日本大学法学部で、教職員1名を狙って巧妙に偽装されたフィッシングメールが確認され、その結果、同教職員のメールアカウントが第三者に不正利用され、外部に向けて3,177件の不審メールが送信される事案が発生した。
事案の詳細
日本大学法学部において、教職員1名を対象とした巧妙に偽装されたフィッシングメールにより、メールアカウントの認証情報が窃取され、第三者による不正アクセスが行われた。当該アカウントが乗っ取られた結果、連絡先として登録されていた学内外のメールアドレス宛に、不審なメールが3,177件送信されたことが確認されている。
今回の特徴は、受信者が通常の業務連絡やクラウドサービスに関する案内などと誤認しやすい形でフィッシングメールが偽装されていた点にある。手口はフィッシングメールによる認証情報の窃取であり、教職員のメールアカウントが侵害されることで、組織の正規アカウントから不審メールが送られる状況が生じた。同学部によれば、当該教職員の端末でウイルス感染の形跡は確認されておらず、認証情報の外部流出により正規のルートを装った不正アクセスが行われたと説明している。
被害状況として、送信された不審メールは3,177件に上った。これは単発の迷惑メールではなく、乗っ取られた正規アカウントを起点に、正規の利用者になりすまして大量のメールが送信された事案であることを示している。また、メールアカウントが不正アクセスされたことに伴い、メールボックス内に保存されていた個人情報や業務関連情報が第三者に閲覧された可能性を否定できない状況にあるとされる。
影響と背景
アカウントが乗っ取られると、正規の組織からの連絡として受け取られやすくなり、メールの信頼性が悪用される。今回も、教育機関の教職員アカウントが悪用され、多数の不審メール送信につながった点が影響として重要である。送信先は当該アカウントの連絡先に登録されていた学内外の関係者であり、受信者側では差出人が日本大学法学部の教職員であることから、正規メールと誤認してフィッシングサイトに誘導されるリスクが生じた。
同学部は、メールボックス内の情報が膨大で、全ての対象者の特定や個別の連絡が困難な状況にあるため、法令に基づき本件の公表をもって謝罪と報告に代えるとしている。また、個人情報保護委員会や文部科学省などの監督官庁に対しても報告を行っており、現時点では情報の不正利用や金銭的被害などの二次被害は確認されていないと説明している。
対策・今後の展望
- 不審メールの見分けと報告：業務に関連して見えるメールや、実在するクラウドサービスなどを装った案内メールであっても、リンク先への誘導やID・パスワードなどの入力を求める内容には慎重に対応し、組織内で定められた手順に従って速やかに報告する。心当たりのないメールや、急いで入力を促す文面が含まれるメールは、開封・リンククリック・添付ファイル展開を行う前に、情報システム担当者等へ確認する。
- アカウントの保護：フィッシングメールに起因する不正利用が疑われる場合は、速やかにパスワード変更やアカウント停止、多要素認証の導入などの対応を行い、影響拡大を抑える。また、メールアカウントへのアクセスログを確認し、普段と異なる場所・時間帯からのサインインがないかを点検することで、早期に異常を検知できる体制を整える。
- 送信監視と封じ込め：正規アカウントからの大量送信や、短時間に多数の宛先へ同一内容が送信されるなど、通常と異なる挙動を検知できるよう監視を行い、異常を検知した場合は送信抑止、アカウントの一時停止、原因調査を速やかに実施する。併せて、メールボックス内の保存情報や連絡先を確認し、必要に応じて関係者への注意喚起を行う。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR（Managed Detection and Response）運用では、「正規アカウントからの不自然な大量送信」や「普段と違う場所・時間帯のサインイン」が頻出アラートとなっている。診断の現場でも、メール認証やアクセスログ確認の運用が十分に整備されないままの組織が少なくなく、今回のようなフィッシングを契機としたアカウント乗っ取り・迷惑メール送信のリスクが顕在化しやすい。
【平易な解説】例えるなら、会社の代表番号から詐欺電話をかけられるようなものだと言える。つまり、攻撃者は本人になりすましてメールを送り、受け手に「本物だ」と思わせる。差出人が社内や取引先であっても、ID・パスワードなどの入力を促す誘導や、リンク先で認証情報を求める画面が表示される場合には特に注意が必要であり、少しでも不審に感じた場合は入力やクリックを控え、確認を行うことが求められる。
【今週中にできること】まず、メール送信数が急増していないか、そして直近のサインイン履歴に普段と異なる場所・時間帯からのアクセスがないかを、管理者が確認してほしい。次に、職員・教職員へ「パスワード入力を求めるメールや、リンク先で認証情報を再入力させるメールは即報告」のルールを周知し、フィッシングへの初動対応を統一する。最後に、疑いが出たアカウントは早期に停止・パスワード変更等を行い、連絡先へのなりすましメール送信や、メールボックス内情報の不正閲覧が拡散する前に封じ込める。
参照: 3,177件の不審メールを送信 ～ 日本大学法学部教職員への巧妙に偽装されたフィッシングメールによる「アカウント乗っ取り」