テキストファイルは開いても安全――。情報セキュリティの常識だ。ところが、その常識が覆された。テキストファイルの一種であるCSVファイルを使った標的型攻撃が国内で確認されたのだ。CSVファイルを開いただけでウイルス︵マルウエア︶に感染する恐れがある。CSVファイルも危ないファイル形式の一つだと認識すべきだ。
CSVファイルとは、表の要素などをカンマや改行を使って記述したテキストファイルのこと。CSVはComma Separeted Valueの略である。ファイルの拡張子はcsv。CSVファイルの中にはテキストの情報しかない。
だが、拡張子がtxtなどのテキストファイルとは大きく異なる点がある。初期設定︵デフォルト︶でExcelと関連付けられている点である。Excelをインストールすると、ユーザーが設定変更しなければ、CSVファイルが関連付けられる。つまり、CSVファイルをダブルクリックするなどして開こうとするとExcelが起動され、そのCSVファイルの内容を読み込まれる。
CSVファイルに書かれている内容が単なるテキストなら、それを表示するだけなので害はない。だが、関数などが記述されていると、Excelはそれを読み込んで解釈し、その内容に従って動作する。コマンド︵プログラム︶を実行する関数を記述することもできる。
このため、Excelがインストールされている環境で細工が施されたCSVファイルを開くと、攻撃者が意図したコマンドを実行させられる恐れがある。
任意のコマンドを実行させられるので、ローカル︵CSVファイルを開いたパソコン︶にあるプログラムはもちろん、インターネット上のサーバーに置いたウイルスをダウンロードさせて実行させるといったことも可能になる。そのようなコマンドが書かれたCSVファイルが、危険なCSVファイルの正体である。
﹁CSVファイルを悪用した攻撃が可能であることは、2014年ごろから一部の記事やブログなどで指摘されていた﹂︵情報処理推進機構︵IPA︶の技術本部 セキュリティセンター 情報セキュリティ技術ラボラトリー伊藤博康 職員︶。
この懸念は現実のものとなる。2018年第1四半期︵2018年1月～3月︶、サイバー攻撃情報を共有する取り組みであるサイバー情報共有イニシアティブ︵J-CSIP︶の参加組織︵企業︶に、細工が施された危険なCSVファイルが送られてきたのだ。J-CSIPではIPAをハブとして、重要インフラ事業者など11業界227組織がサイバー攻撃に関する情報を共有して対策に役立てている。
J-CSIPの体制図
（出所：IPA）
[画像のクリックで拡大表示]
