「狙いすました」攻撃がJTBを襲った……

　本城氏は開口一番、「なぜ今さらPlugXに感染したのか」と率直な感想を述べました。PlugXは、2012年ごろから活動が確認されている遠隔操作用マルウェアです。攻撃対象のPCに感染できれば、攻撃者は自由にファイルの送受信とプログラムの実行ができます。しかし、PlugXが猛威をふるったのは2014年まで。国内で発見された標的型攻撃用マルウェアのシェアを見ると、2014年下半期に35.90％だったPlugXは、2015年以降、7.32％へと激減しているのです。

　「これは狙いすました攻撃だったのでしょう」と本城氏は続けます。例えば、2015年に日本年金機構を襲ったマルウェア「Sunblade（別名Emdivi）」は現在も活発に活動しています。亜種による攻撃が捕捉されていれば、当然、対抗策もアップデートされ続けます。

　ここで攻撃者の視点に立てば、PlugXを使った理由が見えてきそうです。それは、旬を過ぎたマルウェアで亜種を作り、不特定多数ではなく「ここだ」と狙いを付けた2～3カ所だけを攻撃したほうが成功率が上がるからです。世の中に「検体」が出回っていなければ、シグネチャ型のセキュリティ対策ツールをすり抜ける可能性も高まるでしょう。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

標的型攻撃マルウェア（2014年下半期）。PlugXのシェアは35.90％（出典：ファイア・アイ）

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

標的型攻撃マルウェア（2015年～現在）。PlugXのシェアは7.32％（出典：ファイア・アイ）

　もう1つ、これまでのPlugXとは異なる点もありました。これまでPlugXによる攻撃対象国は、米国、韓国、香港、台湾、日本など。その標的となるのはハイテク企業、航空宇宙産業、メディア、通信、政府機関などで機密情報を盗み出すことが目的とされていました。

　今回、旅行代理店が持つ個人情報が狙われた背景には何があるのでしょうか。本城氏は以下のように分析しました。

　「これまでPlugXを使うグループは重要情報を狙っていました。正直なところ、個人情報を狙ったことの意図はまだ分かっていません。しかし、個人情報を狙うことはこの1～2年のトレンドです。旅行業界に限らず、個人情報を持つ企業全てが攻撃の対象となるでしょう」

　「しかし、この事件は『変革点』となるかもしれません。標的型攻撃を行うグループは複数確認されています。断定はできませんが、今回旅行会社を狙ったグループと、かつて日本年金機構を狙った別のグループとが連携を図った可能性があります」