2019年のセキュリティ脅威、各社の予測

【お知らせ】がんばる企業応援マガジン最新記事のご紹介

2018年の脅威を振り返る

2019年の脅威予測の前に、2018年の脅威を振り返ってみよう。2018年の振り返りは複数のセキュリティ企業が発表しているほか、NPO日本ネットワークセキュリティ協会（JNSA）も「JNSA 2018 セキュリティ十大ニュース」として発表している。その中でも、たびたび取り上げられている脅威が、「情報漏えい」と「ソーシャルエンジニアリングの手法を用いたフィッシング詐欺」である。

JNSA 2018 セキュリティ十大ニュース（JNSAのWebサイトが開きます）

SNSの大手企業「Facebook」社では、2018年10月に大規模な情報漏えい事件が発生したと発表。該当するユーザーは最大5,000万人に及ぶとした。2018年4月にイギリスの政治コンサルティング企業である「ケンブリッジ・アナリティカ」社が最大8,700万人のユーザー情報を不正に取得したことが話題になっていた矢先のことだった。Facebook社の場合は、サービスが急激に巨大化し、ユーザー向けの便利機能を次々と提供する中で、脆弱性が発生していることに気がつけなかったという。

このほかにも、アメリカのデータ収集・マーケティング企業「Exactis」社が約3億4,000万件の個人および企業の情報を含むデータを、設定ミスによりインターネット上に公開してしまった事故や、2018年6月にはアメリカのスポーツウェアブランド「UNDER ARMOUR」の子会社がハッキングを受け、約1億5,000万人のユーザーアカウント情報が盗まれている。サイバー犯罪者にとって個人情報は、引き続き有益な収入源であるようだ。

こうして盗み出された個人情報は、アンダーグラウンドの市場で売買され、サイバー攻撃に利用される。その代表的なものが不正ログインとスパム、フィッシングメールだ。2018年は特に、フィッシングメールが急増した。メールの件名に「不在配達」や「請求書」などと書くことで、うっかり開いてしまうようにするソーシャルエンジニアリングの手法が使われている。

入手したパスワードを不正ログインに使用せず、あえてメールに表示して「あなたがアダルト動画を見ている様子を撮影した」などとして金銭を要求する「セクストーション」も多数確認された。さらに、社長などのふりをして送金指示を行う「BEC（ビジネスメール詐欺）」の被害が国内でも判明している。なお、マルウェアではランサムウェアからマイニングマルウェアへの移行が顕著であったが、仮想通貨の価値が低下したことで、マイニングマルウェアも減少している。

目次へ戻る

2019年の脅威予測

セキュリティ企業の各社による2019年の脅威予測で、例外なく取り上げられているのは「AI（人工知能）」であった。サイバー犯罪者は、既に独自のAI技術を開発してサイバー攻撃に活用していると言われているが、2019年はサイバー攻撃の対象をAIで判別したり、より重要なデータを見極めたりして、攻撃効果の最大化を図るとされている。さらに、企業などのAIシステムに直接侵入することも考えられる。

サイバー攻撃そのものについては、ファイルレスマルウェアワームの登場や、標的型攻撃の対象の拡大が指摘されている。その中でも、サプライチェーンは攻撃対象の中心となりそうだ。DDoS攻撃もより強力になり、ソーシャルエンジニアリングの手法を利用したフィッシングやスミッシング（偽装SMSによるフィッシング）も継続すると見ている。さらに、国家が絡んだサイバー攻撃も増加し、国家規模の「Fire Sale」攻撃の現実化も指摘されている。これは、交通、金融、通信、エネルギーなどのシステムへ同時にサイバー攻撃を行うもので、映画「ダイ・ハード4.0」で描かれているものだ。

IoTの進展に合わせ、サイバー攻撃も変化、活発化する。例えば、スマートホームを狙ったマルウェア攻撃なども今後は多発するだろう。また、IoTを構成する要素となる5Gの通信ネットワークや、Wi-Fiネットワークも標的になるはずだ。既に、IoTの特性を生かしたマシンベースの自動攻撃も確認されているという。標的も単なるアカウント情報だけでなく、個人の行動データなども価値が上昇し狙われるようになる。さらには、セキュリティとプライバシーの意識向上に伴い、立法や規制活動が進むとされている。

2019年は、複数の国で選挙が行われ、イギリスのEU脱退（Brexit）も実施されるなど政治的なイベントが多く、サイバー攻撃の標的になりやすい状況を迎える。日本においても、2019年のラグビーワールドカップや、2020年の東京オリンピックをテーマとしたサイバー攻撃が徐々に増加していく。元号の変更も国として大きなイベントとなるため、サイバー犯罪者はAIなどを駆使して完全な日本語を操り、より巧妙な攻撃を仕掛けてくるだろう。これにはハクティビストだけでなく、テロリストグループも参加する可能性がある。

目次へ戻る

2019年、企業が取るべき対策

多くのセキュリティ企業が予測するとおり、2019年のサイバー攻撃はより激化／進化し、複数の手法を使用して行われるようになると考えられる。基本的には、従来叫ばれているセキュリティ対策、つまり多段防御／多層防御が重要であることに変わりはない。また、セキュリティ対策機器を一元管理できるようにして、状況を俯瞰（ふかん）できるにすることも重要だ。機器同士を連携させ、初動対応の自動化を図ることも有効だろう。

IoT機器へのサイバー攻撃も増加すると思われるので、まずは自社にどのようなIoT機器があり、どこに置いてあるか、どのようなデータを扱っているかを把握する必要があるだろう。そのうえで、重要なデータを扱うIoT機器や、直接インターネットに接続しているIoT機器には対策を行う。ファームウェアなどのバージョン管理も大切な作業となる。Wi-Fiで接続している場合には、通信の暗号化設定も見直したいところだ。

一方、いわゆる「人の脆弱性」を狙うソーシャルエンジニアリングの手法は、さらに複雑になり、巧妙化すると思われるので、全社を挙げてセキュリティや情報リテラシーの教育を実施することも重要だ。特にフィッシングメールについては、メールを開く前に偽物であることを見抜けるようにしておきたい。そのためには、フィッシングの最新手法を知り、注意すべきポイントを把握し、常にそれを確認する癖を付けるようにすることが大切だ。ダミー攻撃を用いた演習や訓練なども効果的だろう。

人に関連する対策として、認証機能の強化も実施しておきたい。IDとパスワードの組み合わせだけでは、認証を突破される可能性があるためだ。可能であれば、生体認証を含む多要素認証を導入したい。とはいえ、セキュリティ対策の構築には費用がかかるので、まずは自社にとって重要な情報資産を把握し、それを守ることを第一にセキュリティ対策を考えていけばよい。また、マルウェアやサイバー攻撃に関する最新情報は、常に把握しておくようにしよう。

目次へ戻る

【お知らせ】がんばる企業応援マガジン最新記事のご紹介