セキュリティコストを抑制する5つの掟

日経 xTECH有料会員または、日経SYSTEMS購読者限定　現在は登録会員も閲覧可能です

サイバー攻撃手法は高度化の一途をたどり、被害リスクは高まっている。最新の攻撃手法に対処するには、従来型の境界防御だけでは不十分だ。ただし闇雲に対策を増やせば、コストは青天井で膨れ上がってしまう。

　「検知されにくい、効率良く稼げる、この2点にサイバー攻撃はシフトしている」―。こう話すのは、ラックのサイバーセキュリティ事業部JSOC 賀川亮センター長だ。2017年に流行したランサムウエアによる攻撃は既に下火になり、その代わりにビジネスメール詐欺（BEC）やマイニングマルウエア（詳しくは後述）が台頭してきているという。わずか1年足らずで、攻撃手法は様変わりしている。

　こうした攻撃手法の変化のスピードに対応できなければ、セキュリティ事故は起きてしまう。そして、その被害は甚大なものになる。下の図は、日本サイバーセキュリティ・イノベーション委員会（JCIC）が公開しているツールで、サイバー攻撃で想定される被害額を算出した例だ。JCICの上杉謙二主任研究員は、「情報漏洩を起こした企業の株価は1割程度減り、その年度の経常利益はおよそ2割減少している」と話す。

検知しづらく被害は甚大

　被害に遭わないためには、ユーザー企業は最新の攻撃や被害リスクを把握し、対策を施す必要がある。

　標的型攻撃の応用ともいえるBECは、検知しづらく被害が甚大なサイバー攻撃の最たる例だろう。ビジネスメール詐欺は、企業の取引先などを装って送金を促し、一気に大金を奪おうとする攻撃だ。2017年日本航空が被害を受け、3億8000万円という金額を不正な銀行口座に振り込んでしまったという事例は、記憶に新しいだろう。

　しかも2018年8月末には、日本語で偽口座への送金を促すメールが発見されたと情報処理推進機構（IPA）が発表している。これまで確認されていたのは、英語のメールだった。キヤノンITソリューションズのITインフラセキュリティ事業部エンドポイントセキュリティ企画本部技術開発部の石川堤一マルウェアラボ マネージャー シニアセキュリティリサーチャーは「英語の攻撃は2～3カ月で日本語化する。今後は国内企業を標的にした日本語のビジネスメール詐欺が増加するだろう」と注意を呼びかける。

　BECへの対策は、攻撃手法の社内周知や決済のチェック体制の強化、不審なメールを受信した際の社内での情報共有などが挙げられる。いずれも、従来のように社外と社内のネットワークの境界だけを監視していれば防げるものではない。セキュリティ対策製品の導入にとどまらない対策が必要になる。

　マイニングマルウエアも検知が難しいのは同じだ。この攻撃は、攻撃者が乗っ取ったWebサーバーなどにマイニングマルウエアを仕込んでおくものだ。これによりWebサーバーにアクセスしたユーザーのPCやスマートフォンが次々とマイニングマルウエアをダウンロードし、仮想通貨の発掘をしてしまう。Webサーバー上にマイニングマルウエアを常駐させて発掘させる場合や、直接マイニングマルウエアをメールで送りつける例もある。

　マイニングマルウエアがクライアントPC上で起動してCPUリソースを不正に利用していても、ユーザーは気付きにくい。この攻撃に対処するには、ウイルス対策ソフトを常に最新に保ち、クライアントPC上で振る舞いを監視するなどの対策を検討する必要がある。