防衛ソフトを狙う巧妙ななりすまし攻撃、NASAや大学が被害

米国の宇宙機関NASAにおいて、研究者を装った人物による長期間のフィッシング攻撃が行われ、一部の職員が機密性の高いソフトウェアを誤って提供していた可能性が報告されています。この攻撃は複数の政府機関や大学、企業にも広がっており、巧妙ななりすましによる情報窃取のリスクが改めて浮き彫りになりました。
The Hacker News：NASA Employees Duped in Chinese Phishing Scheme Targeting U.S. Defense Software

この記事のポイント

流出の恐れがある情報・対象

NASAおよび米政府機関の研究用ソフトウェア環境
大学・研究機関・民間企業の技術開発システム
航空宇宙設計や防衛関連ソフトウェア

推奨される対策

不審なメール送信者の身元確認を徹底する
機密情報やソフトウェア提供前に正式な承認フローを設ける
フィッシング対策訓練の実施と従業員教育の強化
不自然な依頼（繰り返し要求や不明確な目的）への警戒

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

フィッシング：正規の人物や組織を装い、情報をだまし取る攻撃手法です。
スピアフィッシング：特定の個人や組織を狙った、より精密で巧妙なフィッシング攻撃です。
輸出管理規制：軍事転用可能な技術や製品の国外提供を制限する法制度です。

長期間にわたるなりすまし攻撃の実態

今回明らかになった攻撃は、2017年から2021年にかけて長期間にわたり実施されたとされています。攻撃者は米国の研究者や技術者を装い、信頼関係を築いた上で対象者に接触し、ソフトウェアの共有を依頼していました。被害者の多くは同僚や共同研究者とのやり取りだと認識しており、不正な意図に気付かないまま情報を提供してしまったケースがあったと報告されています。このような攻撃は、技術的な脆弱性を突くものではなく、人間の心理や業務慣行を巧みに利用する点が特徴です。そのため、従来のセキュリティ対策だけでは防ぎきれない側面があり、組織全体での意識向上が重要とされています。

狙われた技術とその重要性

攻撃の目的は、航空宇宙分野や防衛用途に関連する高度な設計ソフトウェアの入手であったとされています。これらのソフトウェアは、航空機やミサイルの設計、空力解析などに利用される重要な技術基盤です。米国当局によると、こうした技術は軍事用途にも転用可能であり、厳格な輸出管理の対象となっています。攻撃者は複数回にわたり同じソフトウェアの提供を求めるなど、不自然な行動も確認されていましたが、巧妙ななりすましにより一部のケースでは見抜かれなかったとされています。この事例は、技術情報の取り扱いにおける慎重さがいかに重要であるかを示しています。

日本企業・研究機関への示唆

今回の事案は米国で発生したものですが、日本の企業や研究機関にとっても無関係ではありません。特に国際共同研究や海外との技術交流がある場合、同様のなりすまし攻撃に巻き込まれる可能性があります。メールやオンラインでのやり取りが日常化している現在、相手の身元確認を怠ると、知らないうちに機密情報を提供してしまうリスクがあります。また、不自然な依頼や繰り返しの問い合わせ、支払い方法の変更といった兆候にも注意が必要です。技術的対策に加え、組織内でのルール整備や教育を強化することで、こうした攻撃への耐性を高めることが求められます。

参考文献・記事一覧

The Hacker News

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
Hack The Box Business CTF 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）