偽の講演依頼を通じて東京大学教員が被害にあった標的型攻撃についてまとめてみた

2023年10月24日、東京大学は教員が使用していたPCがマルウエアに感染し、PC上に保管されていた情報が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。

教員が在宅勤務で使用していたPCで被害

被害に遭ったのは東京大学大学院総合文化研究科・教養学部の教員（教授）で、在宅勤務で使用していたPCがマルウエアに感染していた。*1
大学が被害を覚知したのは、「標的型攻撃メールの事案を調査していた専門機関」からの指摘を受けたため。感染判明後に端末の調査を指摘をした機関と別の専門機関で調査をしたところ、PC内部の情報を盗み取った痕跡が確認された。

偽の講演の日程調整をやり取りする中でマルウエア感染

やり取り型の標的型攻撃のメールを通じて教員が使用してたPCがマルウエアに感染した。実在する組織の担当者を騙る人物から講演依頼のメールを受信し、日程調整のために教員がやり取りしている中で届いたメール文中に記載されたURLにアクセス後（一部ではファイル開封後と報道）マルウエアに感染していた。*2 *3
依頼を受けていた（偽の）講演について、最終的に「講演が中止になった」と連絡を受けたことでやり取りが終わったことから教員はマルウエアの感染に気付くことができなかった。*4

教員のPCから盗まれた可能性のある情報

マルウエア感染後にPC内より盗まれた可能性のある情報延べ4,341件で詳細は次の通り。大学によれば公表時点で流出した可能性のある情報を悪用したとみられる二次被害は確認されていないとしている。

大学教職員、学生、卒業生等の情報	2,409件（氏名、所属、身分、学年、教職員番号、学生証番号、生年月日、性別、住所、電話番号、メールアドレス、学歴、職歴等のうち1つ以上の情報が含まれるもの）2003年～2022年度と報道あり。*5
教員在籍の学会会員、学会主催イベント等参加者の情報	1,082件（氏名、所属、身分、生年月日、性別、住所、電話番号、メールアドレス、学歴・職歴等のうち1つ以上の情報が含まれるもの）
教員が他大学の非常勤講師等で担当する授業の受講学生の情報	796件（氏名、所属・学年、学生証番号、生年月日、性別、住所、電話番号、メールアドレス等のうち1つ以上の情報が含まれるもの）
過去の総合文化研究科・教養学部の学生成績・評価、過去の試験問題	24件
総合文化研究科・教養学部所属教員の評価等	30件

2022年11月に警察庁、NISCが学術関係者らに注意喚起

2022年11月に警察庁サイバー警察局、NISCの連名で学術関係者、シンクタンク研究員等を標的にしたサイバー攻撃が行われているとして注意喚起を発出していた。注意喚起中に記載されている手口と今回の東京大学の事案は近似しているが、関係は不明。
注意喚起では次の手口が説明されている。

（１）手口
・実在する組織の社員・職員をかたり、イベントの講師、講演、取材等の依頼メールや資料・原稿等の紹介メールが送られてくる。
・日程や内容の調整に関するやりとりのメールの中で、資料や依頼内容と称した URL リンクが本文に記載されたり、資料・原稿等という名目のファイルが添付されたりする。当該 URL をクリックしたり添付ファイルを開いたりすると、マルウェアに感染する。
：（中略）
（３）不審メールの件名の例
・【依頼】インタビュー取材をお願いします
・研究会へのゲスト参加のお願い【●●●●●●】
・【ご出講依頼】●●●●●●勉強会
※ ●には実在する組織名等が入る

日時	出来事
2022年7月19日	総合文化研究科・教養学部教員にマルウエアに感染させる標的型攻撃メールが届く。
2023年1月18日	東京大学に対し専門機関より事案に関する指摘。
2023年5月23日	専門機関の調査結果より、感染PCより情報窃取の痕跡が発見され情報流出の可能性が判明。
2023年10月24日	東京大学が教員PCへの不正アクセスによる情報流出の可能性について公表。