「コロナ禍」でのサイバー脅威。金融機関へのサイバー攻撃238％増加！

新型コロナウイルス感染症（COVID-19）の拡大により、世界中の経済活動や生活様式が大きく変容しました。この未曽有の混乱につけ込んだサイバー攻撃が、世界各地で急増しています。

VMware Carbon Blackの調査によると、2020年2月から4月にかけて、金融機関を狙ったサイバー攻撃が238％増加しました。米国で最初に感染者が確認された時期と、金銭目的のサイバー攻撃の増加には相関関係があることが明らかになっています。外出制限や銀行店舗の閉鎖により、オンライン取引の利用が増えたことで、金融機関が標的となったと考えられます。

コロナ禍によるサイバー攻撃の脅威は、金融機関だけでなく、さまざまな企業や個人にも及んでいます。自動車メーカーのホンダがマルウェア感染により、海外の9工場の生産停止に追い込まれたのも、テレワークが増加したことが原因とされています。ホンダがどのようにしてマルウェアに侵入されたかは明らかにされていませんが、コロナ禍によって急遽テレワークに切り替えた企業については、サーバー管理が脆弱なケースがあるとされています。

実際に、さまざまな企業の社内システムのログイン画面がインターネットに公開されていることが確認されており、その中には日本の企業のものも含まれています。その場合、ログイン画面で入力したパスワードが第三者に知られてしまうと、不正にアクセスされ、マルウェア感染や機密情報の流出につながる可能性があります。

企業活動だけでなく、日常生活の中でもオンラインショップでの購入が増えたことにより、金融機関やショップ、宅配業者を騙ったフィッシング詐欺が急増しました。大手EC事業者を装い、マスクや消毒用ジェルの販売を装って、取引金融機関の偽サイトに誘導するという手口は、社会不安を巧妙に利用しています。

このように、個人としても企業としても、今まで以上にサイバー攻撃の脅威にさらされており、十分なセキュリティ対策が必要です。

「1日あたり1,800万件」「総額1,370万ドル（約14億5,000万円）」

「1日あたり1,800万件」この数値は、Googleが過去2週間の間に検出した、新型コロナウィルス感染症に関連する「マルウェアやフィッシング詐欺」の数です。例えば、慈善団体やNGOを装ったメールや、政府機関からの通知を装ったメールに記載されたリンクをクリックさせ、個人情報を盗み出そうとする手口や、人気のSNSアカウントのサインインページを騙るマルウェア配布サイトなどです。

Googleでは、これらの脅威からユーザーを保護するために、脅威がユーザーに到達する前に自動的にこれらを検出し阻止する高度なセキュリティ保護を製品に組み込んでいます。また、これらの詐欺から身を守るためにオウンドメディアから情報を開示して人々に警鐘を鳴らす活動をしています。

次に、「総額1,370万ドル（約14億5,000万円）」ですが、こちらはマイクロソフトが過去12ヵ月でハッカーたちに支払った総額です。多くのテクノロジー企業と同様に、以前からバグ報奨金プログラムを実施しており、脆弱性を突き止めた「ホワイトハッカー」たちに賞金を支払っています。新型コロナウイルス感染症（COVID-19）のパンデミック後、327人のホワイトハッカーから、1,226件の脆弱性レポートを受けていたそうです。

マイクロソフトによると、今年の支払額1,370万ドルは、昨年の440万ドルの約3倍に達することとなり、昨年を上回る件数の優れたセキュリティ関連の報告が寄せられたとのことです。また現在も、リモートでのコードの遂行や仮想化システムのHyper-Vに絡む脆弱性の報告などを募集しています。

「#withコロナ」時代のサイバー攻撃への対策とは

コロナ禍は依然として終息せず、企業はテレワークやWeb会議などでソーシャルディスタンスを維持しながら、経済活動を軌道に乗せるために試行錯誤を続けています。急増するサイバー攻撃を避けるためには、経営層も従業員も一丸となってwithコロナ時代のセキュリティ対策に取り組まなければなりません。

withコロナ時代の想定される対策としては次のようなものがあげられます。

社内ネットワークに接続する端末はすべて会社の管理下に置く

緊急事態宣言解除後、企業ではテレワークからオフィス勤務へと戻りつつありますが、在宅勤務中に私物のPC、モバイル端末を仕事に使っていた場合、テレワークが終わったタイミングでその端末を無断で社内に持ち込む可能性があります。

社内ネットワークに会社が許可しない端末を接続しないように周知徹底を図る他、不正接続防止ツールを取り入れて、脆弱性の残る端末は接続させないよう管理するなどの対策をとるのが望ましいでしょう。

テレワーク端末において無線LANの脆弱性対策を行う

自宅の脆弱な環境に依存してテレワークを行っている期間が長くなると、その端末を狙われる可能性が高くなります。家庭用のルータはセキュリティ対策が十分でない場合があることと、モバイルルータは端末がインターネット上に公開される恐れがあることに留意しましょう。

このようなリスクを回避するためには、信頼できないWi-Fi接続はせず、家庭用のルータにはパスワードを設定するよう従業員一人ひとりの意識を高めることが最低限必要です。また最近では、インターネットを経由せず閉域モバイル網で接続できるSIMカード付のPC端末も発売されており、テレワークに活用されています。

社外から社内システムにアクセスするための利用者認証を適切に設定する

前章でご紹介した通り、社内システムへの外部からのログイン画面がすでに悪意ある第三者に知られている可能性があります。強度が低いパスワードを設定すると簡単に破られてしまうため、パスワードの設定を改めて見直すとともに、VPN接続や多要素認証で不正アクセスのリスクを抑える必要があります。

他にも、昨今では「サイバーBCP」の重要性が特に高まっています。
サイバーBCPについて詳しくは下記の記事をご覧ください。

＜サイバーBCPとは？策定のための8ステップと対策方法を解説＞

企業のサイバー攻撃対策事例

コロナ禍によりサイバー攻撃のリスクが高まるなか、改めてセキュリティについて対策を整える必要があります。こうした状況下で、企業はどのような対策を講じているのでしょうか。

BYOD（Bring Your Own Device）採用

例えばA社では、コロナ禍を機に場所を選ばない働き方に全面的に移行しました。そのためBYOD（Bring Your Own Device：個人所有のデバイスを企業の業務に使用すること）を採用し、汎用端末があれば社内業務ができる環境を構築しました。

BYODは企業のIT費用を抑え、ユーザーの利便性が向上する一方、脆弱な端末が社内ネットワークに接続され、機密情報を端末に格納できるため流出しやすいといったリスクがあります。そのため、業務をスマートフォンとタブレットのみとし、端末のセキュアなコンテナにデータを格納するツールを導入しました。この方法により、リモートワイプ（遠隔地から端末データを削除）が可能となりました。

働き方を選択できるトライアルを実施

またB社では、従来のオフィスワークの他に、在宅勤務を選択できるトライアルを実施することになりました。従来の固定的な働き方を撤廃し、テレワーク／オフィスワーク、出社時間／頻度を自由に設定できる「新しい働き方」を検証しています。

これに伴い、データセンター内に仮想デスクトップ環境を構築しました。仮想デスクトップ環境からVPN経由で本社やサテライトオフィス、お客様のシステムに接続する方式を採用しています。仮想デスクトップ環境では、端末の環境をサーバーに置く仕組みのため、データが各端末に残ることはありません。また、端末を紛失した場合も、運用管理者が端末環境を停止できます。

「情シス担当者」と「セキュリティ担当者」に課せられた新たなチャレンジ

前回のコラムにて、ガートナー社の「ハイプ・サイクル」について触れましたが、先日発表された、2020年版「日本におけるセキュリティ（デジタル・ワークプレース）のハイプ・サイクル」の中では、企業におけるモバイルやクラウドの積極的な導入に合わせ、「ZTNA（ゼロ・トラスト・ネットワーク・アクセス）」や「KMaaS（Key Management as a Service）」が期待に見合う成果を伴わないまま過熱気味にもてはやされる「過度な期待のピーク期」に、「電子サイン」や「BYOD」が市場への浸透が進む「啓蒙活動期」に位置付けされました。

多くの企業が新型コロナウイルス感染症（COVID-19）拡大への対策として、テレワークを実施できる環境を急ぎ整備する必要に迫られ、ワークプレースの在り方を再考させる大きなきっかけとなりました。そして新しいワークプレースのセキュリティについては、何をどこから始めるべきなのかが分からず混乱が続いています。

このワークプレースのセキュリティは、「より多くの従業員を対象」に、「より長期的」に、「より柔軟に働ける環境」を前提に検討をすることが急務です。これまでと大きく異なるのは、ユーザーのニーズとセキュリティのリスクが「多様化」する点にあります。既に成熟度が高いもので、自社でまだ導入しておらず、必要性が高いと判断できるものについては積極的に導入を検討するべきです。

技術の発展により、企業が選択できるテクノロジーは増え続けているため、情シスやセキュリティ担当者は、ユーザーのニーズとセキュリティのリスクの動向に正しく追随していくことが、企業の価値向上につながる新たなチャレンジとなっています。

「#withコロナ」時代の「#ニューノーマル」なセキュリティとは

すでにテレワークからオフィス勤務に切り替えた企業においても、今後も予測不能な災害が発生するリスクを考えると、セキュアなテレワーク環境の構築は非常に重要です。

現状は通信を暗号化したりパスワードを複雑なものに変えたりすることで、セキュリティ強度を上げることができますが、近い将来、桁違いの処理能力を持つ量子コンピューターが登場した時、今までのセキュリティ対策が無意味なものになるかもしれません。今まで暗号を解くのに天文学的な時間がかかっていたのが、瞬時に解読できてしまうからです。

現在の量子コンピューターにはまだそのような能力はなく、セキュリティの仕組みが根本から崩れるのはまだ遠い未来のことだと考える人も多いかもしれません。しかし技術は指数関数的な速さで進化するため、気付いた時にはもう手遅れだという可能性もあります。

予測不能な事態が断続的に発生するwithコロナ時代、リスクに対しては早めの対策をする心構えをしておきたいものです。