「明日はわが身」の情報セキュリティ
仮想通貨不正流出事件から考える、従業員のセキュリティ教育を軽視してはいけない理由(1/2 ページ)
いまだ記憶に新しい、仮想通貨「NEM」(ネム)の不正流出事件。「自分は仮想通貨取引をしていないから関係ない」と考える人もいるかもしれませんが、実は、誰にとっても教訓となる重要なポイントがあります。
2018年1月、仮想通貨交換業者のコインチェックが仮想通貨「NEM」の不正流出被害を受け、580億円相当(当時レート)の資産を失うという、大きな事件が世間を騒がせました。内部のセキュリティ対策強化よりも、事業拡大に経営リソースを投じた結果、巨額の資産を盗まれてしまった――といういきさつはご存じの通りです。実際に被害に遭遇した人のみならず、世間からも大きな注目と非難が起こりました。
この事件を受けて、仮想通貨市場をけん引していた日本を中心に相場が冷え込み、仮想通貨の基軸通貨といえるビットコインを中心に他の仮想通貨も軒並み下落。コインチェック事件発表当時の2018年1月26日に、120万円程度で推移していたビットコインの相場は、同年2月6日には約70万円となり、約41%の下落幅を見せました。
コインチェック事件の概要
コインチェック事件における攻撃手口は、メールを起点とした標的型攻撃でした。2015年の日本年金機構では約125万件、2016年のJTBでは約679万件の個人情報漏えい事件が起きましたが、これらとほぼ同様の手口によるものでした。
メールを起点とした標的型攻撃では、標的企業の取引先や自社製品のユーザーなどを装ったメールが届きます。受け取った人が開封するように、メールの件名や本文にも工夫が施されており、一見すると業務に関連する相手から送られてきたように見えます。例えばJTBの事件では、実在する取引先メールアドレスのドメインに偽装し、メールの件名も「航空券控え 添付のご連絡」という内容でした。業務に関連する可能性がある場合、受け取った人が開封してしまうのは無理もないことです。このように、人の心理や油断を突いた攻撃手法を「ソーシャルエンジニアリング」といいます。
メールにはマルウェアを圧縮処理したファイルが添付してあります(PDF形式などに偽装しているケースもあります)。受信者がメールを開封し、圧縮ファイルを解凍して閲覧しようとすると、ウイルス対策ソフトウェアでは見つけることができない遠隔操作プログラム(通称「bot」)が作動。攻撃者が用意した遠隔操作用のサーバであるC&Cサーバ(コマンド&コントロールサーバ)に自動接続します。その結果、PCが継続的に遠隔操作されてしまう、という状況になります。
コインチェック事件の場合は、報道によれば、同社内の複数の従業員に英文メールが届いたようです。メールに記載のURLをクリックしたことでマルウェアに感染し、PCが乗っ取られて遠隔操作されたとみられます。
この事件は、典型的な手口である「メールを起点とした標的型攻撃」によって発生しましたが、コインチェックの運営体制にも問題がありました。具体的には、
- 顧客の仮想通貨(NEM)を、インターネットから遮断された「コールドウォレット」ではなく、インターネットに直接接続できる「ホットウォレット」に保管していた
- 仮想通貨(NEM)を引き出し、外部に送金する際に複数の署名を必要とする手法「マルチシグ」を採用していなかった
という点がNEM流出の直接的な原因でした。
セキュリティは「人」への教育から
そもそもの問題として、セキュリティの入り口である「人」に対する、セキュリティ教育の実施や徹底をしていなかった可能性が極めて高い点も見逃せません。コインチェックの発表によると、標的型攻撃メールを開封してしまった従業員は複数名存在していた、とのことでした。歴史に「If」(もしも)はありませんが、もしコインチェックの経営陣に、情報セキュリティに関する深い知識を持つ人が1人でもいたならば、システムのセキュリティ対策と同時に、「人」へのセキュリティ教育も重要事項として実施していたのではないでしょうか。なぜなら日本における大規模な情報漏えい事件は「メールを起点とした標的型攻撃」に端を発するケースが現に多数存在しているためです。
この事件は、仮想通貨取引所だから起こった事件だったのでしょうか。確かに今回の事件で狙われたのは、金銭的な価値を直接保有する仮想通貨取引所でしたが、標的型攻撃は、保有している金銭の多寡を問わず、今もあらゆる組織で頻繁に発生している典型的なサイバー攻撃手法です。特に、金銭的価値が高い情報(設計図などの図面情報や、大量の個人情報など)を保有しているあらゆる企業は、その企業規模を問わずターゲットになる可能性があることを認識しなくてはいけません。
この事件を通じて筆者は、企業規模の大小や個人・法人にかかわらず、この現代に生を受けている全員がサイバーセキュリティに関する知識を身に付けなくてはいけない時代が到来したと感じました。
Copyright © ITmedia, Inc. All Rights Reserved.
「明日はわが身」の情報セキュリティ
IT担当者自身がセキュリティ対策を重視していても、経営層や現場に危機感がなくスムーズな承認が得られないことは往々にして起こりがちな問題です。特に中堅・中小企業の場合、経営層が「うちみたいな小さな会社は狙われない」という誤解を抱いているケースも珍しくありません。「明日はわが身の問題」だと理解するために、身近な情報セキュリティの問題と具体的な対策について解説します。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド:効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは? -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合/分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
損保ジャパンはなぜ「COBOL」を捨てなかったのか? 脱メインフレームの真相
-
2
Claude利用8割のGMO、AI人材の評価軸が「トークン管理」に変わった
-
3
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
4
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
5
半数がブルーカラー転向を視野に? ベテランエンジニアを追い込む“54歳の壁”
-
6
“アジャイルの壁”に挑むオリックス生命がIBMの開発管理ツールを選んだ理由
-
7
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
8
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
9
IT製品の導入に関するアンケート「セキュリティ」編
-
10
ライオンが挑む「守りのIT」脱却:Google Cloudで加速させるデータ駆動型経営
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する? 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か? 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出? 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化? 2026年夏の3事例から見えた動向と対処方法
-
7
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ?
-
9
「標的型攻撃メール」事例・サンプル集
-
10
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
TechTargetジャパン SNS
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー