一般利用者を狙う脅威：2020年に注視すべき動向-セキュリティブログ

トレンドマイクロは、2020年に注視すべきセキュリティ動向について紹介。将来を見据えた”今”を知っておくことも情シスには必要ではないだろうか。
デジタルインフォメーションを安全に交換できる世界の実現が望まれる中、今後の新たな10年を迎える上で、2020年に注視すべき脅威動向を、2019年に注目された脅威と合わせて説明している。

2019年もサイバー犯罪が猛威を振るい、インターネット、PC、各種デバイスを利用する一般利用者がさまざまな影響を受けた年となったが、「2019年上半期セキュリティラウンドアップ」でも報告しているとおり、トレンドマイクロ製品のクラウド型セキュリティ基盤「Trend Micro Smart Protection Network（SPN） 」では2019年上半期の6か月間だけで、メール、ファイル、URLの脅威を合わせて268億以上をブロックしたという。これは一般利用者を狙うサイバー犯罪者がさまざまな手口で攻撃を行っていることを示しています。

だからと言って、セキュリティ対策の原則は2020年も変わりはありません。常に細心の注意を払い、不審点に留意し、適切なセキュリティ対策を講じることが不可欠になります。

■2019年の五大脅威

サイバー犯罪の世界は一般利用者にとって脅威であり、その状況は2019年の12か月間も変わることはありませんでした。こうした状況を把握するため、トレンドマイクロでは2019年に利用者が遭遇した脅威を5つの主要なカテゴリーに分類しています。

エンドポイントを狙う脅威：

このタイプの脅威は、通常、電子メールを介して利用者のPCに対し、直接的な攻撃を仕掛けます。トレンドマイクロは、2019年上半期だけで260億を超える電子メールの脅威を検出してブロックし、これは脅威総数のほぼ91％を占めていました。
この場合、フィッシング攻撃などを駆使して、電子メール内の不正なリンクを利用者にクリックさせ、最終的に個人情報や認証情報を窃取したり、ランサムウェアをダウンロードさせたりします。また、正規に見えるなりすましサイトへ誘導して個人情報を入力させる手法も用いられます。さらには、ソーシャルメディア上でもフィッシング手法を駆使し、メッセージを送信したり、マルウェアが組み込まれた正規サイトへ誘導したりしています。

モバイルデバイスを狙う脅威：

サイバー犯罪者やハッカーは、エンドポイントの中でも特に、スマートフォンやタブレット端末などのデバイスを狙うようになってきています。この場合、正規のAndroidアプリに偽装した不正アプリを利用者が気づかずにダウンロードしてしまうことで被害にあってしまいます。

例えば、アドウェア「Agent Smith」は、この手法により、世界中で2,500万台以上のデバイスが感染しました。

また、モバイルデバイスの利用者は、ソーシャルメディアを介した攻撃の他、セキュリティが脆弱な公共Wi-Fiを利用する攻撃にもさらされます。
そしてサイバー犯罪者やハッカーの最終的な目的は金銭を得ることにあります。この目的のため、個人情報や認証情報の窃取、不正広告の表示、ランサムウェアのダウンロード、高額のサービス料金が発生する電話番号への接続、コインマイナーなど、さまざまな手法が仕掛けられるのです。

オンラインアカウントを狙う脅威：

サイバー犯罪者やハッカーは、様々なインターネット利用者のログイン情報も標的にしています。ログイン情報は、今やさまざまなデジタルサービスに囲まれた生活に不可欠な存在と言えます。NetflixやUberなどの各種サービスだけでなく、Webメールやオンラインバンクなどの基本情報を含め、これらのアカウントへアクセスするログイン情報は、Dark Webなどのサイバー犯罪アンダーグラウンドで販売されます。
また、これらを活用してさらなる個人情報窃取も可能です。
フィッシング攻撃はログイン情報を窃取するための典型的な手口ですが、2019年には、過去の不正ログイン試行を自動化ツールで検証して利用可能なアカウントを見け出すという手法も増加しました。実際、2017年11月から2019年3月末までに、この手法による攻撃の検出数が550億を超えたことが確認されています。

情報漏えいの脅威：

現在、オンライン上の取引やサービスを通してさまざまな個人情報が企業側で保管されています。サイバー犯罪者やハッカーは、なります詐欺やアカウント侵害などを実行するため、これらの個人情報をターゲットにしています。
企業は2019年も、個人情報を狙う攻撃者の格好の標的となりました。実際、2019年11月の時点で、米国企業の個人情報を狙ったセキュリティ侵害件数が1,200件を超え、1億6,300万人分の顧客情報が漏えいしたことが報じられています。
さらに、ECサイトで入力されたクレジットカード情報を窃取するEスキミングの手法（デジタルスキミング、Webスキミング、フォームジャッキングなどとも呼ばれる）も登場し、状況は悪化の一途を辿っています。

ホームネットワークを狙う脅威：

オンラインテクノロジーが一般家庭で導入され始め、その傾向は日々増加しています。現在、米国世帯の3分の2（約69％）以上が少なくとも1台のスマートホームデバイスを所有しています。それらは、音声アシスタント搭載のスマートスピーカー、ホームセキュリティシステム、赤ちゃん見守り用ベビーモニターなど多岐に渡ります。一方で、これらのデバイスのセキュリティ対策は十分ではない場合も多く、サイバー犯罪者やハッカーの格好の標的となり得ます。
特にホームネットワークへのゲートウェイの役割を果たすルータがこうしたリスクにさらされています。事実、全ルータの83％が攻撃に対して脆弱である点が懸念されており、2019年上半期だけで推定1億5,000万件に及ぶスマートホーム関連攻撃が報じられています。

テレワークの普及により、ホームネットワークをどう扱うのか気を使わないといけないのかもしれません。

■2020年に注視すべき脅威

包囲されるスマートホーム：

家庭用スマートデバイスの利用が拡大するにつれ、サイバー犯罪者やハッカーが、スマートホームネットワークを攻撃するリスクも増加しています。彼らは、インターネットに露出したスマートデバイスやIoT機器を介して家庭のネットワークに侵入することで、家族の個人情報やオンラインアカウントを窃取するなど、不正に利益を得ます。
また、ハッキングしたセキュリティカメラで家族の活動を監視し、不法侵入に好都合な時間帯を把握することも可能です。ハッキングした家庭用デバイスを既存のボットネットに追加し、他の攻撃に加担させることも可能になります。

オンラインや通話を介したソーシャルエンジニアリング：

利用者の心理を突く手法は、成功率が高い攻撃の1つです。従来型のフィッシングメールや偽装通話を利用して利用者を騙す手法は、2020年も増加し続けるでしょう。実際、米国ではロボットによる自動通話の件数が1日平均2億件に達しており、その30％は攻撃を意図していた可能性があると言われています。通話を悪用した手法では、使用中のPCに問題があるなどと利用者を騙すことで、オンラインのサポート詐欺へ移行できます。また、ソーシャルエンジニアリングの手法では、利用者のプライベートをさらす画像や動画をWebカメラで入手したなどと脅して金銭を要求するセクストーション詐欺なども実行されます。トレンドマイクロは、2018年下半期から2019年上半期までこれら一連の攻撃が319％増加したことを確認しました。

モバイルデバイスを狙う脅威：

2020年も引き続き、モバイルデバイスを狙う脅威が増加すると想定されます。これらの多くは、セキュリティ対策が手薄な公共Wi-Fiが契機となります。これらの環境を介してサイバー犯罪者やハッカーが、利用者のインターネット閲覧活動を傍受し、個人情報やログイン情報窃取を企てます。また、2019年11月に米カリフォルニア州ロサンゼルス郡の郡庁が警告したとおり、公共に設置されたスマートフォン向け充電スタンドも、マルウェア感染のリスクが指摘されています。不正アプリによる被害に加え、2020年に注視すべき脅威と言えます。

あらゆるオンラインアカウントが標的となる：

利用者が個人情報を用いて作成するオンラインアカウントは、その種類に関わらずサイバー犯罪者やハッカーの標的となるでしょう。2020年は、オンラインバンキングのアカウントはもとより、オンラインゲームのアカウントへの攻撃にも十分注意する必要があります。
さらに利用者の個人情報やログイン情報だけでなく、金銭目的からゲーム内で使用されているトークンも窃取対象となることでしょう。実際、認証情報を狙フィッシング攻撃件数が550億件に至る中、約120億件がゲーム業界を狙ったものであることが確認されています。

再び台頭するワームの脅威：

ワーム機能を備えたマルウェアは、感染PCの利用者が何をしなくても、ネットワークを介して自身のコピーを拡散させる危険な脅威です。2017年に世界規模の被害をもたらしたランサムウェア「WannaCry」が、まさしうそうしたワーム機能を備えていました。
2020年は、「Bluekeep」の名称で知られるWindowsの脆弱性により、大規模な被害がもたらされたり、同様の脅威が発生したりする危険性が懸念されています。

■被害に遭わないためには

一般利用者が2020年に直面するこれらさまざまな脅威を念頭に、セキュリティ対策の面では、関連システムやデータを保護するため、下記のとおり、あらゆる基盤に注意を払う必要があります。

スマートホームのセキュリティ対策：

ネットワーク監視対策ソフトの導入、ご使用のデバイスやルータやセキュリティ対策ソフトの定期的なチェックおよび更新、各種デバイスのログインパスワードの（工場出荷時）初期設定からより強固な設定への変更、ご使用のデバイスのゲストネットワークへの配置など、こうした対策を講じることで、ご自宅のスマートホームを保護することが不可欠です。

これまでの情シスには盲点かもしれませんが、社外ネットワークからの接続をどう管理するかは、だれでもテレワーク時代になるからこそ、きちんと整備しておく必要があるでしょう。

各種マルウェアに対するセキュリティ対策：

信頼のおけるセキュリティベンダのセキュリティ対策ソフトを導入し、さらにPCやモバイルデバイスの脆弱性に関する定期的なパッチ適用を実行すること。また、強固なパスワードを使用することで、情報窃取型マルウェア、ランサムウェア、その他のワーム機能を備えたマルウェアなど脅威による被害を防ぎます。

お金にゆとりがあれば、Webアイソレーションは有効な手段と言えます。

モバイルデバイスのセキュリティ対策：

公共のWi-Fiネットワークにはつながないことが企業ユーザーには必要です。もし、接続する必要がある場合は必ずVPNを使用することがボトムとなります。また、使用するデバイスには、必ずセキュリティ対策ソフトをインストールしてください。使用するアプリは公式ストアから購入すること。さらに、常に最新のデバイスOSバージョンを使用することも、ご使用のモバイルデバイスのセキュリティを確保する上で有効です。USB経由での侵入のリスクを考えると、公共の充電スタンドの利用は、なるべく避けた方がよいでしょう。

アカウントのセキュリティ対策：

パスワード管理ソフトにより強固なパスワードを使用し、可能であれば二要素認証など追加のセキュリティを有効にすることで、ご使用のアカウントのセキュリティを確保できます。シングルサインオンのサービスを利用するなどの方法があります。
これにより、パスワード使い回しのリスクであるアカウントリスト攻撃による不正ログインの被害も回避可能です。
尚、共有PCでの個人用Webメールやその他の個人用アカウントでのログインは避けるべきです。

ソーシャルエンジニアリングへの対策：

不審なメール、テキスト、ソーシャルメディア投稿等のメッセージは、決してリンクをクリックしたり、添付ファイルを開封したりしないこと。また、通話を介した個人情報の共有も避けるようにすべきかもしれません。

『君子危うきに近寄らず』、危険なにおいをかぎ分けるのも必要なスキルかもしれません。

 

---

本記事は、トレンドマイクロ様の許諾により「トレンドマイクロ・セキュリティブログ」の内容を元に作成しております。
ソース：https://blog.trendmicro.co.jp/archives/23610