金融サービス企業を標的とした 2022—distributed 件のサービス拒否（DDoS）攻撃、ランサムウェア、ビジネスメール詐欺（BEC）など、数多くの脅威の中でも、サプライチェーンの脆弱性が、今後1年間で最も差し迫ったリスクのトップに挙げられています。これは、金融サービスセクターに影響を及ぼすサイバー犯罪に関する最近の分析によるものです。
これは、金融サービス情報共有・分析センター（FS-ISAC）が発行する年次報告書『 : Navigating Cyber 2023』（）における重要な調査結果です。FS-ISACは、サイバーインテリジェンスの共有を行う非営利団体であり、銀行、証券会社、保険会社、信用組合など約 5,200 の加盟機関を擁し、75 カ国で総資産100 兆ドルを管理しています。
金融サービス企業は、一般的に資金力が豊富で、最高のセキュリティツールセットを導入できるにもかかわらず、依然としてサイバー犯罪者にとって格好の標的となっています。
According to FS-ISAC, its members reported a 300% increase in BEC attacks in 2022 over the year before. 欧州の金融機関に対する分散型サービス拒否（DDoS）攻撃 は、同期間に 73％増加し、同地域におけるDDoS攻撃全体の半数を占めました。 また、 の暗号資産 によるランサムウェア攻撃者への支払いは、こうした支払いに対する制裁措置により2022—likely 年に減少した可能性がありますが、同報告書によると、FS-ISACのメンバーは依然として「絶え間ない」攻撃の波に直面しているとのことです。
「業界全体で、年を追うごとに、この報告書に記載されているような同種の攻撃が数多く見受けられます」と、リバティ・ミューチュアル・インシュアランス社のオフェンシブ・セキュリティ担当ディレクター、クリス・ブロー氏は述べています。
本レポートでは、 2022 年に金融サービス企業を標的とした最も重大な脅威を取り上げ、FS-ISACのアナリストたちが2023年の残りの期間を通じて最も重大なリスクになると見ているものについて考察しています。 ネタバレ：技術の進歩により、昨年見られた脅威のほとんどは、今後さらに増加する可能性が高いと思われます。
地政学的対立やMFAバイパス攻撃が脚光を浴びています
2022年において、金融サービスのサイバーリスクに最も大きな影響を与えたのは、地政学的対立の激化であることが明らかになりました。 「 ロシアによるウクライナ侵攻 によってさらに激化した既存の緊張が、 ハクティビストによる活動 の急増を引き起こし、その勢いは今も衰えることなく続いています」と、報告書は述べています。 「中国による台湾統一の目標や、イランによるイデオロギーに基づく欧米の金融機関への攻撃は、地政学的なサイバー脅威の情勢の一因となっています。」
「ソフトウェアのサプライチェーンに関する脅威が、 2022のリストでトップにならなかったことに驚きました。」 2023の脅威ランキングで1位になっているのを見て、特に驚きはありません。「」リバティ・ミューチュアル・インシュアランス社のオフェンシブ・セキュリティ担当ディレクター、クリス・ブロー氏
金融サービスのセキュリティチームは、今後1年間、特にロシア・ウクライナ、中国・台湾、イランといった緊張地域における地政学的緊張や、政治的な動機を持つ可能性のあるハクティビストの動きを引き続き注視していくことになります。 紛争に関与している国々と密接な関係にある大手金融サービス企業は、自らが標的となることを想定しておくべきです。
の多要素認証（MFA） に対する攻撃も、昨年、金融サービスのセキュリティチームを大いに忙しくさせました。 2022年半ば、FS-ISACのメンバーは、Office 365 の顧客を標的とした、認証情報の収集を目的としたやフィッシング 攻撃の増加を経験しました。 MFAに対するこの種の攻撃は、通常「中間者攻撃（AitM）」と呼ばれ、ユーザーとアクセスしようとしているサービスの間にシステムを介在させ、セッションクッキーなどの認証情報を盗み取るものです。
[関連記事：多要素認証（MFA）は、その期待に応えているのでしょうか？]
攻撃者は、盗み出した認証情報を使用して、保護されたリソースにアクセスします。 このようなAitMの手法は、米国、英国、ニュージーランド、オーストラリアの金融機関に対して用いられました。
ランサムウェアはニュースの見出しを飾りますが、BEC詐欺の方が（はるかに）大きな損害をもたらします
同報告書によると、ランサムウェア「 」による攻撃は依然として深刻な脅威であり、「かつてないほど優れたビジネスモデル」であることが明らかになっています。
According to FS-ISAC analysts, the top two industries under assault from ransomware in 2022 were manufacturing and the professional, scientific, and technical services sector, with finserv and insurance firms coming in third. 残念ながら、金融サービス業界のサードパーティサプライヤーやベンダーの大部分が、専門・科学・技術サービス部門に属していることを考えると、3位という順位にはあまり慰めにはなりません。
そのため、金融機関は直接攻撃を受けていない場合でも、リスクにさらされることになります。 昨年、金融セクターのサードパーティサプライヤーを標的としたランサムウェア攻撃には、アイルランドの銀行向けソフトウェア企業「 CR2」、デジタルセキュリティソフトウェア企業の「Entrust」、および財務・会計ソリューションプロバイダーの「Exela」が含まれていました。
サイバー犯罪グループが攻撃を拡大するために「ランサムウェア・アズ・ア・サービス（RaaS）」プロバイダーを利用し続けている一方で、BEC詐欺も横行しています。 「BECは、世界中の企業に影響を及ぼす、最も一般的かつ多額の損害をもたらす詐欺の一つとなっています」と、報告書は述べています。 BECにはいくつかの形態がありますが、FS-ISACに最も多く報告されているのは、なりすまし詐欺やベンダー詐欺の一環として行われる給与振込の流用要求や不正な支払い要求です。
[関連記事：ビジネスメール詐欺グループが世界規模で活動――多言語化も進む]
そして、こうした攻撃は積み重なっていくのです。 According to the FBI’s Internet Crime Complaint Center, the FBI received BEC complaints totaling $2.4 billion. That’s considerably more than the $49.2 million in damages reported from ransomware complaints.
ソフトウェアのサプライチェーンとAIに関するリスクが、今後1年間を左右する可能性があります
昨年、ソフトウェアのサプライチェーン に対する脅威は、ますますデジタル化が進むビジネス環境を標的としており、そのデジタル化の勢いは衰える気配が見られません。 2022年において、FS-ISACのメンバーから報告された最も多く見られた サプライチェーン攻撃 は、ソフトウェア更新の乗っ取り、不正なコード署名、およびオープンソースコードの侵害でした。
「AIなどの新しいツールにより、技術力の低い攻撃者でも効果的に攻撃を行えるようになってきています。」ブロー
「マルウェア・アズ・ア・サービス」の利用機会が増加していることや、モバイルバンキングアプリやオープンバンキングの人気が急上昇していることを踏まえると、こうした手口は今後さらに増加すると予想されます。 2018で広く導入されたオープンバンキングは、金融データへの迅速なアクセスを可能にするアプリケーション・プログラミング・インターフェース（API）を活用しており、これにより消費者は競合する銀行サービスを容易に比較検討することができます。 のレポート（）によると、昨年のAPIに対する攻撃件数は 681％急増しました。
「ソフトウェアのサプライチェーンに関する脅威が『 2022』のリストでトップにならなかったことに驚きました」とブロー氏は述べています。 「それが『 2023』の脅威ランキングで首位になったとしても、驚くことではありません」と彼は付け加えます。
ハクティビストをはじめ、一般的なサイバー犯罪者や、個人的な恨みを抱えた素人までもが、人工知能（AI）技術の進歩によって後押しされることになるでしょう。これは、今年だけでなく、今後数十年にわたって状況を一変させる要因となる可能性があります。
[関連記事：AIを実際に一時停止することはできるのでしょうか？ 1,100 専門家たち――そして、もちろん、イーロン・マスク氏も――は「はい」と答えています]
AIを活用した生成型テキストチャットボット「 （ChatGPT）」 は、11月にサービスを開始したばかりですが、すでにこのツールが、悪意のあるコードや、本物と見分けがつかないほど巧妙なフィッシングメールの作成に悪用されています。 生成型言語モデルは、情報窃取型マルウェアや暗号化ツールなども生み出しています。 このような脅威がある限り、最前線で活躍するセキュリティの専門家たちは、常に警戒を怠ることができません。
「組織犯罪や新興のハッカーたちが気にかかります」とブロー氏は述べています。 「AIなどの新しいツールにより、技術力の低い攻撃者でも効果的に攻撃を行えるようになってきています。」
AIを活用した攻撃が相次ぐと予想されているにもかかわらず、FS-ISACのアナリストたちは、AIを活用した防御策が有効であるとの見方を依然として楽観視しています。 また、 による自動化されたアプローチへの投資拡大も想定されています。 から までの脆弱性 および パッチ 管理についてです。 それでもなお、彼らは金融サービスのセキュリティチームに所属する男女を、心から信頼しています。
同報告書は、「当面の間、自動化によって、熟練した専門家の判断力や専門知識が置き換えられることはないでしょう」と結論づけています。