「明日はわが身」の情報セキュリティ
仮想通貨不正流出事件から考える、従業員のセキュリティ教育を軽視してはいけない理由（1/2 ページ）
いまだ記憶に新しい、仮想通貨「NEM」（ネム）の不正流出事件。「自分は仮想通貨取引をしていないから関係ない」と考える人もいるかもしれませんが、実は、誰にとっても教訓となる重要なポイントがあります。
2018年1月、仮想通貨交換業者のコインチェックが仮想通貨「NEM」の不正流出被害を受け、580億円相当（当時レート）の資産を失うという、大きな事件が世間を騒がせました。内部のセキュリティ対策強化よりも、事業拡大に経営リソースを投じた結果、巨額の資産を盗まれてしまった――といういきさつはご存じの通りです。実際に被害に遭遇した人のみならず、世間からも大きな注目と非難が起こりました。
この事件を受けて、仮想通貨市場をけん引していた日本を中心に相場が冷え込み、仮想通貨の基軸通貨といえるビットコインを中心に他の仮想通貨も軒並み下落。コインチェック事件発表当時の2018年1月26日に、120万円程度で推移していたビットコインの相場は、同年2月6日には約70万円となり、約41％の下落幅を見せました。
コインチェック事件の概要
コインチェック事件における攻撃手口は、メールを起点とした標的型攻撃でした。2015年の日本年金機構では約125万件、2016年のJTBでは約679万件の個人情報漏えい事件が起きましたが、これらとほぼ同様の手口によるものでした。
メールを起点とした標的型攻撃では、標的企業の取引先や自社製品のユーザーなどを装ったメールが届きます。受け取った人が開封するように、メールの件名や本文にも工夫が施されており、一見すると業務に関連する相手から送られてきたように見えます。例えばJTBの事件では、実在する取引先メールアドレスのドメインに偽装し、メールの件名も「航空券控え 添付のご連絡」という内容でした。業務に関連する可能性がある場合、受け取った人が開封してしまうのは無理もないことです。このように、人の心理や油断を突いた攻撃手法を「ソーシャルエンジニアリング」といいます。
メールにはマルウェアを圧縮処理したファイルが添付してあります（PDF形式などに偽装しているケースもあります）。受信者がメールを開封し、圧縮ファイルを解凍して閲覧しようとすると、ウイルス対策ソフトウェアでは見つけることができない遠隔操作プログラム（通称「bot」）が作動。攻撃者が用意した遠隔操作用のサーバであるC＆Cサーバ（コマンド＆コントロールサーバ）に自動接続します。その結果、PCが継続的に遠隔操作されてしまう、という状況になります。
コインチェック事件の場合は、報道によれば、同社内の複数の従業員に英文メールが届いたようです。メールに記載のURLをクリックしたことでマルウェアに感染し、PCが乗っ取られて遠隔操作されたとみられます。
この事件は、典型的な手口である「メールを起点とした標的型攻撃」によって発生しましたが、コインチェックの運営体制にも問題がありました。具体的には、
- 顧客の仮想通貨（NEM）を、インターネットから遮断された「コールドウォレット」ではなく、インターネットに直接接続できる「ホットウォレット」に保管していた
- 仮想通貨（NEM）を引き出し、外部に送金する際に複数の署名を必要とする手法「マルチシグ」を採用していなかった
という点がNEM流出の直接的な原因でした。
セキュリティは「人」への教育から
そもそもの問題として、セキュリティの入り口である「人」に対する、セキュリティ教育の実施や徹底をしていなかった可能性が極めて高い点も見逃せません。コインチェックの発表によると、標的型攻撃メールを開封してしまった従業員は複数名存在していた、とのことでした。歴史に「If」（もしも）はありませんが、もしコインチェックの経営陣に、情報セキュリティに関する深い知識を持つ人が1人でもいたならば、システムのセキュリティ対策と同時に、「人」へのセキュリティ教育も重要事項として実施していたのではないでしょうか。なぜなら日本における大規模な情報漏えい事件は「メールを起点とした標的型攻撃」に端を発するケースが現に多数存在しているためです。
この事件は、仮想通貨取引所だから起こった事件だったのでしょうか。確かに今回の事件で狙われたのは、金銭的な価値を直接保有する仮想通貨取引所でしたが、標的型攻撃は、保有している金銭の多寡を問わず、今もあらゆる組織で頻繁に発生している典型的なサイバー攻撃手法です。特に、金銭的価値が高い情報（設計図などの図面情報や、大量の個人情報など）を保有しているあらゆる企業は、その企業規模を問わずターゲットになる可能性があることを認識しなくてはいけません。
この事件を通じて筆者は、企業規模の大小や個人・法人にかかわらず、この現代に生を受けている全員がサイバーセキュリティに関する知識を身に付けなくてはいけない時代が到来したと感じました。
Copyright © ITmedia, Inc. All Rights Reserved.
「明日はわが身」の情報セキュリティ
IT担当者自身がセキュリティ対策を重視していても、経営層や現場に危機感がなくスムーズな承認が得られないことは往々にして起こりがちな問題です。特に中堅・中小企業の場合、経営層が「うちみたいな小さな会社は狙われない」という誤解を抱いているケースも珍しくありません。「明日はわが身の問題」だと理解するために、身近な情報セキュリティの問題と具体的な対策について解説します。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣 -
製品資料
[サイボウズ株式会社] AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
4
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
5
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
BMWも導入 78兆円市場に化ける「フィジカルAI」の衝撃
-
9
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
10
「AI活用を前提とした業務PCへの移行」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー