ネットワークを通じて攻撃をしてくるサイバー攻撃ですが、Check Point Software Technologiesの調査によると2021年の日本国内の*サイバー攻撃件数は前年比より85％増加していました。サイバー攻撃の手法はさまざまありますが、近年では流行中の新型コロナウィルスに便乗した攻撃も急増しています。絶えず進化を続けているサイバー攻撃の被害を受けないために最新のサイバー攻撃の特徴を把握しておく必要があります。
今回は最新のサイバー攻撃の手法や動向についてご紹介します。
*サイバー攻撃
インターネットなどのネットワークを通じてサーバー・パソコン・スマートフォンなどの情報端末を狙う攻撃のことで、システムの破壊・データの窃取・改ざんなどを行う攻撃のこと。
まず、2020年より全世界で流行している新型コロナウィルスに便乗するサイバー攻撃の特徴についてご紹介します。
新型コロナウィルスの流行によりテレワークを導入する企業が急増し、働き方や利用するシステム環境が大きく変わりました。しかし、導入している企業の中にはしっかりしたセキュリティ対策がなされていない状態でテレワークを開始しているケースも多く「テレワーク環境」や「システムの不備」などのセキュリティの脆弱性を狙う攻撃が増加しています。
また、真の標的はサイバー攻撃をした企業の顧客様や取引先といったケースも多く、万が一個人情報の漏えいをしてしまうと企業の信用低下だけでなく、損害賠償を求められる可能性があるため十分に注意が必要です。
コロナ禍のサイバー攻撃の特徴として、テレワークによるセキュリティの脆弱性を利用した多様な経路からの侵入が挙げられます。テレワークはオフィス以外から企業のシステムに接続するため*VPNを活用することが多く、VPNの脆弱性を利用した不正アクセスなどが多発しています。VPNの脆弱性が狙われた事例として『社外からのリモートアクセスを管理しているシステムに不正アクセスがあり、リモートアクセスの情報が流出した』『社員のテレワーク用のシステムがサイバー攻撃を受け、複数名の社員IDが漏洩した』などさまざまな被害が発表されています。（出典：総務省.2021「ウィズコロナにおけるデジタル活用の実態と利用者意識の変化に関する調査研究）
また、VPNサービスの中に通信の盗み見・改ざんやウィルスが組み込まれている場合があるため、信頼できるVPNサービスを活用しましょう。
*VPN
通常のインターネット回線を利用して提供される仮想的な専用回線のこと。
次に、最新のサイバー攻撃の手法についてご紹介します。
パソコンのデータを暗号化しその復旧と引き換えに身代金を支払うよう要求するランサムウェアですが、最近ではデータを暗号化する前に機密情報を盗み出すようになりました。そのことにより、被害に遭った企業へ「データの復旧」と「データの流出」について脅迫し、高額な身代金の要求に答えるよう仕向けています。また、ランサムウェアは攻撃の分業化が進んだことにより高度なスキルがない犯罪者でも攻撃を仕掛けられるようになりました。そのため攻撃しやすい体制が整い、以前に比べ攻撃回数が急増しています。
”製品の原材料・部品の調達から販売に至るまでの一連の繋がり”に関わりがあり、尚且つセキュリティの脆弱性がある中小企業を狙う手法です。この攻撃の真の標的は「最初に攻撃をした中小企業のサプライチェーンに属する、大企業が持つ機密情報」です。
クラウドサービスはクラウド基盤が複雑です。そのためクラウドストレージやデータベースなどの設定ミスが起こりやすい・複数のクラウド（オンプレミス型とプライベート型）を組み合わせて運用するリスクなどの脆弱性を狙われます。また、仕様変更の頻度が高いためサービス利用者がアップデートする前に攻撃を受けるケースもあります。
IoTはさまざまなモノ（センサー機器、自動車、工場の製造ライン、駆動装置など）をインターネットに接続しデータをやり取りする仕組みのことで、このIoTデバイスを狙うサイバー攻撃が急増しています。脆弱性なIoTデバイス（古いソフトウェアが実行されている・セキュリティパッチが実行されていないなど）を見つけ出し、攻撃を仕掛けてきます。また、多くのIoTデイバスがインターネットに接続されているため侵入口を見つけ出すことが困難です。
最後に、最新のサイバー攻撃の動向・ニュースにも取り上げられてるサイバー攻撃の事例・2022年の脅威候補についてランキングでご紹介します。
当初のサイバー攻撃は愉快犯による嫌がらせの攻撃が目立ちました。そのため攻撃も分かりやすくウィルス対策ソフトのスキャニングのみで予防ができていました。しかし、サイバー攻撃は年々巧妙化し、気づかれない・目立たない攻撃が手法となり、気づいたころにはすでに情報漏えいやランサムウェアの被害に遭っているというケースが発生しています。
事例1_改ざんによる個人情報の漏えい（2022年6月発表）
飲食店を運営している某会社は、同社が運営するオンラインショップがサイバー攻撃により合計7,645件のクレジットカードの個人情報が漏えいした可能性があることを発表しました。被害の原因はシステムの脆弱性をついた決済アプリケーションの改ざんでした。
事例2_サプライチェーン攻撃による生産ライン停止（2022年3月発表）
自動車メーカーの某会社は、仕入先のメーカーがマルウェアに感染したことによりすべての該当するメーカーの国内工場を1日ほど停止しました。
事例3_フィッシング詐欺による個人情報の漏えい（2022年6月発表）
経済等の調査を行っている某会社は、サイバー攻撃により社内関係者の個人情報が漏えいした可能性があることを発表しました。被害の原因は偽サイトからアカウント情報が搾取されたためでした。
下記、IPA（独立行政法人情報処理推進機構）が発表した「情報セキュリティ10大脅威2022」より、脅威候補としてランクインした脅威をランキングにした表です。
ランサムウェア・標的型攻撃による被害・脆弱性を狙った攻撃が多い傾向にあります。
また、今回のランキングにはランクインしていませんでしたが、マルウェアの一種であるEmotet（エモテット）は2月より6ヵ月連続で国内のマルウェアランキングでトップに君臨しています。現在は他のマルウェアの拡散などにも利用されているため引き続き注意する必要があります。
以上、最新のサイバー攻撃の手法や動向についてご紹介しました。
― コロナ禍のサイバー攻撃
― 最新のサイバー攻撃・手法
― 最新のサイバー攻撃の動向・脅威候補
サイバー攻撃はテレワークのような私たちの働き方や環境が変化する中で新たに生まれる脆弱性を狙って攻撃を仕掛けてきます。被害に遭った場合、情報漏えい・データの改ざんやサービスの一時停止だけでなく被害状況の調査費・対応費、顧客様や取引先への損害賠償、企業の信用低下など、多大な被害を受ける可能性があります。
これまでのように「社内ネットワーク」と「外部ネットワーク」の境界線で攻撃を防ぐ手法ではなく、ゼロトラストの『敵はどこにでもいる』『何も信用しない』という考え方で、すべてのデバイスやユーザーに対して安全性の検証を行う必要があります。
まずは、日々高度化・巧妙化するサイバー攻撃の最新の特徴などを把握し、「通信アクセスをすべて可視化・検証する」「すべてのログを残す」「ユーザー毎に必要最低限の許可を与える」などのセキュリティ対策を行いましょう。
＜ Emotet（エモテット）に関する記事はこちら ＞
