Internet Infrastructure Review（IIR）Vol.27
2015年5月27日発行

Anonymousなどの活動

脆弱性とその対応

この期間中では、Microsoft社のWindows（※5）（※6）（※7）、Internet Explorer（※8）（※9）などで修正が行われました。Adobe社のAdobe Flash Playerでも修正が行われました。Oracle社のJavaSEでも四半期ごとに行われている更新が提供され、多くの脆弱性が修正されました。これらの脆弱性のいくつかは修正が行われる前に悪用が確認されています。

サーバアプリケーションでは、データベースサーバとして利用されているOracleを含むOracle社の複数の製品で四半期ごとに行われている更新が提供され、多くの脆弱性が修正されました。DNSソフトウェアのBIND9ではDNSSECのトラストアンカーの管理において不具合があり、特定の条件下でサーバの異常動作やサービスの停止が可能となる脆弱性が修正されています。時刻同期に利用されているntpdについても、細工を施したパケットにより、ACLによる制限の回避や異常終了などの可能性のある脆弱性が複数修正されました。Linuxディストリビューションなどに含まれるThe GNU C Library（glibc）ではバッファオーバーフローによりアプリケーションの異常終了などの可能性がある脆弱性が修正されています。SSL/TLSの実装にも、1990年代に行われていた米国の暗号輸出規制で使われていた512ビット以下の弱いRSA鍵を受け入れる実装があり、これを悪用した中間者攻撃により暗号化された情報を復号される可能性のある脆弱性などが公表され、OpenSSLで修正が行われています（※10）。

Google社のProject Zeroからは、DRAMの高密度化によるメモリアクセス時のメモリセル間の干渉によって発生するエラーの問題（Row Hammer問題）を利用し、権限昇格が可能なことが発表され、話題となりました。シスコ社のIOSについても、半年ごとの定例アップデートが提供され、DoS攻撃を誘発したりメモリリークを引き起こしたりする恐れのある複数の脆弱性が修正されています。

ホームルータへの攻撃

この期間では、複数のホームルータに脆弱性が見つかり、修正されています。このうちいくつかの脆弱性については、第三者がルータの管理権限を不正に取得することが可能であったり、設定を任意に変更できる可能性のある脆弱性でした。また、DrDoS攻撃（※11）の踏み台として悪用される可能性のある脆弱性も見つかり修正されています。脆弱性を悪用したホームルータに対する攻撃については、2011年にブラジルなどで発生した、ルータのDNS設定を書き換えて攻撃者が用意したDNSサーバを参照させることで偽サイトへの誘導が行われた事件などがあります（※12）。また、同様の攻撃は継続して発生しており、例えば、3月にもWebアクセス解析サービスのURLを悪用した広告配信を行っていた事件が報告されています（※13）。国内でも、2014年に不正アクセスに利用されていたプロキシサーバを運用していたとして逮捕された事業者の事件では、2012年に修正が行われていたホームルータの脆弱性を悪用して、設定されていたPPPoEの認証IDやパスワードを不正に取得していたとされています。

ホームルータについては、更新が定期的に行われるPCなどとは異なり、一度設定を行ってしまえば、ユーザがその後設定の確認やファームウェアの更新などを怠りがちです。このため、脆弱性の修正が行われていても長期間にわたりその脆弱性が放置されてしまうことがあります。このような、管理が不十分なホームルータなどのネットワーク機器を狙った攻撃については今後も継続して発生すると考えられることから、定期的に設定の確認やファームウェアの更新が提供されていないかチェックするなどの適切な管理を行うことが必要です。

なりすましによる不正ログイン

この期間でも、昨年から多数発生しているユーザのIDとパスワードを狙った試みと、取得したIDとパスワードのリストを使用したと考えられる不正ログインの試みが継続して発生しています。ポイントサービスのサイトや、新聞社の関連サイト、ISPのサポートサイトなど様々なWebサイトが攻撃対象となっています。このうち、いくつかの事件ではWebサイト上のポイントを不正に交換されるなどの金銭的な被害も発生しています。

不正アクセスによる情報漏えい

不正アクセスによる情報漏えいも引き続き発生しています。1月には日本のプロスポーツ協会のWebサイトが不正アクセスを受け、内部の写真データ約2万点が流出する事件が発生しました。2月には米国の医療保険会社が、内部のデータベースに不正アクセスを受け、既存及び過去の顧客と従業員合わせて最大約8,000万人分の情報が漏えいする事件が発生しています。3月にはICANN（Internet Corporation for Assigned Names and Numbers）が、再び不正アクセスを受け、新gTLDのシステムが停止する事件が発生しました。更に、2月には国内のドメインレジストラへの不正アクセス事件が発生し、ドメイン登録の際に登録した管理者情報が漏えいするなどの被害が発生しました。この事件では、被害を受けた企業では早期のサービス再開が難しいとしてサービス再開を行わず、他業者への移管を実施することを発表しています（※14）。また、この期間では、国内の商社や新聞社など複数の企業で、マルウェア感染とそれによる情報漏えい事件が発生しました。これらの事件では、発信元を詐称してマルウェアが添付された、なりすましメールによって感染したPCなどの端末から、取引先の情報やメールの内容などが外部に送信されていた痕跡があったことなどが発表されています。

政府機関の取り組み

政府機関のセキュリティ対策の動きとしては、昨年成立したサイバーセキュリティ基本法が1月に施行され、サイバーセキュリティ戦略本部が設置されました。併せて、内閣官房情報セキュリティセンターが改組し、内閣サイバーセキュリティセンターとして発足しました。更に、2月にはサイバーセキュリティ戦略本部の第1回会合が行われ、今後の活動内容についての確認とサイバーセキュリティ施策の基本的な方針について定める新たなサイバーセキュリティ戦略についての議論が行われています。3月には個人情報の保護を図りつつ、パーソナルデータの利活用の促進による新産業・サービスの創出と国民の安全・安心の向上の実現を図る、改正個人情報保護法案が閣議決定されています。この中では、個人情報の保護及び有用性の確保に資するため、個人情報の定義の明確化や個人情報の復元ができないように加工した匿名加工情報の取り扱いについての規律を定めることや個人情報の取り扱いの監視監督権限を有する第三者機関として個人情報保護委員会を新設することなどが定められています。また、情報漏えい事件を受け、個人情報が記録されているデータベースから情報を不正に提供・盗用する行為について、個人情報データベース提供罪が創設されるなどの罰則の強化も図られています。なお、この閣議決定では特定個人情報（マイナンバーを含む情報）の利用の推進に係る制度も改正されており、マイナンバーの金融・医療などの分野における利用範囲の拡充が図られることになっています。

PCにプリインストールされたソフトウェアの問題

この期間では、Lenovo社のPCにプリインストールされていたソフトウェアの問題が話題となりました。2014年9月から2015年1月に停止されるまでの間に出荷されたPCにインストールされていたこのソフトウェアは、ユーザのブラウザ表示に広告を挿入して表示させる機能を持ったいわゆるアドウェアであり、特に自己署名証明書をローカルの証明書ストアにインストールすることで暗号化されたSSL/TLS通信にも割り込んで広告表示を行っていたことから問題となりました。更に、このインストールされた証明書の強度が十分でない暗号化方式だったことや、インストールされた証明書の秘密鍵がソフトウェア内に含まれており、秘密鍵が明らかとなってしまうなど、複数の問題があったことが指摘されています。この問題については、実際にはこのソフトウェアが利用していたSDKの問題であったことから、同じSDKを利用している複数のソフトウェアでも同じ問題があることが判明し注意喚起が行われています（※15）。Lenovo社では公表すると共にソフトウェアの除去のためツールを提供するなどの対応を行っており、セキュリティベンダーなどとも共同で対処したことから、問題のあるPCは減少していることが報告されています（※16）。しかしながら、このようなユーザの通信を傍受するような取り組みはユーザのプライバシーやセキュリティを危険にするとの指摘が米国の非営利組織などからされています（※17）。

その他

1月にはカナダや米国のニュースサイトで利用していた広告配信基盤を経由してマルウェアが配布される事件が複数発生しました。この攻撃については2014年10月に発生したYouTubeを経由した偽広告によるマルウェアへ誘導する攻撃（※18）と類似点が指摘されています。このような広告配信の仕組みを使った攻撃はMalvertisingとも呼ばれ、国内でも2010年に複数の報道機関やニュースサイトで利用されていた広告配信サーバが不正アクセスによって改ざんされる事件がありましたが（※19）、その後も継続して確認されています。更に、改ざんだけでなく正規の広告枠を利用した不正なソフトウェアへの誘導も頻発しており、大量のマルウェア感染を可能にする効率的な手法として認識されています。このような広告配信の仕組みを悪用した攻撃は今後も継続して発生すると考えられることから引き続き注意が必要です。

サイバー攻撃への対応能力の強化に向けた取り組みの1つとして官民や民間企業同士の情報共有の必要性が言われています。しかし、異なる組織や企業の間での攻撃などの脅威情報の共有では、どのような情報が必要でどれを共有すべきかなど、情報の取り扱いが明確に決まっていないことから情報共有しにくいといった問題が指摘されていました。米国の非営利組織であるMITRE Corporation（MITRE）（※20）が中心となって仕様策定を進めている、攻撃などの脅威情報を構造化し、サイバー攻撃の分析、特徴となる事象の特定、サイバー攻撃対応の管理、サイバー攻撃に関する情報の共有などを目的としたXMLを用いた記述仕様であるSTIX（Structured Threat Information eXpression）について、解説を行った「脅威情報構造化記述形式STIX概説」が、IPAより公表されています（※21）。

3月に米国のGitHub社に対し、複数日にわたる大規模なDDoS攻撃が発生しました（※22）。この攻撃では中国国外のユーザが中国の検索サービス事業者を利用した際に、何者かによるJavaScriptの改ざんが行われ、攻撃に利用された可能性が指摘されています（※23）。

同じく3月には、エジプトの中間認証局から複数のGoogleドメインの証明書が不正に発行される事件が発生しています。これらの証明書については、主要なブラウザで当該証明書を無効にする対応が順次行われました。この事件では、証明書を発行する際の正当性の確認を、証明書を発行するドメイン名のメールアドレスを使って連絡可能であることを確認するだけで行っていたとされています。また、複数の認証局でこのように証明書発行時の正当性の確認が不十分であることが分かり、注意喚起が行われています（※24）。