『 2020年7月』によると、ニューヨークを拠点とするネットワーク技術ソリューションプロバイダー、ボイス・テクノロジーズの従業員が、自分のコンピューターにログインしてファイルを開こうとしたところ、不穏なメッセージが表示されたとのことです。 彼らのデータは暗号化されていたため、サイバー犯罪者がネットワークに侵入したことを示す兆候となっていました。
によると、攻撃者らは数百件の文書を盗み出し、それらをダークウェブに公開すると脅していたとのことです。『HIPAA Journal』。 ネットワークへのアクセスを回復し、ボイス氏のファイルを返還するために、サイバー犯罪者たちは身代金を要求しました。
攻撃者たちは――ロシアで活動しているとみられる「 」のDoppelPaymer グループの一員――、従業員150人の同社が極めて重要な局面にあることを承知の上で攻撃を仕掛けたのです。 今年の春、ニューヨーク市が新型コロナウイルスの感染拡大の中心地だった頃、ボイス社は、交通機関向け通信システムの製造から、新型コロナウイルス患者向けの低コストでFDA承認済みの人工呼吸器の製造へと事業転換しました。
「絶望的な状況になると、悪者たち［サイバー犯罪者］が金を手に入れる可能性が高くなります。」ポネモン・インスティテュートの創設者、ラリー・ポネモン氏
ボイス社は、身代金を支払ったかどうかについて公の場でコメントしておらず、本記事に関する質問への回答も拒否しました。 しかし、攻撃があった当時、同社は全国の病院へ1日あたり数百台を出荷していました。 サイバーセキュリティおよびプライバシーに関する調査機関「ポネモン・インスティテュート」の創設者であるラリー・ポネモン氏は、そのような状況にある企業は難しい選択を迫られると述べています。 彼らは、代金を支払うか、あるいはパンデミックの最中に命に関わるほどの生産遅延に耐えるかのどちらかを選ばなければなりません。
「支払いを怠った場合の結果が、あまりにも大きすぎることもあるのです」とポネモン氏は述べています。 「これは最悪の事態であり、人が亡くなる可能性もあったのです。」 彼はさらに、「絶望的な状況になると、悪党たちが金を手に入れる可能性が高くなる」と付け加えています。
規模の小さい企業ほど、狙われやすい
大企業に対するサイバー攻撃がニュースの見出しを賑わせているものの、ボイス社のような中小企業（SME）こそが、現在では最も頻繁に攻撃の標的となっています。 しかし、多額のIT予算を擁し、新たな脅威に対して常に警戒を怠らない大企業とは異なり、多くの中小企業はこうした脅威の存在すら認識していません。この認識の欠如こそが、サイバー犯罪者たちに狙われている弱点なのです。
「多くの企業は、被害を受けるのは大企業だけだと思っている」と、ウィスコンシン州に拠点を置くセキュリティコンサルティング会社「Hold Security」の創業者、アレックス・ホールデン氏は述べています。 「攻撃を受けると、彼らはいつも驚いて、『なぜ自分たちなのか？』と不思議に思うのです。」
[関連記事：ITハイジーン — ツールを増やすのではなく、エンドポイントの可視性を高めるべき理由]
サイバー犯罪者が中小企業を標的にする理由は他にもあります。それは、中小企業を通じて、その著名な顧客へと容易に侵入できるからです。いわゆる「 （）」と呼ばれるサプライチェーン攻撃です。。 このサイバー犯罪グループがボイス社のシステムを攻撃する数ヶ月前、同グループはデンバーに拠点を置く製造業者であり防衛関連企業であるヴィッサー・プレシジョン社に侵入し、同社の顧客に関する機密データを盗んだと報じられています。 のTechCrunch（ ）の報道によると、これらにはボーイング、ロッキード・マーティン、テスラ、スペースXが含まれていました。
リモートワークによって、中小企業にとっての問題はさらに深刻化しています。 以前はオフィスで会社の端末を使用し、常にネットワークに接続していた従業員が、現在は自宅で勤務しており、場合によっては、VPNに接続されていない個人所有の端末を使用していることもあります。また、その端末は、同居する他の家族や、その他多くのセキュリティ対策が施されていない家庭用デバイスとも共有されている場合があります。 サイバー犯罪者たちはこのことを熟知しており、そのため、リモート勤務の従業員や、セキュリティ対策が不十分な のエンドポイント端末を標的にするケースが増えています。。 According to a recent report by Malwarebytes, 20% of cybersecurity leaders say they have faced a security breach in 2020 that was the result of a remote worker.
フィッシング攻撃を阻止しましょう
多くの中小企業はサイバーセキュリティ対策を強化したいと考えていますが、パンデミックによって非常に大きな財政的な障壁が生じていると述べています。 ネットワークセキュリティ企業Untangleが 2020年9月実施した 調査によると 、中小企業の3分の1が、ネットワークのセキュリティ確保における最大の課題として「十分なIT予算の不足」を挙げ、38％がITセキュリティに割り当てている予算はわずか1,000 ドル以下であると回答しました。 その「小銭を惜しんで大損する」ような態度は、結局のところ大きな代償を伴います。 サイバーセキュリティの専門家たちは、組織をハッキングから守らないと、後々、はるかに大きな代償を払うことになりかねないと警告しています。 例えば、 2019年においては、中小企業におけるデータ漏洩の平均コスト（業務停止による損失を含む）は150,000ドルでした。
中小企業は、大企業のサイバーセキュリティ体制には到底及ばないものの、特に従業員への教育といったベストプラクティスの一部を、費用対効果の高い形で導入することは可能です。 ポネモン氏によると、最も大きな影響を与えているのは、 のフィッシングメール です。これは、ユーザーを騙してユーザー名やパスワードの認証を行わせたり、悪意のあるリンクをクリックさせたりすることを目的とした偽のメッセージです。 ベライゾンによると、 データ漏洩の32％ 2019 件のうち、フィッシングが原因で発生したものでした。この場合、犯罪者はソフトウェアの脆弱性ではなく、人間の脆弱性を狙っていたのです。
「かつてのフィッシングは、企業のロゴがぼやけていたり、スペルミスや文法の間違いがあったりと、一目瞭然でした」とポネモン氏は述べています。 「かなり変わりましたね。 詐欺の中には、信じられないほど個人に合わせたものもあります。 「彼らはあなたのことを知っていますし、あなたがどこに住んでいるかも知っています。」
[関連記事：リモートワークが広まる中、ソーシャルエンジニアリングから身を守る方法]
ポネモン社でさえ、最近のフィッシング攻撃の被害に遭ってしまいました。 攻撃者は彼のメールアカウントに不正アクセスして内容を閲覧し、その後、彼が普段からやり取りしている人物から送られたように見えるメッセージを作成しました。 フィッシング攻撃を見抜けるよう支援するため、ポネモン氏は、中小企業のIT責任者に対し、サイバー犯罪者が用いる手口について従業員に教育を行い、偽のメールを用いたシミュレーションを定期的に実施するよう提言しています。
パスワードによる保護を強化しましょう
また、サイバーセキュリティの専門家たちは、ログイン時の多要素認証、ファイルの基本的な暗号化、およびより長いパスワードの重要性を理解できるよう、従業員への研修を行うことを推奨しています。 これらは、短いパスワードに比べて、自動化された「パスワードスプレー」攻撃（ ）に耐える可能性がはるかに高いです。これは、サイバー犯罪者が多くのアカウントで同じパスワードを試した後、別のパスワードを試すという手口です。
「文字数が6文字か7文字程度であれば、大文字、小文字、特殊文字、数字をすべて含めても問題ありません。」 「それでも、それを破るのにかかる時間は、ほんの数秒か数分程度に過ぎません」と、アイデンティティ・セフト・リソース・センターの最高執行責任者（COO）であるジェームズ・リー氏は述べています。 「しかし、12文字のパスワードであれば、それを解読するには 300 年かかります。」 「あなたのパスワードは、あなたよりも長く生き続けるでしょう。」
企業がこの研修を主導するITスタッフを雇う余裕がない場合、ホールデン氏は「防火責任者」方式を採用することを推奨しています。 多くの企業が、火災発生時に従うべき手順を監督する防火責任者を置いているのと同様に、中小企業も組織内の数名の従業員を指名し、サイバーセキュリティのベストプラクティスを監督させることができます。
「今や情報漏洩は日常茶飯事となっています。サイバーセキュリティを無視することは、閉鎖された空間で直火を焚いても構わないと言うようなものです」と、ホールデン氏は述べています。 「サイバーセキュリティについても、同様の関心と行動の変化が求められます。」
