世界の大手企業に不正アクセスした犯人、1億6000万件のクレジットカード情報を盗む

米司法省による訴追状

　米司法省は7月25日、世界の大手企業のネットワークに侵入して1億6000万件あまりのクレジットカード情報を盗んでいた男5人を、不正アクセスなどの容疑で訴追したと発表した。

　被害に遭った企業の中には、米NASDAQ、7-Eleven、JetBlue、Dow Jonesといった大手企業や組織、Visa（ヨルダン）やDiners（シンガポール）などの主要クレジットカード会社が含まれる。被害総額はこのうちの3社だけで3億ドルに上るという。

　訴追されたのは、ロシア人とウクライナ人の26歳から32歳の男5人。それぞれに役割分担があり、まずロシアの男2人が企業のネットワークに不正アクセスを確立し、3人目の男がそのネットワークから情報を盗み出していた。ウクライナの男は犯罪行為を隠すためのWebホスティングサービスを運営。5人目の男が盗んだ情報を売りさばいていたとされる。

　ネットワークへの侵入には、SQLデータベースの脆弱性を見つけてSQLインジェクション攻撃を仕掛ける方法が使われた。アクセスを確立すると、システムにマルウェアを仕込んでバックドアを開く手口を利用。被害企業側がセキュリティ対策を講じて不正アクセスを遮断しても、執拗な攻撃を繰り返して再度アクセスを確立していたという。

　検出を免れるために、被害企業のネットワーク設定を変更したり、セキュリティソフトウェアから身を隠す手口なども講じていた。特定の標的を狙った攻撃は数カ月にわたって続くこともあり、被害企業のシステムに1年以上もの間マルウェアを潜伏させていたケースもあった。