進化する「やり取り型」攻撃、相手に合わせて攻撃手口を変化（IPA）

IPAは、サイバー情報共有イニシアティブ（J-CSIP）2013年度の活動レポートを公開した。

調査・レポート・白書・ガイドライン調査・ホワイトペーパー

2014.6.2 Mon 8:00

独立行政法人情報処理推進機構（IPA）は5月30日、サイバー情報共有イニシアティブ（J-CSIP）2013年度の活動レポートを公開した。標的型攻撃の防御に向けた産業界との情報共有の枠組みであるJ-CSIPにおいて、参加組織から得られた情報の集積・共有を通じ、メールのやり取りの後で攻撃メールを送信してくる手口（「やり取り型」攻撃）の実態を明らかにしているほか、情報共有の運用状況、2013年度に扱った標的型メールの分析を行っている。

「やりとり型」攻撃の事例では、複数の組織のさまざまな問い合わせ窓口に対して、“製品に関する問い合わせ”“窓口の確認”といった「偵察メール」が送りつけられていた。また、短期間（約2週間）で5つの組織へ次々と攻撃が仕掛けられていたり、4分間で異なる3つの窓口に並行して「偵察メール」が送信されたりしたケースもあった。「偵察メール」に対して組織から回答を行った場合、攻撃者から11分～15分など短時間で「ウイルス付きメール」が返信されてきていた。

さらに、攻撃者から送付された添付ファイル（ウイルスを圧縮したファイル）が解凍できなかったため、組織より“開封できない”旨を回答したところ、13分後に“使用している解凍ソフトをたずねる”攻撃者からの返信があった。その後、使用している解凍ソフトについて回答すると、51分後に、そのソフトで解凍可能なファイルが再送されてきたケースもあった。レポートでは攻撃の考察として、攻撃者は日本語で会話し、話題に合った形で仕掛けをした添付ファイルを送る能力を持つ。状況に応じて攻撃手口を変化させることができ、また、攻撃を通して学習し、さらに巧妙化することもあるとしている。

《吉澤亨史（ Kouji Yoshizawa ）》