Internet Infrastructure Review（IIR）Vol.30
2016年2月29日発行

Anonymousなどの活動

脆弱性とその対応

この期間中では、Windows（※3）（※4）（※5）（※6）（※7）、Internet Explorer（※8）（※9）（※10）、Office（※11）（※12）（※13）、Edge（※14）などで修正が行われました。Adobe社のAdobe Flash Player、Adobe Acrobat及びReaderでも修正が行われています。Oracle社のJava SEでも四半期ごとの更新が行われ、多くの脆弱性が修正されました。これらの脆弱性のいくつかは修正が行われる前に悪用が確認されています。

サーバアプリケーションでは、データベースサーバとして利用されているOracleを含むOracle社の複数の製品で四半期ごとに行われている更新が提供され、多くの脆弱性が修正されました。ntpdでも、認証を回避してシステムの時刻設定が操作可能な脆弱性や、細工したパケットによるDoS攻撃可能な脆弱性など複数の脆弱性が見つかり、修正されています。DNSサーバのBIND9でも、不正なクラス属性を持つレコードに対する問い合わせで、DoS攻撃可能な脆弱性などが見つかり、修正されています。CMSとして利用されるDrupalについても、オープンリダイレクトの脆弱性などが見つかり、修正されています（※15）。同じくCMSとして利用されるJoomla!でも、第三者からリモートでコード実行可能な脆弱性を含む複数の脆弱性が見つかり、修正されました。仮想マシン環境構築ソフトウェアであるVMwareでは、任意のコード実行の可能性がある複数の脆弱性が見つかり、修正されています（※16）。Linuxで広く採用されているブートローダであるGRUB2では、バックスペースキーを連続で押すだけでパスワード保護を無効化できる脆弱性が発見され、修正されています（※17）。

Androidに関連しては、細工されたファイルを介して、任意のコードを実行される可能性がある脆弱性（Stagefright 2.0）が見つかり、修正が行われています。Androidアプリ向けソフトウェア開発キット（SDK）の1つであるMoplus SDKでWormholeと呼ばれる脆弱性（※18）があることや、攻撃者が遠隔で端末の情報を読み取ったり、制御が可能な不具合が指摘され、修正が行われました。また、これに関連して、別のSDK（Push SDK）でも、悪意ある第三者が端末の情報を取得できる可能性のある脆弱性が見つかり、修正が行われています（※19）。

産業用制御システムに関連しては、オムロン社製のPLCとそのプログラムを行うソフトウェアであるCX-Programmerで、パスワードを平文で送信していたことから通信経路上で盗聴された場合にパスワードが取得される可能性やシステム内のファイルからパスワードが取得される可能性があるなど、パスワード処理に関する複数の脆弱性が見つかり、修正されました（※20）。国内メーカの製品では、9月にも三菱電機社製の制御システム用シーケンサーであるMELSEC FXシリーズでサービス拒否攻撃を許してしまう脆弱性が見つかり、修正が行われています（※21）。産業用制御システムについては、閉鎖的な環境で利用されることも多いことから、これまで対策が遅れがちでしたが、近年ではこれらを標的とした攻撃が増えてきており、従来のソフトウェアと同様に、脆弱性情報や攻撃情報を定期的にチェックするなどの対応が必要になりつつあります（※22)。

DDoS攻撃

この期間では、大規模なDDoS攻撃がいくつか発生しています。2015年5月頃より、金融機関などに対し、DD4BCを名乗る何者かによる脅迫を伴ったDDoS攻撃が発生していますが、11月に入ってからは、別のグループによるDDoS攻撃もいくつか発生しています。このうち、Armada Collectiveを名乗る何者か（※23） による攻撃では、スイスのProton Technologies社が脅迫を受け、支払いをしたにも関わらず攻撃が継続した事件も発生しています。このグループは、これ以外にも各国の金融機関やホスティングサービスなどに対して攻撃を行っており、英国のホスティングサービス事業者がサービス停止に追い込まれた事件でも関与していたと考えられます（※24）。ホスティング事業者への攻撃では、米国Linode社に対しても12日間にも及ぶ大規模なDDoS攻撃が発生しています。これ以外にも12月にはPhantom Squadを名乗る何者かによるXbox LIVEやPSN、EAなど複数のゲーム関係サーバに対する攻撃により、一時的にサービスにアクセスしにくくなるなどの被害が発生しています。

不正アクセスなどによる情報漏えい

この期間、企業のシステムへの不正アクセスによる大規模な顧客情報などの漏えい事件が引き続き発生しています。

米国の携帯電話事業者T-Mobileの信用調査業務を請け負っているExperian社の内部サーバが不正アクセスを受け、氏名や社会保障番号など1,500万人分の個人情報が漏えいした可能性のある事件が発生しています。英国の通信会社TalkTalkでもWebサイトがSQLインジェクション攻撃による不正アクセスを受け、契約者400万人の情報が流出した可能性のある事件が発生しています。この事件に関連して、何者かにより漏えいした顧客データを公開するとしてビットコインによる脅迫が行われるなどしていましたが（※25）、その後15歳の少年がコンピュータ不正使用の容疑で逮捕されています。この事件では、原因としてWebサイトのXSSの脆弱性が指摘されています（※26）。米国のオンライン証券会社Scottrade社でも不正アクセスを受け、約460万人分の情報が流出したことを公表しています（※27）。オンラインフォーラムとして利用されているvBulletinの未修正の脆弱性を悪用し、vBulletin.comの利用者48万人分のパスワードデータを含む個人情報が漏えいする事件も発生しています。この脆弱性についてはすぐに修正されましたが、PoCコードが公開されるなどしたことから、攻撃が多く発生する可能性が指摘されています（※28）。また、日本のキャラクターのファン向けコミュニティサイトで、ユーザ情報330万件が誤って公開されていたことが判明し、対応が行われたり（※29）、米国の有権者情報1億9千万人分の個人情報が公開されているのが発見されています（※30）。この2つの事件では、サーバの設定不備により、第三者がアクセス可能な状態となっていたことが、セキュリティ研究者から指摘されています。

その他

10月には、Trump Hotel Collectionで、社内システムへのマルウェア感染による不正アクセスによって、顧客のクレジットカード情報が漏えいした可能性のあることが公表されています。ホテルでの情報漏えい事件としては、11月にもStarwood系列の50軒以上の北米のホテルでPOSマルウェア感染による、カード情報など顧客データが流出する事件が発生しています。更に、12月にはHyatt Hotelsでも支払処理システムへのマルウェア感染により、クレジットカードなどの支払い情報が漏えいした可能性のある事件が発生するなど、米国の大手ホテルチェーンを中心に、POSマルウェアの感染による顧客情報の漏えい事件が立て続けに発生しています。被害を受けたホテルの中には日本で営業を行っているホテルも含まれていました。

国内では、複数の地方公共団体で相次いで職員による住民情報や有権者データなどの持ち出しや情報漏えい事件が発生しています。これらの事件では、理由は様々ですが内部の規約に違反し、資料やデータをコピーするなどして持ち帰っていました。このうち、神奈川県三浦市では、職員が市民の個人情報を含んだ行政文書などのファイル計約200万件をUSBメモリーで持ち出して自宅で保管していたことが発覚しています（※31）。熊本県阿蘇郡西原村では、職員が全村民の住民基本台帳のデータなど、18万件を超える個人情報をPCやHDDにコピーし持ち出していたことが発覚しました（※32）。これらの事件では、第三者への譲渡など外部への情報漏えいは確認されていないと発表されています。大阪府堺市では、約68万人分の有権者情報を含むファイルを職員が自宅に持ち帰り、自身が契約していた外部サーバに公開状態で掲載していたことから、第三者に漏えいしたとの発表が行われました（※33）。この事件では、当該行為を行った職員に対し、懲戒免職処分が行われています。

11月には、ZeusやSpyEyeなどのマルウェアを販売目的で所持していたとして、不正指令電磁的記録保管・提供など複数の容疑で中学生が逮捕されています。逮捕された中学生は、海外のインターネットサイトなどから、これらのマルウェア作成ツールキットを入手していたことが報道されています。また、この中学生からマルウェアを購入・譲渡していたとして不正指令電磁的記録取得容疑で複数の中高生が書類送検されています。

同じく11月には、総務省の「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」より、第二次とりまとめが9月に策定されたことを受け、その対処を適法に実施するためのガイドライン「電気通信事業者におけるサイバー攻撃等への対処通信の秘密に関するガイドライン」が改定され、電気通信事業関連5団体より公表されています。今回の改定では、利用者に対する注意喚起の実施や、C&Cサーバなどとの通信遮断などについて、新たに整理されました。詳細については「1.4.3 電気通信事業者におけるサイバー攻撃等への対処と通信の秘密に関するガイドラインについて」も併せてご参照ください。