キャスリーン・ダフィーは、3月のこの素敵な日曜日に、自分のビジネスが突然完全にストップしてしまうとは、夢にも思っていませんでした。
フェニックスに拠点を置く、30年の歴史を持つエグゼクティブ人材紹介会社「ダフィー・グループ」のCEOは、在宅勤務中、前週に自社のITシステムでメールに関する問題が発生していたことを知っていました。 そこで、週末に会社のメールやデータサーバーにアクセスできなかった際、ダフィーさんは、それが以前と同じ問題の続きだと考えました。
しかし、外部のITコンサルタントにさっと電話をしてみると、事態ははるかに深刻であることがわかりました。 ドイツのあるハッカーが、勤務先の会社のファイルをすべて暗号化し、そのロックを解除するために25,000 ドルの身代金を要求していました。 彼女がハッカーの要求に応じるまで、ダフィー・グループの業務ファイルや求職者記録――つまり、彼女の企業の命綱とも言えるもの――には、一切アクセスできなくなるでしょう。
「文字通り、当社の事業は完全に停止してしまいました」とダフィー氏は述べ、この事件により、同社は売上損失とIT関連費用として計50,000 ドルの損害を被ったと推定しています。 「本当に怖かったです。」 ひどく傷つけられたような気持ちになり、「なぜ私だけが？」と考えてしまいます。 私は良い人間ですし、私たちの組織はそれほど大きくありません。 I mean, you hear about hackers getting $5 million from Colonial Pipeline. 「なぜ彼らは私たちから数千ドルも要求するのでしょうか？」
ダフィー・グループは 35 名の従業員を擁し、年間売上高は数百万単位です。 多くの中小企業（SMB）のCEOと同様、ダフィー氏も、サイバー犯罪者が主に大企業を標的にするのは、大企業に資金が豊富にあるからだと考えていました。 同様に、従業員数約 850 名の中堅企業であるコロニアル社も、東海岸への石油供給において極めて重要な役割を果たしているにもかかわらず、自社がハッキングの標的になるほど大きな企業だとは考えていなかったのかもしれません。 実のところ、中小企業は ハッカーにとって最大の標的 となっています。その理由は、防御体制が不十分で、ITセキュリティ対策も手薄であり、長期間の業務停止を許容できないためです。
要するに、これらは手っ取り早く成果が得られる対象なのです。
「多くの中堅企業は、セキュリティ対策においてその場しのぎの対応をとっており、インシデントが発生した際にのみ、その穴を塞ぐにとどまっています」と、中小・中堅企業市場の技術動向を専門とするコンサルティング会社「SMB Group」の創業者、サンジーブ・アガルワル氏は述べています。 「昨今、ハッカーが小規模な組織をこれほど執拗に狙っている状況では、それはまさに大惨事につながる要因です。」
Before COVID-19 changed business as we know it, the U.S. Small Business Administration reported there were 30.2 million SMBs in the country, employing nearly half the nation’s workforce. （一般的に、従業員数が 100 人以下の企業は「中小企業」とされ、100 人から999人の企業は通常「中堅企業」とされます。） ベライゾンによるデータ漏洩に関する調査によると、そのうち約 の43％が、 2019年にサイバー犯罪者による攻撃 を受けました。 だからこそ、専門家たちは、中小企業は手遅れになる前に、今すぐサイバーセキュリティ対策を強化しなければならないと指摘しています。
魅力的なターゲット
フアン・ロレンサナ氏は、数十社の中小企業を顧客に持つITサポート企業「SymbiSystems」のCEOであり、最終的にダフィーさんがデータを復号するための復号キーと引き換えに、身代金を2,800 ドルに減額する交渉を成立させる手助けをしました。 ロレンザナ氏によると、中小企業（SMB）に対する攻撃の急増は、主に以下の3つの要因によるものだとされています。すなわち、オンプレミスのMicrosoft Exchange Serverの脆弱性を悪用した攻撃の件数が増加していること（ ）、Microsoft Exchange Serverの脆弱性（）、セキュリティ対策が不十分なエンドポイント端末を使用してリモートワークを行う従業員が急増していること、そして、ロックダウン中に暇を持て余したハッカーたちが、企業のデータや資産を奪う方法を考え出していることです。
「」文字通り、私たちの事業は完全に停止してしまいました。 「なぜ私なんだ？」とお考えですね。 「私たちはそれほど大きな組織ではありません。」”キャスリーン・ダフィー、ダフィー・グループCEO
ロレンザナ氏は、攻撃の被害者はサイバー犯罪者から標的にされていると感じるかもしれませんが、実際にはそうではない場合が多いと指摘しています。 彼によると、ハッカーたちは「Angry IP Scanner」や「Nmap」といったネットワーク検出ツールを使用して、インターネットアドレスのブロックを自動的に検索し、脆弱性のあるデバイスを探し出しているとのことです。 発見すると、彼らは（自分たちにとって）最も魅力的で、攻撃しやすく、リスクの少ない標的に対して攻撃を仕掛けますが、その標的は往々にして中小企業となります。
「必ずしも中小企業を特に標的にしているわけではありませんが、結果としてそう感じられてしまうことがよくあります」とロレンザーナ氏は述べています。
退職者向けサービスプロバイダーであるニューポート・グループの最高情報セキュリティ責任者（CISO）、アンドレ・ミンツ氏は、別の見解を示しています。 彼は、事業買収の対象探しは極めて専門的なものになり得ると述べています。
「悪意のある人物が、まるで宇宙空間を飛び回るロケットのように、どの星にぶつかるか探りながらインターネットをうろつくようなことはめったにありません」と彼は言います。 「彼らには、金融サービス、医療、不動産といった特定の業界や分野に最も適したスキルや適性があります。」
[関連記事：迫りくる脅威：医療機関がランサムウェアから身を守る必要がある理由]
彼は、多くの場合、まず興味のある業種から始め、そこからその業種の一分野を深く掘り下げていくと述べています。 例えば、彼の業界では、サイバー犯罪者が 401(k)退職金口座を標的にしている可能性があります。
「退職金業界のプロセスや慣行に精通している、あるいは金融サービス分野について幅広い知識を持つハッカーや詐欺師、不正行為者が存在し、その知識を悪用して個人の口座を乗っ取ったり、不正アクセスしたりする可能性がある」とミンツ氏は述べています。 「例えば、参加者のアカウント所有者が一度もアカウントにログインしたことがない場合、一部のサイバー犯罪者はそのアカウントに侵入し、初期設定を行い、まさにこのような事態からアカウント所有者を保護するために設けられたセキュリティ質問に対して、自分たちで回答を登録してしまうことがあります。」
ミントズ氏によると、中小企業に対するその他の種類の攻撃も増加傾向にあるとのことです。 犯罪者が人々を騙して機密情報やネットワークへのアクセス権、あるいは貴重品などを手に入れようとする「ソーシャルエンジニアリング」は、中小企業にとってますます深刻な問題になりつつあると、同氏は述べています。
ソーシャルエンジニアリングの最も一般的な形態は、「フィッシング」であり、犯罪者がユーザーを騙してメールやウェブ上のリンクをクリックさせ、悪意のあるソフトウェア、いわゆる「マルウェア」の侵入経路を作らせるものです。 しかし、デジタル上や電話を通じて企業の幹部を装い、警戒心の薄い従業員を巧みに誘導して、自分だけが管理する遠隔地へ認証情報や資金を振り込ませるケースもあります。
「中堅企業は特にソーシャルエンジニアリングの被害を受けやすいのです」とミンツ氏は述べ、「その理由は、多くの従業員が複数の役割を兼任しており、多忙を極めているからです。」 人は本来、人を信じやすいものです。そのため、悪意のある人物が近づいてきていることに、手遅れになるまで気づかないことがよくあります。 一方、大規模な組織では、従業員に対してこうした行動に注意を払うよう指導しており、その手口に騙されることはあまりありません。」
基本的なサイバー衛生管理
冷静に考えてみると、専門家によると、中堅企業がどれほど攻撃に対する対策を万全に講じたとしても、攻撃は依然として発生し、最終的には成功してしまうとのことです。 サイバー犯罪者の手口は極めて巧妙になり、その手法も頻繁に変化しているため、セキュリティ対策が万全な企業でさえ、彼らを先回りして防ぐのに苦労しています。
「サイバーセキュリティにどれほどのお金やリソース、時間を投じても、自分よりも優れた能力を持つ人は必ずどこかにいるものです」とロレンザナ氏は述べています。 「ハッキングを永遠に防ぎ続けることは不可能です。」
「人は本来、人を信じやすいものです。悪意のある人物が近づいてきていることに、手遅れになるまで気づかないことも少なくありません。」ニューポート・グループのCISO、アンドレ・ミンツ氏
とはいえ、中堅企業がサイバー攻撃によるリスクを軽減し、その影響を最小限に抑えるために、積極的に講じることができる対策がないというわけではありません。
まず、多くの専門家は、ハッカーにとって企業の標的となる魅力を低減させるために、基本的な のサイバー衛生管理 に注力することを推奨しています。具体的には、ウイルス対策ソフトのシグネチャを常に最新の状態に保つことです。 ネットワークファイアウォールをご利用ください。 の重要なセキュリティ修正パッチ（ ）を、遅滞なくダウンロードしてインストールしてください。 のエンドポイントデバイスを管理・保護するための強力なソリューションを導入してください。。 可能な限り、デバイスの暗号化を行ってください。 強力なパスワードおよび による二要素認証のポリシーを適用してください。 また、「3-2-1 」というバックアップ戦略に従い、組織は2種類の異なる媒体にデータの3つのコピーを保管し、そのうち1つはオフサイトに保管するようにします。 これは、ランサムウェア攻撃が発生した場合に、システムを迅速に復旧させる上で非常に大きなメリットとなります。
第二に、専門家たちは、「ゼロトラスト」というアイデンティティおよびアクセスモデルへの移行を強く推奨しています。 ここで、組織は全員のすべてのコンピューティングインフラへのアクセス権を取り消します。 その代わりに、ガートナーのバイスプレジデント兼アナリストであるニール・マクドナルド氏が述べているように、「信頼レベルは明示的かつ継続的に算出・調整され、企業リソースへの『ジャスト・イン・タイム』かつ『必要最小限』のアクセスが可能になるよう設計されています。」 マイクロソフトが最近実施した調査によると、ゼロトラストアプローチはITセキュリティチームの間で人気が高まっており、 の96％が、これを自組織にとって不可欠なもの であると回答しています。
「ゼロトラストとは、特定の技術やアーキテクチャではなく、一つの考え方です」と、マクドナルド氏はガートナー社の『 』の最新レポート『』の中で述べています。 「本質的には、暗黙の信頼をゼロにすることなのです。なぜなら、私たちが排除したいのはまさにそれだからです。」
[関連記事：リモートインフラにおけるゼロトラストの導入に関する専門家のアドバイス]
ミンツ氏は、ある種のソーシャルエンジニアリングを未然に防ぐための3つ目のベストプラクティスとして、組織内で資金の送金を承認できる人数を制限することを推奨しています。
「そうすれば、誰かが従業員に資金の移動を説得しようとしても、その従業員は『それができるのはボブだけだ』と言うでしょう。そうすれば、ソーシャルエンジニアリングの試みは失敗に終わります。」
専門家によると、 の中小企業は、大企業と同様にサイバー攻撃に対して脆弱であり、多くの点で情報漏洩のリスクがより高いといいます。その理由は、防御体制がしばしば脆弱であることに加え、業務が停止した場合の影響がはるかに大きいからです。 そのため、こうした経験をしたことのある人々は、いかなる企業もこの脅威を軽視してはならないと警告しています。
[関連記事：企業がニュースの見出しに載らないための 5 の方法]
例えば、ダフィー氏は、 への身代金支払い（ ）を行い、復号鍵を受け取った後も、システムを完全に復旧させるまでに数週間を要したと指摘しています。 また、彼女の会社のデータの一部（主にマーケティング情報）は、結局復元されませんでした。
「私たちのような一般市民が攻撃を受けているという事実を広く知らしめれば知らせるほど、誰もがそのような事態に備える準備ができるようになると思います」と彼女は言います。 「ベストプラクティスを守ったからといって、必ずしも安全が保証されるわけではありませんが、サイバー犯罪者があなたのデータや資産を盗み出すのは、間違いなくはるかに難しくなります。」
