一正)は、2011年12月および2011年年間のコンピュータウイルス・不正アクセスの届出状況をまとめました。」2011年は重大な情報セキュリティ事件が相次いで発生した年でした。9月に発生した重工業企業の情報流出や、10月に発生した衆議院・参議院を標的としたサイバー攻撃は記憶に新しいところです。その他にも以下の事例がありました。震災情報を装ったウイルスメールの出現(3月~4月)ゲーム会社の運営するネットワークサービスからの大規模な情報漏えい(4月)相次ぐウェブサイト改ざん今やITを利用する全ての人々にとって、インターネット上の事件は他人事ではなく、セキュリティ対策は全利用者にとって必須のものとなっています。今月の呼びかけでは、2011年に目立った「標的型攻撃※2」「インターネットサービスの不正利用」の2点について振り返り、解説するとともに対策を示します。標的型攻撃:特定の組織や個人を標的として、重要情報や知的財産などを不正に取得することを目的に行われるサイバー攻撃。企業・組織をとりまく近年のサイバー攻撃では、攻撃者の動機の変化と、攻撃に使われる手口の巧妙化が特徴的です(図1-1参照)。妨害」に変化しています。)を狙っており、これを窃取し、最終的に金銭化することが目的です。従って、情報の流出が発生した場合、何らかの形で悪用される可能性が高く、組織活動に大きな被害を及ぼします。図1-1:近年のサイバー攻撃の特徴サイバー攻撃の中でも2011年は特に攻撃の対象とする組織や個人を絞った「標的型攻撃」の多さが目立ちました。経済産業省が実施したアンケート調査※3によると、「標的型攻撃」を受けた経験のある企業は、2007年には5.4%でしたが、2011年には33%に増加しています。標的型攻撃には様々な手法がありますが、攻撃対象ごとに作成したウイルスメールを送る「標的型攻撃メール」が主流です。無作為にばら撒かれているウイルスメールとは異なり、本物らしい差出人やメール本文、ウイルス対策ソフトで検出されにくいウイルスを使うなどの特徴があります。標的型攻撃メールの添付ファイルを開いたり、メール本文に記載されているURLをクリックしたりすることで、パソコンがウイルスに感染します。その結果、パソコン内のファイルを外部に送信されて情報が漏えいしたり、パソコンを外部から乗っ取られて組織内のサーバーに不正アクセスされる、などの被害が発生します。パソコンにウイルスを感染させる手口として、以下の実例があります。Player、JRE、ウェブブラウザなど、データファイルを開いたり、ウェブサイトを参照したりするのに利用されるアプリケーションに存在する脆弱(ぜいじゃく)性が悪用されて、添付ファイルを開いた際にパソコンがウイルス感染。Override)※4の手口により添付ファイルの拡張子が偽装されていて、添付ファイルを文書ファイルと思いクリックしてしまった結果、パソコンがウイルス感染。Override):特殊な制御文字を使用して、ファイル名の文字の並びを「左→右」から「右→左」に変更する機能。●標的型攻撃メールでは、細工したPDFファイルなど、パソコン内のソフトウェアの脆弱性を悪用し、ウイルスに感染させようとする手口が使われます。ウイルス対策ソフトを利用するとともに、IPAが公開している「MyJVNバージョンチェッカ」などを活用しOSやアプリケーションを常に最新のものに保ち、脆弱性を解消するよう努めてください。(ご参考)「MyJVNバージョンチェッカ」(パソコン内のソフトウェアをチェックするツール)http://jvndb.jvn.jp/apis/myjvn/#VCCHECK●「標的型攻撃のメールを見抜き、開かない」、「不審なメールを受信したら組織内で周知する」といった人による対策も重要です。組織内の全ての人に標的型攻撃メールが届く可能性がありますので、全利用者において、脅威の理解と注意が必要です。不審なメールを受信した時、組織としてどのように対応するのか(注意の周知手順など)のルールを確立してください。(ご参考)「実例から分かる標的型攻撃メールの『違和感に気付くポイント』と『違和感に気付いた後の対策ポイント』」http://www.ipa.go.jp/security/vuln/report/newthreat201006.html「情報窃取を目的として特定の組織に送られる不審なメール『標的型攻撃メール』」http://www.ipa.go.jp/security/virus/fushin110.html(b)経営層、システム管理部門、システム管理者向け“罠(わな)のメールを見抜く”ための訓練・対策である、JPCERT/CC(一般社団法人JPCERTコーディネーションセンター)による「ITセキュリティ予防接種」※5の実施結果と、効果的な実践方法に関する調査結果が公開されています。こちらも併せて参考にしてください。※5「ITセキュリティ予防接種」:職員のセキュリティ意識向上などを目的として、組織に対して擬似的に標的型攻撃を行うこと。職員に標的型攻撃メールを配送した後は、最後に種明かしをして不安を払拭するとともに、調査結果をフィードバックし職員の啓発を行うことが通常。2009年度」(JPCERT/CC)http://www.jpcert.or.jp/research/#inoculation(c)標的型メールに関する相談先IPAでは、標的型攻撃が多発している深刻な事態を受け、早期の攻撃情報の収集・分析・共有を図り、予防・対処方法などの情報を提供するための特別相談窓口を設置しております。標的型攻撃メールと思われるメールを受信した場合には下記連絡先までご連絡ください。03-5978-7518(2)インターネットサービスの不正利用(i)不正利用の現状2011年に発生した不正利用の事例を以下に挙げます。大手インターネットサービスプロバイダーでの、第三者のなりすましによる、商品に交換できるポイントの盗難(5月、100件以上・総額10万円相当の被害)かまぼこ販売サイトのシステム管理会社から、顧客のクレジットカード情報が流出(5月、約200件・約200万円の被害)日本国内の大手・地方銀行のインターネットバンキングにおける相次ぐ不正利用(累計約3億円の被害)科学雑誌出版社のウェブサイトへの不正アクセスに起因した、個人情報・カード情報の漏えいと不正利用(8月、10数件のクレジットカード不正利用)大手インターネットショッピングサービスにおける大規模な不正利用事件(11月、約4,000件の被害)このように2011年は多くの不正利用が発生しています。情報が漏えいしたか否かが不明である不正アクセスの被害も含めると、その件数はさらに多くなり、また、一度に漏えいした情報量や、被害を受けた顧客数の多さも目立ちます。(ii)不正利用の原因インターネットサービスを不正利用される原因として、以下の(a)、(b)、(c)の手口でIDとパスワードを窃取されることが挙げられます。(a)メールの添付ファイルやUSBメモリを介してウイルスに感染IDとパスワードを窃取するウイルスを添付したメールを送りつけ、その添付ファイルを開かせることで、利用者のパソコンにウイルスを感染させます。USBメモリなどの外部記憶媒体も、ウイルスの感染経路の1つとしてよく使われます。(b)ウェブサイトの閲覧を介してウイルスに感染この数年で、ウェブサイトの閲覧でパソコンにウイルスを感染させる手口の主流となった攻撃手法に“ドライブ・バイ・ダウンロード”が挙げられます。これは、ウェブサイトを閲覧した際に、パソコン利用者の意図に関わらず、ウイルスなどの不正プログラムをパソコンにダウンロードさせる攻撃で、主に利用者のパソコンのOSやアプリケーションなどの脆弱性が悪用されます。この手口でIDとパスワードを窃取するウイルスをパソコンに感染させられると、利用者の知らない間にIDとパスワードが奪われてしまいます。“ドライブ・バイ・ダウンロード”攻撃を行うウェブサイトへの誘導方法としては、メールをはじめ、mixi、FacebookなどのSNS(ソーシャルネットワーキングサービス)や、Twitterなどのマイクロブログサービスにおいて、本文やコメントに書かれているURLを言葉巧みにだましてクリックさせる手法が使われます。(c)フィッシング詐欺インターネットショッピングサービスや銀行をかたったメールから偽のウェブサイトに誘導され、そこでID/パスワードを入力してしまい、窃取される場合です。誘導するメールの内容も、ソーシャルエンジニアリング※6を使った言葉巧みなものになっています。最近では既知のフィッシング詐欺の手口に、ウイルスを組み合わせた新しい攻撃手法も出現しており、注意が必要です。engineering):人間心理や社会の盲点を突いて、秘密情報(パスワードなど)を入手する方法。通常一つのインターネットサービスに対しては、一つのIDとパスワードを登録・管理しますが、この際に覚えきれないといった理由から、複数のサービスで同じIDとパスワードを登録する“使い回し”を行ってしまう場合があります。IDとパスワードを使い回してしまうと、そのうちの一つのインターネットサービスでIDとパスワード情報が漏えいしただけで、他のインターネットサービスも連鎖的に不正利用され、被害が拡大する恐れがあります(図1-2参照)。図1-2:IDとパスワードを使い回す危険性(iv)対策(a)IDとパスワードの適切な管理IDとパスワードの使い回しをすることで、“なりすまし”の被害が拡大する可能性があります。“なりすまし”の被害に遭わないよう、IDとパスワードを扱う上での基本的な対策を、次の三つの点を通じて実施してください。)全てを組み合わせ、8文字以上のパスワードとする。辞書に載っているような単語や人名を避ける。パスワードを適切に保管...IDとパスワードを紙などにメモする場合は、それぞれを別の紙にメモするなどして保管する。パスワードの適切な利用...自分が管理していないパソコン(例えばネットカフェなどの不特定多数が利用するパソコン)では、インターネットサービスにログインしない。上述の“なりすまし”対策を実施していても、セキュリティ対策の基本であるウイルス対策ソフトの導入は必須です。オンラインサービスへログインする時に利用者が入力したIDやパスワードを盗み取るウイルス(キーロガー)が確認されています。このようなウイルスに感染して情報を盗まれないために、ウイルス対策ソフトを導入し、ウイルス定義ファイルを最新に保つようにしてください。(c)ログインアラート機能の利用オンラインサービスによっては、ログインしたタイミングでそれをメールで通知する機能(ログインアラート機能)を提供している場合があります。身に覚えのないログインアラートメールが届いた場合は、即座にアカウントをロックすることにより、被害を最小限に留めることができます。『企業は情報が狙われ、個人は金銭が狙われる』傾向がより強まると思われます。金銭が絡むサービスは全て脅威にさらされると言っても過言ではないでしょう。(i)対象のボーダーレス化2011年は特定の業界や政府関係機関が、標的型攻撃の主な攻撃対象となっていました。その傾向は続きますが、さらに2012年はあらゆる業種の企業にとって標的型攻撃が大きな脅威になると思われます。一例として、ある企業の秘密情報の入手を企てる者が、その社員のSNSのページから友人を割り出して、まずはその友人のパソコンを標的に攻撃してウイルス感染させることで、最終的に目的の企業の秘密情報を入手する、といったシナリオが考えられます。したシナリオは以前からありますが、昨今のSNS利用の広がりによって、第三者が他人の交友関係を把握することが容易になっており、言わば「踏み台」として利用するためにあらゆる企業や個人が狙われることが考えられます。(ご参考)「『新しいタイプの攻撃』の対策に向けた設計・運用ガイド」http://www.ipa.go.jp/security/vuln/newattack.html(ii)今まで狙われなかった無料サービスも狙われるパスワードの使い回しをしている人を狙って、今後は金銭と関係無いサービスも攻撃対象となるケースが増加する可能性があります。有料サービスでも同じIDとパスワードを使い回していた場合、結果的に金銭的被害に遭う可能性が高くなります。有料・無料に関係無く安易なパスワードは避け、さらにパスワードは使い回さないようにしてください。行っているインターネット定点観測について、詳細な解説を行っています。ウイルス届出状況12月のウイルスの検出数※1は、13,259個と、11月の20,585個から35.6%の減少となりました。12月の届出件数※2は、764件となり、11月の1,115件から31.5%の減少となりました。同じ届出者から寄せられた届出の内、同一発見日で同一種類のウイルスの検出が複数ある場合は、1日何個検出されても届出1件としてカウントしたもの。・12月は、寄せられたウイルス検出数13,259個を集約した結果、764件の届出件数となっています。検出数の1位は、W32/Netskyで6,425個、2位はW32/Mydoomで4,666個、3位はW32/Downadで674個でした。不正プログラムの検知状況12月は、特に目立った動きはありませんでした。9月に大幅に増加したRLTRAPは、12月前半に1日だけ多く検知された日がありました(図2-3参照)。ここでいう「不正プログラムの検知状況」とは、IPAに届出られたものの中から「コンピュータウイルス対策基準」におけるウイルスの定義に当てはまらない不正なプログラムについて集計したものです。第952号)(最終改定)(平成13年1月6日より、通商産業省は経済産業省に移行しました。29(1)不正アクセス届出状況12月の届出件数は7件であり、それら全てが被害のあったものでした。不正アクセスに関連した相談件数は42件であり、そのうち何らかの被害のあった件数は13件でした。被害届出の内訳は、侵入4件、不正プログラム埋め込み3件、でした。「侵入」の被害は、ウェブページが改ざんされていたものが1件、SQLインジェクション攻撃を受けてデータを削除されたものが1件、他サイト攻撃の踏み台として悪用されたものが2件、でした。侵入の原因は、脆弱なパスワード設定が2件、OSやウェブアプリケーションの脆弱性を突かれたものが2件、でした。例レンタルサーバー運営会社からウェブサイト改ざんに対する注意喚起があり、念のため全コンテンツを精査したところ、改ざんの形跡を発見。自動的に外部サイトにリダイレクトされるようになっていた。System)に脆弱性があり、それを悪用されてウェブコンテンツを改ざんされた。インターネット越しにサーバーを管理できるようにする場合、悪意ある者に狙われて悪用されるかも知れない、ということを念頭に置いた対策が必要です。有名なツールであれば、特に狙われやすいと言えます。Firewall)を導入してサイト全体のセキュリティを強化することも有効です。2011年後半から、レンタルサーバーの利用者から、CMSの脆弱性を悪用されてウェブサイトを改ざんされる被害の届出と相談が増えています。セキュリティ対策をレンタルサーバー業者に一任するのではなく、提供サービスや使用ツールを自社で把握し、それぞれについて脆弱性を解消するよう努めてください。学内設置の公開用ウェブサーバーから、海外に不審なパケットが断続的に送信されていることを発見した。該当サーバーを調査したところ、普段動作させていないサービスが動作しており、その実行ファイルが別のものに差し替えられていた。Service」サービスの実行ファイルである「Odserv.exe」の中身が、Telnetサービスの実行ファイル(Tlntsvr.exe)に差し替えられていた。その結果、サーバー上でTelnetサービスが稼働し、外部からの接続を受け付けていたものと思われる。差し替えられたファイルは、そのプロパティから、中国語版Windowsに含まれているTlntsvr.exeと推測される。差し替えられた原因と経緯は今のところ不明。該当サーバーは初期化した。サーバーに埋め込まれていたプログラムが何だったのか明らかにされた貴重な例です。それ以外にも別の不正プログラムを埋め込まれている可能性も否定できないため、やはりサーバーの初期化が必要です。当該サーバーを経由して、学内の他のサーバーにも侵入されている恐れがあるので、学内サーバーの総点検を勧めます。-ウェブサイト運営者のための脆弱性対応ガイドhttp://www.ipa.go.jp/security/fy19/reports/vuln_handling/4.相談受付状況12月のウイルス・不正アクセス関連相談総件数は1,312件でした。関連する相談が7件(11月:35件)、「情報詐取を目的として特定の組織に送られる不審なメール」に関する相談が6件(11月:1件)、などでした。関連、その他情報セキュリティ全般についての相談を受け付けています。計』件数を内数として含みます。主な相談事例は以下の通りです。(i)Facebookに、自分になりすましたと思われるアカウントを見つけた相談インターネットの検索サイトで自分の名前を入力して検索すると、自分では登録した覚えのないFacebookアカウントのページが表示された。私になりすました、偽のアカウントと思われる。削除を要請したいが、どうしたらいいか分からない。回答Facebookは、世界中で利用されているSNS(ソーシャルネットワーキングサービス)の一つです。多くの著名人も登録しており、本人になりすました偽物が存在するといったことも問題になっています。Facebookでは、他人になりすましてアカウントを作成することは規約違反にあたります。自分の写真が使われているなど、明らかに自分になりすましていると思われるアカウントを発見した場合、以下のFacebookヘルプセンターのページの、「偽アカウントを報告するにはどうすればよいですか」の手順に従い、早急に通報することをお勧めします。(ご参考)違反の報告(Facebookヘルプセンター)http://ja-jp.facebook.com/help/?page=204546626249212(ii)いつも使っているオンラインショッピングサイトから、心当たりのない商品の購入通知メールが送られてきた相談いつも使っているオンラインショッピングサイトから、心当たりのない商品の購入通知メールが送られてきた。サイト側に確認したところ、不正アクセスの疑いがあるということで、クレジットカードによる代金の引き落としはキャンセルしてもらえた。クレジットカード番号は変更した。パスワードを単純なものにしていたのがいけなかったと思う。当該サイト以外のサービスでも同じパスワードを使い回しているのだが、危険か。回答パスワードが単純だったために簡単に破られ、第三者から当該アカウントに不正アクセスされて勝手に商品購入の手続きを行われてしまったものと思われます。早急に当該サイトのパスワードをできるだけ複雑なものに変更することはもちろん、連鎖的に不正アクセスの被害が拡大することを防ぐため、同じパスワードを使い回している全てのサービスについて複雑かつ異なるパスワードに変更してください。」http://www.ipa.go.jp/security/txt/2011/12outline.html5.インターネット定点観測での12月のアクセス状況インターネット定点観測(TALOT2)によると、2011年12月の期待しない(一方的な)アクセスの総数は10観測点で81,017件、延べ発信元数※は30,870箇所ありました。平均すると、1観測点につき1日あたり144の発信元から324件のアクセスがあったことになります(図5-1参照)。※延べ発信元数:TALOT2の各観測点にアクセスしてきた発信元を単純に足した数のことを、便宜上、延べ発信元数とする。同一発信元から同一の観測日・観測点・ポートに複数アクセスがあった場合は、発信元数を1としてカウントする。おける各観測点の環境は、インターネットを利用される一般的な接続環境と同一なので、インターネットを利用される皆さんの環境へも同じくらいの一方的なアクセスがあると考えられます。※12月26日~31日は保守作業のため、システムを停止しています。そのため、12月の観測データは、この6日を除外して統計情報を作成しています。通常は常時稼動しています。上記グラフは2011年7月~2011年12月までの各月の1観測点・1日あたりの平均アクセス数とそれらのアクセスの平均発信元数を示しています。12月の期待しない(一方的な)アクセスは、11月と比べて増加しました。11月と12月の宛先(ポート種類)別アクセス数の比較を図5-2に示します。これを見ると、11月は少なかった24529/tcpや8612/tcpへのアクセスが、12月は増加していました。24529/udp、および8612/udpについては、特定のアプリケーションで使用されるポートというわけではなく、このアクセスが何を目的としたものだったかは不明ですが、ともに特定の1観測点のみで観測されていました。図5-2:宛先(ポート種類)別アクセス数の比較(11月/12月)以上の情報に関して、詳細はこちらのPDFファイルをご参照ください。ファイルをご参照ください。本紙_コンピュータウイルス・不正アクセスの届出状況[12月分]別紙1_コンピュータウイルスの届出状況について[詳細]別紙2_コンピュータ不正アクセスの届出状況について[詳細]2011年年間のコンピュータウイルス・不正アクセス届出状況2011年コンピュータウイルスの届出状況について2011年コンピュータ不正アクセスの届出状況について『他機関・ベンダーの各種統計情報は以下のサイトで公開されています。5010005007126)。