ソフトウェアサプライチェーン攻撃が再び注目 - クラウドストライクが調査

クラウドストライクは12月16日、独立調査会社のVanson Bourneが実施した2021年度版「CrowdStrikeグローバルセキュリティ意識調査」を発表した。同調査は2021年9月～11月にかけて、米国、英国、フランス、ドイツ、スペイン、イタリア、オランダ、サウジアラビア、アラブ首長国連邦、インド、日本、シンガポール、オーストラリアの主要業界に従事するIT関連部門の意思決定者とITセキュリティ担当者2200人を対象に実施した。

今回の調査結果を受け、クラウドストライクリージョナル・マーケティング・ディレクターの古川勝也氏は「今年の特徴はソフトウェアサプライチェーンの脆弱性、ランサムウェア攻撃/身代金支払いの増加、インシデントの検知・把握・封じ込めの長時間化、国家主導型攻撃に対する懸念、アイデンティティ特化型の侵害、サイバーセキュリティに対する意識とスキルに対する懸念が挙げられる」と6つのポイントを紹介した。

クラウドストライクリージョナル・マーケティング・ディレクターの古川勝也氏

再び注目を集めるソフトウェアサプライチェーン攻撃

2021年はソフトウェアサプライチェーン攻撃のまん延と対応の必要性に加え、二重脅迫を含めたランサムウェア被害の激化や、コロナ禍によるリモートワーク体制に起因するインシデントの増加が明らかになった。

SunburstやKaseyaといった最近の侵害事例により、ソフトウェアサプライチェーン攻撃が再び注目を集めており、国内の調査対象者の74%が過去にソフトウェアサプライチェーン攻撃に遭い、41%は12か月以内のこともありも、問題が大きく広がっていることがわかるという。

調査結果によると、調査対象者のうち「サプライチェーン攻撃はこれから3年間で最も大きなサイバー脅威の1つとなる可能性がある」と回答したのは91%(グローバル平均は84%)にのぼっている。

こうした状況にも関わらず、過去12か月でセキュリティのため新・現すべてのソフトウェアサプライヤーを綿密に調べたのは29%(同36%)にとどまっている。

自分の属する組織のサプライチェーンについてITセキュリティの面で完全な自信があると答えたのは29%、いくらか自信があると答えたのは57%となった。ソフトウェアサプライチェーン攻撃に遭った時点で、対応のための包括的な戦略を持っていた日本の組織は20%で、グローバル平均41%の約半分となっている。

国内におけるソフトウェアサプライチェーン攻撃の概要

引き続きランサムウェアには注意を

調査結果では、2020年比で92.3%増(グローバルでは62.7%増)と国内の身代金被害額の高騰が明らかになっており、ランサムウェア攻撃が引き続き効果を上げていることが示されているほか、現在組織は全世界的に「二重脅迫」といわれる攻撃にさらされているという。

これは、攻撃者が暗号解除を盾に身代金を要求するだけにとどまらず、データを流出または売却すると脅し、追加で金額を請求するものだ。調査結果によると、国内の調査対象者で過去12か月以内にランサムウェアの被害にあったのは61%(グローバル平均は66%)で、昨年の52%と比較して9ポイント増加している。

また、実際に身代金を支払ったのは被害に遭った調査対象者の20%(グローバル平均は24%)となり、日本で支払われた身代金の平均は225万ドル(1ドル＝115円換算で2億5875万円)で、昨年の117万ドルと比較して2倍近くに増加し、インド(292万ドル)に続き、世界13か国(グローバル平均額は179万ドル)の中で第2位となった。

日本では、身代金を支払った調査対象者の全員がさらなる恐喝にあい、追加で支払った金額の平均は95万ドル(1ドル＝115円換算で1億925万円)となり、ランサムウェア被害に遭った企業のうち、日本では結果として62%がセキュリティ担当者を拡充、60%がセキュリティソフトやインフラを強化、54%がサイバー保険に加入している。

なお、ランサムウェアに遭った際に、包括的なセキュリティ戦略を持っていたのは30%にとどまり、これは中東と並び、今回の調査対象エリアで最下位となる。なお、グローバル平均は43%となった。

国内におけるソフトウェアサプライチェーン攻撃の概要

組織に問われるインシデント対応

インシデントについては侵入後1分以内に脅威を検知して、10分以内に調査して把握し、60分以内に封じ込めて排除する「1-10-60」ルールよりも検知・把握・封じ込めまでに時間を要しているという。日本の場合、1分以内に脅威を検知できる組織は5%(グローバル平均は54%)、10府に内に調査して把握する組織は7%(同10%)、60分以内に封じ込めて排除が可能な組織は17%(同23%)となっている。

日本において、1-10-60ルールを満たせない要因は「多すぎるさまざまなソリューションの統合が困難」が47%(グローバル平均は%)、「サイバーセキュリティ部門のリソース不足」が51%(同42%)、「更新・保護が困難なレガシーインフラ」が38%(同42%)、「セキュリティソリューションの機能不足」が46%(同39%)、「インシデントが多すぎて把握できない」が38%(同31%)。

インシデントの検知・把握・封じ込めが長時間化しているという

国家主導が攻撃に対する懸念に関しては、今後12か月以内のサイバー攻撃の起点と考えられている国は日本においては中国とロシアが76%、北朝鮮が48%、欧米が34%と続き、国家主導型攻撃が強まると考えている企業は84%(グローバル平均は86%)に達する。

中国とロシアからの国家主導型攻撃に日本は昨年より懸念が拡大している

リモートワークの浸透で人々の働き方や脅威環境が変化し、組織がサイバー態勢を強化するためには、より迅速なアクションと新しいテクノロジーが求められるようになるという。従業員がリモートで業務にあたった直接の結果として、サイバーインシデントに遭ったと回答したのは日本の回答者の71%(グローバル平均は69%)となっている。

古川氏は「日本で懸念される攻撃のタイプのトップはランサムウェア、次いで一般的なマルウェア、フィッシング/スピアフィッシング、ID認証の盗用、サプライチェーン攻撃と続く。特にランサムウェア攻撃向けのセキュリティ対策を強化するうえで組織の障壁となっているものは『性格な脅威インテリジェンスの不足』が45%、『サイバーセキュリティに関する社内の意識が低い』が43%、『IT/セキュリティ部門のスキル不足』となっている。当社は、このような課題に対して日本の状況を把握したうえで最適なソリューションを提供していくことに注力する」と述べていた。