分析にあたっての留意点。
これらは単なる業務メールというより、社内調査（eDiscovery／内部監査）のために収集された、特定従業員の全メールボックスや訴訟保留（Legal/Discovery Hold）対象のデータである可能性が高く、内容の機微度は非常に高いと考えられます。
従って、個々のメールアドレスや氏名については、詳細化しないようにしています。記事中のファイル構成に関する記載も、一部で「＝以下省略＝」という方法で、具体的ファイル名を記載しておりません。
そこにあったっメール関連データとは
1.Exchangeメールボックスの丸ごとエクスポート（PSTファイル）
①29件のPSTファイルが存在し、うち複数が数GB単位（最大約9.68GB）
②パスは Shared\Security\＝以下省略＝\配下で、2023年10〜12月に実施された社内のメール内容検索（eDiscovery的な調査）のエクスポート結果とみられます.
③ファイル名に “unsearchable” とあることから、法務・コンプライアンス調査目的で行われたメール監査の副産物である可能性が高い。
2.個人メールボックス単位のメール監査エクスポート（.msgファイル群）
①Shared\＝以下省略＝\ 配下に、特定の個人（社用メールアドレス）ごとのメールボックス構造（＝以下省略＝）がフォルダ単位で展開されており、個別の .msg（Outlookメール形式）ファイルが多数格納されていた。
②2017年11月に実施された調査（フォルダ名 “＝以下省略＝” ）に関連する複数人分のメールが含まれている。
3.個人ユーザーのOutlookバックアップ
UserFiles\<ユーザー名>\Outlook Files や Outlook PST Backup など、個人が私的にバックアップしていたと見られるメールデータも複数のユーザーフォルダに存在していた。
4.拡張子の件数
拡張子別の件数
| 種類 | 件数 |
|---|---|
| .msg（個別メール） | 8,118 |
| .pst（メールボックス全体） | 29 |
| .eml | 23 |
第一章「企業の記憶」は、なぜ狙われるのか
公開されたデータの中には、約8,000通のメール資産が含まれていました。約8,000通という数字だけを見ると、「多い」「少ない」の話に見えるかもしれません。
しかし、私が着目したのは件数ではありません。
メールは企業活動の積み重ねであり、そこには人間関係、意思決定、契約、そして日々の業務が記録されています。
つまり、メールは企業の「記憶」そのものなのです。
第二章 約8,000通のメール資産とは何だったのか
今回確認できた公開データには、Outlookのメールデータが約8,000通含まれていました。
ここで重要なのは、「Outlookが使われていた」という事実ではありません。
重要なのは、その中に企業活動の履歴が蓄積されていたことです。
メールは日々の業務の積み重ねであり、企業の意思決定や社内外とのやり取りを時系列で記録する情報資産でもあります。
第二章 メールは「通信」ではなく、企業活動を記録したタイムライン
多くの人は、メールを「連絡手段」や「通信記録」と考えているかもしれません。しかし、企業におけるメールはそれだけではありません。
日々の業務連絡、見積書のやり取り、契約内容の確認、会議の日程調整、取引先との交渉、社内での意思決定――。こうした企業活動の一つひとつが、メールという形で時間の流れに沿って記録されていきます。
つまり、メールは企業活動そのものを記録した「タイムライン」であり、「企業の記憶」と呼べる情報資産なのです。
企業活動
│
├── 見積
├── 契約
├── 社内承認
├── 顧客対応
├── 添付ファイル
└── メール
↓
企業の記憶（情報資産）
第三章 攻撃者が見ているのは「本文」だけではない ”攻撃者の思考”
約8,000通のメールを一通ずつ読むことは現実的ではありません。
攻撃者も、まずは件名や送受信相手、添付ファイル、やり取りの時系列などから全体像を把握し、価値が高いと判断したメールを重点的に確認していくと考える方が自然でしょう。
メールには、送信者と受信者の関係、CC・BCCに含まれる組織内外のつながり、添付ファイル、
やり取りの時系列など、多くの情報が含まれています。
攻撃者が価値を見出しているのは、一通一通のメールではなく、
メール全体から浮かび上がる企業活動の姿です。
例えば…
- 意思決定が見える
- 組織図が見える
- 取引先との関係が見える
- 契約更新時期が見える
- 誰に連絡すれば効果的か分かる
…という価値を見ている可能性があります。
私は、この視点こそがサイバー攻撃を理解する上で最も重要だと考えています。
攻撃者が何を「価値」としてみているのか。
その問いは、防御側が本当に守るべき情報資産を考える出発点にもなります。
では、その価値は私たちに何を教えてくれるのでしょうか。
第四章 攻撃者が見ていた”本当の価値”
第三章まで見てきたように、攻撃者が価値を見出しているのは、約8,000通という数字ではありません。
そのメール資産から浮かび上がる企業活動そのものです。
メールは企業にとって過去の通信記録です。
しかし攻撃者にとっては、企業を理解し、次の行動を考えるための情報資産にもなり得ます。
私は、サイバー攻撃を理解する上で最も重要なのは、
攻撃者が何を「価値」として見ているのか。
その問いを考え続けることだと思っています。
その価値を知ることこそ、防御側が手にすべき「盾」になる。
私はそう考えています。
次号に向けて
分析①では、「情報資産の目録」という視点から、公開データの構造を見ました。
分析②では、「企業の記憶」という視点から、メール資産の価値を考えました。
一見すると別々のテーマですが、私が追い続けている問いは一つです。
攻撃者は、何を「価値」として見ているのか。
その問いに向き合うことは、防御側が本当に守るべき情報資産を考えることにもつながります。
次号では、その情報資産が犯罪エコシステムの中で、どのように価値へと変換されていくのかを追いかけたいと思います。
コメント