ランサムウェア・ファーミング・スピアフィッシングへの対応策について
本レポートは、アンラボコリアより発表された内容を翻訳したものです。
----------------------------------------------------------------------------------------------
ITで情報セキュリティとは、情報の収集、加工、保存、検索、送受信の途中での損傷、改ざん、流出などを防止するための管理的・技術的な方法を意味する。
一方、セキュリティ脅威とは、何らかの目的により情報の安全性を脅かす行為を意味する。情報セキュリティの歴史が始まって以来、数多くのセキュリティ脅威とさまざまな攻撃手法が生まれた。そして、セキュリティ脅威の中心に存在するのがマルウェアである。
ここでは、最近社会的にイシューになっているマルウェアを利用したセキュリティ脅威であるランサムウェア、ファーミング、スピアフィッシングについて説明する。
ランサムウェア
ランサムウェア(Ransomware)とは、ransom(身代金)とsoftware(ソフトウェア)の造語であり、PCユーザーの文書などを「人質」に取り金銭を要求することから付けられた名前である。
ランサムウェアは海外では数年前から見つかっている攻撃手法であるが、これまで韓国では大きな影響はなかった。しかし、2014年にPC感染の事例が報告され、最近では韓国の一部企業と機関で被害が発生したことが知られている。特に、モバイルを狙ったランサムウェア、ゲーマーの金銭を狙うランサムウェアが見つかるなど、徐々に手法が巧妙化し、被害事例も増えつつある。
ランサムウェアは、スパムメールをユーザーに送信し、ユーザーが添付ファイルをクリックするように誘導する方法が最も多く使用されている。また、SNS(Social Network Service)やポータルを通じてマルウェアがダウンロードされる場合もある。
ユーザーがEメールに添付されたファイルをクリックすると、PC画面にランサムウェアに感染したというメッセージが表示される。攻撃者は、PCに保存された写真や文書ファイルなどを複雑なアルゴリズムに暗号化し、暗号化の解除を条件にユーザーに金銭を要求する。ファイルに対する身代金は、PayPalのようなオンライン決済サービスやビットコインのようなオンライン仮想通貨を要求する場合もある。
[図 1] ビットコインを要求するランサムウェア
代表的なランサムウェアには次のようなものがある。
■ SimpleLocker : モバイルランサムウェアの一種であり、スマートフォンの写真や動画、文書を暗号化し、金銭を要求する。2014年5月から継続的に発見されている。
■ CryptoLocker : 感染したユーザーPCに保存されたファイルを暗号化し、ビットコインまたは現金を要求する。ピットコインまたは現金を払わないと暗号化を解除しないと脅迫する。
■ Scareware : このランサムウェアは最も単純な形式のマルウェアであり、ほとんどの場合、偽のアンチウイルスソフトウェアやウイルス削除ツールに偽装してPCに問題が見つかったので金銭を支払って解決するようにと警告する。このような種類のランサムウェアの一部はPCは正常に使用できるものの、警告メッセージやポップアップなどを表示させ不便をもたらしたり、プログラムが作動できないようにする場合もある。
■ Lock-Screen : このランサムウェアに感染するとPCを使用することができなくなる。一般的にはフルサイズのウィンドウを複数表示させ、FBIなどのロゴを利用して違法なダウンロードをしたため罰金を支払うようにと脅迫する。
[図 2] ファイルを暗号化し金銭を要求するCryptoLocker
ランサムウェアに感染した場合、金銭を支払ってもほとんどの場合はファイルの暗号化を解除することはできないため、事前予防が何より重要である。
ランサムウェアに対する予防策およびランサムウェアに感染した際の暗号化されたデータの復旧方法は次の通りである。
最近報告されたランサムウェアは、大半がスパムメールを通じて拡散されている。したがって、送信元が不明な場合、または送信元が明確な場合でもスパムメールの疑いがある際は、メールのクリックや添付ファイルの実行を控えなければならない。また、自分が使用しているOS別の方法に従って業務ファイルおよび機密文書のような重要なファイルをバックアップし、バックアップしたファイルはPC記憶装置の他にも外部記憶装置に別途保存した方が安全である。
重要な文書の場合は、「読み取り専用」に設定して保存することも被害予防に役立つ。ほとんどのランサムウェアはファイルを改ざんしながら暗号化を行うため、読み取り専用として保存すると一部のランサムウェアによるファイルの改ざん(暗号化)を防ぐことができる。
「SimpleLocker」のようにAndroidベースのスマートフォン内の情報を「人質」に取り金銭を要求するスマートフォンランサムウェアもよく発見されている。スマートフォンユーザーは公式マーケット以外からのアプリダウンロードを控え、「提供元不明のアプリ」のインストール許可を禁止しなければならない。公式マーケットにも悪性アプリがアップロードされる場合があるため、アプリをダウンロードする前にアプリの評判を確認することも必要である。
また、悪性アプリはスミッシングを通じて流布される場合があるため、SMSやSNSなどに含まれたURLの実行を控え、モバイル専用のセキュリティアプリやスミッシング検知アプリなどをインストール・実行することを推奨する。
ランサムウェアに感染したら、スマートフォンをセーフモード(端末メーカ別に異なる)で起動し、[設定] → [デバイス管理者]でランサムウェアが含まれている悪性アプリを無効にした後、アプリケーション一覧で当該アプリを削除すれば良い。
ファーミング
ファーミング(Pharming)とは、正常なユーザーのドメインを搾取したりドメインネームシステム(DNS)またはプロキシサーバーアドレスを改ざんすることでユーザーを偽サイトに誘導した後、個人情報を搾取する攻撃手法である。最近は、感染したユーザーPCから銀行サイトに接続する際、偽サイトに接続されるように操作して金融情報を搾取する方法が多く使用されている。
現在、攻撃者がファーミングマルウェアの流布のために最も頻繁に使用している方法は次のようなものである。
① 他のプログラムに含まれて流布 : ウェブハードプログラムまたはその他不要なプログラム(Potentially Unwanted Program、以下PUP)の範囲に含まれるプログラム内にインターネットバンキング情報を搾取するマルウェアを隠す方法を利用する。元のプログラムが正常に実行した後、マルウェアはバックグラウンドで動作しユーザーの公認認証書を搾取する。また、セキュリティカード番号などの情報の入力を誘導するサイトに自動でリダイレクトされるようにシステムを操作する。大半のユーザーは自らダウンロードしたプログラム内にマルウェアが含まれていること、システムが操作されていることに気付かないため、接続する銀行またはポータルサイトが正常なサイトだと思い込み、情報を入力してしまう恐れがある。
② 脆弱なWebサイトを改ざんして流布 : セキュリティに脆弱性が存在するWebサイトのうち、アクセス数が多いサイトを狙って、一部のページを改ざんすることでマルウェアを流布する方法である。この際、JAVA脆弱性などを共に悪用する場合が多い。本来は正常に使用されているWebサイトに接続するため、大半のユーザーは認識していない状態でシステムがマルウェアに感染する。
ファーミングマルウェアの予防のためには、まず、セキュリティアップデートおよびアンチウイルスソフトウェアの使用などの基本的なセキュリティルールを守り、提供元が不明なファイルのダウンロードやEメールのクリックを控えなければならない。また、PC内に公認認証書を保存するより外部記憶装置に保存した方が安全である。オンラインを通じた金融取引時は可能であれば公認認証書とセキュリティカード以外にも追加で他の認証方式を使用することを推奨する。
すべての金融情報の入力を要求する金融機関は存在しない。もし、異常に多くの金融情報を要求された場合は、一旦疑い、情報を入力してはならない。公認認証書を流出するファーミングマルウェアに感染した場合は、迅速に金融機関に公認認証書の廃棄とセキュリティカードの再発行を申し込む必要がある。
スピアフィッシング
スピアフィッシング(Spear Phishing)とは、特定の人(組織)をターゲットに、信頼できる送信者が送ったように偽装したメールを利用し、悪性Webサイトへの誘導または悪性添付ファイルの実行によりマルウェアに感染させるオンライン詐欺の一種である。
ユーザーが騙されるような内容のメールにマルウェアを添付する手法は以前から使用されていたが、現在もこの攻撃手法は効果を発揮している。このため、セキュリティ専門家は「セキュリティの最大の脆弱性は人である。」と指摘している。
スピアフィッシングは、知能型持続攻撃と呼ばれるAPT(Advanced Persistent Threat)攻撃などの高度なサイバー攻撃の開始点としてよく利用されている。スピアフィッシングから個人や組織を守るためには個人と組織両方の努力が必要である。
企業や機関の場合、スピアフィッシングの深刻性を十分に理解した上で、スピアフィッシングがAPT 攻撃とどう関係するのかを全体的な観点から把握することが重要である。
スピアフィッシングに使用されるマルウェアはターゲットに最適化して作成されるため、既知のマルウェアに対応するセキュリティソフトウェアはもちろんのこと、マルチレベル・セキュリティソリューションを企業・機関の特徴に合わせて構築することが必要である。また、一人ひとりの従業員を対象にした定期的なセキュリティ教育の実施、セキュリティ分野における人材の育成なども同時に実施しなければならない。
個人の場合は、疑わしいメールに添付されたファイルや URL を実行しないことがスピアフィッシングを防止するための最も確実な方法である。また、文書ファイルのような非実行型ファイルを利用したスピアフィッシング攻撃が増加傾向にあるため、使用中のセキュリティソフトウェアのセキュリティパッチが配布された際は、必ずアップデートをする必要がある。
知らない送信者からのファイルを会社のPCで開いてしまった場合は、直ちに社内セキュリティ担当者に連絡し、適切な措置を取るようにしなければならない。
APT攻撃事例で確認されているように、スピアフィッシングは情報流出、システム破壊など、莫大な被害をもたらす攻撃の開始点となる恐れがある。スピアフィッシングの脅威から個人と組織を守るためには、一人ひとりの努力が必要である。
