6月以降、公になった大会へのサイバー攻撃

　大会運営を狙った攻撃を整理してみよう。6月頭、大会組織委員会のシステムがハッキングを受けた可能性があることが報じられた。富士通のファイル共有システムへの不正アクセスが発覚し、富士通が組織委に対して説明を行ったという（参考：「プロジェクト情報共有ツールへの不正アクセスについて」富士通）。報道では、攻撃は5月末に行われ、170名ほどの関係者の個人情報が盗まれたとしている。

　漏えいしたと見られるのは、大会関係者の氏名と肩書。関係者には大会のセキュリティ担当者やナショナルセキュリティセンター（NISCと思われる）のサイバー演習担当者も含まれている。組織委、関連省庁、東京や福島など開催地自治体、スポンサーなど約90の組織にわたる。関連省庁には国交省や外務省なども含まれ、およそ7万6000ものメールアドレスやデジタル庁設立に関する資料も漏えいした可能性がある。

　次に発覚したのは、JOCのPCやサーバが攻撃を受け、業務に支障が出たため、汚染PC・サーバのすべてをリプレースしたというインシデントだ（参考：「JOC サイバー攻撃受けるも公表せず 去年4月 一時業務できず」NHK）。攻撃はランサムウェアだと説明されているが、身代金の要求はなかったという。またデータ漏えいも「ない」という発表だ。問題なのは、攻撃を受けたのが2020年の4月。それが1年以上たった2021年6月にニュース報道によってわかったことだ。

情報共有と公開の難しさ

　サイバー攻撃の情報は、業界内や関連機関で共有されれば、むやみに公表する必要はないが、秘密にしておくメリットもあまりない。企業や被害者は攻撃を受けたことを隠したいだろうが、攻撃者にとって黙ってくれるのは好都合だ。1年以上も公表しないのは、対外的な信頼性を損なう場合もある。実際、この攻撃はランサムウェアとしているが、身代金要求のないパターンは珍しい（身代金が目的なので感染だけさせて終了する理由がない）。

　データ漏えいはなかったというが、近年は暴露型ランサムウェアも増えている。ランサムウェアの攻撃で身代金の要求もなく、データ漏えいもないという攻撃は考えにくい。攻撃を1年も公表しない組織の言うことは信用できない。


　最後は、チケット購入者やボランティアスタッフのIDやパスワードの情報がインターネットに公開されていたというインシデントだ（参考：「五輪関係の情報流出　チケット購入者らのID・パスワード」朝日新聞社）。報道によれば、シンガポールのダークウェブインテリジェンスを提供するセキュリティプロバイダーが、漏えいデータを発見し、日本政府に報告したそうだ。

　確認された漏えいデータは11件だが、発見したセキュリティベンダーによれば、漏えいデータは数百件に膨らむ可能性があり、大会に関係する機密データらしきものも確認されたともいう。組織委は、内部システムがハッキングされて流出したものではないとしている。

　しかし、オリンピック/パラリンピックに関するサイバー攻撃で、最も注意が必要なのは、大会運営や組織を狙ったものより「便乗詐欺系」の攻撃である。

【次ページ】危険なのは一般を狙った便乗詐欺やフィッシングといえる理由