- デジタルフォレンジック・
インシデントレスポンス支援 -

サイバー攻撃の被害状況把握と原因究明・再発防止策の策定のため

ランサムウェア感染(マルウエア感染）や不正アクセス、Webサイトの改ざん、在職中の社員や退職者による不正な情報持ち出しなどセキュリティインシデントにはいくつか種類がありますが、どのインシデントも被害拡大防止や再発防止のために被害状況や被害範囲の調査は欠かせません。

特にランサムウェアなどコンピュータウィルスに感染させられた場合は感染経路の特定に加えて内部ネットワークへ侵入された痕跡がないか、侵入された可能性がある場合は横展開され被害範囲が拡大していないか調査することを推奨します。

法的措置・訴訟準備のため

情報セキュリティに関わる事故により自社が責任を問われることになった場合や、不正者を訴えたい場合にもデジタルフォレンジックが必要です。 例えば従業員による内部不正や不正アクセスによって大量の個人情報が企業から漏えいする事案が度々ニュースになっていますが、このときに漏えい経路やどの程度の規模の情報が漏えいしたか、また不正者や責任の所在はだれにあるのか説明する責任が企業にはあります。

また不正者を民事訴訟で訴えたい場合は不正行為の証拠としてデジタルフォレンジックの調査結果を裁判所に提出します。

ランサムウェア感染調査(不正アクセス・ハッキング)

ランサムウェアおよびマルウェア感染のフォレンジック調査では、PCやサーバなどのログを解析しコンピュータウィルスに感染した原因や感染の影響範囲を調査します。 Emotetなど特定のランサムウェアは流行り病のように定期的に感染拡大することがあります。

現在ランサムウェアに感染している兆候が見られなくてもアンチウィルスソフトやEDRなどのセキュリティ製品で検知できていないだけで実はコンピュータウィルスに感染していたということもありますので、客様のネットワーク全体を対象に広範囲にプロアクティブなフォレンジック調査を希望をされる場合はスレットハンティング(広域ファストフォレンジック)の実施を検討ください。またスレットハンティングはすでにランサムウェア感染が判明している場合に同じネットワーク内に同一のランサムウェア感染端末がないか確認する方法としても有効です。

Emotet緊急対策ページ

ブログ「猛威を振るうマルウェアEmotetについて」

Webサイト改ざん調査

改ざんされたWebページは閲覧したユーザに損害を与える仕掛けが仕込まれていることやほかのサイバー攻撃の一部として利用される場合があり、 Webコンテンツの書き換えだけでなく水面下でWebサーバやwebサーバと連動している個人情報などのデータが抜き取られていた事例もあります。

また早急に復旧しようとバックアップから改ざん前のデータに復元してもすぐにまた改ざんされてしまうという事が多々あります。 被害を封じ込め復旧させる為にはまずは一時的な公開の停止やネットワーク遮断等を実施し、 Webページの改ざんを引き起こしている事象を把握した上で原因を排除していく必要があります。

社員や退職者による情報持ち出しの調査

企業の情報漏えいはサイバー攻撃によるものだけではありません。

例えば営業秘密情報の漏えいに関して言えば、全体の1/4は社員によるものとの報告もあります。 特に退職者が転職先への手土産として会社の重要情報を持ち出すという構図が多く見受けられます。 また他社に派遣していた社員に情報持ち出しの疑いがかかるというケースもあり、 派遣先への説明責任が発生するなど社内だけの問題に留まらなくなります。

社員による情報漏えいが疑われる場合は、情報の共有をできるだけ小さく押さえ、痕跡が残りそうな機器を推測し、 迅速に調査対象となる情報を確保する必要があり、弁護士や警察への連絡、本人からのヒアリング等は適切なタイミングで段階を踏んで行動する事が重要です。

社内のハラスメントや横領・着服の調査

ハラスメント行為や横領・着服に関する調査は社員による情報持ち出しの調査と同様に 本人からのヒアリング等は適切なタイミングで実施することが重要です。

特にハラスメントが疑われる場合は事前に本人と面談することが多く、 証拠隠蔽のため面談後すぐにパソコンを初期化されてしまうこともあります。 横領や着服に関しても同様に不正行為を行った後すぐにデータを改ざんや 上書きしたり消去するなどして証拠を隠蔽する傾向があります。

このようなケースでは消去されたデータの復元を試行したり本人の私物のパソコンやスマートフォンなどの デジタルデバイスから証拠となる痕跡がないか調査するといったアプローチが考えられます。

※私物のデジタルデバイスの調査には本人の同意が必要です。

ビジネスメール詐欺調査(BEC)

ビジネスメール詐欺は上司や部下、同僚、取引先や顧客へのなりすまし、あるいは乗っ取ったメールアカウントからメールを送ることで、 メールの受信者を騙す犯罪行為です。

ビジネスメール詐欺の多くは金銭目的で例えば経営者や騙り社内の経理担当者を偽の振込み先に誘導して振り込ませる、 あるいは自社の経理担当者を騙り取引に偽の請求書と振込先を送って入金させるといった被害が報告されています。

昨今のビジネスメール詐欺ではメールの内容に不自然さがなく普段やり取りしている相手ではないことに気が付きにくくなっています。 また実在するドメインと一文字違いのドメインを取得するなどその手口は巧妙化しています。 被害者が頻繁にメールでのやりとりをする立場の場合は調査用のログが流れやすいため、気が付いた時点で早急に保全作業を開始する必要があります。