ランサムウェア攻撃件数が2017年の2倍に増加、企業の基幹システムも標的に
-ランサムウェアは悪意あるソフトウェアの中でも普及―マルウェア関連インシデントの39％で確認
-人的要因が依然として弱点―プリテキスティングやフィッシング攻撃が人事部門（HR）を標的に
-DBIR第11版では67の協力組織からのデータを収集―65か国におよぶ53,000件のインシデントと2,216件の侵害を分析
ベライゾンジャパン合同会社（東京都千代田区、執行役員社長：藤井一弘、以下「ベライゾン」）は、2018年度ベライゾン漏洩／侵害調査報告書（略称：DBIR）」の日本語版エグゼクティブサマリー（要約版）を本日発表しました。本報告書では、ランサムウェアがグローバルな企業・組織に標的としたサイバー脅威の中核を成すことを警告しています。ランサムウェアはもっとも一般的な種類のマルウェアで、マルウェア関連のデータ侵害のうち39%で確認されており、昨年度のDBIRの2倍となる700件以上のインシデントが報告されました。さらに、ベライゾンの分析によると、攻撃がファイルサーバーやデータベースを暗号化する企業の基幹システムを標的し、より深刻なダメージを与えると共に身代金の額もより高額になっています。
-ランサムウェアは悪意あるソフトウェアの中でも普及―マルウェア関連インシデントの39％で確認
-人的要因が依然として弱点―プリテキスティングやフィッシング攻撃が人事部門（HR）を標的に
-DBIR第11版では67の協力組織からのデータを収集―65か国におよぶ53,000件のインシデントと2,216件の侵害を分析
ベライゾンジャパン合同会社（東京都千代田区、執行役員社長：藤井一弘、以下「ベライゾン」）は、2018年度ベライゾン漏洩／侵害調査報告書（略称：DBIR）」の日本語版エグゼクティブサマリー（要約版）を本日発表しました。本報告書では、ランサムウェアがグローバルな企業・組織に標的としたサイバー脅威の中核を成すことを警告しています。ランサムウェアはもっとも一般的な種類のマルウェアで、マルウェア関連のデータ侵害のうち39%で確認されており、昨年度のDBIRの2倍となる700件以上のインシデントが報告されました。さらに、ベライゾンの分析によると、攻撃がファイルサーバーやデータベースを暗号化する企業の基幹システムを標的し、より深刻なダメージを与えると共に身代金の額もより高額になっています。
DBIRの分析では、金融系をターゲットとしたプリテキスティングやフィッシングなどのソーシャルアタックの利用目的が変化していることが報告されています。これらの攻撃は、従業員を通じて企業内部に入りこんでいますが、現在では部門ごとの問題となってきています。同分析は、業界を問わず企業の人事部門（HR）が標的となり、犯罪者による従業員の給料や納税のデータの引き出し、税金詐欺や税還付の搾取が起こりうることを示唆しています。
ベライゾンエンタープライズソリューションズ社長のジョージ・フィッシャーは次のようにコメントしています。「企業にとって脅威の現状に追いついていくのは困難であるため、ダイナミックかつ積極的なセキュリティ戦略を導入しないままでは、ビジネスを危険にさらされたままの状態を継続することとなります。ベライゾンは、DBIRシリーズおよび包括的で幅広いインテリジェントセキュリティソリューションやサービスの提供を通じて、サイバー脅威の現状に対してデータに基づいた実践的な情報をお届けしています。第11版となる今回のDBIRでは、サイバー犯罪の現場でいま何が起きているのか、徹底した情報と分析を提供し、企業・組織が身を守るには何がベストなのかを賢く判断できるように支援しています」
主な調査結果のサマリー
DBIR第11版でも、サイバー犯罪の現状について包括的なデータに基づいた分析を提供しています。2018年度調査報告書の主な結果は次の通りです。
-ランサムウェアが悪意あるソフトウェアの中でもっとも普及―今年度検証したマルウェア関連インシデントの39%に確認されており、2017年版DBIRの5位（2014年版では22位）から上昇しました。もっとも重要な点として、ベライゾンのデータセットでは、デスクトップに留まらず企業の基幹システムにまで影響出始めていることが明らかになっています。これは、身代金額の高騰を招き、サイバー犯罪者がさらに少ない手間でより大きな利益を得ることできるようになることを意味しています。
- 人的要因が弱点：従業員たちがソーシャルアタックの被害を受けています。金融情報詐取やフィッシングは、ソーシャルなインシデントの98%、調査対象の侵害事象の93%を占めています。その入り口となるのは引続き電子メールが主流（インシデントの96%）で、ソーシャルアタックによる侵害は実際の脆弱性より3倍も発生しやすい状況のため、今後も従業員へのサイバーセキュリティ教育をしていく必要性が強まっています。
- 金融情報詐取の標的は人事部門：2017年版DBIRから5倍以上の伸びを記録したがなりすまし詐欺で、今年度は170のインシデントが分析されました（2017年度DBIRではわずか61インシデントでした）。170のうち88のインシデントは、人事部門スタッフを意図的にねらったもので、不正に還付申告するための個人データの詐取を目的としていました。
- 無視できないフィッシング攻撃：昨年のフィッシングのテストでは78%の人は引っかからなかったものの、4%の人がなんらかのフィッシングに引っかかりました。サイバー犯罪者にとって、企業・組織内部へのアクセスを手に入れるには被害者が1人いればよいのです。
- DDoS攻撃はどこにでもある：DDoS攻撃は誰にでも影響しうるうえに、カモフラージュとして利用されることが多く、他の侵害が進行中であることを隠すために開始、停止、再開されることが多くなっています。強敵ではありますが、正しいDDoS対策がとられていれば管理は可能です。
- ほとんどの攻撃者は外部：1回の侵害に複数の攻撃者がいることもありますが、次のようなことが分かりました。攻撃の72%は外部からのもので、27%には内部のものが関係していました。2%に協力者がいて、さらに2％には複数の協力者がいました。分析した攻撃の50%は組織的な犯罪グループによるものでした。
ベライゾンのセキュリティプロフェッショナルサービス担当エグゼクティブディレクター、ブライアン・サーティンは次のようにコメントしています。「あらゆる規模の企業にとってランサムウェアが最大の脅威であることには変わりありません。いまではもっともよくみられるマルウェアの形態であり、近年ますます増加しています。興味深いのは、企業がいまだにランサムウェアに対抗する適切なセキュリティ戦略に投資していないことで、これでは身代金を払わざるを得なくなってしまいます。サイバー犯罪者の一人勝ちになってしまうのです。業界として、顧客がセキュリティに対してもっと積極的なアプローチをするよう支援する必要があります。直面する脅威を顧客に理解してもらうことは、顧客を守るためのソリューション導入の第一歩なのです。一方企業・組織は、サイバー犯罪や漏洩がブランド、評価、収益に与えうる悪影響に関して、従業員への教育に投資し続ける必要があります。従業員は、企業防衛の最大の弱点などではなく、防衛の最前線でなければなりません。継続したトレーニングや教育プログラムは必須です。たった1人がフィッシングメールをクリックするだけで、企業全体が丸裸にされてしまうのですから」
業界ごとに最大リスクを分析
今年度の報告書では、それぞれの業界が直面する最大の脅威をハイライトすると同時に、企業がこれらのリスクを軽減するために何ができるかについての指標が示されています。主な業種における調査結果は以下の通りです。
- 教育- 個人情報を標的としたソーシャルエンジニアリングが多く、そうして抜き取られた個人情報はなりすましに利用される。機密情報を扱う調査もリスクが高く、攻撃の20%はスパイ行為が動機となっている。攻撃の11%は金銭的な利益よりも「おもしろそうだから」という動機によって実行されている。
- 金融および保険- ATMに仕込まれた支払い用カードスキマーはいまだ健在。不正にインストールされたソフトウェアまたはハードウェアがATMを操って、多額の現金をはきださせる「ATMジャックポット」と呼ばれるものが増加している。DDoS攻撃も同じく脅威である。
- 医療- 外部からの脅威よりも内部からの脅威のほうが多い唯一の業界。医療リスクではヒューマンエラーが主な要因となっている。
- 情報 - DDoS攻撃がこの業界内の事象のうち半数以上（56%）を占める。
- 公共部門- サイバースパイ行為が主な懸念材料で、侵害の43%がスパイ行為を動機としている。標的とされるのは国家機密とは限らず、個人のデータも危険にさらされている。
報告書で検証・分析結果が掲載されているその他の業界には、宿泊施設およびフードサービス、専門職や技術職、科学分野のサービス、製造業および小売業が含まれています
いまこそ行動すべき時
侵害の68%は発見されるまでに数か月以上かかっているのに対し、検証した侵害の87%で攻撃が発生した瞬間から数分以内にデータが損なわれてることがわかっています。安全性を保証できないとはいえ、以下のような積極的な手段を講じることで企業・組織が被害を受けることは避けられます。
1. 警戒を怠らない―ログファイルと変更管理システムによって、早い段階でデータ漏洩の警告を得ることができます。
2. 防御の最前線は人―警告サインに気づくように、従業員を教育する。
3. データへのアクセスは知る必要性のある方に限定―職務を果たすために、どうしてもシステムにアクセスしなければならない従業員に限定して、アクセス権を与える。
4. パッチの迅速な適用―これで多くの攻撃を防ぐことが可能になる。
5. 機密情報の暗号化―盗まれたデータがほとんど役に立たなくなるようにする。
6. 二要素認証を使用―紛失したか、または盗んだ認証情報の悪用から発生する損害を限定的なものにする。
7. 物理的なセキュリティを怠らない―すべてのデータ窃取がオンラインで発生するわけではない。
もっとも信頼できるデータに基づくサイバーセキュリティ報告書であるために
今回で11年目となったベライゾンの「2018年度データ漏洩／侵害調査報告書」は、世界中の67の組織から集められた集合データを活用しています。今年度の報告書には、65か国の53,000件のインシデントおよび2,216件の侵害の分析が含まれています。DBIRシリーズはこれからも、複数のソースから得られたデータを集約・分析することで、サイバー犯罪に関する恐れや不安、疑いを解消すると共に、地球上でもっともデータを重視したセキュリティ刊行物でありつづけます。
ベライゾンエンタープライズソリューションズ社長のジョージ・フィッシャーは次のようにコメントしています。「企業にとって脅威の現状に追いついていくのは困難であるため、ダイナミックかつ積極的なセキュリティ戦略を導入しないままでは、ビジネスを危険にさらされたままの状態を継続することとなります。ベライゾンは、DBIRシリーズおよび包括的で幅広いインテリジェントセキュリティソリューションやサービスの提供を通じて、サイバー脅威の現状に対してデータに基づいた実践的な情報をお届けしています。第11版となる今回のDBIRでは、サイバー犯罪の現場でいま何が起きているのか、徹底した情報と分析を提供し、企業・組織が身を守るには何がベストなのかを賢く判断できるように支援しています」
主な調査結果のサマリー
DBIR第11版でも、サイバー犯罪の現状について包括的なデータに基づいた分析を提供しています。2018年度調査報告書の主な結果は次の通りです。
-ランサムウェアが悪意あるソフトウェアの中でもっとも普及―今年度検証したマルウェア関連インシデントの39%に確認されており、2017年版DBIRの5位（2014年版では22位）から上昇しました。もっとも重要な点として、ベライゾンのデータセットでは、デスクトップに留まらず企業の基幹システムにまで影響出始めていることが明らかになっています。これは、身代金額の高騰を招き、サイバー犯罪者がさらに少ない手間でより大きな利益を得ることできるようになることを意味しています。
- 人的要因が弱点：従業員たちがソーシャルアタックの被害を受けています。金融情報詐取やフィッシングは、ソーシャルなインシデントの98%、調査対象の侵害事象の93%を占めています。その入り口となるのは引続き電子メールが主流（インシデントの96%）で、ソーシャルアタックによる侵害は実際の脆弱性より3倍も発生しやすい状況のため、今後も従業員へのサイバーセキュリティ教育をしていく必要性が強まっています。
- 金融情報詐取の標的は人事部門：2017年版DBIRから5倍以上の伸びを記録したがなりすまし詐欺で、今年度は170のインシデントが分析されました（2017年度DBIRではわずか61インシデントでした）。170のうち88のインシデントは、人事部門スタッフを意図的にねらったもので、不正に還付申告するための個人データの詐取を目的としていました。
- 無視できないフィッシング攻撃：昨年のフィッシングのテストでは78%の人は引っかからなかったものの、4%の人がなんらかのフィッシングに引っかかりました。サイバー犯罪者にとって、企業・組織内部へのアクセスを手に入れるには被害者が1人いればよいのです。
- DDoS攻撃はどこにでもある：DDoS攻撃は誰にでも影響しうるうえに、カモフラージュとして利用されることが多く、他の侵害が進行中であることを隠すために開始、停止、再開されることが多くなっています。強敵ではありますが、正しいDDoS対策がとられていれば管理は可能です。
- ほとんどの攻撃者は外部：1回の侵害に複数の攻撃者がいることもありますが、次のようなことが分かりました。攻撃の72%は外部からのもので、27%には内部のものが関係していました。2%に協力者がいて、さらに2％には複数の協力者がいました。分析した攻撃の50%は組織的な犯罪グループによるものでした。
ベライゾンのセキュリティプロフェッショナルサービス担当エグゼクティブディレクター、ブライアン・サーティンは次のようにコメントしています。「あらゆる規模の企業にとってランサムウェアが最大の脅威であることには変わりありません。いまではもっともよくみられるマルウェアの形態であり、近年ますます増加しています。興味深いのは、企業がいまだにランサムウェアに対抗する適切なセキュリティ戦略に投資していないことで、これでは身代金を払わざるを得なくなってしまいます。サイバー犯罪者の一人勝ちになってしまうのです。業界として、顧客がセキュリティに対してもっと積極的なアプローチをするよう支援する必要があります。直面する脅威を顧客に理解してもらうことは、顧客を守るためのソリューション導入の第一歩なのです。一方企業・組織は、サイバー犯罪や漏洩がブランド、評価、収益に与えうる悪影響に関して、従業員への教育に投資し続ける必要があります。従業員は、企業防衛の最大の弱点などではなく、防衛の最前線でなければなりません。継続したトレーニングや教育プログラムは必須です。たった1人がフィッシングメールをクリックするだけで、企業全体が丸裸にされてしまうのですから」
業界ごとに最大リスクを分析
今年度の報告書では、それぞれの業界が直面する最大の脅威をハイライトすると同時に、企業がこれらのリスクを軽減するために何ができるかについての指標が示されています。主な業種における調査結果は以下の通りです。
- 教育- 個人情報を標的としたソーシャルエンジニアリングが多く、そうして抜き取られた個人情報はなりすましに利用される。機密情報を扱う調査もリスクが高く、攻撃の20%はスパイ行為が動機となっている。攻撃の11%は金銭的な利益よりも「おもしろそうだから」という動機によって実行されている。
- 金融および保険- ATMに仕込まれた支払い用カードスキマーはいまだ健在。不正にインストールされたソフトウェアまたはハードウェアがATMを操って、多額の現金をはきださせる「ATMジャックポット」と呼ばれるものが増加している。DDoS攻撃も同じく脅威である。
- 医療- 外部からの脅威よりも内部からの脅威のほうが多い唯一の業界。医療リスクではヒューマンエラーが主な要因となっている。
- 情報 - DDoS攻撃がこの業界内の事象のうち半数以上（56%）を占める。
- 公共部門- サイバースパイ行為が主な懸念材料で、侵害の43%がスパイ行為を動機としている。標的とされるのは国家機密とは限らず、個人のデータも危険にさらされている。
報告書で検証・分析結果が掲載されているその他の業界には、宿泊施設およびフードサービス、専門職や技術職、科学分野のサービス、製造業および小売業が含まれています
いまこそ行動すべき時
侵害の68%は発見されるまでに数か月以上かかっているのに対し、検証した侵害の87%で攻撃が発生した瞬間から数分以内にデータが損なわれてることがわかっています。安全性を保証できないとはいえ、以下のような積極的な手段を講じることで企業・組織が被害を受けることは避けられます。
1. 警戒を怠らない―ログファイルと変更管理システムによって、早い段階でデータ漏洩の警告を得ることができます。
2. 防御の最前線は人―警告サインに気づくように、従業員を教育する。
3. データへのアクセスは知る必要性のある方に限定―職務を果たすために、どうしてもシステムにアクセスしなければならない従業員に限定して、アクセス権を与える。
4. パッチの迅速な適用―これで多くの攻撃を防ぐことが可能になる。
5. 機密情報の暗号化―盗まれたデータがほとんど役に立たなくなるようにする。
6. 二要素認証を使用―紛失したか、または盗んだ認証情報の悪用から発生する損害を限定的なものにする。
7. 物理的なセキュリティを怠らない―すべてのデータ窃取がオンラインで発生するわけではない。
もっとも信頼できるデータに基づくサイバーセキュリティ報告書であるために
今回で11年目となったベライゾンの「2018年度データ漏洩／侵害調査報告書」は、世界中の67の組織から集められた集合データを活用しています。今年度の報告書には、65か国の53,000件のインシデントおよび2,216件の侵害の分析が含まれています。DBIRシリーズはこれからも、複数のソースから得られたデータを集約・分析することで、サイバー犯罪に関する恐れや不安、疑いを解消すると共に、地球上でもっともデータを重視したセキュリティ刊行物でありつづけます。
