時事セキュリティが5分でわかる 第11回

パスワード使い回しで個人情報大流出、架空請求・振り込め詐欺は300億円

2014年のセキュリティ事件ワースト10を振り返る

　最近気になるセキュリティ事件のあらましをざっくり解説！　注目点とユーザーレベルでの対策をお伝えします。

　11月12日、2014年の「10大セキュリティ事件ランキング」がマカフィーから公開された（ランキングはこちらから）。日本国内の経営層や情報システム部門などのビジネスパーソンを対象に、「2014年のセキュリティ事件に関する意識調査」を実施した結果をまとめたものだ。

　今回は同ランキングを元に、ITジャーナリストの三上洋氏に今年の主な事件を振り返っていただいた。三上氏は、今年のトピックには例年とは明らかに異なる特徴があると指摘する。

リスト型攻撃が隆盛、パスワードの使い回しは危険

三上　「今年のサイバー犯罪には、ここ数年続いてきた傾向とは少し違った特徴が表れています。PCやスマートフォンに、ただアンチウイルス製品を入れているだけでは対策が取れない犯罪が多いのです。

「2014年は、アンチウイルス製品を利用するだけでは防げない被害が多かった」（ITジャーナリストの三上洋氏）

　一般ユーザーにとって最も身近な脅威は、パスワードリスト攻撃を利用した不正ログインでしょう。SNSの乗っ取り被害、ポイントサービスへの不正ログイン、クラウドサービスからの流出問題などはランキングにも挙げられていますが、これらはすべてパスワード管理の問題です。プロバイダーやメール事業者から流出したID・パスワードがネットワーク上で違法に売買され、リスト攻撃に悪用されていると思われます。

　非常にポピュラーな攻撃方法なので、IDとパスワードを使うサービス事業者のうち、この攻撃を受けていないところはないのではと思います。行政も事態を重く見て、パスワードの使い回しをやめましょうという呼びかけを実施しています。このような不正アクセスは来年も増えていくと思われるので、パスワードの使い回しは避けるべきです」

架空請求・振り込め詐欺は莫大な被害を生んだ

　また三上氏は、注目のセキュリティトピックとして、架空請求・振り込め詐欺の被害額が莫大だったことを挙げた。

三上　「架空請求・振り込め詐欺は、今年の被害額が10月末までで約294億円と、300億円を超えることがほぼ確定しています。最終的に去年の2倍近い額になる可能性もあって、これは今までには考えられないことです。今年最悪だったネットバンキングの被害は約18億円ですが、それよりも一桁大きいんですね。

　5年前のデータでは年間被害額は20憶円程度ですから、十数倍にも膨れ上がっているのです。ただ、新しい手口ではないのでメディアはそれほど取り上げません。

　被害額の大きくなるパターンは大きく分けて2種類あり、1つはいわゆる『オレオレ詐欺』です。手口が巧妙になっていて、最近は電話をかけたままATMから送金させるのではなく、いったん電話で騙してお金を引き出させ、あとから現金を自宅まで取りに来る、というケースも流行しているようです。電話口に警察や同僚、公共機関の職員を装った人間が次々と登場する劇場型犯罪で、騙されてもおかしくないぐらいに洗練されてきています。

　もう1パターンは、アダルトサイトの架空請求です。被害額の増加は、スマートフォンの普及が原因の一端だと思われます。中学生や高校生など、アダルトサイトをスマートフォンで閲覧する若年層が増えているんでしょうね。

　実際、スマホ向けのアダルト架空請求サイトが増加傾向にあり、年間100憶以上の被害が出ています。一般メディアでも取り上げにくい話題ですし、学校でも詳しくは教えません。中学生、高校生向けにこうした犯罪があることを啓蒙していかなければいけないのではと思います。

　マカフィーは12月4日、独自のデータベースを活用し、外部からの不審な電話をシャットアウトできる架空請求・振り込め詐欺対策ソフト「マカフィー セーフ コール（Android版）」をリリースしました。オレオレ詐欺の標的になりやすい高齢者、架空請求の被害に遭いやすい中高生は利用するといいかもしれませんね」

ネットバンキング被害額も史上最悪に、名簿流出は政府が対策を

　また、ネットバンキングのフィッシング被害も史上最悪の規模だという。大きな理由は、日本を狙うコンピューターウイルスが増加したためだと三上氏は指摘する。正規のサイトを書き換えて表示し、情報を入力させ、不正にカード情報などを取得する手口だ。6月時点で約18憶円の被害が出ており、早急な対策が叫ばれている。

三上　「警察も手をこまねいているわけではなく、先日、中継サーバーを扱う業者が逮捕されました。中華圏のクラッカー向けに、リモート操作で踏み台にできるPCを貸し出していたと言われています。先般話題になった、LINEの乗っ取りもこの貸し出されたPC経由で実施されたのではないかという話も出ていますよ。

　また、そもそものコンピューターウイルス増加の理由として、日本を中心に狙ったサイバー詐欺集団が暗躍していた可能性が考えられます」

　最後に三上氏は、10大セキュリティ事件ランキングで1位となった顧客情報流出についても触れた。

三上　「そもそも、名簿業者による名簿の売買を許すのか、企業が顧客の個人情報を第三者に提供することをよしとするのか、という問題があります。これに関しては、一般の人間には対策のしようがありません。政府が対策に取り組んでくれることが望ましいですね」