情報セキュリティニュース（事故事例）をご案内します。4件

情報セキュリティニュース（事故事例）をご案内します。4件

◆2割弱が出所不明の公衆無線LAN利用
　　 - 「セキュリティ意識していない」 約3割

公衆無線LAN利用者の半数がセキュリティに不安を感じている一方、
3割が「セキュリティ対策をしていない、セキュリティを意識して
いない」ことがわかった。

MMD研究所とマカフィーが公衆無線LAN利用者の実態調査を実施し、
結果を取りまとめたもの。同調査は11月15日から17日にかけて、
インターネット上で実施。スマートフォンで公衆無線LANを利用した
ことがある15歳から69歳の男女3897人が回答した。

同調査では、回答者の69.4％が公衆無線LANを利用。利用経験がある
1556人を対象に接続経験のある公衆無線LANの種類を見ると「お店や
ホテルなどが提供している公衆無線LAN」が87.8％と突出していた。

「キャリアやプロバイダなどが提供している公衆無線LAN」が24％だ
った一方、「どこが提供しているかわからないが接続できそうなパ
スワード不要の公衆無線LAN」も17.5％に及ぶ。

「どこが提供しているかわからないが接続できそうなパスワード不
要の公衆無線LAN」の利用者に対し、利用にあたって抵抗感を持たな
いか尋ねたところ、「とても抵抗感がある（12.5％）」「やや抵抗感
がある（32％）」と、あわせて44.5％が抵抗感を覚えつつも利用して
いた。

公衆無線LANに対する意識としては、「接続できる場所が少ない
（53.4％）」「セキュリティが不安（53％）」が半数を超える。
また、「速度が遅い」「ログインする必要があるものは面倒」など、
ネガティブな意見が上位を占めた。

因果関係は不明だが、回答者が公衆無線LANの利用によって生じたと
感じている問題としては、「迷惑メールが送られてくるようになった」
が12.1％と最も多い。

「自動的にWi-Fi接続する設定にしていたため、知らない間にWi-Fi
に接続されていた（6％）」
「ログインが必要なサイトへの不正ログインが確認された（3.3％）」
「接続したことのないサイトから請求があった（2.4％）」
「クレジットカードを不正利用された（2.3％）」
といった回答も見られた。

公衆無線LANの利用に際してセキュリティ面で気を付けていること
を聞いたところ、「セキュリティ対策していない、意識していない」
が31.5％でもっとも多い。次いで、
「他人に見られて困る情報は入力しない」が27％で、
「知らないアクセスポイントには接続しない」が20.8％だった。

（2017/12/21）

◆「繰り返しDDoS攻撃」が増加 - 回避措置も想定、長期ダウン狙う

長期のサービス停止を狙い、執拗にDDoS攻撃を行うケースが増えている。
攻撃中だけでなく、防御側が攻撃を回避する時間が発生することも想定
しており、攻撃者は低コストでダウンタイムの長期化を狙っているという。

米Akamai Technologiesが、2017年第3四半期におけるDDoS攻撃の観測
状況を取りまとめ、報告したもの。

同四半期における「DDoS攻撃」の件数は前四半期から8％増加。
「レイヤー3」「レイヤー4」に対する攻撃が8％増となったほか、
リフレクション攻撃についても4％ほど増えている。

期間中に同社が観測したDDoS攻撃の最大トラフィックは109Gbps。
ボットネット「Mirai」を利用した「ACKフラッド攻撃」だった。
パケットの内容を見るとデータサイズがオリジナルの512バイト
から900バイトに増加し、攻撃先のポートが80番から443番へ変更
されていたという。

同期間中における「Mirai」以外の攻撃を見ると、104Gbpsの攻撃が
発生していた。攻撃ベクトルを見ると、リフレクション攻撃が多く
を占めており、「DNS」が16％で最多。「NTF」が12％で続く。
さらに、従来は少なかった「CLDAP（Connection-less LDAP）」を
利用したリフレクション攻撃も増えており、8.8％まで上昇した。

同四半期において注目されるのは、攻撃対象となった企業が受けた
攻撃の平均回数だ。2017年初頭は四半期あたり25回だったが、その後
上昇傾向にあり、2017年第3四半期には平均36回まで増加した。
執拗に同一の組織を狙う傾向が見て取れる。

アカマイ・テクノロジーズでプロダクト・マーケティング・マネー
ジャーを務める中西一博氏によれば、継続的な攻撃が行われる背景
には、コストを抑えつつも、サービスの停止期間を長期化させる攻
撃者側の狙いがあるという。

一定規模のDDoS攻撃を受けると、ネットワークを共有する他事業者
への影響を抑えるため、ISP事業者は正当なトラフィックか攻撃で
あるか否か関わらず、攻撃対象となったIPアドレスに対するすべての
パケットを破棄する「ブラックホールルーティング」といった対応を
一時的に実施するが、攻撃者はこうした対応をあらかじめ想定。

攻撃者は、断続的な攻撃と、緩和策である「ブラックホールルーティ
ング」を繰り返させることで、攻撃リソースを節約し、コストを抑え
つつも、ターゲットを長期的なサービスの停止へ追い込むという。

また同四半期に同社では、Google Play経由で配布されたAndroid向け
アプリを利用したDDoS攻撃「Wire X」を観測している。

同社では14万件のIPアドレスより攻撃を確認。同時に少なくとも7万の
ノードが攻撃に参加していたという。攻撃の発信国は100カ国以上に
のぼり、国内からは、226件のIPアドレスが発信元となっていた。

（2017/12/21）

◆北朝鮮の攻撃グループ「HIDDEN COBRA」、国内で活動した形跡

北朝鮮の攻撃グループである「HIDDEN COBRA」によるサイバー攻撃が、
国内に対しても展開されていた可能性があることが明らかになった。

フォーティネットジャパンが、同社において同グループが利用するマル
ウェアによる通信を一時観測していたことを明らかにしたもの。

具体的には、同グループが少なくとも2016年ごろより利用していると
見られるリモートアクセスツール「FALLCHILL」の通信を観測したという。

同マルウェアは、米国土安全保障省（DHS）や連邦捜査局（FBI）が共同
で調査を実施し、同じく同グループが利用するバックドア「Volgmer」
とあわせて、11月中旬に詳細情報を公開、注意喚起を行っていた。

米政府の注意喚起後、複数の主要セキュリティベンダーに対して行った
取材では、日本国内において目立った攻撃はいずれも確認されていなか
ったが、今回、国内において攻撃が観測されていたことが明らかとなり、
あらためて同グループの攻撃活動へ注意を払う必要が出てきている。

FortiGuard Labsでセキュリティストラテジストを務める寺下健一氏に
よると、米政府が公開した情報をもとにマルウェアの活動状況について
調査を実施したところ、国内において「FALLCHILL」の活動を確認した。

同氏によれば、「FALLCHILL」は、唯一日本から活動が確認され、同社
において11月19日から翌20日にかけて15件を検知していたという。

一方バックドアである「Volgmer」については、DHSの調査でも多く感染
が確認されたインドにおいて感染活動を観測したものの、国内において
は未検知だった。

今回観測された「FALLCHILL」は、少なくとも2016年より利用されている
ことが判明しており、二重化されたプロクシを用い、TLSに見せかけた暗
号化通信を行うのが特徴。

また「FALLCHILL」の感染源は、「HIDDEN COBRA」が利用する別のマル
ウェアや、ウェブサイトなどと見られている。DHSの調査では、航空宇宙、
通信、金融分野などが、おもな攻撃対象となっていた。

米政府では、組織内で「Volgmer」「FALLCHILL」などへ感染していないか
チェックできるよう、「STIX」や「CSVファイル」で脅威情報を提供。
マルウェアの解析結果についてもPDFで公開しており、調査などに利用する
ことができる。

（2017/12/20）

◆ロジテック製ルータ11機種、「Mirai」感染のおそれ
　　 - 最新ファームウェアか確認を

一部ロジテック製ルータにおいて、ファームウェアの旧版に脆弱性が存在
し、インターネット経由で攻撃を受けてボットプログラム「Mirai」へ感染
するおそれがあることから、同社はあらためて利用者にアップデートを呼び
かけた。

同社11製品において、既知の脆弱性が悪用され、DDoS攻撃などに悪用されて
いる「Mirai」へ感染するおそれがあるとして、注意喚起を行ったもの。
脆弱性が存在する旧版のファームウェアを利用していると、インターネット
経由で「UPnP」にアクセスでき、脆弱性を突かれるおそれがある。

同社では、2013年6月以降、脆弱性を修正したファームウェアを提供しており、
対象製品の利用者に対し、最新版のファームウェアを利用しているか確認し、
必要に応じてアップデートを実施するようアナウンスを実施した。

JPCERTコーディネーションセンターや情報通信研究機構（NICT）では、同
問題に起因すると見られる「Mirai」への感染をすでに国内において観測
しており、注意を呼びかけている。

旧版のファームウェアにおいて、今回の脆弱性が影響を受ける製品は以下の
とおり。

LAN-WH300N/DR
LAN-W300N/DR
LAN-WH300N/DRCV
LAN-WH300N/DRCY
LAN-W300N/R
LAN-W300N/RU2
LAN-W300N/RS
LAN-W300N/P
LAN-W300N3L
LAN-WH300N/DGR
LAN-WH300N/DGRU

（2017/12/19）