英国政府が公開したセキュリティレポート「2019 Cyber Security Breaches Survey」によると、フィッシングや偽の電子メールは企業にとって最大のセキュリティ問題だという。レポートではサイバー攻撃のうち最も多いのは、詐欺の電子メールあるいは偽のウェブサイトに誘導するフィッシング攻撃だと報告している。
フィッシング電子メールは、信頼できる同僚などのコンタクト先を攻撃者が装うことで、ターゲットになった人が油断してパスワードやその他の詳細情報を渡すように仕向けるものだ。攻撃者は簡単に送信できるが、被害者は対抗が難しい。Sony Pictures、米国の民主党全国委員会など、大規模なデータ漏洩の全てがフィッシング電子メールから始まっている。
「このようなデータ漏洩や攻撃に対抗するためには、技術的な制御とスタッフの認知の両方が必要だ。これには、典型的な攻撃においてフィッシング攻撃の直接のターゲットになっている専門家ではないスタッフも含まれる」とレポートは記している。
過去数年と同様、DoS（Denial of Service）攻撃などの高度で洗練された技術的な攻撃は少なくなっているという。また、ウイルス、スパイウェア、その他のマルウェア攻撃の苦情を訴える企業は少なくなっており、この手の攻撃の数が少なくなっているか、一般的ではなくなっていることを示唆していると言える。一方で、通信や教育関連の組織を狙ったDoS攻撃は、大企業を狙ったものと同じく、広く行われていることも指摘している。
フィッシング攻撃は最も多い攻撃であるだけでなく、最も破壊的な攻撃であるという。フィッシング攻撃による情報漏洩はデータや資産の損失につながるが、サイバー攻撃により企業が被る平均コストは2018年より1000ポンド以上増えて4180ポンドに達しているとのことだ。
提供：Image:Cyber Security Breaches Survey 2019
レポートではまた、最も破壊的な不正侵入や攻撃を発見するのは、サイバーセキュリティソフトウェアというより従業員であることも報告している。企業の63％、慈善団体の70％が、最も破壊的な情報漏洩は従業員や契約社員、ボランティアが報告したと述べている。このことからレポートでは、「情報漏洩を即座に発見するという点において、技術的なコントロールに加えて、従業員の警戒心がいかに重要かを示している」と記している。
これは、サイバーセキュリティに対する企業の投資が不足していることを示唆している可能性もある。IT予算の約2％しかセキュリティに費やされていないと警告する調査報告もあったが、今回のレポートには、企業がセキュリティにどれだけ費やすかには大きな開きがあると述べている。
またレポートでは、前年が43％だったのに対し、今回は32％の英国企業が過去12カ月の間にサイバーセキュリティ攻撃を特定したと回答している。
レポートでは、セキュリティ侵害を報告している企業が減少したことは企業のセキュリティが向上していることも一因だろうが、それだけではないと指摘している。攻撃者の行動が変わりつつあり、より狭い範囲の企業に集中してたくさんの攻撃が行われている可能性があることも考えられる。不正を特定する企業の数が減少しているのに、それらの企業が報告する攻撃の数が増加している理由として、これであれば説明がつく。
他に、2018年5月に導入された欧州連合（EU）の一般データ保護規則（GDPR）の導入が影響していることも考えられる。「GDPRによって、企業が不正と見なすものが変わったか、または一部の企業においてサイバーセキュリティ違反を認めることに消極的になった可能性がある」（同レポート）
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
