CrowdStrikeが「戦略的Web侵害」（SWC）と呼ぶ水飲み場型攻撃は、攻撃者が特定のWebサイトのユーザーに的を絞って狙いを定め、そのWebサイトにマルウェアを仕掛けることで発生する。コンセプトは単純だが、水飲み場型攻撃はその精巧な手口のために、2013年には複数の名のある組織が被害に遭った。

　2013年に起きた水飲み場型攻撃のうち最も有名なのは、米労働省のWebサイト「Site Exposure Matrices（SEM）」を狙った攻撃だ。SEMは、米エネルギー省が運営する施設の有害物質情報を提供している。このWebサイトを狙った犯人は、最終的には政府機関やエネルギー分野で働く職員に狙いを定めていたとCrowdStrikeは推測する。

　このケースでは、労働省のWebサイトにJavaScriptが仕込まれ、ユーザーに悪質なコードをダウンロードさせていた。報告書によれば、このコードで被害者の特徴を調べ、特定のマシンで使われているWebブラウザの拡張機能とウイルス対策ソフトウェアをチェックする仕掛けだった。攻撃者は次にInternet Explorer 8のゼロデイ脆弱性を悪用し（米Microsoftは後にこの脆弱性を修正）、マシンをマルウェアの「Poison Ivy」に感染させた。

　CrowdStrikeによれば、水飲み場型攻撃は、スピアフィッシングと比べてメールフィルタリングのセキュリティ技術を迂回しやすく、犯行側にとって運用上のリスクが低いといった利点がある。何よりも、水飲み場型攻撃は検出が難しいのだ。

　「セキュリティについての認識が高まる中で、狙われる側もスピアフィッシングメールを見分けようとする習慣が付き、見分けが付けば最初から攻撃を回避できる。だがSWCにそれは当てはまらない。狙われた側がSWCの検出や悪用防止のための技術的対策を講じていない限り、目に見えて不正行為が行われていることを示す兆候は何もない」。報告書はそう解説する。

　実際、水飲み場型攻撃のあまりの巧妙さに、米IT大手Appleの従業員でさえも、iOSモバイル開発者向けの人気フォーラム「iPhone Dev SDK」を標的とした攻撃の被害に遭った。報告書の共著者でCrowdStrikeのインテリジェンス担当副社長、アダム・メイヤーズ氏は、Apple端末向けのセキュリティソフトウェアが欠如していることから、Appleの場合は特に打撃が大きいと指摘する。

　「組織が被害に遭う前に、水飲み場型攻撃を検出できる一般的な手段はある」とメイヤーズ氏は言う。主なものとして、ネットワーク層に重点を置き、侵入検知システム（IDS）などのセキュリティ製品を使用して、「ヒープスプレー（Heap Spray）攻撃」（※）などの手口を検出するためのルールを作成する方法がある。

※　メモリ領域であるヒープに不正コードを大量に書き込み、不正コードが実行される可能性を高める攻撃手法。

　「そしてもちろん、戦略的Web侵害の多くで使われるのがJavaだ。インターネットに接するゾーンではユーザーがJava周辺から離れつつあると思う。Javaを制限すれば、直ちに（水飲み場型攻撃への）露出は減る」（メイヤーズ氏）

シリア電子軍が見せ付けたスピアフィッシングの威力

　「水飲み場型攻撃は増えているかもしれないが、スピアフィッシングが危険であることに変わりはない」ともメイヤーズ氏は強調する。その影響力を物語る実例として、報告書で「DEADEYE JACKAL」と命名したSyrian Electronic Army（SEA：シリア電子軍）の活動に言及している。

　SEAはシリアが内戦状態に陥った2011年に登場し、最初は英BBCや米New York Timesなど、シリア政府に批判的な報道機関のWebサイトを主に改ざんしていた。しかし2013年にはシリア政権側の主張の統制を強化する目的で、ソーシャルエンジニアリングの手口を使い、米Associated Press（AP通信）などの報道機関のTwitterアカウントを乗っ取るようになった。報告書によると、SEAは2013年末にかけて、米国の報道機関のログイン情報収集を狙ったスピアフィッシング作戦を展開した。

　SEAの活動の中で特筆すべき展開として、2013年7月に、スウェーデンのTrue Software Scandinavia、米TangoME、キプロスのViber Mediaといった大手通信アプリケーションベンダーへの侵入に成功した。少なくともTangoMEのケースでは、同社の従業員に対するスピアフィッシングによって侵入に成功した可能性がある。CrowdStrikeによれば、TangoMEのアプリケーションが狙われた理由はユーザーベースにあった。

　メイヤーズ氏は、「これらの攻撃は、分類はともかく、反体制派や不満分子が使っている通信プラットフォームへのアクセスを確立することが狙いだった」と分析する。

　2014年は、第22回冬季五輪ソチ大会、サッカーのワールドカップ（W杯）ブラジル大会、オーストラリアでの20カ国・地域（G20）財務相・中央銀行総裁会議などのビッグイベントに関連付けたスピアフィッシングにも注意が必要だ。CrowdStrikeが報告書で「NUMBERED PANDA」と紹介する攻撃グループは、2013年のG20サミットのテーマを利用したスピアフィッシング攻撃を仕掛け、マルウェアの「ShowNews」を拡散させた。

その他の攻撃動向

　報告書では他にも、企業やセキュリティ専門家が2014年に直面しそうな多数の攻撃にスポットを当てている。その1つとしてメイヤーズ氏は、仮想マシン（VM）を使ってマルウェアを検出・無力化する技術に対抗することを狙ったサンドボックス認識型マルウェアの利用増加を挙げる。

　同氏は、特に悪質なサンドボックス認識型マルウェアのサンプルを発見したという。こうしたマルウェアは、VMの中で実行していることを認識すると、あえて悪質なコードを実行しない。真に悪質なペイロードを実行するのは、そのマルウェアがVMを検知しなかった場合のみだ。

　2014年は間近に迫った「Windows XPのサポート終了もセキュリティ問題を引き起こすだろう」とメイヤーズ氏は予想する。2014年4月8日（日本では同月9日）以降、Windows XPのセキュリティ更新プログラムは配信されず、Microsoftのサポートも打ち切られる。Windows XPを使い続けている企業やエンドユーザーは、サイバー犯罪集団の意のままになる。

　サポート期限が切れた後に使うための脆弱性を攻撃側が隠している、との観測も強まっている。CrowdStrikeは、こうした観測を裏付ける兆候を確認しているという。

　「私がレストランで見たPOS端末はWindows XPだった。現金自動預け払い機（ATM）といった毎日利用する重要なシステムの中にも、Windows XPを使っているものが多数ある。2014年はWindows XPの脆弱性悪用で壊滅的な影響が出るだろう。パッチがもう存在しなくなるのだから」とメイヤーズ氏は指摘する。

　2014年に発生する攻撃にどんな手口が使われるにしても、サイバー犯罪集団や国家が関与するハッカー、ハッキング活動家などは、2013年の成功を足掛かりにしようとするはずだ。

　「われわれは50種類の敵を追跡した。彼らは攻撃の成果があったと考えているようだ。攻撃がいかに簡単か、自分たちにいかに力があるかを確信している。2014年はさらに多くの役者が関与し、これまで目にしなかった新しい役者も登場してくる。こうした動きはさらに広がるだろう」。メイヤーズ氏はこう語る。