増え続けるサイバー犯罪、サイバー攻撃からどのように⾝身を守るか
株式会社カスペルスキー
ビジネスディベロップメントマネージャー 松岡正⼈人

WHOʻ‘S WHO?
松岡正⼈人
株式会社カスペルスキー
ビジネスディベロップメントマネージャー
新潟県⻑⾧長岡市出⾝身の元組み込み含むソフトウェア開発者
⻑⾧長岡⼯工業⾼高等学校電気科卒業
元⽇日本ラショナルソフトウェア（⽇日本アイ・ビー・エム）
元⽇日本マイクロソフト
2012年7⽉月より現職
JNSA  IoT  Security  WG  リーダー
VEC  制御システムセキュリティ研究分科会 主査
ICST  2017  Tokyo  マーケティングチェア
国⽴立東京⼯工業⾼高専 ⾮非常勤講師（情報処理）※TechFactory “組み込み開発視点で⾒見る「IoTの影」”  連載中
(http://techfactory.itmedia.co.jp/tf/articles/1609/16/news001.html)

サイバーリスクを知ろう
リスクを知ることはとても重要
まず、事前に配布した２４項⽬目のリストを確認していきましょうリスクを知ろう

1/3

1. 私はスマートフォンを使っている
2. 私はフラッシュドライブを使っている
3. 私はタブレットまたはノートPCを使っている
4. 携帯電話、フラッシュドライブ、またはタブレットを不注意に放置することがある（机に置いたまましばらく離れる）
5. 私は家または仕事でデスクトップ PC  を使っている
6. 私は銀⾏行⼝口座を持っている
7. 私はモバイルまたは家でインターネットアクセスを使っている
8. 私は家で WiFi  を使っている

リスクを知ろう

2/3

9. 私はインターネットバンキングまたはモバイルバンキングを利⽤用している
10.私はソーシャルネットワークのアクティブなアカウントを持っている
11.過去 6か⽉月の間にソーシャルネットワークのパスワードを変更していない
12.過去 1か⽉月の間に怪しいメールやスパムメールを開いたことがある
13.私のスマートフォンにはウイルス対策ソフトウェアがインストールされていない
14.過去 1か⽉月の間に何らかの Web  サイトの利⽤用登録をした
15.オンラインでの購⼊入に、クレジットカードでの⽀支払いを利⽤用している
16.過去 1か⽉月の間に、⾃自分の PC  またはスマートフォンにアプリケーションやプログラムをインストールした

リスクを知ろう

3/3

17. 過去 1週間で公共の Wi-‑Fi  を利⽤用した
18.スマートフォンの⾃自動パスワードロック機能は使っていない
19.ブラウザーで危険を知らせる警告が出た後も Web  サイトにアクセスしたことがある
20.Web  サイトの利⽤用登録の際に、1234、qwerty  のような単純なパスワードを使った
21.過去 1か⽉月の間に携帯電話、タブレット、または PC  を他の⼈人にあげた
22.⾃自分の写真を（インターネット上の）クラウドサービスに保管している
23.家での仕事や出張時の仕事のために、仕事関係の⽂文書をフラッシュドライブやハードディスクにコピーしている
24.オフィスのメールやオフィスのネットワークにリモートでアクセスしているこのなかで特に重要なのは以下の六つ
4. 携帯電話、フラッシュドライブ、またはタブレットを不注意に放置することがある（机に置いたまましばらく離れる）
9. 過去 1か⽉月の間に怪しいメールやスパムメールを開いたことがある
10.私のスマートフォンにはウイルス対策ソフトウェアがインストールされていない
17.スマートフォンの⾃自動パスワードロック機能は使っていない
18.ブラウザーで危険を知らせる警告が出た後も Web  サイトにアクセスしたことがある
19.Web  サイトの利⽤用登録の際に、1234、qwerty  のような単純なパスワードを使った

サイバーセキュリティってなんのこと？
そもそもサイバーセキュリティってなんのことでしょう？インフォメー
ションセキュリティなんて⾔言葉もありますが、何が違うのでしょうか？

サイバーとインフォメーション
インフォメーションはサイバー以外も含む（紙など）ので幅広
い、サイバーはデジタル世界の⼀一部で、ネットワークやインターネットの⼀一部を含む※ISO/IEC  27032:2012 参照

サイバーセキュリティに100万件の求⼈人
平均年収は1000万円超*2016年

www.forbesjapan.com/articles/detail/10885

サイバーセキュリティな仕事を⽬目指す⼈人に質問：次の⾔言葉は何のこと？

Wire  Tapping（ワイヤータッピング）
Advanced  Persistent  Threat（アドバンストパーシステントスレット）
Ransomware（ランサムウェア）
Cracking（クラッキング）
Phishing（フィッシング）サイバーセキュリティな仕事を⽬目指す⼈人に質問：次の⾔言葉は何のこと？

Wire  Tappingè盗聴
Advanced  Persistent  Threatè執拗な標的型攻撃
Ransomwareè⾝身代⾦金要求マルウェア
Crackingè悪意あるハッキング⾏行為
Phishingè詐欺

質問：機密情報をやりとりするならどれが安全？

LineFacebook
SkypeTwitter
電⼦子メールTXT（SMS）
衛星ネットワークメールやウェブサイトから侵入しようと試みます
偽のメールアカウントからそれらしく送る（スパムです）本物のアカウントを使って送る（激増中）
偽の広告
偽のウェブサイト（本物と差し替える）
ファイルに仕込む（メーカーのサイトからダウンロードさせる）

最近は携帯電話のSMSやSNSもメールをチェックしてみる
こんな会社知らない

ロスもサンフランも⾏行ったけどシアトルでしか⾏行ってない誰?
⾏行った記憶がないメールをチェックしてみる

衛星ネットワークをハイジャック
Turla(2015)
衛星通信⽤用チューナーをPCに設置して衛星回線を経由したネットワークに侵⼊入し、攻撃⽤用のサーバーを設置するなど

https://securelist.com/blog/research/72081/satellite-‑turla-‑apt-‑command-‑and-‑control-‑in-‑the-‑sky/実は、もっと⾊色んなことができます
スマホのCPUに組み込みました
http://thehackernews.com/2016/02/mediatek-‑hacking-‑mobile.html

⽶米軍の兵装にも組み込んでみました
http://business.nikkeibp.co.jp/article/world/20081015/173843/?rt=nocnt

USBドライブを使って、強制的にUSBにマルウェアを寄⽣生させます
http://gigazine.net/news/20141218-‑usbdriveby/

これはセキュリティ会社の例、電源アダプターでセキュリティ診断
http://gigazine.net/news/20120306-‑little-‑box-‑hack-‑your-‑network/質問：2016年のランサムウェア（⾝身代⾦金を要求するマルウェア）の被害額は全世界でどれくらい？

約10億円
約1000億円
約10兆円ランサムウェア：パソコンを⼈人質にパソコンをロック
ファイルを暗号化
⾝身代⾦金を要求（Bitcoin）※⾝身代⾦金を⽀支払っても20%は解放されない
https://blog.kaspersky.co.jp/no-‑no-‑ransom/13117/
21

ランサムウェア：⾔言い換えるとネズミ講
ランサムウェアの開発者：
元締めにプログラムを提供

アフィリエイトの元締め：パートナーを集める

パートナー：
ばら撒く⼈人たち

https://blog.kaspersky.co.jp/russian-‑ransomware/14558/
22

決済はBitcoin

質問：マルウェア感染の危険性があるのはどれ？

テレビ
WiFiルーター
エアコン
⾃自動⾞車

家電は安全なの？
• NAS• BDプレーヤー• スマートTV• 衛⽣生テレビ⽤用STB• ホームルーター• プリンターなど

http://blog.kaspersky.co.jp/how-‑i-‑hacked-‑my-‑home/4617/

ルーターに “ボット”  を仕込んでみた

ホームルーターはLinux  2.6で動作している。
クロスサイトスクリプティングのテクニッ
クで簡単に侵⼊入できた。

https://securelist.com/files/2014/08/Hacked_̲home_̲8.jpg

テレビのアイコンを⼊入れ替えてみた

テレビも同様にクロスサイトスクリプ
ティングのテクニックで簡単に侵⼊入できた。

https://securelist.com/files/2014/08/Hacked_̲home_̲8.jpg

XSS（CROSS  SITE  SCRIPTING)  これは Webサーバのエコーバック（鸚鵡返し（おうむがえし））のロジックを悪⽤用する攻撃である。もうひとつ、いわゆる「第⼆二攻撃（Second-‑order  XSS）」も挙げられる。 いずれの攻撃においても、スクリプト注⼊入を許してしまう
Webサーバは、HTML⽣生成時のスクリプト除染が不備なものである。

https://www.ipa.go.jp/security/awareness/vendor/programmingv2/contents/601.html

推奨する対策
常にベンダーが提供する最新のパッチを適⽤用する
デフォルト設定のユーザー名（ID）、パスワードは使⽤用せず、必ず定期的に更新する
暗号化（通信およびデータ）
DMZ/VLANを構成する（設定可能なら）
たとえハードウェアであってもハッキングされる恐れがあると考える
ネットワークデバイスは外部からアクセスできないように。ただし、アップデートはダウンロードできるようにしておく

https://securelist.com/files/2014/08/Hacked_̲home_̲8.jpg

家電をハイジャック
SONY  PlayStation  ネットワーク(Oct  2016)
家電をハックして、Dyn社のDNSへのDDoS攻撃でインターネットを⿇麻痺させたことで、他にもTwitter、Netflixなど多くのサービスが利⽤用不能に

https://blog.kaspersky.co.jp/attack-‑on-‑dyn-‑explained/13047/  http://www.kaspersky.co.jp/about/news/virus/2016/vir09112016
http://wired.jp/2016/10/24/internet-‑down-‑dyn-‑october-‑2016/

いまどきの家電=「パソコン」

エアコン：Linux  OS搭載
カーナビ：Windows,  Linux  OS搭載
テレビ：Linux  OS搭載
ネットワークカメラ：Linux  OS,  Windows搭載
ペッパー：Android  OS搭載30

⾞車をハイジャック
クライスラー(Jul  2015)
エンターテインメントシステムの「Uconnect」をセルラーネットワーク経由でハッキング

https://blog.kaspersky.co.jp/remote-‑car-‑hack/8332/
https://blog.kaspersky.co.jp/blackhat-‑jeep-‑cherokee-‑hack-‑explained/8480/
http://www.nikkei.com/article/DGXLASGM25H19_̲V20C15A7MM0000/

JEEPのハッキングはどうやったのか？
クラウド
サービス
悪い⼈人

ネットワークデバイス

なぜサイバー攻撃が可能なのか？

脆弱性、つまりバグや仕様によって悪⽤用可能なコード（Exploit）がアプリケーションやOSなどに存在するため
しかし、バグや仕様上の⽋欠陥を⾒見つけ出すことが難しいつまり、利⽤用者にとって便利なものは悪いことをしたい⼈人たちにとっても便利になる（多くの場合）
34ビジネスにおける新しいリスク
サイバー犯罪やサイバー攻撃のリスク

ビジネス上の脅威 ‒– 共通の視点*  http://www3.weforum.org/docs/Media/TheGlobalRisksReport2016.pdf

ビジネス上の脅威 ‒– 共通の視点

https://reports.weforum.org/global-‑risks-‑2017/global-‑risks-‑landscape-‑2017/

ビジネスリーダーの10⼤大リスク
ビジネス環境

経済の発展

市場の発展

評判やブランドの失墜

サイバー脅威⽕火災や爆発⾃自然災害

政治的リスク

法制度の変更窃盗や詐欺ビジネスが⽌止まる2016  -‑ 32015  -‑ 52014  ‒– 82013  -‑ 13

ソース:  Allianz  Risk  Barometer  2016  2020年までにIOTデバイス数は 250億超
半数超はコンシューマー
300
250

250.066
Automotive

200
150
100
50
0131.725
48.80530.32 37.5 28.749
18.421 22.445
2013年 2014年 2015年 2020年

Generic	  BusinessVertical	  BusinessConsumerTotal*Gartner  2014  Nov.
http://www.gartner.com/newsroom/id/29057
17サイバーセキュリティとIOTはお友達⼀一緒に考えてください、そもそもサイバーセキュリティは「そこ」を安全にするために必要なものなのです⽇日本のインフラが変わろうとしている
ー ICTに⽀支えられた 「IOT 」の世界へ ー⽇日本のインフラが変わろうとしている
ー ICTに⽀支えられた 「オムニチャネル」 の世界へ ー⾝身近な IOT化：オムニチャネル化
ー タッチポイント多⾯面化、サービス品質と満⾜足度を向上 ー
店頭
窓⼝口

ショッピ
ング
モール

ウェブ
スマホ

電話

顧客キオスク

ビーコンATMオムニチャネル化：タッチポイントとサービスの拡充
ー 顧客データの多⾯面的な収集と分析により、サービスの⾰革新と向上 ー

店頭
窓⼝口ショッピ
ング
モール

ウェブ
スマホ

電話

ビッグデータ
解析
キオスク

ビーコン
ATMオムニチャネル化：デバイスとネットワークの拡⼤大ー セキュリティリスクの分析と対策が必要 ー
強盗
店頭
窓⼝口

ウェブ フィッシング

詐欺

スマホ

マルウェア

盗難
ショッピ
ング
モール

電話

⾦金融システム

なりすまし
キオスク

ビーコン

改ざん

ATM

乗っ取り

破壊

銀⾏行を狙った最新のインシデント :  CARBANAK

フィッシングメールなどを利⽤用して⾏行員の端末を感染させ、複数の異なる経路から業務端末に感染

http://www.kaspersky.co.jp/about/news/virus/2015/vir18022015

銀⾏行を狙った最新のインシデント :  CARBANAK
取引を遠隔操作
・デビッドカード、SWIFT、オンライン⼝口座間取引
・偽⼝口座の作成と送⾦金など

http://www.kaspersky.co.jp/about/news/virus/2015/vir18022015

銀⾏行を狙った最新のインシデント :  CARBANAK
さらにATMを遠隔操作して、受け⼦子を使って現⾦金を引き出すなども確認※ATM⾃自体はマルウェア感染せず

http://www.kaspersky.co.jp/about/news/virus/2015/vir18022015

“DARK  HOTEL”  ビジネスエグゼクティブに特化した諜報活動
洗練された諜報活動
少なくとも 2007年には活動していた90%  の感染は⽇日本、台湾、中国、ロシア、韓国そして⾹香港で確認
もちろんドイツ、⽶米国、インドネシア、インドおよびアイルランドでも確認された主な対象は⽶米国の防衛関連企業
ユニークな⽅方法でビジネスエグゼクティブを対象に活動※未知の脆弱性を利⽤用していたことがわかっている
http://www.kaspersky.co.jp/about/news/virus/2014/vir10112014
http://www.kaspersky.co.jp/about/news/virus/2015/vir11082015

“DARK  HOTEL”  ビジネスエグゼクティブに特化した諜報活動
1.

攻撃者がホテルのネットワーク上にDarkhotelを感染

2.

企業の幹部がホテルにチェックイン、WiFiネットワークに接続3.

ログイン画⾯面で名前と部屋番号を⼊入⼒力

4.

攻撃者がソフトウェアの更新を推奨

5.

更新すると、バックドアをインストール

6.

攻撃者はバックドア経由でファイルやパスワード、ログイン情報を⼊入⼿手

http://www.kaspersky.co.jp/about/news/virus/2014/vir10112014
http://www.kaspersky.co.jp/about/news/virus/2015/vir11082015

“DARK  HOTEL”  ビジネスエグゼクティブに特化した諜報活動
⾏行動分析に基づく感染⼿手法の多様化：
Torrent  ファイル経由での感染

http://www.kaspersky.co.jp/about/news/virus/2014/vir10112014
http://www.kaspersky.co.jp/about/news/virus/2015/vir11082015

電⼒力網も危険？
ウクライナ(2015)
デジタル変電所を攻撃、SCADAなど制御システムをハッキングして5つの地域で6時間に渡って⼤大規模停電

http://www.kaspersky.co.jp/about/news/virus/2016/vir22022016
http://www.itmedia.co.jp/smartjapan/articles/1601/08/news054.html
http://japan.zdnet.com/article/35080555/

ICS  サイバーセキュリティの現状
2015年 10⽉月
第3回 Kaspersky  Industrial  Cyber  Protection  Conference
CTF  ‒– Capture  The  Flag  競技
ゴールは制御システムに潜む脆弱性を⾒見つけ出すこと
攻撃の⼿手順:
ネットワーク通信を取得
システムの管理者権限を奪取
⾃自動保護を切る
電⼒力線モデルをショートさせる
四つのチームのうち三つが競技初⽇日の電⼒力線のショートを引き起こした :電気技術者チーム:  3  時間
⼀一般的なハッカーチーム:  5  時間

課題：取締りの限界
サイバー犯罪取締り条約を締結：53カ国/193カ国（国連加盟国数）
欧州各国はほぼ施⾏行済み（アイルランド、ロシア、スウェーデン以外）
欧州外の施⾏行済み国：オーストラリア、カナダ、ドミニカ、イスラエル、⽇日本、モーリシャス、パナマ、スリランカ、
⽶米国
https://www.coe.int/en/web/conventions/full-‑list/-‑/conventions/treaty/185/signatures?p_̲auth=zxiSMQok

課題：取締りの限界“LAZARUS  GROUP” 国家レベルでの犯罪
北朝鮮が関与するとみられるサイバー犯罪組織
2013年、韓国の放送局と⾦金融機関を攻撃し⿇麻痺させる
2014年、ソニーピクチャーズを攻撃
2016年、世界中の⾦金融機関を攻撃
8100万ドル（⽇日本円で約90億円）を窃取
https://www.kaspersky.com/about/press-‑releases/2017_̲chasing-‑lazarus-‑a-‑hunt-‑for-‑the-‑infamous-‑hackers-‑to-‑prevent-‑large-‑bank-‑robberies

ひとりひとりができること
最新のセキュリティ更新をインストールする
セキュリティソフトをインストール（PC/Mac/スマホ）
⼆二要素認証などでアカウントを乗っ取られ難くする
必要なファイルや情報はこまめにバックアップする
LineやFBなど友達の振る舞いにも注意、常に疑り深くサイバーセキュリティを仕事にしたい⼈人はご連絡くださいJご静聴ありがとうございました
masato.matsuoka@kaspersky.com