海の向こうの“セキュリティ”

　WikiLeaks支持者らによるウェブサイト攻撃をはじめ、Facebookでの呼びかけをきっかけとしたデモによる独裁政権打倒など、インターネットの政治的利用に注目が集まった2月でしたが、今回はMcAfeeが1月末に公開したサイバー犯罪に関する報告書「A Good Decade for Cybercrime」を紹介することから始めます。

●サイバー犯罪の過去10年を振り返る

　McAfeeが公開したこの報告書は、2000年以降の10年間で飛躍的にインターネットの利用が広まるに連れ、サイバー犯罪の形態が変わってきているという事実を整理してまとめることで、今後を展望しようというものです。

　基本的に米国を中心とした内容なので、そのまま日本には当てはまらない部分もありますが、短く簡潔にまとめられていますし、日本語訳も公開されていますので、一度は目を通しておいてもよいのではないかと思います。

　この報告書で興味深いのは過去10年をいくつかの「時代」に分けて解説している点です。また、それぞれの「時代」のIT関連のトピックも併せて紹介しています。簡単にキーワードとして列挙してみます。

1）2000年～2003年「Notoriety and Personal Challenge」

　・悪名を高める自己顕示目的
　・有名サイトへのDDoS攻撃
　・「I love you」ウイルス
　・マクロウイルス

（IT関連トピック）
　・iPod、Napster
　・無線LANホットスポット

2）2004年～2005年「Lure of Money and Professionalism」

　・金銭目的化、プロ化
　・アドウェア、スパイウェア
　・rootkitの活用
　・ボットネット

（IT関連トピック）
　・顧客情報流出
　・Facebook創設

3）2006年～2008年「Gangs and Discretion」

　・組織化 (ギャング化)、巧妙化
　・0-day攻撃
　・WindowsのAutorunの悪用

（IT関連トピック）
　・Skype、Twitter
　・iPhone

4）2009年～2010年「Social Networking and Engineering」

　・SNSの悪用、ソーシャルエンジニアリング攻撃
　・Facebookを悪用した「I've been robbed!」詐欺
　・スケアウェア
　・WikiLeaks hacktivistsに代表される社会的抗議および反抗
　・Stuxnetに代表される制御系システムへの攻撃

　全体を簡単にまとめると、愉快犯から金銭目的、そしてさらには政治的手段へとサイバー犯罪の目的が拡大および変化していることが分かります。この「拡大と変化」自体は目新しい分析ではありませんが、「時代」の分け方にはなるほどと思えるものがあります。

　ただ、McAfeeという会社がワクチンソフトメーカーであるので仕方ないのかもしれませんが、サイバー攻撃（の手法）としてエポックメイキングな位置付けにある、2001年の「Code Red」「Nimda」に一言も言及がないのには、若干の疑問を感じます。しかし同時に、ここにワクチンソフトメーカーの変化も見て取れるのです。今ではより広範囲の「セキュリティ」を扱う「総合セキュリティベンダー」となったワクチンソフトメーカーが、10年前は文字通り「ワクチンソフト」のメーカーに過ぎなかったということ。つまり、それだけ10年前はサイバー攻撃／犯罪というものが（今と比べて）シンプルなものだったと言えるのです。

　最後にこの報告書では今後のサイバー犯罪について、SNS悪用によるソーシャルエンジニアリング攻撃、GPSによる位置情報サービスによる危険性、スマートフォンアプリを標的とした攻撃などを挙げています。いずれも「もっとも」なもので意外性は全くありませんが、「クラウド」というキーワードが全くないことには少々違和感を覚えます。

■URL
　A Good Decade for Cybercrime（PDF）
　http://www.mcafee.com/us/resources/reports/rp-good-decade-for-cybercrime.pdf
　日本語約：サイバー犯罪の10年間 － McAfeeが振り返るサイバー犯罪の10年 －
　http://www.mcafee.com/japan/security/rp_decade_of_cybercrime.asp

●70％のSMSが金銭目的の詐欺

　携帯通信事業者の業界団体GSM Association（GSMA）は、AT&Tやボーダフォンをはじめとする通信事業者や韓国情報保護振興院（KISA）などの関連団体と協力して行っているGSMA Spam Reporting Service（SRS）の試験運用による調査結果を公表しました。

　GSMA SRSは、スパムをはじめとする携帯電話利用者へのさまざまな脅威に関する世界規模の情報センターとしての役目を果たすサービスです。

　このGSMA SRSを2010年3月から12月まで試験運用した結果によると、報告されたSMSスパムのうち、10％がアダルト、70％が金銭目的の詐欺だったそうです。さらに詐欺は以下の3つに分類されます。

1）Phishing攻撃
典型例：宝くじまたはギフトカードが当たったので手続きが必要と騙して詐欺サイト（のURL）にアクセスさせる、または偽のコールセンターに電話させるなどして、銀行口座などの個人情報を取得

2）ソーシャルエンジニアリング詐欺
典型例：ローンサービスやギャンブルの詐欺で騙して送金させる

3）プレミアムレート詐欺
典型例：デートの誘いまたはアダルトサービスのSMSメッセージ中の電話番号に電話する、または携帯メールを送ると、プレミアムレート（割増）課金され、その金が攻撃者に渡る

　地域的な違いもあり、アジアではギャンブルサイトに関連した詐欺が大多数を占め、その次にローンサービス詐欺が多かったそうです。

　一方ヨーロッパでは、約4分の1が宝くじやローン、保険請求サービスの詐欺で、5分の1がアダルト。また北米では、ローンや少額融資に関連したものが多かったようです。

　いずれもあくまでGSMA SRSで把握できた範囲の情報であり、これがすべてを正確に表しているとは限りませんが、興味深い内容なので、今後の本格運用によって、より精緻で詳細な調査結果が得られることを期待します。

　ところで今回公開された調査結果ではアダルトと詐欺を分けていますが、そもそもアダルトメッセージは多くの場合、金銭目的の詐欺に繋がっていると考えられ、純粋に「アダルトだけ」というものが果たして10％も存在するのか、少々疑問ではあります。また、SMSスパムのうち詐欺が占める割合が70％というのは、直感的にはむしろ「少ない」と感じてしまいます。

■URL
　GSMA Outlines Findings from Spam Reporting Service Pilot
　http://www.gsmworld.com/newsroom/press-releases/2011/6032.htm

●韓国オンラインゲーム「シャットダウン制」導入へ

　「セキュリティ」とはちょっと違いますが、昨年7月の記事でも紹介した話題の「その後」です。

　韓国では16歳（数え年）未満の子供たちに対し、深夜0時から朝6時までの間のオンラインゲーム（ネットワーク接続機能のあるゲーム機を含む）の利用を禁止する「シャットダウン制」の導入が進められています。これは、青少年保護を担っている女性家族部（省）とゲーム産業を監督する文化体育観光部（省）が昨年12月に合意に至ったものです。

　この制度に関して、青少年人権団体などが昨年12月から今年の1月まで韓国国内の11歳から19歳を対象にアンケートを取った結果が公開されました。

　それによるとアンケートに回答した85.5％がシャットダウン制が導入されれば、親などの成人の住民登録証を盗用するようになるだろうとしています。このことから青少年人権団体らが「シャットダウン制に実効性はない」と反対の立場を強めています。

　アンケートがどのような形で聞いているか（例えば回答にどのような選択肢があったのか）は分かりませんが、いずれにせよアンケートを取らなくても分かるような結果でしょう。また、そもそも「シャットダウン制」に反対の立場の団体が取ったアンケートなわけですから、こういう結果になるのは当然で、アンケートそのものは少々「茶番劇」のような印象があります。

　しかし、この「シャットダウン制」は、関係者の間でも当初から実効性に疑問の声があったにもかかわらず、青少年のゲーム中毒問題対策における女性家族部と文化体育観光部の主導権争いといった政治的駆け引きの末に合意に至った制度。そのため「今さら白紙撤回は無理な状況」と文化体育観光部ゲーム産業課長が明言しています。

　数年前に中国で同様の制度を導入して失敗した例もあり、制度を導入しても、すぐに撤廃ということになるのは目に見えているでしょう。また、米Entertainment Software Associationが憂慮の念を示し、公式な意見書を提出するとの報道もありました。

　またまた「イケイケ韓国」らしい話題ですが、政治的駆け引きの結果として無意味な制度が導入されてしまうのは、いずこの国も同じようです。

　そんな中、ベトナムでも夜10時から朝8時までのオンラインゲームへのアクセスをブロックするように政府がISPに要請したとの報道がありました。こちらも本来は若者のゲーム中毒問題への対策が目的であるはずなのですが、利用者の年齢に関係なく、無条件でブロックするというもので、かなり強引かつ「イケイケ」な制度のようです。

　今後も似たような制度の導入が世界各国で検討されるのかもしれません。

■URL
　etnews.co.kr（2011年2月18日付記事）
　“シャットダウン制”導入されれば、青少年の86％が「住民登録証盗用する」
　http://www.etnews.co.kr/201102170123
　ZDNet Korea（2011年2月28日付記事）
　韓国シャットダウン制、米国がびっくり……なぜ？
　http://www.zdnet.co.kr/news/news_view.asp?artice_id=20110228093001
　Viet Nam News（2011年2月21日付記事
　Late-night game parlours to be banned after 10pm
　http://vietnamnews.vnanet.vn/Social-Isssues/208613/Late-night-game-parlours-to-be-banned-after-10pm.html

■関連記事
　海の向こうの“セキュリティ”　第46回
　青少年へのオンラインゲーム規制、韓国で「シャットダウン制」案
　http://internet.watch.impress.co.jp/docs/column/security/20100709_379029.html