シンガポール CSR 大統領選に向け立候補者、有権者、それぞれに向けてサイバー関連の注意喚起
こんにちは、丸山満彦です。
シンガポールでは9月1日の大統領選に向けて大詰めというところでしょう。
最近の選挙は、国外からの干渉や、選挙にかこつけたフィッシング等の問題もあるので、シンガポールのサイバーセキュリティ庁 (Cyber Security Agency) が、立候補者及び有権者に向けて注意喚起をしていますね。。。
米国では、選挙業務は重要インフラになっていますしね。。。
日本の選挙でも、こういう注意喚起をしてもよいかもですが、どうなんでしょうかね。。。言われなくてもわかっているんですかね。。。
有権者に向けたフィッシング等についての注意喚起
・2023.08.22 Advisory on Cybersecurity during Elections for Voters
Advisory on Cybersecurity during Elections for Voters | 有権者のための選挙中のサイバーセキュリティに関するアドバイザリー |
Introduction | 序文 |
With the widespread adoption of digital usage, many activities that were traditionally conducted in person have shifted to the digital space or transformed into a hybrid format. Election campaigning is one such example, with election candidates conducting campaign activities online to expand their reach to the electorate. Some examples include the use of social media to hold online rallies or leveraging Zoom to host Q&A sessions. | デジタルの普及に伴い、従来は対面で行われていた多くの活動がデジタル空間に移行したり、ハイブリッド形式に変化したりしている。選挙運動もその一例であり、選挙候補者は選挙民へのリーチを拡大するためにオンラインで選挙活動を行う。ソーシャルメディアを活用してオンライン集会を開いたり、Zoomを活用して質疑応答セッションを開いたりする例もある。 |
However, this shift to the digital space provides cyber threat actors with more opportunities to conduct cyber-attacks against unsuspecting victims. This advisory provides voters with information on potential cyber threats and the measures that can be taken to mitigate or reduce the risk of falling victim. | しかし、このようなデジタル空間への移行は、サイバー脅威行為者に、無防備な被害者に対してサイバー攻撃を行う機会を与えることになる。本アドバイザリーでは、潜在的なサイバー脅威に関する情報と、被害に遭うリスクを軽減・低減するための対策を有権者に提供する。 |
Potential Cyber Threats | サイバー脅威の可能性 |
During an election, threat actors may take advantage of election fervour and incorporate election-based themes in their attacks to increase their chances of success. Some of these potential cyber threats include: | 選挙期間中、脅威行為者は選挙熱を利用し、成功の可能性を高めるために選挙に基づいたテーマを攻撃に組み込む可能性がある。このような潜在的サイバー脅威には、以下のようなものがある: |
Phishing | フィッシング |
Threat actors may compromise the social media accounts of election candidates and political parties or create fake social media accounts to launch phishing attacks. Threat actors could also create websites that mimic the content of official campaign websites to carry out social engineering attacks. During such attacks, unsuspecting victims may inadvertently provide sensitive information or perform financial transactions at the behest of the threat actor impersonating the election candidate or political party as a gesture of support. | 脅威行為者は、選挙候補者や政党のソーシャルメディアのアカウントを侵害したり、偽のソーシャルメディアのアカウントを作成してフィッシング攻撃を仕掛ける可能性がある。脅威行為者はまた、ソーシャル・エンジニアリング攻撃を実行するために、選挙運動の公式ウェブサイトのコンテンツを模倣したウェブサイトを作成する可能性もある。このような攻撃では、疑うことを知らない被害者が、選挙候補者や政党になりすました脅威行為者の指示により、支援の意思表示として、不用意に機密情報を提供したり、金融取引を実行したりする可能性がある。 |
Malware Distribution/Infection | マルウェアの配布/感染 |
Threat actors may attempt to trick voters or members of public into downloading malware masquerading as legitimate software widely used during the election campaign. Such software may include video conferencing applications (apps) that election candidates and political parties use to conduct their campaign activities online. When downloaded and installed onto the victim’s device, the malware could potentially lead to unauthorised access, data breaches or other malicious activities. | 脅威行為者は、有権者や一般市民を騙して、選挙キャンペーン中に広く使用されている正規のソフトウェアを装ったマルウェアをダウンロードさせようとする可能性がある。このようなソフトウェアには、選挙候補者や政党がキャンペーン活動をオンラインで行う際に使用するビデオ会議アプリケーション(アプリ)が含まれる可能性がある。ダウンロードされ、被害者のデバイスにインストールされると、マルウェアは不正アクセス、データ侵害、その他の悪質な行為につながる可能性がある。 |
Cyber Hygiene Measures for Voters | 有権者のためのサイバー衛生対策 |
To better defend against such cyber threats, voters and members of public should adopt the following cyber hygiene measures: | このようなサイバー脅威から身を守るために、有権者や一般市民は以下のようなサイバー衛生対策をとるべきである: |
Download Software from Official Sources | ソフトウェアは公式ソースからダウンロードする |
Download apps only from official sources and pay attention to the security permissions required by the app and/or its privacy policy. Be particularly wary of apps that request for unnecessary permissions on your device that may not be necessary for the app to function. | アプリは公式ソースからのみダウンロードし、アプリやプライバシー・ポリシーが要求するセキュリティ許可に注意を払うこと。特に、アプリが機能するために必要でないかもしれない不必要なパーミッションをデバイスに要求するアプリには注意すること。 |
Be Vigilant Against Phishing Attempts | フィッシング詐欺に注意する |
Be vigilant when receiving emails and messages, particularly those asking for sensitive information or requests for financial payments. This stance should not change even if the purported sender of the email or message is from an election candidate or political party. To check if the email or message is authentic, voters and members of public should: | 電子メールやメッセージ、特に機密情報や金銭的な支払いを要求するようなものを受け取る際には用心すること。この姿勢は、メールやメッセージの差出人が選挙候補者や政党であっても変わらない。メールやメッセージが本物かどうかを確認するために、有権者や一般市民は以下のことを行うべきである: |
・Closely examine the URL link(s), if any, to check that the website is legitimate before clicking on the link. | ・リンクをクリックする前に、URLリンク(もしあれば)をよく調べ、そのウェブサイトが正当なものであることを確認する。 |
・Refrain from clicking on URL links in unsolicited emails and messages. | ・迷惑メールやメッセージのURLリンクをクリックしない。 |
・Always verify the authenticity of the information with official websites or sources. | ・情報の真偽は必ず公式サイトや情報源で確認すること。 |
・Never disclose any sensitive or financial information. | ・機密情報や金銭的な情報は決して開示しないこと。 |
It is crucial for voters and other members of the public to exercise discernment when encountering information requests on social media platforms, messaging platforms and websites during the election period. By being vigilant and critically assessing the information received, you can safeguard yourself from potential monetary losses and protect your devices from malware infection. | 選挙期間中、ソーシャルメディア、メッセージング・プラットフォーム、ウェブサイト上で情報要求に遭遇した場合、有権者やその他の一般市民が識別力を発揮することが極めて重要である。用心深く、受け取った情報を批判的に評価することで、潜在的な金銭的損失から身を守り、マルウェア感染からデバイスを保護することができる。 |
立候補者向けの海外からの干渉についての注意喚起
MHA-CSA-ELD Joint News Release: Advisory to Presidential Election Candidates about the Threat of Foreign Interference and Cybersecurity Risks | MHA-CSA-ELD 共同ニュースリリース: 外患誘致の脅威とサイバーセキュリティリスクに関する大統領選挙候補者への勧告 |
The Ministry of Home Affairs, the Cyber Security Agency of Singapore and the Elections Department would like to advise Presidential Election candidates about the threat of foreign interference in elections and cybersecurity risks. | 内務省、シンガポール・サイバーセキュリティ庁および選挙管理局は、大統領選挙立候補者に対し、外国による選挙干渉の脅威とサイバーセキュリティリスクについて助言する。 |
Foreign Interference in Elections | 選挙への外国からの干渉 |
2. Foreign interference includes attempts by foreign actors to manipulate domestic politics through covert and deceptive means, which undermines political sovereignty and harms social cohesion. In the last few years, there have been reports of alleged foreign interference in the elections of other countries, e.g. United States Presidential Election (2020), United States Mid-Term Elections (2018), French Presidential Elections (2017). | 2. 外国からの干渉には、外国の主体が秘密裏かつ欺瞞的な手段で国内政治を操作しようとする試みが含まれ、政治主権を損ない、社会的結束を害する。ここ数年、米国大統領選挙(2020年)、米国中間選挙(2018年)、フランス大統領選挙(2017年)など、他国の選挙に対する外国からの干渉の疑いが報告されている。 |
3. Singapore is not immune. Singapore’s politics should be decided by Singaporeans alone. We should do all we can to safeguard the integrity of our electoral processes. | 3. シンガポールも無関係ではない。シンガポールの政治はシンガポール人だけで決めるべきだ。 我々は、選挙プロセスの完全性を守るために全力を尽くすべきである。 |
4. The Elections Department’s webpage on Foreign Interference in Domestic Politics provides information on some methods used by foreign actors to interfere in elections, and precautions Presidential Election candidates can take to mitigate the risks of becoming a target of foreign interference, or unwittingly facilitating it. The Singapore Government too, will be on alert for foreign interference. | 4. 選挙管理局の「国内政治への外国からの干渉」に関するウェブページでは、外国人による選挙干渉の手法や、大統領選候補者が外国からの干渉の標的になったり、知らず知らずのうちにそれを助長したりするリスクを軽減するために取るべき予防策についての情報が提供されている。シンガポール政府も外国からの干渉を警戒している。 |
Cybersecurity Risks | サイバーセキュリティのリスク |
5. There have been instances of malicious cyber activity such as disruption, defacement, or data theft during the elections of other countries, which have affected their electorates’ confidence in the election processes. As a highly digitally-connected nation, Singapore must guard against attempts to (i) disrupt the election processes; or (ii) cast doubts on the integrity of the Presidential Election. The Advisory on Cybersecurity for Elections in Singapore provides Presidential Election candidates with information on potential cyber threats to their activities and the preventive measures they can take to mitigate the risks. | 5. 他国の選挙では、混乱、改ざん、データ窃盗などの悪質なサイバー行為が行われ、選挙プロセスに対する有権者の信頼に影響を与えた例がある。高度にデジタル接続された国家として、シンガポールは(i)選挙プロセスを混乱させる試み、(ii)大統領選挙の完全性に疑念を抱かせる試みを警戒しなければならない。シンガポールの選挙のためのサイバーセキュリティに関するアドバイザリーは、大統領選挙の候補者に、候補者の活動に対する潜在的なサイバー脅威と、リスクを軽減するための予防策に関する情報を提供する。 |
Role of Presidential Election Candidates | 大統領選挙候補者の役割 |
6. Presidential Election candidates play an important role in safeguarding the integrity of the election. They should enhance their understanding of the threat of foreign interference, and their cybersecurity posture. Candidates should find out more about the precautionary measures they can take to protect their information technology infrastructure, online and social media accounts, as well as the storage and management of their data. They are also advised to stay vigilant by monitoring their platforms for suspicious activity and not re-share posts or tweets of suspicious provenance. | 6. 大統領選挙の候補者は、選挙の完全性を守る上で重要な役割を果たす。候補者は、外国からの干渉の脅威とサイバーセキュリティ態勢についての理解を深めるべきである。候補者は、情報技術インフラ、オンラインアカウント、ソーシャルメディアアカウント、データの保存と管理を保護するための予防措置について詳しく知るべきである。また、不審な動きがないかプラットフォームを監視し、疑わしい出所の投稿やツイートを再共有しないなど、警戒を怠らないよう助言される。 |
7. Presidential Election candidates should make a Police report immediately, and keep the Elections Department informed, if they detect or suspect foreign interference in the election, or that their account(s) or system(s) have been compromised or misused. | 7. 大統領選挙の候補者は、選挙に対する外国からの干渉、あるいはアカウントやシステムが侵害されたり悪用されたりしたことを検知したり疑ったりした場合、直ちに警察に通報し、選挙管理局に報告すること。 |
ウェブページ
FOREIGN INTERFERENCE IN DOMESTIC POLITICS | 国内政治への外国からの干渉 |
Foreign interference includes attempts by foreign actors to manipulate domestic politics through covert and deceptive means, which undermines political sovereignty and harms social cohesion. | 外国からの干渉とは、政治主権を弱体化させ、社会的結束を害するような、外国の主体による隠密かつ欺瞞的な手段による国内政治操作の試みを含む。 |
In the last few years, there have been many reports of alleged foreign interference in the elections of other countries, e.g. United States Presidential Election (2020), United States Mid-Term Elections (2018), French Presidential Elections (2017). Singapore is not immune. There is a need to guard against foreign actors who seek to manipulate Singapore’s domestic politics and interfere with elections outcomes. Singapore’s politics should be decided by Singaporeans alone. | ここ数年、米国大統領選挙(2020年)、米国中間選挙(2018年)、フランス大統領選挙(2017年)など、他国の選挙に外国が干渉したとされる事例が数多く報告されている。シンガポールも無縁ではない。シンガポールの国内政治を操作し、選挙結果に干渉しようとする外国のアクターを警戒する必要がある。シンガポールの政治はシンガポール人だけで決めるべきだ。 |
SOME METHODS OF FOREIGN INTERFERENCE IN ELECTIONS | 外国人による選挙干渉の手口 |
Generally, the objective of foreign actors interfering in elections is to shape the sentiment and voting behaviour of the electorate in a manner consistent with the desired outcome of the foreign actor. It is often done through the coordinated use of covert and subversive means, including the following: | 一般に、外国勢力が選挙に介入する目的は、外国勢力が望む結果に一致するように有権者の感情や投票行動を形成することである。それは多くの場合、以下のような隠密かつ破壊的な手段を協調的に用いることによって行われる: |
Disinformation | 偽情報 |
Disinformation refers to false information with intent to mislead, and often takes the form of deliberately distorted or fabricated news content. In the context of an election, disinformation could involve: (a) the manipulation of public opinion through misleading narratives about electoral processes; (b) attempts to confuse the public about electoral regulations and their enforcement; and (c) narratives that undermine trust in politics and institutions. Disinformation could also seek to stir up the electorate on socially divisive issues or developments of significant public interest, so as to sway public opinion about a candidate or affect a candidate’s electoral chances. | 偽情報とは、誤解を招くことを意図した虚偽の情報を指し、多くの場合、意図的に歪曲または捏造されたニュース内容の形をとる。選挙の文脈では、偽情報には、(a)選挙プロセスに関する誤解を招くような叙述による世論操作、(b)選挙規則とその施行について国民を混乱させようとする試み、(c)政治や機構に対する信頼を損なうような叙述が含まれる。偽情報はまた、候補者に関する世論を揺さぶったり、候補者の選挙チャンスに影響を与えたりするために、社会的に分裂している問題や、社会的に大きな関心を集めている出来事について、選挙民をかき乱そうとすることもある。 |
Sentiment amplification | 感情の増幅 |
Sentiment amplification refers to the deliberate attempt to artificially inflate the spread and prominence of narratives which are useful for the foreign actor’s agenda. Such amplification could involve the coordinated use of fake accounts, cyber armies, trolls and bots. In the context of an election, the narratives inflated to prominence could consist of disinformation or false impressions of public opinion about political parties, candidates or campaign policies. The narratives could also contain inflammatory material which could result in impact on a candidate’s electoral chances, or even social division and polarisation, and public order and security risks. | 感情の増幅とは、外国のアクターのアジェンダにとって有益なナラティブの広がりや注目を人為的に高めようとする意図的な試みを指す。このような増幅には、偽アカウント、サイバー軍、トロール、ボットの協調的利用が含まれる。選挙の文脈では、目立つように増幅されたナラティブは、政党、候補者、選挙政策に関する偽情報や世論の誤った印象で構成される可能性がある。ナラティブには扇動的な内容も含まれる可能性があり、その結果、候補者の選挙チャンスに影響を与えたり、社会分裂や分極化、公序良俗や治安のリスクにつながる可能性もある。 |
Identity falsification | アイデンティティの改ざん |
Identity falsification is the creation of fake online identities for false-front interaction with target audiences. The objective is to create the impression of authentic behaviours and personas, so as to build a network of followers who could eventually become the vectors or targets of the foreign actor’s interference campaign. | アイデンティティの改ざんとは、ターゲットとするオーディエンスとの偽の交流のために、偽のオンライン・アイデンティティを作成することである。その目的は、本物の行動やペルソナのような印象を与えることであり、最終的に外国人行為者の干渉キャンペーンのベクトルやターゲットとなりうるフォロワーのネットワークを構築することである。 |
Party or campaign financing | 政党や選挙運動の資金調達 |
The funding of a candidate’s election campaign by foreign actors, whether directly or through a proxy, is an attempt to support and increase the chances of the party or candidate to be elected to power, which the foreign actor assesses to be in its interests. | 外国のアクターによる候補者の選挙運動への資金提供は、直接であれ代理人を通じてであれ、外国のアクターが自国の利益になると評価する政党や候補者を支援し、政権に選出される可能性を高めようとするものである。 |
Cultivation of political entities | 政治事業体の育成 |
This refers to a foreign actor’s covert cultivation of favourable relationships with particular electoral candidate(s). It could entail promises of business incentives (or the threat to withhold such), donations or titles, under the guise of purported legitimate platforms (e.g. academic titles, institutional linkages). | これは、外国アクターが特定の選挙候補者と有利な関係を秘密裏に構築することを指す。これは、合法的な基盤(例:学術的肩書き、機構とのつながり)を装って、ビジネス上のインセンティブ(またはそれを差し控えるという脅し)、献金、肩書きを約束することを伴う。 |
PRECAUTIONARY MEASURES | 予防措置 |
All Singaporeans should exercise individual vigilance, to safeguard the integrity of elections. | すべてのシンガポール国民は、選挙の完全性を守るため、各自警戒を怠らないこと。 |
Candidates have a responsibility to raise their awareness of potential foreign interference threats, improve digital literacy, and be on the alert for suspicious behaviours and hidden agendas. They are also recommended to take the following precautions: | 候補者には、外国からの干渉の脅威に対する意識を高め、デジタルリテラシーを向上させ、不審な行動や隠された意図を警戒する責任がある。また、以下のような予防策を講じることも推奨される: |
a. fact-check information received to ensure that it is accurate and/or authentic, or from a credible source, before sharing or reacting to it in the context of their election campaign; | a. 選挙運動の文脈で情報を共有したり反応したりする前に、受け取った情報が正確かどうか、あるいは本人認証されているかどうか、あるいは信頼できる情報源からのものであるかどうかを、事実確認すること; |
b. monitor their own social media platforms for suspicious or anomalous activity; and | b. 自身のソーシャルメディア・プラットフォームを監視し、不審な動きや異常な動きがないか確認する。 |
fc. amiliarise with and abide by the Foreign Interference (Countermeasures) Act 2021 and the Political Donations Act 2000. | c. 2021年外国人干渉(対策)法と2000年政治献金法を熟知し、遵守すること。 |
Should any candidate suspect that they are the target of foreign interference activities, they should make a police report and keep the Elections Department informed. For further information on foreign interference, visit the Ministry of Home Affairs' Introduction to Foreign Interference (Countermeasures) Act (FICA) webpage. | 万が一、候補者が外患誘致活動の標的になっていると疑われる場合は、警察に通報し、選挙管理局に報告すること。外国人干渉に関する詳細は、内務省の外国人干渉(対策)法の序文(FICA)のウェブページを参照のこと。 |
勧告...
・[PDF] ADVISORY ON CYBERSECURITY FOR ELECTIONS IN SINGAPORE
ADVISORY ON CYBERSECURITY FOR ELECTIONS IN SINGAPORE | シンガポールにおける選挙のサイバーセキュリティに関する勧告 |
Introduction | 序文 |
Election campaigns were traditionally conducted physically. As the world rapidly digitalised, election campaign activities are increasingly being conducted online or in hybrid format. While the transition online has made it more convenient for election candidates and political parties while increasing the reach to the voters, the IT systems underpinning such activities are susceptible to cyber-attacks. | 選挙運動は従来、物理的に行われてきた。世界が急速にデジタル化するにつれ、選挙運動はオンラインまたはハイブリッド形式で行われることが多くなっている。オンライン化によって選挙候補者や政党の利便性が向上し、有権者へのリーチが広がる一方で、こうした活動を支えるITシステムはサイバー攻撃の影響を受けやすくなっている。 |
Examples of online campaign activities range from holding online rallies on social media platforms like Facebook to organising Q&A sessions on video conference platforms such as Zoom. To ensure that all online campaign activities are protected from cyber threats, election candidates and political parties should take appropriate precautionary measures to protect their digital assets. These assets include smartphones, computers, storage devices and online websites and accounts. | オンライン・キャンペーン活動の例としては、フェイスブックなどのソーシャルメディア・プラットフォームでのオンライン集会の開催から、Zoomなどのビデオ会議プラットフォームでの質疑応答セッションの開催まで、多岐にわたる。すべてのオンライン選挙活動をサイバー脅威から確実に守るために、選挙候補者と政党は、デジタル資産を保護するための適切な予防措置を講じるべきである。これらの資産には、スマートフォン、コンピューター、ストレージデバイス、オンラインウェブサイトやアカウントが含まれる。 |
The purpose of this advisory is to provide election candidates and political parties with information on potential cyber threats to their activities and the preventive measures they can take to mitigate the risk of cyber incidents disrupting their activities. | この勧告の目的は、選挙候補者と政党に、彼らの活動に対する潜在的なサイバー脅威と、彼らの活動を妨害するサイバーインシデントのリスクを軽減するために講じることができる予防措置に関する情報を提供することである。 |
Potential Cyber Threats | サイバー脅威の可能性 |
There have been reports from several countries of cyber-attacks that use a variety of techniques to target political parties, elected parliamentarians and election candidates. These attacks may be part of a wider intent to influence voters, undermine public confidence in the election process or disrupt campaign efforts. Some potential cyber threats may include: | 政党、選挙で選ばれた国会議員、選挙候補者を標的に、さまざまな手法を用いてサイバー攻撃を仕掛けていることが、いくつかの国から報告されている。こうした攻撃は、有権者に影響を与えたり、選挙プロセスに対する国民の信頼を損なったり、選挙活動を妨害したりする、より広範な意図の一部である可能性がある。サイバー脅威には以下のようなものがある: |
Data Theft / Breaches | データ盗難/漏洩 |
A data breach occurs when a threat actor successfully infiltrates a data source and extracts sensitive information. These assets can be compromised via various attack vectors, including social engineering, exploitation of software vulnerabilities or malware infection. Data that was exfiltrated could be published or sold, potentially damaging the credibility or reputation of the party or candidate. If the stolen data included account credentials, the threat actor could also leverage that information to launch further attacks on related IT systems, which may disrupt campaign efforts. | データ侵害は、脅威行為者がデータソースへの侵入に成功し、機密情報を抜き取ることで発生する。これらの資産は、ソーシャル・エンジニアリング、ソフトウェアの脆弱性の悪用、マルウェア感染など、さまざまな攻撃ベクトルによって侵害される可能性がある。流出したデータは公表または販売される可能性があり、政党や候補者の信頼性や評判を損なう可能性がある。窃取されたデータにアカウント情報が含まれていた場合、脅威行為者はその情報を活用して関連するITシステムにさらなる攻撃を仕掛け、選挙活動を妨害する可能性もある。 |
Website Defacement | ウェブサイトの改ざん |
Website defacement takes place when a threat actor gains unauthorised access to a website and changes its visual appearance. The defacement may be performed on the homepage or the sub-pages. Disturbing or graphic images or messages expressing a certain point of view may be left on the website, potentially damaging the credibility or reputation of the party or candidate. The threat actor could also delete website content to disrupt access or publish misleading information that could affect the party or candidate’s reputation. | ウェブサイトの改ざんは、脅威行為者がウェブサイトに不正アクセスし、その外観を変更することで行われる。改ざんはホームページやサブページで行われることがある。不穏当な、あるいはグラフィックな画像や、特定の視点を表現するメッセージがウェブサイトに残され、政党や候補者の信頼性や評判が損なわれる可能性がある。脅威行為者はまた、アクセスを妨害するためにウェブサイトのコンテンツを削除したり、政党や候補者の評判に影響を与えるような誤解を招く情報を公開したりする可能性もある。 |
Distributed Denial of Service (DDoS) | 分散型サービス拒否(DDoS) |
A DDoS attack is a malicious attempt to make an online service unavailable to legitimate users by flooding the victim’s network with traffic from various sources. Such attacks use multiple compromised internet-connected devices to exhaust the capacity of the victim’s network to handle multiple requests or connections. This could result in potential voters being unable to access online services and information, and potentially undermining the effectiveness of campaigning by the party or candidate. | DDoS攻撃は、様々なソースからのトラフィックで被害者のネットワークをフラッディングすることで、正規のユーザーがオンラインサービスを利用できないようにする悪意のある試みである。このような攻撃は、複数の侵害されたインターネット接続デバイスを使用して、被害者のネットワークが複数の要求や接続を処理する能力を使い果たす。その結果、潜在的な有権者がオンラインサービスや情報にアクセスできなくなり、政党や候補者によるキャンペーンの効果が損なわれる可能性がある。 |
Ransomware | ランサムウェア |
Ransomware is a type of malware designed to encrypt files stored in a compromised system until a ransom is paid. All affected (encrypted) files are not recoverable unless a decryption key is available. Some ransomware variants may also perform lateral movement to encrypt files stored in shared or network drives, including backups connected to the compromised network. There is no guarantee that victims will get the decryption key or recover their data after paying the ransom. | ランサムウェアは、身代金が支払われるまで、侵害されたシステムに保存されているファイルを暗号化するように設計されたマルウェアの一種である。影響を受けた(暗号化された)ファイルはすべて、復号化キーが入手できない限り復元できない。ランサムウェアの亜種の中には、侵害されたネットワークに接続されたバックアップを含む共有ドライブやネットワークドライブに保存されたファイルを暗号化するために、横方向の移動を行うものもある。身代金を支払っても、被害者が復号鍵を入手したり、データを回復したりできるという保証はない。 |
A ransomware attack is typically carried out via phishing emails that contain malicious attachments or links. Users’ devices could get infected when they click on these attachments or links. It could also occur when unsuspecting victims unknowingly visit an infected website that downloads and installs the malware onto their device. The inability to access encrypted files may disrupt campaigning by the party or candidates. | ランサムウェア攻撃は通常、悪意のある添付ファイルやリンクを含むフィッシングメールを介して行われる。ユーザーがこれらの添付ファイルやリンクをクリックすると、デバイスが感染する可能性がある。また、疑うことを知らない被害者が感染したウェブサイトを訪問し、マルウェアをダウンロードしてデバイスにインストールした場合にも発生する可能性がある。暗号化されたファイルにアクセスできなくなることで、政党や候補者による選挙活動が妨害される可能性がある。 |
Exploitation of Vulnerabilities | 脆弱性の悪用 |
Vulnerabilities in IT systems refer to flaws in the code or design that creates a potential point of compromise for a computer or network. When successfully exploited, it can lead to unauthorised access to the IT system, allowing the threat actor to steal, modify, or delete data. This could potentially disrupt campaign activities. | ITシステムにおける脆弱性とは、コードや設計に欠陥があり、コンピュータやネットワークが危険にさらされる可能性があることを指す。悪用に成功すると、ITシステムへの不正アクセスにつながり、脅威行為者がデータを盗んだり、修正したり、削除したりできるようになる。これにより、キャンペーン活動が妨害される可能性がある。 |
Compromised/Fake Social Media Accounts | 侵害された/偽のソーシャルメディアアカウント |
Threat actors could compromise social media accounts belonging to election candidates or political parties to spread misleading information. Impersonation accounts mimicking legitimate candidates or parties may also be created on various social media platforms for the same purpose. Where possible, candidates are advised to get their social media accounts verified. | 脅威行為者は、選挙候補者や政党のソーシャルメディアアカウントを侵害し、誤解を招く情報を拡散させる可能性がある。合法的な候補者や政党を模倣したなりすましアカウントも、同じ目的でさまざまなソーシャルメディア・プラットフォーム上に作成される可能性がある。可能であれば、候補者はソーシャルメディアのアカウントを確認することをお勧めする。 |
Insider Threats | 内部者の脅威 |
Insider threats refer to threats that come from someone inside the organisation who has authorised access to a network. He may wittingly or unwittingly use such access to harm the network. A malicious insider within an election campaign may intentionally steal sensitive information or degrade the network’s security to allow unauthorised access from external sources. Data that may be exfiltrated as a result could potentially damage the reputation or credibility of the party or candidate. | 内部者の脅威とは、ネットワークへのアクセスを許可された組織内部の人物からもたらされる脅威を指す。故意に、あるいは無意識のうちに、そのようなアクセスを利用してネットワークに危害を加える可能性がある。選挙運動中の悪意ある内部関係者は、意図的に機密情報を盗んだり、ネットワークのセキュリティを低下させて外部からの不正アクセスを許すかもしれない。その結果流出したデータは、政党や候補者の評判や信用を損なう可能性がある。 |
Social Engineering | ソーシャル・エンジニアリング |
Social engineering is a manipulation technique that exploits human error to gain confidential information, access, or valuables. There are several types of social engineering attacks, including phishing, vishing, or baiting. All these types of attacks rely on human errors to successfully attain information, gain access, or reap monetary gains. Successful exfiltration of data could potentially damage the credibility or reputation of the party or candidate. | ソーシャル・エンジニアリングは、機密情報、アクセス、または貴重品を得るために人為的ミスを悪用する操作技術である。ソーシャル・エンジニアリング攻撃には、フィッシング、ビッシン グ、おとりなどいくつかの種類がある。これらのタイプの攻撃はすべて、情報の取得、アクセス権の獲得、金銭的利益の獲得に成功するためのヒューマンエラーに依存している。データの流出が成功すれば、政党や候補者の信用や評判を損なう可能性がある。 |
Precautionary Measures for Election Candidates and Political Parties | 選挙候補者と政党のための予防策 |
Various IT equipment and systems may be used to support election candidates or political parties’ campaigns. The use of such technologies may introduce potential cyber threats highlighted in the previous section. Election candidates and political parties need to be responsible for their own cybersecurity and are advised to take precautionary measures to safeguard their digital assets. | 選挙候補者や政党のキャンペーンを支援するために、さまざまなIT機器やシステムが使用される可能性がある。そのような技術の使用は、前節で強調した潜在的なサイバー脅威をもたらす可能性がある。選挙候補者や政党は、自らのサイバーセキュリティに責任を持つ必要があり、デジタル資産を保護するための予防措置を講じることが推奨される。 |
Election candidates and political parties should appoint a responsible person to take charge of their campaign’s cybersecurity matters. Due consideration should also be placed on engaging a cybersecurity vendor to review and manage the cybersecurity posture of the election campaign systems as well as to respond to any cybersecurity incident. | 選挙候補者や政党は、選挙運動のサイバーセキュリティに関する事項を担当する責任者を任命すべきである。また、選挙運動システムのサイバーセキュリティ態勢を検討・管理し、サイバーセキュリティインシデントに対応するために、サイバーセキュリティベンダーを雇うことも十分に考慮すべきである。 |
Some precautionary measures that can be implemented by election candidates and political parties to safeguard their cybersecurity are provided below. Please note that the measures provided are not exhaustive. | 選挙候補者や政党がサイバーセキュリティを守るために実施できる予防策を以下に示す。なお、プロバイダが提供する対策はすべてを網羅しているわけではない。 |
Establish Strict Access Control | 厳格なアクセス・コントロールを確立する |
- Perform a stock take of all digital assets owned and used by the election campaign. For example, there should be clear awareness of what, where and how data is stored in each device. | ・選挙キャンペーンが所有・使用するすべてのデジタル資産の棚卸しを行う。例えば,各デバイスに何が,どこに,どのようにデータが保存されているかを明確に認識する。 |
- Institute strict control over administrator and remote access privileges to digital assets. The principle of least privileges should be followed as much as possible. | ・デジタル資産への管理者権限やリモートアクセス権限を厳格に管理する。最小権限の原則にできるだけ従うべきである。 |
- Establish a whitelist of applications that are allowed to run on device(s) used for campaign purposes especially those containing or processing sensitive data. All other applications should be disallowed. | ・キャンペーン目的で使用されるデバイス,特に機密データを含む,または処理するデバイスで実行が許可されるアプリケーションのホワイトリストを確立する。その他のアプリケーションはすべて許可しない。 |
Enforce Strong Password Management | 強固なパスワード管理を実施する |
- Institute minimum password lengths and complexities for campaign and campaignrelated accounts. A strong password would generally comprise at least 12 characters with a mix of upper- and lower-case letters, numbers, and special characters. | ・キャンペーンおよびキャンペーン関連のアカウントについて,最小限のパスワードの長さと複雑さを設定する。強力なパスワードは一般的に,大文字と小文字,数字,特殊文字を組み合わせた少なくとも12文字で構成される。 |
- Implement multi-factor authentication (MFA) to further secure online accounts. | ・多要素認証(MFA)を導入し、オンラインアカウントの安全性を高める。 |
- Raise awareness amongst account holders on safeguarding account credentials (e.g. do not share the credentials with anyone and do not write the password down on paper). | ・アカウント保有者の間で、アカウント認証情報の保護に関する意識 を高める(認証情報を誰とも共有しない、パスワードを紙に書 き出さないなど)。 |
Perform Regular Software Updates | ソフトウェアのアップデートを定期的に行う |
- Firmware and software should always be updated promptly to protect campaign devices from known vulnerabilities. | ・キャンペーン・デバイスを既知の脆弱性から守るため,ファームウェアとソフトウエアは常に迅速に更新する。 |
- Set automatic updates where feasible. | ・可能であれば自動アップデートを設定する。 |
Regularly Backup Important Data | 重要なデータを定期的にバックアップする |
- Regularly backup important data on devices to ensure data integrity and availability in the event of a cybersecurity incident such as ransomware. Backups should be stored disconnected from the organisation’s network and kept offline, so as to prevent threat actors from being able to compromise both the primary system as well as the backup system in the same attack. | ・ランサムウェアのようなサイバーセキュリティインシデントが発生した場合にデータの完全性と可用性を確保するために,デバイス上の重要なデータを定期的にバックアップする。脅威行為者が同じ攻撃でプライマリ・システムとバックアップ・システムの両方を侵害できないように,バックアップは組織のネットワークから切り離してオフラインの状態で保存する。 |
Raise Cybersecurity Awareness Amongst Campaign Staff | 選挙スタッフのサイバーセキュリティ意識を高める |
- Educate campaign staff on common cybersecurity threats such as phishing. | ・フィッシングなどの一般的なサイバーセキュリティの脅威についてキャンペーンスタッフを教育する。 |
- Remind them that they should practice good cyber hygiene and implement preventive measures. | ・適切なサイバー衛生を実践し,予防策を実施すべきであることを再認識させる。 |
- Establish clear lines of communication for incident reporting. Campaign staff should also be encouraged to report near-miss incidents. | ・インシデント報告のための明確なコミュニケーションラインを確立する。選挙スタッフにもインシデントのニアミスを報告するよう促す。 |
- Train campaign staff to spot signs of compromise (e.g. not able to login using original password, receiving a ransom message, sudden presence of unknown applications installed in device, or inexplicable activities detected on their device(s)). | ・選挙スタッフが侵害の兆候(元のパスワードでログインできない、身代金要求メッセージを受信した、デバイスに未知のアプリケーションが突然インストールされた、デバイスで不可解なアクティビティが検出されたなど)を発見できるよう検知訓練を行う。 |
Develop Cybersecurity Monitoring and Incident Response Capabilities | サイバーセキュリティのモニタリングとインシデント対応能力を開発する。 |
- Establish cybersecurity monitoring capabilities to detect breaches or breach attempts. Such capabilities can take the form of installed technologies such as Endpoint Detection and Response (EDR). | ・侵害または侵害の試みを検知するためのサイバーセキュリティ監視能力を確立する。このような能力は、EDR(Endpoint Detection and Response:エンドポイント検知・応答)のような導入済みテクノロジーの形をとることができる。 |
- Perform regular security assessments on election campaign related websites using reputable tools such as SSL Labs, MxToolbox, or the Cyber Security Agency of Singapore’s Internet Hygiene Portal to identify possible flaws for remediation. | ・SSL Labs、MxToolbox、Cyber Security Agency of Singapore's Internet Hygiene Portal などの評判の良いツールを使用して、選挙キャンペーン関連のウェブサイトのセキュリティ評価を定期的に実施し、改善の可能性がある欠陥を特定する。 |
- Enable loggings of network traffic and security events. Logs should be retained for a suitable period (e.g. 6 months) to facilitate any investigations in the event of a cybersecurity incident. | ・ネットワーク・トラフィックとセキュリティ・イベントのロギングを有効にする。サイバーセキュリティインシデントが発生した場合の調査を容易にするため、ログを適切な期間(6 カ月など)保持する。 |
- Develop an incident response and management plan to ensure that all stakeholders know their role. The following checklist developed by SingCERT may be useful when developing an incident response plan for your campaign: https://www.csa.gov.sg/TipsResources/Resources/singcert/Incident-Response-Checklist. | ・インシデント対応・管理計画を策定し、すべての関係者が自分の役割を把握できるようにする。キャンペーンのインシデント対応計画を策定する際には、SingCERT が作成した以下のチェックリストが有用である。https://www.csa.gov.sg/TipsResources/Resources/singcert/Incident-Response-Checklist. |
Steps to Take in the Event of a (Suspected) Cybersecurity Incident | サイバーセキュリティインシデント(の疑い)が発生した場合の手順 |
If election candidates, political parties or campaign staff suspect that a cybersecurity incident may have occurred, they should: | 選挙候補者、政党、選挙運動スタッフが、サイバーセキュリティ・インシデントが発生した可能性があると疑われる場合、次のことを行うべきである: |
- Lodge a police report immediately, and keep the Elections Department (ELD) informed. | ・直ちに警察に被害届を提出し、選挙管理局(ELD)に報告する。 |
To respond to the incident: | インシデントに対応する: |
- Contact the relevant email and social media platform providers for issues related to your email or social media accounts. For immediate self-help, please refer to the section Useful Links for Email Providers and Social Media Platforms. | ・電子メールやソーシャルメディアのアカウントに関する問題については,関連する電子メールやソーシャルメディアのプロバイダに連絡する。早急な自助努力については,「電子メールプロバイダーおよびソーシャル・メディア・プラットフォームのための有用なリンク」のセクションを参照すること。 |
Contact your appointed cybersecurity vendor if there is a compromise in your IT system. A non-exhaustive list of cybersecurity vendors is provided under the section Cybersecurity Service Providers. For immediate self-help, you may also wish to visit [web]. | ITシステムに侵害があった場合は、指定されたサイバーセキュリティ・ベンダーに連絡する。サイバーセキュリティ・ベンダーの非網羅的リストは、「サイバーセキュリティ・サービス・プロバイダー」のセクションに記載されている。早急なセルフヘルプについては、[web]。 |
Additional Resources | その他のリソース |
For additional information on the potential cyber threats mentioned in this advisory and other references on cybersecurity tips and good practices, please refer to section Useful References. | この勧告で言及されている潜在的なサイバー脅威に関する追加情報、およびサイバーセキュリティに関するヒントやグッドプラクティスに関するその他の参考情報については、「有用な参考情報」のセクションを参照されたい。 |
For clarifications on the advisory, please send an email to SingCERT at singcert@csa.gov.sg | この勧告に関する明確な情報については、SingCERT(singcert@csa.gov.sg)まで電子メールで問い合わせること。 |
Useful Links for Email Providers and Social Media Platforms | 電子メールプロバイダーおよびソーシャルメディアプラットフォームのための有用なリンク |
The following table provides account retrieval details for popular email providers: | 以下の表は、一般的な電子メール・プロバイダのアカウント検索の詳細を示している: |
Email Provider | Email Contact |
Gmail | Compromised Account https://support.google.com/accounts/answer/6294825 |
Outlook or Hotmail | Compromised Account https://support.microsoft.com/en-hk/help/10494/microsoft-accounthow-to-access-a-compromised-account |
The following table provides details for account verification, and account retrieval and impersonation profile reporting for popular social media platforms: | 以下の表は、一般的なソーシャル・メディア・プラットフォームのアカウント検証、アカウント検索、なりすましプロファイル報告の詳細を示している: |
Cybersecurity Service Providers
To review and manage your campaign’s cybersecurity posture or to seek incident response services, you can refer to the following link for CREST-accredited incident response companies with a presence in Singapore:
https://www.crest-approved.org/members/?filter_accredited_services_10717=Cyber%20Security%20Incident %20Response&filter_offices_10717=Singapore
Useful References
For more information on potential cyber threats to your campaign and possible preventive measures you can take to secure your IT systems, please visit the following websites:
Data Theft / Breach
- https://www.csa.gov.sg/alerts-advisories/Advisories/2020/AD-2020-009
- https://www.csa.gov.sg/Tips-Resources/publications/cybersense/2022/data-breaches
Social Engineering
- https://www.csa.gov.sg/Tips-Resources/publications/cybersense/2021/socialengineering-attacks
- https://www.csa.gov.sg/Tips-Resources/gosafeonline/2021/spot-signs-of-phishing
- https://www.cisa.gov/phishing-infographic
- https://www.ncsc.gov.uk/guidance/phishing
Exploitation of Vulnerabilities
- https://owasp.org/www-community/vulnerabilities/
- https://www.malwarebytes.com/blog/business/2022/09/6-patch-management-bestpractices-for-businesses
Website Defacement
- https://www.csa.gov.sg/alerts-advisories/Advisories/2022/AD-2022-007
- https://www.cisa.gov/tips/st18-006
- https://www.cisa.gov/uscert/ncas/tips/ST18-006
- https://cyberexperts.com/website-security-practices/
Distributed Denial of Service (DDoS)
- https://www.csa.gov.sg/Tips-Resources/gosafeonline/2014/Distributed-Denial-ofService-Attack
- https://www.csa.gov.sg/docs/default-source/publications/singcert/pdfs/playbook-forpdf?sfvrsn=71bdb38d_1
- https://www.cisa.gov/uscert/ncas/current-activity/2022/10/28/joint-cisa-fbi-ms-isacguide-responding-ddos-attacks-and-ddos
- https://blogs.blackberry.com/en/2022/11/ddos-attack-8-simple-prevention-andmitigation-strategies
Ransomware
- https://www.csa.gov.sg/alerts-advisories/Advisories/2021/AD-2021-006
- https://www.csa.gov.sg/alerts-advisories/Advisories/2021/AD-2021-009
- https://www.csa.gov.sg/docs/default-source/publications/singcert/pdfs/ransomwareresponse-pdf?sfvrsn=6c852e82_1
- https://www.cisa.gov/publication/protecting-sensitive-and-personal-information
- https://www.nomoreransom.org/en/index.html
Insider Threats
- https://www.ncsc.gov.uk/guidance/reducing-data-exfiltration-by-malicious-insiders
- https://www.cisa.gov/defining-insider-threats
- https://securityintelligence.com/posts/what-are-insider-threats-and-how-can-youmitigate-them
Incident Response
- https://www.csa.gov.sg/Tips-Resources/Resources/singcert/Incident-ResponseChecklist
- https://www.csa.gov.sg/Tips-Resources/Resources/singcert/incident-responseplayooks
- https://ihp.csa.gov.sg
- https://www.ncsc.gov.uk/collection/incident-management
Comments