2015年の最も危険なセキュリティ脅威6選——知らないと損をするサイバー攻撃の実態

サイバー攻撃は2015年も拡大を続けています。アンチウイルス検証サイトAV-TESTによると、現在では1日に39万件以上の新しいマルウェアが登録されており、流通しているマルウェア攻撃の総数は約4億2,500万件に達しています。

一方で、新しいマルウェアの増加率自体は昨年から大きく変わっていないようです。年末までには約1億5,000万件の新種が検出される見込みで、2014年の1億4,200万件から微増にとどまります。参考までに、2013年から2014年にかけては、新種マルウェアの数が8,100万件からほぼ倍増していました。

膨大な数のマルウェアの中でも、特に注目すべき脅威があります。ここでは、2015年に大きな話題となった6つの重大なセキュリティ脅威をご紹介します。

1. Facebookで猛威を振るったポルノ系トロイの木馬

1月末から2月初めにかけて、あるトロイの木馬型マルウェアがFacebook上で急速に拡散し、わずか2日間で11万人のユーザーに感染しました。

このマルウェアは、感染したユーザーの友人を公開投稿でタグ付けする仕組みでした。タグを開くとアダルト動画のプレビューが再生され、続きを見るには偽のFlashプレーヤーをダウンロードするよう求められます。その偽ダウンロードこそが、マルウェア本体を送り込むダウンローダーだったのです。

このトロイの木馬が特に危険なのは、「magnet(マグネット)」と呼ばれる新しい拡散手法によるものです。従来のソーシャルメディアマルウェアは、感染者の直接の友人にのみメッセージを送るため拡散範囲が限られていました。しかし、公開投稿でのタグ付けは「友人の友人」にも表示される可能性があり、爆発的な速度での拡散を可能にしました。

なぜ重要なのか?

事実上、誰もが何らかのソーシャルメディアアカウントを持つ時代です。中でも最年少層(Facebookは13歳から利用可能)は、セキュリティ意識が低く最も脆弱だと言えます。つまり、お子さんが年齢にふさわしくない動画に接触する恐れがあり、さらに家族共用のパソコンを経由して知らずに感染を広げるリスクもあるのです。

2. シリア紛争に関わる国家級スパイ活動

Facebook騒動と同じ頃、中東では別のマルウェア攻撃が静かに進行していました。

WindowsとAndroid向けマルウェアを組み合わせ、追い詰められたシリアのバッシャール・アル=アサド政権に同調するグループが、反政府勢力に関する大量の情報を収集していたのです。収集されたデータには、個人情報、作戦計画、部隊の配置、政治戦略、反政府組織間の同盟情報などが含まれていました。

攻撃の手口は巧妙でした。レバノンや周辺国にいる反政府勢力の女性支持者を装った偽のSkypeアカウントやソーシャルメディアアカウントを作成し、戦闘員たちを「親密なチャット」に誘い込みます。相手の使用OSを尋ねた後、写真や動画、チャットアプリのダウンロードファイルを送り付けて端末に感染させたのです。

なぜ重要なのか?

ハッカーやマルウェア攻撃は、もはや個人の趣味の範疇を超えています。今や地政学上の兵器として、戦争の帰結に影響を与えるために積極的に活用されているのです。原子炉やミサイル施設が敵対勢力に乗っ取られるという悪夢のようなシナリオも、決して絵空事ではなくなりつつあります。

3. 世界初のMacファームウェアワーム

「Macはウイルスに感染しない」——そう信じていませんか?それは誤解です。

Mac向けのアドウェアやホームページハイジャッカー、トラッキングツールはここ数年で着実に増加してきました。それでも「AppleのシステムはWindowsとは異なる形で堅牢に設計されており、ほぼ無敵だ」という認識が根強く残っていました。

ところが2015年、2人のホワイトハット研究者が世界初となるMac用ファームウェアワームの作成に成功したという衝撃的なニュースが報じられました。

このワームは現時点で野放しにはなっていませんが、概念実証としては非常に危険です。感染経路はメール、汚染されたUSBメモリ、さらにはイーサネットアダプターなどの周辺機器まで多岐にわたります。一度侵入されると、ファームウェアから手動では除去できず(チップの再書き込みが必要)、既存のセキュリティソフトでも検出不能です。

概念実証が完了した以上、悪意あるハッカーが実際に悪用を始めるのは時間の問題でしょう。Macユーザーの方は、今すぐ適切なセキュリティ対策を講じることをおすすめします。

なぜ重要なのか?

多くのMacユーザーは、自分が直面する脅威への意識が低く、対策方法を知りません。Mac向けアンチウイルス市場はWindowsと比べて大幅に未発達であり、攻撃者にとって巨大かつ攻略しやすい標的となっているのが実情です。

4. 走行中にハッキングされたジープ

2015年7月、「走行中のジープがリモートでハッキングされる」という事件が世界中のニュースを駆け巡りました。

この脆弱性は、自動車メーカーが製品を「スマートカー」化する流れの中で生まれました。ドライバーが車両の状態を遠隔で操作・監視できる便利な機能ですが、そこにセキュリティ上の穴が潜んでいたのです。

問題のシステム「Uconnect」は携帯電話回線を利用しており、車のIPアドレスさえ分かれば、全国のどこからでもアクセス可能でした。ハッカーの一人はこの欠陥を「超絶使いやすい脆弱性」と表現しています。

侵入に成功したハッカーは、車載エンターテインメントシステムに独自のファームウェアを書き込み、それを足掛かりに車内ネットワークを通じて、エンジン、ブレーキ、変速機、ステアリングといった物理的な構成要素へ命令を送信できることを実証しました。

幸い、この実証実験を行ったCharlie Miller氏とChris Valasek氏は、Chrysler社と約1年間協力し、車両のセキュリティ強化に取り組んできました。しかし、Macワームと同様、一度手法が明らかになれば、悪意ある第三者が独自の攻撃を試みるのは時間の問題です。

なぜ重要なのか?

ハッキングの対象は、もはやパソコンだけではありません。スマートホーム、スマートカー、スマートTV——あらゆるモノがネットワークに接続されるIoT時代において、脆弱な入り口はかつてないほど増加しています。統一されたセキュリティ基準がまだ普及していないため、攻撃者には豊富な標的があり、中には金銭的損害だけでなく命に関わる物理的危害をもたらしうるものも含まれます。

5. ハードウェアレベルで修正困難な「Rowhammer」

最悪のセキュリティハックとは何でしょうか?答えはほぼ間違いなく「修正できない攻撃」です。

「Rowhammer.js」は、2015年にセキュリティ研究者らの論文で明らかにされた新型攻撃です。その恐ろしさは、ソフトウェアの脆弱性を突くのではなく、メモリチップ自体の物理的な構造的欠陥を標的にしている点にあります。

実は、チップメーカーは2012年の時点でこの問題を把握していたとされ、2009年以降に製造されたチップのすべてが影響を受けています。

さらに厄介なのは、OSの種類が一切関係ないことです。Linux、Windows、iOS——すべてのプラットフォームが等しく脆弱です。

最悪なのは、単なるWebページの閲覧だけで攻撃が成立する点です。事前に端末へ侵入しておく必要すらありません。研究チームの一人は「これは史上初の、リモートからソフトウェア経由で引き起こされるハードウェア障害攻撃だ」と説明しています。

なぜ重要なのか?

Macワームと同様、これまで「安全」とされてきたLinuxやApple環境のユーザーも、もはや例外ではないことを示しています。従来型のアンチウイルス対策では防ぎきれない可能性があり、自分はセキュリティに十分注意していると思っていたユーザーこそ、無防備になっているかもしれません。

6. 9億5,000万台に影響するAndroidのMMS脆弱性

2015年夏、9億5,000万台ものAndroidスマートフォン・タブレットが、テキストメッセージやWebサイト経由で悪意のあるコードを実行される脆弱性を抱えていることが報じられました。

攻撃者は被害者の電話番号さえ知っていれば、細工を施したマルチメディアメッセージ(MMS)を送信できます。受信側で処理された瞬間にコードが実行されますが、所有者は攻撃に気づかず、端末にも表面上の異常は一切現れません。

Android 2.2以降の全バージョンが影響を受けるとされています。

ジープのハッキングと同様、この脆弱性はホワイトハットハッカーによって発見され、Googleへ報告済みです。現時点で犯罪者による悪用の確認はありません。

なぜ重要なのか?

セキュリティ企業Zimperiumは公式ブログで次のように警告しています。

「完全に武装化された攻撃が成功すれば、あなたがメッセージを目にする前に削除されます。表示されるのは通知だけです。これらの脆弱性は、被害者が何も操作しなくても成立するため、極めて危険です。攻撃はあなたが眠っている間に発動し得ます。目覚める頃には、侵害の痕跡はすべて消去され、あなたはトロイの木馬に感染したスマートフォンを持ったまま、普段どおりの一日を過ごすことになるでしょう」

まとめ:あなたが経験した脅威は?

ここで紹介したのは、2015年に発生した重大なセキュリティインシデントのごく一部にすぎません。挙げればきりがないほど多くの攻撃が日々発生しています。

あなたが最も衝撃を受けた脅威はどれですか?この記事に含まれていない重要な事例があれば、ぜひコメント欄でお聞かせください。