DXの進展や働き方の多様化、社会情勢の変化によって、社会の広範囲にわたってサイバー脅威が高まっている。フィッシングの急増や高度ななりすまし、サプライチェーンの隙を狙った攻撃など、脅威は量と質の両面で拡大し、多様化しつつある。本稿では、横浜国立大学大学院准教授で同学のCISOを務める吉岡克成氏が、国内におけるサイバー攻撃の最新動向とその対策のヒントを、豊富な事例や実地調査を交え解説する。
※本コンテンツは、2022年11月10日に開催されたJBpress/JDIR主催「第2回サイバーセキュリティフォーラム～アジリティとレジリエンスを備えた強固な経営基盤の実現」の基調講演「多様化するサイバー攻撃最新動向～ビジネスを止めないためのサイバーセキュリティ対策とは～」の内容を採録したものです。
動画アーカイブ配信はこちら
https://jbpress.ismedia.jp/articles/-/73715
量・質ともに増大するサイバー脅威、最新動向の4つの観点
情報システムセキュリティ研究を専門に手がけ、多くの政府有識者会議委員も務める横浜国立大学大学院環境情報研究院、先端科学高等研究院・准教授の吉岡克成氏は、講演の始めに当たって、巧妙化・深刻化するサイバー攻撃は、その拡大を量的・質的の両面から見ることができると語る。
「量的な脅威の拡大では、なりすましメール、フィッシング、脆弱なシステムやIoT機器を狙う攻撃などが急増し、重要インフラを狙う攻撃や、これまでにない大規模なサービス妨害攻撃などが起きています。質的な拡大では、人間の判断の隙を突くソーシャルエンジニアリング攻撃、サプライチェーン攻撃。さらには、世の中に知られていない脆弱性を突いたゼロデイ攻撃や、いわゆる『〇〇-as-a-Service』のような攻撃をサービス化・収益化する仕組み、フェイクニュースやSNSを利用した世論操作などが挙げられます」
こうしたサイバー脅威の最新動向として、吉岡氏は特に注目すべき4つの観点を紹介する。その1つ目は、「なりすましメールによる攻撃」だ。一般的な標的型メール攻撃は、組織内の個人に対してメールを送りつけ、添付ファイル等からマルウエア に感染させ、組織内に侵入して情報を窃取したり、脅迫したりするものだ。こうした攻撃が急増し、だましのテクニックも多様化している。またメールの内容も、注文の確認、支払通知書、履歴書、セミナーの案内、さらにはコロナウィルス関連の連絡など、ビジネスで通常やり取りされる文書を偽装した巧妙な攻撃が多数確認されている。
さらに、取引先などを把握した上で、会議日程の調整や議事録など過去のやり取りをもとに関係者をだます「高度ななりすまし」の脅威も拡大している。特に問題になっているのがEmotetだ。一時は沈静化したマルウエアだが、今年に入って再び感染が急激に拡大している。Emotetは侵入したシステム内のメールを悪用し、例えばB社の社員が感染した場合、B社とやり取りがあったA社に対して、B社社員を装ってメールを送る。さらに、A社になりすまして別の相手をだますケースも確認されているという。
「以前メールをやり取りした人になりすますため、受け取る側の警戒度はかなり下がります。さらに恐しいのは、過去のメールさえ持っていれば、参照したメールに簡単な文面をつけるだけで、攻撃を容易に自動化できることです。こうした特性を理由に、攻撃が急増しているといえます」と吉岡氏は警鐘を鳴らす。
