サイバー攻撃への備え（１）

総合研究部 上席研究員(部長)　伊藤岳洋

１．サイバー攻撃への備え

5月12日、米国家安全保障局（NSA）から盗み出された技術を使ったサイバー攻撃が世界各国を襲いました。Microsoft社の旧バージョンのWindowsの脆弱性を悪用するランサムウェアの影響で150カ国以上約20万台のPCが感染し、英国の医療機関が機能停止するなどの被害が出ています。スペインのコンピュータ緊急事態対策チームによって最初に報告されたこのランサムウェアは、ロシアやウクライナ、インドや台湾が最も被害を受けており、犯人は北朝鮮やロシアなどに関係があるハッカーらだとする指摘も出ています。
Microsoft社は3月に既にこの攻撃に使われる脆弱性に対処していますが、既にサポート期間が終了している「Windows XP」「Windows 8」「Windows Server 2003」向けの更新ファイルも公開しました。

サポートが打ち切られたものを使い続けるのは非常に大きな問題ですが、国内でも同様に、やむを得ず旧バージョンのWindowsを使っている場合は、まずはパッチを至急当てることが最優先となります。また、メールやSNSの添付ファイルやリンク先URLにも注意すること、万一感染したとしても被害を最小限に留めるためには、重要ファイルを定期的にバックアップしておくなどの対策が必要になります。

昨今の情勢を見てのとおり、ほとんどの産業がITと密接に結びついているため、新しい技術やサービスが広まれば、同時にサイバー攻撃を受けるリスクも高まるというジレンマにどの企業や個人も陥っています。特にサイバー攻撃者は、セキュリティインフラの構造上、企業や組織よりも優位な立場にあります。攻撃者は防御側にあるセキュリティホールを一つ見つければ、そこから様々な攻撃の手口を仕掛けられるのに対して、防御側は、全てのセキュリティホールを把握し対策を取ることが必要となりますが、これは事実上不可能だと指摘せざるを得ません。

例えば、本コラムでも度々取り上げている一昨年の日本年金機構の事故は、標的型メールが攻撃の侵入口です。標的型メールは、繰り返し似たようなレベルの内容が届くスパムメールとは異なり、一様にフィルタリングできるものではありません。

日本年金機構の情報管理体制や運用上の問題点については指摘されている通りですが、業務でパソコンを利用し、メールやインターネットに接続できる環境があれば、ウィルス対策や、システムに対する脆弱性対策をしていたとしても、どの企業も同様の攻撃を受け、踏み台にされしまう可能性・危険性があるということを十分認識する必要があります。

さらに、攻撃側の巧妙さが増すことによって、受信者がだまされる可能性も高まります。そもそも利用者に攻撃メールが届かないよう、システム的な不審メールのフィルタリングによる対策を行うことは、当然ながら不可欠なことです。標的型メールに添付されているファイル、あるいはリンクからダウンロードされるファイルが行う通信や挙動をシミュレーションすることで不正なメールであることを検知（プロファイル）できる何らかの対策が必要だと言えます。

加えて、侵入の発生を前提とした対策の考え方も必要となります。「入口」ですべての侵入を防ぐことは理想ですが、すべてにおいて万全の対策は無い以上、「出口」と「内部」での多層的な防御が重要になります。

標的型攻撃に対しては、「侵入されることを前提に、(1)侵入を検知し組織内のシステムに感染が拡大することを防ぐ、(2)情報そのものの漏えいを防ぐ」という総合的な対策が必要です。入口対策と同時に出口対策を講じることで、入口を突破されても機密情報の外部送信や不正プログラムのダウンロードといった外部攻撃者との通信を出口で遮断し、被害を防ぐことができます。

「入口対策」は、ファイアウォールやIPS、ウィルスゲートウェイの導入など、多くの企業で比較的実施されているところも多いと言えます。これに対し、「出口対策」は十分な対策が講じられていません。「出口対策」とは、組織内に侵入したウィルスが、攻撃の指示を受けたり、盗み出した機密情報を送信するために、外部のC&Cサーバ（サイバー攻撃などにおいて、マルウェアに感染したコンピュータ群を制御したり、命令を出したりする役割を担うサーバのこと。）と呼ばれるサーバと、通信のやりとりを行うところをブロックする対策です。例えるなら出口対策は、銀行に入った泥棒を、金庫の外や、敷地の外に出さないようにする対策です。また、「内部対策」は同じく攻撃を前提として、犯行をいち早く見つけることを目的としています。最も基本的で重要といえるのがログの監視で、例えば社内のデータベースサーバに権限のない人間がアクセスしている場合、警告やアラート等を発することで、いち早く危険を察知し手立てを講じられるようにすることです。

1) ランサムウェアの脅威

ランサムウェアとは、コンピュータウイルスの一種で「身代金型ウィルス」とも呼ばれます。ランサムウェアに感染すると、勝手にファイルが暗号化される・パソコンをロックされるなどによって使用不能になります。そしてこの暗号化されたファイルの復元や、ロック解除の引き換えに金銭を要求されるというのもです。

ランサムウェアという言葉は「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語です。元々はロシアやヨーロッパなどの海外で大きな被害を出していましたが、2014年末に日本語のランサムウェアが増加し、2015年に入って日本での被害が拡大しています。2016年に入ってからは、日本語で脅迫するランサムウェア「Locky」、OS X初のランサムウェア「KeRanger」、スマホを狙う「AndroidOS_Locker」による被害状況の悪化に伴い、情報処理推進機構（IPA）も注意喚起を呼びかけています。

▼情報処理推進機構(IPA)「IPAテクニカルウォッチ「ランサムウェアの脅威と対策」」

この、ランサムウェアの脅威や対策を検討する前に、まず認識する必要があるのが以下の3点です。

• 身代金を支払ったとしても、攻撃者が解除鍵を引き渡す保証はない
• 身代金を支払うことで、別のネット犯罪に巻き込まれる可能性が高い
• 身代金を支払うことで、攻撃者に活動資金を与えてしまうことになる

ランサムウェアの被害で議論される問題のひとつに「身代金は払うべきか？」というものがあります。

脅しに応じることは、犯罪行為を間接的に正当化することにつながるので、一般的には身代金は支払うべきではないとの見解が多いと言えます。しかし、実際には、要求どおりのビットコインやウェブマネーなどを支払う被害者が少なからず存在し、それがランサムウェアを蔓延させる一因にもなっています。確かに、身代金の支払いは、暗号化されたファイル、ロックされたPCを復旧させる確率が高いと思われる方法です。犯罪者の目的の多くは金銭であり、ファイルを破壊したりPCを使えなくしたりすることではなく、身代金が目的であるならば、支払いを受けたなら約束通りファイルを復旧させたほうが、金銭要求の効果は持続されるはずです。無視したり約束を破ったりすると、「やはり破壊活動が目的の犯罪行為だ。要求に従う必要はない」と、誰も支払いに応じなくなります。そのため、平均的な身代金の額も数万円から数十万円と微妙に支払い可能な水準で金額を設定し、法外な金額を要求するケースはほとんどありません。実際に支払いに応じてファイルを無事に復旧させている被害者も少なくない現実があります。

ウィルス、マルウェアの駆除、暗号の解読またはバックアップファイルによる暗号化されたデータの復旧の手間やコストを考えた場合、現実的な判断として、身代金のほうが安く済むという考え方もあります。特に組織・企業においては、その間業務やビジネスが停止するようなことになれば、損害額が跳ね上がります。現在、海外でランサムウェアの被害にあう病院が増加しており、カリフォルニアの病院の被害事例では、身代金を支払ってデータおよび業務を復旧させるという苦渋の決断がなされました。これは多くの患者の生命を預かる病院で、最も手早く最も効率的にシステムや管理機能を復旧させる手段は身代金を払って暗号解除の鍵を入手することでした。正常な業務を復旧させることが最善と判断できれば、身代金を支払うことも一つの選択肢となり得るケースが現実にはあるということです。

ただ、身代金を支払っても暗号化されたシステムが復旧される保証はどこにもありません。ランサムウェア対策の視点は、「身代金を支払うべきかどうか」という次元にとどまることなく、「身代金を支払わなくても業務が滞りなく継続できる」ために何をすべきか（平時から備えておくべきか）という点も極めて重要だと思います。そして、そのためには、攻撃を受けることに備え、組織内の重要情報の置かれている場所と脅威をしっかり把握すること、失った時の影響が大きい重要ファイルのバックアップからデータを復旧できる状況にしておくことが望ましいと言えます。

2) ランサムウェアの感染経路と対策

ランサムウェアの主な侵入経路として、不正に改ざんされたWebサイトが第一に挙げられます。利用者が気付かずに不正なWebサイトにアクセスすると、ランサムウェアに感染したドライバが自動的にダウンロードされ、不正プログラムが実行されます。全て表だって動作はしないため、画面上の変化で気付くことは出来ません。ウィルス検知機能で検知される可能性もありますが、100％信頼して閲覧してしまうと感染の原因となります。
また、不正なWebサイトの次に多い侵入経路として、電子メールが挙げられます。ランサムウェアに感染した添付ファイルを開いたり、場合によっては電子メールを開いただけで不正プログラムがインストールされてしまうこともあります。

1.電子メールからの感染

請求書や配達通知などを装った偽メールを送りつけ、添付ファイルをクリックさせて感染させる手口です。感染すると壁紙を脅迫文の画像に変更し、全てのファイルを暗号化したことを使用者に伝え、身代金を要求します。かつての偽メールは不正送金ウィルスのメールをはじめ、偽のWebサイトへ誘導するフィッシングメールが主体で、いかにも偽装されたアドレスからの送付で、見破ることは比較的容易でしたが、最近はそのメールが変化しています。（一定期間潜伏してメールのやり取り等を観察すること等を通じて）実在する人物になりすまし、業務に直接関係があると思われる件名、本文、そして拡張子が偽装されたマルウェアが添付されているため、非常に開封率が高くなっているのです。

また、利用しているソフトウェア（OS・Java・Flash・Webブラウザ）が古く、脆弱性がある状態で不正な細工がされたWebサイトにアクセスしてしまうことによってランサムウェアに感染してしまいます。

このように、メールに添付されたファイルや本文内のURLのリンクを不用意な開封には注意が必要です。標的型攻撃メールは日々精度が高くなり、手口が巧妙化しているということも脅威として認識する必要があります。業務で毎日電子メールを利用せざるを得ない以上、そこに紛れ込んでいるリスクをしっかり認識したうえで（つまり、個人の防御ラインは脆いものと認識したうえで）組織的な体制や対策を検討する必要があります。

2.Webサイト、スマホアプリからの感染

閲覧者のソフトウェアに脆弱性がある状態で、改ざんされた国内を含む正規サイトや細工がされた不正広告を閲覧するだけでランサムウェアに感染します。また、Webサイトからダウンロードしたファイルがランサムウェアに感染するように細工がされていて、ソフトウェアの脆弱性の有無に関わらず、そのファイルを開いてしまうことで感染します。

その他、スマートフォンアプリからの感染も確認されています。2016年頃から、Windowsだけでなく、AndroidやiOSでランサムウェアの被害が続出しています。手法としては、偽の「System　Update」の表記を見せ、非正規のGooglePlayやAppstoreへと移動させランサムウェアをインストールさせるという方法が取られています。スマホやタブレットにはそれこそ様々な個人情報が入っていますから、非正規マーケットにアクセスしないように気を付けることはもちろん、”提供元不明”などの不審なアプリのインストールも避けるよう徹底する必要があります。

3.脆弱性の解消

ランサムウェアの対策としては、まずはOSやソフトウェアの脆弱性を修正することがあげられます。Webサイトを見ただけで気づかぬ間にランサムウェアに感染する事例もあります。これはOSやソフトの脆弱性を残したままのパソコンが脆弱性攻撃を受けて、ランサムウェアを知らぬ間に送り込まれたためです。OSやソフトの脆弱性を修正する更新プログラムが公開されたら速やかに適用すべきです。

また、セキュリティソフトを最新にして利用することも重要です。セキュリティソフトは、端末内に侵入したランサムウェアの検知だけではなく、不正なメールやWebサイトの脅威からも保護してくれます。日々生み出される新たな脅威に対抗するため、セキュリティソフトを正しく更新して利用する必要があります。

4.バックアップの重要性

身代金を支払わずに解決する最も確実な方法は、バックアップしておいたデータを使ってリストアする（元の状態に戻す）ことです。ランサムウェアの被害を受けた場合の基本的な対応は、(1)マルウェアの駆除　(2)ファイルのリストア（復元）です。

マルウェアの駆除は、ウィルス対策ソフトやセキュリティ対策ソフトを利用することになります。対策ソフトウェがマルウェアを検出・駆除できなかった場合、PC全体を初期化する必要があり、そうなればアプリやデータの復旧は完全にバックアップ頼みとなりますし、事前にとっておいたバックアップファイルの有無が、復旧の大きな鍵を握ることになります。貴重なデータを失わずに済むように、身代金の支払い（復旧が確実ではなく犯罪の加担にもつながる）に応じなくて済むように、しっかりしたバックアップ対策をとることが重要です。

ただ、最新の暗号化型ランサムウェアでは、感染した PCだけでなく組織のネットワーク上で共有されているファイルも暗号化できる機能を備えているものもあります。また、ネットワーク上に保存されているバックアップデータも狙いの対象となります。Windowsサーバの持つシャドーコピー機能を狙ったこの活動は、特に法人組織のネットワークを攻撃対象としているものと考えられ、通常の法人利用者に推奨されている「身代金は払わないこと」、「定期的にバックアップをとること」というランサムウェア対策の効果を失わせようとする意図がうかがえます。

バックアップによる対策の第一のポイントは、バックアップデータが感染していないかどうかという点です。つまり、暗号化されたデータがバックアップされると、正常な状態にリカバリーすることができません。感染後に一定期間が経ってから暗号化する時限的なランサムウェアも存在しており、すでに感染しているデータを気付かないうちにバックアップしてしまっている恐れがあります。バックアップは、可能な限り多くの世代を残すことが望ましく、感染前のバックアップデータまで遡れば、被害を最小限に食い止めることができます。

また、重要データのバックアップを定期的に作成し、その「バックアップデータをオフラインで保管する」ことも重要な視点です。オフライン上でバックアップデータがあれば、PC システムがランサムウェアに感染し、ハッカーがファイルの暗号化解除と引き換えにビットコインを要求しても、企業はシステムの状態をロールバックして、数週間または数カ月分のデータを失うだけで済ませることができます。また、感染前の環境をそのまま再現するには、データ領域だけでなく、システム領域を含めたバックアップをとることが推奨されます。そうすることで、復旧のスピードも各段に速くなり、サーバだけでなくクライアントPCも同様に保護しておけば、いずれの場合でも感染前の状態に簡単に復元することが可能になります。

バックアップは非常に重要な事後対策ですが、事業継続性も考慮の上、適切な復旧方法を選択することも極めて重要です。データが増加すれば、バックアップにかかる時間や、保管するデータ容量、復旧にかかる時間が無視できなくなりますし、バックアップデータが正常に保管できており、問題なく復旧できる状態であるか整合性を確認しておくことが重要です。

3) 攻撃や事故を前提とした対策

情報セキュリティの分野におけるインシデントとは、コンピュータやネットワークのセキュリティを脅かす事象、すなわち、ウィルス感染や不正アクセス、不正侵入、データの改ざん、情報漏えいなどを指し、意図的であるか偶発的であるかを問いません。インシデントレスポンスは、上記インシデントに対し、主に原因の調査や対応策の検討、サービス復旧や再発防止策の実施などの対応を適切に行うことです。最近は、サイバー攻撃が増加傾向にあり、その範囲も広範にわたっています。こうした状況下で、セキュリティ対策を万全に施していたとしても、すべてのインシデントを未然に防ぐことは不可能です。

そこで、インシデントが万が一発生した場合に迅速に対応し、被害の拡大を最小限にするための事後対応が求められます。特に、標的型攻撃などのように、特定のターゲットに対し、周到に、時間をかけて準備され、継続的に実行されるサイバー攻撃などに対応していくためには、常にメンバーや組織内で知識を共有し、事故を前提としたポリシー策定や手順を確立しておくことが重要となります。

実際にサイバー攻撃が行なわれると、インシデントの発生するタイミングや攻撃の種類は攻撃者が選択するため、システムの管理者側では予測することが困難です。管理者側の知識や技術が不足している場合や、チーム編成の不備、準備や訓練が十分に行なわれていない、見積りが甘い、などの理由により攻撃を防ぎきることができない可能性があります。

また、標的となるのは、その多くが一般社員であり、十分な知識等をもっていない場合も少なくありません。したがって、標的型攻撃の訓練や演習、アンケートを通じて、自社内でそのリスク（開封状況）を把握することも重要となります。演習や研修、注意喚起を繰り返すことで問題点を抽出し、それを改善するとともに、インシデントの処理になれておくことで、組織全体でのサイバー攻撃への対応力を向上させることが、被害の拡大を未然に防ぐ意味でも重要だと言えます。

冒頭で述べたランサムウェアは、「WannaCry（ワナクライ）」と呼ばれるマルウェアで、約2週間で世界中に大きな感染被害をもたらしています。この「WannaCry」に対しては、世界中のインターネットセキュリティ会社やソフトウェア会社が一丸となり、このプログラムの仕組みについての解明や、ソフトウェアの修正プログラムの配布といった安全対策を急ピッチで進めています。こうした安全対策は既に多くパソコンや企業のサーバに実施されていますが、現時点で被害が収まったとは言えません。マルウェアは時間が経過して効果が弱まると、安全対策がされた抜け穴とは別の抜け穴をターゲットにして被害を及ぼすことができる”亜種”と呼ばれる新たなプログラムを作り出したり、「WannaCry」と同じように”身代金”を要求する悪質なプログラムを拡散させる”模倣犯”が登場することで、被害がさらに拡大することがあります。

サイバー攻撃などの被害を受けやすい企業の特徴として、IT環境の未整備、セキュリティアップデートの適用管理が不十分、ウィルス対策ソフトの利用が限定的、PC機器等の持ち出しや持ち込みの管理が未実施、事故対応体制が未整備などITガバナンスが十分ではない組織であると考えられます。

事業者は、取るべき対策を整理するとともに今回の攻撃を踏み台にした次なる攻撃を想定し、警戒レベルを上げて、システム面・オペレーション面双方での多層的な防御策の導入、役職員の意識高揚など早急な取り組みが求められます。

ページ先頭へ

２．最近のトピックス

ページ先頭へ

３．最近の個人情報漏えい事故（2017年3月、4月）

下記の表は、今年3月と4月に発生した個人情報漏えい事故一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。
　※情報セキュリティに特化したニュースサイトであるSecurity Next、その他マスコミで報道されたものをまとめたポータルサイト、各行政や企業がWebサイトで公表したものを参考に当社作成。

3月と4月の事故の傾向として、メールの誤送信が19件と多く確認されました。事故の要因としては、システムの不具合によるものもあれば、ToとCc、Bccの誤認識、打ち間違え等によるうっかりミスや不注意等の多様な形態があります。メールアドレス一つだけでも、個人情報に該当するケースが多く、ひとたび誤送信事故が発生すれば企業として管理体制や対応の質が問われることになります。さらに、メールアドレスだけではなく、社外秘の内容や機密情報といった営業秘密や機微な情報が添付もしくは記載されていれば、それだけで企業にとって極めて重大な事故に発展しかねません。

電子メールは今や業務に欠かせない重要な情報通信手段であると同時に、未だに事故が多く発生しています。電子メールの誤送信対策としては、システム的な施策（送信前の承認や自動暗号化等）以外にも、人的な脆弱性を克服していくためにも、各自が電子メールを送信する際に宛先、送信内容、同報送信の種類、添付ファイルを十分確認するプロセスについて、あらためて（何度でも）注意喚起し続ける必要があります。

ページ先頭へ

セミナーや研修について

　当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。
　セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

【お問い合わせ】

株式会社エス・ピー・ネットワーク 総合研究室

Mail：souken@sp-network.co.jp

TEL：03-6891-5556

• サイバーセキュリティ
• 情報セキュリティトピックス