写真提供:マイナビニュース

写真拡大

●10〜4位の注目は無線LAN関連のセキュリティ問題
インテル セキュリティは13日、「2015年のセキュリティ事件に関する意識調査」の結果を発表した。セキュリティ分野における2015年のニュースの中で、最も認知度が高かったトピックとして、1位に日本年金機構の年金個人情報流出事件がランクインした。

この調査は、国内の経営層や情報システム部門などのビジネスパーソンを対象としたもので、1,552人に対して、2014年11月から2015年10月までに発生したセキュリティ事案に対する認知度を尋ねた。企業規模が均等になるようにしたほか、業種は日本全体の就業人口の割合に近くなるように設定されているという。

○2014年の1位はベネッセの顧客情報流出事件

2014年に引き続き2回目の調査で、前回は1位が「ベネッセ、顧客情報が大量流出」だった。同社の執行役員 SE本部本部長の田井祥雅氏は、「不正アクセスが多く、LINEの乗っ取り、JALマイレージWebサイトなどが目立った事件だった」と感想をコメントした。

2015年となる今年の結果の中で、10位から7位では、特に「無線LANのただ乗り」で全国初となる電波法違反容疑で逮捕された事案を紹介。また、6位から4位の中でも、公衆無線LANのセキュリティ問題が紹介された。

日本でも公衆無線LANスポットが増えており、無料で使える場所も多くなっているが、田井氏は「自分でセキュリティを保った機器で使わないと、乗っ取りやデータの閲覧などが起きてしまう」と警告する。さらに東京五輪が開催される2020年に向けて、公衆無線LANスポットはさらに増加するとみており、「こういう事件が起きやすくなってくる」と指摘する。

●3位は今も話題の金融関連フィッシング
3位には「大手金融機関やクレジットカード会社などを語るフィッシング」がランクイン。以前からフィッシングの問題は海外を中心に警告されていたが、国内でも問題が広がっており、ビジネスパーソンの間でも問題が認知されているようだ。

フィッシング攻撃では、従来は本物のサイトに偽装した偽サイトに誘導して金融機関のIDとパスワードを盗むといった攻撃が多かったが、最近はマルウェアによって本物のサイトにアクセスして入力されたID・パスワードを盗むといった攻撃があり、田井氏は「さらに巧妙なものが出てきている」と注意を喚起する。

2位は、特に日本で問題となっている振り込め詐欺。今年1〜9月の特殊詐欺全体の被害額は前年比で減少しているが、振り込め詐欺の認知件数は20%以上増加した。話題になることも多いため、届け出が増えたことで件数が増加して、認知が広がって被害額も減っているとみられるが、「手口は巧妙化し、親になりすますなど、若い人を騙す手口も出てきている」と田井氏。

1位は日本年金機構に対する標的型攻撃で、125万件の年金個人情報が流出した事件。田井氏は、「侵入されてしまうことは、今は当たり前になった。入られたらどうするかを考えるのが重要」と話し、侵入されても被害を抑えるような対策が必要という認識を示す。

ランキングを概観して田井氏は、「標的型攻撃が語られた1年だった」と振り返る。さらに、ソーシャルエンジニアリングによる攻撃が行われ、「攻撃が起きるのは当たり前で、どのように準備をしているかが大事」と指摘した。

●企業内のセキュリティ対策、全体的に遅れ
調査では、企業内のセキュリティ対応状況も同時に聞いており、インシデント対応チームの存在や攻撃時の対応準備、予防、検知・分析などの対策が実施されているかといった項目についての結果も公表された。金融機関に限ると対策状況はやや高めだったが、全体平均では半分以下の点数となり、全体として対応が遅れている現状が浮き彫りになった。

田井氏は、「サイバー攻撃には国境がない」と強調し、誰でも攻撃される可能性があることを指摘。「攻撃は災害と一緒で当たり前に起きる」(田井氏)ことから、発生時にどういった対応をするか、その取り組みが重要になってくると話し、企業の対応を促した。

○家庭ネットワークから侵入して企業を狙う

さらに、2016年の脅威予測について、米Intel Security McAfee Labs上級副社長のヴィンセント・ウィーファー氏が説明。ウィーファー氏は、まず企業の従業員を狙った攻撃を紹介する。BYODや在宅勤務の広がりで、企業内部のネットワークを狙うのではなく、よりセキュリティが弱いとみられる家庭のネットワークから侵入して企業を狙う、という攻撃が増えるとみる。弱い部分を狙うという攻撃では、実際の標的の関連企業などを狙った攻撃などもあり、ウィーファー氏は危険性を訴える。

自動車への攻撃に対する危険性も指摘する。スマートフォンと連携してリモートでアクセスできるようになるなど、ネットワーク化が進んでいる自動車は、「セキュリティ原則のないままのネットワークに繋がった自動車が増加する」と指摘し、2016年は「色々な弱点が見つかる」と警告する。ウィーファー氏は、すぐに攻撃が発生するというよりも、2016年はスマートカーの弱点が発見される年になるとみている。

一般的に攻撃によって盗まれた個人情報は闇市場で売買されているとされるが、ウィーファー氏は広範囲に集められた情報がデータマイニングによって関連付けられて、より精度の高い個人情報として取引されるようになると予測する。

また、電力などの重要社会インフラへの攻撃やIoTへの攻撃についても、2016年に拡大するみており、さらなるセキュリティ対策の必要性を強調する。

○急増するIoTデバイスへの攻撃

今後5年間では、IoTでIP接続のデバイスが急増し、より多くの標的が生まれると推測。「2020年までに2,000億台のデバイスが存在するようになるといわれ、デバイス同士が相互に接続するようになる」とウィーファー氏。そのうちの1つのデバイスが攻撃されると、相互接続する別のデバイスに対しても攻撃が可能になるため、「企業は社内だけでなく、従業員の家庭にあるエンターテインメントシステムまで気にしなければならなくなる」と総括した。

サイバー攻撃は今後さらに進化していくとみており、「より高度化し、さらに大衆化、一般化する」とウィーファー氏は語る。誰でも簡単に攻撃できるようになり、しかも高度化しているため、「防御は100%成功しない」(ウィーファー氏)ことから、侵入された後、どのように防御するかという点を重視する。

攻撃に対する対策としては、侵入を防止する防御だけでなく、侵入を検知し、適切に復旧するというライフサイクルに加えて、それぞれの段階で得られた知見をそれぞれの対策に反映させることが重要だという。

「これによってより強いセキュリティができる。この脅威対策のライフサイクルを提唱していきたい」と田井氏は語り、包括的なセキュリティ対策の必要性を訴えた。

なお、同社では同様の調査を海外では実施していないが、海外に比べて日本ではモバイル通信環境が充実しているため、「米国はPCベースの攻撃が多いが、日本はモバイルへの攻撃が多い」(ウィーファー氏)という。

また、ランサムウェアの攻撃が少なく、今回の調査でもランキング外だったというが、これはまだ言語の問題があるとしている。ただ、以前は言語の問題で被害の少なかったフィッシングが日本でも頻繁に見られるようになった通り、今後の攻撃拡大も懸念される。

「短期的、戦術的な攻撃の違いはあっても、全体としてはグローバルと同じ傾向」とウィーファー氏は強調し、「日本だから」という考えをせずにセキュリティ対策をすることを求めた。

(小山安博)