特別寄稿第2弾「ソニーサイバー攻撃の経緯と教訓」（1）はじめに

2011年4月、ソニーに対する大規模なサイバー攻撃が発生した。そして、これを契機として各企業や多くの組織など自組織のサイバー攻撃対策を再考する所もあるのではないかと思う。しかしこの事件から教訓を得るためには、より多くの正確な情報から事件の経緯を把握し教訓を

特集特集

2011年7月11日（月） 08時00分

2011年4月、ソニーに対する大規模なサイバー攻撃が発生した。そして、これを契機として各企業や多くの組織など自組織のサイバー攻撃対策を再考する所もあるのではないかと思う。しかしこの事件から教訓を得るためには、より多くの正確な情報から事件の経緯を把握し教訓を得る必要があるが、事件発生に至るまでの経緯についてはあまり報道されていないのが現状である。

世間や、一般紙、経済誌の論調では、本事件の推定原因を「情報セキュリティ管理体制の不備」や「脆弱性の放置」などとし、取るべき対策としては「被害に遭うことを前提にした対策や対応体制の確立」や「個人情報保護に関する規制強化」としているものが非常に多い。

しかしながら、それらの論拠のほとんどが「2011年4月に発生した大規模な情報漏洩とその後のソニーの対応」という事実情報となっているところに、筆者は大きな違和感を覚えている。

どうもハッカーからのサイバー攻撃が自然災害の一つのように捉えられ、あらゆるリスクを想定すべきという、従来のサイバーセキュリティ専門家の主張が繰り返されているように見えて仕方がない。

サイバー攻撃は、直接的にも間接的にも「人」或いは「組織」が行なって発生する事象にしか過ぎないことを忘れてはならない。また、特定の集団や不特定多数の者が行なうサイバー攻撃には、それらの実施主体が人間である以上、何かしらの合理的な理由や背景を伴うことが多い。この「サイバー攻撃発生の合理的な理由や背景」をしっかりと分析及び把握することこそ、本事件の正確な理解のための重要なポイントになりうると考えている。

そこで、今回、本事件が発生するに至るまでのさまざまな事象を、事件発生の経緯として分かりやすいようにまとめた。これらの経緯の中に、教訓とすべき点がいくつも存在していることに気付かれるのではないかと期待している。その上で、在り来りな教訓ではなく、攻撃側の理解から得られる教訓を見出すことにより、より確度の高い対策を検討できるのではないかと考える。それぞれの組織のサイバー攻撃対策の一助となれば幸いである。

（株式会社サイバーディフェンス研究所上級分析官名和利男）

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

特別寄稿第2弾「ソニーサイバー攻撃の経緯と教訓」（1）はじめに

Scan PREMIUM 会員限定記事

フィッシング詐欺キットに脆弱性、ターゲットは二度被害に遭う可能性（The Register）

脆弱性捕物控：Gooogle Security Assurance Team 日々之御仕事

「ハッキングにはハッキングで報復」英閣僚発言、NATO同調か（The Register）

TLPT（Threat-Led Penetration Test）実施手順

カテゴリ別新着記事

Scan PREMIUM 会員限定記事

フィッシング詐欺キットに脆弱性、ターゲットは二度被害に遭う可能性（The Register）

脆弱性捕物控：Gooogle Security Assurance Team 日々之御仕事

「ハッキングにはハッキングで報復」英閣僚発言、NATO同調か（The Register）

TLPT（Threat-Led Penetration Test）実施手順

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

セブン銀行を騙るフィッシングSMSに注意を呼びかけ（フィッシング対策協議会）

WordPress用プラグイン「Contest Gallery」に意図しない操作される脆弱性（JVN）

マイクロソフトが月例セキュリティ情報を公開、9製品を更新（IPA、JPCERT/CC）

「Adobe Flash Player」のセキュリティアップデートを公開（JPCERT/CC、IPA）

Minecraftサーバ向けプラグイン「Dynmap」に画像を取得される脆弱性（JVN）

Appleが「iCloud for Windows」のアップデートを公開（JVN）

インシデント・事故 記事一覧へ

パスワードリスト攻撃による不正ログイン、カード不正利用確認（イオン銀行、イオンクレジットサービス）

Webサイトのサーバに第三者から不正アクセス、ウイルス感染や情報流出は確認されず（日邦産業）

約5,000枚の「振替払出書」と「振替払出証書」を紛失、誤廃棄の可能性（ゆうちょ銀行）

県立三浦初声高等学校にて平成28年度入学生の生徒指導要録の写し等を紛失（神奈川県）

西淀川区役所にて生活保護費にかかる申請書類を紛失（大阪市）

Vtuber支援サービスでユーザーのメールアドレスが流出、暗号化されたパスワードの脆弱性も判明（ZIG）

調査・レポート・白書 記事一覧へ

1兆円突破、2017年度情報セキュリティ市場（JNSA）

EDR、MDRサービスの利用が堅調に拡大--実態調査（IDC Japan）

2018年の個人情報漏えい調査の速報値を公開、漏えい件数が増加に転じる（JNSA）

第1回の結果・講評から読み解く、サイバーセキュリティ小説コンテストの対策とは

個人の不正払い戻しの被害が急増、総額は2億円を超える（全銀協）

18人の笹木野ミドリ ～ “ノンフィクション” CSIRT 小説執筆裏話

研修・セミナー・カンファレンス 記事一覧へ

「脆弱性診断の内製化」セミナー、体験会も同時開催（SHIFT）

脆弱性捕物控：Gooogle Security Assurance Team 日々之御仕事

物理・ネット融合領域から生まれるリスク～韓国 SECON 2019 レポート

PCIDSS特化型脆弱性診断のハンズオントレーニング開催（fjコンサルティング）

ACD（攻撃的サイバー防衛）はどこまで許されるのか

ＭＢＳＤ国分裕の「脆弱性診断士育成」カリスマ授業

製品・サービス・業界動向 記事一覧へ

「NOTICE」と合わせ、感染IoT利用者にも注意喚起（総務省、NICT、ICT-ISAC）

手形・小切手の画像データで銀行間決済可能に、3年後目途（全銀協）

Carbon Black社EDRマネージドサービス提供開始（GRCS）

異常検知の前後を記録、ネットワークトラフィック監視システム（NTT-AT）

Deep Security新バージョン、コンテナ対応を強化（トレンドマイクロ）

3社連携、EDRフルマネージドサービスをクラウド提供（デル、Secureworks、CrowdStrike）

おしらせ 記事一覧へ

[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行

【先着７名】「退位の日」も記載 ～ CSIRT、SOC、IR 担当者向け、地政学的重要日カレンダー CrowdStrike Adversary Calender プレゼント(受付終了)

マクニカネットワークス株式会社 セキュリティサービス室 室長代理 柳下氏を取材しました

[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ

記事に関するお詫びと訂正：メール誤送信を助長する表現について

【Scan PREMIUM 記事配信予告】あの男が帰ってくる！ ～ 翼の折れたペネトレーションテスター

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

調査・レポート・白書記事一覧へ

18人の笹木野ミドリ～ “ノンフィクション” CSIRT 小説執筆裏話

研修・セミナー・カンファレンス記事一覧へ

製品・サービス・業界動向記事一覧へ

おしらせ記事一覧へ

[配信予告] ＣＳＩＲＴの終焉？平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行

【先着７名】「退位の日」も記載～ CSIRT、SOC、IR 担当者向け、地政学的重要日カレンダー CrowdStrike Adversary Calender プレゼント(受付終了)

マクニカネットワークス株式会社セキュリティサービス室室長代理柳下氏を取材しました

【Scan PREMIUM 記事配信予告】あの男が帰ってくる！～翼の折れたペネトレーションテスター