ポリモ ーフィッ ク型マルウェア 亜種の増加であり、 これらの亜種は、 通常、 新バー
ジョンのコードをすばやく簡単に作ることができるツールキッ トを使って生成されていま す。その一例が、Pandex ボ
ットネットと Cutwail ボッ トネッ トにリンクした汎用型トロイの木馬の Bredolab であり、2010 年に確認されたマルウ
ェア感染メール全体の約 7. 4% を占めていました。
•
2010 年には、Stuxnet Trojan の登場により、マルウェアがビジネスにおける制御システム ハードウェアに大きな影響をおよぼし、サイバースペースを越えて混乱を引き起こす可能性を持っていることが明らかになりました。
9 月に確認された「Here Y ou Have」ウイルス（W32.IMS OLK.B@mm） もまた、旧来の大量メール送信技術が、今なお有効であること、そして 25 年経った今もシグネチャベースのア ンチウイルス対策が盤石ではないことを世間に知らしめることとなりました。しかし、Skeptic™と 10 年の実績を持つクラウドでのプロアクテ ィブなセキュリティによって、シマンテッ クでは、 お客様をこうした攻撃から守ることに成功しま した。 他の多くのセキュ リティ ベンダーが防御策を展開するころには、攻撃は終息に向かっていました。

3

http://www.hitac hijcoho.com/

•
特定の機密データや、企業の知的財産、社内機密システム へのア クセスを目的としたターゲッ ト型メール攻撃による脅威は、 今年も衰えることはありま せんでした。これらの攻撃は、組織内の特定個人にターゲッ トを絞り、短いメールを送りつけるというものですが、 きわめて深刻な損害を組織に与える可能性を秘めていま す。2010 年
末にセキュリテ ィ on-Demand インテリジ ェンスが特定した 1 日あたりのターゲット型攻撃のブロッ ク数は、 約 77 件と、2009 年の 48 件から増加していま す。
•
2010 年フィッシ ング攻撃としてブロックされたメール トラフィッ クの割合は、平均で 444.5 通に 1 通（0.23%）と、前年の 325.2 通に 1 通（0.31%）から減尐しました。Skeptic™によりブロッ クされたフィッシ ング メールの数は、
1 億 8, 860 万件を超えました。今年のフィッシング メールの流通数は、 約 951 億通と推定されています。 2010 年、セキュリティ on-Demand インテリジ ェンスでは、1,530 の組織がフィッシング攻撃での「なりすま し」に利用されたことを確認しており、その数は、昨年の 1,079 組織から増加していま す。また、全フィッシ ング攻撃の 50%が、5 つの組織で占められて いました（2009 年は 8 組織）。もっとも頻繁に「なりすまし」に利用された組織は、 有名な国際銀行で、今年ブロックされたフィッシング攻撃の 14.9% を占めていました。続いて多かったのは、某大手オンライン小売業者でした。 企業を狙ったスピア フィッシ ング（ あたかも社内の人物から送信されたものであるかのようにア ドレスを偽造したもの）は、今年ブロックされたフィッシ ング メールの 6.3% を占めました。
•
2010 年に悪質であるとしてブロッ クされたウェブサイトの数は、1 日あたり平均 3, 188 サイトと、前年の2,465 サイトから 29.3%増加しま した。セキュリティ on-Demand インテリジ ェンスでは、今年 4 万 2,926 のドメインで悪質なウェブ脅威を特定しましたが、その大半が汚染された正規サイトであることが分かっています。 ウェブによる脅威は、これまでよりもさらに深刻かつ広範なものとなってきており、 今やあらゆるウェブサイトがマルウェア をホ
スティングしたり、ビジ ターを悪質サイトにリダイレクトしたりするのに悪用されてもおかしくない状況です。実際、マルウェア をばらまく目的で立ち上げられたウェブサイトよりも、ウイルスやスパイウェアによって汚染された正規ウェ
ブサイトへの訪問が原因で感染する確率の方がはるかに高くなっていま す。さらには、ドライブバイ ダウンロードなどの攻撃手法が一般化し、感染ウェブサイトに訪問するだけでコンピュ ータが感染してしま うようになってきています。2010 年にブロッ クされた悪質ウェブサイトの 90%近く が、汚染された正規ウェブサイトでした。
•
近年、IT 管理者がもっとも頭を痛めている課題の 1 つに、増加するモバイル労働者をどう保護するか、ということがありま す。今年、セキュリティ on-Demand インテリジェンスが行った分析では、スタッフは、社内よりも社外にいるときの方がハイリスクな行動を取りやすいことが明らかになりました。 オフィスベースのユーザとモ バイル ユーザの 35%が、社内よりも社外にいるときに Web セキュリティ on-Demand でウェブ リクエストがブロッ クされる確率が高くなっていま す。ウェブ ブラウジ ングを行うすべての社員が、5 回に 1 回ほどの割合でリクエストをブロッ クされていま すが、行動は社員によってさまざまです。したがって、組織に対するリスクレベルが特に高い社員を把握しておく ことが重要になってきま す。たとえば、 ウェブ ページ リクエ ストを許可されるよりもブロッ クされる方が多いというユーザは、 全体の 20%存在し、リスクレベルのもっとも高い 14% のユーザにいたっては、リクエストの実に 90～100%がブロッ クされていま す。
•
ソーシャル メディア と Web 2.0 のア プリケーシ ョンの利用者数の増加と、その機能強化に伴い、 数年前からパブリッ ク/プライベートのソーシャル メディア ツールが企業にとって身近な存在となってきています。 同様に、サイバー犯罪者達も興味深い新たな方法で犯罪行為を行う機会が来ることを認識していま す。 2010 年には、 多くのソーシ ャル ネットワーキング プラッ トフォームや、 ソーシ ャル メディア ウェブサイトが日常的に攻撃を受け、悪用されました。たとえば、そうしたサイトから豊富な個人情報を盗み出し、次の段階でよりターゲットをしぼった特定攻撃をしかける、といったケースがありま す。ま た、 正規のア カウントにア クセスするためにソーシ ャル ネッ トワーキングサイトがフィッシングされており、悪質なサードパーテ ィの「アプリ」 を作成して、 ユーザのプロフィール ページに追加するという例も報告されていま す。 多くの正規ウェブサイトが攻撃 を受け、マルウェア のホステ ィングに利用されているのと同じように、正規のアプリであってもウェブサイトに脆弱性があれば悪用される可能性がありま す。

4http://www.hitac hijcoho.com/

2

2010 の総括

脅威をめぐる状況：セキュリティ on-Demand による検出
2010
Global spam rate

Email spam intercepted
Top 5 Geographies

89.1%

Top 5 Verticals

93.5% Italy
93.2% Denmark

92.0% France

1 in 444.5

2010
New sites with malware

501-1000

90.2% 1001-1500

91.2% Marketing/Media

91.3% 1501-2500

91.0% Education

Top 5 Geographies

90.1% 2501+

Top 5 Verticals

By Horizontal

Gov/Public
Sector1 in 158.6 Education

1 in 147.2 South Africa

1 in 290.2 1-250

1 in 70.5

1 in 164.6 United Kingdom
1 in 174.1 Spain2010

251-500

90.4%

Email virus intercepted

1 in 284.2

Global phish rate

90.1%

91.3% Accom/Catering

91.5% Switzerland

2010

89.7% 1-250

93.0% Automotive

92.0% Austria

Global virus rate

By Horizontal

93.5% Engineering

1 in 185.3 Engineering

1 in 229.0 Oman

1 in 238.9 Marketing/Media

1 in 237.8 Switzerland

1 in 276.6 Prof Services

1 in 336.9

251-500

1 in 329.6

501-1000

1 in 379.0 1001-1500
1 in 302.5 1501-2500
1 in 261.3 2501+
Annual 2010 (Jan-Nov)

Email phish intercepted
Top 5 Geographies

Top 5 Verticals

By Horizontal

Gov/Public
1 in 104.3
Sector1 in 207.8 Education

1 in 99.0 South Africa
1 in 214.8 United Kingdom
1 in 341.9 Oman

1 in 367.4 Marketing/Media

1 in 424.0 United Arab Emirates

1 in 379.7 Non-Profit

1 in 568.1 New Zealand

1 in 381.4 General Services

1 in 375.3 1-250

1 in 575.8

251-500

1 in 575.8

501-1000

1 in 685.4 1001-1500
1 in 599.9 1501-2500

1 in 407.9 2501+

Web malware and spyware
New websites blocked hosting malicious content and spyware (per day)

3,066

New websites with web viruses/day

New websites with spyware
J

F

M

A

M

J

J

A

S

O

N

8,000
7,000
6,000
5,000
4,000
3,000
2,000
1,000
-

5

http://www.hitac hijcoho.com/

3

スパム：2010 年の深刻な脅威

3.1 スパムをめぐる概況

図 1 - スパム レート

2010 年の世界の平均スパム レートは、前年から 1.4%上昇し、 89.1%となりました。8 月には、 Rustock ボッ トネッ
ト拡散のための新亜種の種まきが積極的に行われ、 感染したボットがすぐに使用され始めた ことで、 ボットネッ トを発信源とするスパムの割合が 95%に上昇し、世界のスパム レートは、92.2%のピーク値に達しました。
2010 年の後半に入るにつれて、スパム量は減尐し始めました。1 年を通して多く のボッ トネッ トの閉鎖が試みられましたが、いずれも 2008 年に悪質な ISP の McColo が閉鎖されたときほどの劇的なスパムの減尐にはつながりませんでした。

3.2 スパムにおけるボットネットの役目
2010 年末時点で、 ボッ トネッ トを発信源とす るスパム の割合は、 全スパム の 77% を占めていま す。 Grum や
Mega-D など、一部のボッ トネッ トからの送信数は減尐し、Storm、Lethic、Asprox から送信されるスパムは、 ほぼゼロとなっていま す。その一方で、Maazben などの小規模なボットネットや Cimbot というあまり知られていないボ
ットネッ トからのスパム 送信数が再び増加していま す。 ボッ トネットを発信源とするスパムの割合は、2010 年の大半を通して大きく上昇し、全スパム の 88.2% を占めていましたが、最後の 3 カ月で活動は沈静化に向かいました。
ボットネット（ロボット ネッ トワーク）とは、サイバー犯罪者の支配下にあるゾンビ マシ ンの集合体を指し、使用する
マルウェアは、 ボットネットごとに異なりま す。トロイの木馬型ボットネットは、 新しいボッ トネッ トを作成するためのマ
ルウェアです。多くのボットネットがスパム送信に利用されま すが、 中には、 Zeus などのように金融詐欺専用のボットネットもあります。 Zeus が、スパム 送信に使われることはありませんが、 Zeus Trojan は、 すでに他のトロイの木馬（Bredolab など）に感染しているコンピュ ータにダウンロードされる可能性がありま す。たとえば、 Zeus Trojan
が Pandex Trojan と共にダウンロードされ、その後これが Cutwail ボッ トネットからのスパム 送信に使用される
Cutwail スパム エンジ ンをダウンロードする、といったケースも考えられます。

6

http://www.hitac hijcoho.com/

図 2 - 世界のボット分布図

通常、 ボッ トネッ トは、世界で流通するスパムの 80～90% に関与していま す。 今年は、 一定期間に多く のコンピュータがボットネットに取り込まれ、 ボッ トネッ トに感染したコンピュ ータが存在するほとんどすべての国でスパム 送信数が増加する結果となりました。
もう 1 つ、スパム をめぐる状況の大きな変化として、スパム発信地の大規模な移行があげられま す。年明けには、
多くのスパムがアジア や南米から発信されていましたが、年末になると主要な発信源はヨーロッパへと移りました。
100%

AfricaNorth America

80%

OceaniaSouth America

60%
Asia
40%

20%

0%
Apr May

EuropeJun

Jul

Aug Sep Oct Nov Dec
2009

Jan Feb Mar

Apr May Jun
2010

Jul

Aug Sep Oct

図 3 - スパム発信源の大陸別分布

3.2.1.1

東欧諸国にけん引されヨーロッパがスパム発信数でリードを拡大

ヨーロッ パは、以前からずっとスパム発信地域の上位につけており、2009 年には、アジア や南米とほぼ同数のスパム（ 世界のスパムの約 30%）がヨーロッ パから送信されました。
しかし、2010 年にセキュリティ on-Demand インテリジ ェンスが確認したところによると、 ヨーロッパから送信されるスパムの数が増加した一方で、南米の送信数は減尐し、アジア は前年とほぼ同じでした。
現在、 ヨーロッ パは、 スパム 送信数でトッ プにつけていま す（表 1 を参照）

Continent% of global spam

Europe

39.3%

Asia

33.9%

South America

13.4%

North America

9.5%

Africa3.2%

Oceania

表 1 - 2010 年のスパム発信源

0.7%

セキュリテ ィ on-Demand インテリジェンスでは、さらに分析を進め、 ヨーロッパのどの地域が送信数の増加に主に関与しているのかをつきとめま した。

7

http://www.hitac hijcoho.com/

図 4 – ヨーロッパのスパム発信源の地域別分布

図 4 にあるように、 東欧を発信源とするスパム の割合が大幅に増加しています。 どうやら、 ベラルーシ、ブルガリア、
チェコ共和国、フランス、 ハンガリー、モ ルドバ共和国、 ポーランド、 ルーマニア、 ロシア 連邦、スロバキア、 ウクライナなどの東欧諸国からのスパム が増加したことで、 ヨーロッ パを発信源とするスパムの数が増える結果となったようです。原因としては、コンピュ ータ数の増加、帯域幅へのア クセス、 サイバー犯罪者側の戦略的決定などが考えられま す。

3.2.1.2

接続人口増加による影響：アフリカからのスパム

アフリカでは、 ブロードバンドが普及し、 インターネッ トにアクセスするユーザが増加した一方で、 悪質な脅威に対する保護対策はま ったく と言っていいほど行われていま せん。 コンピュ ータ セキュリテ ィに対する認識も低いことから、 新しいユーザは、コンピュ ータがボッ トネットに取り込まれると、 たちま
ちマルウェア に感染してしま っている、という現状があります。 昨年、アフリカ
東海岸沿いに新たに海底光ファイバー ケーブルが敷設されたことで、 ボット
ネットには、 新しいマシンを攻撃してボット数を増やす絶好の機会がもた

SUDAN

ETHIOPIAKENYASOMALIAGroup BTANZANIA

らされることとなったのです。セキュリティ on-Demand インテリジ ェンスでは、2010 年 5 月のレポートの中で、スパム 活動の中心が東へと移行してきていることに触れていま す。 本レポートには、 東ア フリカで普及が進む新しい光ファイバー回線の導入に伴い、2009 年 7 月より稼働をはじめた新しいZAMBIAMOZAMBIQUE

ZIMBABWE
MADAGASCARBOTSWANASOUTH
AFRICAGroup A

図 5 - アフリカの 2 つのグループ

ブロードバンド回線に関する有益な情報リンクが含まれていま す。

1

セキュリティ on-Demand インテリジ ェンスでは、 この分析を再度見直し、5 月以降、アフリカ発信のスパムの割合
がどのように変化したのかを調べました。5 月のレポートと同じように、東ア フリカをグループ A、西アフリカをグル
2
ープ B と分類しています（ 図 5 を参照）。

1

2010年 5月度『セキュリティ on-Demand インテリジェンス レポート』
http://www.messagelabs.com/mlireport/MLI_2010_05_May_FINAL_EN.pdf
2グループ A：新しい光ファイバ回線が提供される国々：ボツワナ、ブルンジ、ジプチ、エリトリア、エチオピア、ケニヤ、レソト、マダガスカル、マラウイ、モーリシャス、モザンビーク、ルワンダ、セイシ
ェル、ソマリア、南アフリカ、スーダン、スワジランド、タンザニア連合共和国、ウガンダ、ザンビア、
ジンバブエ
グループ B：アルジェリア、アンゴラ、ベナン、ブルキナファソ、カメルーン、カーボベルデ、中央ア
フリカ共和国、チャド、コンゴ、コートジボワール、エジプト、赤道ギニア共和国、ガボン、ガンビア、
ガーナ、ギニア、ギニアビサウ共和国、リベリア、リビア・アラブ国、マリ、モーリタニア、モロッコ、
ナミビア、ニジェール、ナイジェリア、サントメプリンシペ、セネガル、シエラレオネ、トーゴ、チュ
ニジア

8

http://www.hitac hijcoho.com/

アフリカを発信源とするスパム の割合は、着実に上昇しているものの、 5 月以降、 劇的な増加は見られま せん。とは言え、長期的に見て増加していることは間違いありません。

3.5%
3.0%
2.5%
2.0%
1.5%
1.0%
0.5%
0.0%
Apr May Jun Jul Aug Sep Oct Nov Dec Jan Feb Mar Apr May Jun Jul Aug Sep Oct
2009

2010

図 6 - アフリカ全土を発信源とするスパムが全スパムに占める割合

グループ A のほとんどすべての国で、スパム を送信するボッ トネッ トの数が増えているのが確認されていま す。
2009 年 4 月にセキュリテ ィ on-Demand インテリジ ェンスが捕捉したスパム は、南ア フリカの 7 つのボッ トネッ トを発信源としていましたが、現在は、16 の異なるボッ トネッ トからスパム が送信されていま す。2009 年 4 月にケニヤで確認されたボッ トネッ トは、6 個でしたが、 現在は 14 個に増えていま す。
100%
80%
60%

% Africa from beyond East Africa

40%
20%

% Africa from East Africa
0%
Apr MayJun

Jul Aug Sep Oct Nov Dec

Jan Feb Mar

Apr MayJun

Jul Aug Sep Oct

図 7 - グループ A：諸国とそれ以外のアフリカ諸国から発信されるスパムの割合

ボットネットの勢力範囲が全世界に拡大する中、新しいブロードバンド回線のサービス開始は、疑うことを知らない
グループ A 諸国のユーザを攻撃する絶好の機会となっていま す。 グループ A 諸国で、 すでにプレゼンスを持っているボットネットは、 さらに多くのユーザを感染させ、地域内のボット数を拡大させていま す。
これと同じ現象は、 インターネットへの高速ア クセスが普及しつつある、あらゆる地域で起こる可能性が ありま す。
このことは、 ボットネットをあやつるサイバー犯罪者にとって、新しいマシンを感染させるチャンスであり、 結果、その地域から発信されるスパム数の増加を招いているのです。

9

http://www.hitac hijcoho.com/

% of East Africa spam:Country: (in order ofbiggest increase inspam volume)

April 2009

October2010

Spamvolume sent:
Oct2010 /Apr2009% of East Africa spam:Country: (in order ofbiggest increase inspam volume)

April 2009

October2010

Spamvolume sent:
Oct2010 /Apr2009

Madagascar

0.9%

2.3%

4.33

Sudan

10.2%

8.7%

0.88

Kenya

12.9%

21.0%

4.07

Zimbabwe

0.8%

0.7%

0.70

Zambia

1.4%

2.1%

4.03

Ethiopia

3.0%

1.8%

0.58

Rwanda

1.9%

2.7%

2.88

Mozambique

3.2%

2.5%

0.54

Tanzania

3.8%

5.9%

2.61

Botswana

1.9%

0.3%

0.50

Malawi

0.5%

0.7%

1.88

Lesotho

0.0%

0.4%

new sender

Uganda

2.8%

2.2%

1.83

Seychelles

0.0%

0.4%

new sender

Mauritius

7.3%

11.8%

1.65

Swaziland

0.0%

0.3%

new senderDjibouti

0.7%

1.4%

1.36

Somalia

0.0%

0.1%

new sender

Burundi

0.1%

0.3%

1.21

Eritrea

0.0%

0.0%

South Africa

47.5%

34.5%

1.02

表 2 - アフリカの国別スパム送信数

3.2.2 2010 年末時点のボットネットの状況

botnet

% of
spam

spam/
bot/
spam/daymin Est. botnet size

Rustock

47.5%

44.1 billion

145 1100k to 1700k

Grum

8.5%

7.9 billion

91

310k to 470k

Cutwail

6.3%

5.9 billion

40560k to 840k

Maazben

5.2%

4.8 billion

37510k to 770k

Mega-D

2.3%

2.1 billion

105

80k to 120k

Cimbot2.1%

1.9 billion

185

32k to 48k

Bobax

1.2%

1.1 billion

18250k to 370k

Xarvester

0.5%

501 million

109

17k to 25k

Festi

0.1%

96 million

127

8k to 12k

Gheg

0.1%

49.8 million

20

8k to 12k0.5%

26.8 million

22220k to 340k

2.9%

2.6 billion

21490k to 740k

Other, smaller
Botnets
UnNamedBotnets
Total
BotnetSpam
Non-botnet
spam
Grand Total

77.0% 71.1 billion

77 3500k to 5400k

Country of Infection
USA (17%), Brazil(7%), India (7%)
Russia (12%), India(8%), Vietnam (8%)
India (17%), Russia(16%), Ukraine (8%)
Russia (11%), India(10%), Brazil (7%)
Russia (15%), Ukraine(14%), Brazil (7%)
Italy (27%), Spain(25%), France (14%)
India (32%), Russia(25%), Ukraine (9%)
Italy (15%), UK (10%),
Poland (8%)
Vietnam (24%),
Indonesia (21%), India(14%)
Spain (12%), Indonesia(10%), India (10%)

India (9%), Rusia(9%), USA (7%)

23.0% 21.8 billion
92.9 billion
表 3 - 2010 年 10 月のボットネット数

10

http://www.hitac hijcoho.com/

概要•
アクティブ ボットの合計数は、2010 年末時点で前年末とほぼ同数であり、2010 年下半期に約 6%増加した
計算になりま す。一方、 2009 年のボッ ト 1 台あたり のスパム メールの平均送信数は、約 85 通/分でしたが、 同年末には 77 通/分に減尐しました。
•
ボットネットから送信されたスパムの割合は、 平均で 88. 2%となっていま すが、年末には 77%にまで下落しています。 昨年末時点の同割合は、83.4%でした。
100%
80%
60%
40%

20%
0%
Jul

Aug

Sep

Oct
2009

Nov

Dec

Jan

Feb

Mar

Apr May

Jun

Jul

Aug

Sep

Oct

2010

図 8 - ボットネットを発信源とするスパムの割合



図 8 にあるように、年末にボットネットを発信源とするスパムの割合が下落するのは、けっして珍しいことではありま せん。スパム 数の減尐には、 さま ざまな原因が考えられま すが、 2010 年 9 月にSpamit が閉鎖されたことが大きく影響していると思われま す。それまで、Spamit は、既知のものとしては最大のス
パム流通アフィリエ ートとして、主に Canadian Pharmacy と呼ばれる医薬品スパム の送信に関与していま した。
大規模なボットネットは、 いずれも主に医薬品スパム を送信していま す。
•
今年下半期に入ってから、 ボットネットの上位 3 位に変動はありま せん。 Rustock が引き続き優勢を保っており、1 日あたりのスパム 送信数は、昨年から 2 倍以上に増えて、440 億通以上となり、支配下にあるボット数は、
100 万台を超えていま す。以下、2 位が Grum、3 位が Cut wail となっています。
•
今年は、 ボッ トネッ ト感染マシ ンを発信元とするスパム メールで送信されるマルウェア の数が大幅に増加しました。Cut wail は、8 月の 1 カ月間で Bredolab Trojan に感染したメールを大量に発信し、マルウェア の増加に大きく貢献しました。Grum もまた、年間を通じてさまざまなマルウェア感染メールを送信していま す。
•
上半期には、米国を発信源とするスパムの数が増加し、6 月までに確認された全スパムの 10%以上を占めました。下半期になると、この割合は、 昨年末と同レベルの 8.7% に落ち着きました。
•
また、インドを発信源とするスパム も増加し、その割合は、世界のボッ トネット スパムの 8.5%と、 1 国から送信されるスパムの量としてはもっとも多くなっていま す。
•
ロシア連邦を発信源とするスパムは、昨年末時点で世界のスパムの 9% を占めていましたが、今年 6 月には 3%強にまで下落しました。その後、ふたたび上昇し、 2010 年末時点で、 約 5%となっています。

Rustock•
引き続き優勢を保っており、年間を通じて、 もっとも多くのスパム を送信しました（ ピーク時の 8 月半ばには、
全スパムの 80%以上に関与）。しかし、 Rustock から送信されるスパム の大多数を占める医薬品スパム に関わっていた Spamit が 10 月初旬に閉鎖されると、同ボットネットの送信数は、目に見えて減尐しました。S pamit が遮断されてからしばらくの間、Rustock からは、ほとんどスパム が送信されませんでした。しかし、 これまで、せいぜい持っても 48 時間弱と、 このような休止状態が長続きすることはありま せんでした。 このような停止があってもなお、
Rustock は、スパム送信ボッ トネットとして圧倒的な勢力を保っています。
•
Rustock の主な感染源が米国にあることに変わりはありま せんが、 攻撃の一部は、ヨーロッパのボッ トから他国へと移行しているようであり、現在では、ブラジルが第 2 位の感染源、インドが第 3 位の感染源となっています。

11

http://www.hitac hijcoho.com/

Grum•2010 年末時点で、Grum は、アクテ ィブなスパム送信ボッ トネッ トの第 2 位につけており、 ボットネット スパ
ムの約 9%に関与していま す（2010 年上半期末は 16%）。Grum には、今年目立った運用停止もなく、その活動は年間を通じて安定していたものの、年末になって送信数の減尐が認められました。
•

上半期末以降、ア クティブ ボッ トの数は、50%以上減尐し、全世界で 31 万～47 万台となっています。

Cutwail•Cutwail は、ア クティブなボットネットの第 3 位と、 Grum と同じく トップ 10 内にとどまり、世界における全スパ
ムの約 6% に関与していま す。
•
年間を通じて、 Cutwail を遮断しようといく つかの試みがなされたものの、 短期間、スパム数がわずかに減尐したくらいで、目立った効果はありませんでした。いずれの場合も 1～2 日で通常通りの活動に戻っています。
•

支配下にあるアクテ ィブ ボッ トの数は、昨年末とくらべて約 16%増加しました。

•
今年、Cutwail は、Bredolab Trojan を含むスパム メールの最大の発信源となり、 すべての有力ボットネットの中で、もっとも多く の種類のスパム送信に利用されま した。

Maazben•
Maazben は、 2010 年 3 月時点で、 世界のスパムの 0.4% に関与するにとどまり、それ以降、ア クティブなスパム送信ボットネットのトッ プ 10 には入っていませんでした。上半期末にはトッ プ 10 から完全に脱落していまし
たが、年末になって 4 位に浮上し、世界のスパム の 5. 2%以上に関与していま す。
•
支配下にあるアクテ ィブ ボッ トの数は、2010 年 3 月から 1,000%以上増加し、全世界で 51 万～77 万台となっていま す。

Mega-D•
昨年末にかけて、Mega-D を遮断しようとする試みが功を奏し、 何日間かスパム送信の動きがなく なったよ
うに思われました。しかし、わずか数日後には、前よりもさらに力をつけて復活し、 より多くの新しい IP ア ドレスを使って、スパム を送信するようになりました。その時点で、Mega-D は、世界のスパムの約 18% に関与していま したが、年末には 2.3%にまで下落しました。
•

今年 1 年で Mega-D のア クティブ ボッ トの数は約 58%減尐しました。

•
Mega-D ボット 1 台あたりのスパム 送信数は、3 カ月ごとに半減していき、アクテ ィブ ボット 1 台あたりのス
パム送信数は、3 月の 428 通/分から、年末には、105 通/ 分にまで落ち込みました。

3.2.3 注目すべきボットネットの変化
10 年末には、Grum と Mega-D のボッ ト 1 台あたり のスパム送信数が減り、両ボットネッ トからのスパム送信数が減尐したことで、ア クテ ィブ ボッ トの数も尐なく なりました。 どうやら支配下にあるボッ トの数が減尐したことが原因のようで、 スループットが落ちれば発見される可能性が減るだろう、 と いう期待がサイバー犯罪者側にあったのではないかと推測されます。ま た、両ボッ トネッ トは、スパム流通アフィリエ ート組織の Spamit に大きく依存していたらしく、10 月の同組織の閉鎖による影響も見られました。
Cimbot というボットネットは、 尐なくとも 2009 年 3 月には確認されていたものの、これまで特別活発な活動は見られませんでした。今回初めてスパム送信ボッ トネッ トのトップ 10 に入りましたが、このレポートを執筆している時点で、 すでに動きは落ち着いていることから、 これが最初で最後のランク入りになると思われま す。Maazben は、2009 年 8 月から活動しており、ボッ トネット トッ プ 10 の常連だったものの、2010 年 3 月から 6 月にかけて容量・送信数ともに規模が縮小し、送信数も減尐したようでしたが、 その後、 以前とほぼ同じレベルにまで復活してきています。

12

http://www.hitac hijcoho.com/

Storm は、2008 年の閉鎖以降、ボッ トネッ トとして目立った活動はしておらず、全体的に見て、スパム への関与度は低くなっていました。しかし、2010 年の 4～5 月に再び活動を活発化させ、 正規の短縮 URL を多用してスパム
ウェブサイトにビジターをリダイレクトするスパム 攻撃 に関与するようになりました。短縮 URL が含ま れるスパムの数は、4 月 30 日のピーク時には、 全スパム メールの 18%（約 234 億通） に達しました。Storm は、2006 年に初めて登場してから、2008 年にはいったん弱体化したものの、今年 5 月には短縮 URL が含まれるスパム の 11. 8%に関与していました。
Asprox は、2008 年末の Mc Colo ISP の閉鎖により、深刻な打撃を受けて以降、スパム 量は比較的尐数にとどまっていました。2010 年 6 月の一時期、 ボットあたりの送信数が急増し、Asprox は、同時期におけるボットネット トッ
プ 10 に入りま した。しかし、 このようなスタイルでのスパム送信は、 ボットの検出率とクリーンアップの可能性を大幅に高めることから、決して長続きするものではありま せん。
Lethic も 2009 年 12 月 31 日に検出されてから今なお存在してはいるものの、9 月と 10 月前半は休止状態でした。その後、 以前の活動レベルにまで回復し、 2010 年末の時点で全スパム の 3% に関与していま す。 昨年末、Lethic を発信源とするスパムは、全体の 2.5% を占めていました。それから 24 時間の間に、 この新しいボットネット
からのスパム送信数は 4% 弱にまで増加し、翌週もほぼ同じレベルで推移し、ピーク時には、全スパム の 5.25%に関与していました。その後、スパム トラフィッ クは、ほぼゼロにまで減尐し、出現したときと同じようにあっと言う間に消えてしまいました。

% of Spamボッ トネッ ト を発信源と するス パム の多く がそうで あるよ うに、 Lethic からは 医薬品（ ユ ビキタスな Canadian
Pharmacy スパム ウェブサイトにリンク）と、レプリカ腕時計のスパムがほぼ同じ割合で送信されていました。また、
Bagle も Lethic とまったく同じスパム を同じ時期に送信していました。2 つのボットネットが使用している医薬品と腕時計関連スパムのテンプレートは非常によく似ており、同じスパム ウェブサイトへのハイパーリンクが含まれていま
した。

100%
Gheg
Festi
XarvesterCimbotMaazben

90%
80%
70%

Bobax

Mega-D

60%

50%
Cutwail

Grum

40%
30%

20%
Rustock

10%
0%
Jul

Aug

Sep
2009

Oct

Nov

Dec

Jan

Feb

Mar

Apr

May

Jun
2010

Jul

Aug

Sep

Oct

図 9 ボットネットを発信源とするスパム

3.2.4 Rustock – TLS 暗号化されたスパムの増減
多くのボッ トネッ トのスパム 送信数が減ったことにより、全体のスパム 流通量は、2010 年末にかけて減尐しました。
ただし、例外があることも事実で、特に Rustock は、引き続き優勢を保ったまま、年末の時点で全スパムの 47.5%に関与していま す。先般の規模縮小を補うように、Rustock では、1 ボットあたりの毎分のスパム送信数を 2 倍以
上に増やし、その結果、1 日のスパム 送信数は、前年末の 200 億通（全スパムの 19%）から、2010 年末には 440
億通以上にまで増加しました。

13

http://www.hitac hijcoho.com/

35%

30%
25%
20%

15%
10%
5%

0%
Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

Nov

図 1 TLS を使用したスパム送信数の推移

Rustock のスループッ トが向上した原因の 1 つとして、スパム送信での TLS 暗号化の使用停止により、接続速度が上がったことがあげられま す。2010 年 3 月のピーク時には、 すべてのスパムの 30%以上、 Rustock から送られたスパムの 70%で、TLS 暗号化が使われていました。しかし、4 月 20 日以降、 TLS を使ったスパム の送信は減尐を続け、今では全体の 0.1%～0.2%となっていま す。
TLS を使用すると暗号化処理による負荷が増すため、接続速度が落ちま す。しかし、Rustock には、規模の縮小を埋め合わせるためも容量を確保する必要がありました。 TLS を無効にすることで、 Rustock は、以前よりも尐な
いボッ トで多くのスパム を送信できるようになったというわけです。

3.3 2010 年の各種イベントとニュースにより生じたスパム状況
サイバー犯罪者達は、 ニュ ースバリューのある様々なイベントに乗じて、スパム を作りだしていま す。 イベントそのものは、国内や対象地域内で訴求力を持つものですが、その攻撃手法には類似性が見られます。

3.3.1 FIFA ワールドカップ
2010 年 6 月に南ア フリカで開催された FIFA ワールドカップをはじめ、ほぼすべての有名スポーツ イベントが、スパマー達の標的となりました。
大会の前後を含む開催期間中、セキュリティ on-Demand インテリジ ェンスでは、スパム、スキャム、419 型詐欺、
マルウェア攻撃など、FIFA ワールドカッ プ関連の様々な脅威を特定しま した。
419 型詐欺メールの典型的な例として、 試合チケットや、 偽の宿泊場所の提供を持ちかけるという手口が確認されていま す。ほかにも、衣料品や靴を販売する契約の申し出や、携帯電話を無料で提供するといったものもありました。さらには、 ワールドカッ プ用に追加電力を提供するよう企業に求めるなど、 尐々変わった手口の詐欺も見つかっていま す。 いずれも、偽装や詐欺によって、受信者の個人情報や現金を盗み出すことを目的としていま す。
当時、偽のチケッ トは、多く の有名オークション サイトでも売りに出されました。しかし、実際にはそれらが本物である可能性は低く、また、正規チケッ ト購入条件にも違反していました。

3.3.2 スパマーによるニュース ヘッドラインの抽出
ワールドカッ プ関連のスパムの多くは、実際には、 ワールドカッ プに関するものではなく、男性機能強化製品を宣伝するスパムにワールドカッ プ関連の件名がつけられただけのものでした。今年、スパマー達がニュ ース サイトやブログなど多数のウェブサイトからヘッドラインを自動で抽出し、 それらをメールの件名に使用していることが確認されました。この方法を使えば、 話題のテ ーマを収集し、それらをメール メッセージに挿入できるのです。 ひとつひとつ違ったメッセージ を作成し、初期的なスパム検出技術を欺くために、多くの場合これらのテ ーマは、 メール本文に「Bayes」ポイズ ンとして埋め込まれています。

14

http://www.hitac hijcoho.com/

ワールドカッ プ関連のテーマは、多くの悪質メールでも利用されました（図 11 を参照）。図 11 のメールは、ポルトガ
ル語で書かれており、 ワールドカッ プでの大手スポンサーの名前が使われていま す。

図 2 ワールドカップ関連スパムの例

さらに分析を進めた結果、このメールは、米国の有名なソフトドリンク メーカーになりすまそうとしているものの、実際には、マカオの IP アドレスから送信されていることが判明しました。

図 3 ワールドカップ関連マルウェアの例

このマルウェアは、実行されると、同じネッ トワーク上にある他のマシンの情報を収集し、 データを盗み出して、リモート攻撃者が汚染されたコンピュ ータにア クセスできるようにしま す。
3

ワールドカッ プはま た、ターゲッ ト型攻撃 を隠蔽するのにも使われました。 ターゲッ ト型攻撃はもっとも深刻な打撃を与えるインターネッ ト脅威と言って間違いないでしょう。

3.4 2010 年の重要なスパム戦術
3.4.1 スパムメッセージサイズ
今年確認されたスパムの 72% 以上が、 5kB 未満のものでした。1 通あたりのデータ量が尐なければ、より多くのメッセージ をより多くの相手に送りつけることができま す。 よって、 スパマー達が、 データ量を減らそうとするのは、当然の帰結とも言えるのです。 メッセージ を短く 簡潔にすれば、 ファイル サイズ を抑えられるため、テキスト文が 1 行

3

詳しくは以下のブログ記事をご参照く ださい。

http://www.symantec.com/connect/blogs/targeted-attack -uses-fifa-world-cup-2010hook ; http://www.s ymantec.com/connect/blogs/fifa-world-cup-used-lure-victimstarget ed-attack ; http://www.s ymantec.com/connect/blogs/brazilian-world-cuprelated-targeted-attack

15

http://www.hitac hijcoho.com/

とウェブ ページ へのリンクが 1 つだけというスパムメールも尐なく ありません。送信可能メール数を増やせるだけでなく、メッセージが短ければ、それだけ読んでもらえる確率も高ま るのです。
ほとんどのメールが 5kB 以下であったにもかかわらず、今年に入ってからの日別平均サイズ を見てみると、4～6
月と 8 月にサイズ が大きくなっていることが分かりま す。
4 月から 6 月にかけて平均ファイルサイズが増加したのは、 Rustock ボットネットと Cut wail ボットネッ トから HTML
形式のメール（ 画像ファイル添付）が継続的に送信されたことによるものです。 これらのほとんどは、一般的な「医薬品」スパムであり、 一部レプリカ腕時計スパム も含ま れていました。
70 kb

60 kb
50 kb
40 kb
30 kb
20 kb
10 kb
02 Aug

16 Aug

30 Aug

13 Sep27 Sep11 Oct25 Oct

図 4 スパム メールの平均サイズの推移

しかし、8 月の増加はこれとは別で、やはり Cut wail が関わってはいたものの、このとき送信されたのは画像スパ
ムではありませんでした。これは、8 月の 1 カ月間で、スパム に添付された圧縮ファイルの数が大幅に増加したこと4によるものです。

3.4.2 スパマー達の近道 – スパム メールでの URL 短縮サービス利用の増加
2009 年には、 ソーシャル ネッ トワーキングとマイクロブログ サービスの急増に伴い、 URL 短縮サービスを利用し5たスパム攻撃が増加しました。 こうした URL 短縮サービスの多くは、 ユーザ登録や CAP TCHA 認証なしで利用6できるようになっています。セキュリテ ィ on-Demand インテリジ ェンスでは、『2009 年間レポート』 で初めてこのよ
うな攻撃手法について報告しましたが、 今年の前四半期には、このようなリンクを含むスパムが急増しました。
今年は、スパマーによるリンク短縮サービスの URL の利用が大幅に増加しました。2009 年のピーク時の 7 月 28 日には、スパムの 9.3%に無料のオンライン短縮サービスが提供する短縮ハイパーリンクが含まれており、世界中でこのようなスパム メールが、1 日に 100 億通以上流通した計算になります。2010 年 4 月 30 日には、これがほぼ 2 倍の 18.0%にまで上昇し、この数値が現在においても最高記録となっています。

4

圧縮アーカイブについてはセクション 4.4 をご参照ください。

5

CAPTCH A – Completely Autoated Public Turing test to tell Computers and Humans Apart

6『セキュリティ on-Demand インテリジェンス 2009 年間レポート』
http://www.messagelabs.com/mlireport/2009MLIAnnualReport_Final_PrintResolution.pdf

16

http://www.hitac hijcoho.com/

20%
16%
12%
8%
4%

0%
Apr May

Jun Jul

Aug Sep Oct Nov Dec
2009

Jan Feb Mar

Apr May Jun
2010

Jul

Aug Sep Oct

図 5 短縮 URL を含むスパムの割合

セキュリテ ィ on-Demand インテリジェンスが確認したところによると、短縮 URL が含ま れるス パムの平均割合は、8 月半ばから後半以降、一貫して上昇を続けていま す。このように短縮 URL を使ったスパム の割合が伸び続ける
背景には、Cut wail と Grum という 2 つのボットネットの存在がありま す。両ボッ トネッ トは、突如、短縮 URL を含む
医薬品とレプリカ腕時計関連のスパム をこれまでになく大量に送信し始めたのです。
8 月半ばから後半以降、1 日に送信されるスパムの尐なくとも 1%に短縮 URL が含まれていま した。9 月に入ると、短縮 URL を含むスパムの割合は 3%に達し、現在は、全スパム の約 2%で推移していま す。
今年 8 月からは、スパムでの短縮 URL の使用は大きな乱高下もなく安定しており、5 月ほどの大きなピークは見られません。
Top 10 short URLs used in spam 2009

Top 10 short URLs used in spam 2010

bit.ly12.0%

bit.ly

10.4%

o.ly

8.5%

su.pr

6.0%

su.pr

8.1%

kl.am*

3.6%

aafter.us

7.9%

doiop.com*

3.6%

tcbp.net

7.6%

ho.io*

2.7%

jtty.com

5.8%

snurl.com, livefilestore.com

2.6%

tlink.me

5.7%

snipurl.com*

2.5%

myurl.in

5.2%

snipr.com*

2.5%

snurl.com

4.9%

retwt.me*

Other

34.3%

Other

2.3%
63.8%
*new to Top 10 in 2010

図 6 2009 年と 2010 年によく利用された短縮 URL サービス

スパムに何らかの URL が含ま れる割合は、平均 91.1%と、昨年の 91%とく らべて、ほぼ横ばいとなっています。
短縮 URL が含ま れるスパム の割合は、平均 1.38%（72.5 通に 1 通）と、昨年の 0.33%から増加し、66.1 通に 1通の割合で短縮 URL が含まれていた計算になりま す。

3.4.3 短縮 URL サービスの応答率の追跡
スパムでよく使われる短縮 URL サービスの 1 つに「bit.ly」がありま す。bit.ly では、短縮 URL の末尾に「+」を追加（例：http://bit.ly/mli2011a+） することで、その短縮 URL の統計情報を確認できるサービスも提供しています。
セキュリテ ィ on-Demand インテリジェンスでは、 これらのページの統計情報をすべて収集して、このプロバイダーを利用した短縮 URL に対するクリッ クスルー応答の分析を行っています。 分析の結果、bit.ly 短縮 URL のほとんどが医薬品と腕時計のスパム に利用されていたことが分かりました。短縮 URL スパムの約 21.2% に bit.ly URL
へのリンクが含まれており、リンクへの応答数は bit.ly URL を含むスパム メール 1 種類あたり約 27.2 件、 bit.ly
URL 1 つあたり 44. 2 件となっていま す。

17

http://www.hitac hijcoho.com/

Billions7

14,000Estimated spam & responses: Bit.ly
Estimated sent: 76 billion
Responses: 168 thousand
0.0002% response rate: 1 in 453K

6
5
4

12,00010,000
8,000

3

6,000

2

4,000

1

2,000

-

Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

図 7 bit.ly 短縮 URL を含むスパムの推定送信数と応答数

図 16 にあるように、bit.ly 短縮 URL への応答数は、2010 年 9 月 5 日にピークの 1 万 3,225 件に達しました。
応答数増加に関与したと思われる攻撃について、詳しく 分析したところ、この URL（http://bit.ly/ch[obfuscated]）は、
2010 年 9 月 4 日に初めて出現したものであることが分かりました。3 日間で、合計 3 億 5,200 万通のスパム メー
ルが全世界で送信されたと見られています。 この短縮 URL への応答数は、合計 1 億 8,437 件に達しま した。

Millions sent

この URL をクリッ クすると、レプリカ腕時計のサイトにリダイレクトされるようになって いま す。
350

16,000312 million sent

14,000300

13,225 responses

12,000

250
200
150

Estimated sent: 352 million

10,000

Responses: 18,437

8,000

0.005% response rate: 1 in 19,099

100

6,000
4,000

50

2,000

0

0
04 Sep

05 Sep

06 Sep07 Sep

08 Sep

09 SepAfter 09
Sep

図 8 特定の 1 つのスパムの推定送信数と対応数

図 17 を見ると、スパム送信数と応答数の推移にわずかなずれがあることが分かりま す。これは、タイム ゾーンによっては、スパム が開かれることなく受信トレイに置かれたままの時間が長くなるためだと思われま す。
この短縮 URL を利用した攻撃は、3 日後に終息しました。スパム 攻撃終了時点で、全応答の 93.5%がすでに実行済みでしたが、その後も 1 カ月以上にわたって尐数ながらも応答が確認されています。
このことは、スパマーが、ただ手をこま ねいて応答を待っていなく てもすむということを示しており、注目すべき事実だと言えま す。bit.ly の場合、 この短縮 URL へのアクセス要求を許可し続けていましたが、数日で短縮 URL が削除され、ただちに使えなく なるというケースも複数ありま した。したがって、 スパマー達の最大の関心事は、 短縮
URL を作成して、できるだけ早く スパム メールをばらま き、可能なかぎり短期間で多く の応答を獲得して、次の攻撃に移ることだと言えるでしょう。
この例で、スパマー達は、それに成功し、わずか 3 日間で 1 億 8,437 件もの応答を獲得することができました。 この攻撃による報酬を推測することは容易ではありませんが、偽腕時計サイト関連のア フィリエ ート組織から収入を得ているものと思われま す。

18

http://www.hitac hijcoho.com/

3.4.4 サイバー犯罪者は、アスキーアートでより創造的に
アンチスパム フィルタを迂回するために、スパマー達はあらゆる方法を試してきま す。メール本文に埋め込ま れた
ランダムテキスト、目的の短縮 URL のみを残して内容を最小限に絞った画像やメッセージ の構成など方法は様々です。図 8 は、最近確認された巧妙な迂回策の例です。
セキュリテ ィ on-Demand インテリジ ェンスでは、有名なソーシ ャル ネッ トワーキング サイトに「 未読の」あるいは「重要な」メッセージが多数届いていることを知らせる通知メールを装った一連の攻撃を特定しました。2010 年 10
月 24～26 日の 3 日間で、 このようなメールが 1 億 8,500 通ほどブロックされ、その後、メールの数は、1 日約100 通にまで減尐しました。
有名なソーシャル メディア の名前を利用することは、 フィルタ迂回策の初歩です。 メールでよく 使われる件名のフォーマッ トをコピーすることで、 件名のみではシグネチャベースの検出が難しくなります。 疑うことを知らないユーザにメールを開かせるソーシ ャル エンジ ニアリング攻撃は、有効な手法として利用されていま す。
メールを開封すれば、 件名がソーシャル ネッ トワークに関するものであるにもかかわらず、実際には、医薬品を買わせようとするスパム メールであることが一目で分かります。

図 9 画像を含むように見えるスパム メール

一見すると、これはテ キストを画像に埋め込むことで、人間には読めるもののコンピュ ータには判読できないようにしている画像スパムのように見えま す。しかし、 実際には、 メール内に画像は存在しません。HTML レンダリ ングをオフにしてメールを見てみると、プレーンテ キストの部分に実際にある企業の URL の一覧が表示されま す。これはアンチスパム フィルタを欺く ための手段だと思われま す。その後に、 ランダムに見えるテ キストが続いています。

図 10 本文をハイライト表示するとテキストが出現

しかし、 実際は、 これらのテキストはランダムなものではありま せん。特定の単語を自動認識できないようにすることで、本来のメール文を巧妙に隠蔽しようとしているのです。

19

http://www.hitac hijcoho.com/

HTML タグを使って背景やフォントの色を変えることで、見せたい文字だけを表示することが可能になります。 しかし、マシン側には、HTML 形式のただのテ キストにしか見えないため、 標準的なフィルタでは、特定の単語を検出することがきわめて難しくなるのです。 この例では、HTML を使うことで、多くの国で薬局のシ ンボルとして使用されている緑十字を表示させてもいます。
同じように、ア スキー文字セッ トを使って絵を描く「 アスキー ア ート」 も長年にわたり散発的に利用されてきま した。 単語を難読化し、メッセージ をテ キストではなくアスキー ア ートで表示するための手段として、スパマー達は、 このような方法を用いていま す。 これによって、 ベーシ ッ クなア ンチスパム 技術を使って特定の文を認識しようとしても、できないといったことがしばしば起こります。

図 110 アスキーアートのイメージ

7

2010 年に入り、スパマー達は、この手口の応用編 として、ソフト
ウェア を利用して画像をアスキー文字に変換するという方法を使うようになりました。たとえば、性的機能不全治療
薬の写真を撮り、それを HTML に変換して、ウェブ ブラウザやメール クライアントにカラフルなアスキー アートとして表示するといったものが確認されていま す（図 20 を参照）。

3.5 ウェブメール サービスとスパム
ウェブメール サービスから送信されるスパムは、以前にく らべると減尐しており、今年検出されたスパムの内、ウェ
ブメール ア カウントから送信されたものは、わずか 0.7%でした。これは、 メールの大半がボッ トネットに感染したコ
ンピュ ータから送信されるようになり、多く のスパム 送信ボッ トネッ トでは、 ウェブメール サービスを利用しない傾向となっているためです。しかし、 ウェブメール ア カウントからの送信と見せかけるスパム メールは、わずかに増加しており、ま た、 正規ウェブメール ア カウントからの送信を装った送信者ア ドレス偽装のスパム メールは、 全体の1.1% を占めていました。
16%
14%
12%

10%

% of spam spoofed to appear from webmail
8%% of spam from Webmail
6%
4%
2%

0%

Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

Nov

図 12 ウェブメール サービス経由のスパムと、ウェブメール サービス経由を偽装したスパムの割合

7

詳しくは以下のブログ記事をご参照く ださい。
http://www.symantec.com/connect/blogs/spammers -get-c reative-ascii

20

http://www.hitac hijcoho.com/

これらのスパム の割合が、8 月に著しく増加しているのは、1 つの未確認ボッ トネット、 および Donbot と Cutwail から送信されるスパムが増加したことによるものです。8 月にこの未確認ボットネットから送信されたスパム の多くは、Donbot からのスパムとよく似ており、 Donbot の亜種の仕業ではないかと見られていま す。
ボットネッ トが、正規のウェブメール ア カウントからスパム を大量に送信することは稀ですが、そのウェブメール ア
カウントから送信されたスパムの 89%は、 ボッ トネッ トを発信源としていま す。それらのほとんどは、小規模な未確認のボッ トネッ トから送信されたものです。既知のボッ トネットが含ま れていたとしても、異なる手法を使ってスパムを送信しているため、 同種のボットネッ トとは認識されていない可能性がありま す。 たとえば、特定のボッ トネットに関連付けられている一般的な SMTP 対話パターンであっても、一旦有名なウェブメール プロバイダー経由で送信されると、それぞれ別のものとして認識されま す。一部のウェブメール プロバイダーは、本来の送信者の IP ア ドレスを公開していないため、メッセージ ヘッダには、プロバイダーの IP ア ドレスしか含まれておらず、送信元の IP と
既知のボットとを照合させることはできません。
Undetermined
Cutwail
DonBot
NonBotnet
Xarvester
Bobax
Grum
Bagle
Rustock
Mega-D
Lethic

42%
23%
19%
11%
2%
1%

0.4%
0.1%
0.1%
0.1%
0.0%

図 13 ウェブメールまたは偽装ウェブメールを送信しているボットネット

図 22 は、 ボットネッ ト組織が、正規のユーザ ア カウントをハイジ ャックしたり、あるいは自動の CAP TCHA 解読ツールを使って、 ウェブメール ア カウントを悪用したり するなどし、あらゆるツールを自在に扱えることを示していま す。
とは言え、スパム の大半は、今なおボッ トネットに感染したコンピュータから直接送信されていま す。ウェブメール プ
ロバイダーは、個々のア カウントから並はずれた量のメールが送信される場合それを阻止し、使用条件に違反したとみなしてア カウントを停止することもありま す。

3.6 スパムの分類
3.6.1 分類の難しさ
スパムのスタイルや複雑度は、一定でなく、特定のカテゴリに分類するのは、 決して容易ではありま せん。 プレーン
テキストと URL だけのスパム もあれば、 画像や添付ファイルを含む複雑なものもありま す。ごく 短いテ キストが入力されたものや、中には、 URL だけというものもあるかもしれま せん。スパム に使われる言語もさま ざまです。最も一般的なのは、 英語ですが、ほかにもフランス語、ロシア 語、ドイツ語、スペイン語、 中国語、 ポルトガル語などもよく使われていま す。「Bayes ポイズ ン」の挿入もよく 使われる手法です。 これは、 ウェブサイトから抽出したランダムなテキストを付け加えて、スパム のテーマと関係のない多くの単語でスパム を埋めるというものです。
スパム メールの目的は、人に読んでもらうことです。 よって、 多くの場合スパマーは、自動のアンチスパム技術で検出されるプレーンテ キストでは、スパム のテーマを明かさないようにして、 メッセージ を受信者に届けることを最優先に考えま す。
スパムは、自動検出を回避するために難読化されているため、分類の動向を正確に把握するには、 大量のスパム
サンプルを実際にひとつひとつ見ていく必要がありま す。そうすることで、ア ナリストは、スパム メールがターゲッ トとしている受信者と同じように、 メッセージ を読んでメールの文脈を読み取り、メッ セージやハイパーリンクに添えられた画像を見ることができるのです。時間のかかる作業ではありま すが、はるかに正確な結果を得ることができます。

21

http://www.hitac hijcoho.com/

3.6.2 優勢な医薬品スパム
全スパムの約 2/3 が医薬品関連のものであり、 歴史的に見て、その大半が Canadian Pharmacy サイトや関連ブランドに関 する内 容となっていま す。 医薬品スパム は、 闇経済の金 を生 む巨大マシ ンであり、 スパマー達は、
Spamit などのアフィリエ ート組織と組むために列をなし、急速に変化し続けるスパム を大量にばらまく ことで対価を得ていま す。
2010 年 10 月に S pamit が閉鎖され たに もかかわ ら ず、 セキュ リテ ィ on-Demand インテ リジ ェンスでは、Canadian Pharmacy スパムの減尐を確認することはなく、 これらの犯罪組織の回復力をあらためて見せつけられることとなりました。

Category: End of 2009 % spam
Pharmaceut cal
64.0%
Watches
14.3%
Weight Loss
4.9%
Casino/Gambling
4.9%
Unsolicited Newslet ers
2.5%
Malware2.5%
Degrees
2.0%
Jobs/Mules
1.0%
Phishing
1.0%
Scams/Fraud
0.5%
Sexual/Dat ng
0.5%
Unknown/Other
0.5%
Degrees/Diplomas
0.5%
Missing Persons
0.5%
Sof ware0.5%

Category: End of 2010 % spam
Pharmaceut cal
64.2%
Unsolicited Newslet ers
9.3%
Casino/Gambling
7.0%
Watches
6.5%
Jobs/Mules
3.3%
Sexual/Dat ng
3.3%
Sof ware1.4%
Degrees/Diplomas
0.9%
Phishing
0.9%
Missing Persons
0.5%
Malware0.5%
Weight Loss
0.5%
Unknown/Other
0.5%
Mobile Phones
0.5%
Scams/Fraud0.5%
図 14 2009 年末と 2010 年末の有力なスパム カテゴリの比較

すべてのカテゴリの中で、医薬品スパム がもっとも多くなっていま すが、毎日 1,305 億通ものスパムが流通していることを考えると、たとえ下位の 0.5%であっても膨大な数になるのです。
2010 年を通じて、スパム送信ボットネットの中で最大の規模を誇る Rustock が、もっとも多く の医薬品スパム に関与していま した。年間で、医薬品関連のスパムの割合が、 64% を下回ることはなく、この点は、 昨年と同様であったといえま す。しかし、スパム 流通ア フィリエート組織の Spamit が閉鎖されたことは、一部のスパム 組織に打撃を与えたようです。
•
医薬品： ほとんどの医薬品スパムは、 受信者がメール内のリンクをクリッ クするように意図されており、 男性
機能の強化から、 減量、ストレス解消にいたる、 ありとあらゆる効果をうたった各種治療薬、 医薬品を販売するウェ
ブサイトにア クセスさせることを目的としていま す。昨年 1 年間に確認されたスパム のうち、最大で 85%が、医薬品関連のもので、現在、こうしたスパムが全体の約 2/3 を占めていま す。世界中で、毎日 1,305 億通のスパム が流通していることを考えると、800 億通もの医薬品スパム が、不運な受信者のもとに日々届けられている計算になります。
•
腕時計と偽ブランド品： 腕時計を初めとする偽ブランド品の宣伝は、スパムの常套手段であり、特にクリスマスと新年の前には、 その数が増加しま す。 腕時計スパム は常に流通しているものの、 その数が医薬品関連スパムに迫ることはほとんどありま せん。 昨年は全スパムの 14.3%と多く の腕時計スパム が確認され、 そのほとんどがDonbot と Cutwail から送信されたものでした。
•
未承諾のニュ ースレター： 2010 年に 2 番目に多かったスパムは未承諾のニュ ースレターでした。 これらは昔から流通しており、さま ざまな方法で受信者のメールア ドレスが収集されていま す。未承諾ニュ ースレターのほとんどが Xarvester と Mega-D から送信されたものでした。

22

http://www.hitac hijcoho.com/

•カジ ノ/ギ ャンブル スパム： 腕時計スパムのように、 カジノ スパムも絶えず流通しているものの、 大量に出回ることはごく稀です。昨年末時点で全スパム の 4.9% を占めていましたが、 2010 年に入ってからは平均約 3.3%で推移し、年末には 7% にまで上昇しました。 カジノ スパムの多くは英語とドイツ語で書かれていま す。
•
ア ダルト/出会い系スパム： アダルト/ 出会い系スパム は、今年、送信数を大きく伸ばしま した。 ポルノ画像やポルノ/ 出会い系サイトへのリンクを含むメールが流通していま す。 昨年末時点で、ア ダルト/ 出会い系スパム は全体の 0.5% を占めていました。2010 年 8 月から 10 月の 3 カ月間で、その割合はピークの 5.6%にまで増加しました。これらのスパムの大半は Cut wail と Mega-D から送信されたものでした。

3.7 スパム言語
メールで使われている言語を特定するには、ま ずはメール ヘッダを無視して考える必要があります。 その上で、セキュリティ on-Demand インテリジ ェンスでは、複数の言語認識モジュ ールを本文テ キストに対して実行しま す。各
モジュールは特定言語の認識能力に優れており、モジュ ールの結果を総合的に見て、 最終的にもっともそれらしい言語を決定しま す。
1 月時点で 96% のスパムが英語で書かれていましたが、 その数はゆっくりと減尐し、 8 月には 90%にまで下落、その後は平行に推移しています。
100%
2.5%
96%

2.1%

3.8%
1.7%

1.7%
5.3%
7.1%

92%
88%

non-English
5.7%

95.4%

unknown
English

94.5%
91.3%

89.0%

84%
0%
Nov 09Mar 10Jul 10

Oct 10

図 15 スパムで使われている言語（英語、その他の言語、不明）の比率

では、英語以外ではどのような言語が使われているのでしょうか。 英語以外の言語の約半数が「不明」に分類され、多く の場合、 これはメール本文に、言語を特定するだけの十分なテキストがないことを意味しています。 ほとんどの場合、本文にわずかな HTML コード（ ウェブページへのハイパーリンクや画像など）しか含ま れていま せん。1 月以降、 英語スパム の減尐に伴い、 不明言語のスパ
ムは、 着実に増加を続けていま すが、リモ ート画像スパム が増加したことがその原因だと思われま す。これらのスパムでは、 メール本文に含ま れるのは、リ
モート ホスティングされた画像を表示するのに必要な HTML だけとなっています。 伝えたいことは、 すべてリモ ート画像に組み込むことができるため、 本文にLanguage
Dutch
FrenchRussian
SpanishGermanChinesePortuguese
Japanese% of all spam
1.3%
1.0%
0.9%
0.7%
0.5%
0.5%
0.2%
0.1%
October 2010

多くのテキストを入れる必要はないのです。

表 2 英語以外のスパム

これ以外の非英語スパム はさま ざまな言語で書かれており、2010 年 1 月以降、2 番目によく使われていた言語はオランダ語でした。
英語以外の言語のスパムは英語で書かれたものとくらべると数が尐なく、また英語や不明言語のスパム の送信数が変化した結果、 新たな変種が発見されるというケースも多いため、 英語以外の言語で書かれたスパム が増加しているかどうかを見極めるのは容易ではありません。

23

http://www.hitac hijcoho.com/

3.8 ボットネットとスパム言語
現在流通しているスパムのほとんどは、 ボットネッ トを発信源としていることが分かっていま す。では、英語以外の言語で書かれたスパム に関与しているボットネットというのはあるのでしょうか。 ボットネットの上位 5 位は、Rustock、Grum、Mega-D、Maazben、 Cut wail であり、これら 5 つだけで、 全スパム の 90%以上に関与していま
5%

ChineseFrenchGermanRussian
SpanishUnknown

4%
3%
2%
1%
0%
Grum

す。

Cutwail

Mega-D

Rustock

Maazben

図 16 英語以外の言語のスパムを送信しているボットネット

これらのボットネットの中で、もっと多くの言語に対応しているのが Mega-D であり、 トラフィックの 6.4% を英語以外の言語が占め、 そのうち、4.5% が不明言語となっていま す。Mega-D は、 中国語（0.6%）、 フランス語（3.7%）、ス
ペイン語（2.0%）のスパム を送信していま すが、 いずれも求人広告を装ったものであり、簡単に大金を稼げるとうたっていま す。実際には、単に個人情報を収集するのが目的であるか、もしくは被害者から金を奪うマネー ミュ ール
詐欺を働こうとしているのだと考えられま す。
最大ボッ トネッ トである Rustock では、英語以外のスパムは確認されていません。実際、同ボットネッ トのスパムの98.9%が英語に分類され、残りの 1. 1%は不明言語となっていま す。Rustock がグローバル スパムの最大の発信源であることが、英語以外の言語のスパムがここまで尐なくなっている主な理由だと思われま す。

3.8.1 各国で受信されているスパムの言語
各国で受信されるスパムで、 もっともよく 使われている言語は英語ですが、 ブラジルだけは例外です。 ブラジ ルは、
もっともよく利用されている言語が「不明」でも英語でもない唯一の国であり、 ブラジ ルの受信者に宛てたスパムの
約 33%がポルトガル語で書かれていま す。ブラジ ルでは英語スパムの割合が低く、25.6% にとどまっていま す。

Rank Country

Local Language(s)

1
2
3
4
5
6
7
8
9
10
11
12
13

Portuguese
SpanishSpanishPortuguese
SpanishItalianFrenchChineseFrench/German/Italian
French/Dutch/German
ArabicGermanJapanese

BrazilEcuadorMexicoPortugal
Spain
Italy
FranceChina
Switzerland
Belgium
Saudi Arabia
GermanyJapan% in Local
Language

32.8%
27.0%
25.5%
22.7%
20.6%
19.1%
13.9%
13.4%
12.1%
11.0%
10.4%
9.6%
8.9%

Rank Country

Local Language(s)% in Local
Language

14
15
16
17
18
19
20
21
22
23
24
25
26

GermanDanishPortuguese
Hebrew/Arabic
Dutch
ArabicArabicSwedishArabicHungarian
Irish
Finnish/Swedish
Polish

8.3%
4.0%
2.3%
2.1%
2.1%
2.0%
2.0%
1.6%
1.3%
0.6%
0.5%
0.5%
0.2%

Austria
Denmark
BermudaIsraelNetherlands
UAE
Bahrain
SwedenKuwaitHungary
IrelandFinland
Poland表 3 自国語のスパムの割合が高い国

英語以外で、特に多く 利用されている言語は、 ポルトガル語とスペイン語であり、 ポルトガル語圏とスペイン語圏の国々では、自国語の使用率が高くなっていま す。
サイバー犯罪者の戦術が変化するたびに、各国における自国語で書かれたスパムの割合も変動しま す。英語ス
パムの送信数が増えれば、他の言語で書かれたスパムの割合が低下することになりま す。

24

http://www.hitac hijcoho.com/

Brazil: Portuguese

China: ChineseFrance: French

Germany: German

Japan: Japanese

Portugal: Portuguese

Spain: Spanish

Switzerland:
French/German/ItalianNov 2009

40.5%

18.6%

17.6%

17.0%

7.4%

14.9%

15.8%

6.5%

Mar 2010

20.8%

11.6%

6.6%

10.5%

5.6%

16.6%

7.2%

8.4%

Jul 2010

29.0%

17.0%

7.8%

9.3%

5.5%

17.4%

16.9%

10.9%

Oct 2010

32.8%

13.4%

13.9%

9.6%

8.9%

22.7%

20.6%

12.1%

図 17 各国の公用語で書かれたスパムの割合

今年初め、 ほとんどの国で、 自国語で書かれたスパム の割合が減尐しましたが、その後ふたたび上昇し、国によっては、2009 年 11 月の割合を上回るまでになりました。
スペイン語のスパム数が増加していま すが、最後の数カ月間にいく つかの有力ボッ トネッ トがスペイン語のスパムを送信したことが、その主な原因だと思われま す。世界的に見て、ドイツ語、ポルトガル語、日本語のスパムの増加
は、確認されていま せん。 しかし、日本、ポルトガル、 スイスの各国内では、 自国語のスパムの数が増えており、スパマー達が言語を使い分けて、特定の国々を狙った攻撃をしかけることに力を注いでいる ことがうかがえます。
世界的に見て、 英語だけで書かれたスパムの数は、減尐傾向にありま す。英語以外の言語で書かれたスパムの増加は、特定の国に狙いを定めた結果のようです。 英語圏やドイツ語圏の国に日本語のスパム を送ったところで時間の無駄であることから、これは理にかなった手法だと見ることもできま す。

3.9 スパムで使われるファイル形式
スパムは、以下の 3 つに分類されま す。
•

リンクや添付ファイルを含まないスパム – 関連ファイルがない•

ファイルやウェブ ページへのリンクが含ま れるスパム•

ファイルが添付されたスパム

2010 年 1～6 月には、ほとんどのスパム メールにファイルへのリンクが含まれていました。 この半年間に検出されたメールの 63% に、なんらかのファイルへのリンクが含ま れるか、 もしく は、 ファイルそのものが添付されていました。しかし、6 月 12 日前後からこのようなメールが減尐し始め、 今では、リンクや添付ファイルを含むファイルの割
合は、それらを含まないものを下回っていま す。 6～10 月には、 ファイルへのリンクや添付ファイルが含まれるメー
ルはわずか 44%にとどまりました。

25

http://www.hitac hijcoho.com/

90%% of spam with file linked

80%% of spam with file attached

70%
60%
50%
40%

30%
20%
10%
0%

Jun

Jul

Aug

Sep

Oct

図 18 リンクと添付ファイルを含むスパムの割合

3.9.1 ホスティングされたファイルの利用
これらのファイルのほとんどは、添付ファイルではなく、 HTML でリンク先が指定されていま す。
•
リモ ート ホスティングされた画像： リモート ファイルの 70%近く が画像ファイルです。 通常、これらの画像ファ
イルは、HTML で書かれたメールの一部となっており、正規のマーケテ ィング メールに見せかけるためや（ブランドロゴや製品の写真などを利用）、テキストベースのスパム フィルタを迂回しようと、 通常はテ キストで書かれる本文を画像に置き換える（よって画像にテ キストが含ま れる）ために用いられます。
•
ウェブ ページ ファイル：スパム メールに含まれるリンク ファイルとして、画像に次いで多いのが、ウェブ ページ ファイルです。これらのファイルには HTML ファイル、P HP ファイル、ASP ファイルなどがありま す。通常のマーケテ ィング メールにも、リンクは含ま れま すが、 スパム の場合、 ファイルではなく、 サイトへのリンクとなっています。このような手法は、主にメインサイトに誘導しても、スパムの目的が果たされないという理由から、ウェブ サイトの特定のセクシ ョンにターゲットを誘導したい場合に使用されます。スパマーが 1 つのサイトを使い、別々のページをリンク先に指定して関連性のないさま ざまなスパム攻撃を行う場合もあれば、 正規のウェブサイトを改ざんして、
コンテ ンツを挿入するというケースもありま す。この場合、スパム のテーマと関係ないことが明らかなため、 メインサ
イトへのリンクが示されることはありません。
•
リモ ート ホスティングされた実行ファイル： メールでリンク先に指定されているファイルには、ほかに実行ファ
イル、圧縮ア ーカイブ、 ドキュ メントなどがありま す。 とは言え、 これらのファイルは、リモ ートホストされるよりもメー
ルに添付されることの方が多く、リンク先になっていることは稀です。6 月 1 日以降に検出されたスパムのリンク フ
ァイルのうち、 これらのファイルは、 わずか 0.14%しかありま せんでした。ただし、実行ファイルについては、添付されるよりもリンク ファイルとして使われる方が多くなっています。 と言うのも、実行ファイルは、 悪質である可能性が高いため、現在では、ほとんどすべてのメール シ ステムで、実行ファイルの送信をブロッ クするようになっているた
めです。それでも、 実行ファイルのリンクが尐ないことに変わりはありません。なぜなら、たとえリモートの実行ファイ
ルがメール スキャンを迂回したとしても、ほとんどのウェブ スキャン ソフトウェア によりブロックされるため、ターゲットに到達できるのはごくわずかだからです。

3.9.2 スパムの添付ファイル2010 年には、 ファイルが添付されたスパムの数が大きく減尐しました。 6 月以降、ファイルが添付されたスパムはわずか 3%にすぎず、9 月のピーク時にも 11% しかありま せんでした。減尐の主な理由としては、ファイルが添付されたスパムと、リンクが含まれるだけのスパムとのサイズ の違いがあげられま す。 ファイルを添付すると、そのファ
イルへのリンクを挿入した場合にくらべてサイズが大きくなってしま いま す。 メールのサイズは、 一定時間内に送信できるメール数に直接影響することから、スパマーにとって重要な問題です。 ファイル サイズが大きくなればなるほ
ど、送信できるメールの数が減尐し、その分スパマーの収入も減ることになりま す。

26

http://www.hitac hijcoho.com/

CompArchive

Text
Of ceDoc
Movie

HTML
Executable

Image

Jun

Jul

Aug

Sep

Oct

図 19 スパムに添付されるファイルの種類•
画像ファイル： 画像は、テキストベースのスパム フィルタを迂回する手段としてよく 用いられます。なぜなら、画像内のテ キストを認識することは、 プレーンテキスト ファイルの場合にく らべて、 はるかに複雑なためです。
•
HTML ファイル： スパマーは、 HTML をメールの本文に挿入する代わりに、 添付ファイルとして送信します。
HTML の変換に対応する最新のメール クライア ントでは、ほとんどの場合、添付ファイルが本文中にあるかのように表示されるようになっていま す。
•
圧縮ア ーカイブ： 圧縮アーカイブは、 ペイロードを隠蔽する手段として用いられま す。これは、圧縮ア ーカイブ
では、一見しただけでは、 ファイルの中身が何か分からないため、 内容を確認するには、 ファイルを開かなければなりません。さらにやっかいなことに、暗号化やパスワード保護により、パスワードがなければコンテ ンツを見られないようにすることができま す。スパムで使われる場合、 パスワードがメール内に示されていないかぎり、 受信者は、ペイロードを確認することはできま せん。 人が簡単に読めて、 コンピュ ータには判読できない形でメールにパスワードを追加する方法はいく つもありま す。 ペイロードの送信に圧縮アーカイブを利用するもう 1 つの理由として、 メー
ルサイズ を抑えられる点があげられま す。 先に述べたように、サイズ が小さければ小さいほど、一定時間内に送信できるスパムの数が増えることになりま す。このような理由から、スパム では、ほとんどの実行ファイルやドキュメン
トが圧縮されているのです。

f27

http://www.hitac hijcoho.com/

4

MALW ARE: 2010 年最大の脅威

図 20 ウイルスが含まれるメールの割

2010 年は、平均でメール トラフィッ クの 284.2 通に 1 通（0.352%）にマルウェアが含ま れており、その割合は、昨年の 286. 4 通に 1 通（0.349%）からほとんど変化していま せん。 今年ブロッ クされたマルウェア のうち、メール本文に悪質なリンクが含ま れていたものは、約 23. 7%と、添付ファイルが減尐したのとは対照的に増加していま す。昨年ブロックされたマルウェアでリンクを含むものは、 15.1%でした。
Skeptic™によりブロッ クされた悪質メールの数は 1 億 1,560 万通以上と、前年に比べ 58.1%増加しています。 ブ
ロックされたメールから検出されたマルウェアは、 33 万 9,673 種類にのぼりました。 これは、前年の 100 倍以上に相当し、 ポリモ ーフィッ ク型マルウェア亜種の増加がこの急増の原因と見られていま す。 これらの亜種は、通常、新バージ ョンのコ ード をすばやく 簡単に作 ることができる ツール キッ ト を使 って生成されていま す。 その一例が、Pandex と Cutwail にリンクした汎用型トロイの木馬の Bredolab ファミリであり、2010 年に確認されたマルウェア
感染メールの約 7.4% を占めていました。Bredolab については、後で詳しく説明します。
今年は、マルウェア感染メールに関する注目すべき発見がいく つもありました。
8

トロイの木馬型ワーム の Stuxnet によって、マルウェアが業界の制御システム ハードウェアに大きな影響をおよぼし、サイバースペースを越えた混乱を引き起こしかねないことが明らかになりました。
また 9 月に発生した「Here You Have」ウイルス（W32.IMSOLK.B@mm）は、25 年経った今もシグネチャベースのアンチウイルス対策が盤石ではないことを世間に知らしめるものでした。しかし、Skeptic™とクラウド セキュリテ
ィのパイオニア としての 10 年の実績により、シマンテックでは、お客様をこの攻撃から守ることに成功しました。 ク
ラウドを専門とするあるシ マンテックのライバル企業のユーザは、4 時間以上無防備のままで、防御を始めたときには脅威のほぼ 90%がすでに通過していました。
ターゲッ ト型攻撃（別名「Advanced P ersistent Threat（AP T）」）は、特定の機密データや、企業の知的財産、 社内
機密システムへのアクセスを目的としており、 特定企業内の特定の個人にターゲッ トを絞り、 攻撃をしかけてきま す。
ターゲット型攻撃は、スパムやフィッシング メールとくらべると送信されるメールの量こそ尐ないものの、きわめて深刻な損害を組織に与える可能性があります。

8

Stuxnet の経緯については以下のブログ記事をご 参照ください。
post: http://www.symantec.com/connect/blogs/stuxnet-breakthrough28

http://www.hitac hijcoho.com/

4.1 ボットネットとマルウェア
4.1.1 ボットネットと DDoS – 10 年にわたる分散型攻撃
ボットネットは、 たいへん用途が広く、大量のスパム を送りつける以外にもさまざまな目的で利用されていま す。ボットネットの用途としては、 防弾ホステ ィングウェブサイトや、 他のオンライン サービスやビジネスを狙った分散型サー
ビス拒否（ DDoS）攻撃などが考えられま す。
10 年前の 2000 年 2 月 14 日には、オンライン サービスやアプリケーションを混乱させようとする DDoS 攻撃により、有名なオークション サイトや、 グローバル ニュース サイト、世界的なオンライン ショッ ピング サイトを含む多くの著名なウェブサイトが数時間にわたってオフライン状態に陥りました。
今年、巨大なボッ トネッ トによる DDoS 攻撃が確認されました。 DDoS 攻撃は、 これまで以上に巧妙化し、広範かつ危険なものへと進化しています。
将来的には、 DDoS 攻撃の伝搬をより効率的にこなすことができる、 自立型のボッ トネットが生まれるのではないかと懸念されます。 2008 年に、 カリフォルニアに本拠を置く悪質な ISP、McColo が閉鎖された時、スパム送信ボッ
トネットは、わずか数週間で復活しました。McColo 以降、ボッ トネッ トは、変化を遂げていま す。抜け目のないボット
ネット オーナーは、 自立型で堅牢性に優れ、遮断困難なネッ トワークを確保した、活動継続性を重視した方策を取り入れるようになってきています。 サイバー犯罪者達が、コマンド& コントロール チャネルに対する適切なバックアップ戦略の重要性を認識していることは明白です。 ネットワークが半自動化されるということは、 すなわち、 ターゲッ ト
型 DDoS 攻撃が、主要なオンライン ア プリケーシ ョンやサービスを中断させている間に、サイバー犯罪者は、新しいビジ ネス チャンスに集中することができる、ということを意味していま す。

4.1.2 LoveBugs からの 10 年
2000 年 5 月 4 日午前 0 時 14 分（英国夏時間）、セキュリティ on9
Demand インテリジ ェンス のチーム は、Skeptic™において新型の大量メール送信ワーム を捕捉し、これを「LoveBug」と命名しま した。この日は、1 晩にしてウイルス レベルが 1,000 通に 1 通から、28 通に 1通へと急上昇した記録的な日となりました。 LoveB ug の攻撃は、 フィリ
ピンで開始され、朝になり人々が働き始める国が増えるにつれ、被害は全世界に広がっていきました。
「ILOVEYOU」というタイトルのメールが世界中にばらまかれたのです。
10 年前、 インターネッ ト脅威に対するユーザの認識は、今日のものとは違い、不審な添付ファイルや未知の送信者からのメールの危険性に
図 30 LoveBug ウイルス つ
いて理解している人はほとんどいま せんでした。添付ファイル を開くと、そこに含まれた悪質な VBScript が、感染者のアドレス帳内にあるすべてのメール アドレスに送信されま した。こうして LoveB ug は、 世界中の 4,500 万人のコンピュ ータ ユーザに影響を与えることとなったのです。
LoveBug ウイルスの被害を契機として、フィリピンでは、 法律の見直しが行われるに至りま した。今では、オンライ
ン犯罪に対抗するための有効な法体制が整えられています。
攻撃の巧妙化と技術向上により、 この 10 年、脅威をめぐる状況は大きく 変化しま した。にもかかわらず、2010 年
後半に LoveB ug によく似た旧式のウイルスが大きなモ メンタム を得ることができたのは、 おそらく予想外の出来事だったに違いありま せん – そのウイルスの名は IMSOLK.B です。

9

詳しくは以下のブログ記事をご参照ください。
http://www.symantec.com/connect/blogs/lovebug -virus-t urns -ten

29

http://www.hitac hijcoho.com/

4.1.3 “Here You Have” IMSOLK.B: 企業への警鐘
2010 年 9 月 9 日 15 時 20 分（GMT）、セキュリティ on-Demand インテリジェンスは、 旧来の大量メール送信技術を使用した新型ウイルス を特定しました。セキュリティ on-Demand が独自開発した人工知能である Skeptic が、このウイルスを検出するきっかけとなったヒュ ーリスティッ ク ルールは、2 年前の 2008 年 5 月 14 日に追加されたものでした。

Rule developed

May Jun Jul Aug Sep Oc t Nov Dec Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov

2008

2009

2010

図 21 Imsolk.B のトリガ イベントを阻止してきた Skeptic™ヒューリスティック ルールの歴史

セキュリテ ィ on-Demand インテリジ ェンスでは、ピーク時には、1 分当たり 2,000 通以上の悪質なメールをブロッ ク
しました。最後のコピーがブロッ クされたのは、9 月 10 日 8 時 33 分(GMT)で、この期間にブロッ クされたコピーの数は、合計 10 万 6, 390 通となっていま す。
興味深いことに、このヒュ ーリステ ィック ルールは、ア メリカ国税庁を語ったウェブベースのマルウェア へのリンクを含む攻撃を阻止する際にも使用されました。
Zero hour+3hours

+6h

+9h

+12h

+15h

+18h

+21h

+24h

+27h

+30h

Imsolk.B “Here you have”
MAX: 2,056 blocks per minute+4h 8mAV Vendor U +31h 30m

AV Vendor T
AV Vendor S

AV Vendor R

AV Vendor Q

AV Vendor P

AV Vendor O
AV Vendor N
AV Vendor M
AV Vendor L

AV Vendor J

AV Vendor K

AV Vendor I

AV Vendor H

AV Vendor G

AV Vendor F

AV Vendor D

AV Vendor E

AV Vendor C
SaaS Vendor B

AV Vendor B

AV Vendor A

0 0:00

21:00

18:00

15:00

12:00

9:00

0 6:00

0 3:000 0:00

21:00

18:00

15:00

09 SEPTEMBER

10 SEPTEMBER
Source: Outbreak graph Symantec Hosted Services; AV Signature times as reported by AVTest.org; SaaS vendor time via vendor site

Note: All times GMT

図 22 Imsolk.B のアウトブレイク状況

この攻撃では、 特に新しいテ クニッ クは使われていま せん。Skeptic™では、 これま でもウイルスに感染したマシ ン
からのメールを捕獲していま すし、その中には汚染されたウェブサイトにホステ ィングされたウイルスへのハイパー
リンクを含むメールもありま した。 以前、 ソーシ ャル エンジ ニアリング攻撃でよく 使われていた手法に「バーチャル
ポストカード」があります。 これは、オンライン e カードを受信していることを知らせるメールが届き、ハイパーリンク
をクリッ クして、そのカードを表示するよう求めるというものです。リンクをクリッ クすると、ウイルス入りの実行ファイ
ルがダウンロードされ、 実行と同時にそのコンピュ ータ上にあるすべてのメールアドレスにスパム が送信されることになります。
共通点は多いものの、今回のソーシ ャル エンジ ニアリング攻撃は、これとは大きく異なっていま す。
今回のソーシャル エンジ ニアリング攻撃では、受信者のメール ア カウントと正規のメール サーバを使ってメールが送られるため、 送信者のアドレスを偽装する通常のポストカード攻撃とく らべると、相手の信頼度が高く なりま す。

30

http://www.hitac hijcoho.com/

一見、仕事関連のメールのようであり、 仕事上のつきあいのある相手や、場合によっては、社内の人間から送られたかのようにも見える、といった点で、 ソーシ ャル エ ンジ ニア リングの要素がより強い攻撃だと言えま す。ま た、組織によっては、特定の文書に対する暗号化を義務付けており、メール システムが自動でメッセージ を暗号化するよ
うになっていま す。 このような場合、 メールの暗号化のせいで、セキュリテ ィ技術を使ったメッ セージの解析が困難になります。

4.2 ターゲット型攻撃4.2.1 ターゲット型攻撃とはほとんどすべての組織が、 サイバー犯罪者の標的となりうる機密・重要データを取り扱っていま す。犯罪者のテ ク
ニッ クの 1 つに、 入念な調査と高度なカスタマイズに基づく、 ソーシャル エンジ ニアリングに依存した攻撃– いわゆ
るターゲッ ト型攻撃があります。
ターゲッ ト型攻撃の恐さは、 悪質コードがひそかに仕込ま れ、それが知らぬ間に受信者のコンピュ ータに対して秘密工作を行う点にありま す。これらのコードは、メール メッセージ に直接添付される場合もありま すが、 一見問題がないように見えるドキュ メント、 あるいはハイパーリンクの中に隠されるケースも増えてきていま す。受信者が脆弱なアプリケーションを使って添付ファイルを開くか、悪質なハイパーリンクをクリッ クするだけで、 コンピュ ータは簡単に感染してしまいま す。

4.2.2 ソーシャル エンジニアリング攻撃 – その場にふさわしく装う
ターゲッ ト型攻撃では、 通常、 巧妙なソーシ ャル エ ンジ ニアリング技術を使って、仕事関連のメッ セージやニュ ース
バリューのあるイベント関連のメッセージ を作成し、ウェブメール ア カウントから送信したり、 送信者アドレスを偽装したりして、ターゲッ トの関心を引 こうとしま す。 メールは、 あたかも添付ファイルに重要な情報（ 時事問題、会議の情報、法的文書、合意書、契約書など）が含まれているような印象を与える内容となっていま す。
ソーシ ャル エ ンジ ニアリングは、あらゆるターゲッ ト型攻撃の成功の鍵を握る重要なテ クニッ クです。たとえ技術的に洗練されたマルウェアであっても、 ソーシャル エ ンジ ニアリングで攻撃をドレスアッ プさせ、説得力を持たせないことには、失敗は避けられま せん。 ソーシ ャル ネッ トワーキングは、サイバー犯罪者にとって、攻撃準備の成否を握る、情報集めのための潤沢なリソースになっているのです。

4.2.3 ターゲット型攻撃の増加
5 年前にターゲット型攻撃が初めて確認された時、セキュリティ on-Demand インテリジ ェンスでは、週に 1～2 件の割合で攻撃を検出していましたが、 それが翌年にかけて、 1 日に 1～2 件にまで増加しま した。ターゲット型攻撃は、その後も拡大を続け、2010 年には、 1 日約 10 件から約 60 件に増加し、 年末には、セキュリティ on-Demand
インテリジェンスによるターゲッ ト型攻撃のブロッ ク数は 1 日約 77 件に達しま した。
100
75

50
25
0
Nov

Dec

2009

Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

2010

図 23 1 日あたりのターゲット型攻撃検出数

毎月 200～300 の組織が標的になっていま すが、よく狙われる業界分野は、月によって異なりま す。また、同じ個
人が繰り返し標的になることが多い一方で、 毎回違った手法が用いられていま す。 しかし、 各攻撃手法はいずれもターゲットのアプリケーション内の特定の脆弱性を突く ものである、ということが言えます。

31

http://www.hitac hijcoho.com/

セキュリテ ィ on-Demand インテリジェンスが検出したターゲッ ト型攻撃を評価することで、発信源とターゲット地域
10を特定することが可能です。ターゲット型攻撃の最大の発信源は北米であり、以下、東アジア、北欧（英国を含む）、南米の順となっています。
SourceRegionTargeted
Region

North America

North America

East Asia

Northern Europe

Northern Europe

Western Europe

South America
North Africa
Eastern Europe
Western Europe
Southeast Asia
West Asia
South Asia
Caribbean
Southern Europe
Australia/NZ
Central America

Eastern Europe
East Asia
North Africa
West Asia
Southeast Asia
Southern Europe
South America
South Asia
East Africa
Central America

Australia/NZ

図 24 ターゲット型攻撃の流れ

4.2.4 ターゲット型攻撃でもっとも標的になりやすい職務とは
産業スパイや贈収賄、 恐喝を目的としたターゲット型攻撃の受信者の多くは、 中堅から上級の社員です。
簡単な予備調査を行うだけで、ターゲッ ト個人に関する大量の情報を驚く ほど簡単に集めることができま す。セキュ
リティ on-Demand インテリジ ェンスによる調査の結果、 インターネッ トを使うことで、タ ーゲッ ト個人の 80%の情報を収集可能なことが分かっていま す。
標的になりやすい職務トッ プ 5 は、以下の通りです。

High seniority
Medium seniority
Low seniority
General mailbox es
Unknown

March 2010

November 2010

42%
18%
5%
19%
16%

25%
29%
4%
19%
21%
表 4 標的になりやすい職務

中堅から上級の社員の情報は、 容易に見つからない場合もありま す。しかし、 それでもサイバー犯罪者達は、 時間をかけ、 それら個人を標的にしようとしているようです。 たとえば、エ グゼクテ ィブ アシスタントのメールボックス や代
表メールボッ クスがターゲッ トになるケースもありま す。 これはおそらく 、上級社員宛てにメールを送るよりも 怪しま
れずにすみ、開封率が高まるであろうという期待がサイバー犯罪者側にあるためだと思われま す。
今年 1 年の間に、標的となる職級が尐しずつ下がってきているようです。

10

注：これらはクライアントに対する検出済みの攻撃です。したがって、ターゲット地域の攻撃数は、
シマンテック ホステッド サービスを受けているクライアントの分布状況の影響を大きく受けています。

32

http://www.hitac hijcoho.com/

4.2.5 標的となる業界の多様化
5 年前、 ターゲット型攻撃のほとんどは、大手組織や有名組織を狙ったものでした。ターゲッ トにされる組織の多く
は、政府機関、 軍関係の組織、エ ネルギ ー企業、 薬品会社、 海外と取引をする商社などでした。それ以降、標的となる組織の範囲は、確実に広がり続け、 現在ではほぼすべての組織が狙われる可能性がありま す。直接標的となっているのは、小規模な組織であっても、 最終的には、より大きな組織を攻撃することが真の目的という場合もあり
ます – サイバー犯罪者は、サプライチェーンのもっとも弱い鎖であるパートナーとサプライヤを突破口として狙っている可能性がありま す。
今年 10 月、セキュリティ on-Demand インテリジ ェンスでは、小売分野の企業を狙った一連の攻撃を検出しました。
10 月に入るまで、小売企業に対する攻撃の検出数は、ごくわずかでしたが、ある一時期、ターゲッ ト型攻撃全体の25%にまで急増しました。

4.2.6 汚染されたウェブサイトとマルチステージのターゲット型攻撃ターゲット型攻撃の洗練度はさま ざまですが、最先端のものでは、 狙われている側が攻撃を認識するのがきわめて困難なケースがありま す。2010 年 6 月に発生した防衛関係の請負業者 2 社を巻き込んだ攻撃では、サイバー犯罪者が入念な準備をしていたことが明らかになりました。
攻撃の第 1 段階は、防衛関係の請負業者 A のウェブサイトに不正ア クセスして、 偽のプレスリリース ディレクトリ
を作成することでした。サイバー犯罪者は、新たに作成したこのディレクトリに、難読化された Javascript と、エ クス
プロイト、悪質なバイナリを含むランディング ページ をアップロードしました。
そして第 2 段階として、巧妙に作り上げたメールを請負業者 B のアドレス（悪質なコードを送りつけるターゲッ ト）に送信しました。 メールは、請負業者 B の CE O が米国輸出規制違反で逮捕されたことを伝えるもので、 ウェブメー
ル アドレスから送信されているかのように見せかけられていました。これらのメールには、前もって作成された悪質なランディング ページ（ 請負業者 A の正規のウェブサイトにホステ ィングされている本物そっくりのプレスリリース
ディレクトリ）へのリンクが含ま れていました。

図 25 防衛関係の請負業者 B の社員に送られたメールの例

このランディング ページの JavaScript は、ビジ ターのブラウザを調べ、Firefox ブラウザが使用されているかどうか
によって、 別のエ クスプロイトを使用しま す。 いずれの場合も、 サイバー犯罪者は、 同一のウェブサイトからブラウザに 2 つ目のフ ァイル をダウンロードさせようとしま す。 このフ ァイルには、 2010 年 6 月 9 日に発見された
11
Microsoft Help の脆弱性 を突く 2 つのレベルの難読化された Javascript が埋め込まれていま す。

11

詳しくは以下をご参照ください。

http://archives.neohapsis.com/archives/fulldisclosure/2010-06/0197.html

33

http://www.hitac hijcoho.com/

4.2.7 人知れず始まったターゲット型の PDF ゼロデイ攻撃
2010 年 9 月、セキュリティ業界は、ほぼ同時期に起きた 2 つの重大な脅威を経験することとなりました。 9 月 9 日に IMS OLK.B（「Here You Have」 ウイルス）のア ウトブレイクが伝えられた時、 実はその約 1 週間前から、1 つのターゲット型攻撃が人知れず始ま っていたのです。2010 年 9 月 1 日 7 時 30 分（GMT）、Skeptic™は、PDF ファ
イル形式のゼロデイ脆弱性（CVE-2010-2883） を突く悪質な JavaScript を含む尐量の P DF 攻撃をいち早く特定、阻止しました。

1195
2
01 Sep

02 Sep

03 Sep04 Sep

05 Sep

06 Sep07 Sep

08 Sep

図 26 9 月 1～10 日にブロックされた PDF のゼロデイ脆弱性（CVE-2010-2883）

攻撃開始時の 9 月 1 日、合計 9 件がブロックされ、ピーク時の 9 月 8 日には、さらに 11 件がブロッ クされています。発生から 1 週間が経ったこの時、脆弱性の情報が初めて公開されることとなりました。
PDF は、単にポータブル ドキュメント フォーマットであるだけでなく、複雑な JavaScript コードを埋め込めるようにもなっていま す。そのため、ここ数年、PDF 添付ファイルは悪質な攻撃でよく利用されるようになっています。ターゲット型攻撃では、JavaScript と P DF ファイルという組み合わせが非常に強力な武器となるのです。
ソーシャル エンジ ニアリング技術を利用し、「David Leadbetter's One Point Lesson」、「secret trip to China」、「Interview Request」といった件名を用いたことで、さらに攻撃が強化されることとなりました。すべてのメールには、類似した悪質 JavaScript が埋め込まれた P DF ファイルが添付されていました。

4.3 Bredolab 攻撃：マルウェアの進化の歴史
3 年前からセキュリテ ィ on-Demand インテリジェンスでは、 新しい攻撃手法の急増を確認しています。 この手法はしばしば「pay per install（PPI）」と呼ばれていま す。
Bredolab では、「Pay Per Install（PPI）」と呼ばれる攻撃手法が使われていま す。 もともと柔軟性のあるマルウェア
ですが、被害者のコンピュ ータを乗っ取り、 Bredolab のオペレータがみずからそのコンピュータを利用するか、 もし
くは別のサイバー犯罪者にレンタル/販売できるように設計されていま す これらのサードパーテ ィのサイバー犯罪者は、 わざわざ独自のボッ トを構築する代わりに、 既知の汚染マシ ンにア クセスすることで、ターゲッ トに狙いを定めま す。
いったんコンピュ ータが感染すると、 キーロガーや、 ボッ トネット用トロイの木馬、 フィッシング用トロイの木馬（Zeusなど)、不正なセキュリテ ィ ソフトウェア といった一連のマルウェア やスパイウェア をダウンロード、 あるいはインスト
ールさせられてしま います。
セキュリティ on-Demand インテリジ ェンスでは、2008 年 8 月に B redolab を含むメールが初めて出現してからずっと、 同マルウェアの追跡と分析を続けていま す。 発現後の数週間は、 悪質メールが急増し、 これらのメールのせいで、2008 年 9 月に Skeptic™による悪質メールのブロッ ク数が 17% 増加しました。これは、たった 1 つの新しい攻撃手法が、非常に大きな影響力を持ち得ることを示す出来事でした。
Bredolab は、 巧妙かつ革新的なマルウェアであり、 絶えず進化し続けていま す。Bredolab を初めてブロックして以降、セキュリテ ィ on-Demand インテリジ ェンスでは、3～4 週ご とに同マルウェア の 1 つ以上の要素が巧妙化、変34

http://www.hitac hijcoho.com/

化していることを確認していま す。B redolab を仕掛けているのは、整然と組織化された集団であり、その集団が、
マルウェアの有効性を高めようと日々取り組んでいることは確実です。B redolab の注目すべき特徴を以下にまとめています。
•「アンチ ア ンチウイルス」：Bredolab は、被害者のコンピュ ータ上にあるア ンチウイルス ソフトウェア の無効化を試みま す。 このことから、一般的なエンドポイント アンチウイルス ソリュ ーションのいくつが機能しているのかを把握する、高度な知識レベルを有していることがわかります。
•
ジ ャンク コード：アンチウイルス エンジ ンの解析や調査を妨害するために、Bredolab は、ジ ャンク コードを使って処理をより複雑にしま す。ジャンク コードは、よく使われる手法ですが Bredolab これまでにない革新的な方法でこれを使用していま す。
•
ア ンチデバッ グ技術：Bredolab は、 攻撃がデバッグ環境（マルウェア ア ナリストが同マルウェア の動きを解析しようとしているなど）で実行されているかどうか判断するチェックを実施します。
•

通信の符号化：Bredolab とリモート サーバ間のすべての通信で暗号化が使用されていま す。

•「 サーバ側のポリモ ーフィズム」 ：Bredolab は、 検出を回避するために、パッ キング手法と 外観を定期的に変化させま す。
•
自己防御：Bredolab には、スキャン バッ ファを使ってデータをロードする機能があり、悪質なウイルスを検出する従来のアンチウイルス技術による検出を回避していま す。

35

http://www.hitac hijcoho.com/

4.3.1 進化の時間軸
これは初期の B redolab で す。 暗号化された上で、最初のポリモ ーフィック コードの 1 つにより、
パッキングされていま す。 最初の数千種類の亜種
は、従来からある多くのセキュリティ製品の検出を回避しました。 その後、 ポリモ ーフィッ ク コードが進化し、 より複雑な形態にモ ーフィングされるようになりました。

これも B redolab ですが、 このバージョンは、 最初のものからわずか数週間後にリリースされた
新しいポリモ ーフィッ ク エンジンにより保護されていま す。 ポリモ ーフィッ ク コードにより形が変化
し 、ま ったく 違ったものに見せようとしていま すが、基本的な機能自体は変わりません。 コード変化により、 一層多く のマルウェア を運ぶ導管として機能するようになりました。
多く の セ キュ リテ ィ ソリュ ー シ ョ ン は、 こ れ をBredolab として認識しま せんでした。 そのため、この Bredolab は、以前のバージョンならば捕捉されて いたであろう検出から逃れることができました。

Bredolab の 別の亜種で す。 今回のバ ージ ョ ン
は、2010 年末にリリースされたものよりアグレッ
シ ブなポリモ ーフィッ ク パッ カーで保護されています。
数百もの亜種と共に大量送信されたため、感染の可能性が最大化することになりま した。

4.4 マルウェアのファイルタイプ
先のスパムの章でも述べたように、2010 年はファイルが添付されたスパムの数が大きく 減尐し、ほとんどのスパムでハイパーリンクが使用されま した。 メール サイズ は、 メール送信可能数に直接関係してきま す。サイバー犯罪者
は、ファイルを添付したメールを尐数送信するか、あるいはマルウェア のウェブ ホステ ィングなど他の方法を使うことでより多く のメッセージ を送信するか、 いずれか一方を選択しなければなりません。また、 添付ファイルのリスクは

36

http://www.hitac hijcoho.com/

よく知られていることから、テ キストやリンクにく らべるとこれらのファイルがフィルタを通過することははるかに難しく
なります。
70%
60%

50%
40%
30%
20%
10%

0%

Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

Nov

図 27 リンクを使ったマルウェアの割合

Bredolab は、圧縮アーカイブ添付ファイルに仕込まれたマルウェアのひとつです。Bredolab を配信するボッ トネッ トとしては、 Cut wail がよく知られていま す。先述の通り、同マルウェアは、 多くの場合、有名な配送会社からの配達通知を装って送りつけられま す。

3.5%

マルウェア を含むメールは、なんらかの実行コード（ 実行ファイル） を包含しているため、 通常は、 一般的なスパムよりもサイズが大きくなります。悪質メールの 88%が 10kB を超えており、さらに 26%以上は90～100kB となっています。

1.0%

0.2%

0.4%

図 28 圧縮ファイルを含むスパムの割合

Jun

Jul

Aug

Sep

60 kb
Cutwail

50 kb

Grum
Maazben

40 kb

Mega-D
Rustock

30 kb

Non-Botnet

20 kb
10 kb
0
Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

図 29 マルウェアを含むメールの平均サイズ

しかし、悪質メールの平均サイズ は、日々大きく変化します。ただし、マルウェアの平均サイズ が 10KB を下回ることはめったにありません。

37

http://www.hitac hijcoho.com/

70 kb

60 kb
50 kb
40 kb
30 kb
20 kb
10 kb
02 Aug

16 Aug

30 Aug

13 Sep27 Sep11 Oct25 Oct

図 30 メールの平均サイズ

図 40 を見ると、 8 月に平均ファイルサイズが大きく上昇したことが分
かりま す。 これは、同時期にスパム の送信数が急増したのと同じ理由によるものです。 つまり、B redolab マルウェア ファミリをばらまいている Cutwail から圧縮ア ーカイブが大量に送信されたせいで、平均ファイルサイズが増加したというわけです。

One 90kb spam
Three 30kb spams

図 40 にあるようなサイズ の変動は、マルウェア がスパムと同じ
図 31 スパマーのジレンマ：サイズか数か
Ten 10kb spams
ように期間を区切って送信され、 それぞれの期間に異なるタイプのマルウェアが送りつけられるために起こりま す。添付ファイルが送信される時期には、メッ セージ 送信数のわりに平均サイズが大きく 増加することになりま すが、 これは、 添付ファイルが通常のテ キストベースのスパムとく らべて
はるかにサイズが大きいためです。

38

http://www.hitac hijcoho.com/

ウェブ：2010 年の深刻な脅威

55.1 ウェブベースのリスクとは
12

現在、全世界で約 20 億もの人々がインターネットを使用していま す。 世界中のウェブサイトに対して毎日何億もの訪問が行われているのです。 しかし、 利用数が増加を続ける一方で、ウェブの崩壊を認める声も聞かれま す。数
年前まで、 インターネットのあやしげな部分に潜んでいるマルウェアによる感染をとにかく 防がなければ、というのが常識でした。しかし、現在では状況が変わってきていま す。
2010 年に悪質であるとしてブロッ クされたウェブサイトの数は、1 日あたり平均 3,066 サイトと、前年の 2, 465 サイ
トから 24.3% 増加しました。セキュリテ ィ on-Demand インテリジェンスでは、今年 4 万 2,926 のドメインで、 悪質なウェブ脅威を特定しましたが、その大半が汚染された正規サイトであることが分かっていま す。
ウェブによる脅威は、これまでよりもさらに正確かつ広範なものとなってきています。 今やあらゆるウェブサイトがマ
ルウェア をホスティングしたり、ビジターをサイトにリダイレクトしたり するのに悪用されてもおかしくない状況です。
実際、マルウェア をばらまく目的で立ち上げられたウェブサイトよりも、 ウイルスやスパイウェア によって汚染された
正規のウェブサイトへの訪問を契機に感染する確率の方がはるかに高くなっていま す。さらには、ドライブバイ ダ
ウンロードなどの攻撃手法が一般化し、感染ウェブサイトを訪問するだけでコンピュータが感染してしまうようになってきていま す。

Web Security Services (Version 2.0) Activity:
8,000

New Malware Sites per Day 2010

7,000

New sites with spyware
New sites with web viruses

2,797/day

Total

3,066/day

New sites with
web viruses

6,000

269/day

5,000
4,000
3,000
2,000
1,000

New sites withspyware- J F M A M J J A S O N D J F M A M J J A S O N D J F M A M J J A S O N
2008
2009
2010

Annual 2010 (Jan-Nov)

図 32 ウェブ セキュリティ サービスの活動

企業の防御がマルウェア により突破されてしま うと、 機密のシステム やデータが損傷や盗難の危機にさらされることになり、 減益や、知的財産および専有データの損失、信頼性の低下、訴訟などにつながる可能性がありま す。 これらの攻撃の背後には、有能なサイバー犯罪者達の存在があり、彼らが被害者のコンピュ ータを占拠して、 多様なアプローチで悪用しようとしていま す。
100%
Other

Blogs & Forums

80%

Personals & Dating

60%

Streaming Media

Downloads

40%

Advertisements & Popups

20%
0%

Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

Nov

図 33 ウェブ ポリシーによるブロック

12

http://www.internet worldstats.com/stats.htm

39

http://www.hitac hijcoho.com/

5.2 ホスティング型マルウェアで使われるファイル形式
セキュリティ on-Demand インテリジ ェンスでは、ウェブ マルウェア のブロッ ク時に、 さまざまな形式の悪質ファイルを検出していま す。
.zip, 26%
Web page file types, 26%.js, 19%.jpg, 8%.dat, 6%
.html, 5%.exe, 2%
.zpd, 1%
.com, 1%
.gif, 1%
.rar, 1%
.img, 1%
.jar, 1%.htc, 1%Other, 4%

図 34 ウェブ マルウェアで使用されるファイル形式

2010 年には、zip ファイルを使ったマルウェアのアウトブレイクが数回あり、 その影響で同形式のファイルがもっとも多く ブロッ クされる結果となりました。
100%

80%

60%

40%

20%

0%

Jan

Feb

Mar

Apr

May

Jun

Jul

Aug

Sep

Oct

Nov

Figure 35 Percentage of .zip files detected in web malware
図 36 ウェブ マルウェアで検出された zip ファイルの割合

5 月にブロッ クされた zip ファイルのほとんどすべてが、ダウンロード用のマルウェア を仕込む目的で作成された、
ウェブサイト上の同一のファイルでした。 ウェブサイトをホステ ィングしていたのは、 ポルトガルのホステ ィング会社
であり、（マルウェア をホスティングしたことにより）サービス条件に違反したとして閉鎖されました。

5.3 社員のウェブブラウジング行動：模範的な行動、リスクを高める行動
2010 年 9 月、セキュリテ ィ on-Demand インテリジ ェンスでは、 インターネット ブラウジ ング時に決ま ってルールを無視する社員が出てく ることを、 IT 管理者と HR 管理者が理解しておく ことの重要性について調査しました。このよ
うな行動は、企業のポリシ ーに反するだけでなく、 生産性の低下、さらにはリソースや帯域幅の深刻な浪費にもつながりかねないことから、マルウェア による感染のリスクが高ま ることになりま す。
組織のリスク因子を考えると、行動パターンごとにユーザをグループ化でき、 正規分布の「 ベル型曲線」 が出来上がります。 曲線の片方の端は、 ポリシ ーへの準拠度とオンライン行動から判断して、組織に与えるリスクがもっとも低いと思われる社員です。 中間は、組織へのリスクが許容範囲内である大多数の社員、そして、 もう一方の端が、リスクレベルがもっとも高い尐数のユーザということになりま す。

40

http://www.hitac hijcoho.com/

ウェブ ブラウジ ングを行うすべての社員が、5 回に 1 回ほどの割合（18%）でリクエストをブロッ クされていま すが、行動は社員によってさまざまです。したがって、組織に対するリスクレベルが特に高い社員を把握しておく ことが重要になりま す。
No blocks

Less than 10% blocked

30.2% of employees
Low risk10-90% blockedOver 90%
blocked

23.6%

14.6%

31.6%
Moderate risk

High risk
Highest risk

図 37 ウェブ リクエストがブロックされる頻度で見た社員の比率

図 46 にあるように、ウェブ ブラウジングを行う社員は以下の 3 つのグループに分類されま す。
•
低リスク ユーザ - 約 1/3 のユーザは、リクエストのブロッ クがいっさいありません。つまり、リクエストするす
べてのサイトが企業ポリシ ーを満たしており、悪質ではないということです（図 46 の青の部分）。
•
中リスク ユーザ - 約 1/3 のユーザは、ブロックされるリクエストの割合が 10% 未満となっています（緑）。
•高リスク ユーザ - 残りの 1/3 のユーザは、リクエストがブロックされる確率が高く、80% 以上となっています。
もっともリスクの高い 14%のユーザだけで、ブロックの 20%に関与していま す（赤）。
最後のグループの行動は、企業ポリシ ーに完全に反しているということになりま すが、結果は予想されたベル型曲線とは違い、雇用主側から見た社員の行動は、模範的か、著しく 悪いかの 2 つに別れました。
リクエストがブロッ クされるのは、企業ポリシ ーに反したウェブサイトにア クセスしようとしたか、 もしく はサイトに悪質なコンテンツが含まれているか、 いずれかの場合です。また、単にリクエストがブロッ クされた回数だけでなく、ブロックされるようなサイトにア クセスしようとするユーザの意図を把握することも重要です。たとえば、 ソーシ ャル ネット
ワーキング サイトや、ウェブメール ア カウント、 ニュ ース サイトへのアクセスは、たとえ企業の規則に反していたとしても、 帯域幅の浪費や生産性の低下につながらないかぎり、 ほとんどの社員は、 それを深刻な脅威だと考えることはありません。 これに対して、 下品で不快なマテ リアルや性的なマテリア ルを含むウェブサイトに訪問する場合、間違いなく、不安を覚えるはずです。
図 46 の 2 番目のユーザ カテゴリ（緑）と 3 番目のユーザ カテゴリ（オレンジと赤） を比較すると、 ユーザ タイプの特徴をつかむことができます。 全体的に見て、 ユーザ 1 人あたり の平均ブロック数は、高リスク ユーザの方が中リ
スク ユーザより も 8 倍多くなっていま す。高リスク ユーザの場合、リクエストがブロックされる確率が高いだけでなく、
ブロッ クされる回数も総じて多くなっています。
高リスク ユーザは、企業ポリシ ーに反したウェブサイトのリクエストを行う回数が多いようであり、「プロキシ およびト
ランスレータ（Proxies & Translat ors）」カテゴリのブロッ クがトリガされる確率は、5 倍高くなっていま す – 企業ポリ
シーをすり抜けて、 ブロッ クされたウェブサイトにア クセスしようとしていることを示していま す。
さらに「広告およびポップアッ プ（Advertisements & Popups）」は、高リスク ユーザではブロッ クされる確率が 2.6倍高くなっていま す – このことから、 これらのユーザが訪問した時に、 ウェブサイトが直接ブロックされなかったとしても、それらのサイトに多く の広告およびポッ プアッ プのトラフィックが集ま っていることが分かりま す。正規のサイトであっても、そこに出ている広告や「不正広告（malvertisement）」 を介して、悪質な攻撃がしかけられるというのは、珍しいことではありません。広告プロバイダーが改ざんされ、悪質な JavaScript などを仕込むのに利用されているケースが考えられま す。 つまり、高リスク ユーザは、 広告や不正広告に接する確率が高く、マルウェア感染を引き起こす危険性があるということになりま す。
すべてのユーザで、ウェブ リクエストの約 2,000 件に 1 件（0. 05%）が悪質であるとしてブロッ クされており、 ユーザ
1 人につき、10 日に 1 つの割合で悪質ウェブサイトがブロックされている計算になりま す。さらに、高リスク ユーザ
では、悪質であるとしてブロックされるリクエストの割合が中リスク ユーザにく らべて、 7.6 倍高くなっています。
最後に、 ブロッ ク数をドメイン単位で見てみると、 中リスク ユーザの場合、 1 人あたり毎週 0.7 個がブロッ クされているのに対し、高リスク ユーザでは、2 倍の 1.4 個がブロックされていま す。

41

http://www.hitac hijcoho.com/

高リスク ユーザの場合、 単にウェブ トラフィックのブロッ ク数、 ブロッ ク確率が高いだけでなく、 ブロッ ク対象が幅広
いウェブサイトにおよんでいま す。このことは、高リスク ユーザが、企業の感染リスクを引き上げていることを示して
います。

5.4

モバイルユーザーによるウェブベースのリスク

近年の IT 管理者にとって、もっとも大きな課題のひとつに、増加している外勤従業員のセキュリティをいかに確保するかがあげられます。経済の回復に伴い、多くの企業が市場の熾烈な競争に巻き込まれており、社外で多くの時間を費やす社員や、在宅勤務者も増えています。
セキュリティ on-Demand インテリジェンスは、前章で解説した調査の延長として、ローミングユーザのウェブ
ブラウジング行動を分析しました。社内と社外の両方で働く社員の場合、社外にいる時には、よりリラックスしてブラウジングする傾向が強く見られ、組織のリスクを大きく引き上げていることが明らかになりました。オフィ
ス内外の両方で働く従業員ともに、35%がオフィス外にいる時の方が、ポリシー ブロックを引き起こすことが多いことも分かりました。 常にモバイルで業務を行っているユーザの 行動パターンは、比較的良好です。

セキュリテ ィ on-Demand インテリジェンスでは、 ユーザのモ ビリティを基準にして、 以下の 3 つのカテゴリのユーザとそのウェブブラウジ ング行動についてさらに詳しく調べてみました。
•
オフィスベースのユーザ – すべてのウェブ ブラウジング行動が企業の物理ネットワークに限定されるユー
ザ。モバイル勤務や自宅勤務をすることはありません。
•
ノマディッ ク ユーザ – 移動中に利用をする、自宅で勤務をしている、あるいは他のネットワークを利用しているユーザ。
•

混合型ユーザ – オフィス勤務のときもあれば、社外や自宅で仕事をすることもあるというユーザ。
No blocks
All

Less than 10% blocked

30.2% of employees

Nomadic

31.3%

Office based

30.2%

Mixed location

37.7%

Low risk

31.6%

10-90% blockedOver 90%
blocked

23.6%

14.6%

40.1%

31.4%

20.9%

23.6%

28.7%

Moderate risk

22.8%

7.7%

14.7%

10.8%

High risk
Highest risk

図 38 ウェブ リクエストがブロックされる頻度で見た社員の比率

図 47 を見ると、 意外にも常にモ バイルで業務を行っているユーザが、平均よりもややリスクの尐ない行動をしており、リクエ ストがブロッ クされる確率がわずかながら低くなっていることが分かりま す。モ バイル勤務とオフィス勤務の両方を行う混合型ユーザの行動は、全体の平均よりは良いものの、 常にモ バイルで業務を行っているユーザ にくらべると若干悪くなっていま す。

42

http://www.hitac hijcoho.com/

A user is operating
The user roams withwithin the protection of corporate equipment
their corporate
on different network
network

The user visits
malicious website andpicks up infection

The user returns to
office spreading
infection to corporate
network and otherusers

図 39 ユーザにより企業ネットワークに持ち込まれるマルウェア

常にモバイルで業務を行っているユーザが、 オフィスベースのユーザと同じような行動を取っているように見えるのに対し、 社内外の両方で勤務するユーザは、 オフィスにいる間はポリシ ーに従っているものの、 会社を離れるとリ ラックスしてブラウジングする傾向が強く見られます。 このような緊張感のない行動は、単に企業ポリシ ーに反するだ
けでなく、マルウェア 感染のリスクを高める原因にもなっています。
Top 10 Web Blocks: Office Based %Top 10 Web Blocks: Roaming%

Advertisements & Popups

48.7%

Streaming Media

22.8%

Streaming Media

10.5%

Downloads

21.5%

Personals & Dating

7.7%

Advertisements & Popups

19.7%

Downloads

4.0%

Personals & Dating

10.9%

Blogs & Forums

4.0%

Shopping

3.6%

Games

3.1%

Search Engines

2.9%

Chat

2.5%

Chat

2.5%

Adult/Sexually Explicit

2.5%

Computing & Internet

2.4%

Computing & Internet

2.1%

Games

2.4%

Search Engines

0.8%

Blogs & Forums

2.1%

Shopping

0.6%

Adult/Sexually Explicit

1.9%

図 40 ウェブ ブロック：オフィス内にいる時と移動時の比較

図 49 は、ユーザが企業のマシンを利用して、企業内ネットワーク以外のネットワークを利用しているときに、 ブラウ
ジング行動が悪化することを示していま す。これらのユーザは、 ハイリスク ユーザに分類され、前述の混合型ユー
ザの 35%に相当しま す。HR 部門の注意を引きやすいユーザということになりま す。
テクノロジ は、 社員のブラウジ ング行動によるリスクを軽減する上で、 基盤的な役割を果たしま すが、同じく重要であるべきなのは、 ユーザの教育です。スタッ フが組織のセキュリテ ィ ポリシ ーの重要さを理解することが大切であり、社員ひとり ひとりが企業のセキュリテ ィにおいて自分達にも果たすべき役割があるのだと認識することが必要になっていま す。3 方面からのア プローチが欠かせないということであり、3 つのうちのいずれか 1 つでも足りなければ、ビジネスが危険にさらされることにもなりかねま せん。

5.5 ウェブベースのポリシーコントロールのトレンド
制御とア クセスのバランスをどう取るかは IT 管理者にとって、不変の課題です。考えるべき問題は、 社員のオンラ
イン行動をどう管理するか、というあり方の問題ではなく、 妥当かつ許容可能な管理範囲とはどういったものかということです。 ある組織に適した管理であっても、 別の組織にはふさわしくないかもしれません。 より緩やかなア プロー
チを採用する企業もあれば、厳しく縛りつけようとする企業もあるでしょう。 一部の部門や個人により大きな自由を与え、インターネッ トへのフルア クセスを許可する必要があるケースも考えられま す。
2010 年に入り、企業はより柔軟なウェブ ア クセスのニーズ を認識し、 これまでの画一的な「 ブロッ ク リスト」ア プロ
ーチの代わりに、「許可リスト」 に基づいたよりきめ細やかな制御方法を採用する傾向にありま す。

43http://www.hitac hijcoho.com/

ウェブ ポリシーの仕組み
セキュリティ on-Demand ホステッド ウェブセキュリティサービスのポリシーベースの制御は、以下の 3 つの要素で構成されています。
ルール：各ウェブ リクエストを評価して、それが一定の基準を満たしているかどうかを見極めるためのルール。これらの基準には、特定の URL（例：Symantec.com）、URL カテゴリ
（例：「広告およびポップアップ（Ad vertising & Pop-ups）」）、時間帯、特定の社員やグループ（例：全セールス スタッフ）などが含まれます。
ポリシー：ルールは複数のポリシーに分類されます。
アクション：ポリシーに沿ってアクションが適用されます。アクションには以下の 4 つがありま
す。

許可


許可とログ



ブロック



ブロックとログ

ルールは、リクエストが行われた時に何をチェックすべきかをシステムに伝えるものであり、いつ誰が依頼したのか変更が可能です。ポリシーは、これらのルールとアクションを分類し、リクエストに対して何を行うべきかをシ ステ ムに伝えま す。同ア プローチでは、ポリシーの構成に応じて、 組織のウェブ トラフィックとウェブ使用をきめ細かく制御できるよ
うになっていま す。
4

3

2

1

0
Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov

2009

2010

図 41 1 組織あたりの許可ポリシー数「アクセスを許可しない」というデフォルトのルールから始まり、今では、事前承認されたウェブサイトについては、アクセス制御を緩める、というような高度にカスタマイズされたポリシ ーを作成する企業が増えてきています。図 50 を見ると、特定のサイト（特にストリーミング メディア、 ウェブ メール、 ゲーム、ショッピングなどのサイト）へのア クセス
を制限するポリシ ーの数が増加している一方で、 許可ポリシ ーは、 それを上回る勢いで増えていることが分かります。
たとえば、アクセスが許可されたウェブサイトをグループ化する URL ベースのルールが多数含ま れるポリシ ーもあれば、昼休みだけ特定のウェブサイトへのア クセスを許可したり、 特定のグル ープの人々へのア クセスを制限したりするためのルールが含まれるポリシーもあります。
許可ポリシ ーの数は、増加傾向にあり、2009 年には、1 月あたり の平均割合が 0.6%だったのが、今年は 0. 8%に上昇しました。
1 組織あたりのポリシ ー数は、 平均 3.3 個と、昨年の 3 個から増加しました。各ポリシーには、 カスタム の URL ベースのフィルタリング ルールが多数含ま れます。 今年もっとも多く 適用された許可ポリシ ーは、 Twitter へのア クセスを許可するというものでした。

44

http://www.hitac hijcoho.com/

ブロッ ク ポリシ ーの平均数は、今年上半期に増加したものの、 その後、平行に推移していま す。1 組織あたりのブ
ロック ポリシ ー数は、平均 2.4 個と、昨年の 2. 3 個から増加しました。
このことから、組織がデフォルトのポリシ ーでは、より厳格にリクエストをブロッ クし、 より多く のホワイトリストを利用することで、 特定のウェブサイトに対する特定の部門や個人によるア クセスや、 特定の時間帯のア クセスをきめ細かく制御しようとしているのが分かりま す。許可ポリシ ーと同様、ブロック ポリシ ーにもカスタム の URL ルールが多数含まれま す。 今年もっとも多く 作成されたブロッ ク ポリシ ーは、YouTube サイトへのア クセスの制御に関連するものでした。
また、1 組織あたりのカスタム ルールの数は、毎月順調に伸びており、 これらのルールは、許可/ブロックの両方のポリシーに適用されていま す。
80

60

40

20

0
Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov

2009

2010

図 42 1 組織あたりのカスタム ルール数

2010 年の 1 組織あたりのカスタム ルール数は、平均約 70 個と、昨年の 60 個から増加しました。無制限のウェブ
アクセスに伴うリスクに対する企業の意識が高まってきていることから、セキュリティ on-Demand インテリジェンス
では、カスタム ルールの数は、2011 年末には 100 個を超えると見ていま す。
2010 年にもっともよく 作成されたカスタム ルールは、昨年と同じく Facebook、MySpace、 Twitter、YouTube に関するものでした。さらに今年は、 いくつかのカスタム ルールの中に LinkedIn に関するものも見られるようになりました。

5.6 攻撃に利用された正規のウェブサイト
5.6.1 マルウェアに汚染されたウェブサイト
悪質なウェブサイトは、特定のカテゴリ（アダルト サイトなど）に分類できない場合が多いことから、 ポリシ ーだけで防御することは不可能です。 理論上は、 ほとんどすべてのウェブサイトで、マルウェアのホステ ィングや、 マルウェ
ア をホステ ィングしているウェブサイトへの転送を行うことが可能です。犯罪者が、 ウェブサイトの開設やホスティン
グを行う場合もあれば、正規のウェブサイトが汚染されるケースもありま す。疑うことを知らない 1 人のユーザが、悪質なウェブサイトを訪問すれば、サイバー犯罪者達は、それだけで、企業の防御網を突破して、 ビジネスを混乱させ、信頼を傷つけることが可能です。たとえば、 機密システム にア クセスしたり、 企業ネットワーク内 にマルウェア
をばらま いたり、貴重な情報を盗み出したりといったことが起きてしま います。
悪質なウェブ トラフィッ クは、スパイウェアかマルウェア のいずれかに分類されま す。今年ブロッ クされた悪質なトラ
フィッ クの内訳は、スパイウェア が 4%、マルウェアが 96%となっていま す。スパイウェアとしてブロッ クされる URLには、 ポッ プアッ プ広告が含ま れ、 これらは、 ブラウジング行動の追跡や、 ブラウザの動作変更を操作しようとしま
す。URL がマルウェアとしてブロッ クされる理由はさまざまですが、どのような場合も、それらが悪事を働こうとしていることは、ほぼ間違いありま せん。最終的な目的は、 ターゲットのコンピュ ータにマルウェア をインストールすること、もしくは個人情報や機密データにア クセスすることです。

45

http://www.hitac hijcoho.com/

2010 年には、1 クライアントあたりの毎月の悪質ウェブサイト ブロッ ク数が、昨年よりも 20. 2%増加しました。2010
年 3 月には、 1 クライア ントあたりの 1 日の悪質ウェブサイト ブロッ ク数の平均が、 昨年以来最高に達し、 顧客 1人あたり 1 日平均 1.4 個の悪質サイトがブロッ クされました。昨年、悪質なウェブサイトにア クセスしようとした回数
が、もっとも多かったのは AP J のユーザでしたが、今年は EMEA のユーザとなっていま す。
マルウェア を配布する悪質ドメインは、マルウェア を上回る速さで変化していま す。 サイバー犯罪者は、 今も新しい
悪質ウェブサイトの構築や、 正規のドメインの汚染によってマルウェア を配布しようと奮闘していま す。 1 つの脅威
が複数の悪質なウェブサイトで繰り返し使用されることも尐なくありま せん。2010 年にブロックされた悪質ウェブサ
イトの 90%近くが、汚染された正規のウェブサイトでした（2009 年は 80%）。平均的に見て、今年は悪質なウェブ
脅威の寿命が長くなっており、ユーザが危険なウェブ サイトにア クセスする確率が高まっていま す。
新しいマルウェア ファミリを開発し、 十分なレベルの犯罪活動を維持するには、 多くのコストが必要です。新しいドメインの登録は、 これよりもはるかに経済的であり、またできるだけ多くのウェブ サイトやドメインでマルウェア をばら
まけば、 ひとつひとつのマルウェア の寿命が延びることになりま す。サーバ側ポリモ ーフィズム を採用して、マルウェア ファイルをホスティングするウェブ サーバを運用し、独自のシグネチャを持つ新しいマルウェア亜種を数分から数時間ご とに作成するソフトウェア を実行すれば、ア クセスのたびに同じマルウェア コード ファミリのパッ ケージ を
自動的、かつ動的に変更して新しいバージョンを作成することが可能です。これらのマルウェア を正確に検出するには、 毎回違ったア ンチウイルス シ グネチャを使う必要がありま す。こうしたア プローチでは、「防弾」 ホステ ィング
サービスと、閉鎖困難なサービスプロバイダー、および「 ファスト フラックス」ホステ ィング（正規サイトを改ざんし、その IP アドレスを次々と変えることで、 フィッシングや悪質サイトを発見されにくく する、 ボッ トネッ ト技術のひとつ）が組み合わさっているため、悪質ウェブサイトが苦情を受けてただちに閉鎖されるということがありま せん。
多くの犯罪組織では、モ ニタリングをほとんど必要としないレベルまで自動化された高度な技術を採用しており、システムを昼夜問わず稼動させ、できるだけ多く の正規のウェブサイトを改ざんして、新しいサイトを登録していま す。
いったんこのようなプロセスが実用化されれば、 サイバー犯罪者が使用する方法に応じて、 汚染ウェブサイトをリモートで再設定することも可能です。

5.6.2 悪用目的のウェブサイトが減尐、正規サイトの汚染が主流に
悪質な URL の背後にあるドメインについて、それが正規のドメインか、 あるいは悪意を持って新たに立ち上げられたものかという由来の視点から考えると、興味深い結果が得られま す。 そのためには、ドメインが登録された日付に注目するのが有効です。
通常、登録から 3 カ月経たないうちに、セキュリテ ィ on-Demand インテリジェンスで URL がブロッ クされるドメイン
は、悪意を持って登録された可能性が高く、逆に、初めて URL をブロッ クした時に、そのドメインが登録から 3 カ月以上経っていれば、汚染された正規サ イトである可能性が高いと言えま す。
2009

2010

Young domains

20.2%

12.5%

Old domains

79.8%

87.5%
表 5 新旧のドメインの割

2010 年にブロックされた悪質ウェブサイトの 90%近くが、汚染された正規のウェブサイトでした。かつては、多くのウェブ ユーザが、もっとも危険なサイトはアダルト サイトだと考えていましたが、その常識は今や通じま せん。 実際、いつもと同じようにウェブ サーフィンをしようとしてマルウェア に感染するというのはよく あることです。
サイバー犯罪者達は、 悪質なドメインにユーザを誘導するよりも、 正規のウェブサイト経由でマルウェア をダウンロードさせた方が効果的だということを知っているのです。 このことは、 様々な 方法で説明できま すが、考えられる理由としては、以下の 3 つがあげられま す。
•

正規のウェブサイトを訪れるビジ ターは、警戒心が薄く、マルウェアに対する感染リスクの認識も低い。

46

http://www.hitac hijcoho.com/

•
多くのビジ ターが訪れるウェブサイトを改ざんすれば、 新たに立ち上げたドメインに人々を誘導するよりも、はるかに高い確率でユーザを感染させることができる。
•
新しいドメインでマルウェア を配布した場合、 すぐに閉鎖されてしま う可能性があるが、正規のウェブサ イトを改ざんすれば、 脅威の寿命を延ばすことができる。

5.6.3 悪質なドメインの寿命 - 悪質な URL の脅威はどの程度維持されるのか
正規ドメインが汚染された場合、 ドメインのオーナーは、 数日から数週間はほぼ確実に、 ウェブサイトに悪質なコンテンツが含まれる（またはサイトが悪質なコンテンツにリダイレクトされている）ことに気づくことはありません。
善良なビジ ターへのマルウェア 配信に悪用されたドメインは、その後すぐにセキュリティ コミュニテ ィによって検出され、ブロッ ク リストに掲載されます。 ドメインがブロックされると、 登録機関、 もしくは、ホスティング プロバイダーに対する通知と削除の手続きが行われ、 そのドメインは、脅威としてインターネットから削除されま す。ただし、汚染された正規のウェブサイトの場合、正規オーナーにウェブサイトが汚染されていることを通知した上で、 ウェブサイトを
クリーンアップするための適切なア クションをとる機会を与え、 マルウェア を除去すると同時に、ア クセスを許しているあらゆる脆弱性を修復します。
では、汚染が検出され、マルウェア除去を経て、 ふたたび安全なサイトに復旧するまでには、平均どのく らいかかるのでしょうか？
調査結果によると、 正規ドメインが悪質なコンテンツのホステ ィングに利用された場合、悪用目的で登録された若い
ドメインよりも長期間存続し、またクリーンアップにかかる時間も比較的長くなっていま す。正規の（古い）ウェブサイ
トのうち 1 日でクリーンアッ プされるものはわずか 2. 3%にすぎず、3.7% が 2 日以内に、6.9% が 1 週間以内にクリーンアッ プされていま す。
では、なぜ正規のウェブサイトのクリーンアッ プには、時間がかかるのでしょう？ それには次のような理由があります。
•「新しい」悪質なドメインは、 比較的簡単に封鎖することができま す。正規の（ 多くの場合「 古い」） ウェブサイ
トは、時として大規模、かつ複雑であり、その悪質な部分を発見して、ウェブサイトの運営を邪魔することなく修復を行うことは、これにく らべてはるかに困難です。
•
汚染を発見した場合、さらなる攻撃からサイトを保護するための方策を立てなくてはなりま せん。ほとんどの企業（特に大企業）は、そのために社内で複数の段階を経なければなりま せん。また、場合によっては、 ウェブサイ
ト構造において、脅威が非常に複雑に絡み合っているため、 ウェブサイト管理者が鎮静措置を講じ、それを実行するのに多くの時間を要してしまいま す。
昨年にく らべて、今年は、新旧両方の悪質なサイトへの対処に時間がかかるようになってきています。
Young domains
Threat removed within 7 days

Old domains

2009

2010

2009

2010

25.4%

22.0%

8.8%

6.9%

表 6 7 日以内に削除されたドメインの割合

では、なぜ脅威の封鎖やクリーンアップに時間がかかるようになってきているのでしょうか。それは、 サイバー犯罪者が、汚染されたウェブサイトから取り除くのが困難な以下のような方法を用いているためです。
•「古い」ドメインの場合、 サイバー犯罪者が、 ウェブサイトのコンテ ンツを変えているために、 認識しにくく なっている可能性がありま す。
•
新たに登録されたドメインの場合、 多くの サイバー犯罪者が、ドメインが閉鎖されにく いレジストラを選んでドメインを登録していま す。

47

http://www.hitac hijcoho.com/

•
汚染された正規ウェブサイトで「不正広告（malvertisement）」 を利用する場合、悪質な広告の取り締まりが緩やかであったり、汚染が容易なことで知られる広告会社をターゲットにしたり するケースが多くなっています。
•
正規ウェブサイト自体が精巧になり、 サイトの管理も複雑化していることから、サイバー犯罪者によって加えられた汚染を特定し、 ユーザ感染の可能性を除去することが一段と難しくなってきていま す。
結論を言えば、今年はウェブベースの脅威の存続期間がはるかに長くなっており、ユーザが危険なウェブサイトにアクセスする可能性が高ま ってきています。

48

http://www.hitac hijcoho.com/

6

フィッシングと詐欺：2010 年の深刻な脅威

6.1 フィッシングをめぐる概況
今年フィッシング攻撃としてブロッ クされたメール トラフィッ クの割合は、平均で 444. 5 通に 1 通（0.23%）と、前年の 325. 2 通に 1 通（ 0.31%）から減尐しました。Skeptic™によりブロッ クされたフィッシ ング メールの数は、 1 億
8,860 万件を超えました。今年のフィッシング メールの流通数は約 951 億通と推定されていま す。

図 43 フィッシング メールの割合2010 年、セキュリティ on-Demand インテリジェンスでは、1, 530 の組織がフィッシング攻撃でのなりすましに利用されたことを確認しており、その数は、昨年の 1, 079 組織から増加しています。
また、今年は全フィッシング攻撃の 50%が、 5 つの組織で占められていました（2009 年は 8 組織）。もっとも頻繁になりすましに利用された組織は、有名な国際銀行であり、今年ブロッ クされたフィッシング攻撃の 14.9% を占めていました。続いて多かったのは、某オンライン小売業者でした。
スピア フィッシング
企業を狙ったスピア フィッシング（あたかも社内の人物から送信されたものであるかのようにア ドレスを偽造したもの）は、今年ブロッ クされたフィッシング メールの 6. 3% を占めていました。

6.2 ニュースやイベントに便乗した詐欺
先のスパム の章で述べたように、2010 年には、サイバー犯罪者によって、 ニュ ースバリュ ーのあるイベントに便乗したスパムが多く作成されました。
このようなニュ ースベースの手法は、419 詐欺でよく使われるものです。419 詐欺（別名「前払い詐欺」）とは、受信者がなんらかの利益を受ける資格があり、情報や口座番号を通知するだけで、 その利益が得られるとうたった手法です。

6.2.1 ハイチ地震関連の詐欺
2010 年 1 月 25 日、人道主義の危機を招いたハイチ地震が発生した際、世界中の人々が、 ハイチの被害者に心からの同情を寄せました。世界の国々がすぐさま 救援に乗り出し、 多くの慈善団体が支援のための寄付金を募りました。
しかし、その一方で、善意や、不安、人助けをしたいという気持ちにつけ込むサイバー犯罪者もいま した。人を助けたいと思うあまり、人々が判断を狂わせ、詐欺に気づかないことを期待して、「419」前払い詐欺メールを送りつけた49

http://www.hitac hijcoho.com/

のです。 ハイチの地震のような危機的な出来事は、悲しいことに、これらの詐欺集団にとっての格好のターゲッ トなのです。

図 44 ハイチ地震関連の詐欺スパム

図 53 は、セキュリティ on-Demand インテリジ ェンスが検出した詐欺メールの一例です。詐欺集団は、慈善団体の本物の住所を使っていま すが、 同団体では、寄付金の受付にこの業者を利用してはいま せんでした。 さらには、問い合わせ先のメール ア ドレスもこの慈善団体のものではありま せんでした。 メールの指示に従い送金された寄付
金は、ハイチの人々の支援には使われず、サイバー犯罪者のポケットに入る仕組みになっています。

6.2.2 2010 FIFA ワールドカップ
2010 年 FIFA ワールドカッ プは、さま ざまな詐欺集団に悪用されました。 ワールドカッ プ関連の詐欺でもっとも多いのは、サッ カーく じに当たったことを通知するという、 単純な（昔ながらの）サッ カーくじ詐欺です。これ らの詐欺は、何年も前から存在し、コンセプト自体はごく 単純ながら、詐欺の細かい部分は絶えず変化していま す。

6.2.3 イギリスにおける税金払い戻し詐欺
2010 年、 英国の歳入関税庁 HMRC が 600 万人の国民から誤った額の税金を徴収して いたことを発表し、 対象者には、書面で通知すると伝えました。税金を払いすぎている人には払い戻しの請求をするよう促し、不足している人に対しては、未払い分の追加請求が出されることとなりました。
それから間もなくして、セキュリティ on-Demand インテリジ ェンスでは、この発表の混乱に乗じたフィッシ ング メー
ルを確認しました。2010 年、HMRC をかたったフィッシング攻撃は、全世界でブロッ クされたフィッシング メールの10.8% を占めました。 これに対して、米国内国歳入庁をかたったフィッシング攻撃は 0. 7%でした。

6.2.3.1

ピクチャー イン ピクチャー技術を利用した詐欺

2010 年 9 月にブロックされたあるフィッシ ング詐欺は、 メッセージ を PDF ファイルに隠蔽した、これまでにない「ピクチャー イン ピクチャー」技術を利用したもので、 注目を集めました。
この詐欺は、 HMRC の納税の間違いに関する発表に直接触れてはいないものの、 やはり臨時収入を期待する
人々をだまして、機密情報を公開させようとするものでした。

50

http://www.hitac hijcoho.com/

図 45 ピクチャー イン ピクチャー」技術を利用した詐欺メール

図 46 にあるとおり、同フィッシング メッセージには、 受信者に払い戻しを受ける権利があると書かれており、HTML ファイ
ルが添付されていま す。 これを開く と、HTML フレーム を使って、汚染されたウェブ サーバにホステ ィングされた偽のウェ
ブサイト（オフライン状態）がロードされま す。
このウェブサイトが注目を集めた理由は、「ピクチャー イン ピ
クチャー」技術を利用することで、あたかもプラグインを使って、PDF ドキュ メントをウェブ ブラウザに表示しているかのように見せかけていた点にありま す。「 ピクチャー イン ピクチャー」
技術を利用した攻撃は、画像とスクリーンショッ トを利用して、オンスクリーン コントロールやア プリケーション（PDF リーダーなど）の見た目、場合によっては、Windows デスクトップ全
体をまねるというものです。 このフィッシング サイトには、広く利用されている PDF ビュ ーア アプリケーションのスクリーンシ ョッ トを修正した背景画像が含ま れていま す（ 図 55 を参照）。
この背景にテ キストとフォーム フィールドを重ねて、本物のPDF のように見せかけているのです（ 図 55 を参照）。こうすることで、 いかにも正式ファイルのような印象を与えることができるのです。

図 55 ピクチャー イン ピクチャー HTML が PDF のように見
える仕組み

51

http://www.hitac hijcoho.com/

7

複合型脅威: ソーシャルメディア

本レポートでは、 サイバー犯罪で利用されるさま ざまなスパム、マルウェア、 フィッシ ング、ウェブ戦術について取り上げていま す。実際の攻撃を見てみると、いく つかの戦術を巧妙に組み合わせて使うことで、 複数のプロトコルをカバーし、 攻撃の確度を上げようとしているケースが多いことが分かりま す。 これらは「複合型脅威」と呼ばれています。
ソーシャル メディア と Web 2.0 のア プリケーションの利用者数が増え、機能が強化されるのに伴い、数年前からパブリッ ク/ プライベートのソーシ ャル メディア ツールが、企業にとって身近な存在となってきていま す。同様に、サイバー犯罪者達も革新的な方法で犯罪行為を行う機会の到来を認識していま す。これらの新しいソーシャル テクノロジと従来の攻撃の交点を見れば、 複合型脅威をよく理解することができま す。
2010 年には、多くのソーシ ャル ネットワーキング プラットフォームやソーシャル メディア ウェブサイトが、日常的に攻撃を受け、悪用されま した。 そうしたサイトから豊富な個人情報を盗み出し、 次の段階で、 よりターゲッ トをしぼった特定攻撃をしかける、といったケースがあります。また、 正規のア カウントにア クセスするためにソーシ ャル ネット
ワーキング サイトがフィッシングされており、悪質なサードパーテ ィの「ア プリ」 を作成して、 ユーザのプロフィール ページに追加するという例も報告されていま す。多くの正規ウェブサイトが、攻撃を受け、マルウェアのホスティングに利用されているのと同じように、正規のア プリであっても、 ウェブサイトに脆弱性があれば悪用される可能性があります。
複数のプロトコルにまたがる複合型脅威により、オンライン ア プリケーシ ョンの保護がより困難になりつつありま す。
特に、 巧妙なソーシ ャル エ ンジ ニアリング技術を利用した攻撃を防ぐのは、 至難の技です。 たとえば、人気のソー
シャル ネッ トワーキング サイトをかたったメールに、マルウェア をホステ ィングしたウェブサイトへのリンクが含まれているとします。同じリンクが IM（ インスタント メッセージング）で共有されたり、 あるいは正規のブログ サイトのコメ
ント ページ に投稿されて いたりする可能性がありま す。
脅威が統合されれば、私達がそうした脅威にア クセスする手段も同時に 増加することになります。 多くのユーザが、移動中や自宅にいる時、さらには企業のネッ トワーク以外の場所からビジ ネスデータにアクセスするようになってきていま す。 彼らは、携帯機器やスマートフォンを使って、 メールの作成や送信を行い、 ウェブにア クセスし、 企業のネットワークに接続していま す。
2011 年の初めに、 ソーシャル メディア を利用したこれらの複合型攻撃や、 ソーシ ャル メディアがもたらすリスク、お13
よび想定される解決策について、セキュリティ on-Demand インテリジ ェンスのブログ で取り上げる予定です。詳
しくはブログをご覧ください。

13

http://www.symantec.com/connect/symantec-blogs/messagelabs-intelligence52

http://www.hitac hijcoho.com/

8

グローバル化とビジネス: 2010 年の深刻な脅威

8.1 サイバー犯罪の蔓延とボットネット
2009 年には、世界のボット感染の 66%が、31 カ国で発生していたのに対し、今年はわずか 10 カ国で、全ボット
感染の 50% を占めていました。

8.1.1 スパム送信数の多い国々
中国とインドは、世界でも突出して人口の多い国です。
•
世界の総人口の 19% を占める中国のインターネッ
ト普及率は、 32% となっており、 世界のインターネッ ト ユー
ザの 21% が中国に住んでいま す。 しかし、中国を発信源とするボッ トネッ ト スパムは、全体の 0.33%にすぎません。
膨大な数のインターネッ ト ユーザがいるにもかかわらず、
中国でのボット活動は狭い範囲に留まっていま す。

0%

2%

4%

6%

8%

10%

12%

India
United States
BrazilRussia•中国の 1 日あたりのスパム メール送信数は、10
億通、アクテ ィブ ボットは、1 万 7,000 台程度と推測されます。 中国は、 インターネッ ト ユーザがボッ トネッ トに巻き込まれる可能性がもっとも低い国であり、 ブロードバンド ユーザの約 2 万 3,700 人に 1 人が、 ボットネッ トに関与していると見られていま す。中国は、 ボットネッ ト スパム 送信国の 49 位に位置しており、1 日のボットネット スパム 送信数
は、ブロードバンド ユーザ 1 人あたり平均 2 通となっています。
•
ナイジェリア も中国同様、 インターネッ ト ユーザがボットネットに巻き込まれる可能性がもっとも低い国の 1 つであり、ブロードバンド ユーザの 2 万 4,000 人に 1 人がボッ
トネッ トに関与していると見られていま す。しかし、 人口とイ
ンターネット ユーザに関する統計データは、大きく異なります。 ナイジ ェリアの人口は、世界の人口の 2% にすぎませんが、 インターネッ ト普及率は中国と同程度の 29%となっていま す。 中国と同様、ナイジ ェリア を発信源とするボット
ネット スパムは、わずか 0.03%しかありません。
•
インドには、世界の総人口の 17%が住んでいま すが、 インターネッ ト普及率は比較的低く 、7% に留ま っています。しかし、 人口が膨大なため、 世界のインターネッ ト ユ
ーザの 4%がインド国内にいる計算になりま す。 世界のボットネット スパムの 8.5%が、 この 4%のインターネッ ト ユーザによって発信されており、 インドは米国に次ぐ第 2 のスパム発信国となっていま す。驚く べき割合のスパム送信が行われていることになりま すが、 インドには、 約 48 万
7,000 台のア クティブ ボッ トが存在すると推測され、 ブロー
ドバンド ユーザの 250 人に 1 人が、 ボットネッ トに関与している計算になりま す。 1 日のボッ トネッ ト スパム送信数

Germany
United Kingdom
Vietnam

Italy
UkraineSouth Korea
FranceColombia
Romania
Poland% of global internet users% of bots

Saudi Arabia
Spain
Argent na
Netherlands

Chile
IsraelPortugal
GreeceMoroccoSerbiaAll others

54.1% of global internet users
21.2% of bots

図 547 ボット感染の多い国

53

http://www.hitac hijcoho.com/

は、ブロードバンド ユーザ 1 人あたり平均 320 通となっています。
•
今年もっとも多く のボッ トネッ ト スパム を発信した国は、米国でした。 米国には、世界の総人口の 4.5%が暮らしていま す。 ブロードバンド普及率は、77%と高く、 世界のブロードバンド ユーザの 12% を米国ユーザが占めています。 米国を発信源とするボットネッ ト スパムは、 全体の 8.7%ですが、これだけのブロードバンド ユーザがいる
わりには尐ないように感じられるかもしれま せん。 米国には、約 36 万 8,000 台のア クティブ ボットが存在すると推測され、 ブロードバンド ユーザの 653 人に 1 人がボットネットに関与している計算になりま す。1 日のボットネット
スパム送信数は、ブロードバンド ユーザ 1 人あたり平均 110 通となっていま す。
•
ブラジルもボッ トネッ ト スパム を大量に発信している国の 1 つです。ブラジルには、世界の総人口の 2.9%が暮らしていま す。世界のブロードバンド ユーザの 3.8%がブラジルに住み、 ボットネット スパム の 5.6% がこの国から送信されていま す。2010 年時点で、約 31 万 8,000 台のア クテ ィブ ボットが存在すると推測され、 ブロードバ
ンド ユーザの 239 人に 1 人が、ボッ トネッ トに関与している計算になります。 1 日のボッ トネット スパム送信数は、ブロードバンド ユーザ 1 人あたり平均 223 通となっています。
全体的に見ると、2010 年は 2009 年と比較してア クティブ ボット数が減尐しました。同時にインターネッ ト普及率とブロードバンドの利用が拡大しており、 ユーザがボッ トネッ トに巻き込まれる確率はいく つかの国を除いて低くなっ
ています。

54

http://www.hitac hijcoho.com/

92011 年セキュリティトレンド予測

グローバルにおけるスパム トレンド2011年には、スパムは文化的、また言語的にさらに多様化すると予想されま す。新興経済国における経済成長やブロードバンド導入に刺激され、スパム全体に占める英語利用の割合は、 およそ95%から90% 未満に減尐すると考えられま す。たとえば、 ブラジ ルを標的とするスパムの40%以上は、ポルトガル語で送信されます。
英語以外では、 ポルトガル語とスペイン語がスパム で使用されるもっとも一般的な言語のひとつとなりま す。 イタリ
アでは、スパムの 20-25% をイタリア語で、 フランスでは、 15-20% をフランス語で、ドイツでは 10-15% をドイツ語で受信すると見込まれま す。同様に、 中国では、10-15% を中国語で、日本では、10-15% を日本語で受信することになると予想されています。 中東では、ア ラビア 語のスパム が増加し、サウジア ラビアでは、スパム の 10% をアラビア語で受信すると思われます。
さらに、 インターネット人口の増加に伴い、東ア フリカ諸国からのスパムも増加することが予想されま す。たとえばケ
ニア では、 ボッ トネッ トの優勢に刺激され、2011年には2010年の2倍程度のスパム が送信されるとみていま す。
2011年末までに、アフリカから送信されるスパムは、スパム 全体のほぼ5% にまで達する見込みです。
スパム の国際勢力図も、引き続き地理的移動を続けま す。 欧州諸国から送られるスパム は、 全スパムの 40-45%にまで増加すると予測されま す。 これは、 欧州からのスパム の50% を占めている東欧諸国からのスパム が、2011
年には70%以上になると見込ま れるためです。 南米から送られるスパム は、全スパムの 10-15% を占めるようになると思われま す。北米からのスパム は、依然として全スパム の10% 程度でしょう。アジアから送られるスパム もあまり変化はなく、35%程度を維持する見込みです。
労働力の分散化に対応したセキュリティポリシ ー
ここ数年、 世界経済危機の余波を受け、 より分散が進む労働力のセキュリテ ィが企業にとっての課題になっています。 ラップトッ プやスマートフォンの普及に伴い、 社員が出勤日をどこで過ご すかにかかわらず、労働力の分散が進んでいま す。経済が回復し始めるにつれて、 企業は競争力を維持するために、長時間労働、遠隔勤務や在宅勤務
によって社員の生産性を高めようとしていま す。IDCの予想によれば、 尐なく とも一部の時間を社外で過ご したり、会社の主要所在地以外から遠隔勤務をしたり する社員は、2011年末ま でに10 億人となる見込みです。社員は、さまざまなデバイスを使用して、会社のア プリケーションやサービスにア クセスをすることになります。
2011年には、企業は、 外勤従業員の管理に伴う問題をさらに認識するようになり、一貫したポリシ ー コントロールやマルウェア（安全でないUSBストレージ デバイスや障害のあるウェブサイトのドライブバイ攻撃など）からのインタ
ーネッ トアクセス保護が必要なことを認識するでしょう。
クラウド環境への移行を続けるセキュリテ ィおよびサービス
労働力の分散化が進むにつれ、 ユーザは、情報を保存するためのデバイスやオンラインで送信する際に用いるデバイスの切り替えを行うようになりま す。 このため、セキュリテ ィ ソリューションは、 複数のプラッ トフォーム をま たいで、シームレスに機能する必要があり、 組織は、 これに適したクラウドへと移行しつつありま す。企業は、2011年には、プライベートクラウド、 および、 パブリッククラウドが共存するハイブリッド インフラ導入による恩恵をま すま す受けられるようになりま す。ま た、 デバイスやアクセスする場所に左右されないシ ーム レスなユーザ エ クスペリエンスの提供を模索するでしょう。

55

http://www.hitac hijcoho.com/

脅威が蔓延する時代のウェブセキュリテ ィ機能
2010年にブロッ クされた悪質な脅威の80%は、第3者が提供するコンテ ンツを経由して、直接、または間接的に侵害された正当なウェブサイト上で発見されました。同時に、 ソーシ ャルメディアなど、 かつては、 一般的にブロッ クが容易であった脅威が、よりビジネスに関連したものになってきていま す。
2011年には、ビジネス上の必要性から、IT管理者は、より細かく洗練されたウェブセキュリティ ポリシ ーを実施せざるをえない状態になるでしょう。特定のウェブサイト、または、サイト カテゴリへのア クセスが許可されるのは、アクセスの必要性のあるビジネスユニッ ト、部門、または、ユーザだけになりま す。セキュリテ ィon-Demand インテリジ ェンスのデータによれば、 ウェブフィルタリングにおいて、よりきめ細かいレスポンスを実現するために、 組織あたり約30であったカスタムポリシ ールールが50以上にまで増加すると予測されます。また、IT管理者の負担を軽減するために、
デフォルト ポリシ ーも、さらにきめ細かく業界やビジネスの役割に特化したものになっていきま す。
STUXNET が火をつけたマルウェアの特殊化
2010年の最大の驚異であったマルウェア の進化のひとつに、 トロイの木馬型ワームStuxnetが、 プログラマブル ロ
ジック コントローラを攻撃したことが挙げられま す。 これにより、P Cやサーバ以外へと標的となる範囲が広がりました。物理的インフラの突破を目的に作成された、この特殊マルウェアは、 犯罪組織にとっては、告発リスクが低いうえに多額の金額が得られることから、 2011年も継続して使用されると考えられま す。
攻撃の標的は幅広く、スマートフォンなど、 当然予想されるものから、 非常に重要な予想外のシステム、たとえば、
パワーグリッ ド コントロールや電子投票システ ムなどにま で攻撃がおよぶと考えられま す。突破することで金銭的な利益や影響力が得られるようなあらゆる技術が標的の候補になると考えられます。
ニュ ースの追跡により流行の話題をキャッ チ
ブラッ クハッ ト検索エンジンの最適化技術を使用して、感染したページ へのリンクを検索エンジ ンの結果として返そうとするマルウェアが見つかっていま す。
2011 年に、サイバー犯罪者はさらなる一歩を踏み出し、検索エ ンジンの最適化によって障害のあるウェブサイトへと被害者を導くだけでなく、時事問題やネット上のホッ トな話題でトラフィックが通常よりも高いと思われるウェブサイトを積極的に特定するようになりま す。マイクロ ブロギング サイトや検索エ ンジンのホットトピッ ク フィードの監視など、 複数の手段でこうした流行トピッ クを追跡しま す。サイトの潜在的脆弱性を理解したうえで、 この情報を用いれば、短時間に適当なターゲッ ト サイトのトラフィックを必要なだけ急増させることができるのです。
自動化によるターゲット型攻撃の進化
極度に的を絞ったターゲッ ト型攻撃の数は、確実に増えていくでしょう。 攻撃は、 入念に作り込ま れており、 特定の組織内ユーザを標的としていま す。この攻撃に対抗するためには、多大な労力と研究を必要としま す。
2011 年には、意図した被害者に、特に重要で関心を引き、また話題性があるように見えるパワフルかつ説得力のある大量の攻撃を行うために、ターゲット型攻撃の自動化を進めるでしょう。
ステガノグラフィーによるボッ トネッ トの進化
2008年11月にMcColo ISPが崩壊したため、 サイバー犯罪者が、 ボットネッ トの活動コントロールに使用していたコマ
ンド、およびコントロール サーバがなくなり、多くのサイバー犯罪が一掃されました。 それ以降、サイバー犯罪者は、ビジネスを継続するための手法を活動に組み込もうとしています。
2011 年には、ボッ トネット管理者は、ステガノグラフィー技術を導入して、コンピュ ータをコントロールするようになると予想されま す。 コマンドは、目に見えるところから、ファイル共有やソーシ ャルネットワーキング ウェブサイトから配布される画像や音楽ファイル内に隠されるようになっていきます。 この方法により、ISP にインフラのホストを依存せずに発見される危険を最低限に抑えつつ、 ひそかにボッ トネッ トへの指令を出せるようになるのです。

56

http://www.hitac hijcoho.com/

市場の悪徳業者によるオンラインのデジ タル通貨の悪用
ソーシャルネッ トワーキング サイトやオンライン市場は、2011年に独自の専用デジタルバーチャル通貨を発表すると考えられま す。 あるサイトでは、「 クレジッ ト」 を使用するシステム をすでに実用化していま す。 このような新分野の悪用を目的とした金融詐欺の攻撃（ 特殊化マルウェア や悪徳ア プリケーション、フィッシング攻撃などを含む）が、すぐに現れることが予測されま す。
2011 年には、 このようなア プローチを導入するソーシ ャルネッ トワーキング環境やオンライン市場が増加すると見込んでいま す。それに伴い、長期的な攻撃を受けるようになるでしょう。システムの弱点が見つかれば、それがマルウェア 攻撃、または、フィッシング詐欺の主たる標的になりま す。こうした通貨はさらに、国内および国際的な銀行規則やロンダリング防止制度の範囲外で不正利得を譲渡する方法としても悪用されることが考えられま す。
ハッ カーによるルーターの脆弱性の悪用
2010年に実証されたように、攻撃に対して脆弱なシステムは多く存在していま す。よく注目されるのはPCやサーバ、デバイスなどですが、 最近になって、 ルーターにも悪用の危険性があることがわかってきました。ル ーターの脆弱性を利用することにより、悪意を持ってネットワークのトラフィックをリルートできるのです。たとえば、オンラインバンキン
グ サイトのユーザを外見がそっくりな悪質ウェブサイトに誘導し、ログイン認証情報を盗んだり、ビジネスユーザーを正当なCRM、ERP、またはHRサービスから迂回させることにより、ハッ カーが顧客、ビジ ネス、または職員情報にアクセスしたりすることが可能になります。攻撃が適切に設計されていれば、ユーザは、攻撃があったことを知らないまま
悪質ウェブサイに転送されてしま います。
2011年には、既知の脆弱性を持つビジネスおよびホーム ネッ トワーク用ハードウェア を積極的に探し出して悪用する新しい変形型のマルウェア が発見されることが予想されま す。ネットワーク機器のソフトウェア やファームウェアは、あまり更新されないため、脆弱性は数年間持続する可能性があります。
サイバー犯罪者による URL 短縮サービスの不正使用
URL短縮サービスは、ソーシ ャルネットワーク、 特にユーザ情報の更新時に文字数制限が適用されるものの管理において、 欠かせないものになりつつありま す。2010年には、 URL短縮サービスを悪用して障害のあるサイトへ導く事例が多く見られました。
2011年には、犯罪組織が重要な URL短縮サービスをコントロールしたり、 グループのひとつが、 一見正当であり、かつ正しい方法で運用されるサービスを開設して、 後から悪用に転じたりするなどの方法による、URL短縮サービスを使用した、さらに洗練された攻撃が見込まれま す。 正当なサービス、または正当に見えるサービスに隠れ、時々悪用を行うので、非常に危険なものとなる可能性があります。
ターゲッ ト型攻撃の多様化
ターゲット型攻撃は、依然として大きなリスクです。大量スパムやマルウェア による攻撃に比べて数は尐ないものの、
従来型のセキュリテ ィシステム やユーザートレーニングをすべて回避するため、 非常に効果的です。2010年に、サイバー犯罪者は、それまで標的とされていなかった業界を標的とし始めま した。 それまでほとんど標的型攻撃を受
けていなかった小売部門に対する攻撃が、攻撃全体の25%を占めた時期もありま す。
2011 年には、そのような攻撃の標的とされる組織が非常に多様化すると予想されま す。各業界部門の幹部を直接標的とせずに、下請け業者やサプライヤを悪用して、 特定の業界に間接的に侵入することを試みるようになるでしょう。

57

http://www.hitac hijcoho.com/