公開鍵認証を悪用して取引先に不正アクセス、会社員男性逮捕

埼玉県警サイバー犯罪対策課は2021年7月27日、契約関係でトラブルに発展した取引先に対する怨恨から取引先のホームページ運営用サーバーに不正アクセスを仕掛け、サイトに閲覧障害を発生させたとして、25歳の男性を不正アクセス禁止法違反の容疑で再逮捕しました。

情報によると、逮捕された男性は神奈川県に住む会社員で、副業としてホームページ制作等を請け負っていました。ところがホームページ高速化に関する業務契約を進める上で、契約先とトラブルに発展したため、2020年3月に契約先のホームページ運営用サーバーに不正アクセスを仕掛けた疑いが持たれているとのこと。

なお、男性は過去2回にわたって会社側に不正アクセスを仕掛けた疑いも持たれており、2021年6月と7月にそれぞれ逮捕。今回が3回目の逮捕になります。

自身の端末に秘密鍵設定し不正アクセス

埼玉県警によると、被害を受けた会社は運営用サーバーのログイン認証方法として、公開鍵認証と呼ばれる手法を取っていました。

公開鍵認証とは秘密鍵を持つ特定のパソコンからパスフレーズを入力することで、公開鍵を持つサーバーへのアクセスを可能にするシステムです。秘密鍵の設定を受けた特定端末を使用しなければアクセスできず、一般的なパスワード認証よりも強固なセキュリティを持つと知られています。

ところが、逮捕された男性はこのシステムを悪用するため、会社提供のパスワードを不正利用していました。自身の端末に秘密鍵を設定するとともにサーバー側に公開鍵を設置し、不正アクセスに及んだ疑いがあるとのことです。

埼玉県警は男性の逮捕が遅れた理由として、通信規格の違いを挙げています。

情報によると、男性が犯行に使用した端末のIPはIPv6と呼ばれる規格である一方、被害を受けた会社はIPv4を使用していたため、攻撃者の特定が困難であったとのこと。

なお、IPv4はこれまで使用されてきたIPアドレスですが、インターネットの普及に伴いアドレスの枯渇問題に直面しています。IPv6はこれにかわる実質無限のIPアドレスとして普及が進んでおり、現在ではIPv4とIPv6が混在している状況です。