「明日はわが身」の情報セキュリティ
仮想通貨不正流出事件から考える、従業員のセキュリティ教育を軽視してはいけない理由（1/2 ページ）
いまだ記憶に新しい、仮想通貨「NEM」（ネム）の不正流出事件。「自分は仮想通貨取引をしていないから関係ない」と考える人もいるかもしれませんが、実は、誰にとっても教訓となる重要なポイントがあります。
2018年1月、仮想通貨交換業者のコインチェックが仮想通貨「NEM」の不正流出被害を受け、580億円相当（当時レート）の資産を失うという、大きな事件が世間を騒がせました。内部のセキュリティ対策強化よりも、事業拡大に経営リソースを投じた結果、巨額の資産を盗まれてしまった――といういきさつはご存じの通りです。実際に被害に遭遇した人のみならず、世間からも大きな注目と非難が起こりました。
この事件を受けて、仮想通貨市場をけん引していた日本を中心に相場が冷え込み、仮想通貨の基軸通貨といえるビットコインを中心に他の仮想通貨も軒並み下落。コインチェック事件発表当時の2018年1月26日に、120万円程度で推移していたビットコインの相場は、同年2月6日には約70万円となり、約41％の下落幅を見せました。
コインチェック事件の概要
コインチェック事件における攻撃手口は、メールを起点とした標的型攻撃でした。2015年の日本年金機構では約125万件、2016年のJTBでは約679万件の個人情報漏えい事件が起きましたが、これらとほぼ同様の手口によるものでした。
メールを起点とした標的型攻撃では、標的企業の取引先や自社製品のユーザーなどを装ったメールが届きます。受け取った人が開封するように、メールの件名や本文にも工夫が施されており、一見すると業務に関連する相手から送られてきたように見えます。例えばJTBの事件では、実在する取引先メールアドレスのドメインに偽装し、メールの件名も「航空券控え 添付のご連絡」という内容でした。業務に関連する可能性がある場合、受け取った人が開封してしまうのは無理もないことです。このように、人の心理や油断を突いた攻撃手法を「ソーシャルエンジニアリング」といいます。
メールにはマルウェアを圧縮処理したファイルが添付してあります（PDF形式などに偽装しているケースもあります）。受信者がメールを開封し、圧縮ファイルを解凍して閲覧しようとすると、ウイルス対策ソフトウェアでは見つけることができない遠隔操作プログラム（通称「bot」）が作動。攻撃者が用意した遠隔操作用のサーバであるC＆Cサーバ（コマンド＆コントロールサーバ）に自動接続します。その結果、PCが継続的に遠隔操作されてしまう、という状況になります。
コインチェック事件の場合は、報道によれば、同社内の複数の従業員に英文メールが届いたようです。メールに記載のURLをクリックしたことでマルウェアに感染し、PCが乗っ取られて遠隔操作されたとみられます。
この事件は、典型的な手口である「メールを起点とした標的型攻撃」によって発生しましたが、コインチェックの運営体制にも問題がありました。具体的には、
- 顧客の仮想通貨（NEM）を、インターネットから遮断された「コールドウォレット」ではなく、インターネットに直接接続できる「ホットウォレット」に保管していた
- 仮想通貨（NEM）を引き出し、外部に送金する際に複数の署名を必要とする手法「マルチシグ」を採用していなかった
という点がNEM流出の直接的な原因でした。
セキュリティは「人」への教育から
そもそもの問題として、セキュリティの入り口である「人」に対する、セキュリティ教育の実施や徹底をしていなかった可能性が極めて高い点も見逃せません。コインチェックの発表によると、標的型攻撃メールを開封してしまった従業員は複数名存在していた、とのことでした。歴史に「If」（もしも）はありませんが、もしコインチェックの経営陣に、情報セキュリティに関する深い知識を持つ人が1人でもいたならば、システムのセキュリティ対策と同時に、「人」へのセキュリティ教育も重要事項として実施していたのではないでしょうか。なぜなら日本における大規模な情報漏えい事件は「メールを起点とした標的型攻撃」に端を発するケースが現に多数存在しているためです。
この事件は、仮想通貨取引所だから起こった事件だったのでしょうか。確かに今回の事件で狙われたのは、金銭的な価値を直接保有する仮想通貨取引所でしたが、標的型攻撃は、保有している金銭の多寡を問わず、今もあらゆる組織で頻繁に発生している典型的なサイバー攻撃手法です。特に、金銭的価値が高い情報（設計図などの図面情報や、大量の個人情報など）を保有しているあらゆる企業は、その企業規模を問わずターゲットになる可能性があることを認識しなくてはいけません。
この事件を通じて筆者は、企業規模の大小や個人・法人にかかわらず、この現代に生を受けている全員がサイバーセキュリティに関する知識を身に付けなくてはいけない時代が到来したと感じました。
Copyright © ITmedia, Inc. All Rights Reserved.
「明日はわが身」の情報セキュリティ
IT担当者自身がセキュリティ対策を重視していても、経営層や現場に危機感がなくスムーズな承認が得られないことは往々にして起こりがちな問題です。特に中堅・中小企業の場合、経営層が「うちみたいな小さな会社は狙われない」という誤解を抱いているケースも珍しくありません。「明日はわが身の問題」だと理解するために、身近な情報セキュリティの問題と具体的な対策について解説します。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品レビュー
[ヴィーム・ソフトウェア株式会社] SCS評価制度を導入するだけで十分？ 組織の防御力を高める活用方法とは -
技術文書・技術解説
[フォーティネットジャパン合同会社] AIランサムウェアに勝つ 自律型エンドポイント管理導入で確認すべき条件4つ -
技術文書・技術解説
[フォーティネットジャパン合同会社] LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント -
製品レビュー
[ネットアップ合同会社] 研究分野でAI活用が進まない？ 真の成果につなげるデータ管理の在り方とは -
製品レビュー
[ヴィーム・ソフトウェア株式会社] SCS評価制度を導入するだけで十分？ 組織の防御力を高める活用方法とは
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
2
デンソークリエイト、Excelからの移行も簡単に行えるプロジェクト管理ツールを発表
-
3
VMware離れの決め手は“機能”以外だった 情シス109人が選んだ新基準と死角は
-
4
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
5
二極化する生成AI活用 「一部の社員しか使いこなせない」をどう解消すべきか
-
6
「Apple Watch」、読者の95％は「仕事で使える」、5％は何に不満？
-
7
「クラウドDR」4大基礎用語 クラウドバックアップやDRaaSとの違いは？
-
8
Claude Opus 5.5、GPT-6 Sol／Luna登場 情シスが迫られるモデル使い分け
-
9
高機能化が進む“タブレット型電子カルテ”は次の段階へ
-
10
なぜ情シスは評価されにくい？ 読者調査で見えた「成果が見えない仕事」第1位は
ホワイトペーパーランキング PR
-
1
登録セキスぺが語る「SCS評価制度」の舞台裏 星を取得すべき理由と対応のコツ
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
OSSでは困難 100超のサービスを持つマネーフォワードが実践した統合監視術
-
4
「改正物流効率化法対策」徹底解説 総物流費を抑制するサプライチェーン戦略
-
5
月1000枚の紙を削減 9年動けなかった組織が、業務改革のその先に得たもの
-
6
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
7
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
8
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
9
「Google Workspace」活用事例34選、先進の生成AIによる組織変革の全貌
-
10
ソフトウェア開発の属人化と手戻りをどう防ぐ？ 速さと品質を両立させる方法
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー