2020年とは何だったのか？ あらゆる場面で多様な変化があり、極めて複雑で、形容する言葉も人それぞれ異なったものとなるのではないだろうか。サイバーリスクにもさまざまな変化が生じたが、今回はその特徴をいくつか取り上げてみることとする。
現実空間からサイバー空間へ
2020年は米軍によるイランへの空爆から始まり、報復によるサイバー攻撃への懸念が高まっていた。米国内外の米系企業にも緊張が走り、サイバー攻撃への注意喚起が積極的に行われていた。現実世界における武力行使が、サイバー空間における商取引にも波及してくるということだ。
実際には、その後の新型コロナウイルス感染拡大に伴い、当初の想定以上のことが起こっている。イランによる報復だけでなく悪意ある多くの者たちによって、より広範な企業や組織がサイバー攻撃の影響を受けることとなった。現実空間での変化が、サイバー空間にも大きな変化をもたらしている。
具体的には3月中旬から明確に、特定の方法を用いたサイバー攻撃の試行が急増している。実際、筆者自身も多くのデータ（主にIT機器に記録されているログデータ）を手に取って検証してみた上での話であるが、顕著に表れている。
それは何か？
リモート・デスクトップ・プロトコル（以下、RDP）を狙った攻撃だ。
機会を最大限生かす
2月ごろから欧州の各都市では外出制限などが始まり、多くの企業で在宅勤務が推進されるようになった。在宅勤務を推進していくためには、自宅から自社のIT機器にアクセスする必要がある。また、自宅から業務を執り行う社員に対して、IT担当者が遠隔からIT機器にアクセスしてサポートを提供することもあるだろう。
ここでは詳細な技術的説明を割愛するが、これらの機能を用いるために使用する通信プロトコルが前述の「RDP」である。
そして、このRDPを狙ったサイバー攻撃の試みが2月以降目立ち始めた。世界中の多くの都市でロックダウンが始まった3月中旬から下旬になると、それに呼応するかのようにこの手の攻撃は急増している。 それはなぜか？
もともと、RDPの設定ミスなどによって不特定多数がアクセスできるような状態となっていたIT機器は、1月時点で150万台程度世界中に存在していた。ところが、在宅勤務が本格的に行われるようになった3月に入ると、そのようなIT機器は世界中で400万台以上にも増加している。もちろん、在宅勤務だけがその元凶というわけではないが、緊急時下において事業継続性確保を急ぐあまりに設定ミスや設定忘れも多く生じていたのだ。
当然、悪意ある者たちもその機会を生かさんとばかりにサイバー攻撃の手を強めてくる。 悪意ある者たちも闇雲にあらゆる攻撃手法を試みているわけではなく、最も効率よく目的を達成するために成功確率の高い手法で試みてくることは当然だ。
このようなサイバーリスクは、多かれ少なかれ現実世界での変化が影響している。
より長期化する手口
春ごろからはランサムウェア攻撃の手法もより巧妙になり、「二重恐喝」とも呼ばれる手口が多発している。日本の著名な企業も多くその被害に遭っているため、その手口については既にご存じの方も多くおられることと思うが、今一度解説しておこう。
従来、ランサムウェアに感染するとデータやシステムなどが使用できなくなり、それらを取り返したければ金銭を支払えと要求してくるものが大半だった。データやシステムなどを人質にとって身代金（ランサム）を要求してくることから、ランサムウェアと呼ばれている。
では、二重恐喝では何が二重になったのか？
それは、データやシステムが使えなくなる前に、主に個人情報や機密データなどを盗み出す。そして身代金の要求を拒絶された場合には、これらの盗んだデータを暴露されたくなければ身代金を支払うよう要求し、二重に恐喝してくるのだ。
つまりこのことからは何が考えられるのか？
従来型のランサムウェアであれば、IT機器に感染してから発症までは比較的短期間であり、オフィス全体のIT機器が一斉に被害に遭うまでものの数分といったこともあった。しかし、発症させる前に情報を盗み出す必要があり、なおかつ情報が外部に盗み出されていることに気付かれないように長期間におよんで少しずつ盗み出す必要がある。そのため、感染から発症までが長期に及ぶようになったのだ。
また、長期間におよんで盗み出された情報の中には、被害企業におけるセキュリティーの設定状況やシステム構成といった次のサイバー攻撃へのヒントとなる情報も含まれていることがある。実際、夏に被害に遭った大手日系製造業では、これらの情報を元にオーダーメイドのサイバー攻撃を仕掛けられてしまい、複数の製造拠点が同時多発的に操業停止へと追い込まれた。
万が一の事態を「想定」する
ランサムウェア攻撃が発生した場合、要求された莫大（ばくだい）な身代金の額と、漏えいした膨大なデータに着目されることが比較的多い。この時に忘れてはならないのは、被害発生から復旧までの期間において事業中断が発生しているという事実である。
秋には日本のゲーム会社でのランサムウェア被害が発生し、多くのメディアでは前述の身代金額と漏えいした個人データの件数が大きく取り上げられた。同時に、ここでは数千台ものIT機器が影響を受けており、これらが復旧するまでの逸失利益や取引先への影響といったことを考えると、場合によっては身代金や情報漏えいに伴う損失額よりも多くの損失へとつながる可能性もある。実際、ドイツの病院ではIT機器が影響を受けたことで患者が命を落とすといった悲しい事件まで発生している。
また、欧州連合（EU）加盟国においてはNIS DirectiveというEU指令が2018年5月より施行されており、重要インフラ事業者とデジタル・サービス・プロバイダーにおいて事業中断などに発展することで制裁対象ともなり得る。12月に欧州議会へ提出された改正案では、医療機器製造事業者、食品、運輸などの事業者も含めていくことが提案されており、より多くの事業者がこの法規制の対象となる可能性がある。
サイバー空間が現実世界に甚大な影響をも及ぼすようになった現代において、あらゆる面でリスクが潜んでいる。
今年初回から被害事例を列記することとなってしまったので、本稿の最後で一つ良い事例もお伝えしておきたい。
11月に、ブラジルの航空機メーカーでランサムウェア攻撃による被害が発生した。しかし、同社ではあらかじめ決められた手順に基づいて迅速な対応を行ったことで、被害を最小限に抑えることができたということを公表（*1）している。
*1 https://www.prnewswire.com/news-releases/embraer-sa-material-fact-301182014.html
そう、まず大事なことは万が一の事態を「想定」することである。そして、その想定に対応するための手順を整備し、継続的な取り組みにしていかなくてはならない。特に、2020年は業務フローに大幅な変更が加わっている場合もあるため、改めて「想定」についても見直していくことが望ましい。
昨年も多くの政府機関やセキュリティー関連団体などからガイドラインなどが発行されたが、その多くで掲示されているキーワードは「Strategy」（戦略）と「Exercise」（演習）の重要性であった。すなわち、「想定」することが重要なのである。
サイバーセキュリティーやデータ保護に関する法規制の多くでは、事故は発生する前提で書かれている。もはや100パーセント完璧なセキュリティーというものはあり得ないというわけだ。 万が一の事態が発生した際には、どのように被害を最小化すべきかといったことに焦点を合わせていくことが重要である。
2021年も引き続き新型コロナウイルスに関連した問題、米大統領交代、ワクチンの接種開始、東京オリンピックの開催といった、世界規模での大きな出来事が多数控えている。これらに乗じた大規模な攻撃の増加にも注意を払っていかなくてはならない。
本連載執筆担当：ウイリス・タワーズワトソン Cyber Security Advisor, Corporate Risk and Broking 足立 照嘉
