視点
サイバー攻撃をめぐる諸情勢
株式会社サイバーディフェンス研究所

１．攻撃主体を分析する意義
サイバー攻撃は、もはや地震、津波、火山噴火等の自然災害と同じように、避けることの出来ない事象となっている。一昔前、努力で避けられるもので理事／上級分析官

名和

利男のを直視し、徹底的な分析と仮説検証を繰り返すことにより、適切な対策に結びつけようとするものである。この積み重ねが、自然災害によるリスクの回避や低減につながってきている。
さて、サイバー攻撃対策についてはどうであろうあると考えられていた時期があったようであるが、か？

サイバー攻撃の性質や規模は、自然災害と異なり、技術的対処の情報は豊富にあるが、さまざまな防衛情報通信技術の発展やインターネットの積極的な利主体に広範囲に分散化している感が否めない。包括

用拡大と比例した形で、発生頻度や深刻さが増して的な対策は、いずれも抽象的なものが多く、現場におり、並大抵の努力では避けられるものではなくおける技術的対処に依存した状況は、この数十年ほなってきている。一部に、インターネットや情報通どほとんど変わっていない。

現状を見る限り、個別事象に対する具体的な信技術に頼らない環境を作ることを目指そうとする

自然災害の対処のあり方と比べて、徹底的に欠け動きもあったが、機械（マシン）の膨大な処理能力ていると思われるのは、サイバー攻撃の発生メカニに頼ってしまっている社会システムを眺める限り、ズムや発生予測に関する追求である。サイバー攻撃

現実的な選択肢ではない。

は人間によってもたらされるものであるため、突きまた、サイバー攻撃は人間の特定の意図や目的に詰めると「攻撃主体に関する分析」と言うことがで基いてもたらされるものであるため、単なるデータきる。つまり、「攻撃主体に関する分析」を行うこの破壊や改ざんよりはむしろ流れるデータの盗聴やとの意義は、適切な防衛策の立案をするために役立情報の窃取のほうが遥かに多い。一方、一般的にサつものであり、潜在化しているサイバー攻撃を見出イバー攻撃への対策は、それに関する事象を認識しすことにも繋がる必要なものであると言える。てから行われるものであるため、防衛側にサイバー攻撃に関する事象を認識させることを難しくさせ

２．攻撃主体の特性

る、より高度な技術や斬新な発想に基づく巧妙な手攻撃主体が、どのような特性を持つのかについて法が用いられてしまうと、サイバー攻撃は防衛側には、「攻撃主体の技術的能力」、「攻撃行動を誘発す気付かれるまで継続的に行われる。実際に、近年こる環境や考え方」の２つの観点に分けて説明する。のようなサイバー攻撃が増加傾向にある。
ところで、先に述べた地震、津波、火山噴火等の（攻撃主体の技術的能力）

自然災害に対しては、どのような対策の取り組みが攻撃主体は、「人間」である。それがゆえに、彼あるのかを思い出していただきたい。発生後の取りらが作成するすべてのアーティファクト１には、技組みはもとより、発生前の取り組みに注目すると、術的な専門性や関心ごとの違いから無意識に現れてこのような自然災害の発生メカニズムに関する研究しまう「癖」や「偏り」が残るものである。

が充実して行われている。これは、自然災害そのも74

CISTEC Journal

2014.9 No.153

例えば、ネットワーク構成やサーバアプリケー

視点

ションに強い専門性を有しているが、コンピューると、次のようになる。

ター上の基本OSの内部構造の理解が少ない者（カー・内部関係者の不正目的（嫌がらせ、情報窃取、隠ネルソースの読み込み、適切なオプションを持ってぺい等）コンパイルすることが難しい等）が行ったサイバー・愉快犯、模倣犯（弱い示威、ストレス発散等）攻撃において、発見されるアーティファクトの特徴・経済的利得は、既に共有されていた既存のエクスプロイトコー・特定の強い主義主張（強い示威、政治的報復、過２

ド に改変を加えただけのものであることが多く、攻撃挙動の失敗に繋がるミスや、無駄な挙動が存在度なイデオロギー等）・諜報、窃取する場合がある。一方、基本OSの内部構造に長けた者によるものにおいては、残されたアーティファ「内部関係者の不正目的」によるサイバー攻撃のクトを分析すると、その挙動が非常に最適化されて発生は、組織内において、情報通信技術の積極的なおり、挙動の発生とその流れが柔軟である特徴が見活用による不正行為の容易性と、デジタルネイティられる。さらに、不必要な挙動がほとんどみられな

ブ３ とデジタルイミグラント４ 間のITリテラシーのいため、攻撃の成功率が高いという結果を出してい世代格差によるところが大きい。

る。

サイバー攻撃の手法を用いた不正行為は、行為者

このように、攻撃主体の技術的能力からみた特性の特定や、コンピューターシステムの不具合と意図は、区分を細かくすればするほど、数多くのパター的な攻撃による挙動の見分けが容易でない。デジタンに分けることができる。

ルネイティブの世代は、この環境を利用した不正行

このような観点で、攻撃主体の特性に基づいた情為をすることができるが、デジタルイミグラントの報を提供しているセキュリティ企業は、世界中に幾世代はこれらの不正行為を難しく感じることが多つか存在している。次のような企業が挙げられる。

く、発想や予測することすらできない場合がある。

・Xecure Lab http://www.xecure-lab.com/

組織内の業務が、情報通信技術やインターネット台湾において、高度なセキュリティ技術をリサーに大きく依存する中で、デジタルネイティブ世代チしているセキュリティ企業。主な顧客は、台湾が、組織や特定個人に対する不満の発散や報復的行の政府機関、軍隊、司法機関、捜査機関等である。

為、或いは自ら犯してしまったミスを隠ぺいする等

・CrowdStrike http://www.crowdstrike.com/
米国において、「攻撃者は誰か」「意図は何か」との目的で、社内システムや他のPCに対するサイバー攻撃を仕掛けやすくなってきている。

いう観点で、攻撃者特有の戦術、技術、手順を見具体的な行為としては、組織内で知り得た情報を出しているセキュリティ企業。主な顧客は積極的悪用した、上司や同僚のPCに対する嫌がらせ、情に公表されていないが、連邦政府機関、軍及び捜報窃取を目的とした不正アクセスやマルウェア感査機関、大手企業である。

染、或いは何かしらの不正行為の隠蔽のためのデータの破壊等が挙げられる。

（攻撃行動を誘発する環境や考え方）
サイバー攻撃の目的は、さまざまなサイバーセ「愉快犯、模倣犯」によるサイバー攻撃の発生は、キュリティ専門組織が、これまでに発生したサイ情報倫理５の欠如が大きな要因となっていると言わバー攻撃を技術的及び統計的に分析し、さまざまなれている。

形で発表している。それらに共通するものを列挙す

攻撃主体は、インターネットの匿名性や無痕跡性

１

アーティファクト（Artifact）：システムやネットワークのプロービング（徹底した調査）やセキュリティ対策を無効化のためのものを含む、システム上で発見されたファイルや生成データ（編集、データ構造、手続き等が一体化したもの）のこと。
２
エクスプロイトコード（Exploit Code）：ソフトウェアのセキュリティ上の弱点を利用し、不正な挙動が発生する様子を再現したプログラムのこと。脆弱性実証コードと呼ばれることもある。
３
デジタルネイティブ（Digital Natives）： 生まれながらにITに親しんでいる世代のこと。
４
デジタルイミグラント（Digital Immigrants）： IT普及以前に生まれてITを身につけようとしている世代のこと。
５
情報倫理： 情報通信社会において必要とされる道徳やモラルのこと。

2014.9 No.153

CISTEC Journal

75

を期待した形で行うことが多いが、罪の意識が低空間だけで、攻撃主体の行動を特定することは非常く、自身で習得した技術や能力を試す、或いは自慢に難しい。

や誇示する傾向が見られる。

このように、サイバー空間は仮想的な「密室」を

６

また、電子掲示板、IRC 、SNS等にメッセージ作り出すことが可能であるため、攻撃主体は、サイを投稿すれば、不特定多数の人間と容易に自身の意バー空間を利用した経済的利得を得るという犯罪を思や情報を伝達或いは共有することができるため、行っても、現実世界で懸念する追跡や追及から逃れ集団的な行動を起こしやすく、模倣犯が急増する傾ることができるという安心感を抱いている様子が伺

向にある。

える。

逆に、メディアや第三者は、発したサイバー攻撃に関する情報を公表後すぐに収集することもでき、「特定の強い主義主張」によるサイバー攻撃は、インターネットの検索技術に長けた者であれば、そ異なる宗教や文化、及び国や地域間の衝突に起因すの手口などを詳細かつ豊富に習得できる。このためるものが多い。例えば、2012年、米国において、イに、いわゆる模倣犯が発生しやすいとも言える。

スラム教ムハンマドを侮辱した映画が公開された

現実世界では、材料調達の困難さ、組み立て方法

後、中東を始めとしたイスラム圏諸国において、激に関する情報不足、そして、一連の行動への「周囲しい反米運動が発生したが、これと同調した形で、の目」などに対する懸念があるが、サイバー空間の中東から米国のインターネットバンキングに対する世界では、このような懸念がほとんどないことが多極端なDDoS攻撃が発生し、長期間に渡って断続的いのが、この攻撃主体が置かれている環境であるとにネット上の取り引きができなくなる被害が発生し言える。

た。
また、1931年９月18日、中国満州において発生し「経済的利得」によるサイバー攻撃の主体は、経た柳条湖事件を国の恥として後年に渡り忘れないよ

済的困窮状態にある若年層の環境にあることが多う、９月18日を「国恥記念日」として、毎年愛国をい。正確な統計情報は見当たらないが、私のチーム促進するイベントが各地で開催されるが、2010年９において攻撃者コミュニティにおける発言を確認す

月の尖閣諸島中国漁船衝突事件、2012年９月の日本るかぎりでは、経済的不満や体制不安に関するメッ政府による尖閣諸島国有化等に起因した反日感情のセージが数多く存在している。また、「We Are the

高まりと相まって、毎年９月上旬から中旬にかけて、７99% 」というスローガンで見られるように、大き中国のネットユーザーから日本の主要組織のWebな経済格差や雇用問題に不満を覚えた若年層が、大サイトに対する同時多発的な大規模なサイバー攻撃規模な座り込み運動に加えて、一部の関係者が、経が発生している。

済的利得を目的と考えられるサイバー攻撃を行ったことが確認されている。

これらは、互いのそれぞれの環境の中で醸成された正義の対立のように見られることがあるが、攻撃一方、このような攻撃主体が顕在化しないケース

側における互いのやり取りは文字ベースのみのやりもある。現在（2014年５月）、日本国内で大きな問取りであるため、それぞれが行う行動は同じであっ題になっているインターネットバンキングによる不ても、さまざまな考え方を伴う場合がある。中に正送金である。これには、非常に特殊なサイバー攻は、「誰かから認められたい」という感情を抱いて撃を仕掛けているが、その攻撃者を追及していくいる（承認欲求の強い）者が、攻撃側が期待するサと、この攻撃に特化したコミュニティに辿り着く。

イバー攻撃を仕掛けて成功させることにより、周囲しかしながら、そのコミュニティは、第三者がそのから賞賛を浴びることに強い喜びを感じる。また、内部でやりとりしていることを把握することを非常日頃の社会生活に対する鬱憤を、このような集団的に難しくさせる仕組みを取っているため、サイバー行動に便乗して行う者も現れる。そのため、「特定６７

IRC： Internet Relay Chat。サーバを介して端末間同士でメッセージをやりとりする仕組みのこと。
We Are the 99%： 2012年秋に始まった Occupy Wall Street（ウォール街を占拠せよ）運動のキャッチフレーズのこと。

76

CISTEC Journal

2014.9 No.153

視点の強い主義主張」によるサイバー攻撃は、執拗なまから、国家・国民の安全を他国からの攻撃や侵略なでに持続する傾向がある。

どの脅威から守るための一つの手段として、サイバー攻撃の手段を用いた諜報が行われている。これ「諜報、窃取」によるサイバー攻撃を行う主体は、は、2013年より、元CIA局員エドワード・スノーデ

職業的に攻撃を行っている様子が伺える。一般的

ン氏が、米国NSAによる個人情報収集の手口等をに、国家や企業が発展するには、人的リソースや活告発したことで明らかになったものである。

動基盤（インフラ）に加え、豊富な情報と高い技術が必要になる。このため、国家や企業は、他所にそ３．攻撃主体の分類のような情報や技術があれば調査研究を行い、見当極東地域においては、地政学的及び地理文化的なたらなければ独自に研究開発を行う。しかし、これ特性により、欧米と比較して異なる種類のサイバーらには、膨大な時間とコストがかかることが多い。

攻撃が発生する。特に、中国と一部のアセアン諸国

ところが、国家間及び企業間の競争が激しくなっての間、北朝鮮から韓国、中国及び韓国から日本においる現在においては、必要とする情報や技術をいかけるサイバー攻撃は、国家間や地域間の衝突や対立に迅速かつ大量に獲得することが、大きな関心事項に起因するものが目立つ。また、各国からの日本にとなっている。そのため、競合する相手側が保有す対するサイバー攻撃においては、高度な技術情報がる技術情報或いはそれに関連する情報をサイバー攻目立つ。

撃による手段で不正に窃取するという行動が頻発している。
また、国家間において、軍事及び安全保障の観点欧米におけるサイバー攻撃を母数として攻撃主体の分類は、有名なセキュリティ企業が幾つか報告しているため、本稿においては、ここ数年、極東地域（分類１）
新技術や応用技術（科学技術、医療等）の発展を任務とする機関・団体及びそれと近い関係にある組織が、特定組織の内部にある重要情報を窃取する。

2014.9 No.153

CISTEC Journal

77

で発生しているサイバー攻撃の分析から得られた攻撃主体の分類を説明する。

しかし、ここで留意しなければならないことは、このようなサイバー攻撃の被害にあった組織が、そ前項の「攻撃主体の特性」で説明したとおり、国の攻撃の存在を確認できた時期が、概ね数年後であ家や企業が発展する際には、高度な技術や豊富な情ることが目立つことである。そのため、そのような報の窃取を目的としたサイバー攻撃が行われる傾向

攻撃による被害に関する公表や報道は、2008年からがある。

2010年くらいに集中している。被害を受けたシステ攻撃主体が、このようなサイバー攻撃を行う動機の一つの例として、次のようなものがある。

ムにおける実態解明のための調査分析で得られた結果として、最初にシステムに侵入された時期が2006年前後であることが確認された事例が少なくない。

新発見、新技術、医学進歩に高い関心

中国国民

12月６, 2006

例えば、2014年５月、米国ペンシルベニア州西部の連邦大陪審は、米国６社に対するサイバー攻撃手

http://www.china-news.co.jp/node/1451

法 を 用 い た 産 業 ス パ イ 等 罪 で、 中 国 人 民 解 放 軍“…。また18－29歳の若者のほうが60－69歳の高61398部隊の将校５名を起訴した。その起訴状８ で齢者より高い関心を示している。職業別でみると、は、被疑者５名が2006年から2014年にかけてサイ国家機関、政党・団体の責任者の関心度が他の職業バー攻撃を行っていたことが記されている。この起よりはるかに高かった。”

訴状から読み取れる重要なポイントは、米国が、中国の人民解放軍が「国家安全保障上の観点」から情このメディア情報が伝えられた時期の前後に、ま報窃取を行ったことに言及しているのではなく、さに新発見、新技術、医学進歩に関係する情報を保「商業上の観点」から米国の民間企業に対して情報有する組織に対する窃取目的と見られるサイバー攻窃取を行っていたことを大きな問題点としているこ撃が、米国、欧州、日本において相次いで報告されとである。ている。
（分類２）
軍内部のサイバー戦略・戦術の開発・推進を任務とする機関・組織が、相手の能力や規模を把握する。

８

http://www.justice.gov/iso/opa/resources/5122014519132358461949.pdf

78

CISTEC Journal

2014.9 No.153

視点

軍組織等の実力組織における作戦行動の一般的なた盗聴等の諜報活動を行うことで、旧来の手法とは原則の一つに、「警戒の原則」というものがある。

比較にならないほどのレベルで実現することができ警戒の原則とは、事前に危機的な状況を察知し、る。この背景には、サイバー攻撃の技術が高度化や危険に伴うリスクや被害を最小化し、敵情や状況に巧妙化が進む一方、敵において情報通信技術の積極関するより多くの情報を入手し、作成計画を効果的的な利活用が進む中で、侵入可能な脆弱性が増えてにすることによって、敵が不測の前進行動することいくことにより、相対的に攻撃がしやすくなっていを許さないようにする原則である。

る状況があるためであるが、年々、この種の攻撃が軍組織が、このような「警戒の原則」に基づいた深刻化している。

行動として、敵に対してサイバー攻撃の手法を用い（分類３）
国内の治安や統制を任務とする組織が、テロリストや（国内の）不法分子及びそれらを支援する組織の行動情報や内部情報を窃取する。

国内の治安や統制を任務とする組織（以下、治安合法的傍受の概要 – Cisco Systems

当局）は、治安の維持を目的として、反逆するテロ

http://www.cisco.com/cisco/web/support/JP/

リストや不法分子及びそれらを支援する組織（以docs/RT/ServProviderEdgeRT/10000RT/

下、テロリスト等）の行動監視をするものである。

CG/005/3426_05_1.html?bid=0900e4b182529511

一方、最近のテロリスト等は、互いのコミュニケーションを効率よくするため、治安当局の監視の目をしかし、テロリスト等が強度の高い暗号を使用しかいくぐる手段を用いるようになってきている。ている場合は、この手段による盗聴は難しくなる。

このため、治安当局は、テロリスト等のサイバーまた、最近のテロリスト等も、スマートフォンの空間利用に着目し、彼らの行動監視を強化すべく、メッセージアプリを利用してやり取りをしているた

さまざまなサイバー攻撃手法を用いた盗聴活動をめ、旧来の方法で得られる行動情報は、いよいよ少行っている。

なくなる。

盗聴活動の手段としては、次のような合法的傍受が、よく知られている。

そこで、2012年頃から、幾つかの国において、より積極的な手段による盗聴をするため、スマート2014.9 No.153

CISTEC Journal

79

フォンの内部情報を窃取する機能を付加した「改ざゲットと「改ざん済みメッセージアプリ」の分析かん済みメッセージアプリ」を、メールの添付ファイ

ら、このサイバー攻撃は、治安当局による不法分子ルやSMS内のリンクを通じて、インストールさせのコミュニティに対する盗聴目的のものである蓋然ようとする標的型攻撃が確認されている。そのター性が高いとされている。

（分類４）
マフィアやギャング或いはそれに近い関係にある組織が、不特定多数或いは特定の相手から経済的利得を得る。

マフィアやギャングは、不法な資金調達をする傾ギャングの下部組織の関与が色濃く見えている。ま向があるとされているが、最近は、サイバー空間をた、一部においては、明らかな模倣犯によるものも利用した資金調達能力を向上させおり、年々その手存在しており、その多くがこのような不正行為を成段を高度化及び巧妙化させて、資金調達能力を向上功させている様子が伺える。

している状況である。

現在、多くの国において、若年層の経済的な不安

以前は、アダルト、ギャンブル、出会い系のサイ定と困窮化が深刻な問題となっている。若年層の多トの運営やそのビジネスを通じて利ざやを得ることくが、改善の兆しの見えない状況に対して、強い不が多かった。しかし、これは、スパムメールや広告平不満や怒り等の感情を抱いている。

等に告知をする必要があり、より多くの金銭の支払

このような中で、大きなイベントやオペレーショいを促すため、サイトのコンテンツを常に充実化さン（特定の者が呼びかける示威行動）に同調した形せる必要があった。

で行動することにより、自らの鬱憤晴らしや特定のしかし、最近は、インターネットバンキングのユーザーのセキュリティ意識や対策不足につけ込んだサイバー攻撃が急激に増加し、不正送金等の被害が後を絶たない状況が発生している。

思想や信条を訴える目的のサイバー攻撃が世界各所で確認されている。
大規模な集団行動に発展した例として、2010年から2012年にかけてアラブ世界において発生した大規

現時点で、このすべての不正送金が、マフィアや模な反政府デモや抗議活動を主とした「アラブのギャングによる仕業であることは確認されていない

春 」、2011年 秋 か ら2012年 春 に か け て 米 国 ニ ュ ーが、攻撃者を追及していく過程の中で、マフィアや

ヨ ー ク の ウ ォ ー ル 街 で 発 生 し た「Occupy Wall80

CISTEC Journal

2014.9 No.153

視点

（分類５）
強い不満や不安を持つ若年層が、鬱憤晴らし、特定の思想や信条、或いは何かしらの報酬を得るために行う。

Street（ウォール街を占拠せよ）」は、サイバー空る情報は、悪用される危険性があると考え、掲載す間を使った静かな告知運動から発展し、一部、同調ることはしないが、一般的なインターネットでは、した形でサイバー攻撃も誘発させたものである。

さまざまな規制によりWebサイトを公開しても立その他については、前述の「攻撃主体の特性」にち下げられる手続きが取られやすい有害サイト（アおいて説明した、2012年、イスラム教を侮辱した映ダルト、麻薬、暴力、犯罪助長等）が常時掲載され画に対する抗議の一環としての中東から米国金融機ており、そのサイト数が増加傾向にある。

関に対するサイバー攻撃、及び2011年から毎年９月、中国の柳条湖事件に由来する国恥記念日以前よ

例として、麻薬取り引きに関するサイトの一部だ
けでも、次のようなものがある。

り発生する中国から日本に対する同時多発的なサイバー攻撃が、この分類に相当する。

４．最近の攻撃主体の動向
最近のインターネット監視やセキュリティ対策の向上により、攻撃主体が一般的なインターネットを通じたサイバー攻撃に関するやり取りをすることが難しくなってきている。そこで、攻撃者たちは、Deep Webと呼ばれる「通常の検索エンジンが収集することができないサイバー空間」を利用する傾向が強くなってきた。
本稿では、Deep Webへのアクセス方法等に関す

９

図１

Deep Web９

New White Paper: the Deep Web and all that
http://www.legaltechnology.com/latest-news/new-white-paper-the-deep-web-and-all-that/2014.9 No.153

CISTEC Journal

81

図２82

CISTEC Journal

2014.9 No.153

Deep Siteにおける麻薬サイトの一部のリスト