独立行政法人情報処理推進機構によると、2022年に最も社会的に影響が大きかった情報セキュリティにおける組織に関する事案は3年連続で「ランサムウェアによる被害」だったことが明らかとなった。「四重脅迫」という新たな手口も現れ、対策が求められる。
独立行政法人情報処理推進機構が脅威候補を選定し、情報セキュリティ分野の研究者、企業の実務担当者など約200人のメンバーが投票を行って決定した「情報セキュリティ10大脅威 2023」によると、組織の順位では、3年連続で「ランサムウェアによる被害」が1位となった。
この被害について情報処理推進機構は、「2022年も脆弱性を悪用した事例やリモートデスクトップ経由での不正アクセスによる事例が発生している。また、情報の暗号化のみならず窃取した情報を公開すると脅す“二重脅迫”に加え、DDoS攻撃を仕掛ける、被害者の顧客や利害関係者へ連絡するとさらに脅す“四重脅迫”が新たな手口として挙げられている」とする。
対策については、「ランサムウェアの感染経路は多岐に渡るため、ウイルス対策、不正アクセス対策、脆弱性対策などの基本的な対策を、確実かつ多層的に適用することが重要。また、バックアップの取得や復旧計画を策定するといった、攻撃を受けることを想定した事前の準備が重要」とアドバイスする。
【情報セキュリティ10大脅威2020・組織 トップ5】
1位 ランサムウェアによる被害
2位 サプライチェーンの弱点を悪用した攻撃
3位 標的型攻撃による機密情報の窃取
4位 内部不正による情報漏えい
5位 テレワーク等のニューノーマルな働き方を狙った攻撃
個人の順位では、「フィッシングによる個人情報等の詐取」が2年連続で1位となった。フィッシング詐欺は、実在の公的機関、有名企業を騙るメールやショートメッセージサービス(SMS)を送信し、正規のウェブサイトを模倣したフィッシングサイトへ誘導することで認証情報や個人情報などを入力させ詐取する手口。
現状について情報処理推進機構では、「フィッシング対策協議会のフィッシング報告状況によると2022年の報告件数は約97万件と、2021年の約53万件から大幅に増加しており、一層の注意が必要」とした。
対策については、「詐取された認証情報による不正ログインを予防するために多要素認証を有効にする、被害を早期に発見するために利用サービスのログイン履歴やクレジットカード等の利用明細を日常的に確認する、といった取り組みが大切」と指摘する。
【情報セキュリティ10大脅威2020・個人 トップ5】
1位 フィッシングによる個人情報の詐取
2位 ネット上の誹謗・中傷・デマ
3位 メールやSMS等を使った脅迫・詐欺の手口による金銭要求
4位 クレジットカード情報の不正利用
5位 スマホ決済の不正利用
今年の傾向として情報処理推進機構は、「今年は個人、組織ともに10位の脅威が入れ替わるのみで、9位までの脅威の種類は昨年と同じだった。しかし、組織10位に他の脅威を誘発しかねない“犯罪のビジネス化（アンダーグラウンドサービス）”がランクインしたように、各脅威に対して適切な対策を取ることが引き続き求められる」と注意を呼び掛けた。
【あわせて読みたい】
ITエンジニア職の採用重要度が「高い」とする企業は9割超
「テレワーク等のニューノーマルな働き方を狙った攻撃」が情報セキュリティの脅威に
【コンサルティング分野の中途採用】脅威深刻化でセキュリティ領域のニーズ高まる
