事例がないのに対策が必要なものもある

　セキュリティ事案に関して、事例が紹介されるのは本当にありがたいことです。こうしたインシデントが起きてしまったこと自体は大変残念ではありますが、事例として公開されることで次に同じ問題が起こらなければ、それは皆の役に立つことになります。

　一方、この世界には、事例がないのに対策を行わなければならないものもあります。しかも、それが隠蔽（いんぺい）のためではなく、「誰も気が付かない」タイプの攻撃である点が厄介です。

　昨今、「インフォスティーラー」と呼ばれるマルウェアが存在します。これはPC内にあるパスワードなどの認証情報だけでなく、Webブラウザ内にあるクッキーといった「認証が完了しました」というしるしまで奪うタイプのマルウェアで、これに感染してしまうと、2要素認証などの仕組みを飛び越え、ユーザーがログイン済みという状態そのものを奪われてしまいます。インフォスティーラーは、メールやダウンロードを通じて感染するとともに、最近では「ClickFix」という、感染の一部を人間にやらせてしまうずる賢い手法とも組み合わされています。

「自分でウイルスを実行して感染させてください」という攻撃を笑うな？

　問題は、この感染に気が付けないことです。古いタイプのランサムウェアは、身代金を要求するために、感染したことをあえて利用者に伝えます。一方で今は、情報リークサイトに掲載されたことをきっかけに、侵入が明らかになることが増えています。しかし、よく被害レポートを読んでいると、ランサムウェア感染のきっかけとして、VPN機器などに正規のIDとパスワードで入ってきたことまでは把握できても、そのIDやパスワードがいつ、どこから奪われたのかまでは書かれていないことがほとんどです。実はその認証情報こそ、インフォスティーラーをはじめとするマルウェアによって、攻撃が行われるはるか前に奪われていた可能性があります。

　残念ながら、インフォスティーラーによって認証情報が奪われたという事例は、ほとんど表に出てきません。それは、私たちがそれに気が付けないからです。問題は、こうした事例がないにもかかわらず、ランサムウェア被害を起こさないよう、インフォスティーラーなどのマルウェア対策をしっかり行わなければならないことです。

　セキュリティリサーチャーとして著名なpiyokango氏も、インフォスティーラーの解説の中で「脅威が顕在化しにくく、自分ごと化しにくい」と述べています。この解説はぜひ、チェックしておいてください。

事例を基に意識を高め、事例がなくても動ける体制を

　まずは、多くの方に、中小企業のための実例で学ぶサイバーセキュリティリスク事例集をチェックしていただきたいと思います。やはり、事例がなくては動きづらい組織がほとんどでしょうから、事例を基にセキュリティ意識を高めていきましょう。

　しかし、昨今では生成AI（人工知能）をはじめ、技術も手法も進化しています。事例としてまとまる前に、攻撃が来てしまう時代になりました。そこでぜひ、経営者の皆さんには「そういうことが起きている」というところまでキャッチアップしていただき、現場の人が動きやすい環境を作ってください。現場の人も、こういった新しい事例をチェックしたら、上司との共通の話題になるよう努めていただければと思います。

　「事例駆動」は強力です。しかし、それだけでセキュリティ対策は万全にはなりません。ぜひ、いろいろな方法で情報を集め、組織内で動くためには何が必要かを考えてみてください。それこそが、あなたの会社を特別にするかもしれませんよ。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！