2012年のセキュリティ事情と今後の予測：主要セキュリティベンダーに聞く（2/2 ページ）

[後藤治，ITmedia]

巧妙化する金銭目的のサイバー犯罪

トレンドマイクロの鰆目順介氏

　「パソコンの遠隔操作」と聞くと、日本では“なりすまし事件”を連想してしまうが、RATを使ったサイバー攻撃は古くからある一般的な手法だ。特にここ数年は、直接的な金銭の詐取を目的として、オンラインバンキングの利用者を狙う攻撃に利用されており、2012年初頭に被害が拡大した大規模なサイバー金融詐欺では、より手口が巧妙化しているのが見て取れる。

　具体的には、攻撃対象のPCにトロイの木馬を仕込み、目的にあわせてマルウェア（特定の金融機関のWebサイトにアクセスすると、クライアント側で認証情報を求めるポップアップを表示したり、Webの表示そのものを書き換える）を送り込んで、被害者から金融機関の認証情報を盗み取り、最終的に不正送金を行うというもの。こうしたサイバー犯罪を容易にしているのが、ツール自体を売買するブラックマーケットの存在だ。

　トレンドマイクロの鰆目順介氏は「リモートアクセスツールだけでなく、各金融機関ごとにカスタマイズしたWeb injectモジュールや、残高を取得する、送金を自動化するといったような機能別のモジュールも販売されている状況です」と説明する。しかも、これまでアンダーグラウンドで取引されることがほとんどだったこの手のクライムウェアキットが、最近では公のダウンロードサイトで販売されている事例さえあるという。

国境を越えて行われるサイバー犯罪を検挙するためには、各国捜査機関の連携が重要になる。シマンテック主催の「Face to Face with Cybercrime」と題したパネルディスカッションでは、ユーロポールやFBI、NCFTA（National Cyber and Forensics Training Alliance）、警察庁、セキュリティベンダーの幹部など、サイバー犯罪の分析や捜査に従事する専門家が登壇し、サイバー犯罪に見られる世界的な傾向や犯罪阻止のための課題などが話し合われた

　こうしたサイバー金融詐欺は日本も無縁ではない。2011年に引き続いて、2012年も国内の主要な金融機関やクレジットカード会社を狙うサイバー犯罪が発生（11月6日警察庁発表／PDF）しているほか、12月に入って日本のユーザーを狙ったと思われるクレジットカード会社を装ったフィッシングサイトも急増している。

　こうした犯罪から身を守るためには、「OSやソフトウェアを最新に保ち、セキュリティソフトをインストールすること。そして金融機関がメールで暗証番号や個人情報を求めることはないという認識を徹底することが重要です」（鰆目氏）。このほか、直接的に金銭を要求するものとしては、偽アンチウイルスソフトに代わって、ランサムウェアが増加したのもトピックだ。

　なお、2012年は攻撃経路の1つとしてソーシャルメディアを利用したものが増加しているのも目を引く。特にユーザー数の多いFacebookが顕著で、“知り合い”からのメッセージは疑わない、という心理を突いて不正なサイトに誘導するものが多いという。鰆目氏は「Facebook上で不正なWebサイトのURLがポストされるのはもはや日常茶飯事になりました。ソーシャルメディアがコミュニケーションツールとして一般的に普及した今、サイバー犯罪者がこれを使わない手はないでしょう」と述べ、今後もこうした傾向は続くと予測している。

標的型攻撃の拡大――破壊型とスパイ型に分化

シマンテックセキュリティレスポンスシニアマネージャー 浜田穣治氏

　最後は標的型攻撃について。社会インフラや特定産業を狙った攻撃が大きく注目されるようになったのは、2010年に確認されたStuxnetがきっかけといえるが、これ以降も標的型攻撃は拡大傾向にある。その中でも最近目立っているのが、目標とする企業や施設のPCに直接破壊工作を行うタイプのものだという。

　シマンテックセキュリティレスポンスシニアマネージャーの浜田穣治氏は「これまで標的型攻撃は、機密情報や連絡先などの情報収集を目的として、潜伏的、持続的に行われるものが多かったのですが、主に中東方面のエネルギー企業を狙って、直接データを消去するような破壊活動を行うものが現れています。今後は国家間や組織間でのサイバー攻撃、いわゆる“サイバー紛争”が常態化していく可能性もあるでしょう」と警告する。

　また、情報収集を目的とした標的型攻撃は、直接的な対象だけでなく、関連企業に対しても持続的に行われるため、浜田氏は「多くの企業にとって他人事ではない」とも指摘している。重要な情報を保持していなければ狙われないと思われがちだが、同社によるとこうした攻撃の3分の1以上は従業員数が250人に満たない中小の組織に対して行われており、あらゆる企業は“最終的な目的”の踏み台として攻撃にさらされる可能性があるという。

　浜田氏は企業向けの対策として、多重防御やぜい弱性の監視だけでなく、暗号化によるデータ保護や、インシデント時の対応の確認など、「万が一情報が流出してしまったときの想定もしておく必要があるでしょう」と付け加えた。