日本年金機構の情報漏えい、明日は我が身！ 標的型攻撃メールの脅威
日本年金機構の個人情報が標的型攻撃メールによって流出
先日、日本年金機構から125万件の年金個人情報が流出し、氏名や生年月日、住所などが抜き取られた情報漏えい事件が問題となりました。この事件で使われたのは標的型攻撃メール。「メールによる情報漏えい」とだけ聞くと、いかにも怪しい非標的型の攻撃メールをイメージしやすく、「あんなメールに引っかかるなんて（笑）」といった反応もみられました。
しかし「標的型攻撃」とは、標的となる組織内の情報を狙って行われるサイバー攻撃のこと。ターゲットの組織構成員に標的を絞ったサイバー攻撃を仕掛けて機密情報を漏えいさせるため、明確なターゲットを絞らずにウィルスやフィッシングメールを粗製濫造する一般的なサイバー攻撃と比較すると、巧妙かつシステムによる検出が難しいものとなっています。
今回の事件でも、実際に用いられた標的型攻撃メールは標的となる組織にあわせて巧妙化しており、「自分は大丈夫」という油断が命取りとなります。そこで今回は日本年金機構の情報漏えいで行われた攻撃内容と、その対策方法について紹介します。
日本年金機構の年金管理システムに対するサイバー攻撃
産経ニュースの報道によれば、日本年金機構の職員に対して「『厚生年金基金制度の見直しについて（試案）』に関する意見」というタイトルのファイルが添付されたメールが届いており、少なくとも2人の職員が開封したとしています。
標的型攻撃メールには、組織の内部情報に合わせて攻撃方法を最適化するといった特徴があります。添付ファイルはWord、Excel、PDFなどの一般的なオフィス文書を装ったアイコンや拡張子に偽装していたものと思われます。メールのタイトルについても、自身が年金の給付業務に関わっていたら、つい開いてしまいそうなタイトルではないでしょうか。
添付ファイルによって感染したのは「Emdivi」と呼ばれる第三者からの遠隔操作を可能とするウィルスです。報道からの断言はできませんが、標的型攻撃においては、既に出回っているウィルスそのものではなく、標的に向けてカスタマイズした「亜種」を作成することでウィルス検索ソフトウェアからの検出をしにくくすると言われています。
さらに巧妙化した事案も発生しており、『標的型攻撃、脅威の手口 – 本物のメールがサンプルに：ITpro』によれば、最終標的とする組織の取引先にあるPCを乗っ取って、そこにあるメールの返信として標的型攻撃メールを送るケースや、迷惑メールのように送信元メールアドレスが偽装されているパターンもあります。
標的型攻撃メールの見分け方と防衛方法
標的型攻撃メールは巧妙化しており、簡単に見分けるのは難しくなっています。
添付ファイルを開いたり、URLにアクセスさせるなどのアクションを求められたりと、少しでも不審な点を感じたら、電話やメッセンジャーなどの別のコミュニケーション経路を用いてメール内容への裏を取ってから実行することが大切です。
しかし、どんなに気をつけても、標的型攻撃メールによる被害を100％防ぐことはできません。
そこで、業務機密情報にアクセスできる端末を物理的に限定し、その端末ではインターネットへの接続やメールの送受信などを行えないクローズな環境にすることで個人情報の漏えいリスクは抑えられます。業務上どうしても別のPCに情報を取り出す必要がある場合には、個人情報を暗号化したり、パスワードを設定したうえで取得するといった仕組みや運用ルールを徹底すべきでしょう。
本当の脅威は情報漏えいに気付かず何の対策も打てないこと
標的型攻撃メールによるサイバー攻撃は多くの企業に対して行われています。セキュリティ企業のラックが、日本年金機構の情報流出に関わったウイルスと同系統の遠隔操作ウイルスが「多くの企業や組織が今も感染し、それに気づいていない状態と思われる」と注意喚起したという報道もなされています。
情報漏えいを起こさないことはもちろん重要です。ですが、もしも起きてしまった時、その事実に気づかなかったり、内部的には気付いていても公表しなかったりといったことになれば、被害はさらに拡大し深刻化してしまいます。
巧妙化する標的型攻撃メールについては、個々人の努力や意識付けによる防衛だけでは限界があります。
仮に標的型攻撃メールに引っかかってしまっても個人情報を漏えいさせない、被害を拡大させないためにはどうすればよいのかという観点で社内の仕組みや運用ルールを整備し、徹底することが必要になっていくのではないでしょうか。
池田 仮名（いけだ・かな）ITエンジニア／ブロガーシステムインテグレーター勤務の傍ら、個人ブログ「太陽がまぶしかったから」を運営。情報システムの発展によって変化していく人の心や共同体のありかたに興味。音声チャットを用いて題材書籍を掘り下げる「Skype読書会」を主宰。共著書に「レールの外ってこんな景色」（WOODY）。仕事も恋もFA宣言中。
Twitter：bulldra