調査

クラウドベースのデータ/ウェブアプリの攻撃が2倍に増加--ベライゾン調査

渡邉利和

2020-08-31 10:00

 ベライゾンジャパンは8月28日、「2020年度 ベライゾン データ漏洩侵害調査報告書」(略称DBIR:Data Breach Investigations Report)の日本語版を発表した。

Verizon Threat Research Advisory CenterのGlobal DirectorであるChris Novak氏
Verizon Threat Research Advisory CenterのGlobal DirectorであるChris Novak氏

 調査では、「86%のデータ侵害が金銭的利益目的(2019年の71%から増加)」「データ侵害の大多数は外部の行為者(70%)によるものであり、組織犯罪がこれらの55%を占める」「認証情報を盗難やフィッシング、ビジネスメールのデータ侵害などのソーシャル攻撃がデータ侵害の67%以上」「ウェブアプリケーションのデータ侵害が前年比で2倍(43%)に増加、盗取された認証情報がこれらのケースの80%以上で使用されたことが示された」などが報告されている。

 2020年度版DBIRについて説明したVerizon Threat Research Advisory CenterのGlobal DirectorであるChris Novak氏は、報告書の意義について「過去の案件から学んだことを共有し、将来の予防に役立てること」だと指摘した。

 また同氏は、データ漏えいの原因として「人的ミス」の比重が高まっていることも明かした。同氏は「クラウドやSaaSだからリスクが高いということではない」と前置きしつつ、企業や組織のクラウド移行/クラウド活用が本格化する中で、「新しい環境」に不慣れなどの理由で設定が適切に行われなかったり操作ミスがあったりすると分析し、「新しいテクノロジーに移行した場合、そこでの適切なセキュリティ設定のやり方が分からないことがある」と指摘した。

 これと、ウェブアプリケーションなどのクラウドやSaaSを対象とした攻撃の増加傾向を重ね合わせて考えれば、攻撃者は防御が手薄だったり攻撃が容易だったりするポイントを的確に狙ってくるとも言えそうだ。

 また、もう1点同氏が紹介した興味深いデータとして、情報漏えいを成功させるまでに攻撃者が実行した「ステップ数」(手順の複雑さと理解してよいだろう)がある。これによると、圧倒的多数は1ステップ、つまり、ごくシンプルに脆弱性を突くだけといった形で成功しているということが分かる。標的形攻撃等でイメージされるような、周到に情報を収集して準備を行い、巧妙な手口で攻撃を成功させるという攻撃ばかりではなく、むしろ「お手軽に成果を得られる」防御の甘い対象が選ばれる傾向があるということだ。

 この点に関して同氏は「本当に価値の高い情報があると分かっていてそれを何としてでも手に入れたいという場合もあるが、通常はあまり手間暇を掛けていては割に合わない」という理由だと指摘している。逆に言えば、セキュリティパッチを確実に当てるなどの対応を行うだけでも被害に遭う可能性を大幅に下げられるということでもある。

 また同氏はアジア太平洋地域(APAC)の特徴についても紹介した。グローバルのデータと比較した場合のAPACの特徴としては「ウェブアプリケーションに対する攻撃やさまざまなミスに起因するデータ漏えいが多い」といい、「金銭的利益目的の攻撃の比率がやや低く(63%)、スパイ行為(Espionage)が比較的多い(39%)」という。

 最後に同氏は、世界的な新型コロナウイルス感染症(COVID-19)を踏まえた在宅勤務/リモートワークの増加に関して、推奨される対策についても紹介した。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]