「犯罪のビジネス化」がIPAの10大驚異にランクイン これからの対策を考える
IPAが毎年発表している「情報セキュリティ10大脅威」の2023年版が公開されました。
※IPA情報セキュリティ10大脅威 2023（https://www.ipa.go.jp/security/10threats/10threats2023.html ）から転載
2023年は、個人では「ワンクリック請求等の不正請求による金銭被害」がランク外から10位にアップし、組織では「犯罪のビジネス化（アンダーグランドサービス）」が同様に10位にランクインしました。今回は、特に「犯罪のビジネス化（アンダーグランドサービス）」と、その脅威に対する対策について触れていきたいと思います。
1.「犯罪のビジネス化（アンダーグランドサービス）」とは？
これまでのサイバー攻撃は、特殊なプログラミングスキルを持つ個人などが、愉快犯的な攻撃や政治的な主張、スキルを見せびらかすような目的での攻撃が散見されていましたが、近年では個人や組織に対して、金銭などを搾取する目的での攻撃が増えてきています。
また、そうした攻撃に関しても、個人の能力に依存せずにマルウェアの開発が可能になるエクスプロイトキットや、個人情報を搾取するためのツールなど、サイバー攻撃が可能なツールやサービスが売買されています。このように、攻撃者にとってサイバー攻撃はツールやサービスを開発販売する側、そのツールなどを購入して攻撃を仕掛けてくる側、とビジネスのひとつとなっています。
こうした状況が「アンダーグラウンドサービス」や「アンダーグラウンドビジネス」と言われています。さらに、ツールが売買されている以外にも不正に入手した個人情報も売買されています。金銭を目的としたビジネスとして成り立つようになっているため、新たな攻撃者が参入しやすい環境に変わりつつあります。また、コロナ禍以前と比較すると企業が守るべきアタックポイントが著しく増加しており、サイバー攻撃から防御することが年々難しくなってきています。
2.「犯罪のビジネス化（アンダーグランドサービス）」への対策
それでは、こうしたサイバー攻撃に対してどのような対策を講じていけば良いでしょうか。先程述べたように、新たな脅威が日々発生しており「この対策をすれば万全」というようなことはありません。
ただ、リスクを事前に把握することは可能です。そこで、セキュアブレインではCyCraft社の企業漏えい情報調査サービス「RiskINT（リスクイント）サービス」（ダークウェブ ・ディープウェブ調査サービス）を提供しています。既に漏えいしてしまっている情報がないかなどを可視化するサービスです。このサービスはドメイン単位で利用できて、以下のような脅威を可視化することが可能です。
・認証情報売買リスク情報
マルウェア等で感染したPCで、ウェブサイトの認証情報を入力した場合に、漏えいするIDやパスワード情報がないかの調査をします。
・認証情報漏えいリスク情報
組織に関連するドメインをもつ認証情報がないかを調査します。
・類似ドメイン悪用リスク情報
組織のドメインに似たようなドメインが存在しないかを調査します。
こうして、リスクの見える化をすることで、より具体的な対策を検討できるようになります。「彼を知り己を知れば百戦殆からず」ではないですが、攻撃者の増加や多様化を把握しつつ、自社の状況を正しく理解することで、より効果的な対策を検討することが必要だと思います。
「RiskINTサービス」の詳細は以下をご覧ください。
https://www.securebrain.co.jp/products/riskint/index.html
