NicoElNino/Shutterstock.com
かつてのサイバー攻撃は、社員や顧客の個人情報が何者かに渡ってしまうものだった。しかし現在では、盗んだ情報を公開しないことや暗号化したデータの復旧を条件に身代金を要求する、「ランサムウエアを用いた攻撃」が目立つ。こうした中、企業の経営層はどのようにセキュリティー対策すべきか。「KPMGジャパン サイバーセキュリティセミナー2023」にて、国家安全保障局長として経済安全保障政策を推進した北村滋氏が、「経営者が講ずべきセキュリティー対策」を語った。
安全保障面から見た4つのサイバーリスク
北村 滋／北村エコノミックセキュリティ代表1956年生まれ。1980年、警察庁⼊庁。警備局外事情報部外事課長、同局外事情報部長など、外事警察・情報関連の役職を歴任。野田政権下で内閣情報官。第2〜4次安倍政権および菅政権下で国家安全保障局長を務め、経済安全保障政策を推進。2021年より現職。
元警察官僚、前国家安全保障局長という立場から、現在は経済安全保障における企業へのコンサルティングを行う北村氏。まず、サイバー空間における安全保障上の脅威として、次の4つを挙げた。
「サイバーエスピオナージ、重要インフラ等に対するサイバー攻撃、資金獲得、情報工作の4つが安全保障上の脅威となります。このうち資金獲得に関しては、北朝鮮の『ラザルス』というハッカーグループが有名です。ラザルスはランサムウエア（企業のコンピューターなどが感染すると暗号化などで情報がロックされてしまうウイルスで、復元・復旧に身代金が要求される）を利用し資金獲得活動を実行しているといわれます。その資金は、核開発やミサイル開発に流れていると見られています」（北村氏）
「6億円超の身代金支払い」米企業がターゲットの被害実例
ランサムウエアは企業にとって身代金の支払いを要求されるだけでなく、情報流出や企業活動の停止といったリスクもある。本講演でも北村氏はランサムウエアへの対応を中心に、、実際に起こったサイバー攻撃の事例を解説した。
「ロシアのウクライナ侵攻が始まったのは2022年2月14日ですが、ウクライナへのサイバー攻撃はその1カ月前から始まっていました。しかし、2014年にロシアがクリミア半島を併合した時もサイバー攻撃があったため、それを教訓にウクライナ当局は周到に対策をしていました。米、EUの協力もあり、ウクライナはサイバー攻撃による壊滅的な打撃を受けていません」（北村氏）
出所：北村エコノミックセキュリティ合同会社「サイバーセキュリティと経済安全保障」拡大画像表示
「企業をターゲットにしたケースでは、2021年のコロニアル・パイプライン社（米国）へのサイバー攻撃が挙げられます。ランサムウエア攻撃を受けたことで、同社が関連するパイプラインやコンビナートが、操業停止に追い込まれました。また、最終的に440万ドル（約6億6000万円）の身代金が支払われたといわれており、その一部は米連邦捜査局（FBI）が回収しています。
後ほど改めて触れますが、身代金の440万ドルは決して常識から外れた金額ではありません。わが国の企業が攻撃された際も、同等の身代金要求がされる可能性があります」（北村氏）
出所：北村エコノミックセキュリティ合同会社「サイバーセキュリティと経済安全保障」拡大画像表示
