国立感染症研究所が被害を受けたActive!mailのフィッシングについてまとめてみた

国立感染症研究所が4月18日に迷惑メールを送信してしまったとして発表を行いました。ここでは国立感染症研究所メールシステムへの不正アクセスと、Active!Mailを狙ったフィッシングについてまとめます。

国立感染症研究所迷惑メール送信インシデント概要

4月18日に国立感染症研究所が4月16日午後に不正アクセスを受け、迷惑メールを送信してしまったことを発表。

2014/4/18 国立感染症研究所のメールアカウントの不正利用と迷惑メール送出について

(1) 被害状況

不正利用されたアカウント国立感染症研究所女性職員1名*1
- 送信対象数　約200人
- 送信された迷惑メール件数　約2000通
- 研究所職員のアドレス(niid.go.jp)から送信
- メールサーバーのデータ流出や研究所他システムへの侵入、改ざん、情報漏えいは認められていない

(2) 発端

不明

(3) 原因

国立感染症研究所職員1名がActive!Mailの管理者を装うフィッシングメールに誘導され、IDとパスワードを入力してしまったため。

(4) 対応・対策

対応
- パスワードを変更*2
- フィッシングサイトへの接続を遮断
- 迷惑メールの送信を検閲サーバーで遮断
- 迷惑メールを送信してしまった職員アカウントをシステムから完全に抹消
- 全職員へ注意喚起メールを2回送信

対策
- 情報システムを利用する職員への教育を実施予定
- 不正アクセスを防止するための対策を講じる予定*3

(5) インシデントタイムライン

2014/4/16
- 午後国立感染症研究所職員1名がフィッシングサイトにID・パスワードを入力
- その後約3時間にわたり迷惑メールが職員のアカウントから送信される。
2014/4/16〜17
- 「対応」に記載された内容を実施
2014/4/18
- 国立感染症研究所が不正アクセスについて発表。

Active!Mailを狙ったフィッシング

Active!Mailとは

TransWARE社が開発するWebメールシステムで、多くの法人ユーザーがおり、大学では全学導入に選ばれているそうです。

Active! mailは累計1,750法人、1,000万アカウントの導入実績と、調査開始以来6年連続2部門で国内シェアNo.1（*）を誇るビジネスWebメールのスタンダードです。
ブラウザー環境さえあれば場所を選ばずにメールの送受信が可能で、社外からのメール閲覧、モバイルでの利用、セキュリティ対策、運用負荷軽減、コストメリットなど、Webメール特有の便利さを優れたインターフェースで利用可能です。
企業の標準メールシステムとして、また大学の全学導入などにも選ばれています。
http://www.transware.co.jp/product/am/

Active!mailログイン画面のURL「amlogin」で検索すると大学を中心に民間企業も多くのWebメールシステムのログイン画面が複数検索にかかります。全部がそうではないですが、700件以上が検索結果として出ていますね。スパム業者はこういった情報を頼りに攻撃対象を選定しているのかもしれません。

「amlogin」検索結果

Active!Mailのフィッシングメールの注意喚起

昨年秋ごろからActive!Mailのフィッシングは多数確認されているようです。昨年10月にはTransware社から、12月にはフィッシング対策協議会から注意喚起が行われています。国立感染症研究所の事例や注意喚起が発信されている日付から分かるように、継続してこのActive!mailを狙ったフィッシングは行われているようです。

発信日付	発信元	注意喚起
2013/09/30	関西大学	※注意喚起※　フィッシングメールの増加について
2013/09/30	宮城教育大学	【注】Active!mailを騙った詐欺メールURLはクリックしない！
2013/10/01	TransWARE	【注意喚起：パターン1】Active! mailの利用ユーザー様を狙ったフィッシング詐欺にご注意ください！
2013/10/02	同志社大学	【再告】「なりすましメール・フィッシングメール」に関する注意喚起
2013/10/03	TransWARE	【注意喚起：パターン2】Active! mailの利用ユーザー様を狙ったフィッシング詐欺にご注意ください！
2013/10/04	電気通信大学	【2013/10/4追記】Active!Mailを騙った詐欺メールに関する注意
2013/11/06	愛知大学	【注意喚起】Active! mailの利用ユーザーを狙ったフィッシング詐欺について
2013/11/07	北海道大学	【注意喚起情報】 Active!mailを詐称したフィッシングメールについて
2013/11/07	横浜国立大学	Active Mail(YNUメール）利用者を狙ったフィッシング詐欺メールについて
2013/11/18	広島大学	【重要】パスワードの詐取にご注意ください！
2013/12/12	フィッシング対策協議会	大学などで使用されているWebメール(Active! Mail)アカウントを狙うフィッシング(2013/12/12)
2013/12/13	九州産業大学	【注意喚起】Active!mailのユーザを狙ったフィッシング詐欺について
2014/02/05	弘前大学	【注意喚起】Active! mailの利用者を狙ったフィッシング詐欺［学内向け］
2014/02/08	九州産業大学	【注意喚起：パターン４】 Active!mailのユーザを狙ったフィッシング詐欺について
2014/02/10	北海道大学	【注意喚起】「北海道大学からの電子メールアラート」などと詐称された不審メールについて
2014/02/10	甲南大学	下記のメールは、甲南大学情報教育研究センターとは関係ありませんので、メール本文に記載されている URL にはアクセスしないようご注意をお願いいたします。（PDF)
2014/02/12	愛知大学	Active! mailの利用ユーザーを狙ったフィッシング詐欺について
2014/02/18	北海道大学	【注意喚起】「北海道大学電子メールアラートの更新」などと詐称された不審メールについて
2014/02/19	広島大学	【重要】パスワードの詐取にご注意ください！
2014/02/20	広島大学	【重要】パスワードの詐取にご注意ください！
2014/02/23	広島大学	【重要】パスワードの詐取にご注意ください！
2014/02/25	TransWARE	【注意喚起】Active! mailのメールアカウント不正使用にご注意ください！
2014/02/28	和歌山県立医科大学	【注意喚起】Active!mailのユーザを狙ったフィッシング詐欺について
2014/03/04	福岡県立大学	【注意喚起】 Active!mailのユーザを狙ったフィッシング詐欺について
2014/03/11	愛媛大学	一般情報 : フィッシング（詐欺）メールについて
2014/03/20	電気通信大学	【2014/3/20追記】【注意】情報基盤センターのウェブメール更新をかたる詐欺メールについて
2014/03/25	愛知大学	本学の教職員の名をかたった詐欺メールに対する注意喚起
2014/03/26	岐阜大学	ActiveMail利用者向けのフィッシングメールにご注意下さい
2014/03/31	北海道大学	【注意喚起情報】 Active Mailを詐称した不審メールについて
2014/03/31	広島大学	【重要】パスワードの詐取にご注意ください！
2014/04/09	岩手大学	【注意喚起】 Webメール（Active!mail）を装ったフィッシング詐欺にご注意ください！！
2014/04/14	追手門学院大学	Active! mail ユーザを狙った標的型攻撃メール・なりすましメールにご注意ください
2014/04/16	北海道大学	【注意喚起情報】 Active Mailを詐称した不審メールについて
不明	東京農業大学	【注意喚起】フィッシングメールにご注意ください！
不明	近畿大学	【重要・注意】Active! mailのユーザーを狙ったフィッシング詐欺について

Active!Mailを狙ったフィッシング事例

全体的に不自然な日本語が多いですが、フィッシングが流行っていることを知らなければついクリックしてしまいそうです。また徐々に手口は巧妙化しており、標準テンプレートの画面を使いまわすだけでなく、広島大学の事例のように、カスタマイズされた画面に似せたフィッシングサイトを立ち上げ、利用者にIDとパスワードを入力させようとしています。

個別に作成されたフィッシングサイトの例

広島大学のActive!mailユーザーを狙ったフィッシングサイト(広島大学情報メディア研究センター注意喚起より)

(1) メールボックスの容量制限が超過していると告知する文面

注意:アクティブメールユーザー
あなたのメールボックスのクォータは、Active便によって設定された格納域の制限を超えているあなたの電子メールアカウントを検証する再には、ここをクリックしてください:
フィッシングサイト
正しくあなたのログイン情報を提供するために、障害になることに注意してください私達のデータベースからメールアカウントの即時閉鎖
UCOM Web Mail
〓1998-2010 TransWARE Co. All Rights Reserved.
http://www.ipc.miyakyo-u.ac.jp/info/2013/09/activemailurl.html

あなたのメールボックスは、ストレージの上限を超えています2.GBを管理者によって確立された
現在2.30ギガバイトです、できませんあなたの電子メールを再検証するまで、新しいメッセージ
を送信または受信あなたの電子メールを検証するには、以下のリンクをクリックして、
http://webxxx-jp-zxxxxxxxxsk-upgra.wxxs.com/
ありがとうシステム管理者
http://www.media.hiroshima-u.ac.jp/news/2013111802

親愛なるアカウントの所有者
問題は、あなたの Web メールアカウントを使用して生じている。

別の IP で自分のアカウントから生成しようとしましたログインの数がドメインに違反 E
メール〓サービス契約および/または利用規定。

これはあなたの部分に不用意な活動が原因である可能性があり、あるいは、あなた
のアカウントがあったかもしれない妥協してスパムを生成するために使用されています。

そのため、あなたはの終了を回避するために、あなたの Web メールアカウントを確認
する必要がありますあなたの Web メールアカウントは、他にドメインメールアカウント
は、24 時間前にブロックされます。

あなたのWeb メールアカウントの停止を解除するには、こちらをクリックしてメールアカ
ウントを確認するには

あなたのアカウントのセキュリティが私たちの大の関心事のままであり、我々は謝
罪ことを知ってください
http://www.fukuoka-pu.ac.jp/center/ipc/files/2014-0304-1133.pdf

(2) マルウェア感染を通知する文面

このメッセージは、同志社大学ウェブマスター管理者からのもので、我々のデータ
ベース•セキュリティ•システムは、あなたの電子メールアカウントにいくつかの
ウイルスを検出しました。あなたのアカウントを保護するために、我々は、メール
ボックスのスペースに新しい2013アンチスパムとアンチウイルスソフトと増加
ストレージをインストールする必要があります。また、我々は積極的なあなたの
アカウントを確認するために、新しいアカウントのユーザーのためのスペースを
作成可能にするためにこれ以上アクティブでないすべての古い、未使用のメール
アカウントを削除しなければならない、
あなたのアカウントがアクティブ確認するには、更新して再確認して、メール
アカウントの詳細をこのリンク（http://doshisha-ac-jp.*******.****）を
クリックすることで、正しくあなたの詳細を記入してメッセージを送信する
押しする必要がされています。
著作権（C）同志社大学すべての権利予約。
ご不便のサービスの停止が発生する場合がありました。

ありがとう
お問い合わせ|セキュリティセンター
http://it.doshisha.ac.jp/news/2013/1002/news-detail-42.html

(3) メールアカウントの更新を依頼する文面(英語)

Dear University of Electro-Communications webmail users,
This message is from University of Electro-Communications admin. Be inform
that all University of Electro-Communications webmail users must update
their University of Electro-Communications webmail account to the new 2014
e-mail version for fast and maximum security of your account. Note that
you are expected to click on the link given below and login with your
University of Electro-Communications User ID and Password (PassPhrase) to
upgrade your account.
（ここに偽装されたリンクが書かれています．）
Thanks for your understanding.
The University of Electro-Communications
Copyright(C) University of Electro-Communications All Rights Reserved
https://www.cc.uec.ac.jp/blogs/news/2014/03/post-21.html