【独自】ダークウェブの実態「SALE」も 情報漏洩の次に何起こる？狙うカード情報

日本国内で、サイバー攻撃の影響を受けた企業の発表が相次いでいます。攻撃が誰によるものか明らかになっていませんが、番組では、日本を含む世界中の企業を攻撃している国際ハッカー集団「Qilin（キリン）」に接触を試みたところ、きのう、返信が届きました。長い英文です。
「日本のセキュリティーは世界最悪」「さらなるサイバー攻撃の脅威に備えよ」と書かれていました。

【画像】ダークウェブの実態「SALE」も 情報漏洩の次に何起こる？狙うカード情報

情報流出 何者かが 勝手に動画視聴

情報漏洩の被害者の取材をする有働タイムズの20代の番組スタッフ。

「ちょっと追加でお聞きしたいことがございましてお電話させていただきました」

実は彼自身も、情報漏洩の被害に次々と見舞われています。

「これです。最初はGmailで『情報漏洩されました』っていうメールが来て、それで『嘘でしょ』って思って」

最大660万件分の個人情報が漏洩した「タイムズカー」から9月28日、個人情報の漏洩が確認されたと連絡が来ました。氏名や生年月日、メールアドレスや運転免許証の情報などが漏洩したといいます。
さらに、おとといはJR東日本の「えきねっと」から、きのうは旅行サイト「スカイチケット」から、漏洩を確認したとのメールが届きました。

問題は、それだけではありません。
最初に情報漏洩が判明した2日後、何者かが動画配信サービス「U－NEXT」にログインし、ポイントで勝手に映画を購入したことがわかったのです。
ログインした場所は大阪市。購入したのはアウトロー系の映画でした。

「こういう映画はぼく観ないので、情報も残っているので誰かが使っているなって確信しました」

番組の取材にU－NEXTは、調査の結果、「当社以外のどこかで流出したID・パスワードを第三者が入手し、ログインした可能性が高い」と回答しています。
今回の情報漏洩との因果関係ははっきりしませんが、スタッフは不安を感じています。

「これ以外にも登録しているところはあるので、それがまた流出してまたポイントとかが使われるとなると怖いですね」

サイバー攻撃 物流影響で“欠品”も

この週末も、求人サイト「バイトル」などを運営する「ディップ」が、約388万件のメールアドレスが漏洩した可能性を発表するなど、“不正アクセス”による被害が次々と発覚。
その影響は“物流”にまで―。

「これですね、ニッスイの『アジフライ』頼んだけど入ってこない、この『かにシューマイ』、やっぱこれも入ってこないですね」

大手食品メーカー「ニッスイ」では、委託先のデータセンターが不正アクセスを受け、物流子会社でシステム障害が発生。7日以降、商品の入荷や出荷ができない状態が続いていました。
この日、卸売業者に商品の在庫を確認すると―。

「あ、やっぱ、欠品しちゃってるんだ、ちょっとまだ不安定は続きますね」

ニッスイによると、おととい（9日）、一部業務を再開しましたが、全面復旧のメドは立っていないと言います。

情報流出後に異変 カード情報狙う

取材を進めると、漏洩した個人情報を悪用し、クレジットカード番号を盗み取ろうとする実態も―
東京・上野の「サウナ＆カプセルホテル北欧」。
不正アクセスがあったのは、外部の宿泊施設向けの予約管理システム。

「本日のご予約のお客様ですね、二泊。金額とお名前と今回漏れてしまった可能性のある情報がこちらにあります」

「TEMAIRAZU」は、複数ある予約サイトの客室の空き状況などを一括で管理するシステム。
この運営会社が不正アクセスを受け、最大約445万人分の氏名や電話番号などが流出した恐れがあります。
この情報を利用したのか、予約客のもとには不審な英語のメールが―。

「これが実際にお客様に届いたメールですね」
「お客様の予約がまだ成立していないのでキャンセルされましたと。キャンセルを取り消す場合はこちらのサイトから手続きをお願いします、という内容だと」

メールには、宿泊客の「名前」や「料金」「チェックイン日」まで、実際の予約情報が書かれていました。

「信用して、クレジットカードの番号等も情報を入れてしまったというところで、（予約客から）お問い合わせありまして、うちのシステムではないんですが、そのシステムを使っている施設としての責任もありますし、まずは届いたメールに対して、絶対に開かない、リンクを開けたりしないというところをお願いしたいと思っています」

パスポート 免許証を売買 情報も

企業などから流出した個人情報はどこで流通しているのか。
杉浦隆幸（たかゆき）さん（51）。日本ハッカー協会の代表理事を務める“ホワイトハッカー”です。 
2024年、アメリカで開催されたハッカーの国際大会で優勝するなどその腕は折り紙付きです。

「これは通常では中々出てこない“ダークウェブ”と呼ばれるウェブサイトになります」

下村彩里アナウンサー
「いわゆる闇サイト？」

「そうですね。非合法なことがやられているサイトですね」

ダークウェブとは、誰でも見られるものではなく、特殊なブラウザ環境下ではないと閲覧することができないハッカーなどが利用するネットワークです。詐欺や犯罪行為に使われることが多く、閲覧者の個人情報が盗まれる危険性もあります。
そこで売られていたのは…

「たくさんの、各国のパスポートが出てきましたね」

アメリカやニュージーランド、イギリスなど世界各国の“偽造パスポート”が1冊3万円から6万円ほどで売られています。

「SALEっていう風に書いてあったりとか、本当に普通のインターネットサイトのネットショッピングのような形で」

さらに…

「これはスクリーンショットですけど日本の」

下村
「日本の（運転）免許証ですよね。これはかなり高額で売られていますけど」

こちらは1枚1050ドル、約16万円の高値が付いていました。

下村
「えええーカードも買えちゃうの」

「これはクレジットカードの全データで10個で200ドルという形で売られています。日本のクレジットカードは高く取引されていまして、非常に人気な商品として売れているという事になります」

身代金要求も 犯罪組織が暗躍か

漏洩しているのは、個人情報だけではありません。こちらは企業のシステムに不正侵入し、データと引き換えに身代金を要求するサイト。

「ここには身代金の要求に応じなかった会社だとか連絡がなかった会社の情報が載っております」

残り15日と10時間31分…  このカウントダウンがゼロになると企業の内部情報が暴露されます。
杉浦さんによれば、中国を拠点とするグループは政府機関を、ロシアを拠点とするグループは企業を主なターゲットにしていると言います。

「盗んだ情報があれば脅迫して現金化するんじゃないかと思います」

身代金“4万ドル”「ビットコインで」

私たちは、愛知県豊田市に向かいました。自動車部品会社の「ティムス」。
異変が起きたのは4年前。突然、社内パソコンのファイルが開けなくなったのです。

「なぜ見れないのかというところを確認すると、ファイルの拡張子が書き換えられているという状態を確認して」

これは実際に当時、開けなくなったファイル。末尾に「チェックメイト」と付け加えられ、暗号化されていました。さらに―。

「このような脅迫文が入っているという状態で。暗号を解いてほしければ、ビットコインで送金しろという内容が記載されておりました。USドルで表示されていて、3万9400ドル」

これは「ランサムウェア」攻撃と呼ばれ、データを暗号化し、その復元と引き換えに身代金を要求する手口です。
こちらの企業は送金しないことを決断。ネットワークを遮断したことで、生産現場には多大な影響が出ました。

「これだけのもの（材料）を発注するというところの計算をコンピューターに頼っておりましたので、手で計算したり、確認していたところはあります」

セキュリティー対策を講じ、業務が元通りになったのは半年後。

「機器の入れ替えとか緊急手配とかで、3000万近くかかっている状態で、手動で動かすために、それぞれの人員の工数（作業量）が通常の倍以上かかっている状態になっているので、被害費用としてはかなりかかっている状態ではあります」

韓国 金融機関が被害 年収漏えいも

そして、サイバー攻撃は新たな次元に向かいます。

韓国 李在明大統領
「特に一部のハッキング事件は、AIが活用された状況が明らかになり、国民の懸念と不安は非常に大きいです」

韓国では、7つの金融機関で、6万人以上の個人情報が漏洩。一部、金融機関では、年収や融資限度額まで流出したと言います。

「融資を受ける必要がある人たちの情報が流出したので、特殊詐欺やインターネット犯罪のターゲットになる可能性が高いです」

アメリカのサイバーセキュリティー企業によると、中国広東省の26歳が関与した可能性が浮上。中国で開発されたAIなどが使われたと言います。

「誰でもハッカーに」AI悪用の脅威

ハッカーはAIをどのように悪用しているのか。私たちが向かったのは、ハンガリーの首都ブダペスト。
冷戦期から現代に至るまで、国際的な諜報活動の舞台となってきた街です。

「この建物の中にホワイトハッカー集団の拠点があるということです」

その名も「ホワイト・ハット」。国家安全保障に携わった経歴や、NATOの機密取扱資格を持つメンバーで構成されています。
AIを使えば、偽物のログインページも簡単に作成できると言います。

「単に「テレビ朝日の名前が入ったマイクロソフトのログインページを作って」と指示するだけでいいのです」

そして―。

「はい、できました。2分くらいです。攻撃者はこれを従業員に送りつけ、そのうちの誰かが認証情報を漏らしてしまった場合、攻撃者はそれを悪用してシステムへのアクセス権を獲得してしまうでしょう」

AIや通信環境の急速な発達によって、今やハッキングは、誰でもどこでもできると言います。

Q.誰もがハッカーになれることは怖くないですか？
「恐ろしいことです。このことについてもっと話しあうべきです」

「日本のセキュリティーは世界最悪」

番組では、専門家の監修のもと、国際ハッカー集団「Qilin」（キリン）に接触を試みました。

「行きますよ。センディング。これで後は返事が来るかどうかですね」

2日後、返って来たのは、日本への警告ともとれる内容でした。

「日本については脆弱なところがたくさんあると言っております」

ハッカー集団「Qilin」からの返答
「日本は世界で最も脆弱なコンピュータセキュリティを持つ国の一つだ。企業や政府機関への攻撃がこれから増えると考えている。企業は、予算の一部を（身代金用に）ビットコインにして、速やかに取引することをおすすめする。いずれ誰もが標的となるだろう」

10月11日『有働Times』より