2014年総括2014年に寄せられたウイルスの検出数は、2013年の195,550個より112,522個(約58%)少ない83,028個でした。2014年の不正プログラム検出数は2013年の233,341個から147,284個(約63%)多い380,625個でした。同一日、同一種のウイルス報告を1件とカウントするなど、所定の方法で集計した2014年のウイルス届出件数(*1)は5,014件で、2013年の6,596件から1,582件減少しました(図1-1)。2014年のウイルス感染被害については、以下の2件の届出がありました(表1-1)。暗号化されたファイルの暗号解除を名目に身代金を要求するランサムウェア(*2)と呼ばれるタイプのウイルスです。本来パソコン内のファイルを暗号化するウイルスです。ドライブなどと同様にパソコン上のドライブの一つとして扱える設定をしていました。このため、実際にはファイルサーバー上のデータであってもパソコン内のデータと論理的に同様の扱いとなります。その結果、パソコン上のファイルのみならず、ファイルサーバー上の共有フォルダ内のファイルも暗号化されてしまい、被害が拡大してしまいました。このような事態に備えてバックアップを定期的に行うことが重要です。“バックアップ時のみバックアップ媒体を接続する”、“バックアップ媒体を複数用意する”などの対策を行うことが重要です。※1届出件数:同じ届出者から寄せられた届出の内、同一発見日で同一種類のウイルスの検出が複数ある場合は、1日何個検出されても届出1件としてカウントし集計している。※2ランサムウェア:パソコン内のデータを暗号化し、ファイル等の利用を不可能にし、その暗号化したファイルの暗号解除を名目に身代金を要求するウイルス。検出数は2013年の147,197個から約79%減少し30,730個(図1-2)でした。検出数第2位のW32/NetskyもW32/Mydoomと同様に、メールの添付ファイルとして拡散し感染を広げます。これらは2013年と比べて検出数は減少していますが、こうしたウイルスに感染しているサーバーやパソコンがいまだに多数存在していると言えます。2014年に寄せられた不正プログラムの年間検出数の第1位はBancos(*6)で、検出数は65,942個(図1-3)でした。2013年は30,867個で、前年比較では倍増していますが、2014年5月以降は減少しました。これは金融機関や利用者のセキュリティ対策が進んだことで、攻撃者が別の手口に移行し、当該不正プログラムの流通が減少したことがひとつの要因と考えられます。ウイルスと不正プログラムについては、メールに添付されて送られてくるものが多数存在します。このため、メールの添付ファイルの開封には十分注意するとともに、身に覚えのないメールは開かずに削除することが有効な対策です。メール以外では、ウェブサイトにウイルスや不正プログラムを仕込み、閲覧者に感染させる手口が増加しています。ウイルス対策機能を有するセキュリティソフトを適切に使用することが重要です。※3検出数:届出としてIPAに寄せられた届出者の自組織等で発見・検出したウイルスおよび不正プログラムの数(個数)。(2)潜伏機能」、「(3)発病機能」のどの機能も持たない)もの。「コンピュータウイルス対策基準」:http://www.meti.go.jp/policy/netsecurity/CvirusCMG.htm※5W32/Mydoom:自身の複製をメールの添付ファイルとして拡散する、いわゆるマスメール型ウイルス。※6Bancos:インターネットバンキングのログイン情報を窃取する不正プログラム。届出件数2014年の届出件数は5,014件でした。そのうち被害があったと届出されたのは2件でした。下記グラフ(図1-1)は、IPAが受け付けた年別ごとの届出件数の推移を示したものです。図1-1で示すように、届出件数は2013年の6,596件から1,582件減少しました。2005年以降の減少傾向は、一般利用者へのセキュリティソフトの普及や、企業でのウイルスゲートウェイ導入など、ウイルスへの対策が進んだためと推測されます。ウイルス検出数(*7)2014年のウイルス検出数は83,028個と、2013年の195,550個から112,522個の減少となりました。2014年のウイルス別検出数推移は以下の通りです(図1-2)。2月にW32/Mydoomの検出数が急減し、その後横ばいが続いています。図1-2:ウイルス検出数の推移(2014年1月~12月)※7ウイルス検出数:届出られた「ウイルス」、「不正プログラム」のうち、「ウイルス」の総数を示したもの。不正プログラム検出数(*8)2014年の不正プログラムの検出数は380,625個と、2013年の233,341個から、147,284個(63.1%)の増加となりました。2014年の不正プログラム別検出数推移は以下の通りです(図1-3)。Bancosの検出数が5月に激減し、それ以降は低水準が続いています。(2014年1月~12月)※8不正プログラム検出数:届出られた「ウイルス」、「不正プログラム」のうち「不正プログラム」の総数を示したもの。ウイルス届出者構成及び検出経路2014年の届出者属性は、ほとんど法人が占めており、2013年と同様の傾向でした(表1-2)。表1-2:ウイルス届出者別件数2014年の検出経路は、2013年と比べてメールが111,712個減少しましたが、ダウンロードファイルが113,601個増加しました(表1-3)。理由として、組織や利用者のメールに関するセキュリティ対策が進んだことで、攻撃者の手口がダウンロードファイルへ移行したことがひとつの要因として考えられます。2014年総括2014年の年間届出件数は120件となり、2013年の届出件数168件から48件(約28%)減少しました。120件の年間届出のうち被害があった件数は102件で、全体の約85%を占めました。2014年の届出件数のうち、『侵入』の届出数は16件であり、2013年の98件と比較すると大きく減少しています。2013年はウェブサイト改ざんの届出が75件ありましたが、2014年はウェブサイト改ざんの届出は15件に留まりました。2014年はウェブサイト改ざん被害が収束傾向にあったと考えられ、これに連動して『侵入』の届出および年間の届出件数が減少しました。2014年はOpenSSLの脆弱性(*9)やbashの脆弱性(*10)などが指摘されました。サーバー管理者にとっては迅速な対応が求められました。一部では適切な対策が行えなかったために、これらの脆弱性を悪用されてしまう被害もありました。対象や影響の大きさから脆弱性の存在が広く知られたことで、対策が一斉に進められたと考えられます。結果として脆弱性の対策を行ったサーバーが増えたことが、ウェブサイト改ざん届出が減少した理由の1つと考えられます。一方で、2013年には届出のなかったパスワードリスト攻撃の届出が2014年は4件ありました。2014年も収束の兆しがなかったことから2014年9月にIPAから被害防止に向けた注意喚起(*11)を行いました。パスワードリスト攻撃と同様に継続的に発生しているのが、メールアカウントが不正使用され、スパムメール送信の踏み台とされてしまう被害です。2013年は27件の届出があり、2014年は20件の届出がありました。当該アカウントのパスワード変更により被害の再発を防げたことから、推測が容易なパスワードの利用、パスワードの使い回し、フィッシングサイトへの入力等が原因であったと考えられます。サーバーの脆弱性を解消していても被害を防ぐことはできません。適切なアカウント管理とリスクへの対策を実施することが推奨されます。“外部からメールサーバへ接続する際にはアカウント情報以外の認証情報を必要とする”など、不正ログインを早急に検知できるような機能追加を検討することが推奨されます。大量の通信が発生し、回線が輻輳(ふくそう)(*12)状態に陥った。調査を進めたところ、あるサーバー上で不正なスクリプトによる大量の通信が発生していることが確認できた。遭ったサーバー上に、OSインストール時に生成されるcgi(先頭に「#!/bin/sh」と記述されている)サンプルファイルが削除されていなかったことで、当該ファイルを通してbashの脆弱性を悪用されてしまった事例です。恒久的な対策が存在しない時点で脆弱性情報が公表された場合は、暫定的であっても被害に遭わないために回避策を行うことが望まれます。今回の事例のように、デフォルトで生成されるファイルや設定の初期値などをそのまま利用することは、攻撃者に不正アクセスに必要な一部の情報を提供していることと同じとも言えます。被害に遭わないためにも、変更が不可能な内容以外は、ファイル名や設定値などをそのまま利用することは避け、また利用しないファイルは削除する、利用しない設定であれば変更(削除、停止)するといった対策が必要です。要ファイアウォールのログ情報より、あるサーバーの送信バイト数が異常に多いという連絡を受けた。当該サーバーを調査したところ心当たりのないプログラムが実行されており、外部宛に意図しない大量のパケットを送出していたので、ネットワーク回線を遮断した。調査を進めたところ、rootアカウントに対してSSH接続で辞書攻撃を仕掛けられ、不正ログインされていたことが判明した。辞書攻撃が開始される前には、SSH接続を制限するフィルタリング設定がされていたが、システム移行の際に動作不良が発生したので事象解消のために解除していた。実行されていたのはプログラムのコードや挙動から、DDoS攻撃用のプログラムと推測された。策rootアカウントのパスワードを辞書攻撃で破られてしまったことで、サーバーに不正なプログラムを設置、実行されてしまった事例です。対策としては強固なパスワードを設定する他、rootアカウントでのログインを禁止する、ログイン試行の回数制限を設定するなどの対策もあります。今回の被害では推測が容易なパスワードを設定してしまっていたことが主因ではありますが、結果として外部から当該サーバーへのアクセスを許可してしまうこととなったフィルタリング設定の解除も原因の1つと言えます。フィルタリング設定を行っていた場合、システム構成の変更などにより機器のIPアドレスや通信の流れが変わると、本来許可すべき通信が制御されてしまい、システムが適切に機能しなくなることもあります。システム構成を変更する場合には同時にフィルタリング設定の見直しが必要となりますが、設定変更にあたっては変更後もシステム全体としてのセキュリティレベルが維持できるかをしっかりと確認する必要があります。仮にフィルタリング条件を緩和させなくてはならない場合には、設定変更に伴うリスクについても事前に十分に考慮、検討することが重要です。※12輻輳(ふくそう):物が集中して込み合う様態。ネットワークの分野においては、回線の帯域を逼迫する量のトラフィックが発生することで通信がしにくい、応答が遅くなるといった状況を意味する。※13cron(クーロン):ジョブを自動実行するためのプログラム。設定されたスケジュールに基づき、コマンドやシェルスクリプトを自動実行する。届出件数2014年の年間届出件数は120件となり、2013年の届出件数168件から48件(約28%)減少しました。下記グラフは、過去10年間にIPAセキュリティセンターが受け付けた届出件数の推移を示したものです(図2-2)。届出種別2014年は2013年と比較すると「侵入」の届出数の大幅減、また「DoS(サービス妨害)」および「不正プログラム埋込」の届出数の増加が目立ちました(図2-3)。それぞれの主だった被害内容は次の通りです。※14NTPがDDoS攻撃の踏み台として使用される問題http://jvn.jp/vu/JVNVU96176042/index.html※15chargen:接続すると任意の文字を送信する、試験やデバッグを目的としたプロトコル。TCP接続の場合、接続が閉じられるまで文字を送信し続ける。※16ビットコイン:2009年に誕生したインターネット上の仮想通貨。インターネット上のショッピングのみならず、ビットコイン決済に対応している現実の店舗でも利用が可能。※17マイニングプログラム:ビットコインは既存通貨との両替以外に、「miner」という専用ソフトでマイニング(採掘)することでも入手ができる。採掘には複雑な数学的計算が必要であるため、処理能力の高いコンピュータが必要となる。届出のうち実際に被害があった内容の分類です。のべ被害件数は前年から62件(約32%)減少しました(図2-4)。「ウェブサイト改ざん」の届出件数が60件減少しているのは、2014年のウェブサイト改ざん被害減少が要因と考えられます。不正アクセス届出者構成2014年は2013年と比較すると届出者別の内訳は「法人」からの届出件数が減少し、「個人」からの届出件数が増加しました(図2-5)。「法人」からの届出件数の減少は、2014年はウェブ改ざん被害が収束傾向にあったためと考えられます。「個人」からの届出件数28件のうち、21件は「なりすまし」であり、ウェブメールやオンラインゲームのアカウントへの不正ログイン被害に関する届出でした。実際に被害があった届出の原因の内訳は、「ID・パスワード管理の不備」が17件(17%)、「古いバージョン使用・パッチ未導入などが」11件(11%)、「設定不備」が10件(10%)、「不明」が35件(34%)でした(図2-6)。寄せられた相談件数は15,598件でした。2013年の15,227件から371件(約2.4%)増加しました(図3-1)。月毎の件数で見ると、毎月常に1,000件を越す相談が寄せられました(図3-2)。そのうちスマートフォンにおける『ワンクリック請求』に限ると790件(同393件)の相談があり、前年比でほぼ倍増しました。昨今のスマートフォン利用者の増加に伴い、ワンクリック請求の被害者も増加していると考えられます。(同147件)、『ランサムウェア』に関する相談が35件(同22件)、それぞれ寄せられました。談ウェブサイトを閲覧している最中に突然、「パソコン内のファイルを暗号化した」という日本語で書かれた警告画面が現れた。暗号化を解除してファイルを元に戻すためには、ビットコインという仮想通貨で15万円分の支払いが必要とのこと。ビットコインでの支払い方法が分からないし、そもそも15万円もの大金を支払うつもりはない。暗号化されてしまったファイルはもう元に戻せないのか。答ランサムウェアはパソコン内のファイルを暗号化し、ファイル復旧を条件に身代金(または罰金)の名目で金銭を要求します。身代金を支払ったとしてもファイルが元に戻る保証はなく、たとえウイルスを駆除できたとしても、暗号化されたファイルは元に戻りません。普段から重要なファイルは定期的にバックアップすることを勧めます。Playerなど、よく使用するプログラムを常に最新の状態にしてください。【解説】ランサムウェアというウイルスに感染してしまったケースです。今まではイギリス警察など海外の組織を騙ったランサムウェアの相談がほとんどでしたが、自然な日本語で書かれた警告文を伴うランサムウェアに関する相談がIPAに寄せられたのは今回が初めてです。今後、日本語ランサムウェアによる被害が増加する事が懸念されます。例クレジットカードの残高を確認するために、クレジットカード会社のサイトにパソコンからログインしようとしたら、カード番号と3桁のセキュリティコードを入力させる普段見慣れない画面が現れた。不審に思い、その時は何も入力しなかった。試しに別のカード会社のサイトにログインを試みると、同様にカード番号等を入力させる画面が出てきた。Windowsの「システムの復元」機能でパソコンの状態を3日前に戻したら、その見慣れない画面は出てこなくなった。これでもうパソコンはいつも通り使ってもいいのか。答そのカード番号等を入力させる画面は、パソコンのウイルス感染が原因で表示される偽の画面です。入力してしまうと第三者にカード情報が渡ってしまうため、そこで何も入力しなかったのは賢明な判断でした。偽の画面は「システムの復元」を実施後に出てこなくなったため、偽画面を表示させるウイルスは削除されたと考えられますが、別のウイルスが侵入している可能性があるため、パソコンを一度初期化する事を勧めます。【解説】2014年はインターネットバンキングの不正送金を狙ってウイルス感染を試みる手口が横行しました。この事例のように金銭窃取を目的にカード会社のウェブサイトも標的になっていますので、注意が必要です。例クレジットカードの残高を確認するために、クレジットカード会社のウェブサイトにパソコンからログインしようとしたら、電話番号の一部と生年月を入力させる普段見慣れない画面が現れた。不審に思い、その時は何も入力しなかった。ログインしようとする時に追加で情報を聞かれる画面は危険だと聞いた。自分のパソコンはウイルスに感染しているのか。当窓口(安心相談窓口)で確認した結果、ご連絡いただいた画面は、カード会社が提供する正規の画面で、問題のないことがわかりました。カード会社のウェブサイトに掲載されている情報によりますと、2014年10月、当該サイトのログイン方法が変更されたようです。今後も、ログイン時に不審に思った時には「これは大丈夫なのか」と一度立ち止まってみることは良いでしょう。ウェブサービスにおけるログイン画面仕様は頻繁に変わる事も珍しくないので、ログイン時に何か不審に思ったら、まず初めにサービス提供元の窓口に確認していただく事を勧めます。主なトピックにおける相談状況(i)『ワンクリック請求』に関する相談2014年は、パソコンとスマートフォンを合わせた『ワンクリック請求』に関する相談が3,301件寄せられ、2013年の3,287件とほぼ同数でした(14件、0.4%の増加)。『ワンクリック請求』に関する相談のうちスマートフォンにおける相談は790件で、2013年の393件からほぼ倍増しました(397件、約101%の増加)。昨今のスマートフォン利用者の増加に伴い、興味本位でアダルトサイトなどを閲覧した結果、ワンクリック請求の被害に遭ってしまう利用者が増加していると考えられます。今後一層のスマートフォン普及に伴い、ワンクリック請求に関する被害と相談が増加することが懸念されます。図3-3:『ワンクリック請求』、スマートフォンにおける『ワンクリック請求』の相談件数推移(ii)『ソフトウェア購入を促し、クレジットカード番号等を入力させる手口』に関する相談2014年は624件の相談が寄せられました。相談件数は2013年の889件から265件(約30%)減少しました。この手口は、“パソコンがウイルスに感染している”、“パソコンにエラーがある”、“ドライバーが古い”などパソコンに何か問題があるような警告画面を表示します。その問題解決のためと称してソフト購入を促し、クレジットカード番号等を入力させようとする、金銭目的の手口です。警告画面をパソコンに表示させるためには、何らかのプログラムがパソコンにインストールされていることが前提ですが、利用者にインストールさせる方法によって下記2タイプに大別されます。タイプ1パソコンの脆弱性を悪用して、利用者の知らぬ間にパソコンに入り込むタイプ(*18)。利用者から見ると、ウェブサイト閲覧中に突然ウイルススキャンが始まったように見えます。月替わりで新しい偽セキュリティソフトに関する相談が次々と寄せられる状況でしたが、2014年に入ると下火になり、同年後半には1件相談が寄せられただけでした(図3-5)。感染パソコン1台からより多額の窃取が見込めるため(*19)、それらのウイルスや不正プログラムを使った手口に移行したと考えられます。タイプ2脆弱性が原因のウイルス感染ではなく、パソコン利用者自らクリックしてパソコンにインストールしてしまうタイプ。インストールに至るまでには以下のようなケースが存在します。「パソコンが故障寸前」「ドライバーが古い」など、パソコン利用者を驚かせるような広告を表示して、パソコン利用者にその表示された不具合を解消するためと称した対策ソフトをダウンロード、インストールさせるよう誘導します。ソフトウェアのインストール中に出てくる注意書きをよく読まずに進んだ結果、一緒に別のプログラムもインストールしてしまうケース。タイプ2は年間を通じて相談が寄せられており、今後も被害と相談が継続すると推測されます(図3-5)。※18IPAではこのタイプ1を“偽セキュリティソフト”と呼んでいる。“偽セキュリティソフト”による請求額は1回1万円程度。それに対して“ランサムウェア”の請求額は3万円~30万円程度で、“Bancos”では最悪の場合、預金残高すべてが窃取される恐れがある。『インターネットバンキング』に関する相談は、2014年は158件寄せられました。2013年の147件から11件(約7.5%)増加しました。年間件数は横這いですが、四半期ごとの推移を見ると大きく変動しています(図3-6)。2012年後半には、パソコンにウイルスを感染させて、そのウイルスによって“乱数表”などの情報をすべて入力させる手口が出現しました。それに伴いIPAへの相談も2012年10月から増加しました(図3-6)。それ以後相談が絶える事がありませんでしたが、2014年7月以降相談が激減しました(図3-6)。その理由として、2014年7月に警察庁、総務省、JPCERT/CCなどが連携して「国際的なボットネットのテイクダウン大作戦」(*20)が決行された事が挙げられます。“Bancos”感染パソコンの利用者に対してプロバイダー等を通じてウイルス駆除を促すもので、この取り組みにより“Bancos”感染パソコンが減少し、相談も減少したと考えられます。その駆除について~国際的なボットネットのテイクダウン作戦~」に協力https://www.jpcert.or.jp/pr/2014/pr140002.html届出・相談の詳細については以下のPDFファイルをご参照ください。Reader(無償)が必要です。Readerのダウンロードページよりダウンロードできます。5010005007126)。