ひとくちメモ　インターネットセキュリティの歴史

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第1回 「Morris ワーム事件」		インターネットセキュリティの歴史	2007-03-28号

1988年11月2日、コーネル大学の学生であった Robert Tappan Morris によって作成された「あるプログラム」が、インターネット上のホストに次々と侵入し、自己増殖を続けることで、当時インターネットに接続していた全ホストのおよそ 10% にあたる約6,000台ものホストをほぼ使用不能に追い込むという事件が発生しました。このプログラムはインターネットを介して伝播し大きな事件となった初めての「ワーム (Worm)」であり、「インターネットワーム」または作者の名前から「Morris ワーム」と呼ばれています。

そもそもこのプログラムはこのような被害を与えることを目的に作られたのではなく、インターネット全体の「大きさ」を測定することを目的に作成されたのですが、その伝播の仕組みに問題があったため、結果的に「感染」したホストを使用不能に追い込むことになったのです。

このように意図しない「事故」ではありましたが、この事件は「インターネットセキュリティ」という概念を生む大きなきっかけとなりました。

また、この事件をきっかけに、世界で初めての CSIRT である米国 CERT Coordination Center (CERT/CC) が誕生しました。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第2回 「CERT/CC 発足」		インターネットセキュリティの歴史	2007-04-04号

1988年11月に発生した「Morris ワーム事件」をきっかけに、米国防総省国防高等研究事業局 (DARPA: Defense Advanced Research Projects Agency) の要請を受け、カーネギーメロン大学のソフトウェアエンジニアリング研究所 (SEI: Software Engineering Institute) に、インターネットセキュリティを専門に扱う組織 CERT Coordination Center (CERT/CC) が設立されました。

これが後に CSIRT (Computer Security Incident Response Team) と呼ばれる組織の第一号となりました。

CERT/CC は、インターネットセキュリティにかかわる緊急事態に際して、関係者間のコミュニケーションを迅速且つ効果的に調整し、更にインターネットコミュニティに対してセキュリティ問題について啓発することを目的としています。

CERT/CC の「CERT」は CERT/CC の登録商標であり、「Computer Emergency Response Team」などの頭文字を取った単語ではありません。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第3回 「京都府宇治市住民基本台帳データ漏えい事件」		インターネットセキュリティの歴史	2007-04-18号

1999年5月21日、京都府宇治市の住民基本台帳のデータ 21万7617件分が、民間業者のもちこんだ MO ディスクによって外部に流出し、名簿業者によってインターネット上で販売された事件です。

これに対して、プライバシーを侵害されたとして市民による損害賠償請求訴訟が起こされました。その結果、2002年7月11日、最高裁は宇治市の上告を棄却し、宇治市に 1人あたり 1万円の慰謝料の支払いを命じる決定をくだしました。この判決は司法判断として、個人情報の基本4情報 (氏名、住所、性別、生年月日) を漏えいした場合の慰謝料を確定した初の判決となりました。

なお事件当時、宇治市はすでに個人情報保護条例を施行していましたが (1999年4月施行) 、事件発覚後すぐに条例改正に着手し、現在では罰則等について民間委託先等も適用対象とすることなどを明文化しています。

自治体による初めての大規模な個人情報流出であり、また個人情報流出に対して慰謝料の支払いが命じられたという点において、その後のインターネットを介した個人情報漏えい事件の対応の際に参考とされることになりました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第4回 「Melissa ウイルス」		インターネットセキュリティの歴史	2007-05-09号

1999年3月、Microsoft Word 97、98 および 2000 のマクロ機能を使って感染するウイルスである Melissa が猛威を振るいました。

このウイルスは、添付された Word 文書をマクロ機能が有効になっている Microsoft Word で開くことで感染し、感染したウイルスは Microsoft Outlook のアドレス帳に登録された 50 のアドレスに次のようなメールを送付します。

Melissa は、不特定多数にメールを送信することで感染を広めるウイルスであり、これまでにない感染力を持っていました。大量のメール送信によってメールサーバに負荷がかかり、配送遅延やサーバの停止などの被害が発生しました。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第5回 「中央省庁 Web ページ改ざん事件」		インターネットセキュリティの歴史	2007-05-16号

2000年1月24日、科学技術庁の Web ページが改ざんされる事件が起こりました。中央省庁の Web ページが外部からの不正アクセスによって改ざんされたことが大々的に報道された初めてのケースとなりました。

科学技術庁の Web ページ改ざん事件の後、他省庁においても同様の事件が相次ぎました。これら一連の政府関連省庁に対する不正アクセス事件は、中央省庁における当時の情報セキュリティに関する取組みが、必ずしも十分ではないことを明らかにしました。

この事件の影響もあり、2000年2月29日、政府は内閣官房に「情報セキュリティ対策推進室」(現: 情報セキュリティセンター) を設置しました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第6回 「Yahoo!、Amazon、eBay、CNN などに大規模な DDoS 攻撃」		インターネットセキュリティの歴史	2007-06-27号

2000年2月初旬、Yahoo!、Amazon、eBay、CNN など米国の有名 Web サイ トが次々と DDoS 攻撃を受け、サービス停止に追い込まれる事件が発生しました。

DDoS 攻撃は対策が困難であり、事件発生以前から CERT/CC などが注意を呼びかけていましたが、ほとんど注目を集めることはありませんでした。しかし、この事件をきっかけに、DDoS 攻撃の危険性が認識されることとなりました。

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第7回 「Love Letter ウイルス」		インターネットセキュリティの歴史	2007-08-08号

2000年5月、VBScript で書かれた「Love Letter」または「I LOVE YOU」と呼ばれるウイルスによる被害が発生しました。このウイルスは電子メールや IRC などの複数の方法を使って感染を試みます。

感染を広めた電子メールは以下のような内容です。

ユーザが添付ファイルを開くことで Love Letter ウイルスに感染し、Microsoft Outlook のアドレス帳に登録された全てのアドレスに対して同様のメールを送付します。

Love Letter ウイルスはシンプルながらも受信者の興味をひくメールの件名で国内でも爆発的に感染を広げました。

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第8回 「不正アクセス行為の禁止等に関する法律の施行」		インターネットセキュリティの歴史	2007-09-05号

2000年2月13日、「不正アクセス行為の禁止等に関する法律」が施行されました。この法律の施行により、ID・パスワードの不正使用など直接的な被害を伴わない不正アクセスを禁止・処罰することが可能になりました。

この法律は「不正アクセス行為等の禁止・処罰」と「防護側の対策」という 2点から構成されています。不正アクセス行為は「電気通信回線(ネットワーク)を通じて行われる行為」に限定されていますが、この法律では、パスワード等を第三者に提供するなど不正アクセス行為を助長する行為をも含めて禁止しています。

また、第7条にもとづき、毎年不正アクセス行為の発生状況などの情報が公表されるようになりました。2006年の情報については、以下の参考文献を参照してください。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第9回 「重要インフラのサイバーテロ対策に係る特別行動計画策定」		インターネットセキュリティの歴史	2007-10-03

2000年12月15日、内閣により「重要インフラのサイバーテロ対策に係る特別行動計画」が策定されました。同年 1月に、中央省庁のウェブページが次々と書き換えられた事件をきっかけに、日本政府としてはじめて、サイバーテロ対策のための行動計画を策定したものです。

対象とする重要インフラ分野は、策定当初 7分野でしたが、その後の見直しにより 3分野が追加され、情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス (地方公共団体を含む)、医療、水道、物流の10分野となっています。

この重要インフラのサイバーテロ対策を含む情報セキュリティ政策は、情報セキュリティセンター (NISC、設置当時の名称は「情報セキュリティ対策推進室」) により、推進されています。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第10回 「Code Red ワーム」		インターネットセキュリティの歴史	2007-11-14号

2001年7月、Microsoft IIS の既知の脆弱性 (同年 6月公開) を使って感染を広めるワーム Code Red の活動が確認されました。このワームは感染活動においてネットワークに大きな負荷をかけたり、感染後には Web コンテンツの改ざんや特定サイトへの DoS 攻撃を行うものでした。また、このワームによる侵入の試みを受けることで再起動してしまうネットワーク機器なども存在したため、インターネット全体に多大な被害を及ぼすことになりました。

翌8月には、Code Red が使用したのと同じ Microsoft IIS の脆弱性を使って感染を広める新たなワーム Code Red II が発生しました。このワームは感染したシステムのレジストリを書き換え、バックドアを設置するなど、Code Red 以上に悪質でした。

Code Red の活動は、一般ユーザのインターネット利用にも大きな影響を与え、ワームの存在を世の中に広く知らしめる結果となりました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第11回 「Nimda ワーム」		インターネットセキュリティの歴史	2007-11-28号

2001年9月18日、Microsoft Windows を対象とする Nimda ワームが発生し、非常に短時間で感染が広がりました。

ワームは

の 5つの感染経路を持ち、過去のウィルスやワームなどが使った手法を複合的に組み合わせた初のワームとして知られています。またその後も亜種が発生するなど被害は長く続きました。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第12回 「Ramen ワーム」		インターネットセキュリティの歴史	2007-12-19号

2001年1月、RedHat ベースの Linux の既知の脆弱性を使って感染を広げる Ramen ワームが発生しました。このワームは感染するとそのシステム上の全ての index.html を、

という内容に書き換えるなど、様々なシステムの改ざんを行ないます。

Morris ワームが発生した 1988年はまだインターネットが小規模な時期であり、その影響は限られたものでした。対して Ramen ワームは、インターネットの規模が拡大し、また RedHat Linux というユーザ数の多いプラットフォームを狙ったことから感染被害が大きく広がり、社会的な影響も大きいものになりました。

その後、同年 3月には Lion、4月には Adore と立て続けに Linux を標 的としたワームが確認されました。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第13回 「プロバイダ責任制限法」		インターネットセキュリティの歴史	2008-02-14号

2001年11月30日、「特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律 (プロバイダ責任制限法) 」が公布され、2002年5月27日から施行されました。

この法律は、特定電気通信 (インターネット) による情報の流通によって権利の侵害があった場合について、(1) 特定電気通信役務提供者 (プロバイダ等) の損害賠償責任の制限、および (2) 発信者情報の開示を請求する権利、の 2点について定めています。

また、社団法人テレコムサービス協会内に設置された「プロバイダ責任制限法ガイドライン等検討協議会」により、「プロバイダ責任制限法発信者情報開示関係ガイドライン」が公表されています。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第15回 「『電子認証』関連法制度－電子署名・認証業法」		インターネットセキュリティの歴史	2008-04-09号

2000年5月、「電子署名及び認証業務に関する法律」(電子署名・認証業法) が成立し、翌 2001年4月から施行されました。

わが国においては、紙の文書にする署名や押印に関する一般的な法的要件を定めた法令は存在しないため、諸外国の電子署名法のように、電子署名に手書きの署名と同等の法的効果を与えるための法律が存在しなくても、電子署名が付された電磁的記録を手書き署名や押印のある文書と 同等に扱うことに問題はありませんでした。わが国の法令において、手書きの署名または押印のある文書に法的効果を与える唯一の規定であった、民事訴訟法の「文書の真正な成立の推定効」 (A さんの署名がされている文書は、それを覆す別の証拠がでてくるまでは、訴訟において、A さんが自分の意思で作成した文書として取り扱われるという効果) についても、何が署名であり、何が押印であるかについての規定は存在しないことから、電磁的記録についても、裁判官が署名の付された準文書であるとの心証を形成することができれば足り、電磁的記録に契約書等の文書と同等の効力を与えるために立法が不可欠であるという状況ではありませんでした。

しかしながら、当時の国際的な動向として、特に、手書きの署名等の要件や効果が法定されている国々を中心に、電子署名に手書きの署名と同等の法的効果を与えるための電子署名法の立法が相次いで行われていたため、わが国において電子署名法の立法を行わない場合は、日本では電子署名が手書き署名と同等に扱われないのではないかという誤解を生み、国境を超えて行われる電子商取引の分野等においてわが国企業等の競争的地位によくない影響が生じることが懸念されました。また、電子署名を署名と同等に扱うことに法令上の障害が存在しないとしても、訴訟において裁判官がどのような判断をするかの予見ができにくい状況では、企業等が電磁的記録による契約等に二の足を踏んでしまうことも心配されました。

そこで、わが国の法令において、手書きの署名または押印に法的効果を与える唯一の規定であった、民事訴訟法の「文書の真正な成立」の推定効を、電子署名がされた電磁的記録にも与えることを内容とすることで電子署名法の立法が行われたものです。

また、どのような電子署名がこのような推定効を与えられ得るかに関する利用者の予見可能性の向上や、信頼できる電子証明書の発行業務（認証業務）の基準を明らかにすることによる電子署名の利用促進を目的として、「その方式に従って本人にしかできない電子署名」の要件や、認証業務の認定制度が併せて規定されています。このため、わが国の電子署名法は、「電子署名・認証業法」という略称でも分かるとおり、電子署名の効果、要件のほかに、電子認証業務に関する規定が多く盛り込まれたものとなっています。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第16回 「『電子認証』関連法制度－IT 書面一括法、e-文書法」		インターネットセキュリティの歴史	2008-04-23号

2000年11月、「書面の交付等に関する情報通信の技術の利用のための関係法律の整備に関する法律」(IT 書面一括法) が成立し、翌 2001年4月から施行されました。また、2004年11月には「民間事業者等が行う書面の保存等における情報通信の技術の利用に関する法律」と「同法施行に伴う関係法律の整備等に関する法律」(e-文書法)が成立し、翌 2005年4月から施行されました。

IT 書面一括法においては、証券取引法、薬事法、保険業法など法律 50法を対象に、書面の交付あるいは書面による手続を義務としていた部分について、電子的手段による交付を容認することとされ、e-文書法においては、書面の保存等が法令上義務付けられている場合について、原則として当該書面に係る電磁的記録による保存等を行うことを可能にすることとされました。

電子署名法を含めたこれらの法整備により、法制度上、紙媒体を想定していた多くの場面で、電子データを用いることができるようになりました。日常生活に関わる様々な場面で紙媒体から電子データへの移行が進められていることから、電子データを安全に正しく扱うことがより重要になってきています。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第14回 「DNS ルートサーバへの DDoS 攻撃」		インターネットセキュリティの歴史	2008-03-05号

DNS ルートサーバはインターネットを支える重要な役割を果たしています。過去に何度か大量のリクエストを送りつけて処理能力を圧迫させる DDoS 攻撃の標的になっています。

2002年10月21日、13 の DNS ルートサーバが一斉に DDoS 攻撃を受ける事件が発生しました。これにより 13 のうち 7つに影響がありました。その後も、2007年2月6日、13 の DNS ルートサーバのうちの 3つが DDoS 攻撃を受ける事件が発生しました。

どちらの攻撃も一般ユーザのインターネット利用には大きな影響は与えませんでしたが、このような攻撃への対策として、いくつかのルートサーバでは、Anycast の技術を使った複数のサーバによる冗長化運用が行なわれています。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第16回「Slammer ワーム」		インターネットセキュリティの歴史	2008-05-21号

2003年1月24日、Microsoft SQL Server 2000 の既知の脆弱性 (2002年7月公開) を使って感染を広めるワーム Slammer が発生しました。Slammer は感染スピードが速く、最初の 10分間で感染の可能性のあるコンピュータの 90% が感染したと言われています。

対象が Microsoft SQL Server と MSDE であったことから、感染した台数そのものは　Nimda などに比べて少なかったものの、CPU とネットワーク帯域の限界まで大量にパケットを送出するという性質から、ネットワーク機器が過負荷で停止するなどの被害が発生しました。韓国では Slammer の影響で国内のインターネット接続が一時不能な状態に陥りました。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第17回「Blaster ワーム」		インターネットセキュリティの歴史	2008-06-25号

2003年8月、Microsoft Windows の既知の脆弱性 (同年 7月公開) を使って感染を広めるワーム Blaster が発生しました。このワームに感染すると、管理者権限が奪われるだけでなく、8月16日以降、Microsoft の windowsupdate.com に対して DoS 攻撃を行なうようになります。

このワームは、これまでの Windows を対象にした Code Red、Nimda、Slammer などのワームと異なり、Windows OS そのものの脆弱性を悪用し感染することから、多くのコンピュータが感染対象となりました。またブロードバンド常時接続が一般化したこともあり、Blaster に感染したコンピュータからの DoS 攻撃が成功した場合の被害は甚大なものに なることが予想されました。しかし、この攻撃自体は Microsoft およびセキュリティベンダなどの尽力により未然に防がれ、DoS 攻撃は回避されました。

しかし、Blaster の感染被害そのものは世界中に広まり、日本国内でも多くの被害が報告されました。

8月18日には、Welchia (別名: Welchi、Nachi など) が発見されました。Welchia は感染後、Blaster を削除し、脆弱性の修正プログラムを Microsoft のサイトからダウンロードして適用し、自己消滅します。このワームは一見有害ではないように見えますが、感染の副作用でシステムが不安定になる可能性があることが知られています。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第18回 「個人情報保護法」(上)		インターネットセキュリティの歴史	2008-07-30号

わが国の個人情報保護法制は、1973年に徳島市「電子計算組織運営審議会条例」が制定されたのを皮切りに、地方公共団体による一連の条例制定からスタートしたといえます。OECD の「プライバシーガイドライン」が採択された1980年には、既に、49 の地方公共団体が個人情報保護条例を制定していました。

国レベルでは、

- 行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律
(1988年公布)

が制定されたのが最初になります。当時は、民間部門の規制は時期尚早との判断に基づき、行政機関に対象を絞り、かつ、コンピュータによって処理される「個人情報ファイル」のみを対象とした法制とされました。

その一方で、当時、民間事業者による個人情報の無断収集・利用が問題となっていたことから、1989年に、通商産業省（当時）の情報化対策委員会個人情報保護部会が、

- 民間部門における電子計算機処理に係る個人情報の保護についての指針

を公表しました。この指針は、1997年に

- 民間部門における電子計算機処理に係る個人情報の保護に関するガイドライン
(平成9年通商産業省告示98号)

に全面改正され、以後、個人情報保護法が制定されるまで、企業や団体がガイドラインを制定したり、取り扱いルールを定めたりする際の参考とされていました。

この後、インターネット社会の進展、住民基本台帳法ネットワークの構築、EU 個人情報保護指令への対応や、個人情報漏洩事件の多発を背景に、個人情報保護法立法に向けた本格的な検討が開始されることになり ます。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第19回 「個人情報保護法」(下)		インターネットセキュリティの歴史	2008-08-06号

日本では 1999年頃から、以下のような状況を背景に、本格的な個人情報保護法制度の検討がはじまりました。

2001年に提出された個人情報保護法案は、メディア規制法案であるとの反対意見が次々と公表されたことなどもあって廃案となりました。2003年に再度提出された法案は、「表現の自由に配慮する」旨の修正が加えられた上で、行政機関の保有する個人情報の保護に関する法律の改正法を含む関連 4法と合わせて同年 5月に成立、2年の準備期間を経て 2005年4月に施行されました。

この 2年の準備期間中の 2004年には、「個人情報の保護に関する基本方針」が閣議決定され、この指針に基づいて各分野におけるガイドラインや指針が制定されています。

法施行直後に発生した JR 福知山線脱線事故では死傷者情報が個人情報であることを理由としてメディアに提供されなかったり、個人情報保護法のために学校の緊急連絡網が作れなくなったりという、いわゆる過剰反応に関する問題も報道されました。

しかし、個人情報保護法制が整備されることで、様々な分野における個人情報の取り扱いに関するガイドラインがこの法制にもとづいて定められ、国際間での情報のやり取りを含めて個人情報の取り扱いが統一的な理念のもとに行われるようになっています。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第20回「Netsky ウイルス」		インターネットセキュリティの歴史	2008-08-27号

2004年2月、Netsky (Netsky.A) と呼ばれるウイルスが現れました。このウイルスは電子メールの他に P2P ファイル共有ソフト (KaZaA) を使って感染を広めます。このウイルスをきっかけに次々と亜種が発生し、その都度機能が追加されていき悪質化していきました。

数多くの亜種が発生する中で、最も大きな注目を集めたのは、2004年3月末に発生した Netsky.Q です。この亜種は Microsoft Internet Explorer の既知の脆弱性 (2001年3月公開) を使います。ウイルスメールを Outlook Express などで表示するだけで感染します。

また、この亜種に感染すると、4月8日から 4月11日の間にシステムを起動 (または再起動) した場合に、ある特定のサイトに対して、サービス運用妨害 (DoS) 攻撃を行ないます。

その後も亜種は作られ続け、4月の末に Netsky.Z が現れると、Netsky.AA、Netsky.AB と続いていきました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第21回「Antinny による情報漏えい多発」		インターネットセキュリティの歴史	2008-10-01号

2003年8月、ファイル共有ソフトウェア Winny を介して感染を広めるウイルス Antinny が現れました。この初期のウイルス自体は Winny ネッ トワークを利用して自身の感染拡大を行う機能を持つだけのものでした。

その後次々と亜種が発生していく中で Antinny は、「暴露ウイルス」の機能を有していき、数多くの情報漏えい事故を発生させることになりました。

これら亜種の中で、大きな注目を集めたのは、2004年3月末に発見された Antinny.G です。この亜種はデスクトップ画面のスクリーンショッ トやデスクトップ上に置かれたファイル、また Outlook Express のアドレス帳に登録されたアドレスなどをアーカイブし、Winny ネットワーク上に暴露します。また、これ以降「コンピュータソフトウェア著作権協会 (ACCS)」に対して DoS 攻撃を行う機能を持つ亜種が発生しました。

ファイル共有ネットワークに流出したファイルを完全に消去することは難しいため、情報漏えい事故の未然防止を呼びかける注意喚起が国内の複数の団体からなされました。しかし、情報漏えい事故は減らず、2006年3月には安倍官房長官 (当時) が Winny の使用を控えるよう国民に呼びかけを行うという異例の事態となりました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第22回「Sasser ワーム」		インターネットセキュリティの歴史	2008-11-06号

2004年4月末、Microsoft Windows の既知の脆弱性 (同年 4月公開) を使って感染を広めるワーム Sasser が発生しました。このワームに感染すると、管理者権限が奪われるだけでなく、次の感染先を選ぶ処理によってコンピュータの処理速度が極端に遅くなることがあります。また、感染に使った脆弱性に関わる副作用で Windows 自体が不安定になり、再起動することがあります。

このワームは 2003年8月に広まった Blaster 同様、Windows OS 自身の脆弱性を悪用し、ユーザのアクションを必要とせずに感染することから被害が拡大しました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第23回「ハードディスクレコーダを踏み台にしたコメントスパム」		インターネットセキュリティの歴史	2008-12-03号

Web を閲覧できる機能をもつテレビや、遠隔地から録画予約が可能なビデオレコーダなどに代表される、インターネットにアクセス可能な家電を「ネット家電」と呼びます。

2004年9月、東芝のハードディスクレコーダ RD シリーズをインターネットからアクセス可能な状態にしておくと、匿名プロキシサーバとして使われてしまう問題が明らかになりました。実際にこの問題を使ってブログに大量のコメントスパムが書き込まれるという被害が発生しました。

これをきっかけに「ネット家電」のセキュリティ問題が大きく注目されるようになりました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第24回「ボットネット」		インターネットセキュリティの歴史	2009-01-07号

2004年ころから「ボット」や「ボットネット」への注目が高まってきました。ボットという名前は IRC の自動対話プログラムが「bot」と呼ばれていたことに由来します。その名前の由来から分かるとおり、ボットの最大の特徴はユーザの PC に感染した後に定期的に C&C (Command and Control) サーバと呼ばれるコンピュータと対話を行い、ハーダー (Herder) と呼ばれるボットネット管理者からの指示に従って動作する点にあります。一般に何百～何千という数のボットに感染したマシン群とその C&C サーバをまとめて、ボットネットと呼びます。ハーダーはボットネットを使いスパム送信や DDoS 攻撃などを行います。また、ハーダーは管理するボットネットを迷惑メール送信者などに貸し出すビジネスも行っています。

現在も進化を続けるボット及びボットネットに対して、国内外で様々な対策が行われています。たとえばアメリカでは FBI によって 「Operation Bot Roast」というプロジェクトが行われ、大規模なボットネットの管理者を逮捕しています。日本では、2006年から総務省および経済産業省が共同でサイバークリーンセンタープロジェクトというボット感染者を減らすための試みを行っています。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第25回「VISA やイーバンク銀行を騙る日本語フィッシングメール」		インターネットセキュリティの歴史	2009-01-21号

2004年11月、VISA やイーバンク銀行を騙ってクレジットカード情報などを盗み取ろうとする日本語フィッシングメールの存在が明らかになりました。それまでは英語のフィッシングメールは数多く送信されていましたが、このころから日本人を標的とする日本語のフィッシングメールが本格的に送信されるようになりました。

この VISA の事例では、フィッシングサイトはルーマニアに設置されており、ルーマニアの ISP の協力によってフィッシングサイトは停止できました。しかし、その後もフィッシングサイトは、様々な国に設置され、同様のフィッシングメールも送信され続けました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第26回「日本国内の脆弱性関連情報流通調整機関として JPCERT/CC が指定」		インターネットセキュリティの歴史	2009-02-04号

ソフトウエアやハードウエアシステム等の脆弱性を発見した者が、その脆弱性を修正できるベンダ (開発者) に直接情報を送付しても、その情報が適切に取り扱われない、またはそもそも脆弱性情報の送付先が不明であるために、その脆弱性が修正される前に攻撃に悪用されてしまうことがあります。

そのような中で、米国 CERT/CC や英国 NISCC (現在の CPNI) は、公開前の脆弱性情報をベンダと調整し、修正が完了した後に世界同時に公開するという「脆弱性情報ハンドリング」を行なっており、一定の成果を挙げていました。しかし、日本のベンダとの調整については、時差や言語、文化の違いなどからスムースに進まないことがあったことから、JPCERT/CC は 2002年より CERT/CC および NISCC と協力し、日本国内ベンダとの調整業務を行っていました。

このような実績を踏まえ、日本国内の脆弱性情報流通の枠組みを整備する動きが生まれました。そして 2004年7月7日、経済産業省より公示された「ソフトウエア等脆弱性関連情報取扱基準」において、JPCERT/CC が、日本国内の脆弱性関連情報流通のための調整機関として指定されました。また同指定告示により、脆弱性関連情報の受付機関として指定を受けた独立行政法人情報処理推進機構 (IPA) と連携し、日本国内における脆弱性関連情報流通を行なうことになりました。

参考文書（日本語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第27回「サイバー犯罪条約」		インターネットセキュリティの歴史	2009-02-18号

「サイバー犯罪に関する条約 (略称: サイバー犯罪条約)」は、サイバー犯罪から社会を保護することを目的として、コンピュータ・システムに対する違法なアクセス等一定の行為の犯罪化、コンピュータ・データの迅速な保全等に係る刑事手続の整備、犯罪人引渡し等に関する国際協力等につき規定するものです。

2001年11月8日に欧州評議会で採択され、2004年7月1日に発効しました。現在、23の国が条約加盟国となっており、さらに23の国が同条約に署名し、加盟手続き中となっています。

日本は、欧州評議会メンバー国ではありませんが、本条約の制定作業に参加したことから、メンバー国と同様に本条約に署名することを許され、2001年11月23日に署名を行いました。

その後、本条約については、2004年4月21日に国会承認されましたが、この条約への対応のための国内法として 2005年10月4日に国会に提出された「犯罪の国際化及び組織化並びに情報処理の高度化に対処するための刑法等の一部を改正する法律案」が未だ継続審議中の扱いとされていることから、いまだ加盟には至っていません。

参考文書（日本語）

参考文書（英語）

Topへ

タイトル	対象	キーワード別カテゴリ	掲載号
インターネットセキュリティの歴史 第28回「DNS アンプによる DDoS 攻撃」		インターネットセキュリティの歴史	2009-04-01号

2005年、DNS アンプによる DDoS 攻撃が大きな話題になりました。DNS アンプとは DNS 再帰的問合せを受け付けるサーバを踏み台にして、DNS 要求パケットの何倍もの大きさのパケットを送りつける手法です。

2006年1月3日から 2月中旬にかけて世界の約 1,500 の組織が対象となった DDoS 攻撃に、この DNS アンプの手法が使われたといわれています。

DNS キャッシュサーバが攻撃の踏み台として使われないように、再帰的問合せを受け付ける範囲を必要最小限とするようにアクセス制限を施すことが推奨されています。

参考文書（日本語）

参考文書（英語）

Topへ