このところサイバー攻撃が官民区別なく次々と発覚しています。三菱重工業等の防衛関係企業、衆議院、外務省、海外の日本大使館、国土地理院…国の20の省庁などでサイバー攻撃を受けていたことことが、相次いで判明しました。

衆議院のサイバー攻撃問題では、2011年8月23日に管理サーバーに不正侵入の痕跡が残っていました。サーバー異常が発覚し、流出防止策が最初に講じられた8月29日までの1週間の間に、サーバーから情報が自由に盗み出されたそうです。盗み出されたパスワード情報については、議員・職員のほかに、管理権限者のものが含まれていて、その合計は2,676件にのぼっていたとのことです。この原因は、7月25日にある衆議院議員のもとに送られたメールでした。その添付ファイルを開いたことでPCがウイルス感染し、その後、衆議院の管理サーバーなどLAN全体に感染被害が拡大したものであることが分かっているようです。情報の流出はなかったという発表でしたが、同じような事例で、去年11月、経済産業省では20人の職員がメールに添付されたファイルを開いて、そのパソコンがウイルスに感染しました。

さらに世界に目を広げると、2010年にイランの軍事情報を狙った攻撃「Stuxnet」が記憶に新しいところですが、これはAPT(Advanced Persistent Threats)と呼ばれています。IPAではこの攻撃を「新しいタイプの攻撃」として注意を呼びかけています。

「Stuxnet」は、メールやUSBメモリなどの外部メディア経由でWindowsパソコンに感染した後、原子力発電所の制御システムへ侵入して、独シーメンス社のPLC（プログラマブルロジックコントローラ）向けソフト「WinCC/Step7」の脆弱性を狙ってPLCに悪質なコードを書き込むことで、原子力発電所の制御システムに悪影響を及ぼすよう仕組まれていました。発電所の制御システムを狙うことで電力供給をストップ、社会生活をマヒさせるという攻撃でした。従来サイバー攻撃といえば、情報システムに焦点を絞った攻撃だけでしたが、情報システムだけでなく制御システム、つまり社会インフラに対する攻撃の出現により、鉄道や飛行機、信号機などの交通網システム、ガス、水道などの生活インフラが狙われることになり、社会全体が混乱し経済活動がストップするという危険にさらされることになります。

また一方で、制御システムを狙った「Stuxnet」以外で、同様のスタイルですが「情報システム」を狙ったサイバー攻撃が報告されています。具体的には、Googleなどの特定企業だけを狙った「オーロラ攻撃」や、石油および天然ガスの企業幹部だけを狙った標的型のサイバー攻撃などがそうだ。これらのサイバー攻撃は、石油の埋蔵場所を特定するような極秘データや企業にとって重要な知的財産を盗み出そうとしており、スパイ活動に近いものです。

さらにまた、2011年春ごろから、「SpyEye」と呼ばれるウイルスに感染したパソコンの増加が報告されています。「SpyEye」とは、感染したクライアントPCから銀行の口座情報やクレジットカード情報を盗み出すウイルス。このウイルスは、インターネットバンキングに関連する情報を盗み出す以外、バックドア機能やキーロガーなど様々な機能がインストールされていて非常に危険なウイルスとして知られています。

このウイルスの攻撃方法は、脆弱性悪用です。調査統計的に最も感染例が多かったのは、WindowsXP・SP2搭載パソコンとのことです。WindowsXP・SP2は、2010年7月13日に既にサポートが終了しています。WindowsXP・SP2そのものの脆弱性からという報告はないようですが、このようなサポート切れのOSを利用しているパソコン・クライアントは、パソコンやソフトに関する危機管理意識が薄いため、インストールしているその他のアプリケーションにも脆弱性を放置したままになしていることが多く、これが狙われてウイルス感染した事例が多かったようです。

調査結果では、最新のWindows7にも「SpyEye」ウイルスが感染していることが確認されていますので、やはり、パソコンにインストールされたAdobe製品やJava製品などのアップデート未済・脆弱性放置を悪用されて感染しているようです。

これらのサイバー攻撃には、次のような共通点があるといわれています。
　・脆弱性を悪用している。
　・複数の既存攻撃を組み合わせている。
　・ソーシャルエンジニアリングにより特定企業や個人、社会インフラまでも狙う。
　・対応が難しく執拗な攻撃を繰り返す。

ウイルスを仕込んだ「標的型メール」は、無関係な第三者のパソコンなどを経由して送信されることが多く、送信元が発信源ではないことがほとんどです。またネット上の接続経路を隠す匿名化ソフトなどが使われていて、経路をさかのぼること自体も難しくなっています。警視庁公安部の国際テロ関連情報がインターネット上に流出した事件でも、１年以上かけてもネット上の流出元を特定できていない状況です。これらのことが、犯人特定・再発防止・撲滅を困難にしているようです。

企業および個人が扱うデータ量は増え続けています。その使用する端末はPC、スマートフォン、タブレットと多様化し、データの保存先も端末パソコンや社内のファイルサーバだけでなく、クラウド上など社外に置く機会も多くなっていて、この傾向も類を見ないスピードで増加・多様化の一途をたどっています。

シンプルかつ時間や場所を問わずにビジネス遂行できる効率性・利便性が求められ先走りしているように感じる今、セキュリティというものを見直さなければならない時期かもしれません。経由パソコンが利用されることからも、それは、システム・機械的な面だけでなく人的な教育・危機管理意識の高揚の部分が大きいのかもしれません。