これはIT部門だけの問題ではありません。FBIの報道官は、ランサムウェア、内部脅威、そしてファームウェアやハードウェアに対する攻撃がサイバー脅威を増大させていると報告しています。

FBIのサイバーセキュリティのエキスパートによると、高度な知識を持つ犯罪者が新たな金儲けの方法を模索する中、今後企業のITシステムでランサムウェア、内部脅威、およびファームウェアやハードウェアの脆弱性を利用するサイバー攻撃が急増すると見られています。

また、FBI Houston Cyber Task ForceのコンピューターサイエンティストであるJames Morrison氏によると、犯罪組織は常に新たな攻撃手段を探し求めており、オペレーティングシステムやソフトウェアの不具合を修正するためのパッチが適用されると、ランサムウェアとファームウェアやハードウェアに対する攻撃が注目を集めます。

Morrison氏は、ラスベガスで開催されたHPE Discoverにおいて、このような新しいタイプの攻撃とともに、絶対に確実な内部脅威もすぐになくなることはないと語っていますが、こうした攻撃を駆使する組織はさらに巧妙化して、潤沢な資金を持つ犯罪グループへと進化を遂げています。

これについて、同氏は次のように述べています。「私たちは、犯罪者が地下に潜んでとか、親元で暮らしているような人間がサイバー犯罪を仕掛けているとかいった考えを捨てなければなりません。多くの場合、サイバー犯罪者は何らかの庇護を受けている国にある、24時間365日フル稼働のデータセンターを拠点としているのが実情です」。

また同氏は、米国の企業に対するサイバー攻撃の約75%が、組織的な犯罪グループによるものであると付け加え、「現在直面している危機の重大さを理解しなければならない」と聴衆に語っています。

このような犯罪組織は、国家とつながりを持っている場合もあり、同氏は、「国家と犯罪組織がこのように手を組んでいるのが現実で」、結局のところ、「犯罪グループを雇うことができるのであれば、国家がリスクにさらされることはないのではないか」と述べています。

HPEのサーバーソフトウェアおよび製品セキュリティ担当ディレクターであるBob Moore氏は、特にランサムウェアが急増していると述べています。また、Cybersecurity Ventures社の調査によると、ランサムウェア攻撃は過去2年で15倍に増加しており、来年までに14秒に1回のペースで新たなランサムウェアの感染が発生するようになると考えられています。

全世界のサイバーセキュリティ侵害のコストは、2021年までに米国の国内総生産の3分の1に匹敵する6兆ドルに達すると予想されています。全世界の違法薬物の取引額を上回るこの数値は、これまでに報告されているデータ漏洩だけに基づく予想ではありますが、「人類史上最大の富の移転と言えます」。

 

巧妙なフィッシング

組織化が進んでいることに加え、サイバー犯罪者はさらに巧妙化しつつあるとMorrison氏は言います。同氏はその他の攻撃面を挙げ、1回限りのフィッシング攻撃を仕掛けるだけでなく、信頼関係を築くために企業内の人物と継続的にやり取りを行っている犯罪者もいると指摘していますが、こうした犯罪者は、見込み客を装ったり、同僚になりすまして経理部門に提携企業への送金を依頼したりする可能性すらあります。

同氏によると、犯罪者は多方向から攻撃を仕掛けるようにもなりつつあり、最近では、ある銀行のハードウェアに対する攻撃を隠れ蓑にした犯罪者が、電信送金を使用してその銀行から金を盗み出すという事件が発生しています。

ただしHPEの担当者によると、幸いなことにこうした攻撃を防ぐ方法は存在します。これについて、HPEのハイブリッドIT、プラットフォームファームウェア、およびソフトウェア担当バイスプレジデントであるScott Farrand氏は、HPEの「Silicon Root of Trust (シリコンレベルの信頼性)」のようなテクノロジーは、サーバーのファームウェアをロックダウンし、不正なコードをインストールできないようにする設計になっていると述べています。

HPEのセキュリティ/アシュアランスストラテジストであるLois Boliek氏は、内部脅威を最小限に抑えるために、企業はフィッシングなどの攻撃に対する従業員の対応をテストするトレーニングプログラムを導入すべきであると提言するとともに、不注意な行動や悪意のある行為を防ぐための手段として、企業内で従業員が想定外の行動をしていないかどうかを監視することもできると指摘しています。

FBIのMorrison氏によると、多くの従業員は、知らない送信者から送られてきたメールのリンクをクリックしたり、そうしたメールの添付ファイルを開いたりしないように言われています。

それにもかかわらず、約4%の従業員がメールに記載されているすべてのリンクをクリックしていると思われ、同氏が言うには、フィッシングテストに合格しなかった従業員を解雇してしまった企業もあります。

同氏は、新しいタイプの攻撃に対応するために自社のセキュリティ対策を更新し続けることを企業に勧め、次のように述べています。「サイバーセキュリティは持続的なプロセスでなければならず、導入してから3年間有効であることを望めるようなものではありません」。

同氏はまた、信頼できるベンダーと連携してセキュリティの課題に対処することを企業に提言し、次のように語っています。「私は常々、独り善がりになってはならないと言っています。自分たちだけではどうすることもできないほど多くの脅威が存在するのです」。

 

サイバー脅威: リーダーのためのアドバイス

• ランサムウェアとファームウェアやハードウェアに対する攻撃がサイバー脅威を増大させています。
• 2021年のデータ漏洩のコストは、報告されるものだけで6兆ドルに達すると見られています。
• FBIによると、内部脅威は依然としてもう1つの重大な攻撃面となっています。

_{この記事/コンテンツは、記載されている特定の著者によって書かれたものであり、必ずしもHewlett Packard Enterpriseの見解を反映しているとは限りません。}