タグ: サイバー攻撃

加賀電子工業は3/19、「当社米国子会社における資金流出事案について」を公表しました。悪意ある第三者による虚偽の送金指示に基づき資金を流出させる事態が発生したとのこと。弁護士等による対策チームを編成し、既に現地の捜査機関に届け出ているようです。

ビジネスメール詐欺

事案の発生は今年2月。損失見込み額は最大で5億円といいます。捜査上の機密保持のため、現時点ではこれ以上の詳細情報は控えるとしています。このところあまり聞かなかったBEC（ビジネスメール詐欺）の被害にあった、と思われます。

BEC（Business E-mail Compromise）は、業務用メールを盗み見して経営幹部や取引先になりすまし、従業員をだまして偽口座に送金させ資金を詐取するというサイバー攻撃の一種です。2017年12月にJALが3億8,000万円の被害に遭いました。

ビジネスメール詐欺は、「経営幹部になりすます方法」と「取引先になりすます方法」の2つのタイプに分類されます。JALのケースは取引先になりすましていました。攻撃者が送信する（送金指示）メールの信憑性を高めるために、事前に業務用のメールを盗み見して準備します。

最終的には攻撃者が用意した口座に送金を指示しますので、取引先になりすましたうえで、それまで使用していた口座とは違う偽口座を指定してきます。ここが重要です。振込先口座の変更依頼があったときに、メール以外の方法でその変更依頼の信憑性を確認することですね。

加賀電子は

とまぁ、情報がない中でありそうな想定を書きましたが、同社の開示の中には「資金流出後まもなく、指示が虚偽であることに気付き、犯罪に巻き込まれた可能性が高いと判断し」とあります。ビジネスメール詐欺に違いないと思うのですが。。。

1/5付け日本経済新聞の記事です。「病院のサイバー対策強化　厚労省が指針改定へ　攻撃・漏洩恐れあれば報告」というタイトルで、2005年に策定した情報セキュリティのガイドラインを改定すると伝えています。しかし、今頃こんなことやってるのってどうよ、って感じです。

ガイドライン改定のポイント

記事では改定のポイントも4点まとめられているんですが、どれもこれも目新しさがないというか、これまでこの程度のことも盛り込めてなかったのかと驚かされます。攻撃を受けた際の報告や2要素認証の採用、ネットワークの監視システムの導入、標的型攻撃への対策などを求める内容です。

産業界の中でも特に医療界は取組みが遅れているようですね。病院のセキュリティに対する危機感は乏しい、という有識者の言葉も紹介されていました。そのうえ監督官庁である厚労省までがこの始末です。

ランサムウェアを仕込む奴らの目線

海外ではランサムウェアの餌食になる病院が後を絶ちません。日本は大丈夫だろうという意識はもう通用しません。仕掛ける奴らにとっては、身代金を払ってくれそうな相手なら何でもいいわけです。

ただでさえ人の命を預かっている病院。そこへ新型コロナ。。。新型コロナの重症者を受け入れている病院では人工肺などの医療機器がフルに使用されています。こうした医療機器もデジタル化されてるでしょうから、制御装置を停止させることで身代金を要求、なんてことも起こりかねません。

他の病気であっても一緒ではありますが、今は特にコロナ患者を死なせてしまうことはニュース性もあり、つけ込みやすい弱み。同じ日の日経には、「都立病院を重点拠点に」という記事もありました。14の都立病院、公社病院と説明されていて、コロナ患者を受け入れる病院（標的）まで報道され始めています。

今、日本の病院は非常に危険な状況にあると思います。厚労省の動きを待つことなく、サイバー対策を進めてほしいものです。

LDH JAPANは12/8、同社が運営するオンラインショップ「EXILE TRIBE STATION ONLINE SHOP」がサイバー攻撃を受け、同サイトでクレジットカード情報の登録を行った4万4,663名のカード情報について流出が確認されたことを公表しました。

流出の概要

個人情報流出の可能性があるのは、8/18～10/15の期間中に同SHOPにおいて、新規にクレジットカード情報を会員登録した顧客、又は既に会員登録により登録済みのクレジットカード番号を変更した顧客、計44,663名のクレジットカード情報だそうです。

流出した情報は、クレジットカード名義人、クレジットカード番号、有効期限、セキュリティコードとしています。サイバー攻撃を受けて個人情報が流出する事件は増加していますが、多くの場合クレジットカード情報は別会社で管理されており、流出を免れていました。

今回のケースはモロにクレジットカード情報が流出。おまけにセキュリティコードまで。さらに、11/27時点で、少なくとも209名の顧客のカードが不正利用をされた可能性があるとクレジットカード会社から報告を受けているとのこと。

既にそこから2週間が経過しており、不正利用の被害は拡大していると思われます。これは相当ヤバい事故ですね。実際に不正利用が確認されているだけに、4万名を超える情報流出は、「可能性」ではなく、確実に流出していそうです。

「EXILE TRIBE STATION ONLINE SHOP」といいますから、エグザイルのチケットやらグッズを販売するサイトなんだと思われます。今現在は情報漏えいに関するQ&Aなど、しっかりした情報提供がされていますが、いかんせん情報開示が遅すぎでした。

先週でしたか、日本経済新聞の1面トップに、「機密情報盗み身代金要求　暴露型ウイルス、1000社被害　1～10月　企業活動停滞も」という記事が掲載されました。暴露型ウイルスという定義はちょっとどうなんだろうとは思いますが、、、。とにかく被害メチャ拡大してます。

新型のランサムウエア

ランサムウエアといえば、被害企業等のパソコンやサーバなどのデータを暗号化し、データの復旧と引き換えに身代金を要求するものでした。最近増えてきたのがパソコンやサーバのデータを盗み、その後に元のデータを暗号化するというタイプです。こういうタイプのランサムウエアを暴露型と呼んでるようです。

直近で被害を受けた企業として、当ブログでも取り上げたカプコンが紹介されてます。米国のクラウドストライクという企業が実施した調査結果も伝えています。過去一年以内にランサムウェアの攻撃を受けた日本企業の32％が身代金を支払っていたそうです。平均支払額は1億2300万円で、42％が攻撃者との交渉を試みたとのこと。

サイバー対策費用など

日経ではここまでしか書いてなかったんですが、実は続きがあって、日本における過去3年間のDXに対する投資額は平均3億8400万円（366万ドル）。世界平均の486万ドルを下回っているそうです。

また、サイバーセキュリティへの平均投資額は4850万円（46万ドル）で、こちらも世界平均の61万ドルを大きく下回っています。DXへの投資額、セキュリティへの投資額、ともに世界平均の3/4というのは残念です。

さらに、コロナ禍でセキュリティに最新ツールを導入した日本企業の割合は世界平均よりも9ポイント低い39％にとどまり、調査対象国の中で最下位だったそうです。

※　ここでいう世界平均とは、調査対象とした米国をはじめ、イギリス、フランス等ヨーロッパ6カ国、中東、インド、シンガポール、オーストラリア、日本です。

東建コーポレーションは11/17、同社とグループ会社のネットワークが第三者による不正アクセスを受け、グループが保有する個人情報が外部に流出した可能性があることを公表しました。流出の可能性を確認したのは10/20としていますから、1ヶ月もかかっています。

最大657,096件

東建グループ全体で保有している個人情報（法人情報含む）を保管していたサーバーが狙われたということで、最大で65万件の情報が外部流出した可能性があるとのこと。東建コーポレーションはじめ、子会社のナスラック、柔道チャンネル、ホテル、ゴルフ場、ホームメイトなどなど。

サイトやらメルマガなどで登録された個人情報がダダ洩れです。同社ホームページでは各種サービス名と当該サービスにおいて、顧客のどのような個人情報が流出したのかが分かるようになっています。

が、しかし、このホームページに行かなければ、当然ですが何も分かりません。TDnetへの開示もしていません。おまけにこのニュースを伝えた日本経済新聞の11/18付け朝刊は、子会社のナスラックのサイト利用者の情報が流出という誤報に近い状況でした。

不正アクセスを受け、情報流出の可能性が判明したら、出来るだけ早く顧客にそれを伝えるべきです。自社のホームページでお知らせを掲載、、、だけではどうかと思います。

三菱電機も

三菱電機でも、同社が利用するクラウドサーバーがサイバー攻撃を受け、同社と取引のある国内企業や個人事業主の金融口座情報が流出した可能性があることを公表しています。最大で8,635件の金融機関情報が流出した可能性があるとのこと。同社もやはり開示はしていません。

そういえば、今年1月にも不正アクセス被害受けてましたよね、三菱電機。あの時も初報では大したことなかったけど、1か月後、実は防衛関係の情報が流出、、、みたいな展開でした。