情報セキュリティニュース（事故事例）をご案内します。4件

情報セキュリティニュース（事故事例）をご案内します。4件

◆「Coincheck」で約580億円分の仮想通貨が不正送金
　　　 - 自己資金で補償する方針

仮想通貨取引所「Coincheck」が不正アクセスを受け、顧客
から預かっていた仮想通貨「NEM」を不正送金される被害が
発生した。被害額は日本円に換算すると約580億円にのぼる。

同サイトを運営するコインチェックによれば、1月26日3時前
より、仮想通貨「NEM」が複数回にわたり不正に送金された
もの。11時半ごろに残高が異常に減少していることへ気づき、
問題が発覚した。

被害額は5億2300万XEMで、検知当時の日本円に換算すると
約580億円にのぼる。異常を知らせるシステムを導入してい
たものの、気が付くまで約8時間を要し、「NEM」のほぼ全額
が被害にあったという。他仮想通貨に関する被害は確認され
ていない。

今回の問題を受け、同社では、同日に「NEM」のほか、他仮
想通貨の取り引きや日本円を含む出金などを停止。同社では
原因を外部からの不正アクセスと見ているが、内部犯行など
可能性も含めて現在調査を進めている。

同社は、セキュリティ対策について外注しておらず、約80人
いる従業員のうち、約半数が開発に携わり、セキュリティ対
策なども行っていると説明。具体的な対策内容は明らかにさ
れていないが、「十分な対策を講じていた」とし、「他取引
所に比べて対策が甘かった」との認識はないとしている。

一方、同社が扱う13種類の仮想通貨において、一部ではオフ
ラインで管理する「コールドウォレット」を用いていたが、
今回被害にあった「NEM」に関しては、インターネットから
操作できる「ホットウォレット」で管理していた。

くわえてトランザクションの署名に複数のプライベートキー
を利用することで不正送金のリスク低減を図る「マルチシグ
ネチャ（マルチシグ）」についても、「NEM」に対して未対応
のまま運用されていた。

こうした状況について、同社は人的リソース不足や技術的な
問題で対応できていなかったとする一方、具体的な見通しは
ないものの、今後対応することを計画していたと釈明した。

今回の問題を受け、同社では金融庁と警視庁へ事態を報告。
NEM財団や同通貨を扱う取引所と連携し、送信された通貨の
追跡や売買停止の要請を行った。

また同社にNEMを預けていた約26万人に対する補償について、
同月28日に方針を決定。自己資金を原資とし、コインチェッ
クウォレットに対して日本円で返金を行う。ただし、補償時
期や手続き方法については検討中としている。

補償額は、1XEMあたり88.549円。「NEM」の取扱高がもっとも
多い仮想通貨取引所「Zaif」を参考に、Coincheckでの売買
停止時から27日23時にかけて、出来高の加重平均から算出
したという。

（2018/01/29）

◆ネットショップ運営サービスに不正アクセス
　　 - ショップ運営者や顧客情報が流出か

ネットショップ運営サービス「カラーミーショップ」が不正
アクセスを受け、同サービスを利用するショップ運営者やシ
ョップの顧客に関する情報が外部へ流出した可能性があるこ
とがわかった。

同サービスを提供するGMOペパボによると、外部からの不正
アクセスにより、同サービスを利用してネットショップを運営
しているショップ運営者や一部ネットショップ利用者に関する
個人情報が流出した可能性があることが1月9日に判明したもの。

同サービスを過去に利用したり、現在利用しているショップ運
営者の個人情報最大7万7385件が流出した。氏名や法人名、住所、
電話番号、生年月日、メールアドレス、ログインID、ハッシュ
化済みのパスワードなどが含まれる。

また2017年3月16日から2018年1月7日にかけて、同サービスの
利用料金をクレジットカードで支払ったショップ運営者のクレ
ジットカード情報最大9430件が流出した可能性がある。

内容はショップ運営者によって異なるが、おもに名義人名、
クレジットカード番号、有効期限、セキュリティコードなどだ
という。くわえてクレジットカード番号22件については、流出
を確認している。

さらに一部ショップの利用者のクレジットカード情報最大2711
件が流出した可能性があり、内容は顧客によって異なるが、
名義人名やカード番号、有効期限、セキュリティコードなどが
含まれる。

今回の情報流出は、アプリケーションの機能が悪用されたのが
原因としており、外部から設置された不正プログラムの実行を
1月7日に検知。同日に不正プログラムが実行されないよう対策
を講じ、調査を進めていた。

同社では関係省庁へ報告し、同月22日に全ショップ運営者のパ
スワードをリセット。対象となるショップ運営者にメールで謝
罪するとともに、サービスの管理画面上で対応を案内する。ま
た情報が流出した可能性があるショップの利用者には、ショッ
プ運営者が対応にあたるとしている。

（2018/01/26）

◆「標的型攻撃メール」が大幅増、プラント関連事業者が標的
　　　　 - 実在の開発プロジェクトなど詐称

プラント関連事業者を執拗に狙う「標的型攻撃メール」が確認
された。実在する組織や開発プロジェクトなどを詐称し、巧妙
な文面でマルウェアを送りつけているという。現在も攻撃は継
続しており、注意が必要だ。

2017年第4四半期におけるJ-CSIPの運用状況を情報処理推進機構
（IPA）が取りまとめたもの。J-CSIPは、サイバー攻撃の被害拡
大防止を目的に2011年10月に発足。参加組織により情報を共有し
ている。参加組織は、前四半期の11業界190組織から増加し、
11業界227組織となった。

同四半期に参加組織から寄せられた不審メールに関する情報提供
は1930件。前四半期の57件から34倍に急増した。IPAが独自に入手
した14件を含む123件の情報について、参加組織で共有されている。

J-CSIPが情報提供を受けた1930件のうち、「標的型攻撃メール」
と判断したものは164件。前四半期の3件から大幅に増加した。
164件のうち、156件がプラント関連事業者を狙う攻撃メールだっ
たという。

これら攻撃では、実在する国内や韓国の事業者名、開発プロジェ
クト名などを詐称。プラントの設備や部品のサプライヤーに対し、
プラントに使用する資材や機材の提案、見積もりなどを依頼する
内容で、マルウェアを含む添付ファイルを開かせようとしていた。
攻撃のくわしい目的はわかっていない。

英語で書かれた文面は、一定の知識をもとに作成されており不審
な点は少ない上、短期間に少なくとも数十種類の文面が利用され
たという。送信元のIPアドレスや文面、利用されたマルウェア、
コマンド＆コントロール（C＆C）サーバなどに共通点が見られる
ことから、少なくとも2016年12月ごろより攻撃を展開している同
一犯によるものと見られている。

一方で各組織で受信したメールは、数件から数十件程度にとどま
り、無差別に送信されたものではなく、プラント関連事業者を標
的に攻撃を展開していると同機構では分析。現在も攻撃が継続中
であるとして注意を呼びかけている。

また、日本語のばらまき型メールも、前四半期に続き多数観測さ
れた。2017年11月15日に修正プログラムが公開された「Office」
の脆弱性が、約1週間後には悪用されており、脆弱性への迅速な
対応が求められると指摘している。

（2018/01/26）

◆2017年4Qの脆弱性登録は3719件
　　 - 「Android」が最多、「tcpdump」も上位に

情報処理推進機構（IPA）は、2017年第4四半期における脆弱性
データベース「JVN iPedia」の登録状況を取りまとめた。あら
たに3719件が登録され、累計件数は7万8410件となった。


「JVN iPedia」は、国内のソフトウェア開発者が公表した脆弱
性情報をはじめ、脆弱性情報ポータルサイト「JVN」の公開情
報や米国立標準技術研究所（NIST）による脆弱性データベース
「NVD」の公開情報を収録するデータベース。2007年4月より公
開されている。

2017年第4四半期にあらたに登録された脆弱性情報は3719件。
前四半期の3695件を上回った。内訳は、国内製品開発者による
登録情報が10件、「JVN」の掲載情報が213件、「NVD」の情報
が3496件。

登録開始からの累計登録件数は7万8410件。英語版には39件の
登録があり、累計1836件となった。

登録された脆弱性の種類を見ると、これまでの傾向と変わらず
「バッファエラー」が715件で最多だった。次いで「クロスサ
イトスクリプティング（398件）」「情報漏洩（371件）」
「認可、権限、アクセス制御（299件）」「不適切なアクセ
ス制御（253件）」と続く。

製品別では、「Android」が254件で最多。次いでLinuxの
「Debian」が95件、パケットキャプチャの「tcpdump」が88件
で続いた。上位20製品のうち8製品がOSで、PDFの閲覧、編集
ソフトが4製品入っている。

また、同四半期に登録された産業制御システム関連の脆弱性
情報は73件。累計登録件数は1263件となった。

（2018/01/26）