農林水産省のTPP情報等の窃取を目的にしたと思われるウィルス感染(サイバー攻撃)事案をまとめてみた。

読売新聞が2013年1月1日付で第一報を報じた農林水産省におけるウィルス感染事案について、その後のメディアの報道情報を元に概要をまとめます。なお2012年2月に発表された同省におけるウィルス感染事案と今回報じられた事案は別と考えられます。

概要

読売新聞が2013年1月1日付の朝刊で、農林水産省においてウィルス感染インシデントが発生し、TPPに関連した資料等、日本の通商政策に係る情報が流出した可能性があることを報じました。*1
また当該事案について同省は詳細情報は非公開という姿勢であると報じられており、同省より公式な発表は行われておりませんでしたが、1月8日の林農水大臣記者会見において、同省で起きた事案が事実であったことと、官房長官から1月7日に徹底的に調査するよう指示があり、再度調査を行う方針であることが発表されました。*2

被害状況

感染場所農林水産省
感染台数公用端末複数台
- 内1台に情報が集約され、RAR形式に圧縮されていた痕跡
- 国際交渉を担当する職員の端末で確認
感染端末より流出した可能性がある情報*3
- 複数の公用端末に保存されていた3000以上の内部資料
  - 環太平洋経済連携協定交渉の機密文書約20個が含まれる(機密文書)
  - 2011年10月〜2012年4月の間に作成された
  - 機密文書は政府統一規範で3段階中2番目「機密」(漏洩により国民の権利侵害や行政事務への支障を及ぼす恐れがある) *4に指定されていた
不正アクセス方法
- トロイの木馬(バックドア)型プログラム、及びHTranの使用の可能性*5

ウィルス情報

感染経路　非公開
感染時期　不明(ログが上書きされ残っていないため)
送信先のサーバー
- 韓国
  - 操作画面(何の操作画面かは不明)はハングルによる表記

感染把握後の農水省の対応

2013/1/8閣議後記者会見前までの対応
- 「現時点で文書が流出した痕跡はない」「システムの弱点を明らかにすることになる」との判断により非公開事案とした。
- 内部調査は既に完了。
- 警察への被害届や被害相談は行われていなかった。
- NISCや政府への報告は行われていなかった。
- 同省の情報セキュリティ報告書(2012年版)*6において本事案についての言及は行われなかった。
2013/1/8閣議後記者会見後の対応
- 「流出した可能性もあり得る」という判断の元、再度調査を実施する。
- 調査には副大臣や外部の専門家を交え第三者調査委員会を設置する。*7
2013/1/11閣議後記者会見後の対応
- 「意味のある情報の流出」が疑わしい通信が行われたことを認める。

時系列まとめ

2012年1月頃(2013年1月現在から約1年前)
- NISCより不審な通信が行われているとの指摘が同省に対して行われる。*8
2012年春ごろ
- 2011年10月作成の文書が外部送信された痕跡が確認される。
- 感染端末を隔離。
- その後感染範囲が広がっていたことが判明。
2013年1月1日
- 読売新聞が1面記事で同省のウィルス感染事案を報じる。
2013年1月7日
- 官房長官より当該事案について実態の報告を求める考えを記者会見で回答。*9
2013年1月8日
- 感染事案が事実であったことと再調査を行うことを閣議後記者会見にて大臣より発表。
2013年1月11日
- 調査委員会の人選内容、及びその概要について発表。*10
- 大臣が情報流出を疑わせる通信があったことを認める。*11
2013年1月17日
- 第1回調査委員会会合開催。*12
2013年2月21日
- 第2回調査委員会会合開催。*13
2013年3月28日
- 第3回調査委員会会合開催。*14

その他

HTranについて
- HTranは2011年のRSAへの不正アクセスや2012年7月の財務省におけるウィルス感染事案においても確認されたツール(財務省事案では2011年10月〜11月に使用された通信の痕跡が確認されている)*15
- 中国で開発されたHacktoolの検知に注意（エフセキュアブログ）
  ちなみにこの記事が書かれたのは2012年4月12日。