サイバー犯罪者に侵入された企業のIT責任者になりたいと思いますか？攻撃が発生したときに、なぜ攻撃を食い止めるための対策が講じられなかったのか、あるいは講じられた対策が不十分だったのかを説明する立場になりたいですか？ サイバー攻撃の対象は、政府や金融機関、大手企業に限らず、中小企業も攻撃対象になっており、攻撃に遭遇した場合、ほとんどの企業は攻撃に耐えることができないのが実情です。
中小企業の60％では、サイバー攻撃の防御のための計画が未策定で、経営層の60％はそもそも自分の会社が攻撃に遭うはずがないと思っています。これは取り返しのつかない間違いです。中小企業のリーダーは、サイバー犯罪者が好んで標的にするのはいまだに大企業だと考える傾向がありますが、実際には、すべてのサイバー攻撃の43～50％が中小企業に向けられています(英語)。さらに悪いことに、2018年の米国の独立系調査会社Ponemon Instituteの調査によると、回答した中小企業の67％がすでに攻撃を受けていました。
サイバー攻撃者は常に攻撃の機会を窺っており、多くの中小企業は、サイバーセキュリティ対策が大企業よりも十分でないことが多く、また、クラウドサービスを通じて脆弱になっている可能性もあります。さらに、取引先の大企業をターゲットとするサイバー攻撃の踏み台として攻撃されることも多くなっています。一方で、顧客データへのアクセス、仮想通貨マイニング、または単にランサムウェアをインストールして身代金の支払いを強要するなどの理由で攻撃されることもよくあります。
実際、ほぼ半数のサイバー攻撃が、中小企業を標的としており、中小企業の67％がすでに攻撃を遭っている状況では、自社だけは標的にされないという考え方は通用しません。犯罪者は常に標的にするチャンスを窺っているため、しっかりとしたサイバーセキュリティ計画がなければ、攻撃者にとって魅力的な標的となり、攻撃を避けることができません。もはやサイバー犯罪者の標的に「なるかどうか」の問題ではありません。「いつなるか」の問題です。
サイバー攻撃に遭った場合、さまざまな影響が現れますが、特に以下の事態が考えられます。
- 機会損失: 予告なしに数日間休業できますか？DoS攻撃を受けた場合、サービス停止に陥り、顧客の不満や売上の損失につながります。
- 信用損失: 顧客は、クレジットカード情報などの個人情報を企業に預け、その保護を委託しています。これらの情報が侵害されてしまうと、多くの顧客からの信頼を取り戻すことは極めて困難になります。
- データ損失: 多くのサイバー攻撃は、ファイルの破損やその他の形式でのデータ損失をもたらします。
- 金銭損失: サイバー攻撃の余波で、顧客に侵害の発生を通知し、感染した機器を交換する必要など、予想外の多くの費用が発生する可能性があります。EUの一般データ保護規則の対象地域では、多額の罰金が科せられたり、訴訟に対処することも必要になります。ランサムウェアの標的にされた場合は、身代金を支払わない限り、自分のファイルにアクセスできないままになる可能性があります。
- きないままになる可能性があります。
これらの想定される被害は、まさしく他人ごとではないのです。最近の調査報告書(英語)によると、サイバー攻撃の標的となった米国の中小企業の60％は、攻撃から6か月以内に倒産に至っています。攻撃の成功は企業にとって致命傷になることを考えると、サイバー犯罪者が自社を標的にしないと考えることは許されません。彼らは必ず標的にします。もうすでに攻撃しているかもしれません。
それでは、どう対処すればよいのでしょうか？もちろん、強力なパスワードポリシーが重要であり（セキュリティに対する従業員の不適切なふるまいが攻撃を受ける主な原因の1つです）、優れたウイルス対策やマルウェア対策プログラムも役立ちます。ただし、これらのいずれも、セキュリティを回避するように目論まれた標的型攻撃から会社を保護することはできません。
サイバー攻撃の手口
標的型攻撃から企業を保護するためには、EDR(エンドポイントでの検知と対応）が最適なソリューションです。EDRは、エンドポイントで進行中の攻撃を検知し、効果的に対応できるツールです。EDRが標的型の高度な脅威から組織を保護する方法を理解するには、攻撃者が通常どのように活動するかを理解する必要があります。
脆弱性の悪用: エンドユーザー向けのシステムのセキュリティの脆弱性は攻撃者にとって魅力的な手がかりになります。57％の侵害はパッチが適用されるべき既知の脆弱性に起因しています。毎年16,000件を超える新しい脆弱性が公表されているため、ほとんどの企業にとってインフラ全体を最新の状態に保つことは極めて困難です。日和見的な攻撃者は、最新の自動化ツールを使用して、インターネット上でこれらの一般的な脆弱性をスキャンし、パッチが適用されていない何千台ものデバイスを発見する可能性があります。
スピアフィッシング: これは組織内の誰かをだまして機密情報を共有したり、実行可能ファイルを開いたりするように仕組まれた標的型の偽装通信です。スピアフィッシングはごく一般的で非常に効果的な手法です。Verizonの年次脅威レポートによると、侵害の32％がこの手法を使用していると推測されています。
水飲み場攻撃: 攻撃者は、従業員が普段アクセスするWebサイトの脆弱性を探します。次に、これらのサイトのJavaScriptまたはHTMLに悪意のあるコードを挿入し、待ち伏せしているマルウェアにより、標的がサイトを訪問すると、別の侵害されたサイトをプッシュします。組織内で良く閲覧されるサイトを誰かが使用するとトラップが作動します。
中間者攻撃: 攻撃者は通信に割り込み、内容を調べたり、すりかえることすらあります。そして信頼できる相手と直接話していると錯覚させます。中間者攻撃は、暗号化されていないWi-Fiネットワークを介して近傍から実行されたり、マルウェアを介してリモートから実行されます。
アクセスツールの購入: 犯罪組織は多くのシステムに対する多くの攻撃ツールをクラウドソーシングしているため、これらのシステムが一定の割合で常に侵害されることになります。多くの場合、犯罪者は、既に侵害されている企業へのアクセスツールを購入するだけで、短時間に問題を生ずることなく攻撃することができます。過去に侵害された経験がある企業は、そのシステムへの不正なアクセスは安価なペイウォールが後ろ盾になっていた可能性があります。
サイバー犯罪者は、セキュリティを侵害し、会社に損害を与えるためのさまざまな手法が利用可能です。このような惨事の発生を防ぐための最善の選択肢は、EDR導入をすぐに検討することです。
カテゴリ