あらゆる分野においてサイバー犯罪はますます巧妙化していますが、金融サービス業界におけるリスクはとりわけ深刻です。この業界は常にサイバー攻撃の標的として最も頻繁に挙げられており、各組織は、新たな優先事項、戦術、最終目的を掲げた、高度に組織化された国際的なサイバー犯罪カルテルによって調整された、絶えず進化し続ける陰謀に直面しています。
これが、今年のRSA Conference 2023で開催されるパネルディスカッション「Modern Bank Heists」のテーマです。このセッションは、Contrast Securityのサイバーセキュリティ戦略担当上級副社長であるトム・ケラーマン氏が司会を務めます。
ケラーマン氏は、今日の強盗事件は、かつてのボニー＆クライド式の強盗ほど死傷者は出ないものの、確かにその衝撃は大きいと指摘しています。 また、これらは新たなサイバーセキュリティ規制という形で、金融サービス業界に大きな変化をもたらすものとなります。例えば、ニューヨーク州金融サービス局（NY DFS）は、ランサムウェアの支払いを 24 時間以内に報告することを義務付ける「」の導入を提案しています。
米国シークレットサービスのサイバー捜査諮問委員会の委員であり、世界銀行財務局の元副CISOである ケラーマン氏は、マスターカードの最高セキュリティ責任者（CSO）であり、サイバー犯罪捜査諮問委員会の委員長を務めるロン・グリーン氏、および米国シークレットサービスのサイバー担当副特別捜査官であるマット・オニール氏と共に、金融サービス業界に影響を及ぼしている最新のサイバーセキュリティおよび電子詐欺の動向、ならびに各組織が優先的に取り組んでいる対策について議論します。 （ケラーマン氏のパネルディスカッションは、4月 24-27 日にサンフランシスコのモスコーン・センターで開催されるRSAC 2023にて、月曜日（ 4月24日）の 11:30 （東部時間）／8:30 （太平洋時間）に行われます。）
ケラーマン氏は、『 』の「Focal Point」（ ）に対し、こうした議論や、今日の金融サービス業界におけるサイバーセキュリティの動向について、一足先に紹介しました。
さっそくパネルディスカッションを始めましょう。 そのアイデアはどこから生まれたのでしょうか？
数年前、私が世界銀行に勤務していた際、金融セクターにおける情報セキュリティの課題について、史上初となる書籍を共著で執筆いたしました。『 』（）および『Electronic Safety and Soundness: Securing Finance in a New Age』（）です。。 それから6年前、私はその枠組みを見直し、『Modern Bank Heists Report』の執筆を開始しました。これは、注目すべきサイバー攻撃の動向、電子詐欺の動向、および防御策を分析する年次報告書シリーズです。
[関連記事：FS-ISACの最新レポートによると、昨年金融サービス業界で最も深刻だったサイバー脅威は、 2023年にかけてさらに激化すると見込まれています]
これら3つの柱が、今回のパネルディスカッションの指針となっています。 しかし、これは単なるこの報告書に関する議論にとどまりません。これらのテーマに関するパネリストたちの見解は、画期的であり、極めて重要なものです。
金融機関に対するサイバー攻撃は、その手口を進化させています。 今日、どのようなトレンドに注意を払うべきでしょうか？
のスピアフィッシング（）について皆が話題にしていますが、サイバー犯罪者が金融機関に侵入する方法は、実はそれとは異なります。 こうした極めて高度なサイバー犯罪組織は、API（アプリケーション・プログラミング・インターフェース。2つのソフトウェアコンポーネント間の通信を可能にする仕組みで、例えば銀行業界では決済処理や口座管理によく利用されています）を攻撃することで侵入を図っています。
「彼らは単に銀行を強盗するだけでなく、銀行のデジタルトランスフォーメーションを利用して支持者を攻撃する、人質事件へと仕向けているのです。」Contrast Securityのサイバーセキュリティ戦略担当上級副社長、トム・ケラーマン氏
さらに重要なのは、彼らが一度侵入すると、単に銀行を強盗するだけでは済まず、銀行のデジタルトランスフォーメーションを利用して支持者を攻撃する、人質事件へと発展させてしまうということです。 突然、モバイルアプリから攻撃を受けたり、銀行のウェブサイトが「ウォーターホール攻撃」を通じて攻撃を仕掛けてきたり、金融機関のメールサーバーから届いたメールに、 マルウェア やリダイレクトが含まれていたりすることがあります。 このようなことが頻繁に起きているのは、彼らが、あなたが金融機関に対して抱いている信頼や信用を理解しており、それをあなたに対して利用しようとしているからです。
また、彼らはディフェンダーたちに対しても本能的な反応を示しています。 現在、持続性を維持するために反撃を行うといった、インシデントへの対抗措置が数多く見受けられます。 それに対し、機関側が対応するにつれて、事態はエスカレートし、実際に機関に対して破壊的な攻撃が行われるに至ります。 「Wipers」や「 」ランサムウェア（ ）が、さらに拡散されています。
また、電子詐欺についても言及されていましたね。 ここにはどんな新着情報がありますか？
私たちが特に注視すべき最も重要な電子詐欺の傾向は、サイバー犯罪組織が非公開の市場情報をどのように狙っているかという点です。 彼らは、デジタル・フロントランニングやデジタル・インサイダー取引を行おうとしているのです。 彼らがシステム内で粘り強く活動し続けることを、従来とは異なる方法で収益化しているという仕組み全体について、パネリストの皆様と共にじっくりと掘り下げていきたいと考えています。
現在、金融機関はこうした脅威に対してどの程度防御されているのでしょうか？
金融機関は着実に前進していますが、その一方で、世界で最も巧妙かつ組織的な敵と対峙しています。
「サイバー犯罪を専門とするエリートカルテルと、4つのならず者国家およびその諜報機関との間には、ある種の『マフィア的協定』が存在しています。これが、ゼロデイ攻撃がこれほど爆発的に増加している理由の一つです。」ケラーマン
サイバー犯罪カルテルに加え、エリート級のサイバー犯罪カルテルと4つのならず者国家およびその諜報機関との間に、 パックス・マフィオサ が存在していることを理解しておく必要があります。これが、 ゼロデイ攻撃 がこれほど爆発的に増加している理由の一つなのです。 彼らはそれらを利用しているだけでなく、サイバー犯罪組織にも提供しています。
今日のサイバー犯罪組織による攻撃の状況を踏まえると、金融機関は今後1年間、何に最も注力すべきでしょうか？
彼らは、サイバー犯罪カルテルの手口と最終目的が変化したことを認識しなければなりません。もはや銀行強盗のようなものではなく、人質事件のようなものになっているのです。 これは、 のデジタルトランスフォーメーション を乗っ取り、それを利用して支持者層を攻撃するというものです。 ですから、彼らはそれに対抗しなければなりません。
[関連記事：デジタルトランスフォーメーションにセキュリティの変革が求められる理由とは]
また、敵対勢力による報復措置が激化していることや、諜報機関とサイバー犯罪組織との間にこうした結びつきがあることから、金融機関はガバナンス体制を改めて見直す必要があります。 のCISOがCEOに直属する体制を整えるべき時が来ています。また、 のサイバーセキュリティ専門家を取締役会に迎えるべき時でもあります。
