用語集
事案と攻撃グループの解説に出てくる言葉を、当サイトでの扱いとあわせて説明します。
- リークサイト
攻撃グループが、侵害したとする組織名や盗んだとするデータを掲載するサイトです。身代金の支払いを迫る手段にも使われます。当サイトは掲載された事実を企業の公表と分けて記録し、漏えいデータや被害組織の投稿への直接リンクは載せません。
- 二重恐喝（ダブルエクストーション）
データを暗号化して使えなくする脅しと、盗んだデータを公開する脅しを組み合わせ、金銭を要求する手口です。当サイトでは、暗号化の有無とデータ持ち出しの有無を分けて読み取り、攻撃者の公開予告だけで持ち出しを確認済みにはしません。
- ランサムウェア
ファイルの暗号化などで端末やデータを使えなくし、復旧と引き換えに金銭を要求する不正なプログラムです。当サイトでは公表文に沿って事案を記録します。システムの停止だけを根拠に、ランサムウェアによる被害と判断することはありません。
- RaaS（ランサムウェア・アズ・ア・サービス）
ランサムウェアや攻撃用の管理基盤を、開発・運営側が別の攻撃者に提供する仕組みです。実行側と運営側で役割や収益を分けます。当サイトのアクター解説では、仕組みの運営者と個々の侵入を実行した者を同一視せず、出典で分かる関係を記します。
- アフィリエイト
ランサムウェアの文脈では、運営側から道具や基盤の提供を受けて侵入や恐喝を行う攻撃者を指します。広告の紹介者という意味ではありません。当サイトでは、同じランサムウェア名が出ていても実行者まで同じとは決めず、出典にある役割を記します。
- 初期侵入経路
攻撃者が組織の端末やシステムへ最初に入り込んだ入口です。メール、外部に公開された機器、盗まれた認証情報などが該当します。当サイトの自動掲載では、公表文に経路が明記され、根拠の引用がある場合だけ分類し、それ以外は「記載なし」とします。
- IAB（初期アクセスブローカー）
侵入できる状態にしたシステムへのアクセスや、侵入に使える認証情報を、別の攻撃者に売る仲介者です。侵入口を用意した者と、その後に恐喝する者は別の場合があります。当サイトでは、関与を示す出典がある場合にアクター解説へ記します。
- VPN 機器の脆弱性
社外から社内ネットワークへ接続する VPN 機器にある、認証の回避や不正な操作につながる欠陥です。盗まれたパスワードによる接続とは区別します。当サイトでは、公表文で分かる製品名や脆弱性を結びつけ、VPN への言及だけで欠陥の悪用とは扱いません。
- 認証情報の窃取（インフォスティーラー）
パスワードやログイン状態を示す情報などを盗む行為です。こうした情報の収集を狙う不正なプログラムをインフォスティーラーと呼びます。当サイトでは、認証情報の悪用が分かっても、盗まれた経緯が不明なら特定のプログラムによる窃取とは断定しません。
- フィッシング
実在する組織や知人を装ったメールやメッセージで、偽の画面への入力や不正なファイルの実行を誘う手口です。当サイトでは公表文の根拠に沿って侵入経路を分類します。不審なメールが届いたという記載だけで、侵入の原因だったとは判断しません。
- サプライチェーン攻撃
ソフトウェアの配布や更新、製品の供給などのつながりを利用し、利用者側へ攻撃を届かせる手口です。当サイトでは、どの製品や供給過程が関係したかを公表に沿って記録します。委託先で被害が起きたというだけで、この手口に分類することはありません。
- 委託先起点
業務やデータの取り扱いを任せた相手で問題が起き、委託元にも影響が及ぶことです。委託先からのシステム侵入だけでなく、預けた情報の漏えいも含みます。当サイトでは、公表で分かる委託関係や関連事案を結びつけ、各組織の公表を分けて記録します。
- フォレンジック調査
端末やサーバーに残る記録、ファイル、通信の痕跡を保全して調べ、侵入の経緯や影響を明らかにする調査です。当サイトでは、調査を始めたという公表と、結果が出たという公表を分けます。調査中の時点で、被害の範囲が確定したとは扱いません。
- 個人情報保護委員会への報告
個人データの漏えいなどについて、対象となる事態を個人情報保護委員会へ知らせる手続きです。報告の要否と、ウェブサイトでの公表は別の事柄です。当サイトでは組織の公表文にある報告状況を記録し、報告した事実だけで被害の全容が確定したとは扱いません。
- 第1報・続報・最終報
第1報は事案について最初に出た公表、続報はその後の追加情報、最終報は調査結果などを締めくくる公表です。当サイトでは同じ事案の時系列に並べます。新しい情報で件数や原因が変わることがあるため、公表ごとの日付と内容を分けて読みます。
- 確度（公表・第三者）
記載の根拠がどこにあるかを示す区分です。当サイトでは「公表に明記」「調査報告書」「第三者分析・報道・当局」「当サイトの推定」を分けます。被害の大きさや事実である確率を数値化したものではなく、何を根拠に読めるかを示す印です。
- 主張（攻撃者の主張）
侵入した、情報を盗んだなど、攻撃者側が述べている内容です。当サイトは企業の公表と分けて「リークサイトでの掲載」として記録します。同じ事案だと確認できたものだけに「事案と一致」の印を付け、それ以外に「未確認」の札は付けません。
- 組織は推定
リークサイトに書かれた名称などから、当サイトが組織を推定して結びつけたことを示す印です。組織自身による侵害の公表や、事案との一致を意味しません。当サイトでは掲載時の表記と結びつけた組織を分けて載せ、推定であることを示します。
- 掲載中・削除済み
リークサイトで組織名などの掲載が見えるかどうかを示す状態です。当サイトでは公開トラッカーの観測に基づいて記録します。「削除済み」は掲載が消えたという意味で、盗まれたデータの消去、身代金の支払い、被害の解決を確認した印ではありません。
- 無効化表記（[.]onion、hxxp://）
URL や IP アドレスを誤って開かないよう、ドットを [.] に、http を hxxp に置き換えるなどした表記です。当サイトでは攻撃側の所在をこの形で載せ、リンクにしません。表記を変えただけで、接続先の安全性が確認されたという意味ではありません。
- Tor / onion
Tor は通信の経路を複数の中継点に分け、通信元などを分かりにくくする仕組みです。.onion は Tor 内のサービスで使うアドレスです。当サイトではリークサイトの所在を無効化して記録します。Tor の利用そのものを、攻撃への関与の根拠にはしません。
- 交渉窓口
攻撃者が身代金などの要求を伝え、被害組織とやり取りするために設ける連絡先です。チャットやメールなどが使われます。当サイトは出典にある連絡手段を無効化して記録します。窓口が記録されていることは、組織が交渉や支払いをした証拠ではありません。
- CVE
公表された脆弱性を共通の識別子で参照する仕組みです。同じ識別子を使うことで、製品の案内や調査報告を照らし合わせられます。当サイトでは事案に関係する脆弱性を結びつけます。識別子があること自体は、悪用や特定の組織の被害を示しません。
- KEV
実際の攻撃で悪用が確認された脆弱性をまとめた一覧です。当サイトの脆弱性ページにある「CISA KEV 収載」は、この一覧に載ったことを示します。収載されていても、当サイトに載る個々の事案でその脆弱性が使われたと確認されたことにはなりません。
- ATT&CK
観測された攻撃者の行動を、目的と手法に分けて整理した知識集です。侵入、権限の取得、情報の持ち出しなどを共通の言葉で表します。当サイトではアクターの手法を読む手がかりとして使い、同じ手法を使うことだけで同一グループとは判断しません。
- IoC（侵害の痕跡）
侵害の発見や調査の手がかりになる情報です。不正な通信先、ファイルの特徴、記録に残る文字列などが含まれます。当サイトでは出典のある痕跡を扱い、URL や IP は無効化して載せます。ひとつの一致だけで攻撃者や被害の範囲まで確定するものではありません。
- EDR
端末やサーバーの動作を記録し、不審な挙動の検知、調査、端末の隔離などを支援する仕組みです。当サイトでは、公表文にある導入や対応の内容を記録します。導入したという記載だけで、すべての侵害を防げた、または被害が解消したとは判断しません。
- 多要素認証
パスワードのような知識、端末などの所持品、指紋などの身体的な特徴から、異なる種類の要素を組み合わせて本人を確かめる方式です。当サイトでは出典にある設定や悪用の状況を記録し、不正ログインが起きたことだけで未導入だったとは判断しません。
- ゼロデイ
提供元がまだ把握していない、または修正が用意されていない脆弱性を悪用する攻撃を指す言葉です。修正済みの欠陥を更新前の機器で突かれる場合とは分けます。当サイトでは、出典で示された攻撃時点と修正の状況に沿って記し、被害の発覚日だけでは判断しません。
- 横展開
侵入済みの端末やアカウントを足がかりに、別の端末やサーバーへ活動範囲を広げることです。最初の入口とは別の段階です。当サイトでは、初期侵入経路と侵入後の行動を分けて読み、複数のシステムが停止したことだけで横展開があったとは断定しません。
- 権限昇格
侵入した時点よりも強い操作権限を得ることです。一般利用者の権限から管理者の権限へ移ると、設定変更や情報へのアクセス範囲が広がります。当サイトでは出典で分かる侵入後の行動として扱い、侵入の成功と管理者権限の取得を同じ意味にはしません。
- データ持ち出し（exfiltration）
組織内の情報を、攻撃者が外部や自分の管理する場所へ送ることです。ファイルの暗号化や閲覧とは別の行為です。当サイトでは、持ち出しが確認された記載と、その可能性があるという記載を分けます。攻撃者が盗んだと述べただけなら主張として扱います。
- DDoS
多数の端末などから通信や処理の要求を集中させ、サービスを使いにくくしたり停止させたりする攻撃です。当サイトでは公表に沿って障害の原因や影響を記録します。アクセスできない状態だけでは攻撃と判断せず、DDoS の発生だけで内部への侵入や漏えいとも扱いません。
- ビジネスメール詐欺
取引先や経営者になりすまし、送金先の変更や機密情報の送付などを求める詐欺です。本物のメールアカウントを乗っ取る場合も、似たアドレスで偽装する場合もあります。当サイトでは公表された経緯を記録し、なりすましだけでアカウントの侵害とは判断しません。
- クレデンシャルスタッフィング
別の場所で漏えいした ID とパスワードの組を使い、他のサービスへのログインを試す手口です。パスワードの使い回しが狙われます。当サイトでは公表文の説明に沿って記録し、不正ログインの発生だけで、情報が漏れた場所や取得方法まで推定しません。
- C2（コマンド＆コントロール）
攻撃者が、侵入した端末を遠隔操作するために使う指令用のサーバーや通信の仕組みです。マルウェアはここに接続して命令を受け取り、盗んだデータを送ります。アクター解説で「C2」「C&C」とあればこの意味です。
- APT（持続的標的型攻撃）
特定の組織を長い期間ねらい、気づかれないように侵入し続ける攻撃、またはそれを行う集団の呼び名です。国家の支援を受けるとされる集団に付けられることが多く、「APT10」のように番号で区別されます。
- 国家支援
国家機関の指示や資金・技術の支援を受けて活動するとされる攻撃集団の性質です。帰属（どの国が背後にいるか）は各国政府やセキュリティ企業の分析にもとづくもので、当サイトは出典を付けて「推定」として書きます。
- バックドア
正規のログインを通らずに、侵入先へあとから再び入るために仕掛けられる裏口です。攻撃者は侵入直後に設置することが多く、パスワードを変えただけでは残ったままになることがあります。
- エクスプロイト
脆弱性（プログラムの欠陥）を突いて、本来できない操作をさせるためのプログラムや手順です。公開されたエクスプロイトは攻撃者がすぐに使うため、修正プログラムの適用が急がれます。
- RDP（リモートデスクトップ）
Windows を離れた場所から操作する機能です。インターネットに公開されたままの RDP は、パスワードの総当たりや盗まれた認証情報で侵入口になりやすく、ランサムウェアの初期侵入経路として頻出します。
- 総当たり攻撃（ブルートフォース）
パスワードを片端から試してログインを突破する攻撃です。短い・単純なパスワードや、多要素認証の無いアカウントが狙われます。
- ボットネット
マルウェアに感染して攻撃者に操られる端末の集まりです。DDoS 攻撃や迷惑メールの大量送信に使われ、持ち主は自分の端末が加担していることに気づかないのが普通です。
- SQL インジェクション
Web サイトの入力欄や URL に細工した文字列を送り、裏側のデータベースを不正に操作する手口です。会員情報やカード情報の漏えいの典型的な原因で、公表文では「脆弱性を悪用した不正アクセス」と書かれることもあります。
- Web スキミング
通販サイトの決済ページに不正なプログラムを仕込み、利用者が入力したカード番号を盗む手口です。サイトの運営者も利用者も気づきにくく、カード会社からの連絡で発覚することが多くあります。
- スミッシング
SMS（ショートメッセージ）を使ったフィッシングです。宅配業者や金融機関を名乗る短い文面でリンクを開かせ、偽サイトで ID やパスワード、カード情報を入力させます。
- 認証情報
ID とパスワード、ワンタイムコード、アクセストークンなど、本人であることを確かめるための情報の総称です。盗まれると正規の利用者になりすまして侵入されるため、漏えいした場合はパスワードの変更と多要素認証の有効化が対処の基本です。
- パッチ（修正プログラム）
脆弱性を直すためにメーカーが配布する更新です。適用が遅れた期間が攻撃者に狙われるため、公表文の「古いバージョンを使用していた」はこの遅れを指します。
- 暗号資産（身代金の支払い手段）
ビットコインなど、国の通貨でない電子的な資産です。送金の追跡が難しいため、ランサムウェアの身代金はほぼ暗号資産で要求されます。当サイトは要求額や支払いの有無を、公表や出典がある場合だけ書きます。
- TTP（戦術・技術・手順）
攻撃グループが使う行動の型です。侵入のしかた、権限の取り方、データの持ち出し方などを指し、MITRE ATT&CK の技法番号で整理されます。同じ TTP が続く場合、同じ集団の仕業と推定する手がかりになります。
- SOC / CSIRT
SOC はシステムを監視して異常を見つける部門、CSIRT は事案が起きたときに対応を指揮する部門です。公表文の「外部のセキュリティ専門機関」は、これらを外部委託している場合を指すことが多くあります。
- JPCERT/CC
国内のセキュリティ事案について、注意喚起の発行や関係者間の調整を行う組織です。当サイトの「公的情報」には、JPCERT/CC、IPA、警察庁、個人情報保護委員会の公表を集めています。
- 二次被害
漏えいした情報が使われて起きる被害です。なりすましのメールや電話、カードの不正利用、別のサービスへの不正ログインなどがあります。事案ページの「影響を受ける可能性のある人へ」は、この二次被害を避けるための対処を漏えい情報の種類ごとに示しています。