メールを起点とした標的型攻撃では、標的企業の取引先や自社製品のユーザーなどを装ったメールが届きます。受け取った人が開封するように、メールの件名や本文にも工夫が施されており、一見すると業務に関連する相手から送られてきたように見えます。例えばJTBの事件では、実在する取引先メールアドレスのドメインに偽装し、メールの件名も「航空券控え　添付のご連絡」という内容でした。業務に関連する可能性がある場合、受け取った人が開封してしまうのは無理もないことです。このように、人の心理や油断を突いた攻撃手法を「ソーシャルエンジニアリング」といいます。

　メールにはマルウェアを圧縮処理したファイルが添付してあります（PDF形式などに偽装しているケースもあります）。受信者がメールを開封し、圧縮ファイルを解凍して閲覧しようとすると、ウイルス対策ソフトウェアでは見つけることができない遠隔操作プログラム（通称「bot」）が作動。攻撃者が用意した遠隔操作用のサーバであるC＆Cサーバ（コマンド＆コントロールサーバ）に自動接続します。その結果、PCが継続的に遠隔操作されてしまう、という状況になります。

　コインチェック事件の場合は、報道によれば、同社内の複数の従業員に英文メールが届いたようです。メールに記載のURLをクリックしたことでマルウェアに感染し、PCが乗っ取られて遠隔操作されたとみられます。

　この事件は、典型的な手口である「メールを起点とした標的型攻撃」によって発生しましたが、コインチェックの運営体制にも問題がありました。具体的には、

• 顧客の仮想通貨（NEM）を、インターネットから遮断された「コールドウォレット」ではなく、インターネットに直接接続できる「ホットウォレット」に保管していた
• 仮想通貨（NEM）を引き出し、外部に送金する際に複数の署名を必要とする手法「マルチシグ」を採用していなかった

という点がNEM流出の直接的な原因でした。

セキュリティは「人」への教育から

　そもそもの問題として、セキュリティの入り口である「人」に対する、セキュリティ教育の実施や徹底をしていなかった可能性が極めて高い点も見逃せません。コインチェックの発表によると、標的型攻撃メールを開封してしまった従業員は複数名存在していた、とのことでした。歴史に「If」（もしも）はありませんが、もしコインチェックの経営陣に、情報セキュリティに関する深い知識を持つ人が1人でもいたならば、システムのセキュリティ対策と同時に、「人」へのセキュリティ教育も重要事項として実施していたのではないでしょうか。なぜなら日本における大規模な情報漏えい事件は「メールを起点とした標的型攻撃」に端を発するケースが現に多数存在しているためです。

　この事件は、仮想通貨取引所だから起こった事件だったのでしょうか。確かに今回の事件で狙われたのは、金銭的な価値を直接保有する仮想通貨取引所でしたが、標的型攻撃は、保有している金銭の多寡を問わず、今もあらゆる組織で頻繁に発生している典型的なサイバー攻撃手法です。特に、金銭的価値が高い情報（設計図などの図面情報や、大量の個人情報など）を保有しているあらゆる企業は、その企業規模を問わずターゲットになる可能性があることを認識しなくてはいけません。

　この事件を通じて筆者は、企業規模の大小や個人・法人にかかわらず、この現代に生を受けている全員がサイバーセキュリティに関する知識を身に付けなくてはいけない時代が到来したと感じました。