クラウドストライクは11月9日、日本を取り巻くサイバー脅威の状況や注意すべきセキュリティリスクに関する記者説明会を開催した。
説明会の冒頭では、2023年で日本での事業開始から10年を迎えるにあたり、米CrowdStrike CSO(最高セキュリティ責任者)のショーン・ヘンリー氏が、同社のこれまでの事業展開を振り返った。
-
米CrowdStrike CSO(最高セキュリティ責任者) ショーン・ヘンリー氏
「日本は経済、国民にさまざまな恩恵をもたらす革新的な技術を有しているが故にサイバー攻撃の標的にされている。世界はつながっており、日本への攻撃の影響も世界におよぶ。日本市場の重要性は高いと認識しており、これまで当社は日本語に対応したサービス提供を行ってきた」とヘンリー氏。
直近、同社は2022年9月に国内で、サイバー攻撃への対応能力の訓練・評価を目的とした「レッドチームサービス」の日本語対応版の提供を開始した。
地政学的リスクの裏にサイバー攻撃あり
米FBI(連邦捜査局)にて、NCIJTF(国家サイバー捜査合同タスクフォース)の立ち上げに携わった経歴のあるヘンリー氏は、日本を取り巻く地政学的リスクに触れつつ、「現実の地政学的な問題の裏側にサイバー攻撃が存在することを強調した。
「特に日本はロシア、中国、北朝鮮といったサイバー攻撃能力の高い国に囲まれているため、セキュリティ担当者は地政学的リスクの動向に注意すべきだ」とヘンリー氏は警鐘を鳴らした。
さまざまなセキュリティベンダーが、国家が主導するサイバー攻撃を報告しているが、そうした攻撃は、企業の知的財産や政府機関の重要情報の奪取を求めるものばかりではないという。
ロシアのハクティビスト(個人の社会的・政治的な声明を打ち出すためにハッキング活動を行うハッカー)は、日本政府がウクライナを支援していることや、北方領土問題などを理由に日本企業に攻撃を加えてくるという。
また、11月2日～5日にかけてミサイルを相次ぎ発射した北朝鮮は、「経済制裁を受けている中で自軍の体制を支えるため、金銭を目的として日本企業にランサムウェア攻撃を仕掛けている」とヘンリー氏は指摘する。
「新たに攻撃者となるための参入障壁は低くなってきており、攻撃者のROI(投資利益率)は高い。すべての攻撃の裏には人が介在しており、今後も特定の集団が目的を達成するためにサイバー攻撃は続くだろう」(ヘンリー氏)
ソフトウェア開発プロセスの脆弱性は長期の懸念材料に
加えて、企業のサイバーセキュリティ対策において、ヘンリー氏は4つの懸念点を挙げた。
1つ目が「サプライチェーン」だ。顧客、パートナー、従業員、下請け企業など、企業のさまざまなステークホルダーがサイバー攻撃の侵入口になり得るものの、企業の対策は十分でない。また、サイバー攻撃者はより多くのつながりを持つ企業をねらう傾向にあるそうだ。
直近のサイバー攻撃のトレンドについて、ヘンリー氏は「日本においては、ハンズオンキーボードが昨年比で100%増加している(2022年1月1日～10月15日と前年同期の比較)」と明かした。
クラウドストライクは、同社の検知エンジンFalcon OverWatchが検知した過去12カ月間の脅威ハンティング情報をまとめたレポートを毎年発行している。2022年9月に公開された最新版(対象期間：2021年7月1日～2022年6月30日)によれば、グローバルでは前年比で50%増加し、アジア太平洋地域・日本では同比60％増だったという。
-
2021年7月1日から2022年6月30日にかけてクラウドストライクが検知したサイバー攻撃の傾向、出所：「2022年版Falcon OverWatch脅威ハンティングレポート」のインフォグラフィック
2つ目が、「ソフトウェア開発プロセスにおける脆弱性」だ。ソフトウェアにマルウェアが仕込まれ、企業が特定のソフトウェアをアップデートするとバックドアが埋め込まれる事例が多発している。
「ソフトウェアに起因するリスクは、今後も長期にわたって問題になるだろう。対策としては、システム内のあらゆる振る舞いをチェックすることだ。どこにどのようなデータが保管されているのか把握・分類されていて、複数の人からレビューがなされる状態にすべきだ」とヘンリー氏は語った。
3つ目が「ITとOT(Operational Technology)の分断」だ。ITにはセキュリティツールが導入されている一方で、OTが統合的に管理されていないためサイバー攻撃の標的となる。OTが直接ねらわれるほか、ITが標的になり組織内のラテラルムーブメントを経て、OTにも影響をおよぼすケースが散見されるという。
4つ目がハードウェアが利用できなくなるような「破壊的な攻撃」だ。ヘンリー氏によれば、ロシア、北朝鮮、イランのサイバー犯罪集団が世界の政府や企業に対して同様の攻撃を仕掛けているという。ストレージのブートセクタのコードが書き換えられ、何十台ものデバイスが同時に利用できなくなるなど、事業運営上の大きなリスクとなる。
ヘンリー氏は最後に、「デバイスの増加やネットワークの拡張に伴い、企業の管理する領域も広がっているが、可視性が備わっていないことが世界共通の問題となる。また、サイバーリスク対策が不十分であるとどんなことが起きるのか、企業では取締役層も含めて理解する必要がある」と結んだ。
Google Chromeに悪用済み脆弱性、直ちにアップデートを
