「X-Force脅威インテリジェンス・インデックス2024」によると、盗難または漏えいしたログイン情報を悪用したサイバー攻撃の数が前年比71%増加、ログイン情報が窃取された割合が前年比2倍以上の23％に増加。個人特定が可能な情報を盗むために作成された情報窃取マルウェアによるインシデント数も266%増えている。そのほか、アジア太平洋地域におけるサイバー攻撃の約80％は日本を標的にしているとも報告されている。

攻撃手口の43%がマルウェア

攻撃手口として最も多かったのがマルウェアによるもので、全体の43%を占めている。マルウェアのうちファイルを暗号化し、元に戻すことを引き換えに金銭を要求するランサムウェアが20%、一度システム内に侵入した後再度侵入できるように入口を設置する手法であるバックドアは6%、前述の情報窃取マルウェアは4%に及ぶ。なお、マルウェアに次いで2番目に多かった手口は脆弱（ぜいじゃく）性スキャンツールやリモートアクセスツールなどの公式ツールの悪用で全体の32%を占めており、その次にサーバーへの不正アクセス、ビジネスメール詐欺、スパム・キャンペーンと続く。このように、近年は攻撃手口の多様化がうかがえるが、中でも情報窃取マルウェアは割合こそ少ないが被害数が急増しているため、注意が必要だ。

攻撃による影響は「データ窃取とデータ漏えい」がトップ

攻撃を受けたことによる影響で最も多かったのが「データ窃取とデータ漏えい」で、インシデント全体の32%を占め、次いで「恐喝」が24%、「認証情報の収集」が23%と続く。「データ窃取とデータ漏えい」がトップであることについて、日本IBM社はデータを暗号化して脅迫する方法よりも、盗んだデータを販売する方法が主流になってきているという見解を示している。

ログイン情報などの認証情報を悪用した攻撃が前年比で71%増加したことから、企業には攻撃者からのログイン情報の窃取リスクを減らす取り組みが求められる。具体的にはセキュリティが強固な認証方式の採用が有効で、中でも「多要素認証（MFA）」が効果的だ。多要素認証とはID・パスワードなどの知識情報、SMS認証などの所持情報、指紋などの生体情報のうち二つ以上の要素を用いる認証方法のことで、一定のコストはかかるものの導入によってログイン情報が盗まれるリスクを減らすことができる。

また、攻撃手口の多様化に対してはシステムの脆弱性をチェックするペネトレーションテストも有効だ。ペネトレーションテストとは作成した事前のシナリオに沿って実際の攻撃手口と同様の手口で対象システムに模擬攻撃を仕掛けるテストで、テストの実施によって実践的かつ個別具体的にシステムのセキュリティリスクを検証できる。

同レポートで最多の攻撃手口であることが判明したマルウェアへの対策には、従業員への教育も不可欠だ。一般的にマルウェア対策として重要なのは不審なメールを開封しないことだが、そもそも不審なメールとは何かを具体例を含めて従業員に伝える必要がある。また悪意あるWebサイトへのアクセスや不必要なファイル共有ソフトの閲覧・使用を控えるように周知を行うことも重要。

特に中小企業においては、セキュリティに対する意識に企業間で差があるのが現状である。ベンダーとして顧客にサイバー攻撃被害の実態を伝え、着手すべき対策を具体的に提案することが求められる。