最新脅威まとめ：2023年上半期の動向から注目すべき3つのサイバー脅威

拡大するランサムウェア被害、引き続き「外部からの直接侵入」に注意

ここ数年、法人組織に大きな被害を与え続けているランサムウェア攻撃ですが、2023年も引き続き最大の脅威として認識すべき存在となっています。2023年上半期の6か月間にランサムウェア攻撃による被害を公表した法人組織はトレンドマイクロで把握しただけでも32件と過去最大規模でした。これは平均すると毎月5件、つまり毎週1件の被害が発生している計算になります。

図１：国内法人組織におけるランサムウェア被害の公表件数推移
（トレンドマイクロ調べ、海外拠点が被害を受けた事例を含む）

これらの被害の中でも、VPN経由など外部からネットワークへの直接侵入を許してしまっている事例が目立っています。トレンドマイクロのインシデント対応支援の中では、VPNなどネットワーク機器や外部に露出したサーバの脆弱性を悪用された場合、もしくはVPNやRDPなど外部からのネットワーク内にアクセスする際の認証情報を突破された場合の２つの原因がわかっています。
参考記事：VPN、サイバー攻撃被害に共通するセキュリティの注意点

図２：2023年上半期に公表された国内法人のランサムウェア被害のうち、
侵害原因が特定された事例における侵害原因の割合（トレンドマイクロ調べ）

これはつまり、インターネットから内部ネットワークへアクセスするための接点に存在する弱点を持っていた組織が被害に遭うという図式です。このような直接侵入の被害に遭わないようにするためには、自組織ネットワークへの侵入口となりえるポイントとそこにあるリスクを評価し、もれなく対策を施していくことが必要です。

情報漏洩事例でも顕在化した「サプライチェーンリスク」

トレンドマイクロのまとめでは、2023年上半期の6か月間で133件の情報漏洩事例が発生しています。これらの事例の中では、組織間の繋がりを経由して被害が広がる「サプライチェーンリスク」を示す事例が目立っています。特にこの2023年に入って、SaaSなどサービスを提供する事業者が侵害されたことにより、複数のサービス利用企業とその顧客にまで被害が及ぶ事例が目立ちます。

典型的な事例としては、2023年に入って被害の公表が相次いだ、ECサイト向けSaaSの事業者が侵害された事例があります。この事例では、SaaS事業者が侵害されたことにより、サービスを利用するECサイトに改ざんされたスクリプトが配信されてしまいました。最終的にこの改ざんされたスクリプトにより、ECサイト上で入力された決済情報がサイバー犯罪者の元に転送、窃取され、最終的にはクレジットカードの不正利用が発生しました。

また、海外のホテル予約サイトが提供する宿泊予約管理システムが侵害を受け、システムを利用するホテルから予約情報が窃取されたり、システムが乗っ取られてホテル利用者にフィッシングメールが送信されたりするなどの被害が発生した事例も公表されました。

これらの事例はいずれもセキュリティに懸念のあるサービス提供者が利用者にとって大きなリスクになる「サプライチェーンリスク」を示した事例と言えます。またサプライチェーン、つまり企業間の繋がりを経由して、Webサービスを提供する事業者→サービス利用企業→企業の顧客と被害が連鎖していくことも示しています。

企業や法人組織においては、自身のセキュリティを高めるだけでなく、サプライチェーン全体でセキュリティを考える必要があります。サプライチェーンを構成する他組織のセキュリティ状況を把握すると共に、他組織を経由した自組織への攻撃への対策、自組織が他組織に被害を伝播させてしまった場合の対応を考慮していく必要があります。
参考記事：サプライチェーン攻撃とは？～攻撃の起点別に手法と事例を解説～

最恐ウイルス「EMOTET」が示すマルウェアスパム沈静化の可能性

メール経由の大規模な感染拡大により、一時は「最恐ウイルス」とも呼ばれたEMOTETですが、2022年7月以来、その活動は不活発なままとなっています。2023年に入り、3月7日から攻撃メール送信を再開し注目されたものの、2週間余りが経過した3月24日を最後に攻撃メール送信は、現在に至るまで見られていません。

このような「不活発」の理由として、EMOTETのメール攻撃が、サイバー犯罪者にとっては、以前のような成果が得られていないことが推測されます。サイバー犯罪者は金銭が目的であるため、成果の上がらない攻撃を大規模に継続することはありません。マイクロソフトは2022年に、インターネットから入手したOfficeファイルにおけるマクロ実行を無効化しました。続いて2023年5月にはOneNoteファイルにおけるスクリプトの実行をブロックさせるなど、長らくマルウェアスパムの添付ファイルとして悪用されてきたOffice文書ファイルの対策となる仕様変更を行っています。このようなマイクロソフトによる対策が進む中、マルウェア拡散を目論むサイバー犯罪者にとってOffice文書ファイルの悪用によるメール攻撃が魅力的な手法ではなくなっていることが推測されます。

ただし、EMOTETが不活発であっても、マルウェアスパム自体が無くなったわけではありません。サイバー犯罪者は攻撃を成功させるため、常に新たな攻撃手法を模索しています。マルウェアスパムについても、新たな攻撃手法の登場により状況が一変する可能性があります。対策側にとっては、そのような新たな攻撃手法の登場を継続して監視し、迅速に対策を施していくことで攻撃の有効性を低く抑えることが重要となります。

その他の脅威動向として広く一般の個人利用者の観点からは、ネット詐欺の拡大が深刻です。中でも特に、フィッシング詐欺による不正送金被害が過去最大規模となっていることを警察庁が発表しています。この甚大な不正送金被害の背景として、ネットバンキングでの送金処理などの際に要求される追加認証を突破する攻撃手法があります。フィッシングサイトで詐取した情報を元に、その場で不正送金処理までを行う「リアルタイムフィッシング」はその代表です。

一般利用者にとっては身近な所からネット詐欺に誘導される場合があることに注意が必要です。フィッシング詐欺では以前からフィッシングメール（電子メール）経由の誘導とスミッシングと呼ばれるSMS経由の誘導がありました。これに加え、Web検索、一般サイト上の広告、SNS上の広告など、いわゆる不正広告からネット詐欺への誘導が顕著化しています。トレンドマイクロの調査でも、一般サイト上の不正広告からはサポート詐欺、SNS上の不正広告からは投資詐欺への誘導を確認しています。

メール、SMS、Web検索、広告などはインターネットを利用する上で日常的に触れるものです。特に一般サイトやSNS上で表示される広告に関しては、安全なものと認識してしまうことも多いものと思われます。ネット詐欺とその誘導手口を認識し、ログイン画面や個人情報などを入力する画面が出た場合にはいったん立ち止まり、その画面の正当性を確認するようにしてください。

サイバーセキュリティレポートの全容はこちらから

岡本勝之

トレンドマイクロ株式会社
セキュリティエバンジェリスト

製品のテクニカルサポート業務を経て、1999年よりトレンドラボ・ジャパンウイルスチーム、2007年日本国内専門の研究所として設立されたリージョナルトレンドラボへ移行。シニアアンチスレットアナリストとして特に不正プログラム等のネットワークの脅威全般の解析業務を担当。現在はセキュリティエバンジェリストとして、サイバーセキュリティ黎明期からこれまでのおよそ30年にわたるキャリアで培った深く幅広い脅威知識を基に、ブログやレポ―ト、講演を通じて、セキュリティ問題、セキュリティ技術の啓発にあたる。

講演実績：日本記者クラブ、一般財団法人日本サイバー犯罪対策センター（JC3）、クラウドセキュリティアライアンス（CSA）などにおける講演