HOME >> 情報セキュリティ >> ウイルス対策 >> 標的型攻撃メール

情報窃取を目的として特定の組織に送られる不審なメール
「標的型攻撃メール」

最終更新日：2010年11月26日
独立行政法人 情報処理推進機構
セキュリティセンター(IPA/ISEC)

IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）セキュリティセンターは、最近増加していると言われている「情報窃取を目的として特定の組織に送られる、『標的型攻撃メール』と呼ばれる不審なメール」に関して積極的に情報を収集し、予防・対処方法などの情報を提供することで、実被害が少なくなるよう活動しています。

標的型攻撃メールに関する情報提供のお願い

  • 不審なメール(*1)を受信した場合は、送信者の組織に問合せて送信していないことを確認した上で、「情報セキュリティ安心相談窓口」にご連絡ください。

  • 当機構が当該不審メールを調査する必要があると判断した場合は、相談窓口の担当者が専用メールアドレスを連絡しますので、不審なメールを添付して送ってください。

　注(*1) ここでいう不審なメールとは、実在の企業名や官公庁名をかたって特定の組織や人に送られるメールで、添付ファイルを開いたり本文中のURLをクリックするとその組織の情報を盗むウイルスに感染する仕掛けをほどこされた、「標的型攻撃メール」を想定しています。不特定多数に送られるマスメールウイルス、広告メール、架空請求メール、フィッシングメール等は除きます。標的型攻撃メールの特徴と被害例については別紙1を、標的型攻撃メールが届いた場合の対応については別紙2をご覧ください。

ご提供いただいた情報は、提供者の許諾なしに公表することはありません。被害拡大を防止するために、ソフトウェア製品開発ベンダやセキュリティ対策ソフトベンダなど外部機関に当該メールを提供する場合があります。外部への提供、分析・検討の結果の公表の場合などにおいては、提供者の秘密情報の取り扱いに十分配慮します。

>> 届出・相談における個人情報の取扱いについて

情報セキュリティ安心相談窓口※

※ 2010年10月19日、「不審メール110番」は「情報セキュリティ安心相談窓口」に統合されました。

(1) 電話による相談窓口
　　　TEL: 03-5978-7509
　 　　　対応時間：　平日　月曜～金曜　10:00 ～ 12:00 及び 13:30 ～ 17:00
　　　　（音声ガイダンスの番号指定で「＃」を押せば、オペレータに接続します。）

(2) 電子メールまたはファクシミリによる相談窓口
　 　　　対応時間： 24時間受付ますが、回答は翌営業日以降になる場合があります。
　　　E-mail：anshin@アイピーエー.go.jp

      （このメールアドレスに特定電子メールを送信しないでください）
      このメールアドレスは相談専用です。このメールアドレス宛てに「不審な添付ファイル付きのメール」を転送または添付して送られると、当機構のセキュリティ対策システムによって当該メールが削除され、当相談窓口に届かないことがあるので、まず、相談内容だけ記載してご連絡ください。
　　　FAX：03-5978-7518

「情報セキュリティ安心相談窓口」に連絡する前に

標的型攻撃メールについて相談する場合は、把握できる範囲内で、次の項目を整理してからご連絡いただくと、すみやかに対応することができますので、ご協力をお願いします。

　(1) いつ届いたメールか
　(2) 送信者の組織名やメールアドレス、送信者への確認の結果
　(3) 使用しているウイルス対策ソフトとその検知状況、検知されたウイルス名
　(4) メールの件名、添付ファイル名、本文
　(5) 同じメールが貴方の組織の何人に届き、何人が添付ファイルを開いたか
　(6) 添付ファイルを開いた場合、どのような状態になったか
　(7) 実際にどのような被害が生じたか
　(8) 感染したパソコンのオペレーティングシステムとアプリケーションのバージョン
　(9) 当該メールのセキュリティ対策ソフトベンダ等への提供の可否について

「情報セキュリティ安心相談窓口」で受付けた標的型攻撃メールの取扱い

「情報セキュリティ安心相談窓口」で受け付けた標的型攻撃メールの取扱いイメージ

図1. 情報窃取を目的として特定の組織に送られる「標的型攻撃メール」の取扱いイメージ

注※必要に応じて情報システムの脆弱性対策の取り組み（早期警戒パートナーシップ）を活用


ページトップへ

　

　

　

別紙１．標的型攻撃メールの特徴と被害例

情報窃取を目的として特定の組織に送られる「標的型攻撃メール」の特徴

(事例1)　次のように一見正しいメールの特徴をもつが、普段メールをやりとりしていない人から届き、なぜ自分宛てに送ってきたか心当たりがない場合が多い。

　　① メールの受信者が興味を持つと思われる件名
　　② 送信者のメールアドレスが信頼できそうな組織のアドレス
　　③ 件名に関わる本文
　　④ 本文の内容に合った添付ファイル名
　　⑤ 添付ファイルがワープロ文書やPDFファイルなど
　　⑥ ②に対応した組織名や個人名などを含む署名

　　

2008年4月16日に、IPAをかたって政府関係組織に送られたメール例

図2. 2008年4月16日に、IPAをかたって政府関係組織に送られたメール例


    ・①から⑥の情報は、メール送信者を詐称された組織がウェブ等で公開している情報を流用している場合が多い。
    ・②で送信者のメールアドレスを詐称することは簡単ですが、メールヘッダを調べると、当該組織と無関係な海外から送信されたメールである場合が多い。

    メールヘッダ例

    　この例では、ある政府関係機関のメールアドレス 「go.jp」を詐称していたが、送信元IPアドレス：60.26.146.● は、中国のIPアドレスである。
    　2010年4月から11月に当相談窓口に提供された標的型攻撃メールの送信元IPアドレスは、中国：5件、台湾：4件、韓国：3件、日本：3件、コロンビア：1件であった。

(事例2)　メールに添付ファイルを付けずに、本文の中で、「詳細につきましては、こちらをご覧ください」のように記載して、ウイルスに感染する仕掛けをしたウェブサイトに誘導することで、ウイルスに感染させる例も確認されています。

　　① テキストメールで送信者のドメインと異なるURLが見える例
　　② HTMLメールで、表示のURLとリンクのURLが異なる例
　　③、④ HTMLメールで、URLを表示しない例

メール本文の中で、ウイルスに感染する仕掛けをしたウェブサイトに誘導する例

図3. メール本文の中で、ウイルスに感染する仕掛けをしたウェブサイトに誘導する例

(事例3)　組織内でやりとりされている業務関連メールを流用して、組織内の多数のメールアドレス宛てにウイルスメールを送る例が確認されています。

    ① (事例1)のような標的型攻撃メールが組織外から複数届き、それに関する注意喚起メールを情報システム管理部門から幹部150名に送ったところ、約2時間後に、当該注意喚起メールを流用して作成したウイルス付きのPDFファイルを添付した標的型攻撃メールが、同じ150名に届き、約10名が添付ファイルを開いてしまった。
    ② 組織内のイベントに関する資料を複数の関係者に送ったところ、当該メールを流用して、資料を変更したという内容の標的型攻撃メールが、組織内の多数のメールアドレス宛てに届き、多数の受信者が添付ファイルを開いてしまった。

    これらの事例の特徴としては、
      ・組織内にしか送信していない非公開メールを攻撃者が入手している。
      ・元メールの正規の送信者のメールアドレスを詐称している。
      ・宛先のメールアドレスが多い。
    ということであり、不審に思わずに開いてしまう人が多かったということです。

    非公開メールや組織内の多数のメールアドレスが攻撃者に漏えいする原因としては、
      ・組織内のパソコンか、職員が自宅で業務メールを扱うパソコンに、スパイウェア等が感染していた。
      ・ウェブメールなど、組織外から組織のメールサーバにアクセスできる環境を運用していて、メールアカウントのパスワードをクラッキングされた。
    などが考えられます。

業務メールを不正アクセスされないための対策例

    (1) 利用しているパソコンにウイルスが感染しないよう、最新のウイルス対策ソフトを導入する。
    (2) パスワードは、英字、数字、記号を組み合わせて8文字以上とするなど破られにくくする。
    (3) 同じパスワードを使い回さない。パスワードは定期的に変更する。
    (4) ネットカフェなど他人が管理しているパソコンを使って業務メールサーバにアクセスしない。
    (5) フィッシング詐欺やソーシャルエンジニアリングに注意する。
    (6) ウェブメールの利用は、業務上必要な人だけに制限する。
    (7) ウェブメール利用時、直前の利用が、自分であるか確認する。
    【参考】ID とパスワードを適切に管理しましょう
    　http://www.ipa.go.jp/security/txt/2010/03outline.html#5

標的型攻撃メールの添付ファイルを開いたり、メール本文に記載されているURLをクリックした場合に想定される被害例

・ これまでに、ワープロソフト、Adobe Reader(*1)、Flash Player(*2)、JRE(*3)、ウェブブラウザ(*4)など、データファイルを開いたり、ウェブサイトを参照したりするのに利用されるアプリケーションに存在する脆弱性が悪用されて、不正なプログラムがパソコンにダウンロードされる被害が確認されています。
・ 当該パソコン内にあるファイルを外部に送られ、情報漏えいする可能性があります。
・ キーロガー(*5)を仕掛けられ、パソコンで入力したIDやパスワードを盗まれる可能性があります。
・ 外部から、当該パソコンを乗っ取り、組織内のサーバに不正アクセスされる可能性があります。

注(*1) ウェブに掲載されている報告書などに多く使われているPDF形式のファイルを表示するプログラム。
注(*2) ウェブに掲載されている動画に多く使われているFlash形式のファイルを表示するプログラム。
注(*3) 主にウェブで利用されているJava言語を実行する時に必要なプログラム。
注(*4) Internet Explorer のような、ウェブを参照する時に使用するプログラム。
注(*5) キーボードから入力された情報を記録するプログラム。


ページトップへ



別紙2．標的型攻撃メールが届いた場合の対応

標的型攻撃メールを発見した場合の対応

(1) 一見して問題なさそうな添付ファイル付きのメールを受信したが、なぜ自分宛てに送ってきたか心当たりがない場合は、インターネット検索や電話番号案内などで送信者の連絡先を調べ、問い合わせてください。その結果、そのようなメールを送っていないということが判明した場合は、組織内のインシデント対応部署やシステム管理者などに報告し、必要に応じて組織内に注意喚起してください。

(2) 自分が送信していない添付ファイル付きメールについて問合せを受けた場合は、送信者アドレスを詐称された単なる迷惑メール(*6)や一般のウイルスメールでないか確認し、「情報窃取を目的として特定の組織に送られる標的型攻撃メール」と判断された場合は、組織内のインシデント対応部署やシステム管理者などに報告するとともに、必要に応じて自組織のホームページなどで外部に注意喚起してください。

【参考】 IPA をかたった「なりすましメール」にご注意ください
http://www.ipa.go.jp/security/topics/alert20080416.html

(3) 自分が送信していない添付ファイル付きメールが、配信エラーなどで戻ってきた場合も、上記(2)に準じてください。

注(*6) 単なる迷惑メールを受信した場合の情報提供先は次の通りです。

・出会い系サイトの紹介や商品を売り込む広告メール

　　【参考】 情報提供先： 日本産業協会 迷惑メール情報提供受付
http://www.nissankyo.or.jp/spam/

　　【参考】 情報提供先： データ通信協会 迷惑メールの情報提供
http://www.dekyo.or.jp/soudan/ihan/

・銀行などをかたって個人情報を詐取するフィッシングメール

　　【参考】 情報提供先： フィッシング対策協議会 フィッシング事例の情報提供
http://www.antiphishing.jp/report-phishing-mail.html

不審なメールの添付ファイルを開く場合の注意点

(1) 実在の官公庁や有名な企業などから送ってきたメールであっても、普段から添付ファイル付きのメールをやりとりしている相手でない場合は、極力添付ファイルについて送信者に問合わせて、どのような添付ファイルか確認してから開いてください。

(2) 営業部門や問合せ対応部門など、不特定者からのメールを受信せざるを得ない業務を行っている部署においては、万が一添付ファイルがウイルスであっても被害が最小限になるように、例えばインターネットに接続していない専用パソコンを使うことをお勧めします。

(3) 情報窃取を目的として特定の組織に送られる「標的型攻撃メール」に仕込まれるウイルスは、不特定多数に送られるウイルスメールと違い、一部のウイルス対策ソフトでしか検知されないことが多いため、添付ファイルを開く前に複数のウイルス対策ソフトで検査することが有効となります。

【参考】 VirusTotal 無料オンライン　ウイルス／マルウェア スキャン
http://www.virustotal.com/jp/

(4) 添付ファイルがワープロ文書やPDFファイルのようなデータファイルの場合、それらのファイルを表示するためのアプリケーションソフト（例えば、一太郎、ワード、パワーポイント、Adobe Reader、画像表示ソフト、圧縮解凍ソフト、メールソフト、Flash Playerなど）の脆弱性(*7)を利用してウイルス感染することが多いので、最新版のアプリケーションソフトを使うことが感染被害に遭わないために有効となります。
IPAは、ウイルス感染方法として脆弱性を悪用されることが多いアプリケーションソフトについて、最新版かどうかを簡単にチェックできるサービスを提供しています。

【参考】 MYJVN バージョンチェッカ
http://jvndb.jvn.jp/apis/myjvn/#VCCHECK

注(*7) セキュリティ上の「脆弱性」とは、ソフトウェア製品において、ウイルスや不正アクセス等の攻撃により、その機能や性能を損なう原因となりうる安全性上の問題箇所です。ネットワーク攻撃に利用される可能性があるという点において、通常の不具合と区別されます。

知っておいてもらいたいこと【まとめ】

ウイルス被害に遭わないためには、正しい知識を身につけることが重要です。

・件名、本文、添付ファイル名などが日本語のウイルスメールもある。
・ワープロ文書など実行形式でない添付ファイルから感染するウイルスもある。
・他人のメールアドレスを詐称することは簡単である。（電子署名の常用が望まれる）
・ウイルス対策ソフトに検知されないウイルスもある。
・脆弱性の修正プログラムが提供される前に、それを悪用するウイルスもある。(ゼロデイ攻撃とよばれます)
　　http://www.ipa.go.jp/security/virus/zda.html
・情報を窃取するタイプのウイルスに感染した場合、画面に不審な表示がでるとか、パソコンがダウンするなどの目に見える症状は出ないことが多い。

更新履歴

2010年11月26日 (1)組織内の業務連絡メールを流用して、組織内の多数のメールアドレスにウイルスメールを送る事例を追記
(2)メールヘッダから、メール送信元のIPアドレスを確認する方法を追記
(3)業務メールを不正アクセスされないための対策例を追記
2010年10月19日 「不審メール110番」を「情報セキュリティ安心相談窓口」に統合
2010年 1月18日 メール本文のURLをクリックさせる攻撃事例を追記
2008年 9月29日 掲載

ページトップへ