情報セキュリティの選りすぐりの技術と信頼を届けます
SIPSセキュリティレポート 2020年7月6日号
***************************************************************
既に1万2千台以上がハッキングされている日本の大学のセキュリティ事情
***************************************************************
日本の大学は学術研究及び教育における高等教育機関とされ、大きく国公立大学と私立大学に分けられ、
2020年度4月時点の日本の大学数は781大学あり、その内約8割が私立大学になる。
大学のネットワークは独自に構築しているネットワークと共同利用しているネットワークが存在する。
共同利用する情報通信ネットワークの代表的なものは国立情報学研究所(NII)が構築、運用している学術
情報ネットワークがあり、これに国立極地研究所、統計数理研究所、国立遺伝子学研究所を加えた4つの
大学共同利用機関を構成する「大学共同利用機関法人情報・システム研究機構」が2004年に設置され、
日本の大学の情報基盤となっている。
当然巨大なネットワークが構築されているが、サイバー脅威とも背中合わせになっている。
過去の大学へのサイバー攻撃はメールアカウントの流出、Web改ざんなどいくつかの事故、事件がニュースにも
取り上げられているが、実は大学へのサイバー攻撃数は年間相当数が確認されている。
2018年8月、日経BP社と日本経済新聞社の共同調査では国立大学の8割以上が攻撃を受け、その中の
約3割で情報漏洩や業務停止といった被害が発生したという結果が出た。
昨年には東京都立大学(旧首都大学東京)、金沢大学、東京農工大学、長岡技術科学大学、早稲田
大学、東京理科大学などがサイバー攻撃による被害を受けており、今年に入り千葉大学、お茶の水女子
大学、岡山大学、鹿児島大学などが被害に遭っている。
それぞれ攻撃の方法や被害は異なるものの、日本の大学がターゲットとなり攻撃が増加している事は間違い
ない。
その原因の一つには多数の大学のサーバが既にハッキングされ、サーバの管理者権限をハッカー達に握られて
いることが挙げられる。
中国ブラックマーケットでハッカー達が共有している情報の中に「ハッキングしたサーバの管理者権限情報」の
リストがあり、この中には日本の大学のサーバも多数存在する。
そのハッキングされた大学関係のサーバ数は、現在確認されている数だけで1万2570台に及ぶ。
その中には誰もが知っている有名大学名が並び共同利用のネットワーク上のサーバも含まれている。
日本の大学は中国サイバー攻撃者からすると既に無法地帯となっているのである。
また日本の大学を特定した、サイトハッキングの事例レポートなども複数確認されている。
2013年8月に発生した神奈川大学の不正アクセス事故は「大学の総合ネットワークサービス(MNS)にて、
成りすましによる不正ログイン」としてニュースとなった。
大学及び警察等による調査結果、どうやら中国からハッキングを受けた可能性があると結論付けられている
が、中国ブラックマーケットではこれに関連する「神奈川大学のハッキングレポート」が存在している。
レポートは、SQLインジェクションの脆弱性を利用したハッキングに関する内容で、ターゲットサーバに対して
インジェクションの脆弱性が存在することを確認するところから始まり、管理者権限の取得及びWebサイト
webshell権限獲得方法などが詳細に記載されている。
つまり同様のシステムの場合、同じ手順を踏めべ同じようにハッキングできるという【ハッキング教科書】のよう
なものだ。
別の大学ではphpインジェクションの脆弱性を利用したハッキングレポートやLinuxサーバへのインジェクション
攻撃のレポートなど様々な実際のハッキングに関するレポートが存在する。
更にハッキングされたWebサーバの大量のwebshell情報(IPアドレス/パスワード)もハッカー共有サイトに
掲示されている。つまりどこでも自由に侵入できるというわけである。
一番問題なのは最上位権限を奪われているため、少しシステム上の修正をした程度ではサイバー攻撃
対策の意味を成さない。再び侵入されてしまうという事である。
侵入されれば、再び情報漏洩やランサムウェアなどのマルウェアによる被害を受けることになる。
大学は公的補助や国からの受託研究費も多い。大学のセキュリティ事情に対し「人材不足」という表向き
の言い訳ではなく、真摯に現状を把握し、しかるべき対策を取らなければならない。
公費で時間をかけて研究した情報が、簡単に奪われてしまうような本末転倒な事にはならないよう考えて
もらいたい。
---------------------------------------------------------------------------------
<参考URL>
日経XRECH：2018/9/26
3割がサイバー攻撃で実被害、国立大で相次ぐ情報漏洩
https://xtech.nikkei.com/atcl/nxt/mag/nc/18/091800072/091800002/
日経XRECH：2019/5/7
神奈川大を襲ったランサムウエア、メールシステムが2週間以上復旧せず
https://xtech.nikkei.com/atcl/nxt/column/18/00598/042400011/
Cross&Crown Security
Intelligence：2020/3/16
鹿児島大学教育学部ホームページ改ざん被害に、個人情報流出はなし
https://ccsi.jp/1380/
Copyright (C) 2014 SouthPlume Co.,Ltd. All Rights Reserved