기타 日本企業へのサイバー攻撃が激化する真因とは？ 国家も絡む“認知戦”に…米セキュリティ専門家「日本の状況は非常に怖い」

[お持て成し]

日本企業へのサイバー攻撃が激化する真因とは？ 国家も絡む“認知戦”に…米セキュリティ専門家「日本の状況は非常に怖い」/ 12/19(金) / 東洋経済オンライン

右／Rapid7 Inc. チーフ サイエンティスト ラジ・サマニ氏 （Raj Samani）左／ラピッドセブン・ジャパン日本最高技術責任者 古川 勝也氏 （ふるかわ かつや）（写真：ラピッドセブン・ジャパン）

　今年は、日本の大企業へのランサムウェア攻撃が続いた。なぜここまで被害が目立つようになったのか。「複数の国家が日本を標的としている」と話すのはアメリカを本拠地とするセキュリティベンダー・Rapid7のチーフ サイエンティストであるラジ・サマニ氏だ。日本企業を取り巻くサイバーリスクの現状について、話を聞いた。

【画像】初期侵入経路で多いのは？

■ 世界中のサイバー攻撃者に狙われる日本

　――まずグローバルおよび日本のサイバー脅威の状況について教えてください。

　サマニ:私たちは世界中の犯罪組織、そしてAPT(高度な標的型)攻撃を追跡しています。それらを分析し、例えば脅威グループが展開しているキャンペーンと標的とする地域や業界など、判明した情報を定期レポートとして公開しています。

　そこから見えてきたことは、APTグループの一部が日本企業に標的を絞って攻撃しているということです。

　ランサムウェア攻撃を得意とする非常に強力なグループも確認されています。しかも、複数の国家が日本を標的にしています。

　また、サイバー攻撃の目的は、単に企業のIP(知的財産)や機密情報を盗み出すだけにとどまりません。今日、犯罪者たちは「認知戦」と呼ばれる領域にまで攻撃を拡大させています。

サイバーは陸、海、空、宇宙に続く「第5の戦場」と呼ばれていますが、現在は認知戦が「第6の戦場」とされています。

　これは、盗み出した情報や意図的に作成した偽情報(フェイクニュース、ディープフェイクなど)を、SNSなどのプラットフォームを介して大量に拡散するものです。

　その目的は、日本国民に誤った認識を植え付け、世論を誘導したり、社会に混乱を引き起こしたりすること。具体的には、特定の企業や政治への不信感を増幅させたりしようとします。

　日本には、世界的に価値の高い技術を持つ巨大な組織、企業、業界が集中しています。犯罪者たちは、これらの組織を標的とすることで、IP窃取やランサムウェアによる多額の金銭を手にできると考えるだけでなく、その社会的影響力の大きさから、より効果的な認知戦を展開できると目論んでいるのです。

日本を含む東アジアのインターネットサービスプロバイダーは昨年、1秒あたり5.6テラビットという世界新記録のDDoS(分散型サービス拒否)攻撃を受けました。

　この種の国際的なサイバー攻撃では実行犯の特定が難しく、責任の追及は困難な状況です。前例のない規模の攻撃に遭っていたことは、企業が把握しておくべき事実だと思います。

■「ゼロデイ脆弱性」に要注意

　――脆弱性を悪用するケースが増えていることはよく耳にします。

　サマニ:とくに懸念されるのは、修正パッチがまだ存在しないゼロデイ脆弱性です。これはCVE(共通脆弱性識別子)に登録されているかどうかにかかわらず、犯罪者の主要な標的となります。

　犯罪者がゼロデイ脆弱性を攻撃できるのは、脆弱性の悪用コードや攻撃手法がダークウェブなどで商品として売買されているからです。

　実際に犯罪者グループが仲介人を通して、脆弱性を悪用するためのコードを作成する人から購入した取引を観測しています。その取引は20万ドルでしたが、ランサムウェアの身代金が平均50万ドル近いことを考えれば、決して高額とはいえないでしょう。

　――脆弱性を探している犯罪者もいるということですね。

　サマニ:犯罪者だけとは限りません。脆弱性のリサーチ機関を持っている国家もありますし、リサーチを外注するケースもあります。また私たちは、スパイウェアを国家に販売していた企業も調査しています。

　国家によっては、それを自国の市民を監視するために使っていました。怖いですよね。ここで念頭に置くべきことは、サイバーは戦争にも使われるということです。

　――ランサムウェア攻撃の起点となるのは、以前はフィッシングなどのメール経由でしたが、最近はVPNなどのネットワーク経由が増えているようです。最新のデータではどうなっていますか。

　サマニ:最新の脅威レポートでは、MFA(多要素認証)を使用していないリモートアクセスが41％、脆弱性の悪用が30％、ソーシャルエンジニアリングが12％となっています。

　リモートアクセスは、過去の漏洩情報やフィッシングなどにより入手した認証情報(IDとパスワード)が使われます。脆弱性の悪用はVPNなどが該当します。

■ 攻撃されうる箇所が増えてしまった

　――注目する攻撃手法はありますか。

　サマニ:企業で一番の懸念点となるのは、アタックサーフェス(攻撃されうる面)の拡大です。

例えば、個人で利用しているLinkedInのプロフィールはユーザーの管理下にあり、企業からは見ることはできません。しかし、従業員が会社のPCやWi-Fiを使ってLinkedInへアクセスすると、その通信を傍受されて情報を所属企業への攻撃に悪用される可能性があります。

　部署や役職名、同僚の名前などが漏れ出してしまうと、同僚を装ったフィッシングメールや上司を装ったビジネスメール詐欺(BEC)が送られたり、誕生日などの個人情報からパスワードを解読されて、不正アクセスされたりするおそれがあります。攻撃者はこうした曖昧な境界線を悪用してきます。

■ 中小企業の方がランサムウェアの被害者になりやすい？　

　――個人経由で企業を狙うのですね。

　サマニ:1人が持つデバイスの数も増えていますし、とくにスマートフォンはSNSやコミュニケーションのアプリが多数使われています。

　スマートフォン1台だけでも30から40の入り口があるといえます。そして、現在の社会やビジネスはデジタルテクノロジーに大きく依存しています。どこか1カ所が侵害されれば、サービス全体が崩れてしまいます。これが昨今、日本のランサムウェア攻撃で見られている現象だと思います。

　個人的な例ですが、私は昨日タクシーの中にスマートフォンを忘れてしまいました。そうすると、来日中の予定も分かりませんし、ホテルの支払いも家族への連絡もできません。撮影した写真などのクラウドへのアクセス権もなくなってしまいます。サイバー攻撃を受けた企業は、これと同じことが起き、例えば店頭からビールが消えてしまうことになるわけです。

　また、当社の調査によると、大企業よりも中小企業の方がランサムウェアの被害者になりやすいということがわかりました。年間収益が500万ドルの企業は、3000万ドルから5000万ドルの企業に比べて約2倍、1億ドルの企業に比べて約5倍もランサムウェアの被害に遭っていました。

もちろん、中小企業におけるセキュリティの難しさも理解できます。サイバーセキュリティの世界は、まるで外国語を見ているような感覚があることでしょう。

　サイバーセキュリティは、潤沢な予算のある企業に限られたものでないと私たちは強く思っています。私たちRapid7はコミュニティに対して多くの技術、テクノロジーを無償で提供しています。

■ 意外と難しい「己を知る」

　――最後に、企業の経営層に向けてメッセージをお願いします。

　サマニ:私も企業のCISOを経験していますので、企業が直面している今の状況が非常に怖いということを実感しています。脅威がいたるところ、思いもよらないところに存在し、自社を脅かすおそれがあるのですから。

　そこで企業の経営層の方々には、ぜひ現在契約しているサイバーセキュリティのベンダーを改めて見直してみて、自社のパートナーとしてふさわしいか吟味することをおすすめします。

　古川:サイバーセキュリティの基本はシンプルに言えば「敵を知り、己を知る」に尽きます。犯罪者の手法を理解して自社の守りを固める。そのためには自社のシステムなどを把握する必要がある。

　しかし自社といっても現在は海外にもサプライチェーンが広がっていますし、OT(オペレーションテクノロジー)のセキュリティも考える必要があります。「己を知る」が複雑になっているわけです。ですので、これらを一元的に管理・把握することが企業の喫緊の課題といえるでしょう。

吉澤 亨史 :ライター

https://news.yahoo.co.jp/articles/10fce0df64e88bc306bc1926f3ef96b4052b7b49?page=1

日本企業へのサイバー攻撃が激化する真因とは？ 国家も絡む“認知戦”に…米セキュリティ専

일본 기업에 대한 사이버 공격이 격화되는 진인은? 국가도 얽힌 "인지전"에…미 시큐리티 전문가 "일본 상황은 매우 무섭다" / 12/19(금) / 동양경제 온라인

오른쪽 / Rapid7 Inc. 치프 사이언티스트 라지 사마니 씨(Raj Samani) 왼쪽 / 래피드 세븐 재팬 일본 최고 기술 책임자 후루카와 카츠야 씨(古川 勝也) 카츠야) (사진 : 래피드 세븐 재팬)

올해는 일본 대기업에 대한 랜섬웨어 공격이 이어졌다. 왜 이렇게까지 피해가 눈에 띄게 된 것일까. 「복수의 국가가 일본을 표적으로 하고 있다」라고 말하는 것은 미국을 본거지로 하는 시큐러티 벤더·Rapid 7의 치프 사이언티스트인 라지·사마니 씨다. 일본 기업을 둘러싼 사이버 리스크의 현상에 대해, 이야기를 들었다.

■ 전 세계 사이버 공격자에게 표적이 되는 일본

―― 먼저 글로벌 및 일본의 사이버 위협 상황에 대해 알려주세요.

- 사마니(Samani)

우리는 전 세계의 범죄 조직, 그리고 APT(고도의 표적형) 공격을 추적하고 있습니다. 그것들을 분석해, 예를 들면 위협 그룹이 전개하고 있는 캠페인과 표적으로 하는 지역이나 업계 등, 판명된 정보를 정기 리포트로서 공개하고 있습니다.

거기에서 보이는 것은 APT 그룹의 일부가 일본 기업에 표적을 좁혀 공격하고 있다는 것입니다.

랜섬웨어 공격을 특기로 하는 매우 강력한 그룹도 확인되고 있습니다. 게다가 여러 국가가 일본을 표적으로 하고 있습니다.

또한 사이버 공격의 목적은 단순히 기업의 IP(지적재산)나 기밀 정보를 빼내는 데 그치지 않습니다. 오늘날 범죄자들은 '인지전'이라고 불리는 영역까지 공격을 확대시키고 있습니다.

사이버는 육지, 바다, 하늘, 우주에 이은 '제5의 전장'으로 불리고 있지만, 현재는 인지전이 '제6의 전장'으로 여겨지고 있습니다.

이는 빼낸 정보나 의도적으로 작성한 가짜 정보(가짜뉴스, 딥페이크 등)를 SNS 등 플랫폼을 통해 대량 확산하는 것입니다.

그 목적은 일본 국민에게 잘못된 인식을 심어주고 여론을 유도하거나 사회에 혼란을 야기하는 것이다. 구체적으로는 특정 기업이나 정치에 대한 불신감을 증폭시키려 합니다.

일본에는 세계적으로 가치가 높은 기술을 가진 거대한 조직, 기업, 업계가 집중되어 있습니다. 범죄자들은, 이러한 조직을 표적으로 하는 것으로, IP 절취나 랜섬웨어에 의한 고액의 금전을 손에 넣을 수 있다고 생각할 뿐만 아니라, 그 사회적 영향력의 크기로부터, 보다 효과적인 인지전을 전개할 수 있다고 목론하고 있습니다.

일본을 포함한 동아시아 인터넷 서비스 제공업체들은 지난해 초당 5.6테라비트라는 세계 신기록인 디도스(DDoS분산서비스거부) 공격을 받았습니다.

이런 종류의 국제적인 사이버 공격으로는 실행범의 특정이 어렵고, 책임 추궁은 곤란한 상황입니다. 전례 없는 규모의 공격을 당했다는 것은 기업이 파악해야 할 사실이라고 생각합니다.

■ '제로데이 취약성' 주의

―― 취약성을 악용하는 경우가 증가하고 있는 것은 자주 듣습니다.

- 사마니(Samani)

특히 우려되는 것은 수정 패치가 아직 존재하지 않는 제로데이 취약성입니다. 이는 CVE(공통 취약성 식별자)에 등록되어 있는지 여부에 관계없이 범죄자의 주요 표적이 됩니다.

범죄자가 제로데이 취약성을 공격할 수 있는 것은 취약성 악용 코드나 공격 기법이 다크웹 등에서 상품으로 매매되고 있기 때문입니다.

실제로 범죄자 그룹이 중개인을 통해 취약성을 악용하기 위한 코드를 작성하는 사람으로부터 구입한 거래를 관측하고 있습니다. 그 거래는 20만달러이었지만, 랜섬웨어의 몸값이 평균 50만달러 가까운 것을 생각하면 결코 고액이라고 할 수 없을 것입니다.

―― 취약성을 찾고 있는 범죄자도 있다는 것이군요.

- 사마니(Samani)

범죄자만 있는 것은 아닙니다. 취약성 리서치 기관을 가지고 있는 국가도 있고, 리서치를 외주하는 경우도 있습니다. 또한 우리는 스파이웨어를 국가에 판매했던 기업도 조사하고 있습니다.

국가에 따라서는 그것을 자국 시민을 감시하는 데 사용했습니다. 무섭죠. 여기서 염두에 두어야 할 것은 사이버는 전쟁에도 사용된다는 것입니다.

―― 랜섬웨어 공격의 기점이 되는 것은 이전에는 피싱 등의 메일 경유였지만, 최근에는 VPN 등의 네트워크 경유가 증가하고 있는 것 같습니다. 최신 데이터로는 어떻게 되어 있나요?

- 사마니(Samani)

최신 위협 보고서에서는 MFA(다요소 인증)를 사용하지 않은 원격 액세스가 41%, 취약성 악용이 30%, 소셜 엔지니어링이 12%입니다.

원격접속은 과거의 유출정보나 피싱 등을 통해 입수한 인증정보(ID와 패스워드)가 사용됩니다. 취약성 악용은 VPN 등이 해당됩니다.

■ 공격당할 수 있는 곳이 많아졌다

―― 주목하는 공격 기법이 있나요?

- 사마니(Samani)

기업에서 가장 큰 우려점이 되는 것은 공격받을 수 있는 면의 확대입니다.

예를 들면, 개인이 이용하고 있는 LinkedIn의 프로필은 사용자의 관리하에 있어 기업에서는 볼 수 없습니다. 하지만 직원이 회사 PC나 와이파이를 이용해 LinkedIn에 접속하면 해당 통신을 감청받아 정보를 소속 기업 공격에 악용될 수 있습니다.

부서나 직급명, 동료의 이름 등이 누락되면 동료를 가장한 피싱 메일이나 상사를 가장한 비즈니스 메일 사기(BEC)가 보내지거나 생일 등의 개인정보에서 비밀번호를 해독해 불법 접속될 우려가 있습니다. 공격자는 이러한 애매한 경계선을 악용해 옵니다.

■ 중소기업이 랜섬웨어 피해자 되기 쉽다?　

―― 개인 경유로 기업을 노리는군요.

- 사마니(Samani)

한 사람이 가진 장치의 수도 증가하고 있고, 특히 스마트폰은 SNS나 커뮤니케이션 앱이 다수 사용되고 있습니다.

스마트폰 한 대만 해도 30~40개의 입구가 있다고 할 수 있습니다. 그리고 현재의 사회나 비즈니스는 디지털 테크놀로지에 크게 의존하고 있습니다. 어딘가 한 곳이 침해되면 서비스 전체가 무너져 버립니다. 이것이 요즘 일본의 랜섬웨어 공격에서 보여지고 있는 현상이라고 생각합니다.

개인적인 예입니다만, 저는 어제 택시 안에서 스마트폰을 잊어 버렸습니다. 그러면 일본 방문 예정도 알 수 없고, 호텔 지불도 가족에게 연락도 할 수 없습니다. 촬영한 사진 등의 클라우드에 대한 액세스 권한도 없어져 버립니다. 사이버 공격을 받은 기업은 이와 같은 일이 일어나고, 예를 들어 매장에서 맥주가 사라지게 되는 것입니다.

또한 당사의 조사에 따르면 대기업보다 중소기업이 랜섬웨어의 피해자가 되기 쉽다는 것을 알 수 있었습니다. 연간 수익이 500만 달러인 기업은 3000만 달러에서 5000만 달러인 기업에 비해 약 2배, 1억 달러인 기업에 비해 약 5배나 랜섬웨어 피해를 입었습니다.

물론 중소기업의 보안의 어려움도 이해할 수 있습니다. 사이버 보안의 세계는 마치 외국어를 보는 듯한 감각이 있을 것입니다.

사이버 보안은 윤택한 예산이 있는 기업에 한정된 것이 아니라고 우리는 강하게 생각합니다. 저희 Rapid7은 커뮤니티에 대해 많은 기술, 테크놀로지를 무상으로 제공하고 있습니다.

■ 의외로 어려운 '나를 안다'

―― 마지막으로 기업의 경영층을 향해 메시지를 부탁드립니다.

- 사마니(Samani)

저도 기업의 CISO를 경험하고 있기 때문에 기업이 직면하고 있는 지금의 상황이 매우 무섭다는 것을 실감하고 있습니다. 위협이 도처, 생각지도 못한 곳에 존재해, 자사를 위협할 우려가 있으니까요.

거기서 기업의 경영층의 분들에게는, 꼭 현재 계약하고 있는 사이버 시큐러티의 벤더를 재차 재검토해 보고, 자사의 파트너로서 적합한지 음미하는 것을 추천합니다.

- 후루카와(古川)

사이버 보안의 기본은 단순하게 말하면 '적을 알고, 자신을 안다'에 불과합니다. 범죄자의 수법을 이해하고 자사의 보호를 다진다. 이를 위해서는 자사의 시스템 등을 파악할 필요가 있다.

그러나 자사라고 해도 현재는 해외에도 공급망이 확산되고 있고, OT(오퍼레이션 테크놀로지)의 보안도 생각할 필요가 있습니다. '나를 알다'가 복잡해지고 있는 것입니다. 그렇기 때문에, 이것들을 일원적으로 관리·파악하는 것이 기업의 중요한 과제라고 할 수 있습니다.

요시자와 마사시 : 라이터