日本年金機構 2015年標的型メールからの情報の流出

個人情報は、インターネットにつながらない基幹系に置く前提だった。業務の都合で、インターネットにつながる側の共有フォルダに移されていた。標的型メールで入った攻撃者は、全端末で同じだったローカル管理者で広がり、その共有フォルダから約125万件を持ち出した。最初の検知から流出まで13日あった。

2015年8月20日の機構の調査委員会の調査結果報告、同じ日のサイバーセキュリティ戦略本部の原因究明調査結果、8月21日の厚生労働省の検証委員会の検証報告書に沿って書いています。不正プログラムの種類、指令サーバの所在、攻撃者は報告で特定されていない。手当ての時点は、2015年9月18日の厚生労働省の組織と業務の改革の発表までです。

要点

流出は約125万件、対象は約101万人。基礎年金番号と氏名に、生年月日や住所が付く。基幹系への侵入は確認されていない。
標的型メールは5月8日から計124通。開いた職員は5名、感染した端末は31台。流出は5月21日から23日の間。
5月20日に感染した端末から、2時間以内に6台へ広がった。全部の端末でローカル管理者の ID とパスワードが同じだった。
5月8日の検知は端末の抜線で終わり、5月21日に届いた解析結果の通信先も遮断されなかった。機構全体のインターネットの遮断は5月29日。
根本の直しは、個人情報をインターネットにつながる系に置かないこと。開封を前提にした横への広がりの抑止、出口の遮断、判断の手順は、その上の網。

何が起きたか

図1 3つの報告で認定された経緯

日付	報告の内容
2015年4月22日	厚生労働省へ類似の手口の標的型メール攻撃。指令サーバのドメインは5月8日と同じでサブドメインだけが違ったが、遮断はサブドメインの単位で、ドメインの単位の遮断は5月8日だった。厚生労働省は5月8日の時点で機構にこの情報を伝えなかった[4]
5月8日	公開のメールアドレス2つに、オンラインストレージへのリンクを付けたメール。1台が感染。NISC が不審な通信を検知して通報し、機構は端末の LAN ケーブルを抜いた。通信は約4時間続いた[3][4]
5月15日	運用委託会社から、新種の不正プログラムは外部に情報を漏らす型ではないとの解析結果を受け、機構は一旦収束したと判断した[2]
5月18日から19日	職員の非公開のメールアドレスへ、本文に氏名を書いたメール。3台が感染したが、5月8日に厚生労働省の統合ネットワークで掛けた遮断で、指令サーバへの通信は失敗した。19日に警察へ相談[2][3][4]
5月20日	公開のメールアドレス3つへ、医療費の通知を装うメール。1台が感染し、約30分後にローカル管理者の権限が奪われ、2時間以内に6台へ広がった[3]
5月21日	NISC の解析結果に指令サーバの URL が書かれていたが、機構はその URL の遮断も監視もしなかった。夕刻から深夜に17台が新たに感染した[3][4]
5月21日から23日	計21台の端末から国内のサーバへの多数の通信が発生し、約125万件が流出した[2][3]
5月22日	NISC が再び検知し、該当の拠点のインターネット接続を遮断。同日午後、攻撃者は認証サーバの脆弱性を使ってドメイン管理者の権限を奪った[2][3]
5月23日	運用委託会社のプロキシのログの監視で別の拠点の通信が見つかり、その拠点も遮断。流出が止まる[2][4]
5月28日	警視庁から、機構から流出したと考えられるデータを発見したとの連絡[2]
5月29日	機構全体の厚生労働省統合ネットワーク経由のインターネット接続を遮断[2]
6月1日	公表。対象の人への個別の連絡と、基礎年金番号の変更の方針を示した[1]
6月4日	メール送受信の専用の外部回線を遮断[2]
8月20日、21日	3つの報告を公表[2][3][4]

流出した情報	件数	人数
基礎年金番号、氏名、生年月日、住所	約5.2万件	約1.5万人
基礎年金番号、氏名、生年月日	約116.7万件	約96.9万人
基礎年金番号、氏名	約3.1万件	約3.0万人
合計	約125万件	約101万人

件数と人数は機構の調査結果報告による。約55万件のデータにはパスワードが設定されていなかった[2]。
フォレンジック調査の範囲で、警察から渡された資料で分かった約125万件のほかの流出は確認されていない。基幹系への侵入と基幹系からの漏えいも確認されていない[2]。
端末の数は報告で数え方が違う。機構と NISC は感染端末を31台とし、うち6台は通信が全部失敗した。厚生労働省の検証報告書は、5月20日の攻撃の後に27台から通信が発生したとする[2][3][4]。

通った道筋

図2 メールから外部のサーバまでの道筋。破線は、攻撃でなく日常の業務で作られていた経路

機構のネットワークは、外部と通信しない業務系とつながる基幹系と、インターネットに接続する情報系に分かれ、両者は論理的に分離されていた[3][4]。機構 LAN では個人情報を扱わないことがシステムの前提だった。しかし業務の必要を理由に、個人情報が機構 LAN 上の共有フォルダに保管され、前提に反する運用が行われていた[4]。NISC は、インターネットに接続していない業務系から、接続している情報系へ個人情報を移して扱っていたため、標的型攻撃のリスクに個人情報をさらす結果になったと書く[3]。

共有フォルダに置くときは、アクセス権を制限するかパスワードを設定する決まりだったが、暗号化はされず、決まりも徹底されず、守られているかを確かめる仕組みも無かった[4]。

横への広がり

5月20日に感染した1台から、攻撃者は約30分でその端末のローカル管理者の権限を奪い、2時間以内に6台を順に感染させた。翌日には夕刻から深夜に17台を感染させ、22日朝には23台を遠隔で操作していた。NISC は、全部の端末でローカル管理者の ID とパスワードが同一だったことを悪用し、短時間で感染を広げたと考えられるとした[3]。

悪い例。架空の点検の結果。全端末で、ローカル管理者のパスワードのハッシュが同じ

# 架空の組織の点検の出力。値は本物ではない
host        local_admin   password_hash_prefix   last_changed
pc-a-0001   admin         9f2c41…                2013-04-01
pc-a-0002   admin         9f2c41…                2013-04-01
pc-b-0117   admin         9f2c41…                2013-04-01
# 1台で取った資格情報が、そのまま全部の端末で通る

直した例。端末ごとに別の値を自動で作り、定期に回す

host        local_admin   password_hash_prefix   last_changed
pc-a-0001   admin         3b7e90…                2026-11-01
pc-a-0002   admin         c10d5a…                2026-11-03
pc-b-0117   admin         e84f27…                2026-11-02
# 値は管理の仕組みが持ち、読める人を絞り、読んだ記録を残す

Windows の環境では、Windows LAPS が端末ごとのローカル管理者のパスワードを定期に回して保管する。共有のパスワードを足掛かりにした横への移動を断つことが目的として書かれている[6]。

ドメイン管理者の権限も5月22日午後に奪われたが、そのとき国内のサーバと通信した21台のうち20台はすでに通信していた。NISC は、ドメイン管理者の奪取と約125万件の流出の関連は薄いとした[3]。流出に要ったのは、端末の共通の資格情報と、端末から読める共有フォルダだけだった。

どこで止められたか

図3 流出が進む5段と、それぞれで止める仕組み

段	報告で認定されたこと	止める仕組み
1 置く	個人情報が、インターネットにつながる機構 LAN の共有フォルダに置かれていた[3][4]	個人情報を扱う系をインターネットから物理的か論理的に分離し、インターネットにつながる端末で使わない[5]
2 入る	5月8日から計124通、開いた職員は5名[2]。5月8日の送信元を受信拒否にしなかったため、18日に同じアドレスから大量に届いた[4]	添付の実行形式を取り込まず、圧縮ファイルの扱いを決まった方法に限る[3]。開封は防ぎ切れない前提で、受信者と開封の有無をすぐ確かめる[4]
3 広がる	全端末のローカル管理者の ID とパスワードが同じだった。端末の OS とディレクトリサーバの既知の脆弱性が使われた[3][4]	ローカル管理者のパスワードを共通にする範囲を最小にする。既知の脆弱性を放置しない[3][6]
4 送り出す	5月21日に届いた解析結果の指令サーバの URL を、遮断も監視もしなかった[4]	受け取った通信先を、その日のうちにドメインの単位で遮断し、過去のログを引いて同じ通信先へ出た端末を洗う[4]
5 続く	機構に CSIRT が無く、厚生労働省との緊急の連絡体制も無かった。業務への影響を重く見て、一定数以上の拠点で感染しなければ全面遮断しない基準を立てた[4]	CSIRT と、遮断を決める基準と権限を前もって決める。厚生労働省の検証報告書は、遅くとも5月19日に全面遮断に踏み切るべきだったとした[4]

1 置く。根本の段

2から5は、外へ出られる系に置かれた個人情報を、入られた後に守る策である。NISC は、標的型メールは一目では見分けがつかず、開封を完全に防ぐことを目標にする対策は現実的でないとし、少なくとも端緒の1台は感染することを前提にした対策を求めた[3]。1台が入られる前提なら、その端末から読める所に何があるかで被害が決まる。個人情報が外に出られない系にだけあれば、端末を何台取られても約125万件は届かなかった。

原因の言い方

職員がメールを開いたことが原因だ、という言い方がある。3つの報告はいずれも、開封を起点として認めつつ、原因の中心に、個人情報をインターネットにつながる共有フォルダに置いた運用、共通のローカル管理者、検知の後の対応と組織の体制を置いている。パスワードの無いファイルが約55万件あったことも、置き場所の誤りの上に重なった事実である[2][3][4]。

4と5 送り出す、続く。検知から判断まで

最初の検知は5月8日で、流出は21日からだった。5月8日の対応は特定の URL への通信の監視にとどまり、運用委託会社の解析で情報を外へ送らない型とされた。検証報告書は、約4時間の不審な通信が続いたことから、ただちに感染端末のフォレンジック調査と主要なサーバの調査に着手すべきだったとした[4]。厚生労働省の中では担当者から上長へ報告が上がらず、4月22日の攻撃との共通性も機構に伝わらなかった[4][5]。

記録の側にも欠けがあった。機構がプロキシのログを5月10日20時までと23時58分以降に分けて保存したため、その間の約4時間のログが失われた[3]。調べるために取り出す操作が、調べる材料を消すことがある。ログは別の保管先へ常に送り、手で切り出さない。置き方は A09 セキュリティログとアラートの不備にある。

守り方

根本の直し

個人情報を扱う系を、インターネットから物理的か論理的に分離し、インターネットにつながる端末で扱わない[5]。
分離の前提を壊す運用、たとえば外に出られる側への個人情報の複製を、仕組みで止める。決まりにするなら、守られているかを確かめる仕組みも一緒に置く[4]。
どうしても外に出られる側で扱う情報は、件数を絞り、読める人を絞り、暗号化する[4]。

緩和の策

端末ごとにローカル管理者のパスワードを変え、自動で回す。管理用の端末と管理の権限を分ける[3][6]。
OS とディレクトリサーバの既知の脆弱性を放置しない[3]。
添付の実行形式と圧縮ファイルの扱いを制限する。不審なメールの受信者と開封の有無を、その日のうちに確かめる[3][4]。
受け取った指令サーバの情報で、ドメインの単位の遮断と、過去のログの照合をすぐにする[4]。
CSIRT を置き、インターネットの全面遮断を誰がどの条件で決めるかを前もって決め、訓練する[4][5]。
ログを別の保管先へ常に送り、警告の規則と対応の手順を持つ。A09 セキュリティログとアラートの不備

参照

日本年金機構の個人情報流出について日本年金機構、2015年6月1日、厚生労働省のサイトに掲載
不正アクセスによる情報流出事案に関する調査結果報告について日本年金機構不正アクセスによる情報流出事案に関する調査委員会、2015年8月20日
日本年金機構における個人情報流出事案に関する原因究明調査結果サイバーセキュリティ戦略本部、2015年8月20日。元の NISC の URL は移転で開けないため、Internet Archive の写し
日本年金機構における不正アクセスによる情報流出事案検証委員会検証報告書厚生労働省、2015年8月21日。本文と要約版
情報セキュリティ強化等に向けた組織・業務改革厚生労働省、2015年9月18日
Windows LAPS の概要 Microsoft Learn

日本年金機構 2015年 標的型メールからの情報の流出

要点