第６８６号コラム：西川 徹矢 理事（笠原総合法律事務所 弁護士）
題：「『変異型』ランサム攻撃封圧に向けて」
去る9月9日、警察庁から、恒例の「令和3年上半期におけるサイバー空間をめぐる脅威の情勢等について」が公表された。予想通り、ランサムウェアによるサイバー攻撃の多発と身代金被害の大幅な増加が目立ち、サイバー空間における脅威がいよいよ深刻なものになるとの予想で締め括っている。
今回、特に目を引いたのは、これまで不特定の多数者に対し一方的に電子メールを送りつけていた「従来型」の手口に代えて、ネットワークシステムのリモートIT管理ソリューションやVPN機器等の脆弱部に狙いを定め十分な準備を行ったうえで侵入するという一歩進化した点である。マスコミ等ではコロナウイルスに引っ掛けて「変異型」と呼称しているが、犯人にとっては、これまで以上に、安全かつ有利な方法で犯行目的に相応しい「被害者」を選択し、犯行着手のイニシアティブを握ることができるものと言えよう。更には、侵入先データの単なる暗号化に留まらず、窃取した相手側データを悪用し、データ公開を更なる恐喝手段として、身代金を要求する、所謂「二重恐喝(ダブルエクストーション)」へのヴァリエーションも容易なものになった。いずれも犯罪としては悪質性や危険性が増し、社会的にも脅威が一段と高まったと言えよう。
また、この公表文は、これらの傾向は、主要な外国の情勢とも類似すると付言する。これは、今後他国での成功事例等が度重なるようになれば、一攫千金を企図する犯罪者グループ等が国境を越え、手口を相互に研究することにより、模倣し合い、より精緻な手口を編みだす恐れが強く、類似の凶悪な犯行が増えることにもなり得ると危惧する。
因みに、本年5月7日に発生した、アメリカの精製石油製品のパイプラインシステム会社の最大手コロニアル・パイプライン社に対するランサム攻撃事案は、ある意味、新たな手口の大型事件として政府機関や多くのマスコミ等を大いに賑わせた。
この事件では、同社の基幹ネットワークに対するランサム攻撃が行われ、同社が構築・運用する全長約5、500マイルに及ぶ壮大な石油パイプラインの操業が、一時的に全面停止され、自動車王国であるアメリカの市民生活や経済活動に深刻な影響を与え、新型の社会問題として騒ぎになった。
とにかく、この事件は、被害規模が大きく、その影響は、社会的、政治的な脅威として、マスコミ等でも連日取り挙げられた。これに対して、政府も危機管理の一環として直ちにその対応に乗り出し、早々に国家レベルの国土安全保障委員会が公聴会を開き、事案の発生状況や原因、対応策や再発防止対策等多方面にわたるヒアリングを行った。他に、各行政機関や多数の関係州政府の機関等も突発事案等への対応並びに支援等十分な初動措置対応を行った。
具体的な事象としては、自動車や航空機の燃料等の供給を担う同社のパイプライン輸送等が大混乱し、東部方面を中心に燃料を求める人々による社会的パニックにまで発展し、市民の日常生活や経済活動等に大きな影響を与えた。また、犯行の渦中で会社側と犯人グループ側とが本件「ランサム（身代金）」の支払交渉に入り、約5億円に上る資産が犯人側に支払われた。しかし、事態は、これに留まらず、社会的パニックの方が大きな関心事となり、約5億円という身代金額の多寡よりも、むしろ重要社会インフラに対するサイバー攻撃による影響に関心が集まり、正に、犯罪の手口や態様によって市民社会生活に如何なる影響を生ずるかなどの問題や課題が鮮明になった。
ところで、このような視点から、これまでのランサム攻撃で、世界的レベルにまで波及し、社会に大きな衝撃を与えた事例を探してみると、奇しくも4年前(2017年)の同月(5月)12日に突如世界中のマスコミが取り挙げ、瞬く間に世界各国で大騒ぎになったものがある。事件は、このマルウエアの名を取って「WannaCry事件」と呼ばれた。
このマルウエアは、ランサムウェアとワームの機能を併せ持っており、このランサムウェアに感染後はワームの自動感染機能によって更に被害が拡散拡大した。そのため、「休み明けには地球上のすべてのパソコンがランサム被害を受ける」が如く報じられ、殊更に大騒ぎとなった。
この事案の被害結果は、我が国を含む150カ国で、23万台以上のコンピュータが、28の言語で感染され、そのデータが暗号化された上、コンピュータの身代金がビットコインで要求された。この時の衝撃は、世界中の国が一斉にサイバー攻撃に巻き込まれたかのように騒がれ、この事件以降、この種ランサム攻撃は、変異種も含め、危険この上ないものと認識され、世界のコンピュータ脅威リストでは常に上位に取り上げられるようになったという。
なお、WannaCryについては、その後、新たな変異種的なものが発覚し、世を賑わすことも間々あったが、幸いなことに、国際機関を通じての協力や、各国における対応策の開発や啓蒙普及が進められ、この手口事件を利用して市民生活を混乱させる事例は減少し、往年の勢いは見られなくなっている。
前述のアメリカのパイプライン事件に戻ると、被害者であるコロニアル・パイプライン社は、世界的なパイプラインシステム会社であって、社会インフラ部門ではリーディングカンパニーの立場にあり、アメリカの安全保障にも参画するという。この種の会社の業務の特殊性や重要性から、一般業務の一部として、また、更には非常時の緊急事態対処用として、平素から備えるべき資器材や各種の対策をしっかりと準備し、運用しており、他からの危害行動等に対しては、他の関係筋とも連携を取って、機敏に対応する力量に優れているという。
今回の公聴会等で、ハッカー達は、犯行の糸口を、「入手先は不明だが、他のウエブサイトで使われた従業員のユーザー名とパスワードを誰かがインターネット上で取得し、これをハッカーグループが入手して、同社(パイプライン社)のレガシーVPNへのログイン認証情報として使用し」システムに侵入したという。当該パスワードは、「長さ、特殊文字、大文字小文字の区別等、手の込んだ複雑なもので、簡単に推測されないもの」だったようだ。なお、本件犯行時には、「同社は既にVPN(多要素認証)を適用していた」が、偶々「そこにアカウントが無効化されていない未使用のレガシーVPNがあり、他の措置もなかったのでログインした」という。
ここでのポイントは、このような基本的ミスは絶対に回避すべきであり、回避のための機器やシステム等は、常にチェックし、不具合が疑われれば、直ちに手を打つというのが、基本中の基本であり、地道な不断の努力を重ねるに尽きる。特に、同社のように、安全保障や公共の安全、安心に直接的に関わる場合には、単純に彼此の力量を比較して対応するだけでなく、こちら側の最も弱いポイントを評価基準点と見立てたうえで、全体の安全性を追求するなどの工夫や努力が求められていると考える。
ただ、それでも、今回の同社事案のように、新規要素の多いランサム攻撃として、犯罪グループが仕掛ける巧妙かつ悪質な攻撃に対し、如何に備え、対応すべきかは、予め対案を示して具体的にこれだけをやれば良いという手法では難しいかも知れない。
しかし、ランサム攻撃は、これまでにも何度か大なり小なりの変容を遂げ、突然、予期せぬ時に発生し、予想外の被害をもたらしてきた。しかも、攻撃の実行に着手するか否かは、攻撃者側のフリーハンドに近い。彼らは、その利点を活かし、手を緩めることなく、執拗に事犯の伸展を狙ってトライすると考えるべきであろう。これに対し、護るべき側は、他に日常的難題を多く抱えながらも、様々なレベルの関係機関や組織との情報交換や連絡調整、訓練等を通じ創意工夫をこらし、万一の事態に備えてもらいたい。
最後に、私の長年の夢であったデジタルの新社会がいよいよ始まった。
先ずは、予てから、これからのデジタル化社会では、老いも若きも含め20～30名くらいのサークルを作り、これをベースにあるアイデアを固め、デジタル社会の恩恵を受け、その実現の栄に浴したいという希望を最寄りの行政機関等に申し出れば、それぞれに相応しい機関や他サークルの紹介を受けることができ、技術や資機材の活用情報や操作方法、セキュリティ技術等関連分野まで的確な指導を受けたり、ものによっては必要なサービスまで享受できる社会環境になればと夢見ている。私も、9月に発足したデジタル庁をはじめとした新しいデジタル社会へ熱い視線を送って注目している。
また、セキュリティ対策としてのサイバー攻撃対応についても、行政や情報管理等に携わる各官公庁や関連企業の第一線における問題意識について我々もこの種のサイバー攻撃がこれまでもたらしてきた変遷の実態と危険性・悪質性について同様に関心を高め情報共有を図ることが有用だと考える。更に、ハッカーグループ等の攻撃企図者がダークグループか否かに関わりなく、国内外の関係機関の協力を得ながら、犯行企図者の公表メッセージや動静情報等を何らかの形で共有できる意見交換会のようなものがあった方が良いとの声も多い。今回のアメリカの公聴会の活動記録の中にも予想以上に多彩な情報が関係者の間で共有されているのではなかろうかと感じられることが何度かあった。この様子を知って、やはりこのような「目」を持った多様、多層な情報共有の場ができないかと思っている。
私は、これ以外にも、例えば、護る側の力量の向上等について、最新のAIや統計手法、データ分析等々をベースにした予兆や兆候情報の分析、データ化等を通じて現場に近い活動結果をより的確に反映し、我々の身辺事象や動向の変化や傾向を分析予想できないかと夢見ている。常々、個人的には「兆候分析」等と理解しにくいことを口にしているが、突き詰めれば、その分析手法等の整理と活用を図って各種の意見交換ができれば良いとも考えている。是非、より的確で斬新なツールと成果を取得し、活用してもらうことができればと思う。
【著作権は、西川氏に属します】
