誰にも気づかれずデータを盗む、標的型攻撃の進化

一般に標的型攻撃は「事前調査」「マルウェア感染」「C&C（コマンド＆コントロール）サーバとの通信確立」「内部移動」「情報の盗み出し」「痕跡の消去」といった手順を踏みますが、この際サイバー攻撃者は標的に気づかれないことに最大の注意を払います。

事前調査では、ターゲットの企業や従業員について調査を行います。まずSNSなどを活用し人間関係や趣味嗜好を把握、そして企業や個人が使用しているソフトウェアなどの情報も入手します。脆弱性のあるグループウェアやクラウドサービスなど、社外からアクセス可能なソフトウェアがあるかどうかを調べるためです。特にクラウドサービスは従業員が個人で利用しているケースも多く、侵入の糸口となりえます。

サイバー攻撃者はこれらの調査をした上で、ターゲットとなる従業員を絞り込み、添付ファイルを開きたくなるような、巧妙な文面のウイルスメールを送ります。使用されるマルウェアは、攻撃だけのために作られた「新種」であるため、ウイルス対策ソフトの検知をすり抜ける可能性が高くなっています。添付ファイル自体は普通に開くことができるため、従業員は不審を抱くことがありません。しかし裏ではマルウェアの活動が始まっており、感染を拡大させるとともに、パソコンにバックドアを開きC&Cサーバと通信を行います。

C&Cサーバはサイバー攻撃者がマルウェアに指令を出したり、盗み出した情報を受け取ったりするためのサーバです。サイバー攻撃者はC&Cサーバから次々にマルウェアを送り込み、感染したパソコン内で活動させます。そしてマルウェアは社内を移動し、重要な情報のある場所を突き止め、タイミングを見計らって盗み、C&Cサーバへと送信します。必要な情報をすべて盗み出したところで、サイバー攻撃者は活動の痕跡を消去し、証拠を隠滅します。

攻撃に気づかれないよう、サイバー犯罪者はさまざまな工夫を行います。たとえば、マルウェアとC&Cサーバの通信には、http（インターネットを利用する際に使用するプロトコル）を使います。これは、情報を盗み出す際の通信も同様です。また、重要な情報にアクセスする際も、従業員が業務でアクセスするタイミングに合わせて行うことで、発見される可能性を低くしています。さらに、その際に記録されるログも書き換えてしまいます。

近年では、他のサイバー攻撃も標的型攻撃の手法を取り入れるようになりました。感染に気づかれにくいマルウェアの採用や、C&Cサーバの使用、通信にhttpを使用することなどです。たとえば、ランサムウェアがファイルを暗号化する際の「鍵」をC&Cサーバに保存するケースも報告されています。そんなこともあり、サイバー攻撃の検知はますます難しくなっているのです。