セキュリティの
学び場

今回の解説ニュース

クラウドやWeb上の脅威について、調査結果が発表されています。クラウド上で実際に起きている脅威や、古いシステムを使い続けるセキュリティ上のリスクについて説明します。

今回の調査は、様々な組織規模や場所に属する950人以上の情報技術及びセキュリティの専門家を対象に実施されています。同調査によると、回答者の47％がクラウドやWebに対する攻撃で最も懸念する事項として「機密データの損失」を挙げ、データ保護が企業にとって最大の関心事であることが明らかになりました。一方で、「身代金の支払い」を挙げたのは10％と、最も懸念していない事項であったということです。

また、調査対象の約半数となる47％の企業が、クラウドセキュリティ体制に関する主な懸念事項として、レガシーシステムへの対応を挙げており、37％がより安全な従業員の行動に向けて指導が必要であると回答しています。

攻撃者の要求「身代金の支払い」に応じない姿勢は効果的？

ランサムウェアによる身代金の要求に対して、一般的には応じるべきではないと考えます。理由として、身代金を支払ってもデータを復旧できる保証がないことや、さらに被害を拡大させる可能性があるためです。

ご覧の皆さんも、オレオレ詐欺については聞いたことがあるのではないでしょうか。一度騙されてしまうと追加でお金を要求されたり、その被害を取り戻す名目でさらにお金を要求されたりするものです。これらは、騙せる人であるという情報が様々な形で共有されることにより、その被害が広がってしまうことを表しています。そして、その資金が詐欺集団に流れることで、他の被害を生むことに繋がってしまいます。このような状況は、ランサムウェアの被害についても同様であると言うことができます。

2022年に行われたセキュリティベンダーの調査によると、ランサムウェアによる身代金の要求に対して、身代金の支払いに応じた組織は76%に上りました。しかし、その内訳をみてみると、「支払ったもののデータを復旧できなかった」組織が24％いることから、「身代金の支払いはデータ復旧の手段ではない」と強調されています。また、別の調査では、身代金を支払った組織の8割がランサムウェアによる2回目の攻撃を受けたということです。

ランサムウェアが受け取った身代金で、攻撃者が独自の経済圏を形成していることは、皆さんご存じのとおりです。よって、身代金の支払いには、当事者としても、社会的にも、応じるべきではないと考えられます。

多くの企業が懸念事項に挙げる「レガシーシステムへの対応」

レガシーシステムが使い続けられる理由として、移行にかかるリスクやコストが懸念されていることが考えられます。また、レガシーシステムを使い続けることによるリスクも見逃せません。

例えば、Aさんに使い慣れたスマートフォンがあったとします。新しいスマートフォンが高機能であることはわかりながらも、スマートフォンに保存されているデータを問題なく移行できるかや、場合によってはデータが消えてしまう可能性に加え、機種変更の費用を考えると、どうしても一歩踏み出せない状況が考えられます。しかし、古いスマートフォンでは最新のOSを使うことができないことも考えられるため、場合によっては脆弱性が修正されないまま、放置されてしまうことがあるかもしれません。

レガシーシステムやオンプレミスの環境でも同様に、クラウドへ移行する際に、何らかの障害が発生してしまうことが懸念されます。大手銀行のシステムで、大規模なシステム移行に何度も試みてはうまくいかなかった事例があることは、ニュースなどで皆さんの記憶にあるかもしれません。もちろん、レガシーシステムを使い続けることによるセキュリティリスクも、同様に考えていく必要があります。

今回は、クラウド上で実際に起きている脅威や、古いシステムを使い続けるセキュリティ上のリスクについてお届けしました。