SQAT
SECURITYREPORT®

����-����年 秋冬号

株式会社ブロードバンドセキュリティ

セキュリティサービス本部
東京都新宿区西新宿�-�-� 野村不動産西新宿共同ビル�F
TEL：��-����-���� FAX：��-����-����
https://www.bbsec.co.jp/
BBSecは内閣サイバーセキュリティセンターの「サイバーセキュリティ普及啓発」に賛同していますはじめに

株式会社ブロードバンドセキュリティ

セキュリティサービス本部 本部長
齊藤 義人

本レポートは、株式会社ブロードバンドセキュリティ（以下、BBSec）の脆弱性診断サービス「SQAT®」における����年上半期（�月～�月）の膨大な診断結果からデータを抽出し、集約したものを、当社のエンジニアらの感性も交えてアウトプットしたレポートです。
主にサイバーセキュリティのトレンドや展望についてお楽しみいただくことができる内容となっております。

����年上半期もさまざまなニュースが散見されました。
前期から引き続き、テレワーク絡みのセキュリティの盲点をついた攻撃や、セキュリティ対策が不十分な中小企業への攻撃とそれに起因する大企業等への攻撃が目を引きました。
テクノロジーの発展と攻撃手法の高度化は比例していますが、今期におけるランサムウェア攻撃件数の圧倒的な増加を鑑みると、攻撃の糸口の基本は大きく変わっていないともいえるでしょう。

日常生活、事業活動のいずれにおいても、Webサービスやスマホアプリの利用にあたってログイン認証を行う機会は少なくないでしょう。
パスワード認証をはじめとする認証機構は、サイバー攻撃者たちに狙われやすいポイントの�つです。認証情報を奪われてしまうと、不正アクセスを受けて個人情報が盗まれたり、不正利用による直接的な金銭被害が発生したりといった、深刻な被害を招きかねません。
認証機構の不備をついた攻撃に対する対策は必須といえます。
巻頭企画では、
サイバーセキュリティ対策を実装する上で重要な認証技術に焦点を当て、システムの安全性を高めるための方策を考えます。

仮にセキュリティにあまり詳しくない方でも、脅威に対してどのようなセキュリティ対策をすべきか検討する機会に、「コンピュータウイルス」や「Webサイト改竄」といった単語を脳裏に思い浮かべることは多いでしょう。
今号の注目テーマは、不正なソフトウェア「マルウェア」の解説をすると同時に、その歴史をたどり、セキュリティとの関わりに着目して昨今の社会に与えた影響を紐解きます。

本レポートが、読者の皆様のセキュリティ対策における有益な情報としてご活用いただけることを願ってやみません。
それこそが「便利で安全なネットワーク社会を創造する」をモットーに掲げるBBSecの使命であると考えております。

SQAT®（Software Quality Analysis Team）とは～スペシャリスト集団が組織の脆弱性対策をトータルに支援～「SQAT®」は、BBSecがご提供する脆弱性診断サービスです。
エンジニア、コンサルタント、ホワイトハッカー等から編成された精鋭チームが、あらゆる側面から網羅的な診断を実施。
スペシ
ャリストのノウハウを結集して組織の情報システム強化をお手伝いします。
お客様は金融機関・インターネット事業者などの民間企業から、官公庁をはじめとする公共機関まで幅広く、これまでに延べ�,���組織、��,���を超えるシステムで利用されています。

CONTENTS��はじめに��

認証技術は今注目テーマ

��VulnerabilityAssessment

マルウェア列伝～マルウェア��年のあゆみ～

��

診断の現場から��

SQAT® Security Report 編集部が選ぶ����年上半期 �大セキュリティ脅威��

巻頭企画

現状分析

��
����

目次

診断結果にみる情報セキュリティの現状
����年上半期 診断結果分析

����年上半期カテゴリ別脆弱性検出状況
Webアプリケーション/ネットワーク
業界別診断結果レーダーチャート※本レポートは、当社セキュリティサービス本部のホームページ「SQAT®.jp（URL：https://www.sqat.jp/）」https://www.sqat.jp/sqat-securityreport/からダウンロード可能です。
SQAT.jp

サービス名は各社の商標又は登録商標です。
なお、本文中では商標又は登録商標を表すマークを特に提示していない場合があります。
※ 本誌において記載されている会社名、商品名、この冊子は、クリエイティブ・コモンズ表示�.�ライセンスの下に提供しております。
二次利用にあたっては、出典明示（出典：株式会社ブロードバンドセキュリティ発行『SQAT® Security Report ����-����年 秋冬号』
）をお願いします。
また、商用利用は許諾しておりません。

SQAT®はBBSecの登録商標です。
登録商標第�������号

巻頭企画

認証技術は今SQAT® Security Report 編集部認証とは、主に、特定の場所への入場や特定のシステムの利用などにあたって、「その人物が確かに入場や利用を許可された当人であるか」確認することを指す。認証技術は、様々なシステムにおいてユーザの真正性を確認するためのものであり、セキュリティの要といえる。本稿では、Webサービスおよびスマートフォン（以下、スマホ）アプリにおけるユーザ認証技術について、昨今の実情を今一度整理し、セキュアなシステム構築のためにどのような認証機構が求められているのかを探る。

認証をとりまくリスク

サイバー攻撃のうち、認証の仕組みに不備があることにより発生するのが、アカウントの乗っ取りである。最近報告された国内のインシデントには以下のような例がある。
㕔⼔侇僿䇗僖䇗僖䇗僖ؕ٤‫ظب‬٤‫ع‬䏅ꮶ㛻 㰢 溿 狒 ⿦‫ ٭ْס‬宾㛙‫┘ס‬攐㲊㛡丗‫ס‬ٜؓ‫ؗ؜‬٤‫┘סع‬塜 㲌⩝‫מ‬鳿䘄ْ‫٭‬ֿٜ鴜⟓‫ג׿׈‬ն⮵榫 ْ‫ة٭جش‬٤‫ وؓء‬ ؅飃ֻ‫׾‬鏀錞䗯ٛؓ‫ؗ؜‬٤‫ ┘ס׫ع‬㕔ֿ孱⭳‫ג׊‬䔤‫׿‬ն塜ؓ‫ تجؠ‬꧅ 㯸 婊 岷‫ تل٭ئ‬㛡丗‫ס‬ꉏ车⹾䈳‫׼־‬┘塜䌕‫׊⭳׀‬նꄋ踄䇳┘塜⹾䈳⮵榫 ֿ㵚䑴釐鑁؅⭳‫ג׊‬ն

参考情報*� https://www.tohtech.ac.jp/topics/wp-content/uploads/����/��/b�bf�������b���ee��bf���������db-�.pdf*� https://linecorp.com/ja/security/article/���*� https://www.fsa.go.jp/news/r�/sonota/��������/��������.
html

認証の�要素ここで、そもそも認証にはどのような要素があるか、おさらいしたい。認証の要素になり得るのは、その本人だけに属するモノ・コトだ。次のとおり、「知識」「所持」「生体」の�種類の要素が挙げられる。
いずれの要素も、「本人だけ」という点が重要だ。他人が知っていたり、所持していたりしては、その本人を認証したことにはならないからだ。
4PNFUIJOH:PV,OPX湳閁䗯㕔4PNFUIJOH:PV0XO

䢥䧏䗯㕔4PNFUIJOH:PV"SF儖☔‫ֿׄד‬儖☔‫ֿׄד‬儖☔‫סׄד‬湳‫׾ַיז‬‫تق‬٠‫غ٭‬յ倊錞樑⺘յ熹㳡‫ס‬韬ゖյ‫٭ذق‬٤鏀錞璡䧏‫׾ַיז‬*$‫غ٭؜‬յ‫ؠ٭عؘؓؗغ٭ـ‬٤յ‫ٌُت‬璡

榟⛮䗯㕔骰⛮氳攐䐶䧗硬յ갹յ㚜硬յ豌䎷յꪐ耛յ%/"յ车Ⳃ
璡

パスワード認証の限界

ID・パスワードによるログインを試行する攻撃手法は複数あるが、パスワードリスト攻撃の一種で、ボットにより大量の不正ログインを試みるCredential Abuseは、�日に億単位で実行されている。
このうち特に金銭被害に直結しがちな情報を保持する金融サービス業では、�日あたり数千万件との報告もある（右・折れ線グラフ）。
しかしながら、どれほどサービス提供側が警告を発したとしても、ユーザは複数のサービスで同じパスワードを使いがちだ。実際、複雑なパスワードを設定するのも、複数の異なるパスワードを管理するのも面倒である。
ヒトの記憶に頼るパスワード認証という方法の宿命と言えるだろう。
��BBSec SQAT Security Report ����-����年 秋冬号

出典：Akamai Technologies, Inc.「SOTI インターネットの現状/セキュリティ」
レポート第２号『金融業界に対するフィッシング攻撃』
https://www.akamai.com/jp/ja/multimedia/documents/state-of-the-internet/soti-security-phishing-for-ﬁnance-report-����.pdf

╚‫ם‬鏀錞䤗软

8FC‫وٌُؓت׷تل٭ئ‬ٛ‫מ‬ַֽ‫✳י‬榫‫׾ַי׿׈‬鏀錞亠䌋‫עמ‬յ⯥鳭‫ג׊‬釐碛‫הֹס‬‫ײסח‬榫ַ‫ⶡ׾‬釐碛鏀錞‫تق‬٠‫סײסغ٭‬鏀錞‫לם‬յ‫♓ח‬┕‫ס‬釐碛؅磝‫׾׎؂⺬ײ‬㛡釐碛鏀錞‫تق‬٠‫غ٭‬‫ךٌُت‬⹨⟓‫ג׊‬鏀錞‫לםغ٭ؤ‬յ‫ױ‬‫ג‬յ鏀錞؅◅壿꣪‫ך‬车ֹֿյ鏀錞釐碛舅⛮‫◅ַ׻׵ך׋⺱ע‬壿꣪鏀錞‫تق‬٠‫غ٭‬熹㳡‫ס‬韬ゖ‫לם‬ֵֿ‫׽‬յַ‫ס׿׍‬亠䌋‫םֹ׻ס⺓׵‬喋չ‫ם‬鏀錞䤗软؅磝‫י׎؂⺬ײ‬车‫׾׿؂‬ն

Cookieੳ઒$PPLJF鏀錞崰嵤崗嵛ੳ઒‫ؠ٭ع‬٤鏀錞嵗嵛崧崌嵈崹崡嵗嵤崱崰嵤崗嵛٠٤‫ؕذ‬ّ‫تق‬٠‫ؠ٭عغ٭‬٤

8FC‫ֿف٭ئ‬氦车‫׾׌‬Web崝嵤崸岶৅ষ峃峵$PPLJF‫٘بشج‬٤*%
؅
Cookie‫ق‬崣崫崟嵏嵛ID‫ك‬峼✳榫‫ג׊‬鏀錞ઞ৷峁峉ੳ઒鏀⺎‫ֿف٭ئ‬氦车‫׾׌‬ੳ૭崝嵤崸৅ষ峃峵岶ؓ‫ؠ٭عتجؠ‬٤؅崊崗崣崡崰嵤崗嵛峼✳榫‫ג׊‬鏀錞ઞ৷峁峉ੳ઒榟䡗‫┉׾׿׈‬㍑꡾‫ס׽‬েਛ岿島峵঳৚଒峴峘✳ַ䩰‫تقי‬٠‫غ٭‬؅ઞ岮ຽ峐崹崡嵗嵤崱峼✳榫‫ג׊‬鏀錞ઞ৷峁峉ੳ઒1,*⪜ꝧꐶ鏀錞㓹泅榟⛮鏀錞

'*%0鏀錞ؕ٤‫ך┕عشؾ٭ذ‬㱦⪒‫מ‬䗯㕔؅‫ס״ג׾׌׽כ׽׷‬‫ٖ؞ج‬ٛ‫ؕؔط‬٤‫ن‬ٚ䧗硬յ갹յ豌䎷‫סלם‬骰⛮氳攐䐶‫׾׻מ‬鏀錞‫ך‬鋗䞬‫׷‬䢥䧏ֿ┘釐榟⛮鏀錞‫⪜כ‬ꝧꐶ倊⺘亠䌋؅磝‫ג׎؂⺬ײ‬‫تق‬٠‫غ٭‬ٝ‫ت‬鏀錞表

パスワード認証以外なら安全か

では、パスワード認証以外の認証方法なら安全だろうか。
各要素による認証について、想定されるリスクには以下のようなものが考えられる。

湳閁鏀錞…

…

‫ْٖ؞غ‬٤‫⺲ع‬氦车⩕氦车䇗僖㏐亠⪜⪦㍚⛮‫׾ֽׄמ‬䗯㕔‫ج‬‫ٖ؞‬ٛ‫َؔط‬ٛ‫מ٭ب‬꞊‫؝׾׌‬ؕ‫غ‬ٚؕ٤♐⽰䇗僖撶稀ⳉ泸䇗僖‫ط‬ٝ٠‫ٖ؞جؠ٭‬ٛ‫غؕ؝ؔط‬ٚؕ٤瑬撶稀ⳉ泸䇗僖车䷓䣆禈‫؛׾ֽׄמ‬٤ٚؕ٤‫׾׻מ‬儖☔澬鏀‫ס‬䣆嫎‫מ‬꞊‫׌‬‫غؕ؝׾‬ٚؕ٤⫂ꞌ㲆䢢䇗僖⵳殴䗯㕔‫סّطتب‬㱦⪒畘杼‫מ‬꞊‫غؕ؝׾׌‬ٚؕ٤մ瑬撶⸁榟Ⲑ⥸泸䇗僖乃鼧熭㰢泸*$‫ֿغ٭؜‬碏㜊侇‫מ‬䖾榫‫׽ג׿׈‬յ‫غ٭ؤتق‬⹨⟓嚀㉺ֿُٜ‫ؘؓؗ‬䚉刌‫י׊‬鏀錞䗯㕔؅河⹦‫׿אֽ׾׌׽ג׿׈‬䷷罫䗯㕔‫ٖ؞ج‬ٛ‫َؔط‬ٛ‫٭ب‬‫מ‬꞊‫غؕ؝׾׌‬ٚؕ٤♐⽰䇗僖撶䇗僖ꇠ鷹⮆ꄇ‫׾ֽׄמ‬䗯㕔‫ٖ؞ج‬ٛ‫ؔط‬澬⟊‫׾➟מ‬㱦⪒‫غؕ؝‬ٚؕ٤մ瑬撶

㎁㎻◫鵟泸䇗僖갹յ䧗硬յ㚜硬‫גזַכ‬꨽⭳‫׾ַי׊‬榟⛮䗯㕔
؅յ4/4‫׷‬䲯䏅٬ꎰꮟ‫ם‬‫סל‬䣆壿‫׽׻מ‬䗯㕔؅⹦䐂‫׿אֽ׾׿׈‬"QQMJDBUJPO4FDVSJUZ
7FSJDBUJPO4UBOEBSE

08"41/*4541%JHJUBM*EFOUJUZ(VJEFMJOFT
3FWJTJPO

㎁玮嘅嶖䤗软溿狒䢥䇗僖

1BZNFOU$BSE*OEVTUSZ
%BUB4FDVSJUZ4UBOEBSE
7FSTJPO

1$*44$䇗僖$*4$POUSPMT7FSTJPO$FOUFSGPS*OUFSOFU4FDVSJUZ䇗僖‫סל‬鏀錞釐碛‫׵מ‬䖾榫‫⷇׾׿׈‬ꣅ‫׾ֵע‬!

主なセキュリティガイドライン!

‫تق‬٠‫♓غ٭‬㛙‫׵‬걉䫟‫׷‬鐧削‫ׂ׌׷׊‬յ‫׀בס‬釤‫بشؔن׷‬٤‫عؕئء‬‫׵ךⱱ⪌סך‬㳊佄‫מ‬䗯㕔ֿ⹦䐂‫׿אֽ׾׿׈‬䢥䧏鏀錞榟⛮鏀錞

残念ながらどの認証方法も、完全に安全ということではない。
それぞれの特性により、認証が破られて悪用される危険はあるといえる。

リスクをできるだけ回避する多要素認証

そこで、複数の認証要素を組み合わせることで、少しでも破られるリスクを低減させよう、というのが多要素認証の考え方だ。
認証を突破するのに手間がかかればかかるほどよい。
多要素認証については、右表のような様々なセキ䇗僖ュリティ基準やセキュリティガイドラインでも、言及されている。
しかし、たとえFIDO認証などの多要素認証を実装したとしても、認証情報自体が漏洩してしまえば、いかなる認証も破られてしまうことになる。
これを防ぐにはどうすればよいか。
BBSec SQAT Security Report ����-����年 秋冬号

��