4-11インシデント

2018年の情報セキュリティ動向

2森崎 樹弥3●一般社団法人 JPCERT コーディネーションセンター 早期警戒グループ 情報分析ライン 情報セキュリティアナリスト

金銭窃取を目的としたスパムメールやSMSを利用した偽サイトへの誘導などの攻撃、不正アクセスによる個人情報漏えい被害発生のほか、国内初となる日本語ビジネスメール詐欺が確認された。

45■セキュリティインシデントの報告件数

ウエアは、連絡先などスマートフォン内に保存さ2018 年 1 月から 12 月までに JPCERT コーディ

れた情報の窃取や端末の遠隔操作を試みるものでネーションセンター（JPCERT/CC）に報告されあった。

たコンピューターセキュリティインシデント（以これらの攻撃に遭わないためには、身に覚えの下、インシデント）の件数は1万5751件（前年は1ないメールやSMSなどの受信時に、不用意にURL万8450件）であった（資料4-1-1）。前年と比較しをクリックしないことや、送信元の組織や個人にて、「スキャン」および「ウェブサイト改ざん」の電話など別の手段で受信したメールや SMS が正報告件数が減少した一方で、「フィッシングサイ当な送り主によるものか確認することが重要であト」の報告が増加した（資料 4-1-2)。フィッシンる。また、ソフトウエアをインストールする際にグサイトの報告件数は前年比 50 ％の増加になっは信頼のできるサイトからに限り、利用するソフており、中でも、国内ブランドを装ったフィッシトウエアを最新のものに維持するなど、PC やスングサイトの増加が顕著だった。

マートフォンのセキュリティ対策を心がけたい。

■ユーザー個人を対象とした攻撃●金銭窃取を目的とした攻撃●実在する組織からのメッセージを装った偽サイ

2018 年も国内外によらず、継続して世界的にスパムメールが確認されており、その中にはマルトへの誘導2018 年は、実在する組織からのメッセージをウエア拡散を狙ったものも含まれている。そのよ装ったメールや SMS を送りつけ、偽サイトへ誘うなマルウエア拡散を狙ったメールには日本語で導する攻撃が多数報告された。特に、宅配業者を記述されたものも確認されている。トレンドマイ

かたる不審な SMS が 2018 年 7 月の中旬から急増

クロの調査2 によると、マルウエア拡散を狙ったスし、注意が呼びかけられている1 。 SMS 本文中にパムメールのうち、日本語で記述されたメールの記載されたリンク先をタップすると、攻撃者に約 95 ％はバンキングトロジャン拡散目的だった。

よって準備された偽のサイトへ誘導される。偽サ2018 年に国内で確認された日本語で記述さイト内では、画面のどの領域をタップしても、マれたマルウエア拡散メール攻撃の特徴の 1 つ

ルウエアのダウンロードが開始される。このマルとして、CUTWAIL と呼ばれるボットネットをインターネット白書／ ©1996-2019 Impress R&D

196

第4部

サイバーセキュリティ動向

資料 4-1-1

インシデント報告件数の推移（2018 年 1〜12 月）

12

3

45
出典：「JPCERT/CC インシデント報告対応レポート」をもとに作成（インシデント報告対応レポート（JPCERT/CC、https://www.jpcert.or.jp/ir/report.html）

資料 4-1-2

インシデント報告件数のカテゴリ別内訳（2018 年 1〜12 月）

出典：「JPCERT/CC インシデント報告対応レポート」をもとに作成

攻撃インフラとして利用している点が挙げられ用する攻撃や4 、2018年10月下旬のステガノグラ

る。CUTWAILは2007年頃から確認されており3 、フィを用いた攻撃においても5 利用が確認されて2018 年上半期の 6 か月においても、2018 年 8 月いる。

上旬の Internet Query（IQY）ファイルを不正利

一方で、仮想通貨を要求する脅迫メールが2018

インターネット白書／ ©1996-2019 Impress R&D
第4部

サイバーセキュリティ動向

197

1

年 7 月下旬頃から世界中で確認され6 、9 月中旬頃

ソフトウエア基盤についても最新の状態に維持すからは日本語で記述されたものも散見された7 。

ることが重要である。

これらのメールには「入手した受信者に関する情2

3

報を削除する代わりに仮想通貨を要求する」との内容が記載されており、受信者自身に関係する情2018年3月中旬頃、国内の報道機関において報報を侵害したと不安をあおることで金銭の獲得を道された事例が代表するように、2018 年も国内狙う手法が使われていた。また、海外では、このの特定組織に向けた標的型攻撃は継続している。

ような脅迫メールにマルウエアを忍ばせている

2018年1月から12月までの期間中、JPCERT/CC89

においても、国内の組織を標的とした標的型攻

このような攻撃の被害に遭わないためには、添撃に関連したインシデント報告が合計 26 件寄せ付ファイルやメール本文中のリンクを不用意に開られた。標的に送られたメールに添付されたマクかないことや受信したメールに関して、不審な点ロ付きの文書ファイルを開かせることによってがないかなどを確認したうえで冷静に対応するこRedLeaves や ANEL と呼ばれるボットに感染さとが重要である。

せたり、メールの本文中に記載された URL をクケースも確認されている 。

45●標的型攻撃リックさせることで TSCookie と呼ばれるダウン■法人組織を対象とした攻撃

ローダーをインストールさせたりする攻撃手法が●仮想通貨マイニングマルウエア確認された。また、メールに添付されたマクロ付

2018 年でも、仮想通貨マイニングマルウエア

きの文書ファイルを開かせることによって、最終が継続して確認されている。これは、設置者が自的に、Cobalt Strike のペイロード（Cobalt Strike

らの意思でウェブサイトに Coinhive を埋め込みBeacon）を実行する攻撃も確認された13 。

利用するものではなく、組織のウェブサイトな標的型攻撃では、用いられるマルウエアや侵入どにウェブサイト改ざんを通じて埋め込まれて手口が標的組織ごとにカスタマイズされているのいたり、何らかの方法で不正にアクセスしたサーで、攻撃を完全に見破って防ぐことが難しい。そバーにプログラムが設置されたりするケースだとのため、すでに侵入されている可能性を念頭に、想定される。特に、Oracle WebLogic Server の早期検知に配慮した日頃からの備えが重要だ。具

脆弱性（CVE-2017-10271）10 や Drupal の脆弱性

体的には、まずは自組織における各種ログ（Proxy1112（CVE-2018-7600）
および（CVE-2018-7602）

や Firewall、Active Directory など）の定期的ななど、ソフトウエアの脆弱性を悪用した攻撃が、調査や端末の管理状態の確認など、運用状況の把複数の組織で確認されている。これらのマルウ握が重要である。

エアの感染を防ぎ、早期に感染を検知するために

JPCERT/CC では、ブログ記事として、2017 年

は、サーバーや、ウェブコンテンツにおいて、不11月に「イベントログを可視化して不正使用され審なファイルが設置されていないかの確認や、可たアカウントを調査 〜LogonTracer〜」14 、2018

能ならばウイルス対策ソフトによる定期的なス

年 9 月に「Sysmon ログを可視化して端末の不キャンを行うことが望ましい。また、サーバーで審な挙動を調査~SysmonSearch~」15 を公開した。

用いるアプリケーションだけでなく、OS やサー

これらの記事では、サイバー攻撃の調査時に活用バーで用いるライブラリやフレームワークなどのできるツールを紹介している。また、2018 年 12

インターネット白書／ ©1996-2019 Impress R&D

198

第4部

サイバーセキュリティ動向月には、「CSIRT 構築および運用における実態調業界の商慣習に応じて、冷静に対応することが重査」16 を公開した。本調査結果などを参考にしつ要である。

つ、CSIRT 構築などをはじめとした社内体制の整

詐欺の手口を把握し、社内に注意喚起を行う

備を行い、サイバー攻撃への備えを進めていただ

だけではなく、通常の取引と異なる対応を求める

きたい。

メールを受け取った際に、電話や対面など、メー1

2

ル以外の手段を用いて確認することなど、社内に●ビジネスメール詐欺（BEC: Business E-mailおける手続きの整備などを推奨する。

3Compromise）
巧妙なメールなどのやりとりにより、企業の担●不正アクセス

当者を騙して、攻撃者が用意した口座へ送金させ2018 年もサイトに保存された個人情報が不正る、ビジネスメール詐欺の被害が世界各国で報告

アクセスによって大量に外部に漏洩するなどの事されている。

案が、様々な組織から公表された。

米国連邦捜査局（FBI）によると 2013 年 10 月

2018 年 4 月、国内アウトレットモールの会員から 2018 年 5 月の約 4 年半の期間に、米国インサイトにおいて会員情報が流出した可能性がある

ターネット犯罪苦情センター（IC3）を含む複数と、同社ウェブサイト上で公表された。調査によの機関に報告されたビジネスメール詐欺の件数はり SQL インジェクションの脆弱性を悪用した不7万8617件で、被害総額は約120億米ドルに上っ正アクセスによるものだったことが明らかになった。1 件あたりの平均被害額は約 16 万米ドル、日た。同社を含む複数組織から流出したとみられる

17

本円換算で約 1800 万円になる 。

ユーザーの ID やパスワードがダークウェブなど情報処理推進機構（IPA）によると、2018 年 7で公開されていた。

月に国内でも初めて日本語のビジネスメール詐欺攻撃者が何らかの方法で入手した ID やパスが報告され、その後も被害事例の報告が継続してワードなどのリストを基に不正アクセスを試みる18いるとのことだ。 JPCERT/CC においても、ビジ例もある。2018 年 7 月末に検知された、国内企ネスメール詐欺と思われるメールを受信したとの業に対するリスト型攻撃では、不正ログインの試報告を国内組織から受けている。 トレンドマイ行が大量に行われ、最終的に約 1000 台に上るス

クロは 2018 年 6 月、国内の法人組織における情マートフォンの不正購入が確認された。

報セキュリティ・社内 IT 責任者 515 人、経理責任JPCERT/CC では、ウェブサイトからの情報漏者 515 人名を対象にアンケートを実施した。回答

洩など、被害を防止するために、定期的な点検をした 1030 名の約 4 割にあたる 406 名が組織内で行うよう呼びかけている。22 利用しているソフト

ビジネスメール詐欺と思われるメールを受信したウエアのバージョン確認や取り扱うデータの利用経験を持ち、うち 22 名が所属するそれぞれの組方針を整理するだけでなく、セキュリティ診断を19織では実際に送金したとのことだ 。
20

定期的に実施したり、管理や運用に利用している
21

全国銀行協会 や日本貿易振興協会（JETRO）

ログイン ID、パスワードの使いまわしや安易ななどでは事例を交えながら注意喚起を行ってい設定が行われていないかを確認したりするなど、る。これらの注意喚起に記載があるとおり、ビジ様々な観点からの点検が必要である。

ネスメール詐欺においては、それぞれが所属する

インターネット白書／ ©1996-2019 Impress R&D
第4部

サイバーセキュリティ動向

199

45

12

345

■社会・インターネット基盤に影響をもたらす攻撃確認された。増加の背景となったと考えられる脆● DDoS 攻撃

Smart Install Client に関するアドバイザリを28 、弱性の情報として、シスコが 2017 年 2 月に Cisco

JPCERT/CC では、11211/udpの通信ポートに

また、2018年3月には、Cisco Smart Install Client対する探索活動が増加していることを、国内組織の脆弱性（CVE-2018-0171）に関するアドバイザからの報告およびインターネット定点観測シス

リを公開していた29 。

テム（TSUBAME）の観測データから2018年2月

実際に、当該スキャン活動以降、シスコ製ス頃に把握し (資料 4-1-3)、注意喚起を発行した 。

イッチを対象とした攻撃が確認され、それを受

これは memcached に対する探索活動だと考えけ、Cisco Talos が攻撃に関する情報を公開しられ、実際に memcached を悪用したとみられる

た30 。攻撃を受けた際に、設定ファイルを持ちだ

DDoS 攻撃を確認したとの報告も JPCERT/CC でされたり、設定などを変更されたりする被害が想受け取った。国内のホスティング事業者も注意喚定されるため、JPCERT/CC でも広く注意喚起を起を発し2425 、memcached を利用しているユー呼びかけた31 。なお、注意喚起を行った 4 月以降ザーに呼びかけた。

も当該機器の探索活動の観測および攻撃に関する23

memcached は、受け取ったデータを何倍にも増幅して送り返す機能を持つため、送信元IPアド

報告は JPCERT/CC にて確認しており、継続的に調査を続けている状況だ。

レスを偽装したうえで、この機能を悪用し、標的組織のネットワーク管理者は、自組織で利用しとなるサーバーに大量のデータを送りつけることている機器に関して、不必要な機能が有効になっができる 。DNSやSDP、NTP、CLDAPなど、こているかどうかの確認を行うと同時に、利用してれまで反射型の DDoS で用いられてきたプロトコ

いないポートが意図せず開放していないかの確認

ルを悪用するよりはるかに大きな規模の DDoS 攻や外部からの通信の制限などを行い、できる限り撃になる恐れがある。実際に、今回の一連の攻撃機器のファームウエアを最新版にするよう心がけ

は最大 1Tbps を超える過去最大規模の DDoS 攻撃てほしい。

2627であったと報告されている 。
DDoS 攻撃の標的にされた場合，それを逃れる● Mirai および Mirai 亜種に関する攻撃ことは難しい。だが，事前にそうした事態に備え2016 年に大規模な DDoS 攻撃による被害をもて、事業への影響を評価し、重大な影響があればたらした IoT 機器を狙うマルウエア Mirai やその少しでもそれを軽減するために、顧客対応部門や亜種による機器の探知活動や感染活動を示すス

広報部門などを巻き込んだ包括的な対応策を整備

キャンを2018年も継続して観測している。特に、しておくことが望ましい。

2017 年末から始まった、特定の機器の脆弱性を悪用して Mirai 亜種の感染を試みるような通信32●特定のネットワーク機器を狙った攻撃
2018 年 3 月 下 旬 よ り 、Cisco Smart Install

も 2018 年も継続して観測し、脆弱性を狙った感染活動を確認している33 。

Client が使用する 4786/tcp ポートに対するス

こうした脆弱な IoT 機器に対して、法律によキャンが増加していることがインターネット定る規制などの議論の進展がみられた。国内では、点観測システム（TSUBAME）の観測データから2018 年 11 月に国立研究開発法人情報通信研究機

インターネット白書／ ©1996-2019 Impress R&D200

第4部

サイバーセキュリティ動向資料 4-1-3

4786/tcp (Cisco Smart Install Client) へのスキャン（2018 年 1〜12 月）

12345
出典：JPCERT/CC のインターネット定点観測システム TSUBAME のデータをもとに作成構法（以降、NICT）が施行され、不正アクセスを2018 年 9 月に IoT セキュリティ法が採択され、防ぐための取り組みとして、パスワードの基準がメーカーに対して、提供する製品が共通の初期パ

34定められた 。また、この一環として、インタースワードを設定することを禁じるなど、機器のセネットに接続された IoT 機器の状況把握のため、キュリティ強化を図るための法律を明示した36 。

NICT による調査が行われる（2018 年 11 月から

今後は、このような行政機関における指導の下、35IoT 機器のセキュリティを強化する取り組みが検2019 年 1 月） 。

1.

一方、米国のカリフォルニア州においても、討されることも予想できる。

安心相談窓口だより- 宅配便業者をかたる偽ショートメッセー

5.

tribute URLZone（CROWD STRIKE）〜誘導されるまま Android 端末にアプリをインストールしない

https://www.crowdstrike.com/blog/cutwail-spam-campa

ように！〜（情報処理推進機構（IPA））
https://www.ipa.go.jp/security/anshin/mgdayori201808

ign-uses-steganography-to-distribute-urlzone/
6.

08.html2.

7.

仮想通貨を要求する日本語の脅迫メールについて（JPCERT/CC）

https://blog.trendmicro.co.jp/archives/19346
CUTWAIL Spambot Leads to UPATRE-DYRE Infection

https://www.jpcert.or.jp/newsflash/2018091901.html
8.

（TRENDO MICRO）

Sextortion with a side of ransomware（Proofpoint）
https://www.proofpoint.com/us/threat-insight/post/sext

https://blog.trendmicro.com/trendlabs-security-intellige
nce/cutwail-spambot-leads-to-upatre-dyre-infection/4.

仮想通貨を要求する不審な脅迫メールについて（JPCERT/CC）
https://www.jpcert.or.jp/newsflash/2018080201.html

バンキングトロジャンのメール経由拡散を支える「スパムボット」（トレンドマイクロ）3.

Cutwail Spam Campaign Uses Steganography to Dis-

ジに関する相談が急増中

IQY ファイルを利用するマルウェアスパム、日本のみを標的に50 万通拡散（トレンドマイクロ）ortion-side-ransomware
9.

マルウエアへの感染を誘導し、仮想通貨を要求する脅迫メールについて https://www.jpcert.or.jp/newsflash/2018121101.
html

https://blog.trendmicro.co.jp/archives/19506

10. Oracle WebLogic Server の脆弱性（CVE-2017-10271）に関インターネット白書／ ©1996-2019 Impress R&D
第4部

サイバーセキュリティ動向

201

1

する注意喚起（JPCERT/CC）https://www.jpcert.or.jp/at/20
18/at180004.html-for-ddos-brochure.pdf

11. Drupal の 脆 弱 性（CVE-2018-7600）に 関 す る 注 意
喚起（JPCERT/CC）https://www.jpcert.or.jp/at/2018/at180012.html

2

28. Critical Infrastructure at Risk: Advanced Actors Target
Smart Install Client（Cisco Talos）

019.html

http://blog.talosintelligence.com/2018/04/critical-infrast
ructure-at-risk.html

https://www.jpcert.or.jp/ir/report.html

29. Cisco IOS and IOS XE Software Smart Install Remote Code14. イベントログを可視化して不正使用されたアカウントを調査〜

Execution Vulnerability（Cisco Talos）

LogonTracer〜（2017-11-28）（JPCERT/CC）

https://tools.cisco.com/security/center/content/CiscoS

https://blogs.jpcert.or.jp/ja/2017/11/logontracer.html

ecurityAdvisory/cisco-sa-20180328-smi2
30. Critical Infrastructure at Risk: Advanced Actors Target

Search~ （2018-09-06）（JPCERT/CC）

Smart Install Client（Cisco Talos）

https://blogs.jpcert.or.jp/ja/2018/09/SysmonSearch.html

http://blog.talosintelligence.com/2018/04/critical-infrast

16. 2017 年度 CSIRT 構築および運用における実態調査（JPCERT/

ructure-at-risk.html
31. Cisco Smart Install Client を悪用する攻撃に関する注意喚起

CC）https://www.jpcert.or.jp/research/20181218̲CSIRT-sur

5

DDoS 手法を解説（トレンドマイクロ）喚起（JPCERT/CC）https://www.jpcert.or.jp/at/2018/at180

15. Sysmon ログを可視化して端末の不審な挙動を調査~Sysmon-

4

27. GitHub に 1 TBps 超の攻撃、「memcached」を利用する新たなhttps://blog.trendmicro.co.jp/archives/17116

12. Drupal の 脆 弱 性（CVE-2018-7602）に 関 す る 注 意

13. インシデント報告対応レポート（JPCERT/CC）

3

ochure/memcached-reflection-attacks-launch-a-new-era（JPCERT/CC）
https://www.jpcert.or.jp/at/2018/at180013.html

vey2017.pdf
17. Business E-mail Compromise The 12 Billion Dollar Scam

32. Mirai 亜種の感染活動に関する注意喚起（JPCERT/CC）
http://www.jpcert.or.jp/at/2017/at170049.html（IC3）
https://www.ic3.gov/media/2018/180712.aspx
18.【注意喚起】偽口座への送金を促す

ビジネスメール詐欺

33. インターネット定点観測レポート（JPCERT/CC）の手口（続報）（情報処理推進機構（IPA））
https://www.ipa.go.jp/security/announce/201808-bec.html

https://www.jpcert.or.jp/tsubame/report/report201801-03.html
34. 新規制定・改正法令・告示

法律（総務省）http://www.soumu.go.jp/menu̲hourei/s̲houritsu.html

19.「ビジネスメール詐欺に関する実態調査 2018」を発表（トレンドマイクロ）35. 日本国内でインターネットに接続された IoT 機器等に関する事
前調査の実施について（国立研究開発法人情報通信研究機構）

https://www.trendmicro.com/ja̲jp/about/press-release/2018/pr-20180814-01.html

https://www.nict.go.jp/info/topics/2018/11/07-2.html
36. SB-327 Information privacy: connected devices.（カリフォ

20. 法人間の外国送金の資金をだまし取る詐欺にご注意！（BECルニア州議会）（Business E-mail Compromise）/ foreign remittance fraud）

https://leginfo.legislature.ca.gov/faces/billTextClient.xh（全国銀行協会）

tml?bill̲id=201720180SB327

https://www.zenginkyo.or.jp/topic/detail/nid/3561/
21. 国 際 的 詐 欺 事 件 に つ い て（ 注 意 喚 起 ）（ 日 本 貿 易 振 興 協 会（JETRO））
https://www.jetro.go.jp/contact/faq/419.html
22. Web サイトへのサイバー攻撃に備えて 2018 年 7 月（JPCERT/CC）
https://www.jpcert.or.jp/newsflash/2018071801.html
23. memcached のアクセス制御に関する注意喚起（JPCERT/CC）
https://www.jpcert.or.jp/at/2018/at180009.html
24.【重要】memcached のアクセス制御に関する注意喚起（さくらインターネット）
https://www.sakura.ad.jp/information/announcements/2018/02/27/1885/
25.【注意喚起】memcached のアクセス制御に関する対応につきまして（GMO クラウド）
https://help.gmocloud.com/app/answers/detail/a̲id/33
37
26. MEMCACHED リフレクション攻撃：DDoS 攻撃は新たな時代へ（アカマイ・テクノロジーズ）
https://www.akamai.com/jp/ja/multimedia/documents/br

インターネット白書／ ©1996-2019 Impress R&D202

第4部

サイバーセキュリティ動向［インターネット白書 ARCHIVES］ご利用上の注意

このファイルは､ 株式会社インプレスR&D が 1996年〜 2019 年までに発行したインターネットの年鑑『インターネット白書』の誌面をPDF 化し､ ｢インターネット白書 ARCHIVES｣として以下のウェブサイトで公開しているものです。

https://IWParchives.jp/
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
●記載されている内容（技術解説、データ、URL、名称など）は発行当時のものです。
●収録されている内容は著作権法上の保護を受けています｡ 著作権はそれぞれの記事の著作者（執筆者、写真・図の作成者､ 編集部など）が保持しています。
●著作者から許諾が得られなかった著作物は掲載されていない場合があります。
●このファイルの内容を改変したり、商用目的として再利用したりすることはできません。あくま
で個人や企業の非商用利用での閲覧、複製、送信に限られます。
●収録されている内容を何らかの媒体に引用としてご利用される際は、出典として媒体名および年号、該当ページ番号、発行元（株式会社インプレスR&D）などの情報をご明記ください。
●オリジナルの発行時点では、株式会社インプレスR&D（初期は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが､ すべての情報が完全に正確であることは保証できません｡このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

お問い合わせ先│株式会社インプレス R&D│

U iwp-info@impress.co.jp│©1996-2019 Impress R&D