Netskope（ネットスコープ）の調査研究部門であるNetskope Threat Labsは、小売業におけるクラウドの脅威に焦点を当てた調査レポートを発表した。
同レポートによれば、過去1年間に小売業を標的とする攻撃者によって展開された主要なマルウェアファミリーは、IoTボットネット、リモートアクセスツールおよびインフォスティーラー（情報窃取型マルウェア）であることが明らかになったという。また、小売業で主流のアプリケーションが、この1年でGoogle CloudベースのアプリケーションからOutlookなどのMicrosoftアプリへと移行したことも明らかになっているとしている。
主要な調査結果は以下のとおり。
小売業を狙う攻撃にインフォスティーラーを使用
- 攻撃者が組織や顧客から支払い情報などの重要なデータの窃取を試みることから、インフォスティーラーは小売業界に対する攻撃において主要なマルウェアファミリーとなっている
- また、攻撃者が収集した認証情報や個人の財務情報を販売していることにより、インフォスティーラーはより広範なサイバー犯罪のエコシステムの供給源となっている
ボットネットとトロイの木馬がネットワークデバイスを標的に
- Miraiボットネットファミリーは、ルーター、カメラ、小売業の環境におけるその他のIoTデバイスなど、Linuxを実行する脆弱なネットワークデバイスを標的にする攻撃でより多く確認されている
- IoTデバイスはセキュリティリスクとして見過ごされがちであるものの、サイバー犯罪の補助となる視覚情報やセンサー情報を得るために有効であり、さらに他のターゲットに対するDDoS攻撃に悪用されることもある
- 同様に、ブラウザやリモートカメラにアクセスし、攻撃者への情報送信やコマンド受信を可能にするリモートアクセス型トロイの木馬（RAT）も多く用いられた
- Miraiマルウェアのソースコード流出以来、その亜種は大幅に増加しており、複数の脆弱なエンドポイントを持つセクターである小売業界にとってリスクとなっている
Microsoftアプリを介した攻撃の増加
- 昨年のレポートでは、Googleアプリケーションは他の業界に比べ小売業界においてはるかに高い人気を示していたが、この1年で見られたのはMicrosoftの人気の復活であった。この傾向は特にストレージサービスについて顕著で、OneDriveとGoogleドライブの差はこの1年で広がっている。ユーザー比率の平均はOneDriveが43％から51％に増加した一方で、Googleドライブが34％から23％に減少している。同様の傾向はメールアプリでも見られ、Outlook（21％）がGmail（13％）に代わり最も人気のあるメールアプリとなっている
- Microsoft OneDriveは、小売業を含むあらゆるセクターにおいて、マルウェア配信に最も多く用いられるクラウドアプリケーションとなっている。攻撃者はOneDriveに対するユーザーの信頼と親しみを利用する手法に傾倒しており、それによってユーザーがリンクをクリックしマルウェアをダウンロードする可能性を高めている
- 小売業では、Outlookによる攻撃が他のセクターより成功しており、小売業界におけるOutlookを介したマルウェアダウンロード件数（10％）は、他業界における平均（5％）の2倍となっている
小売業におけるWhatsApp人気
- WhatsAppの利用率およびダウンロード率の平均を見てみると、小売業（14％）では他業界（5.8％）と比べて約3倍近い人気となっている。しかし、現在WhatsAppは、マルウェアのダウンロードに使われるアプリの上位リストには挙がっていない。この状況は、脅威アクターがWhatsAppの人気について、WhatsApp経由でより多くの攻撃を仕掛ける経済的根拠が認められると見なし始めていることから、変化する可能性がある。
- X（12％）、Facebook（10％）、Instagram（アップロード数の1.5％）などのソーシャルメディアアプリケーションは、いずれも小売業において他の業界での平均よりも人気がある。
Netskope Threat Labsは、小売業セクターの企業に対し、これらの脅威に対抗するために、自社のセキュリティ態勢の見直しと以下のベストプラクティスを推奨しているという。
- あらゆるウェブトラフィックおよびクラウドトラフィックを含む、すべてのHTTPおよびHTTPSダウンロードを検査し、マルウェアがネットワークに侵入するのを防ぐ
- 実行可能ファイルやアーカイブのようなリスクの高いファイルタイプは、ダウンロード前に静的解析と動的解析を組み合わせた徹底的な検査を行う
- 組織内で使用されていないアプリやインスタンスからのダウンロードとアップロードをブロックするようポリシーを設定することで、リスク領域を業務に必要なアプリやインスタンスのみに絞り込み、内部の関係者による偶発的または意図的なデータ流失や、攻撃者による悪用のリスクを最小限に抑える
- 一般的なマルウェアに関連するコマンドアンドコントロールトラフィックなど、悪意あるトラフィックパターンを識別しブロックできる侵入防御システム（IPS）を使用する。この種の通信をブロックすることで、攻撃者のさらなる行動を制限し、被害の拡大を防ぐ
- リモートブラウザ分離（RBI）技術を使用し、新たに観測されたドメインや新しく登録されたドメインなどより高リスクな可能性があると分類されたウェブサイトを訪れる必要がある場合に向け、さらなる保護を提供する
同レポートは、ネットスコープの2,500以上の顧客における小売業界のサブセットについて収集された匿名の使用データに基づいており、同調査の趣旨に沿ったデータの分析については、すべての顧客から事前の承認を得ているという。同レポート内の統計は、2023年3月1日から2024年2月29日までの期間に基づいているという。
【関連記事】
・日本はマルウェア配布にクラウドアプリが悪用される割合が最多か──Netskope Threat Labs調査
・ネットスコープ、企業のセキュリティ強化を支援する「Netskope One」発表
