我々が抱くサイバー犯罪者のイメージは、ポップカルチャーによって作られている。個人的な恨みを抱き、防衛側の手に負えないほど優れた技術を持った、強い独立心を持つ一匹狼だ。確かにそうした人物も存在するが、今日では凄腕ハッカーの域を超えるサイバーリスクを考慮し、先入観を改めなければならない。
攻撃を実行するためのツールが入手しやすくなるなか、脅威の構図を変えつつある要因を以下に挙げる。
コンビニ感覚で行われる攻撃
スキルを持たない初心者の攻撃者が、安価で販売されているツールやステップバイステップのチュートリアルが棚に並ぶコンビニを物色している様子を想像してほしい。これらのアマチュアは、利用したいパッケージ化されたツールをその中から選択する。攻撃を可能にするこのような「ショッピング体験」は今や一般的な手法となり、ハッカーにDIY（日曜大工）的な選択肢を提供している。
この変化に対抗するため、目新しい防御ツールを試すという対応もある。だが攻撃がコモディティ化し、大規模に実行されるようになっても、確立されたサイバーセキュリティの基本はなお有効である。デフォルトの認証情報を避け、公開された管理画面を閉じ、ソフトウェアに定期的にパッチを適用し、こうしたDIYキットが悪用するよう設定されている弱点に対処すべきだ。
攻撃を増幅させるAI
AIは強力な平準化装置として、増え続ける未熟な攻撃者の集団を後押ししている。環境をスキャンし、侵入に役立つエクスプロイトを示し、潜在的な侵入経路の地図をリアルタイムで案内できるからだ。
AIを利用した戦術に対する自然な対応は防御側のAIだが、私はそれが概して事後対応的だと考えている。理想的なアプローチは、量と持続性を織り込むようリスクモデルを設定することだ。試みは頻繁で、AIの支援を受けていると想定する。サイバー防御の基本規律にしっかりと注力し、防御AI戦略を強化するべきである。ただし、その一部は攻撃が成功して初めて学習する。インシデント後の分析を実施し、その知見を新たな検知ルール、インジケーター、シグネチャ、既知の行動パターンへと変換する。これにより学習サイクルを短縮できる。
代理サイバー戦争の台頭
国家は電力網から通信ネットワークに至る重要インフラを停止させるため、サイバー攻撃を兵器化している。AIや「サービスとしてのサイバー犯罪（CaaS）」の台頭により、国家は犯罪者を雇い、攻撃を容易にする手段を提供するだけで済むようになった。その見返りは「知らぬ存ぜぬの弁明」が可能になることだ。攻撃の発生元が特定の国へと特定された場合でも、その国家は自国の関与ではなく、代理の犯罪者の仕業だと主張できる。
その結果、金銭目的の犯罪と国家が支援する活動との境界線があいまいになりつつある。表面上は普通の犯罪集団に見える攻撃者であっても、国家の支援、指示、あるいは保護のもとで行動している可能性がある。攻撃者のラベル分類に依存しすぎると誤解を招く恐れがあるため、組織はそれを避けるべきだ。代わりに、能力、意図、標的となり得る対象、そして重要な資産への潜在的な影響を評価すべきである。
多くの攻撃は依然として既知の脆弱性を悪用
ゼロデイ脅威が注目されるが、サイバー攻撃の実態は、攻撃者が非常に革新的で斬新なエクスプロイトを用いる『ミッション：インポッシブル』というよりも、よく知られた脆弱性が何度も繰り返し悪用される『恋はデジャ・ブ（Groundhog Day）』に近いことが多い。過去4年間に確認された悪用事例の80%以上は「Nデイ」脆弱性、すなわちすでに公表されていた欠陥であった。
危険なのは「誰も存在を知らなかったドア」ではなく、「開け放たれたままのドア」だ。不可欠な資産やプロセスを含む自社の重要資産（クラウンジュエル）を特定せよ。そして、自らに2つの重要な質問を投げかけるのだ。攻撃者が最も欲しがっているものは何か、そして侵入が発生した場合に絶対に保護され、復旧可能でなければならないものは何か。これらの資産を特定される経路を減らし、安全を確保する。復旧手順を文書化するだけでなく、復旧方法のテストを実施する。保護が不十分であった場合に備え、責任の所在を明確にしておく。
システムだけでなく、人も操作される
フィッシングやソーシャルエンジニアリング攻撃はターゲットに対して仕掛けられ、恐怖、焦り、強欲、好奇心を植え付けることで機能する。こうした感情の引き金により、人は考える前に行動してしまい、普段なら避けたかもしれない悪意のあるリンクをクリックしてしまう。
多くの組織でセキュリティ意識向上トレーニングが義務付けられているが、こうした取り組みはプレッシャー下における従業員の反応をテストするよう設計されるべきだ。また、ディープフェイクを含む巧妙なソーシャルエンジニアリングの手口がいかに多様な方法でユーザーを操作できるかを示し、従業員が警戒を怠った場合に何が起こり得るかを実感させることも不可欠である。
犯罪の経済構造の変化
変化する脅威情勢に関する議論は、侵害の背景にある経済構造を理解しなければ不完全だ。犯罪者が侵害を資金に換金できなければ、侵害は価値を生み出さない。金融機関がマネーロンダリングの阻止に長けてくるにつれ、犯罪ネットワークは一般企業のように個別の機能へと分業化することで対応している。あるグループはシステム侵害を担当し、別のグループは身代金交渉を行い、また別のグループは資金管理を担当する、といった具合だ。
グループ同士がそれぞれのスキルセットを組み合わせ、セキュリティの観点から最も脆弱な金融機関を標的にし、すでにその金融機関を利用している被害者を狙う。盗み出した資金の送金に既存の口座を利用すれば、口座開設時の自動不正検知チェックを回避できる。主要な暗号資産の存在も、資金の追跡をいっそう複雑にしている。
組織は、侵害のマネタイズ（現金化）という脅威を、自社の脅威モデルから切り離して考えるべきではない。侵入経路と同等に深刻に捉えるべきであり、金融事業者と協力して現金化時の異常検知に取り組まなければならない。
おわりに
これらの脅威の多くに共通するテーマの1つは、脆弱性を知っていながら報告しない人物がしばしば存在するということだ。「善人が沈黙を守るからこそ、悪事が発生する」。問題を解決するのに必要な時間との折り合いがつかなかったのかもしれないし、テストされていない復旧計画に不安を感じつつも放置してしまったのかもしれない。
サイバーセキュリティの基本を守るだけでなく、従業員の油断や慢心にも目を向ける必要がある。この世代の脅威に対して最も優位に立つことができるのは、脅威情勢がどれほど変化しようとも、規律を維持し続ける組織である。
