(cache) 衆議院がサイバー攻撃を受けたらしいので記事をまとめてみた。

10/25付で朝日新聞が報じた衆議院へのサイバー攻撃について記事をまとめました。概要欄は報道されている情報を横断的にまとめています。また、記載内容は随時更新します。過去の記載内容はウェブ魚拓を確認ください。また7/22,25の標的型メール攻撃以外の参議院事案は含めていません。

概要

衆議院議員の公務用PC、衆議院のサーバーでウィルス感染が確認され、衆議院ネットワーク利用者のID、パスワードが盗まれた可能性があります。

11/14に行われた最終調査結果報告*1を反映しました。反映箇所には*1をつけています。

標的型メール攻撃を受けてウィルス感染した状況*2 *3 *4
- 衆議院側
  - 32台のマシンで感染*1
    - 添付ファイルを開き感染した公務マシン 1台
    - 感染した議員アカウントサーバー等 4台
    - 運用管理端末 2台
    - 外部サイトへ接続試行の形跡を確認した(三次感染した)公務PC 25台*5
- 参議院側
  - 感染PC、サーバー無し*6

送付された標的型メール*7 *8
- 送付先
  - 衆議院議員 3人(具体的な送付対象者は不明)
  - 参議院議員 7人(内1人は北沢防衛相(当時) *9 他6人は不明)
  - 省庁にも10月に送付されている模様*10
- 送付元メールアドレス　syoutenn_aguri@aol.jp
- 差出人名　週刊焦点安栗弘子(あぐり・ひろこ) 記者名を騙ったもの
- 添付ファイル名　Photo.zip
- 件名　お願い事
- 本文　最新号の週刊誌にあなたの顔写真を掲載することになりますがよろしいですか。

不正プログラムの機能*11
- キーロガー
- ドロッパー
- リモート操作・ダウンローダー(接続先は3サイトある*12が、非公開 *13 )
- ステガノグラフィ(画像埋め込み)によるコマンド実行
- 時間差によるジョブ実行

対策組織
　※本事案を受け設置された対策組織
- 衆院サーバ等ウィルス感染防止対策本部(衆議院)
  - 衆議院事務局、NISC、NTT東日本、LACが参加。参院事務局 CIO補佐官、警察庁(警備企画課長)がオブザーバー参加。
  - 事案解明班(原因や手口の調査)、対策樹立班(今後の防御強化策を検討)の２班構成。
- サイバーテロ対策本部(民主党) *14
  - 民主党城島幹事長代理が本部長
- サイバー攻撃対処検討委員会(公明党) *15
  - 公明党遠山清彦議員が委員長

衆議院被害状況

悪用、盗用されたID,パスワード*16 *17
- 議員、秘書用端末のユーザーID、パスワード(ハッシュ値) 1142人分*1
- コンピュータの個体番号(詳細不明) 1534件*1
- 感染した公務PCで複数の議員のID,パスワードを保存したファイルを発見*18
- 盗まれた管理者権限はネットワーク上全てのサーバー、PCを操作できる権限ではない。*1

一次感染した議員端末A *1
- 7月25日、または26日にID,パスワード,衆議院の証明書を搾取
- 7月25日～9月1日の期間、メールを盗み見られた可能性
二次感染した議員アカウントサーバー、運用管理端末
- 管理者権限のID、パスワードが盗まれる
- 不正なプログラムが埋め込まれ、不正サイトへアクセスが発生
- 運用管理端末ではID,パスワード(ハッシュ値)を出力するツールの証跡を確認
三次感染した議員端末25台
- ファイル流出無し
- 8月24日～9月7日の期間メールサーバー状に保存されていたメールは盗み見られた可能性

攻撃経路 *1
- 1. 衆議院議員3人のメールアドレスへ標的型メールが送付。
  　　圧縮ファイルに偽装したトロイの木馬型の不正プログラムが添付。
- 2. その内一人が偽装ファイルを誤って実行し感染。
  　　中国国内のサイトへ強制接続。該当端末へさらに不正プログラムをダウンロード。
- 3. (運用管理端末の?)管理者権限のID,パスワードを盗み出す。
  　　(盗み出した方法等詳細不明)
- 4. 感染端末から議員アカウントサーバーへ不正プログラムを埋め込まれる。サーバーも不正サイトへアクセスするようになる。サーバー上の情報を外部から閲覧可能な状態に変更。
- 5. 運用管理端末を乗っ取り、ツールを用いて全議員のID、パスワードハッシュを取得。ドキュメントも流出。
- 6. ネットワーク上の他25台の端末へ感染を拡大させる。

現在の状況(2011/11/14現在)
- 感染端末・サーバーはネットワークから切り離され調査中*19との報道以降、復旧したとの報道なし。
- 感染拡大、情報流出への対策は9/16に実施済み*20
- 全衆議院議員へ公務PCのパスワードの変更依頼*21を2回(10/25,27)に出したが、11/02確認時点で変更した議員は全体の約45%。*22
- 全参議院議員へ不審メールの注意喚起と私有PCでのウィルス対策を依頼*23
- 被害届はまだ未提出。不正アクセス禁止法違反で提出するか検討中。*24 *25
- 衆院サーバ等ウィルス感染防止対策本部で11/14に最終報告書を提出*26 *27

衆議院 LAN

公務PC 960台
- NEC製PC(VersaPro?) Core2Duoモデル WindowsXP(報道の動画より推測)
- 衆議院議員の議員会館へ議員、公設秘書用として2台ずつ支給
- 経理情報や政局・後援者の機密情報、仕分け情報等が格納されている場合もある
運用管理端末 2台以上
サーバー複数台(議員、秘書、職員用に独立して設置されている)
- メールサーバー、認証サーバー?(IDとパスワードで本人確認をするサーバー)等の存在が確認されている
- 参議院系のサーバーとは独立して設置
衆議院立法情報ネットワークシステム
- Webインタフェースを採用(報道の動画より推測)
- 陳情情報の検索*28(報道の動画より推測)
- 議会事務資料が格納されており、PDFでダウンロードできる
- システムユーザー数約2660人
  - 衆議院議員約480人
  - 公設秘書約480人
  - 事務局職員約1700人
  - パスワードは3か月に1回定期的に変更要請がかかる
衆議院メールアドレス(Wikipediaより)
　g0000@shugiin.go.jp（議員本人用。「0000」の部分は4ケタの数字が入る）
　h0000@shugiin.go.jp（公設秘書用。上記に同じ
　公開されているアドレスはここ参考
衆議院 LANとは別にインターネットに直接接続する回線がある。議員の7割がその回線を利用している。*29

参議院 LAN

公務PC 約700台
- 参議院議員へ3台ずつ支給
参議院 LANへ接続してる端末からインターネットに直接接続する環境無し。
参議院メールアドレス(Wikipediaより)
　hoge_hoge@sangiin.go.jp（議員本人用。「hoge_hoge」の部分は「名_姓」）
　hoge_hoge01@sangiin.go.jp（公設秘書用。議員用の末尾に2ケタの数字を付加）

時系列まとめ

2011/07/22,07/25
- 参議院議員7人へ標的型メールが送付される。感染者は無し。*30
2011/07/25
- 衆議院議員3人へ標的型メールが送付される。内一人が添付されたファイルを実行し感染。*31
2011/08/22*1
- 管理者情報が盗み出されたとされる時期。
2011/08/22*1
- 攻撃者が衆議院の管理サーバーに侵入(痕跡を確認。) *32
2011/08/28(08/29という報道もあり*33 )
- 管理業者(NTT東日本)より「不正アクセスの痕跡がある」と衆議院事務局に通報。
- 夜、事務局がサーバーをチェックし感染が発覚。
- 感染経路を確認することにより、議員1名の端末が感染していることが発覚。
2011/08/31
- 衆議院事務局よりLACへ本事案の調査を依頼。
2011/09/08
- 公務PC 他2台で同種の標的型メール(送付元、サブジェクトが同じ)を受信していることを確認。それらはウィルス対策ソフトにより削除された模様。
2011/09/16
- 感染端末、サーバーのウィルス駆除対応(流出防止策)が完了。*34
2011/10/25
- 朝日新聞が朝刊一面で衆議院へのサイバー攻撃の事実を報道。
- 官房長官が記者会見の場にて、警察庁が主体で調査すること、そしてまだ被害届は出されていないと回答。
- 議院運営委員会庶務小委員会で攻撃事実の報告、及び「衆院サーバ等ウィルス感染防止対策本部」を設置することを決定。*35
- 民主党が「サイバーテロ対策本部」を編成することを決定。
2011/10/26
- 衆院サーバ等ウィルス感染防止対策本部初会合。28日にNTT東日本より詳細報告を受けることを決定。
- サイバーテロ対策本部初会合。党本部、支部の被害防止に向けたガイドライン作成を決定。(民主党サイト)
2011/10/27
- 議院運営委員会庶務小委員会において、衆院サーバー等ウィルス感染防止対策本部会合の報告。*36
2011/10/28
- 議院運営委員会庶務小委員会において、NTT東日本が調査状況を中間報告。*37
2011/11/02
- 参院事務局が参議院で衆議院と同じ内容の標的型メールを議員7人が送付を受けていた事実を発表。
2011/11/14
- 議院運営委員会庶務小委員会に置いて、NTT東日本の調査状況を受け、衆議院事務局が調査結果を報告。*38