近い将来、組織はどのような脅威を予期できますか? | セキュリティーニュース | 見積も可能な脆弱性診断を行っている業者は情報発信にも力を入れております

Palo Alto Networks の年次報告書によると、2022 年上半期のランサムウェア ランサムウェアの平均額は 3,000 万ドルで、最大支払い額はその金額の約25% でした。金融、法律、製造部門が主な被害者でしたが、彼らとの交渉は必ずしも容易ではありませんでした。

Palo Alto Networks の推定では、2021年の金融業界の身代金の平均額は約800万ドルでしたが、平均支払額はわずか約154,000ドルで、要求額の2%未満でした。また、2021年の平均ヘルスケア業界の身代金の要求額は140 万ドルを超え、支払い額は120万ドル (約 90%)でした。

Palo Alto Networksはまた、攻撃者が組織のファイルを暗号化するだけでなく、身代金が支払われない場合に機密情報を顧客に公開したり、追加の攻撃を仕掛けたりすると脅迫する二重恐喝手法についても言及しました。

Palo Alto Networks の脅威アナリストは、暗号化されていないランサムウェアが近い将来増加すると指摘しています。これは、経験の浅いサイバー犯罪者でも使用できるRaaS (Ransomware-as-a-Service)モデルが広く使用されているためです。RaaSモデルを使用したクラウドサービスに対するサイバー攻撃も増加する可能性があります。この環境の攻撃者は、高度な技術スキルを示すことよりも、安全でない資格情報を発見することに重点を置いているためです。

システムへの隠しアクセスを取得するもう1つの簡単で経済的な方法は、フィッシング攻撃です。フィッシングとソーシャルエンジニアリングを利用して、サイバー犯罪者は検出されずに、被害者に認証情報を渡すよう促します。

交渉中のサイバー犯罪者は、組織のサイバー保険に関する情報を使用し、保険会社から被害者に支払われたとされる金額に基づいて、必要な身代金の額を計算できることに注意してください。

また、自社の従業員から会社への脅威もあります。Palo Alto Networks のレポートによると、内部関係者による脅威の4分の3は、離職後に会社のデータを破壊したり、ネットワークへのアクセス権を取得したりした不満を持った元従業員が関係しています。 ただし、内部関係者の脅威は攻撃では一般的ではありませんが、攻撃者は機密データを探す場所を正確に知っているため、重要になる可能性があります。レポートの著者は、組織がランサムウェア攻撃から保護するシステムを実装するために、データを慎重に確認および評価することを推奨しています。

◆まとめ
金融業界は身代金を要求されても2%しか払っていない。しかし、医療機関は90%が身代金を支払っている。理由は、金融業界は昔から攻撃に晒されてきたので、守りが固いが、医療機関は攻撃に晒されることが少なかったため、守りが固くない。古いOSも平気で使われている。攻撃者も医療機関への攻撃の旨味を知ってしまった。

攻撃者も身代金が支払われないことが多くなったため、個人情報を公開するや取引先に個人情報を公開すると脅しをかけたり、被害者のサイトにDDos攻撃を仕掛けたり、2重、3重、4重の脅しをかけることが多くなった。

組織への侵入手段を獲得するためにフィッシング攻撃が行われることが多くなっている。フィッシング攻撃に対して、組織は軽視している感がある。フィッシング攻撃によって、組織が利益の多くを喪失するのであれば、その額を対策に回すことができると思う。

内部犯行対策もしっかりしておかないと内部から漏れる可能性もある。対策ができていない組織は対策をする必要があるでしょう。