日本JTB被攻击 700万人信息泄露

  • A+
所属分类:分类阅读

日本JTB被攻击 700万人信息泄露

2016/06/15,日本最大的旅行社JTB股份有限公司宣布自己受到了未知黑客的攻击,多达793万份客户个人信息可能被窃取。攻击者伪装了一份供应商的机票邮件,诱使员工打开附件压缩包中的PDF文件,进而让攻击者得以植入木马,实施信息窃取动作。

编者注:以下内容翻译自日经computer 的ITpro。(日文表述真是很啰嗦,为了让大家尽可能看到原有内容,译文只做小幅度调整,以便读起来稍微通顺些)

JTB Corporation(JTB)于2016年6月14日发布通告,最大可能有793万份个人资料泄露的起源于巧妙伪装成客户的针对性攻击邮件(相关报导:“虽然没有泄露信息,还是向顾客致歉”、因793万人的信息有可能被泄露,JTB高桥社长谢罪)。

包含有效护照号码在内的大约4300人份个人信息有可能被泄露的案例在日本国内尚属首例。在当天的记者会见和会见后的采访中追寻事件原委。

事情是从是几个月前开始的(2016年3月15日)。攻击者向子公司i.JTB公开在网站的咨询邮箱发送了带有针对性攻击的邮件。
被入侵的网站是JTB旗下子公司i.JTB所属网站,包括rurubu.travel及JAPANiCAN.com,网站的业务主要是向来日旅游的外国人销售旅游产品,所以公司的邮箱会经常接收到各类供应商的咨询邮件,比如航空公司和旅馆等。子公司i.JTB有250位操作员来处理这些咨询。

下图是根据采访编辑部绘制的攻击路径概要图

日本JTB被攻击 700万人信息泄露

伪装成咨询邮件,PDF的恶意软件进行攻击

据JTB的今井敏行集团总部董事国内事业本部长(CS推进、Web战略担当)介绍,收到的有针对性攻击邮件“伪装的非常巧妙,被打开也是没有办法的事”。邮件软件上显示的邮件地址域名是一家航空公司的域名,这家供应商一直与i.JTB有业务往来,只不过显示的用户名不是已知员工的。

邮件名是“飞机票存根 附件通知”,至于正文的内容,在见面会当天的答复是“没有”,但在6月15日JTB宣传室更正为“有正文。正是该内容让工作人员误认为是供应商的来信”,“咨询的内容也没有什么特别奇怪的地方,只是一眼看不出来(是不是攻击邮件)”,今井氏先生表示。

附件是“压缩文件,压缩文件中包含了PDF文件”(JTB宣传室),据说PDF文件是飞机票的电子票。系统操作人员将该压缩邮件打开后,由于没有找到该人的申请表,回信说明了“没有找到相关记录”。

然而操作人员没有注意到一个现象,系统返回了一份错误邮件“邮件无法送达”(今井先生)。攻击者伪装了邮件地址,真实的邮件地址与显示的发信人是不同的,发信源据说是海外的租赁服务器。“没有想到日常来往的邮件被监听了,看起来攻击者是一直在研究(旅行)行业”。

附件中包含了防病毒软件无法检测到的未知恶意程序,该恶意程序允许攻击者进行远程操作。JTB的金子和彦集团本部董事经营规划部长(经营规划�9�9IT规划�9�9事业开发担当)表示,该恶意软件已证实是“ELIRKS和PlugX的变种”。

Trend Micro将ELIRKS归入特洛伊木马类型,PlugX归入后门型。根据该公司公布的调查《国内有针对性网络攻击分析2016年版》中指出, 从Trend Micro截获的针对性攻击样本中抽取100份进行研究,在RAT(远程操作工具)类别中PlugX占41%(相关报道:具备巧妙隐蔽手段的针对性攻击工具“BKDR_PLUGX”),其次是2015年5月日本养老金机构遭受针对性攻击时使用的“EMDIVI”,占39%。

RAT入侵目标后,就会与攻击者事先准备的C&C(命令)服务器进行通信,接受攻击者命令,不断感染其他终端,进而窃取更多信息。调查报告指出,(内网中受控制的机器与C&C(命令)服务器之间的通信不容易被察觉。以前的RAT由于会使用独特的端口与C&C(命令)服务器通信,所以很容易被检测出来,但如今的RAT会使用80端口和HTTP这样的常用端口和通信协议的组合,以躲避检测。

在后续的一段时间,i.JTB公司受感染的服务器和PC分别增加到了2台和6台。针对性攻击在某些情况下会通过劫持活动目录服务器来加速扩散,但据说本次事件中目录服务器并未被劫持。

检测到外部通信也无法做全部阻断

PC被感染4天后(3月19日),受i.JTB委托的第三方安全公司向JTB集团开发应用系统的信息系统提交了报告,报告称i.JTB的某台Web服务器有向外发送可疑通信的动作,但发送的远程目标服务器地址并不在已有C&C服务器黑名单中,只是根据数据分析结果判断为可疑通信,而且通信目标地址是在“海外”(金子先生)。

第二天(20日),i.JTB将Web服务器及公司内部网络进行了物理隔离,同时将可疑的远端目标地址加入了Web服务器的黑名单。但直到24日为止,还是不断出现新的可疑通信,这些发向外部的通信路径比较复杂,需要不断加入黑名单。

“这个过程一直持续到25日,浪费了很多时间”,金子先生说,“而且这个阻断动作一直没有向JTB报告”。关于i.JTB在20日未采取全面阻断的理由做了如下说明,“没有意识到针对性攻击邮件是起因,对于事件的严重程度认识不够充分。如果在20日进行全阻断的话,无论从技术上还是从业务上都有可能避免遭受损失”。

随后,JTB信息系统开始对i.JTB所有的PC、服务器及各类设备进行调查。4月1日,发现了攻击者为盗取数据而做的准备痕迹。
攻击者在3月21日登录了“实用数据库”,该数据库储存了面向顾客的促销邮件、提供信息、问卷调查等数据,攻击者从其中的870万人数据中提取了790万份信息并生成CSV文件。但这个生成文件的动作并没有在数据库服务器上进行,而是放到了给公司内各服务器发布商品信息的控制服务器上,并于当天删除了这个CSV文件。

“实用数据库并没有加密。虽然数据库访问权限只有管理员一个人有,但攻击者并不是从管理员PC盗取数据”,JTB负责人表示,“攻击者为何成功访问了实用数据库,到目前为止还不清楚”。公司有25名公司员工拥有实用数据库的BI(business intelligence)工具的账号,但目前看起来与本次事件的关联性不高。

随后向总部报告,给客户通知,与警方沟通工作

JTB信息系统和i.JTB与其安全公司展开通力协作,一方面清除恶意软件,另一方面努力恢复被删除的CSV文件,以便持续跟踪分析法访问以及展开应对工作。直到5月13日,才确认CSV文件包含有个人信息。然而,距离确认CSV文件被生成,已经过去了1个多月的时间。

至此JTB集团总部终于在5月13日成立了事故对策总部。“实际上该事件升级到集团总部是在5月13日数日之前”,金子先生表示,“而JTB高桥广行社长是在13日以后才知道的”。

金子先生称,复原的CSV数据需要规整,由于复原的数据有一部分缺损,“排列不规则很难辨别出具体客户信息”。据说,文件中的每个数据记录随机记录了姓名、出生年月等,较难查明具体客户身份。“目前阶段,在无法查明客户身份的情况下公布名单,只会导致不安和混乱,因此事故对策本部决定等可以查明客户身份后再对外公布该事件”。

6月10日CSV文件的复原工作完成,由此判断可能泄露的客户信息最多可能有793万份。由于“根据i.JTB全网调查结果,除了商品信息控制服务器外,没有找到攻击者其他生成文件的痕迹”,金子先生表示,“因此确信信息泄露的数量大约在793万份”。
由此事件进行扩大范围追踪,了解到从2007年9月28日至2016年3月21日之间,JTB的网站及rurubu.travel、JAPANiCAN.com、合作网站等在线预约一部分商品的使用者也受到影响。合作网站中受影响最大的估计是NTT DOCOMO。该公司在收到JTB的通告后,发表声明说,在这793万人中包含了使用“d travel”的约33万人。

在此期间,JTB于5月30日向警视厅进行了咨询,目前还未出现受害报告。“由于通信端在海外,日本无权搜查,且目前是有可能泄露,并未查明已经泄露出去,因此也只能是咨询阶段”,今井先生表示。对于从确认感染到咨询经过了2个月以上,今井先生表示“也许可以更早些”。

承认远程操作一事,但并非已泄露

金子氏认为,“攻击者远程访问个人信息并生成CSV文件是事实”,同时强调从调查该事件的安全公司接到了有可能泄露的报告, 「对于是否有被建议做阻断也需要做确认」。

另一方面,金子氏就公开声明中采用“有可能一部分个人信息被泄露”这一说法的理由,是“通信日志中没有找到相关记录,无法确定是否泄露出去了,因此采用了‘可能性’这一说法”。在见面会上也断言说,“到目前为止,也不认为有(数据)被外泄”。
通信日志没有找到相关记录的理由之一,是日志不充分。

i.JTB“通信出口和代理服务器的日志基本上都获取到了,但其中一部分没有拿到。但这并不是由于攻击使日志消失了”,金子先生表示。见面会后的采访中JTB负责人表示,“在某段通信路径中,获取到了异常通信,却没有获取到正常的通信”,金子先生认为日志获取方法和获取标准不一致归结于“没有目的性”,可见在各种Web网站运营过程中没有实现统一。

目前为止,JTB集团虽然有接收到针对性攻击邮件,但还未出现受害报告。在被问及到本次事件的整体重大课题时,金子先生反省到“作为保管顾客个人信息的公司,对于针对性攻击的认识和准备都还不足”,没有引入防御未知恶意软件入侵的沙盒产品等也是其中的原因之一。

统一安全管理体制不能忽视

在体制方面,JTB做的并不充分。虽然JTB“没有专门的安全部门,也没有相关统领部门”,金子先生表示,“但这并不意味着我们无计可施,面对日渐严重的安全威胁,需要采取相应对策”。例如,i.JTB从2年前就开始每月两次的针对性攻击邮件训练演习。“由于公司是通过网络来开展业务的,所以相关的演练工作是必须的,但这对于JTB集团来说做的太少了”。

并且JTB系统信息在2016年4月1日成立了CSIRT(安全事故对应小组)。如前所述, 4月1日也是发现攻击者留下痕迹的日子。“CSIRT一成立就要面对这个事情”,金子先生说,这对于JTB信息系统的CSIRT来说,将会面临苦战”。日本JTB被攻击 700万人信息泄露

出席公布信息泄露可能性记者见面会的JTB高桥广行社长(右)和今井敏行集团总部董事国内事业本部长(CS推进、Web战略担当)

虽然承认体制方面改进的滞后,但在见面会时,JTB并未将责任归结于当初打开邮件的系统操作人员。今井氏说,“严格来说,公司内部有明文规定‘禁止打开不明邮件’,即便是日常往来的供应商邮件,发件人不明的话,也不应该打开。然而,只是从这点来说的话,责难(打开邮件的)系统操作员,也是有些牵强的”。

由于公司内部规定中并没有禁止打开未知邮件发送人邮件的要求,因此“并不能说这次打开邮件是违反了公司规定。但是有必要从根本上重新修改规定”,今井先生表示。另一方面,被问及到关于公司内部的处分时,高桥广行社长说,“以担当者、管理责任者在内的全体相关人员为对象,公司内部进行相应调查,并根据公司规定进行严肃处理”。

高桥社长在记者见面会之初,就首先致歉说,“给客户和相关人员带来了麻烦和困扰,对此深感歉意”。社长还声明,会于7月1日成立以专任董事为首的IT安全专门统括部门,为进一步提高集团整体的IT安全而努力。

会议结束时,社长也再次强调了强化安全理念,“今后会更加强化IT安全,不遗余力去防止安全事件再次发生”。对于有可能被泄露信息的793万人,会在1个月通知完毕,同时为挽回失去的信任而继续努力。

发表评论

您必须才能发表评论!