サイバー犯罪の最前線で戦う部隊　脅威情報分析の役割とは？

大角：
前身はヤフー株式会社にあったDCU（Digital Crime Unit）というチームです。もともと、サイバー犯罪に対抗する目的で設立されたインテリジェンス組織でした。
昨年10月にLINEと合併した後も、しばらくそのままDCUとして存続していましたが、今年4月に組織改編があり、「脅威情報分析対応（Threat Intelligence Analysis & Response）チーム」として、新たにスタートしました。現在は、警察とも連携しながらサイバー犯罪の摘発と防止に努めています。

大角：
ひとつはそうですね。LINEヤフーのインシデントにおいても、情報漏えいという表現がよく使われますが、その背後には必ず犯罪者が存在するわけで、実情は「漏えい」ではなく情報の「窃盗」です。だからこそ、窃盗を働く犯罪者についてしっかりリサーチしなければなりません。

また、過去にはスマホを1000台ほど用意してポイントを盗み取る行為が摘発された例もありました。ここ数年はクレジットカードの不正利用が多く、フィッシング詐欺も後を絶ちません。サイバー犯罪の対象は、さらに広範囲に及んでいます。

大角：
私は大学卒業後、ISP（インターネットサービスプロバイダー）で10年ほどキャリアを積む中でセキュリティに関わるようになったことが興味を持つきっかけでした。
その後、セキュリティに特化した会社に移り、3年働いたあと、セキュリティ系のエンジニアを募集していたヤフーに転職しました。

ヤフーでの最初の配属先はCSIRT（Computer Security Incident Response Team）でした。社内で情報漏えいが起きたり、誰かが不審なファイルを開いてしまったりした際に、迅速に対処に乗り出すセキュリティの「110番」のような役どころでした。その後、前述のDCUを立ち上げました。それが現在の脅威情報分析対応チームになります。

大角：
私の場合、インターネットの黎明期（れいめいき）からその発展に立ち会える世代だったことは、幸運だったと思います。
セキュリティに限らず、最近は技術がどんどん高度化・細分化されていて、特定の分野のエキスパートになろうとすると、それだけで多くの時間が必要です。そのため、全体を俯瞰（ふかん）的に見ることが難しくなっています。私がISPに入社した2004年当時はまだ、あらゆるシステムがもっとシンプルでしたからね。

大角：
総勢10名のチーム編成で、そのうち主務のメンバーが私を含めた3人です。首浦を含めた他の7人は、他の部署の仕事と兼務しています。
兼務のメンバーには、「このウイルスを調べてほしい」や「最近の詐欺の傾向が知りたい」など、作業の一部分をスポットで担ってもらっています。たとえば首浦には「マルウェア解析をよろしくお願いします」といった形で、タスクを割り振っています。

4月の組織改編でDCUから脅威情報分析チームになって以降、マルウェア解析やランサムウェア解析、SOC（Security Operation Center）のセキュリティ監視など、よりテクニカルな業務領域へとシフトしつつあります。

大角：
それはありますね。ここ数年で言えばVPN（Virtual Private Network／ネット接続時に仮想の回線を利用する技術）のゲートを狙って侵入する手口や、取引先などを装ったフィッシングメールが非常に多く見られます。

大角：
そうですね。メディアではよく、「アクティブ・サイバー・ディフェンス」という言葉が用いられ、「やられる前にやれ」と解釈する向きもあります。しかし、実際には「やられる前に守れ」が正解だと思います。

そして、攻撃されてからその手口を調べるのでは遅く、犯罪者側が使う攻撃ツールを事前に調べ、把握しておくことが重要です。
具体的にはマルウェアや大量の通信を送りつけるDoS（Denial of Service）ツール、フィッシングサイトを作成するフィッシュキットなどがあります。これらを調査した情報をもとに、事前にこちらのSOC側に準備を促すことも重要です。

大角：
主にダークウェブや、テレグラムなど秘匿性の高いアプリ内のチャンネルで、犯罪者たちが交わしている会話をチェックするのが手っ取り早い方法です。
実際にアクセスしてみると、他人のクレジットカードをどうやって不正利用するかという手順を、チュートリアル動画で解説していたりすることもあります。

大角：
そうなのです。犯罪者のコミュニティーとは、一般の方がイメージしているより普通の世界です。一般的なSNSのように罵り合うようなやりとりはあまり見られません。

大角：
そうかもしれません。おそらく、孤独感みたいなものもあるのでしょうね。なお、日本語のコミュニティーはあまり見当たりませんが、日本人のアカウントが売りに出されているのを目にすることもあります。それらのアカウントは、日本のサイトを悪用する際に価値があるのでしょう。
国外のハッカーも日本人を狙っていることは明らかであるため、英語など外国語に堪能な方のほうが、我々のような脅威情報チームには有利だと言えます。

大角：
私はもともとエンジニアなので、純粋に「セキュリティ技術を探求するのが楽しい」と、スキルアップ自体にやりがいを感じます。
また、たとえば以前、Yahoo!ネット募金の偽サイトが立ち上がった時には、「許せない！　どうにかして、このサイトをつぶしたい」と憤った経験があります。そのような正義感もモチベーションの源泉になっています。

大角：
そうですね。ユーザーの個人情報は、私たちにとって最もセンシティブな情報です。だからこそ社内ルールも非常に厳格に設定されていますし、私たちも常に最大限の対策を行っています。

これまで、脅威情報分析対応チームの取り組みはあまり公に発信してきませんでした。ですが、今後はユーザーの皆さんにより安心していただくためにも、私たちがどのように防衛策を講じているのか、今後も積極的に発信していく必要があると感じています。

大角：
非常に責任があり、重要な取り組みですが、だからこそ、まずは楽しんでやることですね。興味を持ってこの領域に入ったメンバーばかりです。自分たちの取り組みを通じて、ユーザーの安全を守ることができるのは幸せなことです。

ただ、深掘りしすぎると際限がなくなることもあるので、優先順位をつけて、どこでキリをつけるかのポイントを意識することも大事です。

そして、サイバー犯罪との戦いは終わりがないので、「短距離走ではなく、長距離走であることを意識してほしい」とチームのメンバーにもよく伝えています。情熱が過ぎると、燃え尽きてしまうことがあるからです。

大角：
さらに、自社のシステムに最低限のセキュリティツールを導入するだけでなく、アクティブ・サイバー・ディフェンスの一環として、犯罪者に関する調査をもっと強化したいと考えています。
理想をいえば、脅威情報分析対応チームの機能をもっと高度化して、将来的には、サイバー犯罪の予兆を事前に察知し対応できるレベルに持っていければと考えています。
そのためにも、ユーザーのみなさんが安心してサービスを利用できる取り組みを進めていきたいと思います。