Report サイバー犯罪の10年間 McAfeeが振り返るサイバー犯罪の10年 Report サイバー犯罪の10年間 目次 はじめに 3 サイバー犯罪の10年間 4 サイバー犯罪: 次には何が？ 7 エクスプロイトトップ5－サイバー犯罪時代の異なる時期を象徴 9 詐欺トップ5―最も多くの被害者を出し蔓延した詐欺 9 用語集 10 McAfee について 11 Report サイバー犯罪の10年間 はじめに 世界的不景気、セキュリティの向上、国際的取締りの努力にも関わらず、サイバー犯罪は過去10年間に渡 って拡大の一途をたどっており、毎年2桁以上の増加傾向にあります。 アメリカ連邦捜査局(FBI)によるインターネット犯罪苦情センターの報告によれば、サイバー犯罪における 利用者の損害金額は、2008年から2009年にかけての1年間に米国だけでも5億6千万米ドル1を超え、苦情 は22％増加しています。PCユーザーがインターネットを使用する際に直面する ウイルス 、ワーム 、 さら に偽のセキュリティソフトウェアといった様々な不正なソフトウェアの数を考えれば、苦情数の増大は納得 のいくことでしょう。実際、2010年においてMcAfeeが検知した 悪意のあるプログラム の新種平均数は、1 日6万件を越えています。またこれらの新しい脅威の多くが狙ったのは、私達が安心して友人や家族とコ ンタクトを取るために訪れる場所―すなわち、 ソーシャルメディアでした。サイバー犯罪者達は、私達が ガードを緩めるような場所を集中的に狙っています。McAfee2 の最近の報告は、現在急速に拡大してい る脅威の1つはソーシャルメディアを狙った、悪意のあるプログラムであることが明らかになっています。 しかしこのような報告をあざ笑うかのように、最近発生した事件はサイバー犯罪の発達と拡大が新たな レベルに達したことを大いに示すものでした。政府および組織を狙って攻撃し、サイバー犯罪者達が利 益のためだけでなく抗議のためにそのスキルを駆使する例が明らかに発生しているのです。ハッカー達 がそのスキルをオンラインでの政治的活動(ハクティビズム)に活用しているその一例が、ニュース漏洩を インターネットに公開するメディアグループ、WikiLeaksです。物議を醸すようなニュースソースに協力的 ではないと見られる組織のウェブサイトには、 「ハクティビズム」が絶え間なく攻撃を仕掛けています。 抗議活動がサイバー戦争という形で行われ、何百万3というインターネットユーザーがオンライン詐欺、 ウ イルス、 その他の攻撃の犠牲となる、 そんな世界にどうしてなってしまったのでしょうか？ サイバー犯罪は どこから始まり、 そしてどこへ向かっているのでしょう？ 私共はこのような疑問に対し、 「サイバー犯罪の10 年間」においてその答えを述べています。 サイバー犯罪拡大の10年 1990年代後半、 ダンバー防弾警備輸送車の従業員であったアレン･ペースが当時米国史上最高金額とい われた強盗を計画しました。ダンバー保安監督員であったペースは写真への車内アクセスを利用し、社 の防弾警備輸送車停車場を研究。5人の幼馴染みの助けを得て、 ダンバーのロサンジェルス施設に忍び 込みました。彼らは警備員を待ち伏せし、金庫から約1,890万米ドルを強盗。しかしペースにとっては残念 なことに、略奪金の一部から首謀者が割り出され、ペースは24年間の刑務所入りが確定しました。 しかし現在では、 自宅から出ることもなくダンバー事件の10倍以上の金額を奪うことすら、一部の犯罪者 たちにとっては夢ではありません。必要なのはインターネット接続とちょっとした知識、そして深い悪意だ けです。 アルバート･ゴンザレスの例を取ってみましょう。 ゴンザレスはシャドウクルーと呼ばれるハッカーチーム の一員であり、2005年から2007年にかけてTJ Maxx、Barnes & Noble、BJ’s Wholesale Clubといった有名小 売店のデータベースに侵入、1億8千件ものクレジットカード口座へのアクセスを入手しました。 ゴンザレ スとそのクルーはそれらの企業に対し、返金、犯罪鑑定、法的手数料を含め4億米ドルもの被害を与えま した。 あるいは、最近発覚したスケアウェア”の例では、PCユーザーに、使用しているPCが危険にさらされている と信じ込ませ偽のセキュリティソフトウェアを販売、被害総額は1億8千万米ドルに上りました。 このような例から、私達は今、サイバー犯罪の新時代に生きているということがいえるでしょう。従来の犯 罪に比べ犯罪者達のリスクは低く、そして成功すれば何億ドルという金額が彼らの懐に転がり込む時代 に突入しているのです。 1. http://scamfraudalert.wordpress.com/2010/03/13/fbi-2009-cybercrime-statistics/ 2. http://www.mcafee.com/us/about/news/2010/q3/20100810-02.aspx 3. ジャベリン・ストラテジーの個人情報盗難調査2010 3 Report サイバー犯罪の10年間 過去10年の間に犯罪というものがこれほどにも様変わりしたのはなぜでしょうか？まず、90年代にサイバ ー犯罪が着実に根付き出した後に、インターネット利用は過去10年間において爆発的に拡大、3億6千百 万人(2000年)ほどだったユーザーは5倍以上増加し、現在は20億人(2010年)に達しています。4 また、イン ターネットは高度化し、収入の機会としても拡大しました。オンラインショッピングサイトやオンラインバ ンキングなどの幅広いサービスの普及により、インターネットはサイバー犯罪者達にとって金銭と情報の 財宝発掘のような魅力を放っているのです。 これは、搾取し詐欺を行うような犯罪者達に対し、何十億人 もの銀行およびクレジットカード情報が突然、 アクセス可能になったようなものだからです。 また過去数 年におけるソーシャルメディアの登場は、 個人情報を狙うさらに素晴らしい機会を犯罪者達に与えてしま ったともいえるでしょう。 サイバー犯罪の誘惑が急激に高まった中、サイバー犯罪者のスキルも高まっています。犯罪者による悪 意のあるプログラムの蔓延は技術的進歩により容易になり、同時に彼ら自身の正体は一層隠しやすくな っています。 インターネットユーザーにとっては、 この10年間は通信、 自己表現、 これまでに無かったビジネス機会の 実現など、素晴らしいオンライン進化の10年間でした。しかし同時に、 自身の財産や個人情報が危険にさ らされ、オンライン脅威が拡大した10年間でもありました。 このサイバー犯罪の歴史とその拡大をより良く理解できるよう、サイバー犯罪の10年間 を振り返ってみま しょう。 サイバー犯罪の10年間 2000–2003—悪名& 個人的チャレンジ 世界中の混乱があっけなく終わったY2Kの後、サイバー犯罪者達は、彼ら自身に注目を集める新たな方法 を見出そうとしました。CNN、Yahoo、E-bayといった著名なウェブサイトのトラフィックを急激に増加させ、 DDoS (Distributed Denial of Service：分散サービス拒否)攻撃 などを駆使し、一時的にサイトをダウンさせ たり、ユーザーのPCを機能不能にする広範な攻撃を仕掛け、犯罪者自身のスキルを競い合いました。 有名な手法の一つは、 リンクあるいは添付を開くよう誘うスパムメールを送信、ユーザーに悪意のあるプ ログラムをインストールさせてしまうというものです。2000年に発生した「l love you」ワームはその一例 で、 「I love you」 という表題で「love letter for you」 という添付がついたスパムメールが出現し、何千万人と いうWindowsユーザーがこの手にかかってしまいました。 また、Microsoft Word DOCファイルなど一般的な書類に組み込める 「マクロウイルス」の書き方を犯罪者 達が学んだ結果、PCユーザーが感染ファイルを開くだけでウイルスが自動的に実行されてしまうという事 態も発生しました。 このような攻撃により、 ウェブサイト攻撃や最新の高速伝播ウイルスを伝える見出し記事など、サイバー 犯罪者達が求めていた世間の注目が高まりました―しかし、彼らが熱望していた真の｢報酬｣が実現する のは、数年後のこととなります。 その間… iPodやNapsterのような音楽サービスの登場により、無線LANのホットスポットが人気を集め、デジタルミ ュージックが大流行になりました。 これらの進化は後に、安全ではないワイヤレスネットワークを使用しているユーザーから情報を盗む機 会をサイバー犯罪者達に与えてしまいます。彼らはまた、危険なファイルを大人気の曲のように見せか け、音楽共有サービスにおいてユーザーがそのファイルをダウンロードするようにも仕掛けました。 McAfeeは2009年までに、感染したMP3ファイルを配信したウェブサイト、 またはMP3ファイルをオンライ ンで検索する人向けに感染を広げる目的のみで構築されたウェブサイトが40％も増加していることを確 認しています。 4. http://www.internetworldstats.com/stats.htm 4 Report サイバー犯罪の10年間 2004–2005—金銭の誘惑&専門性 この頃までに、サイバー犯罪者は彼らのスキルを証明し、ユーザーに被害を与えることからお金儲けへと 目的を移していました。 その巧妙なターニングポイントは、 アドウェア、つまりユーザーのPCに広告をダウンロードし、製品やサー ビスの購買を促す広告用ソフトウェアの出現でした。 アドウェアの一例は、 自動車用保険をオンライン検 索しているユーザーの画面上に自動車保険会社の広告アドウェアがポップアップし、保険の購入を誘うと いうものです。アドウェアベンダーは可能な限り多くのシステムにソフトウェアがインストールされること で、そのビジネスを拡大しました。彼らの手法の一つは、インストール毎に支払われるアフィリエートモデ ルです。犯罪者達はこのビジネスチャンスに飛び付き、異なるアドウェアパッケージを何百万というシス テムにインストールして莫大な金額を稼ぎました。 どのウェブサイトを訪問したかを追跡、あるいはタイプした内容を記録するスパイウェアも、 この頃蔓延し たもう一つの脅威でした。アドウェアおよびスパイウェアの双方により、サイバー犯罪者達はお金稼ぎと 人々のプライバシーの損害を本気で狙っていることを示しました。 この時代におけるもう一つの重大なサイバー犯罪の進化は、その存在を隠しながらもPCの限定アクセス を入手するソフトウェアの開発です。サイバー犯罪者達はルートキット と呼ばれるこのソフトウェアを活 用し、悪意のあるプログラムを隠しただけでなく、悪意のあるプログラムを発見するセキュリティチェック からさえも逃れることに成功しました。このトリックにより、サイバー犯罪者達は証拠を残さずにパスワー ドやクレジットカード情報を盗み出し、同時にウイルスを蔓延させることに成功しました。 その他の進化も、インターネットセキュリティ全体において幅広い影響を与えました。この頃までにサイ バー犯罪者は、何百あるいは何千というマシンを同時に感染させ、PCユーザーの知らない間に遠隔操作 することを可能にしていました。盲目的に命令に従ういわゆる ゾンビコンピューター の大集団を駆使す ることで、サイバー犯罪者達は巨大なコンピューティング力を得て、 これにより他のコンピュータやウェブ サイトをさらに攻撃したりスパムを拡散させたのです。どちらの場合も、その目的はブラックメール(完済 しないとPCやウェブサイトを攻撃する、 と企業を脅迫すること)あるいはスパムによる販売によって金儲け をすることでした。 実際、ボットネット は未だに蔓延しています―McAfee Labs™ は2010年に毎月平均で600万件のボットネ ット感染を報告、 また最近スペインの警察は何百万台もの感染コンピュータからなる世界最大のボットネ ットをシャットダウン。 この通称Mariposaボットネットは1，300万ものインターネットプロトコル(IP)アドレ スとリンクし、バンキング情報やDdoS攻撃の展開に使用されていたことが明になっています。 その間… サイバー犯罪者達が大型企業のデータベースに侵入し大量の顧客情報を入手することにより、顧客デー タ流出はより頻繁に発生するようになりました。同時に、個人情報漏洩も多発し始めました。5年の間に、 これは米国内だけでも1110万人もの被害者を出す重大問題となります。 Facebookもこの時期に創設されます。他のソーシャルメディアと同様に、Facebookも、サイバー犯罪者に とってその詐欺犯罪を永続化させる肥沃な地となっていたことが後に判明します。 2006 – 2008 – サイバー犯罪の組織犯罪化および 慎重さ 危険に晒される金銭が巨額化していく中で、サイバー犯罪者達は犯罪者組織として拡大を始めました。 一部ではマフィア同様に構成されており、不正なハッカー、 プログラマ、データ販売者はマネージャに統 括され、マネージャーはサイバー犯罪キットを分配するボスに従う、 という形になっています。 成長を続けるビジネスを守るため、攻撃者たちはその技術的知識を見せびらかしつつも、 より慎重な手 法をとるようになりました。例えば、サイバー犯罪者はそのスキルを駆使してアプリケーションの未知の 脆弱性を発見し、 これを利用してエクスプロイトするようになりました。これにより、 ソフトウェアメーカー が直していない抜け穴を利用して、悪意のあるプログラムを蔓延させたり、ユーザーのPCを完全に支配し たりすることが可能になりました 5 Report サイバー犯罪の10年間 攻撃者はまた、彼ら自身の目的に沿うようソフトウェアの機能を操作する方法も研究していました。例え ば、Microsoft Windowsソフトウェアの機能であるAutorun(自動実行)は、外部デバイスからのプログラム を自動的に実行するよう設計されていましたが、この機能を悪用し、サイバー犯罪者はMicrosoftの主要 オペレーティングシステムが悪意のあるコードを自動的に実行するようにしてしまいました。 ソフトウェアの脆弱性および機能の双方をエクスプ ロイトすることで、サイバー犯罪者はユーザーのシ ステムへのアクセスを体よく取得し、同時にソフトウ ェアメーカーを馬鹿にしていたのです その間… SkypeおよびTwitterのような独自のサービスの誕生 が、PCユーザーに人々と繋がり情報を共有する新た な方法を提供しました。Facebookと同様、Twitterも すぐに、サイバー犯罪者がユーザと交信し金銭およ び情報を騙し取るための有力なプラットフォームに なっていきます。 この時期はiPhoneが市場に登場し、 さらなるモバイ ルアプリケーションだけでなく犯罪機会をも導く存 在となってしまった時期でもありました。 2009–2010—ソーシャルネットメディアおよびソーシ ャルエンジニアリング ここ数年の間にFacebookやTwitterのようなソーシャ ルメディアが創設され普及するに従って、サイバー 犯罪者達は上手くすれば豊富な個人情報に手をつ けられるということに目をつけました。 ユーザーが自身の住所から現在の仕事場まであら ゆる情報をポストしていく中で、すべてのサイバー 犯罪者が行なったのは実際にユーザ－と交流し、そ の情報へのアクセスを入手することでした。 彼らは、今でも ソーシャルエンジニアリング を利用 して同様の犯罪を行なっています。インターネット ユーザーの興味を引くようなトピックを見つけ、そ して人気のある題材を使った攻撃を設計するので す。例えば、サイバー犯罪者はTwitterで流行ってい るトピックを追跡し、そのトピックについてのメッセ ージにクレジットカードやその他の個人情報を盗む ための危険なウェブサイトへのリンクを添付して、ポ ストします。 サイバーギャング 2006年、企業データベースからの何千というク レジットカード番号盗難の首謀者を突き止める ためにFBIが組織したOperation Cardkeeper (カ ード詐欺師集団捜査作戦)により、 ジョン・ディリ ンジャーというオンラインネームを利用したク レジットカード泥棒が主要容疑者として浮上し ました。ディリンジャーおよびその他複数の米 国人は、盗難クレジットカード番号を海外の共 犯者から受け取り、 カードを使用して購入した 物品を再度売買していた罪で告発されました。 事実が明るみに出るにつれ、デリンジャーは米 国、ポーランド、ルーマニアをまたぐ国際的サ イバーギャングの一員であることが判明しまし た。ディリンジャーおよびその他の米国人は、 盗難されたクレジットカードあるいは銀行カー ドの裏面磁気ストリップから電子的にコピーさ れた情報を買い取り、偽造カードにその情報を 組み込んで物品の購入や現金引き落としに利 用していました。その間、他のギャングメンバ ーは社会保障番号などの個人情報をオンライ ンフォーラムで売り渡していました。個人情報 は後に、被害者名義でクレジットカードを入手 するのに使用されていました サイバーギャングのトップは、 「Blindroot」 とい うニックネームのポーランド人と思われていま した。Blindrootと共犯者たちはサードパーティ のWebサーバに侵入し、サーバ上のスペースを 他のサイバー犯罪者らに貸し出して、彼らがク レジットカード詐欺用にフィッシングサイトを ホストするなどの違法活動を行えるようにして いました。 最終的に、米国およびルーマニアにおいてディ リンジャーとその他ハッカーおよび情報トレー ダー16人が逮捕されました。彼らの真のネット ワーク規模は明らかにされなかったものの、当 局はバージニア州だけでも10万件以上ものク レジットカード番号が悪用され、数千件の個人 身元情報がインターネット上で流出したことを 認めています。 最近のソーシャルエンジニアリング詐欺の一例は、 サイバー犯罪者がFacebookユーザー間における 「 誰が自分達のプロファイルを閲覧したか」に対する 興味を逆手に取り、ページを誰が見たかがわかると 見せかけた偽のアプリケーションをユーザーにダウ ンロードさせるというものでした。希望するアプリ ケーションに替わって、被害者がダウンロードしてし まうのは悪意のあるプログラムであり、 これが彼ら のFacebookメッセージセンターにアクセスし、 さら にそのスパム自体を宣伝するメッセージ付のスパムメールを送信してしまうという仕組みです。 6 Report サイバー犯罪の10年間 また現在も見られるFacebook詐欺は、サイバー犯罪者がユーザーのアカウントにアクセス出来るように し、そのアカウントホルダーから友人に対し｢外国にいる間に強盗にあったので、帰国するためのお金を 送金して欲しい｣と頼むメッセージを送信するというものです。この「I’ve been robbed!(強盗に遭っちゃっ た！)」詐欺は、何も知らない心の優しい友人を何百何千ドルという被害に合わせるという悪質なソーシャ ルエンジニアリングの一例です。 同時にサイバー犯罪者は、 スケアウェアという手口 も使用し始めました。これは今日のインターネット 脅威として現在もまだ最も蔓延しているものの一つ であり、 また被害者心理操作に長けた攻撃者がいか に大きな影響を引き起こせるかを示す点から、サイ バー犯罪の重大な進化を表す一例とも言えます。こ れはPCと情報が危険に晒されているというインター ネットユーザーの恐怖心を利用したサイバー犯罪 者達が、何百万ドルも不正に稼いだ上、 さらにマシ ンへの前代未聞のアクセスをも掌握してしまうとい うものです。 また、消費者を攻撃するだけではなく、犯罪者達は 社会的抗議および反抗という形で企業、政府、組織 もターゲットにしています。ニュース漏洩サイトか ら距離を置いたという理由でMasterCardおよびVisa に対しDDoS攻撃を展開したWikileaksハクティビズ ムの一件がその例といえます。インフラ企業および コントロールシステム、 さらには核施設までも狙っ たStuxnetワームもやはりこれに当てはまります。サ イバー犯罪は徐々に、個人的チャレンジと悪名を高 めようとする行為から、標的を定め利潤を生み出す ビジネス、そして政治的手段へと変わりつつあるの です。 過去10年間にどれだけ犯罪が発達してしまったか を考えると、 この先どうなるのかについても思わず 不安になるのは否めません。 サイバー犯罪: 次には何が？ ソーシャル詐欺師およびアプリ略奪者 将来のサイバー犯罪の流行についてMcAfee Lab は、悪意のあるリンク、偽の友達リクエスト、 フィッシ ング などのソーシャルネットワーキング詐欺やその 企みが続行すると予測しています。例えば、友人と 思われる相手からお金や情報を求めるメッセージ を受信することもあるでしょう。特にユーザーが多く の情報を共有し続けている場合は、詐欺はより一層 洗練され、個人化されていくことでしょう。 個人情報盗難を掘り下げる Federal Commission on Identity Theft (個人情 報盗難における連邦委員会)は、2000年に個人 情報盗難防止プログラムを発足させ、1年間に 60～70万人もの米国人に被害を与え、 さらに 拡大を続けるこの問題に対処するため、 フリー ダイヤル番号と消費者教育ウェブサイトを設置 しました。従来、多くの脅威は家庭で起こって いました―郵便物の盗難、 ゴミ漁り、盗難は、大 半において被害者の知人、友人や親戚による犯 行でした。 しかし10年後、個人情報盗難は非常に一般的 な犯罪となり、2009年には米国人成人中1110 万人が個人情報盗難の被害にあったと見られ ており、 また詐欺による年間被害総額は590億 米ドルに上りました。FRB議長ベン・バーナン キ氏夫妻でさえ、 「Big Head」 と呼ばれる一連の 高度な個人情報詐欺により被害にあっていま す。夫妻の共有口座用小切手帳が入った妻の 鞄を犯罪者が盗んだことから、 この事件は発生 しました。 個人情報盗難は今でもスリなどの常套手段を 用いて実行されることが多々ありますが、オン ラインでのフィッシング、偽のウェブサイト、お よび企業データ流出による犯行件数が増加し ています。 詰まるところ、インターネット流行以前に比べ、 現代の犯罪者達にとっては私たちの個人情報 を得る方法は無数に存在しているということで す。個人情報盗難の手法は変化していますが、 後に残る被害は変化していません。個人情報 盗難の被害にあった方は、金銭的な損失だけ でなく、 自身の信用および面目まで失うことに なります。このサイバー犯罪の時代にあって、 個人情報盗難は最も蔓延し、 また最も重大な脅 威の一つといえるでしょう。 McAfee Labs はまた、ユーザーのクリックスルーを 誘う危険なリンクを添付の上で人気トピックへポス トするというTwitterを悪用した犯罪も増加も予見しています。 Foursquare、Google Places 、Gowallaなど現在位置に基づいたサービスも、危険性を孕んでいます。実際 の世界で自分がどこにいるかをポストするユーザーが増え続けることで、ユーザーのパターン、現在位 置、そしていつ家を空けるかを犯罪者たちに教える機会は増え続けていきます。オンラインで入手可能 な情報と合わせることで、 このオンラインデータは実世界における重大な犯罪、つまり強盗などに繋がる 恐れがあります。 7 Report サイバー犯罪の10年間 携帯機器及びアプリケーションの急増も、サーバー犯罪者たちにとってもう一つの犯罪機会を与えていま す。犯罪者たちは既にこれに目をつけています―McAfee Labs5は携帯脅威が増大し、2010年第三四半期 においてはさらに標的となっていたことを報告、 また2011年は携帯機器における脅威がターニングポイ ントを迎えるであろうと予測しています。アプリケーションを標的にすることにより、犯罪者たちは膨大な 量の個人およびバンキング情報をユーザーから盗めるようになるでしょう。 複数のデバイス間で機能する広範的なアプリケーションに対するユーザの需要は、犯罪者にとっては、一 つのアプリケーションを標的にするだけで、iPhone、Android、Windowsベース、 どの電話であろうと様々な プラットフォームにダメージを与えられる可能性を示しています。 多くの攻撃タイプはそのままの形(すなわちフィッシング、危険なウェブサイトおよびダウンロード、迷惑 メール)で続けられるでしょうが、サイバー犯罪者の手法はより標的を定め、そして高度なものとなってい くでしょう。スキル自慢のための破壊の日々は終わりを告げました―現在は、お金儲けと慎重さの時代な のです。 サイバー犯罪の拡大: PCユーザーにも責任が？ サイバー犯罪においては、犯罪者達を糾弾するのは容易なことです。しかし、彼らの成功は、私達の行 動または怠惰に起因する所はないでしょうか？ 考えてみましょう―インターネット脅威の蔓延と危険 性についての知識の広まりにもかかわらず、最近のアンケートでは消費者のうち総合セキュリティ製 品を利用しているのはたったの58％に過ぎませんでした。さらに、回答者が自身のソフトウェアを実 際にスキャンした結果、完全に保護されている回答者はたったの37％のみでした。これはつまり、ユ ーザのほぼ2/3にあたる人々は、サイバー犯罪者に対し何ら防御をせず、その犯罪活動を容易にして いるということなのです。このような事実を踏まえると、悪意のあるソフトウェアに感染したためPCを 交換せざるを得なかった家庭の数が2009年の6ヶ月間中に54万5千世帯に上ったことは、当然の結果 といえるでしょう。 回答者たちが総合セキュリティ製品をチェックした理由は、脅威は常に変化し、 また高度化しているか らに他なりません。現在では、基本的な保護では十分ではないのです。これにもかかわらず、消費者 のうち25％は無償セキュリティ製品を使用しています。 このようなソフトウェアは一般的に新しい脅威 に対する保護がなく、大抵の場合消費者に対してより包括的な有償バージョンをアップセルするもの です。 自身のPCを自分で守ることと同時に、私達は自分自身の情報の保護をもっと大切にする必要がありま す。 過去2年間だけでも、700万人の米国消費者―または13世帯につき1世帯―が自分達の個人情報をフ ィッシング犯罪者(合法な企業あるいは組織と偽って消費者が情報を提供するよう仕掛ける詐欺師)に 渡してしまったことを認めています。そして現在、詐欺師らは若年層が特に安心して自己表現を楽しむ ソーシャルメディアにその標準を定めています。残念なことに、その影響は確かに認められます。他 の研究において、18－24歳のソーシャルメディアユーザーが特に、他の年齢層に比べ、不正行為およ びデータ漏洩の急増を報告しています。 サイバー犯罪者達の暗躍を抑えるには、明らかに私達自身がPCと個人情報の保護を高めなくてはな らないのです。テクノロジーが達成できる成果は限られています。残りはPCユーザー側の知識と用心 が鍵となるでしょう。 出展: 2010 NCSA study; Consumer Reports State of the Net report in 2010; Javelin Strategy & Research, 2010. 5. McAfee 2010年第3四半期脅威レポート 8 Report サイバー犯罪の10年間 エクスプロイトトップ5－サイバー犯罪時代の異なる時期を象徴 1. MyDoomの大量感染: 損害見積額 380億米ドル この素早く拡散するワームは2004年に最初の攻撃を開始、金銭的損害という点ではリストのトップに上り ます。ワームはコンピュータに感染し、迷惑メールを送信するよう設計されていました。送信された迷惑 メールの膨大な量により、インターネットアクセス速度が世界的に10％低下し、一部のウェブサイトへの アクセスは50％低下。 これにより生産性とオンライン販売において何十億 ドルもの損害が発生しました。 2. 「I LOVE YOU」 ワームによる偽の愛情: 損害見積額 150億米ドル 「I love you」 ワーム(受信されたEメールの表題から名付けられた名称)は非常に魅力的であったことが 2000年に証明されてしまいました。何百万人ものユーザーがスパムメッセージを開き、添付された「love letter」 ファイルをダウンロードしたのです。残念なことに、送られてきたのは甘い愛のメッセージではな く、忌々しいウイルスでした。この悪名高いワームにより、PCのシャットダウンと感染除去のため企業およ び政府組織は150億米ドルを費やすことになりました。 3. Conficker、忍び寄る破壊: 損害見積額91億米ドル こ2007年に発生したワームは何百万台ものPCに感染し、その後、本リスト1位と2位のワームよりも根深い 感染を引き起こしました。 これは、サイバー犯罪者達が悪名を得る満足感から専門性を競うようになった ことに起因しています。Confickerは、 ウイルス作成者により管理されているサイトから、悪意のあるプロ グラムをダウンロードおよびインストールしてしまうよう設計されていました。悪意のあるプログラムに は、キーロガー およびその他のPC制御ソフトウェアが含まれ、 これによりサイバー犯罪者達はユーザー の個人情報およびそのマシンへのアクセスを入手することができました。 4. Stuxnet ワーム―定められた標的と危険性: 被害未知数 この最近のワームは、Windowsのいくつかの脆弱性を悪用し、ユーティリティ企業および管理システムな ど重要なインフラストラクチャを標的にしています。 Stuxnetはインド、米国、インドネシアの政府施設、およびイランの核施設に損害を与えたことが報告され ています。ワームの作成者は未だ確定されていないものの、その存在と標的を定めた攻撃の脅威は世界 的に認知されています。 5. Zeusボットネット―万能な情報略奪者: 被害未知数 サイバー犯罪者達はこのボットネットにギリシャの神の名前をつけていますが、 これは名前どおりのパワ フルさはないものの、PCユーザーにとっては2007年以来の悩みの種となっています。 主要な性能の一つは、PCに感染し、インターネットバンキングサイトで入力されたデータをパスワードも 含めて捉えることにより、個人情報を盗むというものです。また犯罪者側が感染コPCをコントロールし、 個人身元情報も入手することが可能です。最近になり、新たな携帯性能を含め毎日700種類もの変種が 検知されることから、Zeusはその高度化を示しています。 詐欺トップ5―最も多くの被害者を出し蔓延した詐欺 1. スケアウェア—ここ数年において、偽のウイルス対策ソフトウェアの販売こそが最も狡猾かつ大きな 被害を出した詐欺といえます。サイバー犯罪者達は、誤解を与えるポップアップを表示し、PCと情報が危 険に晒されているというユーザーの恐怖心を逆手に取ります。続いて被害者はウイルス対策ソフトウェア を購入して、問題を解決するよう促されます。購入に同意した被害者は、 まさにこの詐欺を操る真犯人に 対して金銭およびクレジットカード情報を提供してしまうのです。 2. フィッシング詐欺—フィッシング、つまりユーザーが個人情報を与えてしまうよう罠を仕掛けるこの詐 欺は、最も蔓延し、そしてしつこいオンライン脅威の一つです。実際のところ、4万9千件6ものフィッシング サイトが2009年末に確認されています。 フィッシングの罠は様々な形で現れます。例えばスパムメール、 スパムメッセージ、偽の友達リクエスト、 ソーシャルネットワーキングポストなどがあります。通常サイバ ー犯罪者は合法的なビジネスあるいは組織を騙り、ユーザーの情報を求めます。 3. 偽のウェブサイト—I近年、本物のウェブサイトに見せかけるよう、サイバー犯罪者達はより一層熟練し てきています。偽のバンキングサイトからオークションサイト、eコマースページまで、犯罪者達は常にオ ンラインの罠を仕掛け、ユーザーがその罠にかかってクレジットカードや個人の情報を入力するよう待ち 6. アンチフィッシング・ワーキング・グループ2009年第4四半期報告書 (2010年1月) 9 Report サイバー犯罪の10年間 受けているのです。 このような偽のウェブサイトは大抵フィッシングの仕掛けの一部として使われており、 サイバー犯罪者達はここから詐欺ウェブサイトへのリンクを添付したメッセージを送信しています。 また最近の研究では、悪意のあるソフトウェアあるいは広告に感染したウェブサイト―その多くは偽サ イト―の数が1200万サイト7に達したことが示されています。 まさにユーザー自身の自覚と注意が求めら れます。 4. オンラインデート詐欺—”I Love You” ウイルスと同様に、オンラインデート詐欺は被害者の心の琴線 に触れることで利益を得ようとするものです。典型的なオンラインデート詐欺は、詐欺師がオンラインデ ートサイトに魅力的な写真をポストすることから始まります。その後詐欺師はサイトの他のメンバーに対 し、興味を抱いたと見せかけるようなメッセージを送信します。次のステップでは、被害者との1対1の会 話をメールやメッセージで始め、涙が出るような話に持ち込みます。こうして、金銭、商品、あるいはその 他の利益を求めるため、犯罪者は個人的な関係を深めます。 5. ナイジェリア詐欺 —これは、 「ナイジェリアの手紙」 とも呼ばれ、 自国から海外に数百万ドルの現金を 転送する手助けを求め、その援助者に、転送したお礼として歩合を提供するというものです。残念なが ら、出来過ぎた話であるにもかかわらず、多くの受信者がこれを信じ、詐欺師がこの「取引を進めるため」 と称して様々な手数料を事前に求めるのに応じて、一部の人々は何千ドルものお金を支払ってしまいまし た。 用語集 アドウェア—ユーザーに焦点を当てた広告を表示することにより収益を生むソフトウェア。アドウェアは ベンダーあるいはベンダーの提携者のいずれかから収入を得ます。一部のアドウェアは、個人情報を捉 えるか、あるいは転送する機能を備えています。 ボットネット—ゾンビPCの集合体。ボットネットはロボットネットワークの略称です。ボットネットは何十 台あるいは何百何千というゾンビコンピュータにより構成されます。ボットネット内の単一PCは一日に何 千ものスパムメッセージを自動的に送信することができます。最も広まっているスパムメッセージは、 ゾ ンビコンピュータから送信されているものです。 DDoS攻撃—DDoS、サービス拒否攻撃は、PCサーバあるいはネットワークを標的にし、 トラフィックによる フラッドを引き起こすものです。サービス拒否攻撃はその標的を不正な接続要求の数で圧倒し、標的が 適切な要求を無視してしまうよう仕向けます。 ゴミ漁り—ゴミを選り分けて、機密情報など貴重なデータを探し出そうとする行為。 キーロガー—パスワードや機密情報を含め、キーボードでタイプした内容を密かに記録するプログラム。 マクロウイルス—アプリケーションの内部マクロ言語に書き込まれたプログラムあるいはコードセグメ ント。一部のマクロウイルスは複製し分散しますが、ユーザのマシン上の書類やその他のファイルを改ざ んするだけのものもあります。 悪意のあるプログラム—所有者の同意なしにコンピュータシステムに感染することを狙う不正なソフト ウェアのことです。 フィッシング—銀行や合法な企業など信頼のあるソースから送信されたと見せかけたメールを送ること により、パスワード、 クレジットカードの詳細情報などの個人情報を不正に入手する手法。典型的には、添 付されたリンクをクリックして連絡先詳細やクレジットカード情報を確認するよう求めるフィッシングメー ルが送られてきます。 ルートキット—その存在は隠しながらも、感染したPC内のファイルあるいはプロセスを改ざんするソフト ウェアツールのセットのこと。 スケアウェア—ユーザーが、無意味または危険性のあるソフトウェア(通常は偽のウイルス対策ソフトウェ ア)を購入あるいはダウンロードするよう仕掛けた悪意のあるプログラムの一種です。scarewareという名 称は、マシンに異常があるとユーザを怖がらせ (scare)てソフトウェアをダウンロードするように仕向ける ことから付けられています。 ソーシャルエンジニアリング—Tサイバー犯罪者が、ただテクニカルな方法を取るのではなく、PCユーザ ーが特定のアクションを取るように、 あるいは個人情報を漏らすように巧みに操る行為です。 7. レポートいわく、悪意のあるプログラムはどこにでも (PCマガジン、2010年11月) 10 Report サイバー犯罪の10年間 ウイルス—通常はユーザーの知らない間、 または無認可の間に、ディスクあるいはその他のファイルを攻 撃し急速に分散を繰り返し続ける機能を備えたコンピュータプログラムファイル。 ワーム—他のドライブ、システム、あるいはネットワークに複製を作り出し分散し続けるウイルスです。大 量メールワームは、ユーザによる何らかの形での分散を要します。(例：添付を開く、あるいはダウンロード したファイルを実行するなど) 今日のメールウイルスの大部分はワームです。 「ゾンビ」 コンピュータ—感染し、サイバー犯罪者が遠隔操作することが可能になっているコンピュータ のことです。 McAfee について マカフィーは、 カリフォルニア州サンタクララに本社を置く、セキュリティ・テクノロジ専業のリーディング カンパニーです。世界中で使用されているシステム、ネットワーク、モバイルデバイスの安全を実現する 革新的なソリューションとサービスを提供し、ユーザーのインターネットへの安全な接続、webの閲覧お よびオンライン取引の安全を確実に支えています。マカフィーは、他の追随を許さないクラウドベースの セキュリティ技術基盤Global Threat Intelligence™（グローバル スレット インテリジェンス）を活用して、革 新的な製品を送り出しています。個人ユーザーをはじめ、企業、官公庁・自治体、ISPなど様々なユーザー は、 コンプライアンスの確保、データの保全、破壊活動の阻止、脆弱性の把握を実現し、 またセキュリティ レベルを絶えず管理し、改善することができます。詳しくは、www.mcafee.comをご覧ください。 お問い合わせはこちらまで: Francie Coulter [email protected] まで、あるいはお電話で (408) 346-3436、 または Kim Eichorn [email protected] あるいはお電話で (408) 346-3606までどうぞ McAfee, Inc. 2821 Mission College Boulevard Santa Clara, CA 95054 888 847 8766 www.mcafee.com McAfee, Inc. 2821 Mission College Boulevard, Santa Clara, CA 95054, 888.847.8766, www.mcafee.com 本書に記載された情報は、教育用途と McAfee の大切なお客様への便宜供与を目的として提供されています。本書の内容は予告なしに変更される場合があ ります。 また、本書は「現状のまま」提供するものであり、特定の状況あるいは環境に対する正確性および適合性を保証するものではありません。 . McAfee、マカフィーは、米国法人McAfee, Inc.またはその関係会社の米国またはその他の国における登録商標または商標です。本書中のその他の登録商標 及び商標はそれぞれその所有者に帰属します。(© 2010 McAfee, Inc. All rights reserved. rpt_cybercrime_1210_fnl_ETMG
© Copyright 2024 Paperzz
