情報セキュリティの選りすぐりの技術と信頼を届けます
SIPSセキュリティレポート 2021年12月21日号
***************************************************************
2021年のサイバー攻撃は昨年の2倍以上・・・どうする日本‼
***************************************************************
新型コロナウイルス蔓延が拡大し、年間の多くを緊急事態宣言下で過ごした1年であったが、サイ
バー攻撃は昨年より増加した。
特に7月からの下半期では、本日時点で昨年1年間のサイバー脅威情報の確認件数を上回り、
1年間の確認件数は昨年の2倍以上にあたる600件以上を示している。
その中でも特に多かったのは、特定企業DBから機密情報を搾取する攻撃であった。
昨年は企業名やドメイン名を特定する脅威情報はそれほど多くなかったが、今年に入り激変。
SIPSの調査による項目別サイバー脅威情報のトップにあたる24%の件数が確認された。
特に4月以降はドメインを特定した企業DBの売買情報が多数確認された。
ランサムウェア攻撃もその一つで、国内では多くの企業が被害に遭いニュースとなっている。
昨年後半から発生したキャッシュレスペイを不正利用し銀行口座から不正引き出しの事件が収束
しないまま、新型コロナウイルス第3波による緊急事態宣言で年を明けた1月、テレワークを狙うかの
ようにサイバー攻撃が開始された。
今年最初の当レポートで2021年に注意すべきサイバー攻撃として、「医療機関、医療関係企業の
サーバハッキング」「高度化するフィッシング」「標的型マルウェア攻撃」の3つを挙げたが、やはりこれらの
攻撃は進化しながら増加していった。
医療関係では10月に発生した徳島半田病院のランサムウェア攻撃がニュースで大きく報じられたが
それ以外にも、医療関連企業、医薬品関連企業なども多数狙われ情報流出が確認されている。
コロナ禍という事もあり、医療関係を狙う攻撃が増加する事は想定できたが、セキュリティ対策を施し
ている病院や企業でさえ大きな被害を受けてしまった。
フィッシングに関して言えば、次から次へと新たなフィッシング手法で様々な企業やサービスから攻撃の
メールが届いた。
筆者のメールアドレスに届いた1年間のフィッシングメールの数は135通。
SMSを加えると150通を超え、送信元を調査すると、その大半は中国から送られてきていた。
実際にフィッシングの被害にあった人は、情報を盗まれ悪用されるという事も多数確認されている。
フィッシング攻撃による被害で最も多いクレジット番号に関して、SIPSによる中国ブラックマーケット
での実態を調査したところ、その数は驚くべきものであった。
12月15日に1日だけで確認できたクレジットカードの流出数は、フルナンバーが確認できた数だけで
複数チャネルの複数の販売者合計で300件近くのサンプルがあった。
BIN番号と呼ばれる発行者識別番号のみの情報を加えると、1日で1000枚を超える数が新たに
売買されていたのである。
この中にはハッキングにより入手したものも存在するだろうが、フィッシングが大きな要因になっている
事は否定できない。
クレジットカード協会の統計では、昨年の1.5倍近い被害が公表されていて、年間で300億円もの
不正利用被害が発生している。
流出数は日増しに増加していて、その被害は更に拡大すると考えられる。
標的型マルウェアの代表的なものは、ランサムウェアであろう。
5月にランサムウェアグループの一つであるBABUK
Lockerが日本に対する攻撃を宣言し、その後
ParadiseとBABUKのランサムウェアソースコードが公開され、その亜種を利用したランサムウェア
グループが次々に確認された。
日本企業も次々に攻撃されランサムウェア攻撃は世界的にも大きな問題になった。
そんな中でSIPSで収集し、一番記憶にある脅威情報は4月23日に中国ブラックマーケットで確認
された「簡単に攻撃が可能な日本サイト」という情報がハッカーズコミュニティで共有された事である。
1500を超える日本のWebサイトの脆弱性を持つ詳細URLが公開されていたのである。
この中には政府機関、自治体、教育機関、企業や団体等様々で、因果関係は確認していない
ものの当該リストに入っている企業がその後ハッキングされたというニュースもあった。
弊社Webサイトでも注意喚起を行ったが、効果は感じられなかった。
さてそんな中、間もなく新しい年を迎える事になるが、政府から重要インフラ事業者にサイバー攻撃
への備えを2022年度から義務付けるというニュースが飛び込んできた。
ITの機能不全により国民生活や社会経済活動に重要な影響を及ぼさないよう防護し、重要イン
フラ分野において実施する事が望ましい施策を「法令」「防災計画」で具体化し情報セキュリティ対策
を強化するというものである。
重要インフラ分野としては「情報通信」「金融」「航空」「鉄道」「電力」「ガス」「政府・行政サービス」
「医療」「水道」「物流」の各分野に属する事業者で対象事業者が指定される。
対象の事業者は対応に追われることになるだろうが、日本のサイバー事情に取っては朗報である。
直ぐにとは行かないだろうが、少しでも日本のインターネット上の情報セキュリティ事情が改善される
のであれば、国民も安心するだろう。
むしろ遅いくらいで、対象事業者以外の事業者・団体も同様な考えで望む必要がある。
2022年の日本へのサイバー脅威はどうなるだろうか？
サイバー攻撃による被害が少しでも減少するのであれば良いのだが、政府の発表した重要インフラ
事業者へのサイバー攻撃の義務だけではサイバー攻撃被害は減るとは考えられない。
情報セキュリティ従事者、情報セキュリティ担当者が中心になり日本中に情報セキュリティの重要さ
を広めなければならない。
まずは年末年始のサイバー攻撃に対してきちんとした対策をして新年を迎えられるようにしたい。
2022年がサイバー攻撃に立ち向かえる、日本の新しいデジタル社会の出発点になることを心より
願い、今年最後のレポートにさせて頂きます。
今年も1年間ありがとうございました。
2021年が皆様にとって良い年になりますよう心から願っております。
---------------------------------------------------------------------------------
<参考URL>
日本経済新聞：2021/12/20
重要インフラ、企業にサイバー防衛義務付け 22年度から
https://www.nikkei.com/article/DGXZQOUA307KB0Q1A131C2000000/
日経XTEC
ACTIVE：2121/12/13
【1月18日】迫る個人情報保護法の改正、Webセキュリティは万全か？
https://active.nikkeibp.co.jp/atcl/sp/seminar/21/12/07/00196/
ITmedia
NEWS：2021/12/8
中小企業の約6割「サイバートラブル公表せず」 IPAの調査で明らかに
https://www.itmedia.co.jp/news/articles/2112/08/news160.html
ZDNet
Japan：2021/12/10
サイバーセキュリティ対策への投資に消極的な企業がいま一度意識すべきこと
https://japan.zdnet.com/article/35180642/
Copyright (C) 2014 SouthPlume Co.,Ltd. All Rights Reserved