不正アクセスとは、本来アクセス権限を持たない者が、サーバや情報システムの内部へ侵入を行う行為です。その結果、サーバや情報システムが停止してしまったり、重要情報が漏えいしてしまったりと、企業や組織の業務やブランド・イメージなどに大きな影響を及ぼします。インターネットは世界中とつながっているため、不正アクセスは世界中のどこからでも行われる可能性があります。 今回は深刻な不正アクセス被害についてのレポートと、その対策についてまとめてみました。
不正アクセスによる被害とは
不正アクセスされると、企業が管理している外部に漏えいしてはいけない機密データや個人情報などが流出します。個人だけでなくアカウントが保持している他人の機密データの内容までもが流出する危険があります。その結果、通販サイト等のアカウントに不正アクセスされることでクレジットカード情報等が流出してしまい、商品を勝手に購入されたり、ポイントが不正に使用されてしまうといった被害が起こります。金融系のサービスでは、正規ユーザーのIDやパスワードなどを入手した第三者が勝手にログインし、不正に送金を行うなど、ユーザーの預金が消失するケースもあります。
攻撃者は、インターネットを通じて企業や組織のサーバや情報システムに侵入を試みます。手口としては、ツールを用いてアカウント情報を窃取するための総当たり攻撃を行ったり、OSやソフトウェアの脆弱性、設定の不備など利用して攻撃することが知られています。
攻撃者は侵入に成功すると、その中にあるホームページの内容を書き換えたり、保存されている顧客情報や機密情報を窃取したり、重要なファイルを消去したりすることもあります。 ホームページの書き換えは、いたずらでまったく関係ない画像を掲載するものから、最近はホームページにあるリンクやファイルの参照先を不正に書き換え、接続してきた利用者をウイルスに感染させたり、パソコンから情報を盗み取ったりするものが増えています。ホームページが書き換えの被害を受けるということは、その企業や組織のセキュリティ対策が不十分であることを示すことになり、社会に対するイメージ低下は避けられません。
不正アクセスによって侵入されたシステムは、攻撃者がその後いつでもアクセスできるように、バックドアと呼ばれる裏口を作られてしまうことが知られています。攻撃者は、そのシステムを踏み台として、さらに組織の内部に侵入しようとしたり、そのシステムからインターネットを通じて外部の他の組織を攻撃したりすることもあります。
この場合に多く見られる例は、攻撃者によってボット ウイルスを送り込まれ、自分がボットネットの一員となってしまうというものです。ボットネットとは、攻撃者によって制御を奪われたコンピュータの集まりで、数千～数十万というネットワークから構成されていることもあります。攻撃者はボットに一斉に指令を送り、外部の他の組織に対して大規模なDDoS攻撃を行ったり、スパムメールを送信したりすることもあります。
後をたたないWebサイトへの不正アクセス被害事例
象印から個人情報漏洩 フィッシング被害も - 日経XTECH 2020年1月23日
象印マホービンのグループ会社が運営する通販サイト「象印でショッピング」が不正アクセスを受け、最大28万件の個人情報が漏洩した。個人情報には、名前や住所、メールアドレスが含まれていたが、クレジットカード情報は含まれていなかった。システムの脆弱性を悪用されたとしている
漏洩した個人情報を使ったとみられるフィッシング被害も発生した。偽の当選通知が被害者に届き、そこには当選した金券の送料を負担してほしいと書かれていた。この送料の支払い画面にクレジットカード情報を入力させる手口だった。支払い画面には、同サイトのWebページを改ざんしたものが使われた。
出典：https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/031800050/012000011/
JR東の「えきねっとアプリ」 3729人が不正ログイン被害 - 日本経済新聞 2020年3月3日
JR東日本は3日、在来線の指定席列車の予約や購入がチケットレスでできるスマートフォンアプリの「えきねっとアプリ」で不正ログインの被害があったと発表した。2日の午後5時30分ごろから3日の午後0時37分までの間に3729人のえきねっと会員が不正ログインされた。
不正ログインのあった期間中に、13人分の氏名や住所、電話番号や下4ケタのクレジットカード番号の閲覧があった。13人のうち、自身で会員情報を見ていた利用者もおり、不正ログインによる閲覧があったかどうかは調査中という。JR東は不正ログインのあった3729人分のパスワードを強制的に変更して通知したほか、セキュリティー対策を強化した。
出典：https://www.nikkei.com/article/DGXMZO56358570T00C20A3TJC000/
「宅ふぁいる便」不正アクセスで480万件のユーザー情報流出 メアド・パスワードも - Tmedia NEWS 2019年1月26日
大容量ファイル送信サービス「宅ふぁいる便」を運営するオージス総研は1月26日、同サービスの一部サーバが不正アクセスを受け、約480万件の顧客情報が流出したことを確認したと発表した。流出した情報には、メールアドレスやログインパスワードなどが含まれているという。23日からサービスを一時停止しており、再開のめどは立っていない。
出典：https://www.itmedia.co.jp/news/articles/1901/26/news015.html
宅ふぁいる便は不正アクセス事件以降サービスを休止して、再発防止を含めた対策を1年ほど検討していましたが、結局2020年3月31日をもって、サービスの終了を決定しました。理由としては、サービス再開には相当程度のシステムの再構築が必要であり、再構築に要する時間・費用等を踏まえ総合的に判断した結果、サービスを終了せざるえないとの判断になったと公式ページで説明しています。
このような不正アクセスの事例は後をたちません。 情報処理推進機構（IPA）が毎年発表している『情報セキュリティ10大脅威 2019』でも、組織に対する脅威の7位に「インターネットサービスからの個人情報の窃取」がランクインしています。インターネットサービスの脆弱性が悪用され、インターネットサービス内に登録されている個人情報やクレジットカード情報等の重要な情報を窃取される被害が発生しています。攻撃者は窃取した情報を悪用して不審なメールを送信したり、クレジットカードを不正利用したりします。
一度不正アクセスされクリティカルな情報漏えいが発生してしまうと、その為の対策費用や賠償が重くのしかかって、最悪宅ふぁいる便のようにサービスの停止や終了につながります。
Webサイトへの不正アクセスを防ぐには？
総務省は過去5年間の「
不正アクセス行為の発生状況」において、平成30年における不正アクセス行為の認知件数注1は1,486件であり前年から284件上昇したと報告しています。このうちターゲットとなったのは一般企業が1,314件でほとんどの不正アクセスが企業であることを示しています。企業において、不正アクセスによる被害を回避するには一般的に次のような対策をとることがすすめられています。
- セキュリティソフトやファイアウォールを活用する
- OSやソフトを最新の状態にアップデートする
- 社内のモバイル機器の管理を徹底する
- 社内無線LANルーターのセキュリティを高める
セキュリティソフトやファイヤーウォールを導入している企業は多いと思いますが、それでも毎年被害が減ることはありません。一般的なファイヤーウォールは外部から侵入してくる不正なアクセスを防御するためのセキュリティ製品や機能のことを言います。ポート番号、IPアドレス、プロトコル、通信方向を制御するルールに基づいて通信の許可／拒否を判断します。しかし通常のファイヤーウォールは「通信の中身」まで識別することはできません。
一方でWAF（ウェブアプリケーションファイアウォール）はHTTPプロトコルでやり取りされる要求行や要求ヘッダ、要求本文（パラメータの名前、パラメータの値）などを検査することで、SQLインジェクションなどのウェブアプリケーションの脆弱性を悪用する攻撃からWebサイトを保護するという役割を果たします。以前はコストも高かったり、運用が難しい等の理由で導入を見送る企業も多かったですが、現在はホスト型、ゲートウェイ型の他クラウド型のWAFも登場し、専門知識がなくても簡単に運用できる製品が出ています。クラウド型は専用ハードウェアを用意する必要や、物理的なネットワーク構成を変更する必要がなく、WAF運用をベンダーに任せられるのがメリットです。
サイバー攻撃の手法は多様化し、従来の技術だけでは防御することが難しくなってきています。サイバー攻撃に特化したWAFを導入し、高度な防御体制を構築していくことをお勧めします。
...
Webサイトへの攻撃が年々増加していく中で、攻撃手法は日々高度化・巧妙化が進み、その脅威は今後とも拡大していくと予測されています。 最近では、多くの企業が大事な資産を保護するためにWebアプリケーションファイアウォール（WAF）を導入しています。中でも、クラウド型WAF「クラウドブリック（Cloudbric）」は現在大手金融機関からスタートアップ企業まで、幅広く様々な業界の企業様にご利用いただいております。それでは、クラウドブリックが 国内の多くの企業から選ばれている理由について説明していきたいと思います。
＊攻撃パターン：ウェブ脆弱性を狙った攻撃パターン。検知及び未検知を判断する基準となります。
＊被攻撃パターン：誤検知を判断するパターン。誤検知と検知を判別する基準となります。
フィッシング詐欺とは名前通り、エサで魚を釣るようにメールと偽造のリンクを利用してID、パスワード、クレジットカード番号など、個人情報や機密情報を詐取することを言います。一見、金融機関といった信頼度の高いところから送られてきた正規のメールのように見えますが、メールに記載されたURLをクリックすると本物そっくりの偽サイトへ誘導され、知らないうちにフィッシング詐欺に引っかかってしまいます。
フィッシングサイトへ誘導する手段はメールだけではありません。Gmailのようなメールサービスに迷惑メールを自動的に識別し振り分ける機能が組み込まれることで、ある程度フィッシングメールを遮断できるようになりました。それで、ハッカーらはエサとなるメールの代わりに、企業やサービスのWebサイトにクロスサイトスクリプティング攻撃を行い、悪意のあるURLを記載することで、ユーザを偽サイトに誘導し、個人情報及び機密データを要求する手法を使用します。
クロスサイトスクリプティング（Cross-site Scripting、XSS）攻撃とは、信頼できるWebサイトに悪意のあるスクリプトを埋め込むサイバー攻撃の一種です。問題はCross-site Scripting攻撃が行われても、正規サイトそっくりで、その違いを判別することは非常に難しいということです。
話題になったクロスサイトスクリプティング攻撃の事件としては2014年に起きた世界最大級のオークションサイトeBay（イーベイ）での事例が挙げられます。eBayはクロスサイトスクリプティング攻撃により約1億4500万件ユーザーアカウントの個人情報をフィシングで盗まれてしまいました。日本も例外ではありません。今年開かれる東京オリンピックが注目されていますが、最近公式サイトではないオリンピックのチケット販売サイトの存在が確認されるなど、フィッシング詐欺の被害リスクの高まりが懸念されています。
クロスサイトスクリプティング攻撃に対して、Webサイトを保有している企業には最も注意が求められます。Webサイトがフィッシングサイトへの踏み台として利用されることは大変な信用失墜につながります 。特に、ECサイトなど、顧客情報や機密データを取り扱う企業にとっては、一度失われた信頼を回復には莫大な時間と費用がかかりますので、事前に脅威を防ぐための防御態勢を整える必要があります。
それではこのようなフィッシング詐欺に巻き込まれないために企業が取る対策とはなんでしょうか。クレジットカード情報保護のためのセキュリティ基準であるPCI-DSS（Payment Card Industry Data Security Standard）によりますと、顧客データを取り扱うWebサイトにはWebアプリケーションファイアウォール（WAF）を導入し、受信及び発信トラフィックをモニタリングすることが薦められます。
クラウド型WAFであるクラウドブリック（Cloudbric）はPCI-DSSに準拠したエンタープライズ向けWAFサービスを提供します。クラウドブリックを導入することで、企業はハッカーの不正な動きを事前に発見し遮断することができるため、顧客情報を安全に守れます。
では、 クラウドブリックが特別な理由は何でしょうか。クラウドブリックのロジックベースの検知エンジンが搭載されています。アジア・太平洋マーケットシェア1位のWAF「WAPPLES」のロジックベースの検知エンジンを搭載し、従来のシグネチャー基盤のWAFでは検知できない未知や亜種の攻撃に対応できます。 不審なトラフィックが発見されると事前に設定されたクラウドブリックの約26種の検知ルールをベースに攻撃を類型別に分析及び検知し、様々なWeb攻撃からWebサイトを安全に保護します。シグネチャーを使用しないため、頻繁なシグネチャーのアップデートせずに、脅威を防止することができます。
今後もハッカーの手口はさらに巧妙化していくことが懸念されます。したがって、企業はWebサイトへの保護を強化する対策を行わなければなりません。Webサイトから大事な情報を持ち出された後ではもう手遅れです。「うちのWebサイトは安全だ」と思い込んではいませんか。セキュリティ対策がしっかりできていると考えられる大手企業であっても、いくらでもWebサイトフィッシングリンクの踏み台になれます。自社のWebサイトを守り、顧客情報や機密データなど大事な情報を安全にするために、Webセキュリティ対策を取り組んでいきましょう。ビジネスを守るWebセキュリティの第1歩はWAFの導入から始まります。
... 
クラウドブリック（Cloudbric）が「ITトレンド年間ランキング2019」のWAF（Web Application Firewall）部門にて1位を獲得しました。
SQNetworksは全世界のサイバーセキュリティ技術をヨーロッパ企業に紹介するメジャーMSP企業です。ヨーロッパでWebセキュリティサービスの重要性が話題になり、サイバーセキュリティソリューションを提供するSQNetworks社もその需要を認識してクラウドブリックとサービスパートナシップを結ぶ事になりました。
昨年から本格化したGDPRの影響で、ヨーロッパ地域の多くの企業がセキュリティ標準を遵守する事になりましたが、予想より高い費用がかかる上、とても手間がかかりました。よって、クラウドブリックはSQNetworksと協力して、少ない予算で簡単に導入出来るサービスをサイバーセキュリティ問題を解決しようとするヨーロッパ企業に提供する予定です。
また、SQNetworksはグローバル保険商品及びサービス会社であるChubbとパートナシップを締結してサイバーサービスを提供する予定であり、今回クラウドブリックとのパートナシップを通じて該当サービスの価値を高める事になりました。
クラウドブリックCEOのJungは、❝世界的にサイバーセキュリティサービスが広まっており、当社はそれに応じたセキュリティ生産性及び効率性が高まるようサポートしています。
特に、ヨーロッパ地域では、データセキュリティ遵守がより重要になってきた為、より多くのユーザにクラウドブリックのサービスを提供出来るよう努力しております。❞と述べました。
そして、SQNetworksのCEOのMark van Vliet氏は、❝クラウドブリックを通じてサービス領域を広める事によって、急変するサイバーセキュリティ脅威を減少させる事に役立つと存じます。
また、クラウドブリックとの協力は今後数年内にセキュリティサービスの大規模な成長をもたらす事になるだろうと自信しております。❞と述べました。
クラウドブリックは2017年から徐々にヨーロッパ市場に進出しており、今まで積んできた実績が本格的な結果に繋がる事を期待しています。
... 
最近オリンピックのオフィシャルストアが出来るなど、東京オリンピックの対外的な準備が活発に行われています。公式グッズやコラボ企画などの様々な活動が行われて、世界が東京を注目する事になると思います。こうして世界の注目を浴びるのは良い事が多いですが、悪い側面もあります。その事例には2018年平昌オリンピックのサイバー攻撃事件がありますが、開幕式当日に組織委員会及び関連企業のサーバ及びホームページがサイバー攻撃に遭いました。復旧には12時間がかかり、この為52種のサービスが中断されました。このような被害を事前に防止する為に、政府機関では多様なサイバーセキュリティに関する準備をしていて、民間企業にも対策を立てるよう呼びかけています。民間企業で実行出来る最も簡単且つ安全な対策としてWAFの導入がありますが、クラウドブリックのWAFを導入したら解決出来る課題についてご案内いたします。
