何気ない一通のメールから始まるサイバー攻撃‐24時間365日、フォレンジック調査で企業の危機に向き合い続ける現場からの警鐘

2024年は大手企業へのサイバー攻撃が相次ぎ、社会に大きな衝撃を与えた。しかし、これは氷山の一角に過ぎず、公表されていないサイバー攻撃被害は想像以上に多いという。インシデントの調査・分析を行うフォレンジック事業で、累計3万9,451件以上の相談実績を持つデジタルデータソリューション株式会社(以下、DDS) フォレンジクス事業部のお二方に、企業の命運を分ける、サイバー攻撃の適切な対処法について伺った。

(左)デジタルデータソリューション株式会社フォレンジクス事業部法人セールスグループグループ長　馬渡邦明氏
(右)デジタルデータソリューション株式会社フォレンジクス事業部法人セールスグループ　小野純平氏

数億円規模の損害をもたらす、高度化するサイバー攻撃の実態

フォレンジック調査で明らかになった被害の実態は、依頼主が想定しているよりも深刻なケースがほとんどである。フォレンジクス事業部の第一線で活躍する法人セールスグループグループ長馬渡邦明氏は、特に印象的だった事例として、数億円の金銭的被害が発生した、企業を狙ったなりすましメール被害を挙げた。

「攻撃者は海外の取引先になりすまし、過去のメールのやり取りから繋がった形で、ごく自然なコミュニケーションを取っていました。これまで行われていたメールのやり取りをすべて分析し、普段使用しているニックネームまで把握したうえで送金を依頼してきたのです」(馬渡氏)

当初、被害企業はダークウェブ上の認証情報流出が原因と考えていたが、フォレンジック調査で事態はより深刻だったことが判明。「本件とあまり関係がないと思われる他の認証情報の漏えいが確認されたため、全端末にファストフォレンジック(早急に被害範囲を特定するため必要最低限のログを収集して行う調査)を行いました。すると、攻撃者はスピアフィッシングにより、企業のネットワーク内からさまざまなメールの認証情報を窃取していた可能性が高いことがわかったのです」と、馬渡氏は手口の巧妙さを説明する。

DDSが対応した被害企業からは「まさかうちが攻撃されるとは思わなかった」「調査をしたら想像以上に被害が出ていた」との声が寄せられているという。中には「顧客情報の漏えいで取引先との契約問題に発展した」といったケースもある。映画やドラマの世界では、ハッカーが複雑なコードを打ち込み、一瞬にして巨大なシステムを乗っ取るような派手なシーンが描かれることが多いが、現実のサイバー攻撃は私たちの身近にある。メールボックスに紛れ込んだ何の変哲もない一通のメールからサイバー攻撃による大きな被害に発展するのだ。

一度被害に遭った企業が、稼働再開を優先し調査を怠ったことで、再び標的になることも少なくない。

たとえば、ランサムウェア被害を受けて、バックアップデータからシステムを復旧し業務を再開したものの、ネットワーク内にバックドアが仕掛けられていたり、外部に漏洩した認証情報がそのまま残されていたりするケースだ。馬渡氏は「数カ月後に再び攻撃を受けることもあります。最悪の場合、倒産もあり得ない話ではありません」と指摘する。

デジタルデータソリューション株式会社フォレンジクス事業部法人セールスグループグループ長　馬渡邦明氏

こういった高度な攻撃手口に企業はどう備えていくべきか。100社以上のインシデント対応に取り組んできた同グループの小野純平氏は「まずは現状のセキュリティ対策を見直すことが重要」と指摘する。

「UTMやVPNのバージョン管理の徹底、セキュリティ製品の選定など、基本的な対策は欠かせません。ただし、セキュリティ製品を販売しているベンダー企業だけでなく、インシデント対応の知見が豊富な企業にも相談することをおすすめします。多くのインシデント対応経験を持つ企業は、様々な業種へ対策提案を行っており、より実践的なアドバイスが得られる可能性が高いです」(小野氏)

忍び寄るサイバー攻撃の脅威を恐れて… 有事に備えて関心高まる企業たち

「サイバーインシデントが発生した際、最も重要なのは『何が起きたのか、その事実を明らかにして、二度と再発させないよう対策を打つこと』です。そのために必要な手段が、インシデント発生の経緯を分析するフォレンジック調査です」(馬渡氏)

続けて小野氏も「近年は企業のセキュリティ意識が高まっており、インシデント発生時の対応手順を事前に確認したいという相談も増えています」と昨今の概況を説明する。

実際、DDSに寄せられるフォレンジック調査に関する事前相談は、年々増加しているという。小野氏は「以前は数カ月に1件程度だったインシデント発生前の相談が、今では月に2、3件のペースで寄せられています。特に取引先からセキュリティ対策の強化を求められるケースが増えています」と話す。万が一のサイバー攻撃に備えて、対策はもちろん、事後対応の準備もしておきたいという企業の心理が高まっているのだろう。

「近年、サイバー攻撃を受けた後の対応が遅れたり、適切でなかったりするために、さらに問題が大きくなった企業も増えています。世間一般的にも、不祥事があったらきちんと原因を調査し、再発防止策を決めて世間に公表するところまでがセットで評価される風潮になってきたと思います」(小野氏)

デジタルデータソリューション株式会社フォレンジクス事業部法人セールスグループ　小野純平氏

インシデント発生、そのとき企業を守るのは"即応力"と"包括的なサポート"

サイバーインシデントが発生した時に備え、DDSでは24時間受付365日対応の体制を整備している。「お問い合わせをいただいてから最短30分後からWeb会議による初期ヒアリングを実施します。エンジニアも同席し、その場で必要な調査範囲を見極めて、具体的な対応プランを提案していきます」と小野氏が語るように、迅速かつ丁寧なサポートが特徴的だ。

実際の調査フローでは、まずセールスチームが状況を詳しく確認。ネットワークの状態、被害の内容、影響を受けたサーバーに保管されている情報など、重要な情報を整理していく。依頼主の予算感や状況に応じて、最適な調査方法を検討するのはもちろん、調査開始から報告書提出、報告会の実施まで、最短１週間～１ヶ月程度で完了させるという。

DDSでは「困った人を助け、困った人を生み出さず、世界中のデータトラブルを解決します」という企業理念を掲げている。サイバー攻撃では夜間や土日など、企業が対応できない隙を突いて攻撃を受けるリスクが高まるため、緊急性の高い企業への対応体制も整えているという。馬渡氏は「年末年始などの長期休暇中にインシデントが発生した場合、当社は元日でも対応を開始します」と、柔軟な対応力を強調した。

また、DDSではフォレンジック調査だけでなく、セキュリティ対策やデータ復旧も含めた包括的なサポートを提供している。

「たとえば医療機関で電子カルテのサーバーが暗号化された場合、調査だけでは不十分です。システムを早期に復旧させないと患者さんの診療に支障が出てしまう。当社は調査と復旧を並行して進められるため、お客さまの事業継続を強力にサポートできます」(馬渡氏)