ENISA 輸送セクターのサイバー脅威状況: まるちゃんの情報セキュリティ気まぐれ日記

June 2023
Sun	Mon	Tue	Wed	Thu	Fri	Sat
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30

2023.03.22

ENISA 輸送セクターのサイバー脅威状況

こんにちは、丸山満彦です。

ENISAが輸送に関するサイバー脅威の状況についてまとめた報告書を公表していますね。。。

この報告書は、2021年1月から2022年10月までのサイバーインシデントから航空、海上、鉄道、道路交通を標的としたサイバー攻撃を分析し、運輸セクターのサイバー脅威の実態に新たな洞察（主要な脅威、アクター、トレンド）をもたらすことを目的としているものとのことです。。。

● ENISA

・2023.03.21 ENISA Transport Threat Landscape

ENISA Transport Threat Landscape

ENISA 輸送の脅威状況

his report is the first analysis conducted by the European Union Agency for Cybersecurity (ENISA) of the cyber threat landscape of the transport sector in the EU. The report aims to bring new insights into the reality of the transport sector by mapping and studying cyber incidents from January 2021 to October 2022. It identifies prime threats, actors and trends based on the analysis of cyberattacks targeting aviation, maritime, railway and road transport over a period of almost 2 years.

本報告書は、欧州連合サイバーセキュリティ機関（ENISA）が、EUにおける運輸部門のサイバー脅威の状況について初めて実施した分析である。本報告書は、2021年1月から2022年10月までのサイバーインシデントをマッピングして研究することにより、運輸部門の実態に新たな洞察をもたらすことを目的としている。約2年間にわたる航空、海上、鉄道、道路交通を標的としたサイバー攻撃の分析に基づき、主要な脅威、アクター、トレンドを特定している。

・[PDF] ENISA Transport Threat Landscape

目次...

CONTENTS	目次
1. INTRODUCTION	1. 序文
2. CYBER THREATS TO THE TRANSPORT SECTOR	2. 運輸部門におけるサイバー脅威
2.1 OBSERVED ACTIVITY	2.1 観測された活動
2.2 PRIME THREATS	2.2 主要な脅威
2.3 THREAT ACTORS & MOTIVATION	2.3 脅威アクターと動機
2.4 IMPACT	2.4 影響
3. SECTOR ANALYSIS	3. セクター分析
3.1 AVIATION SECTOR	3.1 航空セクター
3.2 MARITIME SECTOR	3.2 海事セクター
3.3 RAILWAY SECTOR	3.3 鉄道セクター
3.4 ROAD SECTOR	3.4 道路セクター
3.5 CROSS SECTOR ATTACKS	3.5 クロスセクターアタック
4. CONCLUSIONS	4. 結論
ANNEX: MAJOR INCIDENTS	附属書：重大インシデント

エグゼクティブサマリー

EXECUTIVE SUMMARY	エグゼクティブサマリー
This is the first analysis conducted by the European Union Agency for Cybersecurity (ENISA) of the cyber threat landscape of the transport sector in the EU. The report aims to bring new insights into the reality of the transport sector by mapping and studying cyber incidents from January 2021 to October 2022. It identifies prime threats, actors and trends based on the analysis of cyberattacks targeting aviation, maritime, railway and road transport over a period of almost 2 years.	本報告書は、欧州連合サイバーセキュリティ機関（ENISA）が、EUにおける運輸部門のサイバー脅威の状況について実施した初の分析である。本報告書は、2021年1月から2022年10月までのサイバーインシデントをマッピングして研究することにより、運輸部門の実態に新たな洞察をもたらすことを目的としている。約2年間にわたる航空、海運、鉄道、道路交通を標的としたサイバー攻撃の分析に基づき、主要な脅威、アクター、トレンドを特定している。
During this period, the prime threats identified include:	この期間、特定された主要な脅威は以下の通りである。
• ransomware attacks (38%),	・ランサムウェア攻撃（38％）。
• data related threats (30%),	・データ関連の脅威（30％）。
• malware (17%),	・マルウェア（17％）。
• denial-of-service (DoS), distributed denial-of-service (DDoS) and ransom denial-of-service (RDoS) attacks (16%),	・サービス拒否（DoS）攻撃、分散型サービス拒否（DDoS）攻撃、身代金要求型サービス拒否（RDoS）攻撃 (16%),
• phishing / spear phishing (10%),	・フィッシング／スピアフィッシング（10％）。
• supply-chain attacks (10%).	・サプライチェーン攻撃（10％）。
During the reporting period, the threat actors with the biggest impact on the sector were state-sponsored actors, cybercriminals and hacktivists. We observed the following trends:	報告期間中、このセクターに最も大きな影響を与えた脅威の主体は、国家的な支援を受けたアクター、サイバー犯罪者、ハクティビストでした。以下のような傾向が見られた。
• Ransomware attacks became the prominent threat against the sector in 2022. Ransomware has been steadily increasing[1] and the transport sector has been affected similarly to the other sectors.	・ランサムウェア攻撃は、2022年に同セクターに対する顕著な脅威となった。ランサムウェアは着実に増加しており[1]、輸送セクターも他のセクターと同様の影響を受けている。
• Cybercriminals are responsible for the majority of attacks on the transport sector (54%), and they target all subsectors.	・サイバー犯罪者は輸送セクターへの攻撃の大部分（54%）を担っており、すべてのサブセクターを標的にしている。
• Threat actors will increasingly conduct ransomware attacks with not only monetary motivations¹.	・脅威の主体は,金銭的な動機だけでなく,ランサムウェア攻撃を行うことがますます増えていくでしょう1。
• The increased hacktivist activity targeting the transport sector is likely to continue.	・運輸部門を標的としたハクティビスト活動の活発化は今後も続くと思われる。
• The increasing rate of DDoS attacks targeting the transport sector is likely to continue.	・運輸部門を標的としたDDoS攻撃の割合が増加していることは,今後も続くと考えられる。
• The main targets of DDoS attacks by hacktivists are European airports, railways and transport authorities.	・ハクティビストによるDDoS攻撃の主な標的は,ヨーロッパの空港,鉄道,交通機関である。
• During this reporting period, we did not receive reliable information on a cyberattack affecting the safety of transport.	・この報告期間中,輸送の安全に影響を与えるサイバー攻撃に関する信頼できる情報は得られなかった。
• The majority of attacks on the transport sector target information technology (IT) systems. Operational disruptions can occur as a consequence of these attacks, but the operational technology (OT) systems are rarely being targeted.	・運輸部門に対する攻撃の大半は、情報技術（IT）システムを標的としている。これらの攻撃の結果、業務上の混乱が生じることがあるが、運用技術（OT）システムが狙われることはほとんどありません。
• Ransomware groups will likely target and disrupt OT operations in the foreseeable future¹.	・ランサムウェアグループは,当面の間,OTオペレーションを標的とし,混乱させる可能性が高いでしょう1。
The aviation sector is facing multiple threats, with data-related threats being the most prominent, coupled by ransomware and malware. Customer data of airlines and proprietary information of original equipment manufacturers (OEM) are the prime targeted assets of the sector. In 2022, there has been a rise in the number of ransomware attacks affecting airports. Fraudulent websites impersonating airlines have become a significant threat in 2022.	航空分野は複数の脅威に直面しており、中でもデータ関連の脅威は、ランサムウェアやマルウェアと相まって最も顕著である。航空会社の顧客データやOEM（相手先ブランド製造）の専有情報は、この分野の主要な標的資産となっている。2022年には、空港に影響を及ぼすランサムウェア攻撃の数が増加している。2022年には、航空会社を装った詐欺的なウェブサイトが重要な脅威となっている。
The maritime sector experiences ransomware, malware, and phishing attacks targeted towards port authorities, port operators, and manufacturers. State-sponsored attackers often carry out politically motivated attacks leading to operational disruptions at ports and vessels.	海事分野では、港湾局、港湾事業者、メーカーを標的としたランサムウェア、マルウェア、フィッシング攻撃が発生している。国家が支援する攻撃者は、政治的な動機で攻撃を行うことが多く、港湾や船舶の運用に支障をきたしている。
The railway sector also experiences ransomware and data-related threats primarily targeting IT systems like passenger services, ticketing systems, and mobile applications, causing service disruptions. Hacktivist groups have been conducting DDoS attacks against railway companies with an increasing rate, primarily due to Russia's invasion of Ukraine.	鉄道分野でも、主に旅客サービス、発券システム、モバイルアプリケーションなどのITシステムを標的としたランサムウェアやデータ関連の脅威が発生しており、サービスの中断を引き起こしている。ハクティビスト集団は、主にロシアのウクライナ侵攻の影響で、鉄道会社に対してDDoS攻撃を行う割合が増加している。
The road transport sector faces predominantly ransomware attacks, followed by data-related threats and malware. Automotive industry, especially OEM and tier-X suppliers, has been targeted by ransomware leading to production disruptions. Data-related threats primarily target IT systems to acquire customer and employee data as well as proprietary information.	道路交通セクターは、主にランサムウェア攻撃に直面しており、次いでデータ関連の脅威やマルウェアに直面している。自動車産業、特にOEMやTier-Xサプライヤーは、生産中断につながるランサムウェアの標的になっている。データ関連の脅威は、主にITシステムを標的として、顧客や従業員のデータ、専有情報を取得するものである。
There is a limited number of cyber incidents that cannot be placed in one specific subsector. These include general campaigns targeting the whole transportation sector in particular countries. These campaigns are often attributed to hacktivists and state-sponsored actors and are linked to geopolitical tensions.	特定のサブセクターに分類できないサイバーインシデントの数は限られている。これには、特定の国の運輸部門全体を標的とした一般的なキャンペーンが含まれる。このようなキャンペーンは、ハクティビストや国家に支援された行為者に起因することが多く、地政学的な緊張と関連している。
The report also highlights issues with the reporting of cyber incidents and the fact that we still have limited knowledge and information regarding such incidents. The analysis in this report indicates that publicly disclosed incidents are just the tip of the iceberg.	また、本報告書では、サイバーインシデントの報告に関する問題や、そうしたインシデントに関する知識や情報がまだ限られているという事実も強調している。本報告書の分析は、公に開示されたインシデントは氷山の一角に過ぎないことを示している。
^[1] ENISA Threat Landscape 2022	[1】ENISA 脅威状況 2022

結論...

4. CONCLUSIONS	4. 結論
In this report, we have performed a deep dive into the threat landscape of a particular sector, namely the transport sector. While the annual ENISA threat landscapes include sectorial analysis, the documents do not analyse the context of each sector in depth. In this report, we have tried to shed more light in the types of incidents, the actor motivations, the affected assets, the victims and the potential impacts to the transport sector. This information is often sector specific and can provide more valuable information for risk management to the cybersecurity professionals in the transport sector.	本報告書では、特定のセクター、すなわち運輸セクターの脅威ランドスケープについて深堀りを行いました。ENISAが毎年発表している脅威ランドスケープには、セクター別の分析が含まれているが、各セクターの背景を深く分析したものではありません。本報告書では、インシデントの種類、行為者の動機、影響を受ける資産、被害者、輸送部門への潜在的な影響について、より多くの光を当てることを試みました。このような情報は、多くの場合、セクター特有のものであり、運輸セクターのサイバーセキュリティ専門家にリスクマネジメントのためのより価値のある情報を提供することができます。
Ransomware attacks became the most significant threat against the sector during 2022, surpassing datarelated threats, which were the most significant threat in 2021	ランサムウェア攻撃は、2022年中に同セクターに対する最も重大な脅威となり、2021年に最も重大な脅威であったデータ関連脅威を上回った
. However, it is still assessed that ransomware groups remain opportunistic and relatively indiscriminate in their targeting. Recent months do not indicate that there has been any particular focus on the transport sector relative to other sectors. Ransomware has been steadily increasing[1] and the transport sector has been affected similarly to the other sectors.	. しかし、ランサムウェアグループは依然として日和見的であり、比較的無差別に標的を定めていると評価されている。ここ数カ月は、他のセクターと比較して、運輸セクターに特別な焦点が当てられていることを示すものではありません。ランサムウェアは着実に増加しており[1]、運輸部門も他の部門と同様に影響を受けている。
Our assessment is that threat actors will increasingly conduct ransomware attacks with not only monetary motivations66. An example is the ransomware attack by Belarusian hacktivists against the Belarusian state railway in January 2022[2]. Hacktivists will likely be attracted by the effectiveness and the impact that ransomware attacks can have and the media attention they attract. The scale and sophistication of hacktivists’ ransomware operations are not expected to be as high as the ones conducted by cybercriminals. Finally, governmental organisations are very likely the primary targets of hacktivists’ ransomware operations.	私たちの評価では、脅威の主体が金銭的な動機だけでなく、ランサムウェア攻撃を行うことがますます増えていくだろうと考えている66。その例として、2022年1月にベラルーシのハクティビストがベラルーシ国鉄に対して行ったランサムウェア攻撃がある[2]。ハクティビストは、ランサムウェア攻撃がもたらす効果や影響、メディアの注目を集めることに魅力を感じているのだろう。ハクティビストのランサムウェア作戦の規模や洗練度は、サイバー犯罪者が行うものほど高くはないと予想される。最後に、ハクティビストのランサムウェア作戦の主な標的は、政府組織である可能性が非常に高い。
The significant increase in hacktivist activity, which followed Russia’s unprovoked invasion of Ukraine, and the increasing rate of DDoS attacks are highly likely to continue. Hacktivist elements with pro-Russian/antiNATO sentiments have been conducting DDoS attacks. These attacks targeted several European nations, perceived by the groups to be assisting Ukraine in its war effort. This increasing volume of DDoS attacks against the European transport sector was primarily observed in Q2 and Q3 2022. The main targets were European airports, railways and transport authorities. Several examples are listed below (see Annex for further information).	ロシアのウクライナへの無謀な侵攻に伴うハクティビストの活動の大幅な増加や、DDoS攻撃の増加傾向は、今後も続く可能性が高いと思われる。親ロシア・反NATOの感情を持つハクティビスト集団がDDoS攻撃を実施している。これらの攻撃は、ウクライナを支援していると思われる欧州諸国を標的としている。ヨーロッパの輸送部門に対するこのDDoS攻撃の増加量は、主に2022年第2四半期と第3四半期に観測された。主な標的は、欧州の空港、鉄道、交通当局であった。いくつかの例を以下に示します（詳細については附属書を参照）。
• In April 2022 pro-Russia hacker group Killnet claimed to be behind attacks on Romanian government websites, including railway transport operator CFR Calatori⁶⁸.	・2022年4月、親ロシア派のハッカーグループKillnetが、鉄道輸送事業者CFR Calatori68を含むルーマニア政府のウェブサイトへの攻撃の背後にいると主張した。
• In May 2022 Czechia’s Directorate of Roads and Highways was targeted with DDoS attacks by Killnet, resulting in disruption to web-based services[3].	・2022年5月、チェコの道路・高速道路総局がKillnetによるDDoS攻撃の標的となり、ウェブベースのサービスに支障をきたす結果となった[3]。
• In May 2022 Several Italian transport organisations were targeted with DDoS attacks by Legion - Cyber Spetsnaz RF[4].	・2022年5月、イタリアのいくつかの輸送機関がLegion ・Cyber Spetsnaz RFによるDDoS攻撃の標的にされた[4]。
• In June 2022 Killnet claimed to have disrupted the website of Lithuanian Railways, preventing passengers from purchasing train tickets online[5].	・2022年6月、Killnetはリトアニア鉄道のウェブサイトを破壊し、乗客がオンラインで列車のチケットを購入できないようにしたと主張している[5]。
• In June 2022 Latvian passenger train company SJSC was targeted with DDoS attacks, likely by pro-Russian hacktivists[6].	・2022年6月、ラトビアの旅客鉄道会社SJSCは、親ロシア派のハクティビストによるものと思われるDDoS攻撃で標的にされた[6]。
• In July 2022 NoName057 targeted two Lithuanian airports with DDoS attacks[7].	・2022年7月、NoName057はリトアニアの2つの空港をDDoS攻撃の標的にした[7]。
• In August 2022 Killnet claimed responsibility for attacks to more than 200 state and private Estonian institutions, including Estonia Railways[8].	・2022年8月、Killnetは、エストニア鉄道を含む200以上のエストニアの国営および民間機関への攻撃の責任を主張した[8]。
• In August 2022 a pro-Russia hacker group known as the Cyber Army of Russia targeted the Ukrainian government’s Department of Transport Safety.	・2022年8月、Cyber Army of Russiaとして知られる親ロシア派のハッカー集団が、ウクライナ政府の交通安全局を標的とした。
Even though pro-Russian hacktivists continue to target transport organisations in Ukraine and neighbouring countries, the capabilities of most pro-Russian hacktivists remain low and are largely limited to DDoS and defacement attacks. On the other hand, hacktivists supporting Ukraine have been conducting DDoS and ‘hack and leak’ operations. Some examples include the following.	親ロシア派のハッカー集団がウクライナや近隣諸国の交通機関を標的にし続けているとはいえ、ほとんどの親ロシア派のハッカー集団の能力は依然として低く、DDoS攻撃や改ざん攻撃にほぼ限定されている。一方、ウクライナを支援するハクティビストは、DDoSや「ハック＆リーク」作戦を展開している。その例として、以下のようなものがある。
• In March 2022 hacktivist collective Anonymous (presumably) carried out an attack on the Russian Federal Air Transport Agency, deleting approximately 65 terabytes of data[9].	・2022年3月、ハクティビスト集団アノニマス（推定）は、ロシア連邦航空輸送庁に対して攻撃を行い、約65テラバイトのデータを削除した[9]。
• In April 2022 Anonymous-linked group GhostSec claimed to have accessed an IT system of Metrospetstekhnika[10].	・2022年4月、アノニマスに連なるグループGhostSecが、MetrospetstekhnikaのITシステムにアクセスしたと主張[10]。
• In August 2022 Anonymous claimed to have hacked Yandex Taxi, causing a massive traffic jam in Moscow[11].	・2022年8月、AnonymousはYandex Taxiをハッキングしたと主張し、モスクワで大規模な交通渋滞を引き起こした[11]。
• In September 2022 transport in Novosibirsk was affected as hacker security group Team Onefist disrupted traffic[12].	・2022年9月には、ハッカーセキュリティグループTeam Onefistが交通を妨害したため、ノボシビルスクの輸送に影響が出た[12]。
The majority of attacks to the transport sector target IT systems and can result in operational disruptions. However, we have not received reliable information on a cyber-attack affecting the safety of transport.	運輸部門への攻撃の大半はITシステムを標的としており、業務に支障をきたす可能性がある。しかし、輸送の安全に影響を与えるサイバー攻撃に関する信頼できる情報は得られていない。
Ransomware groups will likely target and disrupt OT operations in the foreseeable future⁶⁶. The factors contributing to this assessment are:	ランサムウェアグループは、予見可能な将来において、OTオペレーションを標的とし、混乱させる可能性が高い66。この評価の要因は以下の通りである。
• the ongoing digital transformation in the transport sector and the increased connectivity between IT and OT networks;	・輸送部門におけるデジタル変革の進行と,ITとOTのネットワーク間の接続性の向上。
• the increased urgency to pay ransom to avoid any critical business and social impact;	・ビジネスや社会への重大な影響を回避するために身代金を支払う緊急性が高まっていること。
• the ongoing rebranding of ransomware groups, which increases the chances of malware blending and the development of capabilities to target and disrupt OT networks;	・ランサムウェアグループのブランド再構築が進んでいるため,マルウェアが混在し,OTネットワークを標的として破壊する能力が開発される可能性が高まっていること。
• Russia’s military aggression against Ukraine, as ransomware groups are taking sides and are likely to conduct retaliatory attacks against critical western infrastructure;	・ロシアのウクライナに対する軍事侵攻。ランサムウェアグループが味方となり,西側の重要なインフラに対して報復攻撃を行う可能性が高いためである。
• the increase in the number of newly identified vulnerabilities in OT environments.	・OT環境において新たに特定された脆弱性の数の増加。
The analysis of the ransomware threat landscape from May 2021 to June 2022 resulted in some conclusions that can be regarded as lessons for the community.	2021年5月から2022年6月までのランサムウェアの脅威状況を分析した結果、コミュニティにとっての教訓とみなせる結論がいくつか得られた。
While we have not observed notable attacks on global positioning systems, the potential effect of this type of threat to the transport sector remains a concern. Jamming and spoofing of geolocation data could affect their availability and integrity, affecting transport sector operations. This type of attack requires further analysis in the future.	全地球測位システムに対する目立った攻撃は観測されていませんが、この種の脅威が輸送部門に及ぼす潜在的な影響については、依然として懸念がある。地理位置情報データの妨害やなりすましは、その可用性と完全性に影響を与え、運輸部門の業務に影響を与える可能性がある。この種の攻撃は、今後さらに分析が必要である。
When it comes to mitigating threats which target the transport sector, readers may consult the recommendations and security measures included in Annex D of the ENISA Threat Landscape 2022^[13]. For each threat type, specific recommendations are provided and mapped to security measures that are part of international standards used by entities under the NIS Directive, including transport organizations^[14].	運輸部門を標的とする脅威の軽減に関しては、読者はENISA Threat Landscape 2022[13]の附属書Dに含まれる推奨事項とセキュリティ対策を参考にすることができます。脅威の種類ごとに、具体的な推奨事項が提示され、輸送機関を含むNIS指令に基づく事業者が使用する国際標準の一部であるセキュリティ対策にマッピングされている[14]。
In general, cyberattacks are rarely reported, especially those with non-significant impact or near misses. Most organisations prefer to deal with the problem internally and avoid bad publicity. Some countries have laws regulating the mandatory reporting of incidents, but in most cases a security attack is first disclosed by the attacker. In the EU, the arrival of the revised NIS2 directive[15] and the enhanced notification provisions for security incidents is expected to support a better understanding of relevant incidents.	一般に、サイバー攻撃はほとんど報告されず、特に重大でない影響やニアミスが報告されることが多い。ほとんどの組織は、問題を内部で処理し、悪い評判を避けることを好む。インシデントの報告義務化を規制する法律がある国もあるが、ほとんどの場合、セキュリティ攻撃は攻撃者が最初に公表するものである。EUでは、改正NIS2指令[15]の登場とセキュリティインシデントの通知規定の強化により、関連するインシデントの理解を深める支援が期待されている。
The lack of reliable data from targeted organisations makes it very hard to fully understand the problem or even know how many cyberattacks on the transport sector actually occur. Even using the data from the web pages of threat actors (an undeniably unreliable source), it is very hard to keep track of the actual number of attacks. The most important information that is missing is the technical explanation as to how the attackers obtained access to the targets. This is usually private data that describes the security posture of the target, so it is never shared with the public. As a consequence, our learning as a community of the problems to be solved remains fragmented and isolated.	標的となる組織からの信頼できるデータがないため、問題を完全に理解することは非常に困難であり、運輸部門に対するサイバー攻撃が実際にどれだけ発生しているのかさえ知ることができない。脅威行為者のウェブページからのデータ（紛れもなく信頼できないソース）を使用しても、実際の攻撃回数を把握することは非常に困難である。欠落している最も重要な情報は、攻撃者がターゲットへのアクセスをどのように獲得したかに関する技術的な説明である。これは通常、ターゲットのセキュリティ態勢を説明するプライベートなデータであるため、一般に共有されることはない。その結果、解決すべき問題についてのコミュニティとしての学習は、断片的で孤立したままになっている。
Moreover, the effects of cross sector dependencies could be of particular interest to the transport sector. We would require a more detailed analysis of how cyberattacks targeting the energy and telecommunications sectors could affect transport or how an attack on one means of transport could cause a disruption to another means of transport.	さらに、セクターを超えた依存関係の影響は、運輸セクターにとって特に興味深いものである可能性がある。エネルギーや通信部門を標的としたサイバー攻撃がどのように輸送に影響を与えるか、あるいはある輸送手段への攻撃がどのように別の輸送手段に混乱をもたらすかについて、より詳細な分析が必要だろう。