今年の不正アクセスどんなんやったかな

立命館大学

情報理工学部

上原哲太郎

今年の不正アクセスの状況

去年から続く「リスト型攻撃」

ただ主な犯人グループが捕まったことで減る？

ネットバンキング不正送金被害激増

これも例のグループが関連？

高度標的型攻撃は相変わらず

今年は脆弱性が当たり年？！

番外：不正アクセスではないけど…

今年は改めて「内部犯行」の年

ダークホテル：はっきりした日本狙い事案

今年の主なリスト型攻撃（件数/成功率はKangoさんから）

3/23～4/21 Club Panasonic(78361件1.7%） 4/14～28 MySoftbank(724件)

4/19～29 ソニーポイントサービス（273件） 5月？ チケットぴあ（約100人） 5/27～6/4 ニコニコ動画（約22万件9.98%） 5/30~ Mixi（約26万件6.1%） 6/12 LINEアカウント乗っ取り（&不正送信） 6/19～23 Amoeba（38280件1.7%） 6/23 CAPAT（11502件？%） 6/28～ バンダイナムコID（14399件0.8%）

今年の主なリスト型攻撃（件数/成功率はKangoさんから）

7/11～ ポイントーク不正アクセスとポイント詐取（OCNで1265件 gooで568件）

8/13 無印良品ネットストア（20957件0.5%） ここは9月にもやられる…

8/18 Suicaポイントクラブ（756件0.3%）

9/7 リクルートポンパレモール等（9749件？%）

9/10 JR東日本My JR-East（21000件0.2%）

9/26 クロネコメンバーズ（10689件5.6%）

9/27 docomo ID (6072件0.3%)

9/28 佐川急便（34161件？%）

時期の「波」から同一グループ犯である可能性？

ネットバンキング不正送金

6月11日 中国人グループ13名逮捕

ネットバンク狙いのマルウェア

かなり組織的 被害総額6億円？

6月 松山市の男が不正アクセスで逮捕される

ネットバンク狙いのフィッシングサイト

ゆうちょ、楽天、セブンなど

狙われたのはオンラインショップの業者

その後ウイルス供用罪でも逮捕（12/5）

実は2008年にも不正アクセスで逮捕

標的型攻撃？

5/24～ CDNetworks侵入改ざん

バッファロー、JUGEM、Aimingなどが水飲み場に

7/30～ JALマイレージバンク情報流出

報道は9/29 マルウェア経由で不正アクセス

不正アクセスは8万人 社外流出は1万？

9/5～ 法務省民事局・法務局

不正アクセスを公表（9/22）詳細不明

脆弱性の当たり年？！

OpenSSL(heartbleed)問題

世界的にはカナダ歳入庁などで大きな被害

国内での被害は4/11三菱UFJニコス（894件）

DNS移転Injection

まだ実被害なし？

Struts問題

公共サイトに結構使われていることが明らかに

POODLE問題

SSLについにトドメが

忘れちゃいけないShellShock

ホームページ改ざんなど（いずれも水飲み場的に…）

GomPlayer（時期不明） 1/7 もんじゅ事務端末へのマルウェア感染が報道

日本バスケットボール協会（2月～3月） セガ（5/12） EmEditorサポートサイト（8/13）

アップデートファイル改ざん、サポートサイトへのログイン情報詐取

日産自動車価格シミュレーション（9/9） パロアロトネットワークス日本法人（9/11）

Webサイト委託先がやられた？

技術評論社（12/5） さくらVPSのアカウント乗っ取り

フィッシングだがマス攻撃かどうかは不明

11/19プロキシ８業者一斉捜査

大光、SUNテクノ

中国で日本での接続向けVPN/proxyを展開

ネットバンク不正送金の多くに関与

内部で指南？主犯？

その他はISPへの不正アクセスやOSの著作権法違反で逮捕だが、本丸はこれから？

注目：ロジテックのルータLAN-W300Nの脆弱性が使われた？

Sony Pictures Entertainment（SPE）事件

11/24 大規模システム障害と発表

＃GOPを名乗るグループによるシステム破壊漏洩データを人質にした脅迫

Guardians of Peace？

Twitterアカウント乗っ取りなど外部にも見える害がすぐ出始める

#GOPが盗んだ情報

映画女優のパスポート写し

機密文書、パスワード類など

未公開の映画

SPEが受けた攻撃の手法

割と周到な高度標的型攻撃

使われたマルウェアに既に攻撃先情報が

北朝鮮の関与が噂されているが？

韓国テロとの類似

The Interview(金正恩総書記が登場するパロディ映画）公開中止を要求されたと報道

ただ便乗犯かも？鵜呑みにしにくい

事後対策もちょっと注目

日本人を明らかに狙ったダークホテル

ホテルWiFi経由攻撃 ２／３が日本での被害

かなり凝った手法（Adobe Readerのアップデート、Bittorrent上でのマンガなど）

電子証明書の偽造も

謎は残ってる 攻撃者集団はハングル語圏？

そもそもどうやって標的がそのホテルにいることを知るのか

番外：内部不正

国立国会図書館事案（5/15）

入札を有利にしようと下請けが…

ベネッセ事案（7/9）

孫請け技術者による名簿不正持ち出し転売

ドコモ法人顧客情報事案（9/9）

MRT事案（10/14）

元社員が顧客情報を持ち出し新会社iDoctor設立

思うこといろいろ

リスト型にせよマルウェアにせよやられ放題って感じがするんですが対策の熱が上がらないのは何故？ 結果責任ばかりで過程にケアがないのも心配

パスワード終わってるよね… FIDOにちょっと期待

不正アクセス禁止法このままでいいの？ 認証という手法が多様化するが今のままでカバー出来るのか不安

実被害が発生した場合は他の法律がよい気がする

内部不正どうするか（不正競争防止法？） 大事なんだけど…優先順位としてどうか？