これは「史上最悪のインターネットハッキング」と呼ばれています。
9年12月、広く利用されているオンラインのソフトウェアログ記録ツールに重大な脆弱性が発覚しました。これは、ハッカーがこのツールを悪用して、人気ゲームプラットフォーム「マインクラフト」をホストするサーバーへのアクセス権を取得したことがきっかけでした。 「 Log4Shell （CVE-2021-44228）」として知られるこの脆弱性は、ハッカーがパスワードなしでコンピュータシステムやサーバーに侵入することを可能にするため、世界的な脅威となっています。
この脆弱性が明らかになって以来、サイバーセキュリティチームは修正パッチの適用に奔走している一方で、サイバー犯罪者たちは、この脆弱性を悪用するためのツールを開発・配布しようと競い合っています。 この脆弱性が修正されない限り、犯罪者やスパイ、さらには国家が、この脆弱性を悪用して企業や政府のネットワークに侵入し、マルウェアを仕込み、貴重なデータを盗み出す可能性があります。
この脆弱性は、オープンソースのJavaロギングライブラリに存在します。Taniumの エンドポイントセキュリティ担当副社長であるジム・ケリー氏（ ）が述べているように、「このライブラリは多くのエンタープライズアプリケーションやオープンソースソフトウェアに組み込まれており、さらに他の多くのサービスにおいても依存関係として利用されている可能性があります。」 セキュリティアーキテクチャの専門家であるケリー氏は、次のように付け加えています。「設定やインストールに関する変数が多岐にわたるため、この脆弱性を特定し、修正の対象として特定することは極めて困難です。」
With just days left in 2021, it’s hard for even seasoned cybersecurity professionals to wrap their heads around the magnitude of this hack—as well as the sheer number of attacks that cybercriminals and nation-states have carried out this year.
[関連記事： Log4J とは何か、また組織をどのように保護すればよいのでしょうか？]
攻撃を受けた主要企業のリストは、今日のサイバー攻撃の蔓延を如実に物語っています： Kaseya。 コロニアル・パイプライン。 JBS食肉加工。 Twitch。 そして、もちろん、 SolarWinds。 （厳密に言えば「 2020 」のハッキング事件ですが、SolarWindsの事件はちょうど1年前に発覚し、「2021’s 」のサイバーセキュリティに関する議論の大部分を占め、大統領による大統領令の発令につながりました。）
サイバー攻撃の標的となった組織の範囲は極めて広範であり（その中には、食肉加工業者、エネルギー供給業者、ビールメーカー、そして複数の連邦政府機関が含まれていました）、誰一人として安全だとは言えない状況でした。 「文字通り、あらゆる業界や分野が影響を受けました」と、デチャートLLPのグローバル・プライバシーおよびサイバーセキュリティ・プラクティスのパートナー兼共同議長であり、この分野で全米的に認められた専門家であるブレンダ・R・シャートン氏は述べています。 “2021 は、あらゆる人々に機会が均等に与えられたイベントでした。 「サイバー攻撃は、発生頻度、手口の高度さ、そしてもちろん身代金要求額においても、あらゆる面で飛躍的に増加しました。」
最も注目されているセクター
ランサムウェア攻撃の正確な件数を把握するのは困難です。 しかし、最も頻繁に標的とされたのは、最も機密性の高いデータを扱う分野（銀行やその他の金融サービス）と、サイバーセキュリティの維持に苦慮している分野（医療や教育）でした。
「2021 」は、機会均等を重視したイベントでした。 サイバー攻撃は全般的に飛躍的に増加しました。”バーバラ・R・シャートン氏、デチャートLLPのパートナー兼共同代表
例えば、3月には、犯罪者たちが米国で7番目に大きな商業保険会社であるCNA Financialを攻撃し、リモート勤務の従業員が使用していたコンピュータを含む約 15,000 台の端末を暗号化しました。 The insurer reportedly paid more than $40 million in ransom. その2か月後、ハッカーがフランスの保険会社アクサのアジア支援部門を攻撃し、おそらく「Avaddon」ランサムウェアを使用したとみられます。
5月、ハッカーたちがアイルランド保健省およびその傘下の保健サービス執行機関（HSE）に対し、ランサムウェア攻撃 を仕掛けました。 In addition to releasing sensitive patient data online, the attackers’ software forced the cancellation of in-patient services and a delay in issuing birth and death certificates and the processing of Covid-19 tests.The University Medical Center of Southern Nevada was hit by an attack in the summer that affected the personal details of 1.3 million people. 盗まれたデータの一部は、ランサムウェアグループ「REvil」のダークネットサイト上で確認されました。
[Read also: Ransomware 101—what is it and how do I prevent an attack]
消費者向けセキュリティ企業Comparitechの編集者であり、プライバシー擁護活動家でもあるポール・ビショフ氏は、「医療業界はランサムウェア攻撃に対して特に脆弱である」と指摘しています。 それは、 の医療機関には、 に示されているように、多くのサイバーセキュリティ上の脆弱な点があるからです。その中には、ITの専門的な訓練を受けていない過重労働のスタッフが、セキュリティ対策が施されていないインターネット接続パソコンやWi-Fiネットワークを使用せざるを得ないという状況も含まれています。 さらに、地域社会の医療にとって不可欠なこうした施設は、パンデミックの間、円滑に運営を続けるよう強いプレッシャーにさらされてきました。 「そのため、彼らはランサムウェアの身代金要求に応じる可能性が高くなり、ひいてはハッカーにとってより収益性の高い標的となるのです」とビショフ氏は述べています。
手軽で匿名性のあるお金
医療分野におけるランサムウェア攻撃の復旧にかかる総費用を 2021’s として集計した人はまだいませんが、ビショフ氏らは、その金額は昨年のそれを上回る可能性が高いと述べています。 In 2020, the average cyberattack cost—for downtime, ransom paid, repairs, and replacement of devices and networks—in the U.S. healthcare sector was $1.27 million, according to Health and Human Services Department figures. By comparison, the average in the financial services industry was $2.1 million. Meanwhile, the education sector reported the highest average bill, at $2.73 million.
「医療業界は、ランサムウェア攻撃に対して特に脆弱です。」ポール・ビショフ氏、プライバシー擁護活動家、Comparitech
今年は、その費用がはるかに高くなると見込まれています。 「身代金の要求額が、 2020 年には7桁半ばだったものが、2021年には数千万ドルにまで跳ね上がったのを確認しました」とシャートン氏は述べています。
業界の専門家たちは、追跡不可能な仮想通貨がランサムウェアの身代金支払いにますます利用されることで、攻撃が助長されるのではないかと懸念しています。 仮想通貨に関する規制は世界各国で異なるため、IT業界団体ISACAのプロフェッショナル・プラクティスおよびイノベーション担当ディレクターであるジョン・ブラント氏は、仮想通貨の「世界的な法的な曖昧さが、サイバー犯罪者を大胆にさせている可能性が高い」と考えています。 とはいえ、だからといって、攻撃の原因が仮想通貨そのものにあるというわけではありません。 「それは、自動車が発明されて逃走が容易になったから、銀行強盗が増えたと言うようなものです」とブラント氏は述べています。
サプライチェーン攻撃の台頭
新型コロナウイルスは、あらゆる組織において最も脆弱な側面の一つ、すなわち、高度なセキュリティ対策を備えていない外部ベンダーの利用という問題を浮き彫りにしました。 欧州連合サイバーセキュリティ庁（ ）によると、サプライチェーン攻撃（ ）は今年、最大で4倍に増加した可能性があります。 ENISAによると、こうした攻撃の3分の2において、ハッカーはまずサプライヤーのコードベースを標的にし、そこから主要な標的へと攻撃を拡大させたとのことです。
「サプライチェーンは複雑で、世界中から調達された商品やサービスが含まれており、それらはすべて程度の差こそあれ、脆弱性を抱えています」とブラント氏は述べています。 「パンデミックをきっかけに、多くの人がクラウドサービスを利用するようになり、それによってリスクが飛躍的に高まっています。」
サプライチェーン侵害の代表的な事例として、7月上旬、IT管理およびウイルス対策 ソフトウェアのプロバイダーであるKaseya Ltd.が、REvilグループが作成したランサムウェアを使用した東欧のハッカーによって 侵害を受け、 被害に遭いました。 Kaseyaは、主に中小企業を対象にIT管理を行うサードパーティのサービスプロバイダーに自社製品を販売しています。 サイバー犯罪者たちは、Kaseyaのソフトウェアを標的にすることで、さまざまなネットワークへのアクセス権を獲得し、最大 1,500 社に影響を及ぼしました。 The hackers demanded $70 million in ransom.
[関連記事：ランサムウェアの身代金支払いは違法とすべきでしょうか？]
シャートン氏によると、サプライヤーやベンダーが標的とされるケースが増えているのは、彼らが「情報セキュリティチームにはすぐには気づかれにくい、組織の環境への裏口を提供し得る」からだと述べています。
フィッシングの手口はますます巧妙になっています
パンデミックに伴いリモートワークへの移行が進むにつれ、巧妙な「 」を悪用したメールフィッシング攻撃 や、セキュリティ対策が不十分なネットワーク機器へのハッキングも相次ぎました。
「組織が、簡単な対策を適切に実施していない、あるいはまったく実施していないために、あまりにも多くのサイバー攻撃が発生したり、事態が深刻化したりしています。」ISACAのプロフェッショナル・プラクティスおよびイノベーション担当ディレクター、ジョン・ブラント氏
「自宅のWi-Fiや、新しい同僚との顔見知りではないこと、さまざまな場所からシステムにアクセスする従業員に潜む脆弱性、そして新型コロナウイルスに関するあらゆる事柄に対する純粋な恐怖や不安といった要素が相まって、ハッカーがこれを悪用しようとする絶好の好機を生み出したのです」とシャートン氏は述べています。 「 1990s年後半以降、約 1,000 件のデータ漏洩に関する調査を担当してまいりました。 「毎年、フィッシング攻撃の手口がますます巧妙になっているのを目にします。」
実際、国際コンソーシアム「Anti-Phishing Working Group」によると、 へのフィッシング攻撃の報告件数は、パンデミックの影響により 2020 で倍増し、 2021 年も引き続き高い水準で推移しました。 今年6月、APWGでは 222,127 件の攻撃が確認されました。
よく見られる攻撃の一つに「ビジネスメール詐欺」があります。これは、詐欺師が社内の同僚やその他の信頼できる人物になりすまし、通常は偽造されたアカウントやハッキングされたアカウントから被害者にメールを送信することで、従業員を騙して金銭や金融情報を送らせようとする手口です。 ソーシャルメディア上でこれほど多くの個人情報が共有されているため、詐欺師たちはターゲットの興味や好みを掘り下げ、ユーザーの弱点を恐ろしいほど的確に突いたフィッシング詐欺を仕掛けることが比較的容易になっています。
[関連記事：サイバー保険は、サイバー攻撃に対する最善の防御策ではありません]
フィッシング詐欺師たちも、今年はさらに貪欲になりました。 APWGの報告によると、BEC攻撃における送金依頼の平均額は、前年の48,000 ドルから106,000ドルに増加しました。
セキュリティの特効薬：基本的なサイバー衛生管理
組織がハッキングの被害に遭わないための最善の対策は、基本的な サイバー衛生管理を実践することです。 まず、 が、ネットワーク上のすべてのハードウェアおよびソフトウェアを検出し、 で一覧を作成することから始まります。 ここで適用される原則は、「 （ゼロトラスト）」であり、ネットワークへのログインを試みるすべてのデバイスを潜在的な脅威として扱うものです。 多要素認証（）、データの暗号化、そして定期的にテストが行われるバックアップが重要であり、さらに「最小権限の原則」および「知る必要のある者限定の原則」に基づく権限付与も不可欠です。
「多くの組織は、システムやデータへのアクセスを制限することに関して、実に不十分な対応しかできていません。」 「業務を行う上で必要以上のアクセス権限を持っている従業員が、あまりにも多すぎます」とブラント氏は述べています。 彼はこう付け加えます。「端的に言えば、組織が簡単な対策を十分に実施していない、あるいはまったく実施していないために、あまりにも多くのサイバー攻撃が発生したり、事態が深刻化したりしているのです。」
[関連記事：増加するサイバー犯罪から組織を守るための 6 のヒント]
シャートン氏によると、今年の驚きの一つは、「身代金要求額が数千万ドル規模に達しているのを見たこと」だといいます。これは、数年前までの攻撃では当初の数千ドル程度から始まっていたのとは対照的です。
彼女によると、朗報は「攻撃者たちがついに欲張りすぎてしまい、以前は radar の下で活動し続けていたのに対し、今では政府レベルでの協調的な対応が試みられている」ということです。
