SecurityReport

SQAT

®

����年 春夏号

セキュリティインシデント今昔

BBSecは内閣サイバーセキュリティセンターの「サイバーセキュリティ普及啓発」に賛同しています

便利で安全なネットワーク社会を創造するごあいさつ株式会社ブロードバンドセキュリティ

セキュリティサービス本部 本部長

齊藤 義人

日本国内の ���� 年のサイバー攻撃は、前年度比でおよそ � 割も増加したとみられています。増加からくるものなのか、世界各国の大半が、「���� 年にもっとも脅威に感じたこと」を「気候変動」としている中、日本は「サイバー攻撃」としているとのデータもあります。

下半期に影響範囲が広かったサイバー攻撃の中に、医療機関へのランサムウェア攻撃があります。この攻撃は、サプライチェーン攻撃の側面も持っており、サイバー攻撃の複雑化を象徴していたかのようにも思えます。また、ロシア系ハクティ

ビストグループ「KILLNET（キルネット）」による日本を標的としたサイバー攻撃が発生し、重要インフラ事業者を含む、複数の組織が攻撃を受けました。

���� 年は AI 技術の発展が目覚ましい年でもありました。特にチャットボット「ChatGPT」の登場は、大きなインパクトを持って迎えられました。多くの人々の関心が高まっていますが、同時にサイバー攻撃者からの関心も高まることも忘れてはならないでしょう。フィッシングメールの生成や、マルウェアの組み立てなど、様々な面で攻撃に活用してくることが予想されます。

高度化と増加を続けるサイバー攻撃に備えるためにも、セキュリティの強化は急務です。本レポートが読者の皆様のセキュリティ対策における有益な情報としてご活用いただけることを願ってやみません。それこそが「便利で安全なネットワーク社会を創造する」をモットーに掲げる株式会社ブロードバンドセキュリティ（以下、BBSec）の使命であると考えております。
本レポートは、BBSec の脆弱性診断サービス「SQAT®」における ���� 年下半期（� 月～ �� 月）の診断結果からデータを抽出し、集約したものを当社エンジニアらの知見も交えてアウトプットしたものです。今号は、過去に起こったセキュリティインシデントのうち、現代まで系譜があるものの変遷から有効な対策を紐解く企画や、PCI DSS v�.� について、求められる要件のうち脆弱性診断に係る事項に焦点を当て、対応や概要をつづった企画を掲載しております。

CONTENTS＜巻頭企画＞

セキュリティインシデント今昔 ─── ��

診断の現場から ─── ��＜注目テーマ＞

PCI DSS v�.� で変わる脆弱性診断～���� 年� 月�日完全移行で慌てないために～ ─── ��＜現状分析＞

クレジットカード情報漏洩インシデントの現状～ ���� 年下半期 PFI レポートより～ ─── ��
診断結果にみる情報セキュリティの現状～ ���� 年下半期 診断結果分析～ ─── ��

カテゴリ別脆弱性検出状況 ─── ��

業界別診断結果レーダーチャート ─── ��※本レポートは、当社セキュリティサービス本部のホームページ「SQAT®.jp（URL：https://www.sqat.jp/）」https://www.sqat.jp/sqat-securityreport/からダウンロード可能です。
SQAT.jp

サービス名は各社の商標又は登録商標です。
なお、本文中では商標又は登録商標を表すマークを特に提示していない場合があります。
※ 本誌において記載されている会社名、商品名、この冊子は、クリエイティブ・コモンズ表示�.�ライセンスの下に提供しております。
二次利用にあたっては、出典明示（出典：株式会社ブロードバンドセキュリティ発行『SQAT® Security Report ����年 春夏号』
）をお願いします。
また、商用利用は許諾しておりません。

SQAT®はBBSecの登録商標です。
登録商標第�������号

今昔セキュリティトン
デシン
イ
巻頭企画

SQAT® Security Report 編集部

時代を意識したセキュリティ対策ができているだろうか？
企業としてセキュリティ対策を行うのはいまや当たり前の現代。
ここでは過去から現代に至るまでのセキュリティインシデントの変遷をみることで、現代において、どのように注意を払っていくべきなのかを対策とともに取り上げる。

認証バイパス

本題に入る前にまず、現代の攻撃例として、認証バイパスについて紹介する。
認証バイパスとは認証の迂回、つまり攻撃者が認証機能を回避してシステムにアクセスすることを指す。
認証の資格情報がない攻撃者もシステムにアクセス可能となるため、危険度の高い攻撃となる。

知識情報

Something You Own

本人だけが知っている本人だけが持っているパスワード、秘密の質問、暗証番号、パターン認証等

パスワードのみといったように、単一要素による認証が主流であったが、近年では、認証強度を高めるため、多要素認証が用いられるようになってきた。多要素認証とは右記の三要素のうち、パスワードとICカード、暗証番号と指紋認証、といった具合に複数の要素を用いる認証方式である。
では、この認証をバイパスする攻撃パターンの例を以下に紹介する。

� MFA Fatigue（多要素認証疲れ）攻撃
ID

Pass

入手済みのログインIDとパスワードを使って攻撃者が何度もログインを試行。

膨大な量のプッシュ通知が正規のユーザに届き、つい承認してしまう。

機密情報

攻撃者がログインに成功し、情報を盗み出す。

なりすまして誘導も…
IT担当者です。
通知を止めるため承認してください。

※ MFA：Multi-Factor Authentication（多要素認証）

� フィッシングによる認証バイパス
loginxxx-sso.com

ｘｘｘｘｘｘｘｘｘｘｘｘ

ログイン

コード入力
ｘｘｘｘ

攻撃者がユーザが普段使っているサイトに似せた偽サイトを作成し、そこへのアクセス・ログインを促す。

認証情報

Success！

多要素認証
Code：xxxx
ログイン

認証
コード

所持情報

Something You Know

ログイン
完了

ユーザが偽サイトでログインし、その認証情報が攻撃者へ送られる。攻撃者はその情報ですぐにログイン試行。正規の認証コードがユーザに届き、それを偽サイトに入力してしまうことで、攻撃者が認証コードも入手し、ログインが成功。

IC カード、ハードウェア
トークン、スマホ 等

生体情報

Something You Are

本人だけの身体的特徴

指紋、顔、声紋、虹彩、静脈、DNA、行動 等

Point

多要素認証を用いていても、「 通知を止めたくてつい承認してしまう」、「怪しい通知と気づいていても、誤った操作で承認してしまう」というヒューマンエラーを誘う攻撃が存在する

Point

よく用いられている認証コードによる多要素認証だが、すべて文字情報による認証のため、人の判断ミスにより攻撃者に情報が漏洩すると、ロ グインが可能となってしまう

BBSec SQAT Security Report ����年 春夏号

��� VPNの脆弱性を突く攻撃
認証成功
xxx = �脆弱性が放置されているVPN機器

ソフトウェアに脆弱性があるVPN
機器に対して、攻撃者がその認証方法に合わせて、メモリやログなどの情報を取得し、認証が成功している状態の情報を獲得する。

認証成功
xxx = �OK！

認証が成功した状態を偽装することで、認証を行っていないのに、VPN接続が成功してしまう。

� 脆弱性などによりCookieを悪用する攻撃
Cookie認証
情報※ SSO：Single Sign-On
一度の認証で連携している複数のシステムにサインオンできる

CookieCookie

ログイン
完了

Point

VPN接続後にその他のアプリに対してSSOを適用していてかつVPNの脆弱性を放置していた場合、VPN認証が回避されると各種アプリの不正利用が行われる可能性がある

認証情報

認証情報

ログイン
完了

攻撃者がブラウザなどの脆弱性を突いたり、ダークウェブ経由あるいはマルウェアなどを用 いたりして、ユ ー ザのセッションCookieを入手する。

攻撃者が入手したセッションCookieをブラウザに投入し、ログイン完了の状態に遷移する。

Point

Pass-the-cookie攻撃と呼ばれる手法で、「ログイン済み」という情報を盗まれるので、多要素認証を導入していてもバイパスが成功してしまう

最近話題となった攻撃が「MFA Fatigue（多要素認証疲れ）攻撃」だ。
これは何度も承認要求されると、通知を止めるために、つい承認を行ってしまう人の心理を突いた攻撃である。
また、同様に
「フィッシングによる認証バイパス」も、偽サイトに気づかずに情報を送ってしまう人の隙を突いた攻撃と言える。
それに対し、「VPNの脆弱性を突く攻撃」は、VPN機器の中で動くソフトウェアの脆弱性を突いた攻撃であり、そして「脆弱性などによりCookieを悪用する攻撃」はブラウザなどの脆弱性を突いた攻撃である。
このように、認証バイパス一つをとっても、人の心理やシステムの脆弱性など、様々な要因によって被害が発生する可能性があることがわかる。
では、次のページから、サイバー攻撃の種類のうち、いくつかのテーマを取り上げて、それぞれにまつわる事例と共に説明していく。攻撃者が狙うセキ
ュリティの穴はどういったところに存在するのか、ご確認いただきたい。

各パターンの対策例

MFA Fatigue（多要素認証疲れ）攻撃・パスワード認証に依存しない認証方式を検討する
・身に覚えのないプッシュ通知などの認証リクエストを承認しない
フィッシングによる認証バイパス

・不審なメールの URL リンクをクリックしない
・認証情報を入力する際にはアクセスしている URL が正規のものか確認する
VPN の脆弱性を突く攻撃
・セキュリティアップデートが公開された際には迅速にアップデートを行う
脆弱性などにより Cookie を悪用する攻撃・ログインが必要なサービスは、利用が終わる都度ログアウトしてから閉じる
・Cookie を定期的に削除するようブラウザを設定する
��BBSec SQAT Security Report ����年 春夏号

セキュリティインシデント今昔

組織・企業の事業運営に欠かせないシステムやネットワークが侵害されれば、事業継続に影響する深刻な被害に陥る恐れがあり、セキュリテ
ィ対策はいつの時代も重要であることに変わりはない。
しかしながら、サイバー攻撃は巧妙化しており、セキュリティ対策にかかるパワーやコストは上がるばかりである。
そのことに頭を悩ませる経営者やセキュリティ担当者は多いかもしれない。
ここからは、セキュリティ対策のヒントとして、これまでのセキュリティインシデント事例を振り返りながら、サイバー攻撃の変遷を見ていく。

メールによる大規模感染メールにより感染を広げる攻撃の中でも、特に大規模な感染を引き起こした例を取り上げ、今昔それぞれの特徴を見てみたい。
メールによる初の大規模な感染を発生させたウイルスとも言われる「Melissa」は、ジョーク目的だったと言われており、攻撃者本人がメール遅延やサーバ停止のような大きな被害については想定外だったと語っている。

������������
������������
��������
��������
��������
����������������
����
����
����
����
������������
����������������
����������������
��������
��������

AIDS ウイルス

バブル崩壊

ベルリンの壁崩壊

IIJファイアウォールサービス開始（日本初）Windows�� 発売
ポケベル契約者数�,���万人超
パソコン通信 NIFTY-Serve
会員��� 万人超

プライバシーマーク運用開始

Melissa

IPA 設立Google 設立���� 年問題

Facebook 設立
個人情報保護法施行
AWS サービス開始
郵政民営化
ギリシア財政危機

アラブの春 フロッピーディスク（民主化運動） 販売終了（ソニー）

日本年金機構への攻撃
WannaCry

スノーデン事件

GDPR 施行

スマホ決済サービス
PayPay リリース

EmotetCOVID-�� で
国内電機メーカーへの攻撃 緊急事態宣言
東京オリンピック・パラリンピック開催
国内フィッシング報告
国内医療機関への攻撃
�� 万件超（月間）Melissa

意図せず大規模感染を引き起こしたウイルス「Melissa」

×?

���� 年、大規模感染を引き起こしたマ
攻撃者が不特定多数にウイル
ルウェア「Melissa」は、Word のマク
ス付きメールをばらまき、そロ機能を悪用したマクロウイルス。
れを受信者が開封してしまう
感染者の Outlook のアドレス帳に存在
感染者の端末から大量のメール送するメールアドレス宛にマクロウイル
信が行われ、負荷によってメールス付のメールを自動送信するウイルス
サーバ停止などが引き起こされたであったため、大規模感染となった。
感染端末では大量のメール送信が行われてトラフィックを圧迫し、メールサーバに負荷がかかったため、送信遅延やサーバ停止などの被害も発生した。

特徴

・感染端末のアドレス帳の宛先に対して自動送信を行う機能を有していた・メールの件名や本文は、受信者に開封を促すような内容だった

対策

・「Oﬃce 製品のマクロ機能を不用意に有効にしない」
等の教育・アンチウイルス製品のを導入
・マクロの自動実行を無効化

注目ポイントこの大規模感染によって引き起こされたサーバ停止等は攻撃者も想定しておらず、意図せず大きな被害を招いた。
メールの内容は特定の組織に特化したものではなく、不特定多数にばらまく形で感染を広げた。
BBSec SQAT Security Report ����年 春夏号

��