■県警でサイバー犯罪を担当している人から話を聞いた時のメモ

県警でサイバー犯罪を担当している人から話を聞いた時のメモが出てきたので下記にまとめる。

メモは2年ほど前のもので、現在の警察の見解とは異なっている可能性がある。

IDとパスワードの管理について

• 同じIDとパスワードを複数のWebサービスで使い回している人は非常に多い。
• 定期的にパスワードを変更することは使い回しの温床になるので推奨していない。
• IDとパスワードの使い回しを狙って、不正取得したIDとパスワードを複数のサービスに1回ずつ入力して侵入を試みる手口が増えている。1回ずつしか試みられないので不正検知が難しい。
• フィッシングやスパイウェア等によるtechnicalな不正アクセス事案は全体の4割程度であり、残り6割はパスワード設定管理の甘さや知人・友人にパスワードを漏らしたことによるソーシャルな手口である。
• 10代のオンラインゲームの不正操作事案が急増傾向にある。

不正アクセス禁止法について

• 不正アクセス行為とは「ネットワークに繋がったコンピュータの不正認証」を指すのでスタンドアロンの機器は対象外である。
• 「他人のパスワードを誰かに教える」などの不正アクセス行為を助長する行為も処罰対象であり、特に不正アクセス目的だと知った上でパスワードを漏らすと罪が重い。
• たとえば、2012年の6月に、他人のオンラインゲームのIDとパスワードを掲示板に公開した少年が逮捕されている。
• フィッシングサイトはインターネット上に公開された時点で処罰対象となる。

不正指令電磁的記録（コンピュータウイルス）について

• 「意図に沿う動作を阻害するもの」および「意図に反する動作をさせるもの」は不正指令電磁的記録にあたる。
• 実行形式であるかどうかは関係がなく、ソースコードの作成あるいは提供だけでも処罰対象となる。
• マルウェア検出はパターンマッチング方式が主流である。従って、自分の作ったマルウェアが検知されるかどうかは容易に調べることができる。
• あらかじめ100種類くらいマルウェアを生成してばら撒く手口が増えている。

ワンクリック詐欺について

• ワンクリック詐欺は激減傾向にある。
• 従来の民法では「操作ミスをしたユーザに責任がある」と主張できるため、詐欺側が有利な状況にあった。
• 法改正により「契約内容の説明がなければ契約は無効である」と主張できるようになり、ワンクリックの手口は無効化された。
• そこで「規約に同意しますか？」という最終確認のポップアップをかませることで法回避をするツークリックや４クリックの手口が激増した。
• 規約を画面外に置いておき、「画面を最後までスクロールすれば規約を確認できたはず。規約説明の責任は果たしており、確認しなかったユーザが悪い」と主張されるようになった。

違法・有害情報対策について

• わいせつ物はアップロードした時点で処罰対象である。掲示板にわいせつ画像を添付して逮捕に繋がり、「犯罪になるとは知らなかった」「そんなつもりじゃなかった」と主張される事例が極めて多い。
• 違法薬物は実際に所持していなくても「売ります・買います」と書き込んだ時点で処罰対象である。
• たまたま拾ったIDとパスワードを掲示板に書き込んだりログインを試みただけでも処罰対象である。
• 「マジコン」は不正競争防止法違反にあたり、マジコンのパーツだけを売買していた男が大阪で逮捕されている。

その他の検挙事例

• （パスワード管理が不適切だった事例）飛鳥村の職員が、偶然入手したパスワードを使って村長になりすまし、総務部長に電子メールを送信した。予想が容易なパスワードであった。
• （運用ルールが不適切だった事例）元恋人の務めるオンラインショップの管理アカウントに不正アクセスし、商品情報データを削除した。被害企業の売上が９０％ダウンする大損害に繋がった。
• ヤマザキマザックの中国人社員が工作機械の設計図を持ち出した。犯人は10年前に留学生として来日、6年前に入社、退社後に帰国予定であった。ヤマザキマザックは不審なデータコピーに対してIPアドレスに基づく遮断を行い対策していたが、IPアドレスは容易に変更可能である。

ツイートする

Permalink | トラックバック(0) | 19:12