【情報処理安全確保支援士】サイバーセキュリティの脅威について考える

サイバーセキュリティの脅威について

身近でよく耳にする事例

・サイバー攻撃、情報漏えい

・フィッシング詐欺

・ランサムウェア、スケアウェア

それぞれ簡単に説明していくと、

サイバー攻撃

サイバー攻撃はネットワークを通じて被害を受ける脅威の総称ですが、DOS攻撃などでターゲットへ集中的に負荷をかけてサービスをダウンさせる手法から、最近ではクラウド上の従量課金を利用しているシステムを狙ってトラフィックを大量に発生させ高額な課金請求により企業にダメージを与える事案も出ています。（EDOS攻撃といいます）

セキュリティとは全く関係ない話ですが従量課金のゲームサーバの場合、アプリをインストールしてからゲームデータをサーバから1GBとかダウンロードさせるゲームの場合は、リセマラで何回もユーザーがダウンロードすることになるので、想定外の支払いが発生することになります。

リセマラをゲーム内で完結させるほうがユーザーにも運用側にも易しい（プラットフォーマーにも）システムになるんじゃないかと思います。

他にも個人でクラウドサービスを利用していてしばらく放置していたら突然、数百万円の利用請求が届いて調査したところ、勝手に仮想通貨の採掘に利用されていたという被害報告があります。（クリプトジャッキングといいます）

個人の趣味で無料のクラウドサーバを利用し、無料期間が終わって支払い登録をした後インスタンスを起動したままにしている人は気を付けましょう。

情報漏えい

情報漏えいは、攻撃者がシステムの脆弱性をついて侵入しデータを盗み出す事例もありますが、多くの事例は内部関係者が関わっているといわれています。

不正のトライアングルという理論があり、「機会」「動機」「正当化」の３つの要素がそろったときに不正行為が発生するというものです。

「機会」についてはシステムの開発や運用に携わっている人であれば何らかの情報を流出させることはできるのではないでしょうか。

しかし、「動機」や「正当化」については、よほど個人的にプレッシャーを感じてひっ迫している状況にあるか、会社に恨みがある人でなければ湧いてこないですし、大抵の人は現金化するルートの確保や捕まった後の社会的制裁のリスクを超えることはできないと思います。企業側もコンプライアンスの重視や監視体制の強化などの対策に取り組むようになりました。

そんな中でも、システムにアクセスできる内部関係者に対して、外部の首謀者がソーシャルエンジニアリングで接触を図り不正のトライアングルを満たさせることにより、犯罪行為に協力させて情報を得ようとする事例が見られるようになってきました。

2020年に起きたテスラの事例をあげると、ロシアの犯罪グループの男がWhatsAppを通じてテスラの従業員と知り合い、半月後には知人を含めた４人で小旅行に出かけるほど信頼関係を築いています。一月後には二人きりでレストランで食事をするようになり、頃合いをみてロシアの男が「ビジネス」の話を切り出しました。

その「ビジネス」の内容が、テスラ社内のPCにマルウェアを感染させて報酬100万ドルを受け取るというもので、その男はマルウェアを通して社内の情報を盗み出し身代金を要求するという計画だったようです。

幸い、ターゲットとなったテスラの従業員がFBIに通報して攻撃を未然に防ぐことができましたが、1億円の報酬で心を揺さぶられる従業員であったら攻撃が実行されていたかもしれません。

フィッシング詐欺

フィッシング詐欺は本物とそっくりなサイトへメールや偽リンクからユーザーを誘導させて秘密情報を送信させる手口で、銀行などからフィッシングメールに注意するように通知がよく届きます。

特に多くフィッシング詐欺に利用されるタイミングがあります。

・自然災害（地震や洪水など）

・疫病や健康不安（コロナ、ワクチン接種など）

・経済的懸念（不動産や株価の乱高下など）

・選挙や法律改正（選挙協力、給付金など）

基本的に、従業員やその他の社内情報を尋ねる個人からの不審な電話、訪問、電子メールを疑ってください。社内外に関わらず個人情報や、組織の構造、ネットワークを含む組織に関する情報は、その情報を持っている人の権限が確かでない限り提供しないようにしましょう。

ランサムウェア

ランサムウェアやスケアウェアは、この名称で呼ばれることはあまりありませんが最近ではカプコンがランサムウェアでデータを暗号化されてシステム障害が発生し、盗まれた個人情報の返還と暗号化を解除させるために金銭を要求される事件が発生しました。

（身代金はビットコインで約11億円、１TBの個人情報が犯罪者の元に流出しました）

カプコンは攻撃者との交渉には応じていません。

また、REvilというロシアのハッカー集団はRaaS（サービスとしてのランサムウェア）と呼ばれるスキームを採用し、自分たちの開発したランサムウェアを配布するアフィリエイトを募集しています。奪った身代金で得た収益をREvilとランサムウェアを感染させたアフィリエイターで分配される仕組みを確立しています。

先月の話ですが、このREvilが作成したランサムウェアにより米国のソフトウェア会社Kaseyaが攻撃されました。800～1500社が影響を受けたとされスーパーのレジが停止し、学校などにも影響が出たと報じられています。攻撃を受けてから約20日後、同社は暗号化されたデータを複合するツールを入手したと発表しました。

Kaseyaに攻撃を仕掛けたグループは、今回の攻撃による全ての被害者が利用できる復号ツールを提供する見返りとして、身代金7000万ドル（約78億円）を要求したと報じましたが、同社が支払ったかどうかは明らかにされていないということです。

こういったランサムウェアの被害は年々増加しており被害が広がっています。

スケアウェア

スケアウェアは、ユーザーの心理につけ込んで金銭を要求するメッセージを送り、お金を振り込ませる手法です。

頻繁に「ウイルスに感染しました」などのポップアップを出したり、PCに負荷をかけてパフォーマンスを落とすなどをして、解決のために商品を購入させようとしたり、不正なソフトウェアをインストールさせたりします。

要求額が小さいため支払ってしまう人が多いです。

その他、日本で発生した情報セキュリティの脅威を被害の大きさでランキングした資料が、情報処理技術者試験を運営しているIPAから公表されています。

毎年更新されており「情報セキュリティ10大脅威 2021」が最新版になります。

過去のランキングも観ることができるので、ネットワークに関する被害の遷移を知ることができるとてもよい資料です。

個人における10大脅威

ペイペイ

ドコモ口座

セブンペイ

「企業における10大脅威」

情報処理技術者試験の勉強まとめ記事一覧はこちら↓

【情報処理技術者試験に役立つ！】用語と解説をまとめたリンク集（PDFデータ付き）

私が情報処理安全確保支援士試験の勉強をしていたときにまとめた資料集です。 印刷して机の横の壁やトイレのドアとかに貼っていました。 試験は無事合格でした。
https://pandadannikki.blogspot.com/p/pdf.html