情報セキュリティ10大脅威 2023 から学ぶことは？

情報処理推進機構（IPA）は、毎年発生する社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、重大な脅威の候補を選出し、情報セキュリティ分野の研究者や企業の実務担当者などからなる選考会が審議・投票を行い、トップ10を決定して発表しています。

情報セキュリティ10大脅威 2023（組織向け）

今年も1月25日に「情報セキュリティ10大脅威 2023」が発表されました。結果はこのようになっています。

順位	2023年（今回）	2022年（前回）
1	ランサムウェアによる被害	1位（→）
2	サプライチェーンの弱点を悪用した攻撃	3位（↑）
3	標的型攻撃による機密情報の窃取	2位（↓）
4	内部不正による情報漏えい	5位（↑）
5	テレワーク等のニューノーマルな働き方を狙った攻撃	4位（↓）
6	修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）	7位（↑）
7	ビジネスメール詐欺による金銭被害	8位（↑）
8	脆弱性対策情報の公開に伴う悪用増加	6位（↓）
9	不注意による情報漏えい等の被害	10位（↑）
10	犯罪のビジネス化（アンダーグラウンドサービス）	圏外

10のうち9の脅威が前年に続いて選出されていることから、これらの脅威は今後も十分に注意していく必要があります。特に、ランサムウェアは3年連続の1位で、引き続き重大な脅威となっています。また、今回は新たに「犯罪のビジネス化（アンダーグラウンドサービス）」が10位にランクインしました。

犯罪のビジネス化（アンダーグラウンドサービス）とは？

アンダーグラウンド市場（いわゆる闇サイト）では犯罪に使用するためのサービスやツール、ID やパスワード、個人情報などが取り引きされ、実際にこれらを悪用した攻撃が行われています。専門知識がない人でもサービスやツールを利用することで容易に攻撃を行えるようになるため、サービスやツールが公開されると悪用され、攻撃による被害が広がる恐れがあるのです。このように、攻撃者はショッピングで手軽に犯罪に使うものを手に入れることができます。そして、その商品はあなたの大切な情報かもしれません。

アンダーグラウンド市場で商用化されているサービスやツールには、エクスプロイトキットやオンライン銀行詐欺ツール、DDoS（分散型サービス妨害）攻撃の代行サービスや RaaS（ Ransomware as a
Service）等があり、闇とは言え立派なビジネスとして取引されています。

これらを利用した攻撃を受けるとどうなる？

パソコンなどの端末がウイルスに感染し、金銭を窃取されたり、サーバーにDDoS攻撃をされたり、業務を妨害される、などの被害に遭う可能性があります。また、搾取された個人情報や不正アクセス用のデータがダークウェブで売買される被害も実際に報告されています。

アンダーグラウンド市場で取引されているサービスやツール等はダークウェブと呼ばれる、通常のブラウザでは検索できないWEBサイト上に存在することが多く、攻撃者は特殊なブラウザ等のツールを利用してそれらのWEBサイトにアクセスしていると考えられます。

攻撃の手口としては、アンダーグラウンド市場で購入したサービスやツールを利用して攻撃を行うものや、購入した ID やパスワード等の認証情報を利用して不正ログインするというものがあります。また、サイバー犯罪は個人だけでなく組織的に行われることもあり、その人材をアンダーグラウンド市場でリクルートしていることもあります。特に、新型コロナウイルスの感染が拡大して以降、募集が4 倍にも増加し、IT技術者の取り込みが図られているという報告もあります。

どう対策すればよい？

攻撃に悪用するツールやサービスの目的や仕様によって対策は異なるため、ここでは代表的な対策を記載します。

経営者層

インシデント管理の体制を整備して、組織として対応する体制を確立

システム管理者

被害の予防として、以下のことを行います。

• DDoS 攻撃の影響を緩和する ISPや CDN等のサービスを利用
• システムの冗長化等の軽減策
• サーバーやクライアント、ネットワークに適切なセキュリティ対策

被害を最小限にとどめるため、以下のことを行います。

• 不審なログイン履歴の確認
• ダークウェブの監視
• 自組織情報流出の有無を確認
• 適切なバックアップ運用

被害を受けた後の対応として、以下のことを行います。

• 適切な報告/連絡/相談
• 通信制御（DDoS 攻撃元をブロックする等）
• WEBサイト停止時の代替サーバーの用意と告知手段の整備
• インシデント管理の体制を整備して対応

端末利用者

被害の予防として、以下のことを行います。

• 情報リテラシー、モラルの向上
• メールの添付ファイル開封、メールやSMSのリンクやURL のクリックを安易にしないことを徹底
• 多要素認証等の強い認証方式の利用

被害を最小限にとどめるため、以下のことを行います。

• 適切なバックアップ運用

被害を受けた後の対策として、以下のことを行います。

• インシデント管理の体制を整備して対応

まだまだ油断できないランサムウェアによる被害

ランサムウェアによる被害は3年連続で1位となりました。2022年も脆弱性を悪用した事例やリモートデスクトップ経由で不正アクセスされる事例が発生しています。また、情報の暗号化だけでなく窃取した情報を公開すると脅す「二重脅迫」に加え、DDoS攻撃を仕掛ける、被害者の顧客や利害関係者へ連絡するとさらに脅す「四重脅迫」が新たな手口も登場しています。

ランサムウェアの感染経路は多岐に渡るため、ウイルス対策、不正アクセス対策、脆弱性対策などの基本的な対策を、確実に何重にも実施することが重要です。また、バックアップを取得することや復旧計画を策定するなど、攻撃を受けることを想定した準備を事前に行うことが重要です。

今回ランクインした脅威が全てではない

今回新しくランクインした脅威があれば、ランク外になった脅威もあります。今回ランク外になったからと言ってその脅威が無くなるわけではなく、継続して対策することが必要です。

例えば、前回9位だった「予期せぬIT基盤の障害に伴う業務停止」は今回ランクインしませんでした。組織が利用するサーバーやインターネット上のサービス、業務システム等で使用しているネットワークやクラウドサービスなどの IT 基盤に予期せぬ障害が発生し、長時間にわたり利用者や従業員に対するサービスを提供できなくなり、結果的に組織の事業に大きな影響を与えるおそれがあるというものです。

発生の要因は自然災害や人為ミスなどによる作業事故によるもの、データセンターなどのサービスが稼働している施設における障害の発生、IT 基盤を構成する機器のハードウェアやソフトウェアに不具合が発生したり、ネットワークで障害が発生することがあります。

こうした障害が長時間に及んだ場合、組織の利益減少や競争力の弱体化等、経済的損失にもつながり、ひいては、人々の日常生活にも支障をきたすおそれもあるので、今後も対策をしておくことが重要です。

10大脅威を参考に組織にあった対策を！

情報セキュリティ対策の基本にもありますが、こうした脅威に対応するには、どのような脅威と手口があるのか、普段から知っておくことが大事です。今回発表された10大脅威は対策を検討する上でとても参考になります。そして、10大脅威の順位や選定されている・いないに関わらず、組織が置かれている立場や環境を考慮して優先度を付け、適切な対応を取ることが重要です。

とは言え、これらの脅威が使う攻撃の糸口はどれも似通ったもので、古くからある基本的な手法が使われていることがほとんどです。つまり、攻撃の糸口に大きな変化がない限り、基本的な対策さえしっかりしておけば効果は十分期待できます。そして脅威に対抗するには、なによりも先手を打つことがポイントです。普段から情報収集をして必要な対策を講じましょう。

こちらもチェック！