大学へのサイバー攻撃と聞くと、つい「研究室のすごい機械が狙われたのかな」と思いがちです。もちろん最終的に欲しいのは研究データや知財かもしれません。でも、侵入の入口はもっと地味です。教授のメール、ログイン画面、本人確認。日常的に使う仕組みが、攻撃の足場になります。

FNNプライムオンラインは8月19日朝、アメリカ国務省がイラン人ハッカー5人の所在につながる情報に最大1000万ドルの報奨金を出すと伝えました。米司法省による説明として、5人が所属する組織は2013年以降、米国の144大学に加え、日本を含む海外178大学を標的にし、約8000の大学教授のメールアカウントに不正侵入したとしています。今回の本題は「大学も危ない、怖い」で止まることではありません。なぜ大学攻撃は、教授のメールという一見ふつうの入口から始まりやすいのかです。

アメリカ国務省、イラン人ハッカー5人の情報提供に最大16億円の報奨金　米政府機関などにサイバー攻撃　日本の大学も標的に｜FNNプライムオンライン
アメリカ国務省、イラン人ハッカー5人の情報提供に最大16億円の報奨金　米政府機関などにサイバー攻撃　日本の大学も標的に｜FNNプライムオンライン

アメリカ国務省は18日、イラン革命防衛隊などのために大規模なサイバー攻撃を行ったとして、イラン人ハッカー5人の所在につながる情報に、日本円でおよそ16億円の報奨金を支払うと発表しました。国務省は、イラン人ハッカー5人について、所在につながる情報に最大1000万ドル、日本円でおよそ16億円の報奨金を支払うと発表しました。司法省によりますと、5人が所属する組織は2013年以降、イラン革命防衛隊や政府機関などのために、アメリカの大学や企業、政府機関などを標的にサイバー攻撃を行っていたということです。…

今回の登場人物 ​

  • スピアフィッシング: 相手の専門分野や知人関係を調べ、もっともらしいメールを個別に送る手口です。網でざっとすくう迷惑メールより、一本釣りに近いです。
  • 認証情報: ログインに使うID、パスワード、多要素認証コードなどです。家の鍵というより、研究室、図書館、VPN、メール室の合鍵セットみたいなものです。
  • VPN: 学外から大学ネットワークへ安全につなぐ仕組みです。便利ですが、認証情報が盗まれると「学内の人らしく見える」入口にもなります。
  • 多要素認証: パスワード以外に、端末確認やワンタイムコードでも本人確認する仕組みです。鍵一本ではなく、鍵と暗証番号を両方見るイメージです。
  • IRGC: イラン革命防衛隊。米当局は、今回の組織がそのために活動したと説明しています。

何が起きたか ​

FNNによると、米国務省は18日、イラン人ハッカー5人について、所在につながる情報に最大1000万ドルの報奨金を出すと発表しました。米司法省の説明として、彼らが所属する組織は2013年以降、米国の大学、企業、政府機関を標的に活動し、米国内144大学のほか、日本を含む海外178大学を狙い、約8000の教授アカウントに侵入したとされています。さらに司法省は18日、この組織をめぐり新たに8人を起訴し、訴追メンバーは計17人になったとFNNは伝えています。

ここで数字は丁寧に扱います。米司法省が2018年3月に公表した起訴では、対象は米国内144大学、海外176大学、侵害された教授アカウントは約8000、流出した学術データは少なくとも31.5テラバイトでした。今回FNNが伝える「海外178大学」「新たに8人起訴」「計17人」という数とは一致しません。つまり、古い起訴資料と今回の報道は、同じ系統の事案をめぐる別時点の数字が混ざっています。そこを一つに平らにならして「ずっと同じ件数」と書くのは危ないです。

ただし、数字のゆれがあっても大筋は見えます。狙われた中心は「大学という建物」より、「研究者個人のアカウント」です。

ここが本題 ​

大学を攻撃する側から見ると、教授のメールはかなり都合のいい入口です。研究分野、論文、学会発表、共同研究先、学生募集、連絡先が公開されていることが多いからです。つまり攻撃者は、誰に何の話を振れば自然に見えるか、事前調査しやすい。

2018年の米司法省資料も、Mabna Institute の手口として、まず研究者の専門分野を調べ、関心を持っているように見せたメールや、大学のログイン画面に似せたページで認証情報を盗んだと説明しています。ここが大事です。大学攻撃は、いきなりスーパーコンピューターに体当たりする話ではありません。まず「あなたの知り合いっぽいメール」を送り、「いつものログインっぽい画面」を踏ませる。かなり人間くさい入口から始まります。

教授個人のアカウントが取られると、そこから先は連鎖しやすい。メールを読める。図書館の電子ジャーナルに入れる。VPNや学内ポータルの追加認証に使える。過去のやりとりを見て、次の標的へさらに本物っぽいメールを送れる。つまり、研究そのものを盗む前に、本人確認の信用を盗んでいるわけです。

なぜ大学は狙いやすいのか ​

大学は企業より甘い、と雑に言うのは正確ではありません。問題は、大学の仕事の性質です。外部とのやりとりが多い。海外との共同研究も多い。論文投稿や査読依頼も来る。学会、非常勤、学生、卒業生、出版社、実験装置メーカー、助成金機関など、連絡相手がとにかく多い。毎日知らない差出人から届くメールが不自然ではない世界なんです。

しかも研究者は、メールの文面が少し不格好でも、「海外の共同研究者かな」「雑誌の問い合わせかな」で開いてしまいやすい。仕事熱心であることが、そのまま攻撃面を広げることもある。ちょっと皮肉ですが、研究は閉じているより開いているほうが進むので、守りだけを理由に連絡窓口を全部ふさぐわけにもいきません。

ここで攻撃者は、大学のオープンさを逆利用します。たとえば公開されている論文テーマに合わせて、「あなたの研究に興味があります」と送る。あるいは学会日程に合わせて「資料を共有します」と送る。高校の友達を名乗る必要はありません。研究者らしい話題を振るだけで、十分それっぽく見えるからです。

研究データより先に「横展開」が起きる ​

メール侵入が怖いのは、1人分で終わりにくい点です。盗んだアカウントから同僚、事務部門、学生へメールを出せば、二次、三次の侵入が起きます。英語で lateral movement、横展開と呼ばれる動きです。最初の標的が教授でも、最終的な影響は研究室だけに収まらない。

大学のシステムは、教育、研究、図書館、会計、出張申請、クラウド保存、遠隔授業などがゆるくつながっています。企業のように一社一システムで閉じていないぶん、入口が複数あり、権限の継ぎ目も多い。攻撃者にとっては、どこか一枚カードを拾えれば、そのカードで開く扉を順番に試せます。職員証を拾った人が、研究棟、図書館、会議室の前を一つずつ歩くような構造です。

日本の読者にとって何が重要か ​

今回のFNN記事は、日本の大学がこの8月に新たに同じ組織へ破られた、とまでは言っていません。そこは断定しません。ただ、日本の大学も標的集合の中に入っていたと米当局が説明している点は重いです。

日本では近年、大学や研究機関でも多要素認証の導入や不審メール訓練が進んでいます。たとえば東京大学は教職員向けに多要素認証の運用を案内し、国立情報学研究所の NII-SOCS も学術機関向けのセキュリティ監視・情報共有を担っています。ただし、これらは今回FNNが伝えた同一事件の直接証拠ではありません。あくまで、国内でも「大学アカウントが研究安全保障の入口になる」という認識が強まっている補助線です。

つまり読者が見るべきは、「大学が狙われた」という見出しそのものより、大学の公開性と本人確認がどう噛み合っているかです。研究予算や論文数だけではなく、認証の強さ、端末管理、メール教育、異常検知まで含めて、研究を守る時代になっています。

まとめ ​

今回のニュースの芯は、イラン人ハッカー5人に報奨金が出たことそのものだけではありません。大学攻撃が、巨大サーバーの破壊より先に、教授個人のメールと認証情報を狙う構造が改めて浮かんだことです。

高校生向けに言い換えるとこうです。大学の研究を盗むには、研究室の金庫を壊す前に、先生のログインをだますほうが早いことがある。だから大学のサイバー対策は、難しい研究設備だけでなく、メールと本人確認を守るところから始まる。ここを外すと、「なんで大学が標的になるのか」がうまく説明できません。

Sources ​