第４２９号コラム：名和 利男　理事
（株式会社サイバーディフェンス研究所　専務理事/上級分析官）
題：「2016年リオ・オリンピックに関連したサイバー攻撃の発生状況と対処体制」

第３１回オリンピックが、２０１６年８月５日から同年８月２１日の間、ブラジル・リオデジャネイロにおいて開催され、同年９月７日から１８日には、リオ２０１６パラリンピック競技大会が開催される予定となっています。

前回、２０１２年のロンドン・オリンピックが、史上初の「デジタル・オリンピック」と言われるほど、様々なシーンで情報通信技術の積極的な活用がありましたが、今回のリオ・オリンピックは正真正銘の「マルチプラットフォーム・ゲーム」として、幅広いチャネルと多種多様なデバイスの活用がありました。そして、当初の予想通り、リオ・オリンピックに関連した様々なサイバー犯罪やサイバー攻撃が発生しました。本コラムで、その一部を紹介したいと思います。

  • サイバー犯罪

World Bankの統計データによると、ブラジルで利用されているＡＴＭ機器は世界で最も多い部類に入っています。そのため、ＡＴＭ機器の製造や保守に係るビジネス競争が激しく、十分なセキュリティ対策が取られているとは言いがたいところが散見されていました。その一つがスキミング対策です。サイバー犯罪者は、ＡＴＭ内部にChupa Cabrasと呼ばれるスキミングデバイスを設置し、それを利用した観光客のクレジットカード情報を窃取することに成功しました。２０１４年のブラジル開催のＦＩＦＡワールドカップでは、リオデジャネイロの国際空港で１４つのＡＴＭで確認されましたが、２０１６年のリオ・オリンピックにおいては、開催場所周辺で、改良されたChupa Cabrasに加え、様々な手段によるスキミング行為が確認されました。

また、観光客のクレジットカードを狙う他の手段として、ＰＯＳレジも狙われました。FighterPOSと言われるＰＯＳ内部の情報を摂取するマルウェアの感染が発生し、多くのクレジットカード情報が流出しました。

  • ネット詐欺

２０１４年のＦＩＦＡワールドカップ同様に、リオ・オリンピックをテーマにした偽サイト、チケット販売の偽サイト、及びその他のオリンピックに関連性を持たせた偽サイトが相次いで出現しました。いずれもＩＤ／パスワード等の機微情報や個人情報の窃取を目的としたものでした。

特に、２０１６年３月から発生したフィッシング詐欺キャンペーンでは、悪意のあるペイロードが埋め込まれたＰＮＧイメージを含むＰＤＦファイルを添付されたメールが急増しました。これは、ここ数年のブラジルにおけるサイバー犯罪で、よく確認されていたネット詐欺の手段でした。

  • 無線ネットワーク

２０１６年のリオ・オリンピックは、２０１２年のロンドン・オリンピックに比べて、３Ｇ／４Ｇモバイルデータアクセスが５０％増加しました。これに伴い、個人情報を摂取するために悪意のあるＷｉＦｉホットスポットの設置が目立ちました。ＳＳＩＤには、公式のオリンピックネットワーク或いは会場名の名称が使われていたため、多くの観光客が安易に接続してしまったようです。

他の国際的な大規模イベントで見られることですが、多くの外国から来訪する外国人は、ローミングコストを避けるため、最寄りのＷｉＦｉネットワークに接続する傾向があります。

  • Boletos（ブラジルにおける支払伝票）詐欺

ブラジルにおける銀行決済のうち１８％がオンラインシステム上で行なわれています。その多くで、ブラジル連邦銀行が定めるBoletosと呼ばれる支払い伝票が利用されています。

以前より、ブラジルではBoletosのアプリが動作するデバイス上やＷｅｂブラウザ内に残存する入力情報の窃取するサイバー攻撃が発生していました。特に、リオ・オリンピック期間中は、Bolware（Boletoのバーコードを書き換え、犯罪者の口座に入金させる）、Broban（フィッシング詐欺メールにより、悪意のあるブラウザのプラグインや拡張機能をインストールさせる）、Onyx及びEupuds（Eupudsは、Ｗｅｂブラウザのメモリに悪意のあるコードをインジェクトしてBoletos情報を書き換える。Onnyは、Mac OSやLinux OS上で動作し、悪意のあるサーバから新しいバーコードイメージをダウンロードして表示させる）等のマルウェアの感染が目立ちました。

  • ハックティビスト活動と攻撃キャンペーン

２０１４年のＦＩＦＡワールドカップに対するブラジル政府からの巨額支出が、現在のブラジルの深刻な財政難の原因の一つであるとし、２０１５年７月頃から、リオ・オリンピック２０１６に反対を示唆するメッセージがＳＮＳ上で流れ始めました。

２０１６年１月３１日、Twitter上で、リオ・オリンピックへの反対を強く主張するイメージが投稿され、２月２日から、OpOlympicHackingのハッシュタグをベースに活発な議論が始まりました。これを受けて、一部のネットユーザーが攻撃キャンペーンを開始しました。

２０１６年２月、Petrobas（リオデジャネイロの電力会社）、Petronect（国営石油公社ペトロブラスのビジネスベンダーのためのポータルサイト）、Accenture（アイルランドベースのコンサルティング会社）へのシステム侵入が成功して窃取した情報として、社員の１，１００名以上の名前、ユーザ名、パスワード、メールアドレスが、有名投稿サイトに掲載されました。その後、攻撃者を名乗る者が、それぞれのサイトへのＳＱＬインジェクションが成功したというメッセージを流しました。これに触発された他の攻撃者が、パトスデミナス市のシステムに侵入したと主張し、内部から窃取したとする情報を同じ有名投稿サイトに掲載しました。

その後、この執筆時点（２０１６年９月８日）までの間に、さまざまな公的機関や有名企業の内部情報が晒されました。その他、ブラジルの社会保障省、国立通信局、リオ・オリンピック関連サイトが、何かしらの手段によるサイト停止や規模の大きいＤＤｏＳ攻撃によるアクセス不能状態に何度も追いやらました。

このようなサイバー犯罪やサイバー攻撃に対して、ブラジルは様々な体制を組んで対処に臨んでいました。その対処体制の中でも、もっとも目立った成果を発揮したのが、Center for Cybernetic Defense（CDCiber）でした。CDCiberは、２０１２年９月に、ブラジル陸軍内に設置された合同部隊で、国防省配下でサイバー攻撃対処を任務としていました。特に、２０１４年のＦＩＦＡワールドカップ、２０１６年のリオ・オリンピック時には、重要インフラ事業者に軍の担当者がリエゾンを派遣し、軍による指揮命令系統を確保し、即時対処可能な体制を整えていました。

特に、リオ・オリンピック開催時のCDCiberは、軍の３つの部隊や他の独立した治安当局と共に、２００名体制で臨み、オリンピックゲームの運用において重要性の高いデータストレージ、トランザクション、データ処理の保全を任務としていました。

オリンピックゲームに限らず最近の国際的なスポーツイベントにおいて、多種多様なサイバー犯罪やサイバー攻撃が発生しています。それぞれの発生事象や背景などを見る限り、開催地における治安・犯罪傾向、社会情勢、政情、経済格差、そして社会

インフラにおけるＩＣＴやサイバー空間の利用依存度によって、発生するサイバー犯罪やサイバー攻撃が大きく異なっています。

２０２０年には、東京において第３２回オリンピック競技大会が開催される予定です。過去のオリンピックから学べることは多いですが、想定されるサイバー脅威を見積もるには、セキュリティ技術者だけでなく、安全保障、危機管理（治安）、軍事、経済、犯罪捜査、ＩＣＴやサイバー空間利用領域の社会インフラの事業者及び設備事業者等の専門家の知識や経験も必要になってくるといくだろうと、筆者は考えています。

【著作権は、名和氏に属します】