パスワードを忘れた? アカウント作成
11275753 story
政府

サイバーセキュリティ政策に係る年次報告、2013年度は政府機関への攻撃や金銭目的の不正アクセスが急増 4

ストーリー by headless
攻撃 部門より
政府の情報セキュリティ政策会議は10日、2013年度のサイバーセキュリティ政策に係る年次報告をまとめた(サイバーセキュリティ政策に係る年次報告(2013年度): PDFSecurity Nextの記事毎日新聞の記事INTERNET Watchの記事)。

国内でのサイバーセキュリティ全般の状況としては、不正アクセス認知件数が2012年の約2.4倍、検挙件数も1.8倍に増加。不正アクセスの内容としては、インターネットバンキングの不正送金が2012年の95件から2013年には1,325件に急増するなど、金銭目的にウエイトが変化しているとのこと。不正に入手したIDとパスワードを使用した不正アクセスの検挙件数でみると、「利用者のパスワードの設定・管理の甘さにつけ込んだもの」が大半を占めるようになった。フィッシング報告件数も2014年1月に急増している。

政府機関では脅威の検知件数が2012年度には約108万件だったが、2013年度には約508万件に急増。一方、不正アクセスが検知された場合に行われる当該政府機関への通報件数は2012年度の175件から139件に減少している。ただし、2012年度の通報件数が多いのは、大量に送信された標的型メールの検知が大半を占めていたためだ。2013年には標的型メールの検知が全体の4分の1に減少し、不審な通信の検知が全体の3割にまで増加したという。不審な通信が増加したのは標的型攻撃や水飲み場型攻撃によるマルウェア感染が原因とみられ、特定の組織や職員を対象とした標的型メールによる攻撃の成功率が上昇しているとも考えられるとのことだ。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by chuukai (18189) on 2014年07月13日 23時02分 (#2638640) 日記

    日曜日の作られたストーリーであるせいか、あまりコメントがないので賑やかしに流し読みした感想を書きます。
    なお、以下の記述にはITやセキュリティの技術者でも専門家でもないchuukaiが調査した結果が含まれていますので、眉に唾しながら見て下さい。

    まず「別添3-9 政府機関等に係る2013年度の情報セキュリティインシデント一覧」(156頁、PDFでは160/222から)がよいと思いました。
    政府機関等のセキュリティ問題について、私自身なるべくニュースで把握していたつもりでしたが、見落としていたものもあったことを確認でき、良いまとめだと思います。

    私自身が興味を持って調べてきた「意図せぬ情報流出に係る情報セキュリティインシデント」については、年次報告本文に例示がありました。

    例えば、2013年7月に問題が表面化した、インターネット上でメールを共有できる無料のクラウドサービスで個人情報や中央官庁の内部情報が誰でも閲覧できる状態になっていた事案や、2013年11月に問題が表面化した、大学でファックスやスキャナーで読み取った学生らの個人情報がインターネット上で誰でも閲覧できる状態になっていた事案、2013年12月に問題が表面化した、入力した全ての文字情報がクラウドサービスのサーバに送信される日本語入力ソフトがインストールされていた事案等が発生している。

    1つ目はグーグルの無料メール共有サービス「グーグルグループ」で復興庁、農林水産省、国土交通省、環境省の内部情報が漏れた話、2つ目は東京大学医科学研究所、東北大学、琉球大学の3大学で、ファックスやスキャナーで読み取った個人情報が漏れた話、3つ目はBaidu IMEの話でしたが、固有名詞を入れてくれないとわかりにくかったです。

    以上に付け加えて、私が独自に調べて判明した、意図せぬ情報流出に係る情報セキュリティインシデントで特徴的なものを書ける範囲で書いてみます。
    1.大学の学内に設置されているとみられる記憶装置に、有償のOSのインストールCDファイル(.iso)複数が置かれたまま、長期間外部から閲覧できるようになっていた。
    2.大学の学内に設置されているとみられる記憶装置に、ゼミの内部情報(在籍中、あるいは卒業した学生の氏名等の個人情報を含む)が置かれたまま、長期間外部から閲覧できるようになっていた。
    3.政府の広報を作成する機関に設置されているとみられる記憶装置に、内部情報(タイトルに機2という記述が含まれるメールが多数含まれているファイルも存在)が置かれたまま、長期間外部から閲覧できるようになっていた。

    私が独自に調べている中では、政府機関そのものからの意図せぬ情報流出に係る情報セキュリティインシデントはありませんでした。
    政府機関そのものの場合には、年次報告にあるGSOC(Government Security Operation Coordination)センサーが働いて外部から記憶装置の中身が見られてしまうことはないようですが、それと同等のシステムを導入できない大学や独立行政法人では、政府機関に比べてセキュリティリスクにさらされているなあと思いました。

  • by Anonymous Coward on 2014年07月14日 9時29分 (#2638750)

    最近、うちが契約しているプロバイダがDDos で DNSサーバ狙われちゃって。
    二日間ぐらい、不定期にIP引けなくなったりしてたよ。

typodupeerror

Stay hungry, Stay foolish. -- Steven Paul Jobs

読み込み中...