サイバー攻撃の目的も多種多様です。
金銭を取得することが目的の場合や、情報の取得や破壊が目的となる場合もあります。
国家間で行なわれるサイバー攻撃の中でも、もっとも深刻な被害をもたらすものとして国防・安全保障関連情報を扱う機関に対するサイバー攻撃が挙げられるでしょう。
ここでは、各報道機関の報道を基に、開発中のステルス戦闘機の設計情報が流出した事件についてみていきます。
事件の概要
2009年4月21日、アメリカのWall Street Journal紙が、政府高官筋などの話として、ハッカーが国防総省のコンピュータに侵入し、各国と3000億ドルかけて開発中の次世代高性能ステルス戦闘機F35に関する設計情報などが大呈に流出したと報じました。
同紙は、元政府当局者が中国からのサイバー攻撃の可能性を示唆したと指摘。
ハッカーは、戦闘機の開発を請け負う複数社のネットワークから侵入したとみられています。
F35開発プロジェクトには、アメリカ航空宇宙機器大手Lockheed Martin社を中心として、アメリカ防衛機器大手Northrop Grumman社、イギリス航空防衛機器大手のBAE Systems社が参画。
プロジェクトにはアメリカ以外に、オーストラリア、イギリス、カナダ、デンマーク、イタリア、オランダ、ノルウェー、トルコが参加していますが、このうちトルコおよび別の1力国でセキュリティ侵害が生じた恐れがあるとのことでした。
また、2012年3月11日付のイギリス日曜紙The Sunday Timesは、イギリス航空防衛機器大手BAE Systemsが開発に加わるF35のデータを窃取するため、中国のハッカーが侵入していたことを報じました。
中国はステルス戦闘機｢殱20」を開発中で、不十分なステルス性能やレーダー能力を補うためにF35の最新情報を入手していた疑いが浮上したのです。
その後、2015年1月17日、ドイツのDer Spiegel誌によるNSAの内部資料に基づくリーク報道により、中国によるサイバー攻撃でF35の設計データを含む大量の軍事機密情報が漏えいしていたことが明らかとなります。
この内部資料は、Edward Snowdenからのリーク情報によるもので、資料の中でNSAは、中国はサイバー攻撃を仕掛けることで、50TB (テラバイト）分にも及ぶ膨大な情報を窃取すると同時に、アメリカ政府に対して重大な損害を与えたことがわかったとまとめられています。
これらのサイバー攻撃によって流出したF35の具体的な技術情報については、レーダーの設計図、エンジンの設計図といったステルス技術の基幹部分にも及んでいることが判明しました。
F35の技術情報が中国に流出したことは、一部報道によって伝えられていましたが、アメリカ政府機関が情報流出に関わる調査報告書を作成していたことは、明らかにされていませんでした。
どのように侵入が行なわれたか？
2009年のアメリカWall Street Journal紙の報道では、中国のハッカーはF35のデータを窃取するために「スピアフィッシング」と呼ばれる手口（特定のターゲットに対して重要なデータや個人情報を奪おうとする手法）を駆使したとされています。
NSAなどになりすましてBAE関係者の名前やパスワードを聞き出し、1年半にわたって同社のコンピュータに侵入していました。
国防総省によるところでは、ハッカーは最高機密の情報にアクセスするには至っていないそうです。
これは、セキュリティ確保のために、最高機密情報をインターネットに接続されていないコンピュータに保存されているためだといわれています。
2012年のイギリス紙The Sunday Timesでも、元アメリカ高官は同紙に対し「中国がF35の機密を入手したのは間違いないが、すべてではない」と話しています。
とはいえ、スピアフィッシングやマルウェアによる侵入を許していることは確かです。
スピアフィッシングの対象となる人は、メールの内容などが自分にとって関係の深いものであるため、警戒を解きやすく、対象があらかじめ決まっているため、スピアフイッシングによって盗まれる情報も通常より重大なものである場合が多いために警戒が必要です。
マルウェアもネットワーク上のメールやWeb、共有ファイルやコンピュータ、さらにはUSBメモリやDVDなどあらゆる記録媒体に潜んで侵入を試みます。
侵入の経路となり得るネットワークのセキュリティを万全にしておく必要があります。
セキュリティ確保のため、最高機密情報はインターネットに接続されていない複数のコンピュータに保存することは当然ですが、それだけで安心ではありません。
インターネットに接続していなくとも、そこに記録媒体などを持ち込んで接続することで、潜んでいたマルウェアやスピアフイツシングなどのウイルスが侵入する可能性もあるのです。
外から持ち込むすべてのもの、人、PCや記録媒体などへ対する策が必要となるのです。
関連記事
その他の情報セキュリテイインシデント事例についてはこちらもご参照ください。