マルウェアを見つけるための検査サービスに、大統領の旅券番号が載った名簿が上がっていたと報じられています。ハッキングの話に見えますが、韓国外交省の現時点の見方は「流出」です。守るための操作が、ファイルを渡す操作にもなるとしたら、その線はどこで引かれているのでしょうか。
マルウェア検査サービスのVirusTotalは、提出されたファイルの中身が有料顧客と共有される場合があると公式文書に記している。人が手で上げなくても、セキュリティ製品との連携や隔離メールの処理を通じてファイルが自動で提出される危険は、2019年以降たびたび指摘されてきた。安全を確かめるための検査が、社外への受け渡しにもなり得る。
韓国のKBSテレビは11月2日、李在明（イ・ジェミョン）大統領らの旅券番号を含む情報が、6月から約5か月間ネット上で閲覧可能だったと報じました。読売新聞によると、6月の欧州訪問時の大統領専用機の搭乗者名簿で、対象は168人です。読売新聞が「有料サイト」と書いた投稿先について、韓国の複数の媒体はVirusTotalだと伝えています。韓国外交省は11月3日のブリーフィングで流出を認めており、記録の全文は韓国政府の「政策ブリーフィング」で公開されています。
誰が、なぜ上げたのかは捜査中です。一方で、検査サービスに上げたファイルがどう扱われるのかは、公開された文書と過去の事例から読み解けます。旅券番号が外部から参照された形跡のある事案や、業務の情報が外部サービスに渡った事案は、JAL・JTAの予約情報やパナソニックの生成AIの件としてinnovaTopiaでも伝えてきました。今回はその延長で、「検査」という善意に見える操作の先に何があるのかを整理します。
VirusTotalへの提出と情報の露出をめぐる経緯
| 時期 | 出来事 | 出典 |
|---|---|---|
| 2019年7月 | Malwarebytesの研究者が、セキュリティ製品との連携で社内製の実行ファイルが自動で提出される問題を報告 | Malwarebytes |
| 2019年10月 | イスラエルのOtorioが、製薬・産業・自動車・食品などの企業のファイル数千件をVirusTotal上で発見したと報じられる | Bloomberg |
| 2022年3月 | ドイツ連邦情報セキュリティ庁（BSI）が、隔離されたメール添付の半自動アップロードによる情報流出を警告 | BSI |
| 2023年6月 | VirusTotalの従業員が、顧客の情報を含むファイルを誤って投稿。1時間以内に削除。リストの顧客は5,600件（件数はThe Record） | VirusTotal、The Record |
| 2024年5月 | 韓国の中央選挙管理委員会の委託先職員が、職員約3,000人分の点検結果を検査のために投稿 | 韓国の報道 |
| 2026年6月2日 | 大統領専用機の搭乗者名簿とされるファイルが投稿されたと報道 | 韓国の報道 |
| 2026年11月2〜3日 | KBSが報道。韓国外交省が流出を認め、警察が正式な捜査へ | KBS、韓国政府の記録、韓国の報道 |
提出したファイルはどこへ行くのか
VirusTotalは、ファイルやURLを70以上のウイルス対策スキャナーやブロックリストで調べるサービスです。2012年にGoogleが買収しました。使う側の感覚では「検査結果が返ってくるサービス」ですが、仕組みをたどると、共有の範囲は段階ごとに違います。
公式の説明では、基本的な結果は提出者と検査に参加するパートナーで共有され、検査レポートは公開のコミュニティでも共有されます。そのうえで、提出されたファイルやページの中身も、有料顧客と共有される場合があるとされています。適格な顧客とパートナーには、条件を指定してサンプルを探す検索ツールも提供されています。
これは欠陥ではなく、サービスの価値そのものです。未知のマルウェアを世界中の防御側で分析できるのは、提出されたファイルが蓄積され、共有されるからです。問題になるのは、その前提を知らないまま、業務の文書を同じ窓口に入れてしまうときです。韓国の専門家からも、問題はサービス自体ではなく使い方にあるという指摘が出ています。
規約の面でも、この前提は示されています。Google Cloudが掲載している現行のサービス別条項には、VirusTotalを含む項目があり、公開で共有したい内容だけを上げること、許可のない機密データを故意に提出しないこと、個人データを含む内容を提出しないことが書かれています。2021年1月更新の旧利用規約にも同じ趣旨の条項がありました。旧契約が適用される顧客もいるため、細かな条件は契約によって異なります。
では、中身は誰の目に触れ得るのでしょうか。公式の文書は「共有される場合がある」「適格な顧客」と書いており、VirusTotalは2019年に、全顧客を事前に審査し、データを不正に使った顧客は遮断すると説明しました。一方、BSIは2022年の警告で、顧客の多さと多様さから、提出したファイルは事実上公開されたものになると評価しています。顧客には企業のほか情報機関、研究者、記者も含まれ、機密を示す語で提出物を監視している機関が世界にあると想定すべきだとも述べています。表現に幅はありますが、検査を頼んだ相手だけにファイルが届くわけではありません。
削除すれば元に戻るとも限りません。ドイツのハノーファー大学のIT部門は、学内の利用者に機密データの提出を認めておらず、すでに多くの相手に共有されているため、削除の依頼が通っても、すべての複製は消えない可能性が高いと案内しています。
人が上げなくても、ファイルは送られる
「誰かが不用意に上げた」と考えると、話は個人の不注意で終わります。しかし、過去の事例はもう少し複雑です。
2019年7月、Malwarebytesの研究者は、企業のセキュリティ製品がVirusTotalと連携し、社内で開発した実行ファイルまで自動で提出してしまう問題を報告しました。同年10月には、OtorioがVirusTotal上で企業のファイル数千件を見つけ、利用条件やリスクを理解しないまま提出する運用を問題視したと報じられています。同社が調べた範囲では、攻撃に使われた文書は見つからなかったといいます。2022年3月にはBSIが、ある組織で隔離されたメールの添付が半自動でアップロードされ、一部は内部の機密文書だった事例を挙げて警告しました。BSI自身の警告文書も、受信者によって上げられていたとしています。
韓国でも今回、同じ論点が挙がっています。セキュリティ企業の幹部は、一部のメール製品に添付ファイルをVirusTotalへ自動で送る機能が残っている可能性を指摘しました。ニューシスも、一部のセキュリティ製品には初期設定の際にファイルの自動共有を選ぶ項目があると伝えています。既定で有効かどうかや、今回その機能が使われたかは明らかになっていません。ハノーファー大学が、隔離フォルダや迷惑メールフォルダの自動スキャンを対象外としているのも、中身の機密性を確認できないためです。
もちろん、人が手で上げる例もあります。2024年の韓国の選挙管理委員会の件では、委託先の職員が、インターネットに接続したPCから内部ネットワーク用のPCへファイルを移す前に感染の有無を再確認しようとして投稿し、他者に共有されるとは知らなかったと報じられました。悪意ではなく、むしろ安全への配慮から起きた点が、この問題の難しさです。
これらは海外の事例で、日本での発生状況を示すものではありません。ただ、サービスの仕組みは利用者の国を問いません。
韓国の事案で分かっていること、まだ分からないこと
報道によると、ファイルはExcel形式で、氏名、所属と役職、生年月日、旅券番号、旅券の発給日と満了日が記載されていました。対象には大統領夫妻のほか、閣僚、青瓦台（大統領府）と外交省の職員、警護要員、同行記者などが含まれます。投稿は6月2日で、大統領が欧州へ出発する約1週間前にあたります。
パク・ドゥスン（Park Doo-soon）報道官は11月3日、現時点ではハッキングよりも流出とみていると説明しました。根拠を問われると、文書の作成と伝達の経路やハッキングの痕跡などを踏まえた判断だとし、捜査に影響するとして詳細は避けています。読売新聞が伝える内部からの流出という見方も、「現時点」という留保のついた判断です。外交省の当局者は、様式は外交省のものに似ているが職印がなく、外交省の文書と断定はできないとも述べています。
韓国の報道によると、警察は11月2日に立件前の調査を始め、翌3日に正式な捜査へ切り替えました。海外のサービスであるため、海外への協力要請も進める予定だとされています。韓国の個人情報保護委員会も、11月3日に外交省からの届け出を受理したと報じられています。
経路はまだ確定していません。韓国の報道では、関係者が検査のために上げた可能性のほか、自動で送信された可能性、ファイルを受け取った第三者がフィッシングメールと疑って提出した可能性が挙がっています。最初に外へ出した人と、VirusTotalに提出した人が別である可能性も残ります。外交省は、職員が上げたとする報道について問われ、調査中と答えました。
実際に何人がダウンロードしたのかは、公式の説明では明らかにされていません。外交省は11月3日、追加の流布は現時点で把握しておらず、悪用された例も聞いていないと述べました。把握の時期については、青瓦台も外交省も報道の前に認知したと説明していますが、具体的な日時は示していません。ソウル経済は、外交省が2日に把握したと報じています。専門家からは、露出が長く続いた点を重く見て、ネット上を常時監視する体制を求める声が出ています。
被害の面で目を引くのは、外交省が対象者の旅券の再発給を進めていることです。大統領夫妻の分は完了したとされます。旅券番号はパスワードのように本人が変更できず、番号を変えるには旅券そのものを取り替えることになります。韓国の業界関係者は、警護の対象者だけでなく、記者や周辺のスタッフが含まれる点を挙げ、保安が比較的弱い人のメールやSNSが狙われる可能性を指摘しています。旅券番号が外部から参照された形跡は、JALとJTAでも約2,000人分について公表されたばかりです。
組織が確かめておくこと
この件から持ち帰れるのは、「VirusTotalを使わない」という結論ではありません。韓国の専門家によれば、このサービスは各国の政府機関でも広く使われています。確かめておきたいのは、次の4点です。
まず、ファイルを上げずに照会できないかどうかです。VirusTotalは、ファイルのハッシュ値からレポートを引く手段を提供しています。ファイルの中身を送らずに、既知のものかどうかを確かめられます。BSIも、ハッシュ値の照会は基本的に問題ないとしています。ただし、まだ誰も提出していないファイルなら結果は得られないため、未知のファイルの検査の代わりにはなりません。
次に、使っている製品の設定です。メールのセキュリティ製品やエンドポイント製品に、外部の検査サービスへ自動で送る機能があるか、どのような設定になっているかを確認します。人に注意を促すだけでは、この経路は防げません。
そのうえで、中身を外に出せないファイルの検査手段です。韓国の専門家は、機密文書はオフラインで検査するのが基本だと述べています。外部への送信を認められる場合の選択肢として、VirusTotalには有料のPrivate Scanningもあります。専用の画面やAPIから提出したファイルは他の顧客やパートナーに共有されず、保持は通常24時間で変更もできます。ただしVirusTotal側にはアップロードされ、通常のサービスのようなウイルス対策製品の判定は含まれません。同じファイルを通常のサービスにも提出すれば、そちらは共有の対象になります。
最後に、上げてしまったときの手順です。削除の依頼先と社内の連絡先を決めておくと、初動が変わります。本人確認書類の情報が漏れたときの備えについては、情報が漏れたかもしれないときの手引きにまとめています。
提出されたファイルを共有するから、防御側は未知の脅威に早く気づけます。同じ仕組みが、知らずに入れた文書も運びます。AIサービスへの入力を含め、業務の情報が外部サービスへ渡る場面は、これからも増えていくでしょう。パナソニックの件は投入先も経緯も今回とは別ですが、どこへ渡るのかを理解して使うという課題は共通しています。仕組みを知ったうえで窓口を選び分けられる組織が増えれば、共有の力はそのまま防御の力として生かせます。
【関連記事】
JAL・JTAの予約情報約9万2000人分に参照の形跡、大韓航空・アシアナもAmadeusのシステムで公表
JAL・JTAの予約情報に外部から参照された形跡。約2,000人分は旅券番号なども対象で、大韓航空とアシアナも別に公表した
パナソニック、利用禁止の生成AIに従業員・家族の個人情報 4区分で約33万4千人分
利用が禁止された外部の生成AIに、プロジェクトメンバーが個人情報を含むデータを上げた事案。対象は4区分で約33万4千人分とされる
情報が漏れたかもしれないときの手引き｜メール・パスワード・カード・口座別の対処と相談先
漏れた情報の種類ごとに、できることと相談先を整理した手引き。本人確認書類が漏れたときの対処や信用情報の確認などもまとめている
【編集部後記】
BSIの警告文には、本文で紹介しきれなかった一文があります。受信者が警告文書をVirusTotalに上げてしまうなら、その配布先と情報をすべて共有し続けられるかを検討しなければならない、というものです。
届いた文書を検査しようとする姿勢そのものは、責められるものではありません。それでも、その一手で次の注意喚起が届きにくくなる可能性まで考えている人は、多くないはずです。
みなさんの職場で「念のため」検査に回したファイルの行き先を、説明できる人はいるでしょうか。
【用語解説】
マルウェア
コンピューターに害を与える目的で作られたソフトウェアの総称。ウイルス、ランサムウェア、情報を盗むプログラムなどを含む。
ブロックリスト
危険と判断したURLやドメインなどを集めた一覧。セキュリティ製品やサービスは、この一覧をもとに接続の遮断や警告を行う。
ハッシュ値
ファイルの中身から計算される、短い固定長の値。中身が同じなら同じ値になるため、ファイル本体を渡さずに同じファイルかどうかを照合できる。SHA-256などの方式がある。
API
ソフトウェアどうしが機能やデータをやり取りするための窓口。人が画面を操作しなくても、プログラムからファイルの提出や結果の取得ができる。
隔離フォルダ
セキュリティ製品が不審と判断したメールやファイルを、利用者から切り離して保管する場所。誤検知で正常な業務文書が入ることもある。
エンドポイント製品
PCやサーバーなど、利用者に近い端末で動くセキュリティ製品。不審な動作の検知や、見つけたファイルの解析などを行う。
フィッシングメール
実在の組織などを装い、偽のサイトや添付ファイルへ誘導して情報を盗もうとするメール。
青瓦台
韓国の大統領府を指す呼び名。今回の報道や韓国政府の記録で使われている。
【参考リンク】
VirusTotal「How it works」（外部）
検査の仕組みと共有の範囲を説明する公式文書。提出されたファイルやページの中身が、有料顧客と共有される場合があると記している
VirusTotal「Private Scanning」（外部）
他の顧客やパートナーに共有しない有料の解析機能の公式文書。ウイルス対策製品の判定は含まれず、保持期間は通常24時間とする
Google Cloud「SecOps Service Specific Terms」（外部）
現行のサービス別条項。第3節がVirusTotalを含み、公開で共有したい内容だけの提出や個人データの提出禁止を定めている
VirusTotal「Historic Terms of Service」（外部）
2021年1月27日更新の旧利用規約。公開で共有したいサンプルだけを上げることや、機密データを提出しないことが書かれている
韓国政府 政策ブリーフィング「외교부 현안 관련 브리핑」（11月3日午前）（外部）
報道官の説明と質疑の全文。ハッキングより流出とみる見方、報道前の認知、再発給、追加の流布を把握していないことを述べている
韓国政府 政策ブリーフィング「외교부 대변인 정례브리핑」（11月3日）（外部）
同日の定例ブリーフィングの全文。判断の根拠を問われた際の説明、大統領夫妻の旅券の発給完了、悪用例を聞いていないとの回答がある
BSI「Datenabfluss im Falle von Dateiprüfungen bei VirusTotal」（外部）
ドイツ連邦情報セキュリティ庁の2022年3月15日の警告。隔離メールの半自動提出を挙げ、提出物は事実上公開されると評価した
Malwarebytes Labs「Caution: Misuse of security tools can turn against you」（外部）
2019年7月11日付の研究者の報告。セキュリティ製品との連携で社内製の実行ファイルが自動で提出される問題を説明している
Claims Journal「Misuse of Alphabet’s Virus Scanner is Exposing Sensitive Files」（外部）
Bloomberg配信。Otorioが企業のファイル数千件を発見したとの報道で、VirusTotal側の顧客審査の説明も伝えている
VirusTotal Blog「Apology and Update on Recent Accidental Data Exposure」（外部）
2023年6月29日に従業員が顧客の情報を含むファイルを誤って投稿し、1時間以内に削除したとするVirusTotalの声明
The Record「VirusTotal apologizes for accidental leak that exposed customer data」（外部）
2023年の誤投稿の報道。リストを確認し、顧客5,600件で政府機関や軍関係とみられるメールアドレスも含まれていたと伝えた
Leibniz University IT Services「Virustotal」（外部）
ハノーファー大学のIT部門の案内。機密データの提出や自動アップロードを認めず、削除後も複製が残る可能性が高いと説明している
読売新聞「韓国大統領らの旅券番号、５か月間ネット上で閲覧可能に…サイバー攻撃ではなく内部流出か」（外部）
11月3日の記事。KBSの報道として168人分の搭乗者名簿を伝え、外交省は内部流出の可能性が高いとの見方を示したと報じた
京郷新聞「초유의 대통령 개인정보 유출, 어디서·어떻게…5개월 까맣게 몰랐던 허술한 보안」（外部）
11月3日の分析記事。投稿先をVirusTotalと名指しし、名簿の共有先と、アップロードの経路についての推定を伝えている
ボアンニュース「대통령 개인정보 유출 파문… ‘바이러스 토탈’ 이용 행태 도마 위」（外部）
韓国のセキュリティ専門紙の記事。問題は使い方にあるとの指摘や、メール製品の自動送信の可能性、オフライン検査の話を伝えている
ニューシス「”외부 해킹인가, 내부 실수인가”…공군 1호기 명단 유출 미스터리」（外部）
内部のミス説と外部ハッキング説を並べて検討した記事。初期設定の際の自動共有の項目や、第三者が提出した可能性にも触れている
ノーカットニュース「외교부 “유출된 대통령 전용기 명단, 외교부 문서 형식 엑셀파일”」（外部）
外交省の当局者の説明を伝える記事。Excelの様式は外交省のものに似ているが職印がなく、外交省の文書とは断定できないとしている
Seoul Economic Daily「Leak of Presidential Delegation List Prompts 168 Passport Reissues」（外部）
168人の旅券の再発給を伝える記事。投稿先をVirusTotalと名指しし、名簿を管理する外交省は11月2日に流出を把握したと報じている
韓国日報「’대통령 개인정보 유출’ 정식 수사한다… 1호기 탑승자 168명 피해」（外部）
警察庁のサイバーテロ捜査隊が、報道を受けて11月2日に立件前の調査を始め、翌3日に正式な捜査へ切り替えたと伝える11月3日の記事
ニューストマト「경찰, ‘대통령 전용기 탑승자 정보 유출’ 정식 수사 전환…”진전 있어”」（外部）
警察が正式な捜査へ切り替えたことを伝える11月3日の記事。海外のサービスであるため、海外への協力要請も進める予定だとしている
デイリアン「개보위, ‘대통령 순방단 개인정보 유출’ 외교부 신고 접수」（外部）
韓国の個人情報保護委員会が11月3日午前10時ごろに外交省からの届け出を受理し、まず事実関係を確認する予定だと伝える記事
国民日報「외국 정부기관도 널리 쓰는 플랫폼⋯ 보안 점검용 파일 외부노출 위험 커」（外部）
他国の政府機関でも広く使われているとの専門家の説明と、ネット上の露出を常時監視する体制の提案などを伝えた11月3日付の記事
KBS「[단독] 선관위, 바이러스 검사하려다 직원 3천 명 정보 인터넷에 노출」（Daum掲載）（外部）
2024年の選管の件の報道。委託先の職員が約3,000人分の点検結果を検査のために投稿し、共有されると知らなかったと伝えた
VirusTotal Blog「An update from VirusTotal」（外部）
2012年9月7日の公式ブログ。Googleによる買収を発表し、セキュリティ企業などとの協力関係を続ける方針を説明している
