Where is cybercrime really coming from? | Caleb Barlow

Translator: Leslie Gauthier Reviewer: Camille Martínez

翻訳: Yuko Masubuchi 校正: Riaki Poništ

Cybercrime is out of control.

サイバー犯罪が 猛威を振るっています

至るところで発生し

It's everywhere.

We hear about it every single day.

毎日のように話題にのぼります

This year,

今年は

over two billion records lost or stolen.

20億件を超える情報が 喪失または盗難に遭いました

And last year, 100 million of us, mostly Americans,

昨年は 約１億人の 医療保険情報が盗まれ

lost our health insurance data to thieves -- myself included.

被害者のほとんどはアメリカ人で 私もその１人です

サイバー犯罪で特に懸念されるのは 多くの場合

What's particularly concerning about this is that in most cases,

it was months before anyone even reported that these records were stolen.

報じられた時点で既に 数ヶ月経ってしまっているということです

So if you watch the evening news,

それゆえに夕方のニュースを見ても

you would think that most of this is espionage or nation-state activity.

大抵の場合は諜報活動か 単一民族国家による行為と思われがちです

And, well, some of it is.

それもあります

Espionage, you see, is an accepted international practice.

ご存知の通り 諜報活動は 国際的に受け入られている慣習です

But in this case,

しかしサイバー犯罪の中では

it is only a small portion of the problem that we're dealing with.

我々が直面している問題の ほんの一面に過ぎません

How often do we hear about a breach

どれだけの情報漏えい事件に

followed by, "... it was the result of a sophisticated nation-state attack?"

「単一民族国家による高度な攻撃の結果…」 という説明がされているでしょうか？

Well, often that is companies not being willing to own up

大抵の場合 これは企業が 自社の情報セキュリティ管理の甘さを

to their own lackluster security practices.

認めるのを渋っているだけです

There is also a widely held belief

また 広く抱かれた このような通念があります

「攻撃を単一民族国家のせいにすれば

that by blaming an attack on a nation-state,

you are putting regulators at bay --

少なくとも 一定期間は

at least for a period of time.

規制当局を遠ざけられる」

So where is all of this coming from?

では これらの攻撃は一体 どこから来るのでしょう？

The United Nations estimates that 80 percent of it

国連の推定では サイバー攻撃の80パーセントは

is from highly organized and ultrasophisticated criminal gangs.

高度に組織化され かつ 非常に優れた犯罪集団によるものです

To date,

今日までに

this represents one of the largest illegal economies in the world,

サイバー犯罪は 世界最大の闇経済の一つとなり

topping out at, now get this,

その規模は 今や頂点に達し

445 billion dollars.

4450億ドルにもなります

Let me put that in perspective for all of you:

この数値を相対的に考えてみましょう

445 billion dollars is larger than the GDP

4450億ドルという数値は

世界160か国のGDPよりも大きく

of 160 nations,

including Ireland, Finland, Denmark and Portugal,

アイルランドやフィンランド デンマーク ポルトガルなどのGDPを

to name a few.

超える数値です

So how does this work?

では その仕組みとは？

How do these criminals operate?

犯罪者たちの手口とは？

Well, let me tell you a little story.

一例をお話します

About a year ago,

約１年前に

our security researchers were tracking

弊社の調査員たちは 金融機関を狙ったトロイの木馬で

a somewhat ordinary but sophisticated banking Trojan called the Dyre Wolf.

平凡に見えて実は巧妙な 「Dyre Wolf」を調査しました

The Dyre Wolf would get on your computer

Dyre Wolfはフィッシングメール内の

via you clicking on a link in a phishing email

リンクを不用意に開いてしまった人の

パソコンに感染します

that you probably shouldn't have.

It would then sit and wait.

その後すぐには何もせず

It would wait until you logged into your bank account.

標的が銀行のサイトに ログインするのを待ちます

And when you did, the bad guys would reach in,

ログインすると

犯罪者が認証情報を盗み取り

steal your credentials,

and then use that to steal your money.

そして口座から預金を盗むのです

This sounds terrible,

ひどい話に聞こえますが

but the reality is, in the security industry,

情報セキュリティ業界では

this form of attack is somewhat commonplace.

この類のサイバー攻撃は よくあることです

However, the Dyre Wolf had two distinctly different personalities --

けれどもDyre Wolfには 大きく異なる二つの人格があります

one for these small transactions,

一つは小口取引が対象です

but it took on an entirely different persona

ところが 大口の電信送金をする事業者に対しては

if you were in the business of moving large-scale wire transfers.

全く別の人格になるのです

Here's what would happen.

例えば こんなことが起きます

You start the process of issuing a wire transfer,

電信送金の処理を始めると

and up in your browser would pop a screen from your bank,

ブラウザーに銀行からの ポップアップ画面が開き

indicating that there's a problem with your account,

口座に問題があると 表示されます

and that you need to call the bank immediately,

そして画面にある セキュリティ担当部門の番号に

along with the number to the bank's fraud department.

すぐに問い合わせるように 誘導されます

So you pick up the phone and you call.

そこであなたは電話をかけます

And after going through the normal voice prompts,

その後 自動音声ガイダンスを経て

you're met with an English-speaking operator.

オペレーターが英語で対応します

「はい Altoro Mutual 銀行です ご用件は何でしょうか？」

"Hello, Altoro Mutual Bank. How can I help you?"

And you go through the process like you do every time you call your bank,

あなたは銀行に電話口で いつもするように

of giving them your name and your account number,

名前と口座番号を伝え

going through the security checks to verify you are who you said you are.

本人確認のための セキュリティチェックを終えます

Most of us may not know this,

大抵の人は知りませんが

but in many large-scale wire transfers,

多額の電信送金の多くは

it requires two people to sign off on the wire transfer,

２人の承認が必要なので

so the operator then asks you to get the second person on the line,

オペレーターは もう１人 電話に出るように求めます

and goes through the same set of verifications and checks.

そして同様の認証作業を終えます

Sounds normal, right?

普通のことですよね？

Only one problem:

一つだけ問題があります

you're not talking to the bank.

オペレーターは偽者なのです

You're talking to the criminals.

相手は犯罪者です

They had built an English-speaking help desk,

英語のヘルプデスクや

fake overlays to the banking website.

銀行サイトの偽ページを 用意していたのです

And this was so flawlessly executed

これが実に非の打ち所なく遂行され

that they were moving between a half a million

１回につき 50万から150万ドルが

and a million and a half dollars per attempt

into their criminal coffers.

犯罪者の金庫へと動くのです

These criminal organizations operate

これら犯罪集団の運営は

like highly regimented, legitimate businesses.

まるで厳格に統制された 正当な企業さながらです

Their employees work Monday through Friday.

従業員たちは 月曜から金曜まで勤務し

They take the weekends off.

週末は休みます

How do we know this?

なぜ分かるのか？

We know this because our security researchers see

それは弊社の 情報セキュリティ調査員たちが

金曜の午後にマルウェアが 急増するのを何度も見たからです

repeated spikes of malware on a Friday afternoon.

The bad guys, after a long weekend with the wife and kids,

悪人たちは 妻や子供と週末を過ごした後

come back in to see how well things went.

仕事に戻って 標的がどうなったかを確認します

The Dark Web is where they spend their time.

彼らの活動場所は ダークウェブといいます

That is a term used to describe the anonymous underbelly of the internet,

サーフェスウェブに対して インターネットの底部を指す用語です

where thieves can operate with anonymity

この場所で犯罪者たちは匿名で

and without detection.

人知れず活動できます

Here they peddle their attack software

ここで彼らは 悪意のあるソフトウェアを密売し

and share information on new attack techniques.

新たな攻撃手法について 情報を共有します

You can buy everything there,

ここでは何でも購入できます

from a base-level attack to a much more advanced version.

初歩的な攻撃レベルの商品から 非常に高度なものまで

In fact, in many cases, you even see

実際 多くの場合において

gold, silver and bronze levels of service.

サービスのレベルさえも ピンからキリまであります

You can check references.

評判を確かめたりもできます

You can even buy attacks

商品の中には

that come with a money-back guarantee --

返金保証付きのものまであります

(Laughter)

(笑)

if you're not successful.

攻撃が成功しなくても安心です

Now, these environments, these marketplaces --

さて このような環境も マーケットプレイスも

they look like an Amazon or an eBay.

見た目は まるでアマゾンかイーベイです

You see products, prices, ratings and reviews.

商品やその値段 評価やレビューを見ることができます

Of course, if you're going to buy an attack,

当然ながら もしサイバー攻撃商品を買うなら

you're going to buy from a reputable criminal with good ratings, right?

評価の高い信頼できる犯罪者から 買いますよね？

(Laughter)

(笑)

This isn't any different

新しいレストランに行く前に

than checking on Yelp or TripAdvisor before going to a new restaurant.

Yelpやトリップアドバイザーを見るのと 何ら変わりありません

So, here is an example.

一例として

This is an actual screenshot of a vendor selling malware.

これはマルウェア販売者のページの 実際のスクリーンショット画像です

Notice they're a vendor level four,

販売者レベルは４

they have a trust level of six.

信頼レベルは６です

They've had 400 positive reviews in the last year,

昨年は 400件の肯定的なレビューを獲得し

and only two negative reviews in the last month.

先月の否定的なレビューは たった２件でした

We even see things like licensing terms.

ライセンス条項だってあります

Here's an example of a site you can go to

これは身元を変えたくなった時に

if you want to change your identity.

訪れるサイトの一例です

They will sell you a fake ID,

売られているのは偽の身分証明書や

fake passports.

偽造パスポートです

But note the legally binding terms for purchasing your fake ID.

でもここ 偽の身分証明書を買うのに 法的拘束力を持つ条項があります

Give me a break.

冗談も大概にしてほしいものです

What are they going to do -- sue you if you violate them?

一体何のつもりでしょう 契約違反の際に訴えるとか？

(Laughter)

(笑)

This occurred a couple of months ago.

これは数か月前に発生した事例です

One of our security researchers was looking

弊社の情報セキュリティ調査員が

うちが突き止めた アンドロイドを標的とする マルウェアアプリを調べていました

at a new Android malware application that we had discovered.

It was called Bilal Bot.

「Bilal Bot」という製品です

調査員が書いたブログでは

In a blog post,

she positioned Bilal Bot as a new, inexpensive and beta alternative

Bilal Botの評価として 犯罪の闇世界では普及している—

to the much more advanced GM Bot

ずっと高度な製品GM Botを廉価にした—

that was commonplace in the criminal underground.

ベータ段階の新製品という 位置付けにしました

Bilal Botの開発者たちは このレビューの内容が不満でした

This review did not sit well with the authors of Bilal Bot.

So they wrote her this very email,

そこで調査員に 送ってきたメールがこれです

pleading their case and making the argument

先方なりの言い分を述べ 「あなたが批評したのは

that they felt she had evaluated an older version.

旧バージョンではないか」 と主張しました

They asked her to please update her blog with more accurate information

そして より正確な内容に ブログを更新するよう求め

and even offered to do an interview

自分らが開発したマルウェアが いかに

to describe to her in detail

競合製品と比べて ずっと優れているのかを

how their attack software was now far better than the competition.

詳細に説明したいと インタビューを申し出ました

So look,

いいですか

you don't have to like what they do,

彼らがしている事に 好感を持つ必要はありませんが

but you do have to respect the entrepreneurial nature

その取り組みの根幹にある 起業家精神は

of their endeavors.

敬意に値します

(Laughter)

(笑)

So how are we going to stop this?

では こういったことを 阻止するにはどうするか？

It's not like we're going to be able to identify who's responsible --

とは言え 黒幕を特定することは 不可能でしょう

remember, they operate with anonymity

いいですか あちらは法の及ぶ範囲を超えて

and outside the reach of the law.

匿名で活動していることをお忘れなく

We're certainly not going to be able to prosecute the offenders.

犯人を告訴することは まずできません

I would propose that we need a completely new approach.

ですから私は 我々には全く新しい 取り組み方が必要であると提言します

And that approach needs to be centered on the idea

その核心に据えるべきは 悪人たちの収益構造に

that we need to change the economics for the bad guys.

打撃を与える必要がある という考え方です

この仕組みを把握するために 例えとして

And to give you a perspective on how this can work,

let's think of the response we see to a healthcare pandemic:

伝染病が大流行した場合の 対処法について考えてみましょう

SARS, Ebola, bird flu, Zika.

例えばSARSやエボラ出血熱 鳥インフルエンザやジカ熱です

What is the top priority?

何を最優先にしますか？

It's knowing who is infected and how the disease is spreading.

感染したのは誰か そして感染が どう拡大しているのかを知ることです

Now, governments, private institutions, hospitals, physicians --

さてここで 政府や民間組織 病院や医師たちは

everyone responds openly and quickly.

総力を挙げてオープンに そして迅速に対応します

This is a collective and altruistic effort

このような 集団での利他的な努力は

to stop the spread in its tracks

病の蔓延を食い止める目的や

and to inform anyone not infected

感染していない人たちには

how to protect or inoculate themselves.

予防法や予防接種の受け方を 知らせるために行われます

Unfortunately, this is not at all what we see in response to a cyber attack.

残念なことに サイバー攻撃に対する 現行の対応は全く別物です

Organizations are far more likely to keep information on that attack

組織はサイバー攻撃に関する情報を 公開せずにおく傾向がずっと強いのです

to themselves.

Why?

なぜでしょう？

Because they're worried about competitive advantage,

その組織にとっての 競争上の優位性や

litigation

訴訟あるいは

or regulation.

法規制を気にするからです

We need to effectively democratize threat intelligence data.

情報セキュリティの脅威情報は 効果的に民主化する必要があります

We need to get all of these organizations to open up and share

これらすべての組織に 溜め込んだ非公開情報を

what is in their private arsenal of information.

開示し共有してもらう必要があります

The bad guys are moving fast;

悪人たちの動きは素早いので

we've got to move faster.

我々は更に迅速に動く必要があります

And the best way to do that is to open up

その最善の方法は 最新状況のデータを開示し

and share data on what's happening.

そして共有することです

Let's think about this in the construct of security professionals.

情報セキュリティ専門家とは どんな人なのか考えてみましょう

Remember, they're programmed right into their DNA to keep secrets.

DNAにまで 秘密保持が 組み込まれているような人たちですよね

We've got to turn that thinking on its head.

その思想を 覆さなくてはなりません

我々は 政府や民間組織

We've got to get governments, private institutions

and security companies

そして情報セキュリティ企業に

willing to share information at speed.

進んで迅速に情報を 共有してもらわなくてはなりません

And here's why:

というのも

because if you share the information,

もしもあなたが情報を共有すれば

it's equivalent to inoculation.

それは予防接種に相当します

And if you're not sharing,

共有しないなら

あなたも問題の一部です

you're actually part of the problem,

because you're increasing the odds that other people could be impacted

同じ攻撃方法で 他の人が被害に遭う可能性を

by the same attack techniques.

高めていることになるからです

But there's an even bigger benefit.

情報共有には 更に大きな利点があります

By destroying criminals' devices closer to real time,

ほぼリアルタイムで 犯罪手段に対策を打つことになり

we break their plans.

犯行計画を阻止できます

We inform the people they aim to hurt

犯罪者たちの予想を はるかに超える速さで

far sooner than they had ever anticipated.

標的になった人々に連絡できます

We ruin their reputations,

犯罪者の信用に傷をつけ

we crush their ratings and reviews.

評価や評判に泥を塗ります

We make cybercrime not pay.

サイバー犯罪が 儲からないようにするのです

We change the economics for the bad guys.

悪人たちの経済情勢を変えるわけです

But to do this, a first mover was required --

しかし 誰かが 先陣を切らねばなりません

someone to change the thinking in the security industry overall.

そして情報セキュリティ業界全体の 考え方を変えるのです

About a year ago,

およそ１年前に

同僚たちと一緒に ある過激な構想を練りました

my colleagues and I had a radical idea.

What if IBM were to take our data --

もしも我々IBMが 社内で保有するデータを取り出し—

we had one of the largest threat intelligence databases in the world --

情報セキュリティの脅威に関する 世界最大級のデータベースです—

and open it up?

中を見てみたならば？

It had information not just on what had happened in the past,

そこには 過去に起きたことばかりでなく

but what was happening in near-real time.

ほぼリアルタイムで起きている 情報も含まれていました

What if we were to publish it all openly on the internet?

もしもインターネット上で 全てを公開したらどうなるか？

As you can imagine, this got quite a reaction.

ご想像通り かなりの反響が起きました

First came the lawyers:

まずは弁護士が来て

What are the legal implications of doing that?

「法的に問題は起きないのか」 と聞かれました

Then came the business:

次に企業が来て

What are the business implications of doing that?

「商業面で影響はないのか」 と聞かれました

And this was also met with a good dose

さらに大変多くの人たちから

of a lot of people just asking if we were completely crazy.

正気を失ったんじゃないか と言われました

But there was one conversation that kept floating to the surface

しかし どんな会話においても

in every dialogue that we would have:

必ず話題にのぼる点がありました

the realization that if we didn't do this,

「もしもこれを試さなかったら

then we were part of the problem.

我々も問題の一部である」 という気づきです

So we did something unheard of in the security industry.

そこで 情報セキュリティ業界には 前例のなかったことをしました

We started publishing.

データの一般公開を始めたのです

Over 700 terabytes of actionable threat intelligence data,

セキュリティ脅威に関する 700テラバイトを超える対処可能なデータで

including information on real-time attacks

サイバー攻撃の リアルタイム情報も含まれ

that can be used to stop cybercrime in its tracks.

その足跡からサイバー犯罪を 止めるのに利用できます

And to date,

そして今までに

over 4,000 organizations are leveraging this data,

4000以上の組織が このデータを活用し

including half of the Fortune 100.

その中には『Fortune 100』企業の 半数が含まれます

And our hope as a next step is to get all of those organizations

我々が次段階として期待しているのは

これらの組織全てが戦いに加わり

to join us in the fight,

and do the same thing

我々と同じように

いつどのように攻撃されているか

and share their information

on when and how they're being attacked as well.

情報を共有してくれることです

We all have the opportunity to stop it,

サイバー犯罪を阻止する機会は 誰にでもあり

and we already all know how.

その手段も既に誰もが知っています

All we have to do is look to the response that we see

我々は 医療の世界で起こること—

in the world of health care,

疾病の流行にどう対処するかに

and how they respond to a pandemic.

倣うだけでいいのです

Simply put,

つまり

we need to be open and collaborative.

情報を開示し 協力し合うべきだということです

Thank you.

ありがとうございました

(Applause)

（拍手）