Twitter社へのソーシャルエンジニアリング攻撃

Twitterの著名アカウントが7月にハッキングされた事件の詳細手口がようやく出てきました。意外に単純な「手口」だったと言えそうです。

www.reuters.com

「Twitterが洗練されていない攻撃に対して脆弱であったことは、自主規制が答えではないことを示しています」と金融サービス監督のリンダ・レースウェルは述べています。

Twitterはレビューに協力し、チームとプラットフォームのセキュリティを強化していると語った。同社は、ハッキングの前に一部の従業員がアカウントの資格情報を共有することに騙されたことを認めています。
（中略）
レースウェル氏によると、ハッカーは数人の従業員に電話をかけ、Twitterの情報技術部門で働いているふりをして、従業員が自宅で仕事をしているために一般的になっていた同社の仮想プライベートネットワークの問題に対応していると主張した後、ログイン資格情報を取得したという。

（ロイター記事より引用）※機械翻訳

キタきつねの所感

Twitter社は、他の多くの企業と同様に、自社のセキュリティ脆弱点（事件を発生した原因）を詳細には公開していません。今回のロイター記事のソースは、ニューヨーク州金融サービス局（規制当局）からの情報の様ですので、信頼性が高いかと思います。

金融サービス局はTwitter社への攻撃が「洗練されてなかった」と言っていますが、記事を読むと、古典的なソーシャルエンジニアリングの手口だった事が伺えます。

社員の忠誠心へ過度の期待をしてはいけない

産経新聞のスクープ記事を見て思ったのは、海外からの産業スパイ的行為は思った以上に広がっているのではないかという事です。スパイ防止法が無い日本では、企業側はこうした事件に敏感になる必要がありそうです。

www.sankei.com

　大手化学メーカー「積水化学工業」（大阪市北区）の男性元社員（４５）＝懲戒解雇＝が在職当時、営業秘密にあたる技術情報を中国企業に漏洩（ろうえい）した疑いが強まり、大阪府警は１３日、不正競争防止法違反（営業秘密侵害）容疑で書類送検した。捜査関係者への取材で分かった。

　中国企業がビジネスに特化したＳＮＳ「ＬｉｎｋｅｄＩｎ（リンクトイン）」で元社員に接触したことも判明。ＳＮＳを通じた中国側の産業スパイが事件化された例はほとんどなく、日本の技術が中国側に流出した新たな実態が判明した。

　関係者によると、中国企業は、広東省に本社を置く通信機器部品メーカー「潮州三環グループ」。元社員は平成３０年８月上旬～昨年１月下旬、同社の営業秘密にあたる「導電性微粒子」の製造工程に関する技術情報について、潮社の社員にメールで送るなどした疑いが持たれている。

（産経新聞記事より引用）

公式発表（積水化学）

• 見当たらず（ニュースリリース）

キタきつねの所感

想像で書くのは良くない事ではありますが、恐らく、この元社員は多額の報酬（高給での引き抜き）を目当てに情報を売ったのではないでしょうか。それを供述で「情報交換」目的だったと偽った気がします。

　元社員は犯行当時、技術開発部門に所属し、営業秘密にアクセス可能だった。府警の聴取に容疑を認め、「潮社の社員と技術情報を交換することで自身の知識を深め、社内での評価を高めたかった」という趣旨の供述をしている。だが、潮社側から元社員への情報提供はなく、一方的に情報を取られる形となった。

（産経新聞記事より引用）

積水化学側にリリースが出てない（様に思える）ので、想像の域を超えませんが、競合する海外企業とLinkedinやメールだけ（非対面）を通じて、お互いに機密情報を交換しあえる（ダブル産業スパイ？）仲になる事は、ほぼ無いのではないでしょうか。

仮にそうした事が可能だったとしても、そうした信頼関係を構築する為に、相当の時間を要すると思います。

ランサムが2020年脅威のトップ

Kroll社の調査データでは2020年9月1日時点でランサムウェアが全攻撃の1/3以上を占めている様です。

www.infosecurity-magazine.com

2020年にクロールによって観察されたサイバー攻撃の3分の1以上は、3つの主要なランサムウェアギャングに起因する可能性があります。

「リュークとSodinokibi、クロールの場合はランサムウェア攻撃の長年にわたってほとんど観測されたフォームは、によって接合された迷路のすべてのサイバー攻撃の35％を構成する、これまでに2020年にトップ3 ransomwaresとして、」クロールの広報担当者は語りました。

ビジネスメールの侵害はランサムウェアとほぼ同じくらい蔓延しており、クロールが観察したサイバー攻撃の32％を占めています。

クロールが今年観察したランサムウェアギャングの新しい戦術は、被害者のデータの流出と公開でした。

（Inforsecurity Magazine記事より引用）※機械翻訳

キタきつねの所感

多くの方が「そうだろうな」と同意しそうな調査結果ですが、1/3以上というは少し驚きでした。

記事には調査データの概要しか書かれてないので、”フィッシングメール”の分類がどうなっているのかが少し気になりますが、フィッシングメールを手段として侵害原因を考えると、あり得ない数字ではない気がします。

記事ではもう１つ怖い事が書かれており、「ビジネスメールの侵害」、つまりO365等のビジネスアカウントが攻撃対象となっている事も書かれており、この攻撃が成功した後に発生するであろう、情報漏えいや、ビジネスメール詐欺（他社への攻撃）、迷惑メールの踏み台といった派生影響も懸念されます。

ランサム攻撃に戻って考えると、Krollは、攻撃側の戦略の変化、いわゆる「2重恐喝」についてもデータを出しています。

■【Weekly Pickup】2020年10月4日～10月10日

先週読んだ記事の中で、気になったモノをピックアップします。

※自分用にまとめた情報の抜粋で、一部はブログ記事の元ネタになっています。

※リンクは調査時点でのものであり、記事が公開された時点でリンク切れになっている場合があります。

※は英語記事になります。※★は良記事（個人の感想です）

①サイバー攻撃（海外）

整理No	日付	記事タイトル（リンク）
2401	10月5日	Australian social news platform leaks 80,000 user records オーストラリアのソーシャルニュースプラットフォームが80,000人のユーザーレコードをリーク
2404	10月6日	Boom! Mobile Customer Data Lost to Fullz House/Magecart Attack ブーム！Fullz House / Magecart攻撃で失われたモバイル顧客データ
2415	10月6日	A sophisticated cyberattack hit the International Maritime Organization (IMO) 洗練されたサイバー攻撃が国際海事機関（IMO）を襲った

国内法人のインシデント発生率は約8割

トレンドマイクロの国内法人に対する最新調査は、「緊急事態宣言前」であるにも関わらず、セキュリティ脅威が拡大している事を改めて教えてくれます。

www.47news.jp

　国内の大手企業や自治体などの約4割でサイバー攻撃などによるシステム上の被害が発生し、被害額が平均で1億4千万円に上ったことが10日までに、トレンドマイクロの調査で分かった。盗んだ情報を暗号化して身代金を要求する手口が増えており、同社は注意を呼び掛けている。

（中略）

　全体の約8割が、内部情報を盗み取ろうとする偽メールの受信や社員による不正サイトへのアクセスなど脅威を感じる事例があったと回答。

（共同通信記事より引用）

元ソース（トレンドマイクロ）

• 法人組織のセキュリティ動向調査 2020年版を発表

キタきつねの所感

冒頭にも書きましたが、この調査対象期間は2019年4月~2020年3月となっており、一部期間は新型コロナウィルスの影響を受けているものの、7都府県への緊急事態宣言（4/7）より前である事には留意が必要です。

とは言え、調査結果には国内法人が置かれている「危険な」状況が現れている気がします。とは言えインシデントの内容を見ると、”普通”です。大きな驚きはありません。

セキュリティインシデントの内容は「フィッシングメールの受信」が42.8％、「ビジネスメール詐欺のメール受信」が29.1％、「不正サイトへのアクセス」が26.5%、「標的型攻撃」が22.2％、「ランサムウェア感染」が17.7％と続きました。

（トレンドマイクロ発表より引用）

青山学院購買会もEC-CUBE

青山学院大学のオリジナルグッツ等を販売する青山学院購買会からカード情報、及び個人情報が流出した可能性があると発表されていました。

www2.uccard.co.jp

公式発表

• 弊社が運営する「青山学院購買会通販サイト」への不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ

2.個人情報漏洩状況
(1)原因
ア 個人情報（クレジットカード情報を除く）
弊社が運営する「青山学院購買会通販サイト」への不正アクセスにより、当サイトで保持しているお客様の個人情報が漏えいした可能性がございます。なお、当サイトではお客様のカード会員情報を保持していないため、後述の偽の決済フォームへの誘導によるものを除き、カード情報への不正アクセスは確認されておりません。
イ クレジットカード情報
弊社が運営する「青山学院購買会通販サイト」への不正アクセスにより、ペイメントアプリケーションの改ざんが行われたことによります。具体的には、不正アクセスの結果、お客様を、クレジットカード情報を入力させ盗み取るための偽の決済フォームへ誘導するプログラムが用意され、当該偽の決済フォームに入力されたお客様のクレジットカード情報が漏えいしたものです。
(2)個人情報漏洩の可能性があるお客様
ア 個人情報（クレジットカード情報を除く）
2015 年 6 月 2 日～2020 年 9 月 16 日の期間に「青山学院購買会通販サイト」にて会員登録をされた又は商品の注文をされたお客様（会員情報：2,330 件、注文情報：5,478 件）で、漏洩した可能性のある情報は以下のとおりです。
【会員情報】
会員登録の際にご登録をいただいた氏名、会社名、住所、メールアドレス、電話番号、FAX 番号、性別、職業、生年月日
【注文情報】
①商品のご注文の際にご入力いただいた氏名、会社名、メールアドレス、電話番号、FAX 番号、性別、職業、生年月日、住所 ②お届け先情報としてご入力いただいた氏名、会社名、電話番号、FAX 番号、住所

なお、第三者調査機関による調査及び当社による追加調査の結果、実際の個人情報流出件数は、より少ない可能性もあるものの、特定不可能であるため、不正アクセスを受けた当サイト内にて保持する全データを漏えいの最大件数としてご報告しております。
イ クレジットカード情報
2019 年 6 月 25 日～2020 年 5 月 12 日の期間中に「青山学院購買会通販サイト」においてクレジットカード決済をされたお客様 519 名において、漏洩した可能性のある情報は以下のとおりです。なお、期間中にクレジットカード決済をされたお客様全てのクレジットカード情報を漏えいの最大件数としてご報告しております。
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

（公式発表より引用）

キタきつねの所感

青山学院購買会は、学校法人青山学院が全額出資しており、購買会（他大学だと学生生協の様なものでしょうか）の他に、学生食堂、警備、ホール運営など学校関連業務を一手に引き受けている組織の様です。

今回被害を受けたのは、グッツ販売のサイトです。現在はログインが停止されているのですが、ソースコードは見られたので、そちらを確認してみると・・・

ZIP添付ファイルブロックの衝撃

Emotetはビジネスでのメール文化にも影響を与えそうです。CISAのアラートに書かれているEmotet緩和策ではウィルス対策ソフトでスキャンできないZip添付ファイルをブロックする事が推奨されています。

www.security-next.com

公式発表（CISA: サイバーセキュリティインフラストラクチャセキュリティ庁)

• Alert (AA20-280A)　10/6

キタきつねの所感

コロナ禍を受けて、ビジネスにおけるメールの重要度というのは下がっているとは思いますが、ZIPファイルが使えなくなると言われると困る方も多いのではないでしょうか。主に私です。

Emotetは7月からキャンペーンが再開され、米国、カナダ、フランス、日本、ニュージーランド、イタリア、オランダ等での被害が急増しており、拡散が早いマルウェアであるが故に企業も対策に迫られています。

CISAのアラートでは、ZIPファイルの部分について以下の様に書かれています。

活動のタイムライン
（中略）
9月：
マイクロソフトのセキュリティ研究者は、Emotetキャンペーンの戦術の要点を特定しました。新しい戦術には、パスワードで保護されたアーカイブファイル（Zipファイルなど）を電子メールに添付して、電子メールセキュリティゲートウェイをバイパスすることが含まれます。これらの電子メールメッセージは、モバイルデバイスで作成されたドキュメントを配信することを目的としており、ターゲットユーザーを誘導して、マクロがドキュメントを「表示」できるようにします。これは、マルウェアの配信を実際に可能にするアクションです。

（CISAアラートより引用）※機械翻訳

このアラートの元となったのは、マイクロソフトの発表を受けたBleeping Computerの9/22記事です。

※CISAアラートで引用されています