2008年10月06日(月) 09時07分

20万以上の Web サイトがクラック被害の危険に（japan.internet.com）

セキュリティ製品ベンダー Aladdin Knowledge Systems でセキュリティ研究部門のディレクタを務める Ian Amit 氏によると、サイバー犯罪者たちは20万以上にのぼる Web サイトの管理者用ログイン認証情報を入手しており、このうちいくつかの Web サイトについて、訪れたユーザーに攻撃を仕掛けるため、該当サイトのコードを改ざんしたという。攻撃対象となったサイトの中には、米国郵政公社 (USPS) も存在すると Amit 氏は指摘するが、当の USPS はこれを否定している。

さらに Amit 氏は取材に対し、クラッカーたちは盗んだ情報を1台のサーバーに集め、ログイン認証などの情報を、犯罪者の悪用目的のために要求に応じて提供しているという。

Web サイトから盗み出した管理者情報を格納するサーバーは、「少なくとも3つの異なる犯罪者集団が利用している。このうち2つはヨーロッパ、残りの1つは米国の集団だ。彼らは SaaS モデルを使って、犯罪をサービスとして提供している」と Amit 氏は述べた。

情報を格納したサーバーは、サイバー犯罪者たちがブラウザや Web ソフトウェアに攻撃を仕掛けるクラック用ツール、『Neosploit』のユーザーが保有するものと思われる。

Amit 氏によると、該当する20万の Web サイトのうち、8万以上の Web サイトが改ざんを受けており、マルウェア攻撃や、さらには SQL インジェクション攻撃の危険すら存在する別の Web サイトに訪問者を誘導するという。「盗み出されたり漏洩した認証情報が、単一のサーバーにこれほど多く存在することは前代未聞だ」と Amit 氏は述べている。

Amit 氏はまた、クラック被害にあった Web サイトの1つに USPS のサイトも存在すると指摘し、さらに「もっと敏感な情報を扱う Web サイトも被害にあっている」と述べたが、具体名は挙げようとしなかった。「Web サイトへの侵入から、悪質コードを埋め込むため改ざん処理まで、すべてが自動化されている」ため、サイバー犯罪者たちは、自分がどのサイトを攻撃したのか感知していないというのが、Amit 氏の見方だ。

なお USPS は、Amit 氏の主張を否定している。USPS の広報担当 Michael Woods 氏は取材に対し、「USPS.com のサイトが危険にさらされた証拠は見つからなかった。この件については、郵便捜査局を含むしかるべき捜査当局に委ねた」と語った。

【関連キーワード】
SQL インジェクション攻撃
【関連記事】
Symantec、特許侵害訴訟で Aladdin と和解
「サイト改ざんコンテスト」で大規模クラック行為発生の危険
Web サイト破壊活動が増加中

http://headlines.yahoo.co.jp/hl?a=20081006-00000002-inet-secu