「標的型攻撃対策」の現実解【第1回】

“年金機構事件”は対岸の火事ではない　「標的型攻撃対策」を再考する（1/2 ページ）

大規模な情報流出を招いた日本年金機構の標的型攻撃。その被害は決して対岸の火事ではない。事件を機に、標的型攻撃の脅威や対策をあらためて考えていく。

公開 2015年07月31日 08時05分

更新 2015年07月31日 10時30分

著者

寺前滋人

[パロアルトネットワークス]

印刷する連載新着通知を受け取る

日本年金機構の公式サイト。大量の個人情報流出事件は、世間を震撼させた

　2015年6月に発覚した日本年金機構の個人情報の大量流出事件は、約125万件、約101万人分という流出規模もさることながら、年金情報にも大きく関わる社会保障・税番号（マイナンバー）制度の導入直前ということもあり、大きな注目を集めた。それに伴って「標的型攻撃」という言葉もあらためて広く知られるようになった。

　標的型攻撃とは、ある特定企業や組織、業種に対して実行されるサイバー攻撃のことであり、最近出てきた新しい攻撃手法というわけではない。ただし、近年では使用される手口が巧妙になり、日本の組織を狙った事例も増えている。

併せて読みたいお薦め記事

国内の標的型攻撃動向

広がる標的型攻撃の被害

標的型攻撃対策をどう進めるか

年金機構を狙った攻撃の実態

　日本年金機構のケースでは、ダウンロードを実行する役割を担うマルウェアである「ドロッパー」が医療費通知に偽装されて添付されていたといわれている。送付された攻撃メールの件名や本文中にも特に怪しいところがなく、関係者であれば誰でも開いてしまうのではないかと思われるものだったという。

　以前の攻撃メールであれば、フォントに日本語以外のものが使用されていたり、そもそも日本語自体が不自然であったりしたため容易に気付くことができた。しかし最近では、件名も本文も実際の業務でやりとりされているメールと変わらない内容であることも多い。そのため、セキュリティ製品が攻撃メールだと認識せず、マルウェアに感染した後も駆除しにくくなっている。

　また、今回の攻撃では「Emdivi」（「Backdoor.Emdivi」などとも）という、リモートアクセス型トロイの木馬（RAT： Remote Administration Tool）に分類されるマルウェアが使用されたのではないかといわれている。RATとは名前が示す通り、管理者権限を乗っ取り、コンピュータの遠隔操作を可能にするマルウェアを指す。

　今回の日本年金機構のケースでは、次のような流れで攻撃が進んだと考えられている。前述したドロッパー（偽装ファイル）は、標的組織に送り込まれて実行された後、おとりのWordファイルとマルウェアをダウンロードする。おとりのWordファイルを開くのと同時に、秘密裏にマルウェアをインストールし、攻撃用サーバであるコマンド＆コントロールサーバ（C＆Cサーバ）と通信するためのバックチャネル（通信経路）を構築し、コンピュータを攻撃者の制御下に置いてしまう。

　この状態になると、攻撃者はさまざまなツールを容易にダウンロードやインストールできるようになる。そして情報収集に必要なアクセス権の取得やサーバ／ストレージへのアクセスを試みることも可能となる。最終的には、集めた情報をC＆Cサーバやファイル転送系のプロトコルなどを用いて、外部サーバへ転送することで情報流出となるのである。

　日本年金機構のケースでは、最初のトリガーとなるドロッパーがメールの添付ファイル経由で感染したとみられる。Emdiviによる攻撃ではその他にも、メール本文内のリンクや改ざんされたWebサイトのリンクを使って、「エクスプロイト」という脆弱性を突くプログラムコードが実行されることで感染する場合もある。エクスプロイトは、「Microsoft Office」ファイルやPDFファイル、Javaアプレット（Webブラウザで動作するJavaプログラム）などに仕込まれていることが多い。

Emdiviの特徴

　Emdiviの特徴として挙げられるのが、バックチャネルの通信先であるC＆Cサーバのほとんどが日本国内に設置されていることだ。一見して業務と関係のなさそうな国に設置されているサーバとの通信が増えれば、ファイアウォールの通信ログなどで怪しい通信が存在していることが比較的容易に検知できる。Emdiviでは、通信先が日本国内のサーバだということが通常業務の通信との判別を難しくしており、検知を遅らせる１つの要因となっている。

　このことからも、Emdiviを使った攻撃は日本の組織をターゲットとした標的型攻撃であることが分かる。パロアルトネットワークスの調査では、日本を狙ったサイバー攻撃は、メール経由の攻撃が占める割合が他国と比べてはるかに多いことが分かっている（図）。日本は標的型攻撃に対する認識が低く、メール経由のサイバー攻撃が成功しやすい国として攻撃者に認識されている可能性がある。