Others

2022年にはクラウド、メール、ネットワーク等、脅威アクターによる攻撃がますます激化

2022.02.07

threat-actors-turn-up-heat-across-cloud-email-networks-2022

2022年1月26日、Phil Muncaster

この２年間は、コロナによって前例のないほど組織が混乱に陥りました。多くの企業は、大規模のリモートワークや新たなビジネス手法に対応するため、性急なデジタル投資を余儀なくされました。こうした対処は不可欠である一方、無意識のうちに企業の攻撃対象領域を拡大させ、それを脅威アクターが素早く利用していました。コロナと共存する３年目に突入した今、組織はデジタルトランスフォーメーションの初期段階からセキュリティを組み込んで、リスク管理を強化しようと考えています。

ビジネスメール詐欺（BEC）がAIにより一段と身近に

FBIによると、最も収益性の高いサイバー犯罪の種類はBECです。2020年にBECが攻撃者にもたらした利益は約19億ドルに及びます。しかし、多くの企業が多額の電信送金の対応には二重、三重の確認を行うなどして業務プロセスを改善することにより、こうした脅威を発見し、軽減できるようになってきています。従業員を騙して支払いをさせようとサプライヤーや経営者になりすますなど、脅威アクターのスキルが上達してきていることも鑑みると、これは正しい方法だと考えます。

もちろん、彼らは送金依頼者のメールアカウントを乗っ取ることで支払わせようとしてきますが、今後はAIを使ったディープフェイク技術も普及していくでしょう。これは攻撃者が電話で送金依頼者の声を真似ることを可能にする技術です。昨年UAEの銀行で3,500万ドルが盗まれた強盗事件など含め、すでに有名な事件がいくつか発生しています。

スキル不足が招くパブリッククラウドの設定ミス

セキュリティに対するスキルの乏しさが、世界のあらゆる所で危機をもたらしていることは皆さんご存知でしょう。最新の推計では、労働力の欠如を埋めるためには、ヨーロッパに19万9,000人、英国に3万3,000人を含む、270万人の情報セキュリティ専門家がさらに必要であるとされています。

2022年のパブリッククラウドへの支出総額は、前年比20%増の3,970億ドルを超えると予想されています。しかしこのインフラを十分管理できる人材が社内にいなければ、企業は設定ミスを起こしかねません。あるレポートによると、2020年第2四半期から2021年第2四半期にかけて、アプリ、データベース、セキュリティポリシーにまたがる設定ミスが、クラウド環境が侵害された原因の3分の2を占めていました。2022年も同じような状況が予測されるため、企業は継続的かつ自動化されたポリシーコンプライアンスツールを導入すべきです。

コロナによるコネクティビティ向上で、危険にさらされる産業用ネットワーク

このパンデミックがサプライチェーンにかつてないほど大きな混乱を招いたため、製造業は大打撃を受けました。また、昨年来のエネルギー価格の高騰により、電力会社に対する監視の目も厳しくなっています。これらをはじめとする分野では、オペレーショナルテクノロジー（OT）が大々的に活用されています。パンデミックやその他の問題に直面したとしても、管理のしやすさ、コスト削減、生産性向上が担保できるよう、産業施設の所有者はこのようなシステムにコネクティビティを付加しようとしています。

そうなるとただ一つ問題となるのが、レガシーシステムへの遠隔攻撃の可能性が出てくることです。セキュリティに対する適切な注意がないままOTとITを融合させると何が起こるのか、という事例を昨年はいくつも目にしました。8月にはTCP/IPスタックに14件の脆弱性が発見され、リモートコード実行やDoS、情報窃盗などの可能性があることが判明しました。これらの分野のCISOは、ファイアウォールやマイクロセグメンテーションなどの追加制御を導入しながら、パフォーマンスやアップタイムに影響を与えずにバグパッチを適用するためのより優れた方法を見つけなければなりません。

欲しいものを得るため、あらゆる手段を尽くすランサムウェア攻撃者

現在、ランサムウェア攻撃の大半は二重脅迫と情報窃盗が主体となっています。しかし保険会社が保険契約者に対して基本的なセキュリティの向上を義務付ける中、今年は脅威アクターがシステムやデータを侵害する新たな手法を模索する一年となるでしょう。Kaseya社に対するサプライチェーンへの攻撃のようなものは今後より一般化すると思われますので、複数の顧客にデジタルサービスを提供している企業は注意しておいてください。

企業がメールのセキュリティを改善し、RDPやVPNインフラの欠陥を修正すれば、脅威アクターは通常とは異なる方法で侵入を試みるでしょう。その中には、SharePoint、OneDrive、Google DriveやGoogle Docsなどが含まれる可能性があります。これらのSaaSプラットフォームを標的とした斬新なフィッシング作戦はすでに確認されていますし、今後増加することが見込まれます。機密データを発見・保護し、高度なマルウェアを検出するために、企業はビジビリティを高め、制御する必要があります。

米国政府のおかげで、ゼロトラスト時代が到来

サイバーセキュリティに関するバイデン大統領の大統領令が昨年2021年5月に発令され、大きな話題を呼びました。セキュリティの専門家から広く歓迎されたその提案の中でも特に目を引くのは、連邦政府全体にゼロトラストを義務付けるというものでした。2022年には連邦政府やサプライヤーから広く民間企業へと、有益なトリクルダウン効果が見られると予測されます。正しい方法で行えば大きな競争優位性を獲得できることを、経営陣は気づくようになるでしょう。

しかしながら、悪魔は細部に宿るものです。成功の可能性を最大限に高めるためには、ゼロトラストに対して特効薬的な役割を果たす製品はどこにもないことをCISOが理解しておく必要があります。ゼロトラストは目的地ではなく、旅路であると考えるべきです。しかしそれは、ホストベースのファイアウォール、マイクロセグメンテーション、情報漏えい防止策、ロールベースのアクセス制御などの、既存のセキュリティソリューションで今すぐにでも始められる旅なのです。

これ以外にもまだまだ対処法は存在します。この先1年間におけるサイバーセキュリティ計画最適化のカギとなるのは、適応性とレジリエンスです。