この3年間、コロナ禍およびポストコロナのハイブリッドな企業勤務環境において、CISOやCIOの誰もが最も懸念してきた課題といえば、それはランサムウェアです。
分散型の技術者チーム――分散型ソフトウェアサービスを活用している――は、高度に自動化されたランサムウェアボットや暗号化攻撃を実行するマルウェアには太刀打ちできませんでした。 しかし今年は、『宇宙戦争』の結末のように、攻撃してくるボットたちが突然沈黙してしまうかもしれません。
ランサムウェアは終わったのでしょうか？ もしそれが解決済みだとしたら、 2023年の経営陣のサイバーセキュリティに関する懸念事項のトップには何が挙がるでしょうか？
申し訳ありませんが、ランサムウェアが、サイバネティックな要素を加えて再び猛威を振るっています
ある種のランサムウェアの傾向が薄れていくのを確かに目撃しました。ダークウェブを起源とする暗号化攻撃の連鎖や、仮想通貨による身代金要求が、セキュリティコミュニティにとって既知の存在となり始めたからです。 さらに、かつては身代金として支払われたモネロやBTCを法定通貨に洗浄していた多くの仮想通貨取引所が、倒産したり、当局によって差し押さえられたりしています。
それにもかかわらず、ランサムウェアは今まさに勢いを増しつつあります。 NCCグループの報告によると、 41％増のランサムウェア攻撃が （新しいタブで開きます） 2022年11月のわずか1か月間で発生しました。これは、連休を控えていたため、多くの企業で対応要員が不足していたことが原因とされています。
この攻撃者は、人間とシリコンを融合させた新しいサイバネティックな姿でも再び現れています。 技術に不慣れなスクリプトキディでさえ、ChatGPT （新しいタブで開きます） やその他のAIベースのチャットボット機能を利用して、高度な攻撃コードを作成・実行することができます。
このアプローチの特に厄介な点は、今日のチャットボットが持つ対話型AIの能力と、人間の相手と共犯者として喜んで協力しようとする姿勢にあります。 ChatGPTは、既存のコードやシェルスクリプトの膨大なライブラリから、自動化されたハックを適応させることができます。 （新しいタブで開きます）
また、AIチャットボットは、過去のカスタマーサービスでのやり取りに基づいて、一見本物のように見えるビジネス上の会話を生成することができ、従業員を騙して、ソーシャルエンジニアリングの手法でアカウントやネットワークへのアクセス権限を不正に取得し、マルウェアを配信することが可能です。そのマルウェアは、AIチャットボット自身が作成に関与していた可能性もあります。
こうした攻撃のほとんどは、もはやデータを暗号化し、ロックを解除するために身代金を要求するという従来の手法さえも用いておらず、ハッカーが脅威を取り除くという約束を果たすとは、誰も信じてはなりません。 サイバー犯罪者たちは、将来的にデータやインフラが破壊されるのを防ぐため、あからさまに2回目や3回目の支払いを強要しています。
ソフトウェアのサプライチェーンには、専任の責任者が配置されることになります
ソフトウェアのサプライチェーン (新しいタブで開きます) には、人によるものと自動化されたものの両方のソフトウェア提供プロセスが含まれます。 作成またはコピーされるすべてのコードやコンポーネント、そして本番環境への展開に向けてソフトウェアビルドの設定やパッケージ化を行うすべてのツールは、いずれもサプライチェーン攻撃の潜在的な侵入経路となります。
Log4j のエクスプロイト （新しいタブで開きます） （2021年12月 ）は、非常に広く使用されているJavaロギングユーティリティのシェルスクリプト機能に、数千もの機密性の高い企業および政府システムに見られる広範な脆弱性をもたらしました。
開発者は常に生産性の最大化を目指しているため、Stack Overflowからコードスニペットをコピーしたり、人気のあるNPMソフトウェアコンポーネントパッケージをビルド構成に取り入れたりしてから、GitHubやその他のリポジトリで共有するのはごく自然なことです。 自分で設定コードを一から書くよりも、他の方が使っているものでうまくいくものを使うほうが、はるかに簡単です。
政治的な緊張が高まっているこの時代において、国家を背後に持つ攻撃者たちは、一般的に使用されているソフトウェアやファームウェアにおけるゼロデイ攻撃の威力を十分に認識しています。 こうした悪意のある攻撃者は、ソフトウェアのサプライチェーンを悪用する際、とりわけ卑劣な手口を用います。というのも、彼らの目的が単に金銭を搾取することという、あからさまなものではないからです。
マルウェアや悪意のある呼び出しを仕込むことで、攻撃者は何年も気づかれることなく潜伏し、機密情報を盗み出したり、システムを破壊するペイロードを送り込む絶好の機会を待ち構えたりすることがあります。 経営陣もこの事態を認識しており、 企業のCIOの82％以上が、 （新しいタブで開きます） サードパーティ製のソフトウェアパッケージへの依存度が高まっているにもかかわらず、自社のソフトウェアサプライチェーンには脆弱性があると考えていると報告しています。
まさにその理由から、今年はセキュリティコミュニティがソフトウェアのサプライチェーンをめぐって結束を深めていくことになるでしょう。さらに、各国が独自の「技術サプライチェーン担当責任者」を任命し、インターポール式の情報共有ネットワークを構築するなど、この新たな脅威の報告や対応に向けた取り組みに、主要企業も加わって、各国が本格的に動き出す可能性さえあるでしょう。
オープンソースの兵器化
ソフトウェア・サプライチェーンの主要な基盤として、オープンソースソフトウェア（OSS）は、おそらく史上最大の価値創出源となっています。 Apache財団が公開していると発表している220億米ドル相当のソフトウェアを考慮すると、オープンソースを他の企業と同様に評価した場合、その時価総額は今や1兆ドルを軽く超えているはずです。
かつてはプロプライエタリなソフトウェアを提供していたベンダーでさえ、OSSの分野に参入しつつあります。その理由は、自社の優秀なエンジニアたちがオープンソースプロジェクトへの参画を望んでいること、そして、グローバルな開発コミュニティにおいてリーダーシップを発揮する企業は、OSSを基盤とした差別化されたサービスを通じてエンドユーザーにより良い価値を提供し、対象市場の規模を拡大できるからです。
残念ながら、攻撃者たちはこの大きなトレンドに目を付け、入手しやすいオープンソースのコードリポジトリを精査し、マルウェアの足場を潜り込ませるようになっています。 開発コミュニティもまた、この課題に積極的に取り組んでおり、ホワイトハット系の脆弱性探索の専門家を投入することで、ゼロデイ攻撃が悪意ある目的に利用される前に先手を打つよう努めています。
分散型チームがリポジトリからダウンロードするオープンソースパッケージの数がこれほど多い中（ある推計によると、Gitのダウンロード数は週に10億件を超えているとのことです）、企業は自社のソフトウェアサプライチェーンに対して責任を負う必要があり、継続的な SBOM（ソフトウェア部品表） （新しいタブで開きます） 監査およびレビューサイクルを通じて、使用されているすべてのオープンソース要素とそのバージョンについて、リスクに基づいた包括的な把握を行う必要があります。
Intellyxの見解
人間の攻撃対象領域は、革新的な自動化よりも常に大きなセキュリティリスクをもたらすことになります。 これは、決して消えることのないサイバー分野のメガトレンドの一つです。
マルウェアや認証情報の盗難の多くは、依然として、善意の従業員を介して、 のようなフィッシングメール や、説得力のある といったソーシャルエンジニアリング攻撃、あるいは開発者が同僚から勧められた一見有用そうなパッケージをダウンロードすることなどを通じて発生しています。
むしろ、人間と知能を備えた自動化システムが連携して、重要なアプリケーションやデータを攻撃からも防御からも守るという、新たな現実へと一巡したと言えるでしょう。
の最新のサイバー脅威インテリジェンスについては、こちらの週次まとめブログでご確認ください。 (新しいタブで開きます)
©2023 Intellyx LLC. Intellyxは、本コンテンツの編集上の責任を負います。 この記事の執筆時点で、TaniumはIntellyxのクライアントです。
