Internet Infrastructure Review（IIR）Vol.28
2015年8月31日

Anonymousなどの活動

脆弱性とその対応

この期間中では、Microsoft社のWindows（※3）（※4）（※5）（※6）（※7）、Internet Explorer（※8）（※9）（※10）、Office（※11）などで修正が行われました。Adobe社のAdobe Flash Playerでも修正が行われました。Oracle社のJava SEでも四半期ごとに行われている更新が提供され、多くの脆弱性が修正されました。なお、Java 7については、今回の修正を持ってサポート終了の予定となっていることから、Java8への移行が推奨されています。これらの脆弱性のいくつかは修正が行われる前に悪用が確認されています。

サーバアプリケーションでは、データベースサーバとして利用されているOracleを含むOracle社の複数の製品で四半期ごとに行われてる更新が提供され、多くの脆弱性が修正されました。CMSとして利用されるWordPressについても、複数のバージョンで任意のコード実行が可能なXSSの脆弱性が見つかり、修正されています。また、WordPressについてはプラグインでもXSSの脆弱性が見つかり、修正されています（※12）。同じくCMSとして利用されるMovable Typeでも入力値のチェックが不十分なことからリモートでコード実行が可能な脆弱性が見つかり、修正されています（※13）。

5月には米国のセキュリティ企業であるCrowdStrike社から、QEMUの仮想フロッピードライブコントローラにバッファオーバーフローの脆弱性（CVE-2015-3456）が発表され、修正されています。この脆弱性は、発見者によりVIRTUALIZED ENVIRONMENT NEGLECTED OPERATIONS MANIPULATION（VENOM）と名づけられましたが、クラウドサービスなどで利用されているXenやKVMなどの仮想化ソフトウェアにおいて、ゲスト側からホストへのDoS攻撃や任意のコード実行が可能だったことから影響範囲が広く話題となりました。

同じく5月には、TLSプロトコルのDH鍵交換に、中間者攻撃により暗号強度の低い暗号に格下げされることで、通信内容の盗聴や改ざんが可能となる脆弱性（CVE-2015-4000）が見つかり、修正されました。この脆弱性はLogjamと呼ばれ、多くのサーバやブラウザが影響を受ける可能性があることから、3月に公表されたSSL/TLSの実装における脆弱性であるFREAKと同様に話題となりました。

標的型攻撃によるマルウェア感染と情報漏えい

この期間では、組織内部の端末へのマルウェア感染とそれによる情報漏えいなどの事件が相次ぎました。6月には、日本年金機構でメールに添付されていたマルウェアに感染したことで、101万人分の個人情報が漏えいしました（※14）。この事件がきっかけとなって、その後、複数の企業や団体、病院や大学などで昨年9月より継続して同様の事件が起きていたことが分かり、公表されています。これらの事件では共通して、フリーメールなどを利用して発信元を詐称し、マルウェアが添付されたいわゆる標的型メールによって感染したとされており、感染した後に端末自身のファイルや共有サーバなどのファイルを外部に送信していたことなどが分かっています。

同じようにメールによるマルウェア感染としては複合機からのメールを装った事例も報告されています（※15）。また、これ以外 にも複数の地方公共団体で、組織内部の端末へのマルウェア感染とそれによる情報漏えいが発生しています。これらの事件では、改ざんされたWebサイトへのアクセスによるいわゆる水飲み場型攻撃により感染した可能性が指摘されています。

IPAから、5月にサイバー情報共有イニシアティブ（J-CSIP）（※16）の活動をまとめた、「サイバー情報共有イニシアティブ（J-CSIP）2014年度 活動レポート」が公表されましたが、この中では、31ヵ月にもわたり、同一の攻撃者によると考えられる攻撃が継続して観測されていることが報告されています。このように、新たな手口・手法の出現や、使われるマルウェアの高機能化などにより攻撃は多様化しており、アンチウイルスソフトの導入などといった単体の対策だけでは対応が困難な状況となっています。このような既存のセキュリティ対策で対処しきれない攻撃への対策については、例えば、IPAから2014年9月に公開された、「『高度標的型攻撃』対策に向けたシステム設計ガイド」（※17）などをにおいて検討されています。

不正アクセスなどによる情報漏えい

不正アクセスによる情報漏えいも引き続き発生しています。5月には米国の美容関連企業のWebサイトが不正アクセスを受け、クレジットカード情報などが漏えいする事件が発生しています。また、同じく米国の保険会社では、内部のデータベースへの不正アクセスを受け、110万人分の個人情報が漏えいする事件が発生しました。6月には、米国の内国歳入庁（IRS）から約10万人分の納税者に関する情報が漏えいする事件が発生しています。更に米国人事管理局が不正アクセスを受け、約400万人分の連邦政府職員の情報が漏えいする事件が発生しています。また、同じく6月には米国のパスワード管理サービスが不正アクセスを受け、認証情報の一部が漏えいした可能性があるとしてマスターパスワードの更新を呼びかける事件も発生しました。

日本でも、5月に、大手ISPが不正アクセスを受け、FTPアカウントなどが漏えいする事件が発生しています。4月には大学から内部資料がインターネット上に公開される事件も発生していますが、これはサーバ設定の不備により、公開されてしまったことが原因でした。6月には国立情報学研究所で利用していた動作検証用サーバへの不正アクセスが発生し、DDoS攻撃の踏み台として悪用される事件が発生していますが、こちらはパスワードを安易なものに設定したことによるものでした。株主向けサービスサイトから登録情報が漏えいした事件では、4月の公表時には、外部からの不正アクセスの可能性が疑われていましたが、5月に発表された最終報告では内部犯行だったことが公表されています。

政府機関の取り組み

政府機関のセキュリティ対策の動きとしては、5月にはサイバーセキュリティ戦略本部の第2回会合が行われ、サイバーセキュリティ施策の基本的な方針について定める、新たなサイバーセキュリティ戦略（案）について決定しています。この中では、2020年のオリンピック・パラリンピック東京大会の開催も踏まえ、今後3ヵ年程度のサイバーセキュリティ政策について、目的達成に向けた研究開発の推進や人材育成も含めた各施策の方向性が示されています。今後、パブリックコメントによる修正などを経て、閣議決定が行われる予定です。

4月には総務省のICTサービス安心・安全研究会の下で開催されている「個人情報・利用者情報等の取扱いに関するWG」で検討が進められていた、電気通信事業における個人情報保護に関するガイドライン及び解説の改正について、改正案がまとめられました。この改正案はパブリックコメントによる修正を経て6月に改正が行われました。主な改正内容としては、個人情報の適正な取得における具体例が追記されたり、通信履歴について、接続認証ログの保存期間などの目安が示されたり、犯罪捜査時の位置情報の取得について、要件の削除が行われるなどしています。

その他

4月には、国際刑事警察機構（ICPO）がシンガポールに設置したサイバー犯罪対策専門組織IGC（I INTERPOL Global Complex for Innovation）が本格稼働しています（※18）。これに先立ち、IGCIが統括し、各国の法執行機関や民間企業などが連携し、Simdaボットネットのテイクダウン作戦を実施しています。日本でも警視庁や総務省、Telecom-ISAC Japan、民間企業などが連携してVAWTRAKのテイクダウン作戦が実施されました。

5月には、オープンソースソフトウェアのライブラリサイトであるSourceForgeで、公開されていたソフトウェアインストーラに許可なくサードパーティー製のソフトをバンドルして配布したことが分かり、開発プロジェクトから抗議される（※19）と共に他の開発者やコミュニティから大規模な反発を受ける事態となりました。 SourceForgeでは否定的な反応が多かったとしてこの方針を撤回しています（※20）。

また、5月から6月にかけて複数の金融機関やオンラインショップなどに対し、脅迫を伴ったDDoS攻撃が発生しています。これらの攻撃では、脅迫の際にビットコインによる支払いを要求しており、拒否した場合には数百GbpsのDDoS攻撃を行う用意があることをほのめかしていたとされています。DDoS攻撃とビットコインによる支払いという点で、昨年から同様の攻撃を行っているDD4BCを名乗るグループが関与していると見られ（※21）、ヨーロッパや香港などの金融機関への攻撃事例もあることから今後も注意が必要です。

6月には、2014年12月に発生した出版社のWebサイトが不正アクセスを受け、別のWebサイトに誘導される事件に関連しているとして、未成年の少年が逮捕されています。この少年については7月に他人のクレジットカードを不正利用したとして再逮捕されています。

IP電話などの電話サービスが第三者に不正に利用され、高額な国際電話料金を請求される事例が多くなっているとして、総務省から注意喚起が行われました。その後、セキュリティ企業から特定のベンダー製品で、パスワードが初期設定のまま運用されていたり、インターネットからのアクセスを許可していたことにより被害が多く発生しているとの指摘が行われましたが、ベンダーは否定しています。この問題については7月になって、総務省より、電気通信事業におけるサイバー攻撃への適正な対処のあり方に関する研究会での議論を踏まえ、不正利用による被害を未然に防止し、被害の拡大を防ぐために、電気通信事業者関係団体に対し、利用者との間で国際電話サービスを提供する契約を締結している電気通信事業者等が適切な対応を講じるよう周知することへの協力要請が行われています（※22）。

SSL/TLSサーバでは、相次いで複数の脆弱性が明らかとなるなどしています。一方で最新の対策を行うことで古い機器からの接続ができなくなるなどの問題もあり、安全性と必要となる相互接続性とのトレードオフを考慮した設計や運用が求められています。これに答える形で、5月にIPAより、SSL/TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインである、「SSL/TLS暗号設定ガイドライン」が公表されています。