2013年上半期のセキュリティ脅威動向をトレンドマイクロが解説

[ITmedia]

2013年上半期セキュリティ脅威まとめ

トレンドマイクロセキュリティエバンジェリストの染谷征良氏

　トレンドマイクロは8月19日、最新セキュリティ脅威動向を解説するプレス向けセミナーを開催。同社セキュリティエバンジェリストの染谷征良氏が、2013年上半期に国内外で見られた脅威として、「サイバー犯罪」「モバイル」「ソーシャルとクラウド」「ぜい弱性とエクスプロイト」「サイバー攻撃」の5つの観点からそれぞれの傾向を振り返った。

　サイバー犯罪の分野で特に顕著だったのは、オンライン銀行詐欺ツールを使った攻撃の増加だ。2013年上半期（1月〜6月）に同社が検出した攻撃件数は2万916件で、これは昨年同期比約2.5倍。2012年を通した検出数である1万9849件を半年だけで上回った計算になり、ツールキットを用いた攻撃が国内でも本格化していると同社はみている。

　この背景にはツールキットの価格暴落があるという。染谷氏は「不正プログラムを作るためのツールキットは、昔はアンダーグラウンド市場で高値で取引されていたが、現在は安くなっている。ソースコード自体が公開され、誰でも自由に使えるものまであり、この暴落にあわせて攻撃のハードルが下がったのではないか」と分析する。

不正プログラムを作るツールキットの価格の推移（トレンドマイクロ調べ）

　モバイル分野での脅威は、不正アプリの総数が前年同期比約25倍となる約70万まで急増したほか、「99％のAndroid端末が影響を受ける」（染谷氏）というマスターキーのぜい弱性を突いた攻撃や、rootを乗っ取るものなどより高機能な不正アプリが見つかっている。染谷氏は「モバイルの世界でもPCと同じように攻撃方法が移行してきている」と警鐘を鳴らす。一方、ソーシャルとクラウドの分野では、アカウントのなりすましが目立った。もともとこの手法は数年前から海外で見られたものだが、日本でも知り合いを装って不正サイトへ誘導し、情報を盗み取る手口が増えているという。

　ぜい弱性エクスプロイトでは、「ゼロデイが続発した6カ月」と染谷氏が上半期を総括するように、主にParallels Pleskのようなサーバ管理ツールや、WordPressに代表されるCMSといったサーバ用ミドルウェアのぜい弱性を狙った攻撃が多発した。「委託の関係でサーバの管理者と、その上にあるアプリ管理者が異なる場合、ミドルウェアに対するセキュリティパッチの適用やセキュリティ対策の権限が不明瞭なために対策が遅れてしまうのが要因」と染谷氏は指摘する。

　このほか、サイバー攻撃では正規のWebサイトが改ざんされ、訪問者が不正なサイトへ誘導されてしまう被害が拡大した。同社の調べでは、改ざんされた（正規の）サイトから不正な攻撃サイトへアクセスした数は、2013年5月の時点で同年1月の約6.4倍に達し、第2四半期は前年同期比で約3.4倍に増加しているという。また、不正アクセスも継続して拡大し、被害件数は約4倍にふくれあがっている。

ミドルウェアのぜい弱性を突いて正規Webサイトに不正なモジュールを送り込み、ユーザーのリクエストにあわせて動的に不正なコンテンツを生成する、あるいは難読化されたコードを埋め込むなど、不正利用の発覚を遅らせる工夫がされているという（画面＝左）。ECサイトのシステムが改ざんされた例。決済システムは業者に委託しているが、サーバが改ざんされたことで決済情報が盗まれている。データベースを保持していないサーバでも攻撃対象になり得る（写真＝右）

　2013年上半期の不正アクセス事件を見ると、その半数以上で不正ログインが行われている。これはトレンドマイクロが「アカウントリスト攻撃」と呼ぶ手法の台頭が要因だ。アカウントリスト攻撃は、従来の辞書アタックとは異なり、あるサービスで有効なIDとパスワードのリストを元に不正ログインを試みるため、効率性が高く成功率も比較的高い。例えば、複数のサービスを同じIDとパスワードで利用しているユーザーは、ある1つのサービスで情報漏えいが起きた場合に、別のサービスでも被害を受けることになる。

主な不正アクセス事件。このうち半数以上が不正ログイン

同社が「アカウントリスト攻撃」と呼ぶ、パスワードの使い回しを狙った手法が台頭しているという

　染谷氏は2013年上半期のセキュリティ脅威について、あるサーバに侵入して取得した情報をもとに、ほかのサーバへ不正ログインを試みたり、正規のWebサイトを改ざんして不正なサイトへ誘導し、最終的にはオンライン銀行詐欺ツールで金銭を詐取するといったように、攻撃が連鎖的に発生していると指摘。こうした被害を防ぐためには、サーバへの侵入に利用されるミドルウェアのぜい弱性に対処し、管理用アカウントでのパスワードの使い回しを避け、不正ログインの試行や侵入後の改変などの異常を素早く察知する対策が極めて重要だと訴えた。