コスタリカは、数カ月前から、前䟋のないランサムりェアの攻撃を受けおおり、生掻のあらゆる面に圱響が生じおいたす。重芁なサヌビスが停止し、教垫に絊料が枡せない、医垫がCOVID-19の感染拡倧を远跡できない、囜際貿易は停止しおしたう、ずいった倧芏暡な被害が続いおいたす。

この混乱は、決しお他人事ではありたせん。むしろ、最近䞖界䞭で増加しおいるランサムりェア攻撃の集倧成ずも蚀えるでしょう。囜内でも、今幎5月に経枈安党保障掚進法成立が成立し、8月1日に内閣府に「経枈安党保障掚進宀」が新蚭されたした。その䞭で、調査研究の察象ずなる分野にサむバヌセキュリティが含たれおいたす。

サむバヌ脅嚁が高たる䞭、政府や民間䌁業はこれらの攻撃から䜕を孊び、サむバヌ犯眪者の暙的ずなるこずを避けるにはどうすればよいのでしょうか。

「脆匱性の窓」に泚意

ハッカヌが1人、コンピュヌタの前に座り、攻撃盞手を無䜜為に決めおいる―― ランサムりェア攻撃をこのように想像しおいる人も倚いのではないでしょうか。しかし、実際のハッカヌは、数週間から数カ月かけおシステムにアクセスを詊み、皮をたき、非垞に綿密な蚈画のもず攻撃を仕掛けおいたす。

このように緎られた蚈画の䞭には、瀟䌚や䞖間的に䞍安定な時期を狙ったランサムりェア攻撃もよくある手口ず蚀えたす。最近では、りクラむナ䟵攻や新型コロナりむルスの感染拡倧などに乗じた攻撃事䟋も倚く芋受けられおいたす。

たた、サむバヌ犯眪者が悪甚する瀟䌚的な混乱は、戊争やパンデミックのような䞖界的な危機以倖にも、䟋幎、祝日や、Amazonなど倧きなショッピングサむトのセヌル期間、お盆䌑みや倏䌑みずいった長期䌑暇を狙ったランサムりェア攻撃が発生しおいたす。攻撃者の目的は、人々の泚意が他に向いおいるタむミングで、タヌゲットを動揺させるこずです。

私たちはこれを「脆匱性の窓Vulnerability Window」ず呌んでいたす。政府機関であれ䌁業であれ、組織を効果的に守るには、リスクを積極的に監芖し、それに応じたリ゜ヌスを投入する必芁があるのです。

サむバヌハむゞヌンを管理する

ランサムりェアの攻撃は、倧芏暡なセキュリティ䟵害や組織の管理䞍足の結果だず思われるかもしれたせんが、倚くの堎合、この皮の出来事は単にサむバヌハむゞヌン衛生を怠った結果ずも蚀えたす。䞀般生掻における衛生管理では健康を維持するために、予防策をずりたす。正しい知識で管理ができおいる人は、病気になりにくいずされおいたす。

組織の堎合、サむバヌハむゞヌンの管理が䞍十分だず、セキュリティのアヌキテクチャに隙間が生じ、攻撃者がそれに付け蟌む可胜性がありたす。そのため、サむバヌハむゞヌンを実践するこずは非垞に重芁です。

具䜓的には、匷力なパスワヌドの䜿甚、倚芁玠認蚌、゜フトりェアの定期的なアップデヌト、バックアップの確保などの簡単なステップで、セキュリティ基盀を維持するこずができたす。

倖郚だけではなく、内郚脅嚁ぞの察応も忘れずに

最近、Lapsus$ラプサスやContiコンティのような攻撃グルヌプが、政府や䌁業の内郚から積極的に個人を勧誘し、リモヌトアクセス認蚌の情報を販売させようずする詊みが増えおいたす。むンタヌネット䞊では、このようなアクセスを求め、高額な報酬を提瀺する、あからさたな広告が芋受けられたす。

内郚脅嚁の動機は報酬だけでなく、時には悪意を持っおいる堎合もありたす。おそらく、自分が働いおいる組織の政治や政策に賛成できない人が䟿乗しおしたうのでしょう。あるいは、圌らが去った埌に攻撃者が䟵入できるように、アクセス暩を持ち去ったり、裏口を開けおおいたりするこずもありたす。

その動機が䜕であれ、このような内郚脅嚁から組織を守るためには、モニタリングが極めお重芁です。幞いなこずに、珟圚セキュリティプログラムに蚭定されおいる行動分析孊的ヒュヌリスティックでは、特に異垞な掻動を発芋するように蚭蚈されおいたす。たた、サむバヌハむゞヌンず䜵甚するこずで、どこからの攻撃であろうずも、組織はその攻撃から身を守るこずができたす。

政府レベルでランサムりェアの増加にどのように察凊するべきか 昚今のサむバヌテロ事件を芋おいるず、これは遠い囜の出来事だず思いがちです。しかし、攻撃はどこでも起こりうるずいうのが明癜な事実です。実際、チェック・ポむントの最新レポヌトによるず、アゞア地域は䞭南米よりも䌁業・組織ごずの週次の攻撃数が䞊回っおおり、倚くの危険にさらされおいるこずが䌺えたす。

問題は、民間䌁業や公的機関にかかわらず、ランサムりェアの台頭から組織を確実に保護するための察策が十分でないこずです。実際、各囜政府はデヌタ・プラむバシヌなどの分野で厳しい措眮を講じおいたすが、ランサムりェアに぀いおはそうではありたせん。

そのため、組織を適切に保護するための匷力なコンプラむアンスや矩務付けが行われるべきなのにも関わらず、実際は䌁業が埓うこずを遞択できるベストプラクティクスやガむドラむンの制定に留たっおいたす。さらにセキュリティ担圓を任されるには、特別な資栌や怜定が必芁なわけではありたせん。これは䟋えるなら、䞀定の資栌や胜力がないのに、車の免蚱を取埗しおしたっおいるようなものです。このような状態から、サむバヌ攻撃は、ただただ政府レベルで珟実的な脅嚁ずしお真剣に芋なしおいない領域であるず感じたす。

自己満足に陥らない

サむバヌセキュリティは、衚面的な確認䜜業であっおはなりたせん。組織が適切に保護されおいるこずを保蚌するために、政府は基準を蚭定し、コンプラむアンスを実斜するために行動する必芁があるのです。

適切なランサムりェア防埡の枠組みを導入しないず、最悪の堎合、営業停止ずいった、業務に盎結するような事態に陥るこずを認識しなければなりたせん。もっず積極的に、定期的に、挔習・脅嚁の評䟡・テストを行い、システムが攻撃に耐えられるこずを確認する必芁がありたす。なぜなら、コスタリカの窮状から埗られる最倧の教蚓は、ランサムりェア攻撃は誰にでも起こりうるものであり、物理的な倧きな混乱を匕き起こすものだずいうこずだからです。

著者プロフィヌル


卯城倧士うしろ・だいじ

チェック・ポむント・゜フトりェア・テクノロゞヌズ株匏䌚瀟

サむバヌ セキュリティ オフィサヌ

通信機噚の開発䌁業、ネットワヌク/セキュリティ茞入販売代理店を経お1997幎チェック・ポむント・゜フトりェア・テクノロゞヌズに日本法人蚭立メンバヌずしお参画。むスラ゚ルでのトレヌニングを経お、セキュリティ・゚バンゞェリストずしお講挔や啓蒙掻動を務める。 感銘を受けた蚀葉は「通信は人をハッピヌにする」