日本HPは12月20日、米国HPが11月に公開した、2022年に注目すべきサイバーセキュリティ予測の日本語版を公開した。2022年も引き続きランサムウェア攻撃などの標的型攻撃が憂慮すべきペースで進化すると予想。以下、同社のセキュリティ専門家8人は、注意すべき重要なトレンドを4つ挙げている。
HPセキュリティ専門家
- マイケル・ヘイウッド氏（サプライチェーンセキュリティ責任者）
- ジョアンナ・バーキー氏（最高情報セキュリティ責任者）
- イアン・プラット氏（パーソナルシステムズ事業セキュリティ部門グローバル責任者）
- パトリック・シュレイファー氏（マルウェアアナリスト）
- アレックス・ホランド氏（シニアマルウェアアナリスト）
- ジュリア・ブー氏（サイバーセキュリティ／テックポリシー担当グローバル責任者）
- マイケル・ハワード氏（セキュリティ／アナリティクスプラクティス責任者）
- ロバート・マッセ氏（HPセキュリティ諮問委員会メンバー・Deloitteのパートナー）
1.ソフトウェアサプライチェーンを狙った攻撃の商品化が進み、より多くの著名人が標的に
2022年もサプライチェーンを狙う攻撃は増え続けると予想されるという。
マイケル・ヘイウッド氏は「サプライチェーン攻撃は来年も増え続け、脅威アクターはソフトウェアサプライチェーンの脆弱な部分を探し、世界中で広く普及しているソフトウェアや、特定の企業が使用しているソフトウェアを標的にするでしょう」と述べている。
また、イアン・プラット氏は「エンタープライズ企業や政府機関が顧客でなくても、顧客を悪用しようとする攻撃者の標的になる可能性があるということです。このような計画が実行されてしまった今、そうした類の攻撃が来年さらに広がり、中堅・中小企業と著名人の両方が標的となるでしょう」とコメントした。
2.ユーザーを脅かすランサムウェアギャングが攻撃を繰り返す
2022年もランサムウェアが引き続き重大なリスクとなり、一度被害にあうと何度も攻撃される可能性があるという。加えて、ランサムウェアの攻撃者は被害者に要求金額を支払わせる手段を強化してくる可能性があるとしている。攻撃者は、流出データのWebサイトだけでなく、勧誘電話などの様々な脅迫手段を利用して、被害を受けた組織の顧客や取引先に接触。データを暗号化するだけでなく、情報を盗んで被害者にさらなる圧力をかけるという。
また、ロバート・マッセ氏は「支払いに応じやすい業界があることに攻撃者は気づいている」と指摘。医療やエネルギー／資源分野の組織は支払いに応じやすいことから攻撃が増える可能性があるとしている。既にカナダをはじめとする地域では攻撃が始まっており、ランサムウェア攻撃によって手術の遅延が生じているという。
3.ファームウェア攻撃の武器化により参入が容易に
2022年は、PCのファームウェアを標的とするTTPの普及にともない、高度なサイバー犯罪組織が脅威を武器化し、攻撃から利益を生む計画がたてられてしまうという。
プラット氏は、国家が開発したファームウェア攻撃がサイバー犯罪組織に普及し始めたことが、サイバー犯罪組織が脅威を高度に武器化することにつながると指摘。続けて「来年は、PCのファームウェアを標的とするTTPの普及にともない、高度なサイバー犯罪組織が脅威を武器化し、攻撃から利益を生む計画を立てられるようになってしまうかもしれません」と述べた。
4.ハイブリッドな働き方とスポーツイベントによりユーザー攻撃の機会が増加
ジョアンナ・バーキー氏は、ハイブリッドな働き方にともなうチームの分散において、ID管理が引き続き重要な役割を担うであろうと強調している。「IDは、信頼性が高く検証済みの堅牢なものでなければなりません。組織は、エンドポイントで発生するあらゆるアクティビティが正しいものであることを検証する必要があります。本当にユーザーがそれらのアクティビティを行っているのでしょうか。それを行っているのは本物のユーザーでしょうか。ファイアウォールに守られていればエンドポイントの安全性は十分だと考えている組織があまりにも多いですが、そんなことはありません。ハイブリッドな働き方の時代には、ID管理がかつてないほど重要になるでしょう」と話した。
また、パトリック・シュレイファー氏によると、関心が高まるスポーツイベントも、攻撃者がユーザーを狙う新たな機会になると予想されるという。「北京での冬季オリンピックやFIFAワールドカップカタール大会は、数多くのエクスプロイトの機会を脅威アクターに与えます。このような大規模なイベントは、チャンスを狙う攻撃者にとって魅力的であり、主催者や後援者、参加者、ファンへの直接の攻撃や、ユーザーを標的にしたマルウェアやランサムウェアのフィッシング詐欺の機会となります。組織も個人も、リスクを認識する必要があります」と警告する。
【関連記事】
・2021年の10大セキュリティ事件を発表 認知度1位は電子決済サービスへの不正アクセス
・10.5%の中小企業社員がサイバーセキュリティに関するトラブルを経験か――IPA調査
・日米英でセキュリティ対策のハードルに違い――セキュアエイジ調査
