piyolog

プロキシ業者が一斉捜索を受けた件をまとめてみた

インシデントまとめ | 04:10 |

2014年11月19日、20都道府県警の合同捜査本部が国内で違法にプロキシサーバーを運営する全国８業者へ一斉捜索をかけました。ここではその関連情報をまとめます。

タイムライン

大光・SUNテクノ関連

日時	出来事
2013年4月〜8月	AmebaへSUNテクノのサーバーから不正ログインが行われた可能性。
2014年1月	愛知県警が偽サイトのIPアドレスからSUNテクノを割り出し。*1
2014年8月	大光とSUNテクノが捜索を受ける。
その後	大光と他1社がISPから不正行為に関わったとして契約を解除。
その後	大光、SUNテクノが他人のIDを使ってインターネットへの接続を行った疑い。
2014年11月19日	合同捜査本部が全国10数か所を一斉に家宅捜索。
同日	不正アクセス禁止法違反等で6人を逮捕。

大阪市業者関連

日時	出来事
2014年2月	京都市中京区のインターネットサービス業者へ不正ログインが発生。
2014年夏	京都府警が不正ログイン元のサーバー設置場所を家宅捜索。
2014年11月19日	合同捜査本部が大阪市の男性を逮捕。

捜査担当

20都道府県警からなる合同捜査本部が担当している。以下名前が報じられている18都道府県警。

• 警視庁
• 北海道警
• 岩手県警
• 宮城県警
• 山形県警
• 福島県警
• 愛知県警
• 埼玉県警
• 千葉県警
• 神奈川県警
• 山梨県警
• 長野県警
• 静岡県警
• 栃木県警
• 大阪府警
• 京都府警
• 和歌山県警
• 鹿児島県警

事案一覧 (一部推測)

• 全国41か所の6都道府県、合計8業者に対して一斉の捜索が行われた。*2

摘発業者	所在地	容疑	逮捕者数
大光	東京都	不正アクセス禁止法違反	4人?
SUNテクノ	東京都	不正アクセス禁止法違反	2人?
宇都宮市内の業者	栃木県	不正アクセス禁止法違反	1人
大阪市内の業者	大阪府	不正アクセス禁止法違反	1人
甲府市内の業者	山梨県	著作権法違反	1人
鹿児島県内の業者	鹿児島県	著作権法違反	1人
ワイエス・シー	埼玉県	不正アクセス禁止法違反	1人
埼玉県内の業者	埼玉県	不正アクセス禁止法違反	1人

(1) 大光・SUNテクノ関連

捜査対象

• 大光、SUNテクノ関係者は合計6名が逮捕。いずれも容疑は否認。

捜査を受けた業者

• 2社の関係先12か所を捜索。

• 株式会社大光（東京都台東区）
  • www.daikoo.jp/

• SUNテクノ（東京都豊島区）

押収物

• 2社から56台のサーバーを押収。*3

2社のプロキシサービス

• 中国の顧客計1600人に対してプロキシサーバーを提供していた。
• 中国に代理店を設置し、中国から日本に接続できることを売りにしていた。
• 1件あたり1,700円〜5,000円程度で販売。
• このサービスを通じて少なくとも大光は約8000万円、SUNテクノは約4600万円を稼いでいた。*4

容疑

• 不正アクセス禁止法違反
  • 今年5月から8月にかけ不正に入手した大手ISPの他人のIDやパスワード約1500件をプロキシサーバーに保管した疑い。
    • SUNテクノ元役員 中国籍 東京都品川区 (32歳)他1名

• 今年7月に他人のISPのID、パスワードを使用してインターネットに接続し、オンラインバンキングの不正送金やオンラインゲームへの不正ログインに悪用されていた疑い。*5
  • 大光役員 さいたま市南区(32歳)他3名

• 他社のID,パスワードを用いた大手ISPへの不正アクセス
  • ISPから契約解除を受け、中国顧客へのサービスを継続するために他人のIDを使用してISPへ接続していた。*6
  • ISPへの接続に使用するIDやパスワードは中国のブローカーから入手した。*7
  • IDの名義人へ照会した結果、大半が「ロジテック」製無線ルーターの利用者であった。*8

• 他SUNテクノのサーバーで確認された事例*9
  • DDoS攻撃の痕跡があった

関連するフィッシング事案

• SUNテクノの中継サーバーが三菱東京UFJ銀行のフィッシングサイトに使われていた。*10
  • フィッシングサイト本体は中国国内で、リバースプロキシとして動作していたとの報告あり。*11

関連する不正送金事案

• 大光、SUNテクノが捜索を受け押収された資料を分析した結果、この2社を経由して行われた不正送金事案は2014年上半期で約300件。被害総額は約4億5千万円。*12

関連する不正ログイン事案

• Ameba
  • 時期 2013年4月〜8月
  • SUNテクノのサーバーを発信元とした不正ログイン*13
  • 「Ameba」への不正ログインに関するご報告

(2) 宇都宮市業者関連

捜査対象

• 宇都宮市 中国籍(31歳)

捜査担当

• 栃木県警生活環境課サイバー犯罪対策室、宇都宮東署

容疑

• 不正アクセス禁止法違反
• 2014年3月下旬頃、他人(北海道男性)のIDとパスワードを入力してISPが運営するサーバーに不正アクセスを行った疑い。容疑を認めている。*14

(3) 大阪市業者関連

捜査対象

• 大阪市 日本国籍(31歳)
  • 不正取得した疑いのあるID,パスワードについて「こちらから要求していない」と供述。

捜査担当

• 京都府警サイバー犯罪対策課、中京署等

容疑

• 不正アクセス禁止法違反
• 2013年4月〜7月に他人のIDやパスワードを不正アクセスさせる目的で日本人3人分のID、パスワードを中国から取得した疑い。*15
• 京都市内等3か所にプロキシサーバーを設置。
• プロキシサーバーに仮想サーバーを628台設置。犯罪グループに貸し出しを行っていた疑い。*16
• 2014年2月、京都市中京区のインターネットサービス会社へ不正ログインが行われ、2014年夏にサーバー設置場所を家宅捜索。約5億3千万件のID、パスワードがサーバーに保管されていたのを発見した。

(4) 甲府市業者関連

捜査対象

• 甲府市 中国籍 自称ホテル従業員 (30歳)

捜査担当

以下の4合同捜査本部による

• 山梨県警
• 神奈川県警
• 長野県警
• 静岡県警

容疑

• 著作権法違反
• 2014年6月〜9月、自宅や甲府市内の別のアパートでMicrosoftのOSを無断で複製し、中継サーバーを運営した疑い。*17

(5) 鹿児島県業者関連

捜査対象

• 鹿児島県 中国籍 会社員(28歳) *18

捜査担当

• 鹿児島県警

容疑

• 著作権法違反
  • Windows Server 2003 SP2の海賊版を入手、複製、または無断で複製されたものであることを知りながら業務で使用した疑い。

(6) ワイエス・シー関連

捜査対象

• ワイエス・シー社長 日本国籍 埼玉県新座市 (34歳)
  • 容疑を認めている。

捜査担当

以下の3合同捜査本部による

• 埼玉県警
• 茨城県警
• 群馬県警

容疑

• 不正アクセス禁止法違反
• 2014年3月15日から5月7日にかけ数人と共謀し、札幌市の男性のISPのIDとパスワードを設定し、国内のISPのサーバーへ中国の顧客が不正にアクセスできる状態にした疑い。*19
• 男性のIDを使って中国から約1500回のアクセスが行われた。*20
• 不正に使用させていたIDは500件に上る。*21

(7) 埼玉県業者関連

捜査対象

• 東京都港区 日本国籍 (29歳) *22
  • サーバーの運営は認めた上で「やっていない」として容疑を否認している。
  • 埼玉県内の民家から30台のPCが押収された。

捜査担当

以下を含む5道県警合同捜査本部による*23

• 北海道警
• 岩手県警
• 宮城県警
• 山形県警
• 福島県警

容疑

• 不正アクセス禁止法違反
• 2014年4月2日にプロキシサーバーから他人のID、パスワードを用いてISPへ不正に接続した疑い。
• プロキシサーバーを運営し、中国の顧客を日本国内へ中継していた。

ロジテック製無線LANルーターの脆弱性関連情報

注意喚起

• ロジテック ロジテック製300Mbps無線LANブロードバンドルータ（LAN-W300N/R、LAN-W300N/RS、LAN-W300N/RU2） に関するお詫びとお願い(2012/05)
• JPCERT/CC ロジテック社製ブロードバンドルータの脆弱性に関する注意喚起 (2012/05)
• TelecomISAC【注意喚起】ロジテック製ルータの脆弱性、および、利用者が行うべき必要対策 (2012/09)
• OCN 【重要】ロジテック製ルータの一部機種におけるセキュリティ不具合に関するお知らせ (2012/05)

対象機種

以下のロジテック製300Mbps無線LANブロードバンドルータ

• LAN-W300N/R
• LAN-W300N/RS
• LAN-W300N/RU2

脆弱性関連情報

• CVE-2012-1250
• JVNDB-2012-000051
• JVN#85934986

脆弱性の影響

■不具合内容

　インターネット側から、ルータ内部のインターネット認証ID（PPPoEの認証ID）およびパスワード（PPPoEの認証パスワード）が取得できる可能性がある。

http://www.logitec.co.jp/info/2012/0516.html

業者に悪用された原因は「恐らく」ロジテックルーターの脆弱性

• ルーターの脆弱性がどのように業者に悪用されたかの詳細は11月22日時点で報じられていない。
• 警察からエレコム広報に以下の捜査協力の要請があった。*24 *25
  • ロジテックユーザーのIDが悪用された。
  • ルーターの脆弱性を説明してほしい。
• 警察側からフィードバックが無いため、直接の原因かどうかはエレコムは確認できていない。そのためITproの取材に対しては「恐らく」としてほしいと回答している。

更新履歴

• 2014/11/20 AM 新規作成
• 2014/11/20 PM 続報を反映
• 2014/11/21 AM 続報を反映
• 2014/11/22 AM 続報を反映、ロジテックルーターの脆弱性情報を追加

ツイートする