2018年1月26日、仮想通貨取引業者であるコインチェックが、不正アクセスにより約580億円相当の仮想通貨を盗まれた(図1)。まだ記憶に新しい事件だろう。2017年以降、仮想通貨を狙ったネット犯罪は増加傾向にあり、国内で発生した事件として特に大きなインパクトを残した。

約580億円分の仮想通貨が流出した「コインチェック事件」
図1 2018年1月26日、仮想通貨取引業者のコインチェックは、同社のサーバーがハッキングされ、約580億円分の仮想通貨「NEM(ネム)」が盗まれたと発表した
[画像のクリックで拡大表示]

 ただ、攻撃者の標的は仮想通貨の所有者や取引業者だけではない。最近大流行の兆しを見せている「クリプトジャッキング」は、不特定多数のネットユーザーを巻き込む攻撃(図2)。その手口は実に狡猾だ。

他人のパソコンで仮想通貨を採掘させる「クリプトジャッキング」
図2 別の利用者のパソコンにマルウエアなどを実行させ、仮想通貨を発掘(マイニング)させる「クリプトジャッキング」という手口が流行している。感染するとCPUの使用率が上がるが、直接的な被害はないので気付きにくい
[画像のクリックで拡大表示]

他人のPCを無断使用

 仮想通貨の大半は、取引ごとに過去の記録を遡って承認する必要があり、膨大な計算処理が発生する。そのため、処理を実行して承認した端末には、成功報酬として新規分の仮想通貨が与えられる。この一連の処理が発掘作業に似ていることから「マイニング」と呼ばれる。

 マイニングを成功させるには、高い処理性能を備えた大規模なシステムが必要であり、個人のパソコンだけでは難しい。そこで攻撃者が目を付けたのが他人のパソコン。攻撃者自身または第三者のWebサイトに不正なスクリプトを埋め込んでおき、訪れるユーザーをマイニングの処理に強制参加させる。1台1台の処理能力は小さくても、参加台数が増えれば十分な処理量になるというわけだ。当然ながら、マイニングで獲得した報酬は攻撃者の懐に収まる。

 2017年以降、クリプトジャッキングを実装したサイトが国内で増えている(図3)。通常、クリプトジャッキングはJavaScriptで記述されているので、Webブラウザーを閉じれば停止する。実行中もCPUの使用率が上がるだけなので、一般ユーザーの目に見える不利益はない。こうした攻撃の隠密性もあって、マイニングに加担させられても、被害に気付きにくいのだ。ただし最近は、Webブラウザーを閉じても処理が停止しないよう、スクリプトを実行するWebページを隠すなど、手口が巧妙化している(図4)。

Webサイトを閲覧するだけで採掘に強制参加させられる
図3 違法な漫画配信サイトやアダルトサイトなどの一部は、HTMLにクリプトジャッキングのスクリプトが埋め込まれている。閲覧するだけでパソコンが仮想通貨の採掘に利用される恐れがある
[画像のクリックで拡大表示]
Webブラウザーを閉じても動作をやめない悪質サイトも
図4 通常のクリプトジャッキングは、Webブラウザーを閉じれば動作が停止する。ただ、悪質なサイトだと、スクリプトを埋め込んだページをデスクトップの領域外にポップアップ表示させて閉じられないようにする
[画像のクリックで拡大表示]

 クリプトジャッキングを防ぐには、JavaScriptを実行させないことだが、JavaScriptが必要なWebページも多い。Chromeの場合、拡張機能でWebページごとにJavaScriptをオン/オフできる(図5)。とはいえ、過信は禁物。怪しいと思うサイトには決してアクセスしないことだ。

JavaScriptをオン/オフできる拡張機能
図5 Chromeに拡張機能「Quick Javascript Switcher」を組み込むと、JavaScriptのオン/オフを即座に切り替えられるようになる
[画像のクリックで拡大表示]

この先は日経クロステック Active会員の登録が必要です

日経クロステック Activeは、IT/製造/建設各分野にかかわる企業向け製品・サービスについて、選択や導入を支援する情報サイトです。製品・サービス情報、導入事例などのコンテンツを多数掲載しています。初めてご覧になる際には、会員登録(無料)をお願いいたします。