これまでで最大規模となる可能性のある仮想通貨ハッキング事件の技術的な詳細は、メタバースと呼ばれる新興のデジタル世界での事業展開を検討している企業にとって、警鐘となるはずです。
In late March, North Korean hackers allegedly exploited a weakness in a method used to validate transactions on the metaverse to steal more than $615 million worth of ether cryptocurrency and the stablecoin USDC of the “play-to-earn” game Axie Infinity. The game is built on a blockchain, a Web3 technology powering the metaverse that relies on a decentralized digital ledger to record transactions widely across the internet.
仮想通貨価格の暴落や、ハッカーが盗んだコインを転売するのが困難であるという状況を踏まえると、この盗難事件は当初思われていたほど利益をもたらさない可能性があります。 しかし、エコシステムの発展の初期段階において、ハッカーがメタバース関連企業を標的にしたという事実は、今後さらに深刻なサイバー犯罪が発生する可能性があることを示唆しています。 そして、メタバースを利用して安全に取引を行ったり、会議を開催したりしたいと考えている経営幹部にとっては、これは懸念材料となるはずです。
「これは、今後相次ぐメタバースへの攻撃の成功事例の、ほんの始まりに過ぎないでしょう」と、ペネトレーションテストサービスプロバイダーであるコバルトの最高戦略責任者、キャロライン・ウォン氏は述べています。 「メタバースの人気が高まり、普及が進むにつれて、悪意のあるハッカーが得られる潜在的な利益も
増加しています。」
メタバースへの投資が増加しています
定義はさまざまですが、メタバースとは一般的に、現実世界とデジタル世界が融合した共有の仮想空間と捉えられています。 Often, it uses virtual reality (VR), augmented reality (AR), cameras, sensors, and other technologies to enable immersive 3D experiences shared with others. このデジタル世界に入ると、人々はアバターとなり、集まって遊び、交流し、ビジネスを行います。
その説明は、『 』（）や『マトリックス』（）、『』といった作品の世界観を彷彿とさせるかもしれません。 しかし、それは現実のものであり、消費者も企業も、自覚しているかどうかに関わらず、すでにメタバースを利用しているという意見もあります。 『フォートナイト』、『ロブロックス』、『マインクラフト』といった複合現実（MR）ゲームが、その先陣を切っています。 、アクセンチュア、マイクロソフト、世界経済フォーラム といった企業や、 、スター・コンスピラシー といったマーケティング企業は、メタバース において、コミュニケーションを取り、協業し、会議を行っています。 ラルフ・ローレンやナイキ といったアパレルブランドは、すでにバーチャルショッピング体験を提供しており、 自動車メーカーのBMW は、実験に活用できる工場のデジタルツインを構築しています。
[関連記事：メタバースでの会議は、従業員のエンゲージメント向上につながるのでしょうか？]
確かに、メタバースは大きなビジネスになる可能性を秘めています。 Citi predicts that digital transactions, devices, and other economic activity related to the metaverse could reach $13 trillion in value by 2030, with a population of about 5 billion users. そして、「Meta」とふさわしい名称に変更された企業をはじめ、マイクロソフト、グーグル、アドビシステムズ、スナップ、エヌビディアといったテック大手各社は、これを支えるために必要な技術プラットフォーム、ツール、サービスに多額の投資を行っています。
「メタバースには、新たな規模の経済を生み出し、世界中の人々と有意義な形でつながるという、計り知れないほど大きな可能性が秘められています」とウォン氏は述べています。
魅力的なターゲットが数多く存在します
もちろん、デジタル分野にお金が流れ込むと、サイバー犯罪者たち
もすぐにそれに追随してきます。 そして、メタバースには、魅力的な標的が数多く存在し
、その数は増え続けています。
「メタバースで生成される個人情報の量は……悪意のある者たちにとって、極めて魅力的な標的となります。」ウェインハウス・リサーチの上級アナリスト、ショーン・スプラドリング氏
例えば、商取引では、デジタル通貨を用いた取引がますます増えてきています。 多くのゲーム、エンターテインメント、小売のウェブサイトでは、非代替性トークン（NFTs）の作成、取引、販売に特化しています。NFTとは、 のアート作品、スポーツのコレクターズアイテム、楽曲、ゲーム、映画など、唯一無二のデジタルアイテムの所有権を証明する証明書のことです。 メタバースでの購入に利用されるデジタルウォレット「 」も、標的となる可能性があります。
「メタバースにおいて生成され、管理が必要となる個人情報の量は、悪意のある者たちにとって極めて魅力的な標的となります」と、ウェインハウス・リサーチの上級アナリスト、ショーン・スプラドリング氏は述べています。 「誰かが大きな一歩を踏み出し、これらすべてを実現するための取り組みを主導する必要があります。」
サイバー犯罪者がメタバースのデータや資産に侵入し、その支配権を掌握し、持ち去るために用いる手法は、必ずしも高度なものであるとは限りません。 少なくとも最初はそうではありませんでした。
[関連記事：『ジェットソンズ』の世界が現実になった――そして、未来のテクノロジーによる変革も到来しています]
メタバース・プラットフォーム・プロバイダーであるアゴラ（Agora）のデベロッパーリレーションズ担当ディレクター、エルメス・フランゴウディス氏は、ハッカーたちは現在ウェブ上で用いているのと同じ手口の多くをメタバースでも使うだろうと述べています。 彼らは、注意を怠っている個人を標的にし、 といったフィッシング詐欺や、 といったソーシャルエンジニアリング詐欺を仕掛けて、システムへの侵入を図ります。
「個人を襲うのは、手っ取り早い獲物となるでしょう。まるで、ワイルド・ウェストのほとんどの山賊が、銀行を襲うのではなく、人々を襲っていたのと同じように。」 フランゴウディス氏は次のように述べています。 「確かに、銀行や取引所は標的となるでしょう。」 「しかし、そうした攻撃の発生頻度は低下する一方で、より高度な手口を用いるサイバー犯罪者が関与するようになるでしょう。」
コバルト社のウォン氏は、「スクリーンオーバーレイ攻撃」が一般的なハッキング手法になる可能性があると述べています。 これらは、サイバー犯罪者がクレジットカード情報を盗むためにATMに取り付けるデジタルスキマーと似ています。 メタバースにおいてのみ、攻撃者は本物のログイン画面の上に重なるように複製画面を作成し、モバイルやデスクトップのユーザーを騙して、個人情報や機密情報を漏洩させようとします。 さらに悪いことに、もしその時点でユーザーがVRやARのヘッドセットを装着していた場合、この手法は現実世界に物理的な影響を及ぼす仮想の武器となりかねません。
「サイバー犯罪者は、オーバーレイ攻撃を利用して、ユーザーを実際の階段へと誘導したり、道路の真ん中へ踏み出させたり、あるいは不快な画像や音を見せたりする可能性があります」と彼女は警告しています。
[関連記事：クリプトジャッキング――コインマイナーがネットワークに侵入するのを防ぐ方法]
もう1つの新たな問題となる攻撃経路として、メタバースのハードウェアそのものが挙げられる可能性があります。 ARやVRの機器、カメラ、センサー、ケーブル、エンドポイントデバイスなど、仮想世界への接続に利用されるあらゆる機器は、アカウント乗っ取りや「中間者攻撃」、その他の悪用により、ユーザーのセキュリティやプライバシーを脅かす可能性があります。
例えば、ある研究によると、ハッカーがVRヘッドセットを装着した人物をデジタルで監視した場合、その人物の具体的な身体的特徴――眼球の動き、手の振り方、頭の動き、その他の行動特性――をすべて 活用することで、5分以内に 95％の精度で個人を特定できることが示されています。 理論上、ハッカーはこうした生体認証データを利用して、スマートフォンのウォレットやウェブサイトにアクセスする可能性があります。
予防策を講じる
フランゴウディス氏は、ハードウェアベンダーが、携帯電話のミュートボタンと同様に、ハッキングされる可能性のあるデバイスの機能を無効化したり制限したりするためのスイッチやその他の遮断機構を構築できると考えています。 しかし、彼は、こうしたツールや手法の開発には時間がかかるだろうと指摘しています。 そして、それらが一般的になるまでは、ユーザーの皆様は十分にご注意ください。
「消費者としては、こうしたデバイスによって、 自分に関する大量のデータが 収集される可能性があることを理解しておく必要があります」と彼は述べています。 「それらを使用する前に、それらがあなたや周囲の環境についてどのようなデータを収集しているのかを知っておく必要があります。」 「そのデータがどのように保存されているか、また安全に暗号化されているかどうかを把握しておく必要があります。」
一般的な攻撃手法に加え、最大の懸念は、サイバー犯罪者が、やがてメタバースの参加者が警戒していない隙を突く、新たな予期せぬ手口を見つけ出すことです。 友人や同僚のディープフェイクから、個人情報や金融情報をだまし取ろうとするボットに至るまで、オンライン上で大混乱が生じる可能性があります。 なりすましは、アバターを複製するだけの簡単なものになる可能性があります。
メタバースのセキュリティを最優先事項とする
メタバースは、進化し続け、分散型で、オープンなアーキテクチャです。 規制による監督が欠如しており、その基盤となる業界基準もまだ確立されていません。 しかし、企業やユーザーは、以下のようないくつかの予防策を講じることで、メタバースへの備えをすることができます。
- の適切なサイバー衛生管理を実践してください。 広大なメタバースに参入する企業は、 のパッチを定期的に適用し、 ウイルス対策ソフトの更新を行い、パスワードに加えて 多要素認証 (MFA) を徹底するなど、通常のセキュリティ対策が必要です。 また、デジタル防御体制の堅牢性を評価し、コードのバックドアやその他の脆弱性によるリスクを最小限に抑えるため、定期的に侵入テストや監査を実施すべきです。
- 堅牢なエンドポイント保護を確保してください。 メタバースへのアクセスには、ノートパソコン、タブレット、スマートフォンがよく使用されます。そのため、企業にとっては、すべてのエンドポイントを把握・管理し、 セキュリティを確保することが不可欠となります。。 エンドポイント保護プラットフォーム（EPP）は、多くの組織が、急速に拡大するこの仮想世界をしっかりと把握するのに役立ちます。
[関連記事：マルチクラウドセキュリティの重要な要素とは？ （ヒント：EPPがリストに載りました）]
- キーデータを暗号化してください。 アゴラのフランゴウディス氏は、 のデータが安全に送信されるよう、プラットフォームや製品に安全対策を組み込む責任はテクノロジーベンダーにあると述べています。。 しかし、さらに強固な防御を実現するためには、ITセキュリティ部門に対し、すべてのデータや通信が仮想世界に入る前に暗号化を行うよう、彼は助言しています。 「エンドデバイスとサーバー間の接続が有効であることを確認し、誰かがURLをパケットスニッフィングしたり、データ転送の間に仲介役を務めたりしていないことを確実にしなければなりません」と彼は述べています。 また、他の専門家たちは、特にエンタープライズ向けメタバースについては、データを端末に保存し、承認されていないプラットフォームへのアクセスやデータの流れを制限することを推奨しています。
- ゼロトラストを導入してください。 ネットワークの内外を問わず、身元が確認されるまでは誰をも信用しないという姿勢は、既存の中央集権型 Web2 の世界においても重要ですが、のゼロトラスト方針 や手順を通じてアクセスを制限することは、メタバースという新たな分散型 Web3 の世界においては、さらに重要な意味を持ちます。
- 教育と啓発を推進します。 「セキュリティにおいて真実であると私たちが認識している指針こそが、メタバースにおける私たちの拠り所となるべきです」と、コバルト社のウォン氏は述べています。 「サイバーセキュリティに対する意識の向上、教育、そして積極的な取り組みこそが、ハッキングを防ぐための第一歩です。」 の従業員や消費者は、不審な活動をどのように見分け、報告すべきかについて、常に指導を受ける必要があります。
「結局のところ、メタバースにおいては、個人も組織も自らを守る必要があります」とフランゴウディス氏は述べています。 「ここはまさに『ワイルド・ウェスト』のような場所ですから、ご自身で保安官の役割を果たさなければならないでしょう。」