サイバー犯罪者がネットワークへの侵入を果たした後、そのネットワーク内に潜伏し、より手の込んだ攻撃キャンペーンや、より強力な攻撃に向けた準備を整えるというケースが増えてきている。
Sophosのサイバーセキュリティリサーチャーらは、2021年に世界中のさまざまな組織や業界を標的にして実行された攻撃を分析した。それによると、サイバー犯罪者が侵入したネットワーク内に潜伏する「滞留時間」は中央値にして15日となっており、前年の11日に比べると長期化しているという。
滞留時間とは、ネットワーク内に潜むハッカーが、その存在を検知される、あるいはネットワークを後にするまでの時間のことであり、侵入したネットワーク内で検知を逃れ、滞留している時間を増やしているという事実は、彼らがユーザーの監視や、データの窃盗のほか、マルウェアやランサムウェアによる攻撃の準備を整えるといった悪意あるアクティビティーをより注意深く実行できることを意味している。
Sophosの上級セキュリティアドバイザーであるJohn Shier氏は米ZDNetに対して、「ネットワーク内への侵入を許したくないという気持ちがあるのは当たり前だろうが、彼らが長期間とどまればとどまるほど、環境を完全に掌握するために時間を使えるようになる。拙速な行動を取れば、何らかのミスを誘発する可能性が高くなる」と述べた。
同氏は「ネットワークの深部に潜り込むことで、通常では入り込めない部分に侵入でき、業務上の重大なデータを発見できるようにもなる」と付け加えた。
サイバー犯罪者らがネットワークに最初に侵入する際の重要な手法の1つとして、パッチが適用されていないセキュリティ脆弱性を突くというものがある。Sophosの調査によると、インシデントの47％がこういった根本的原因を抱えていたという。
最もよく用いられていた脆弱性としては、「Microsoft Exchange Server」に潜む「ProxyLogon」と「ProxyShell」の脆弱性があり、Shier氏はこれらを「幅広く用いられており、簡単に悪用できる」と形容した上で、サイバー犯罪者らが長時間ネットワーク内に潜伏できた理由の1つとして、多くの組織がセキュリティパッチを迅速に適用していなかった、あるいは依然として適用していないことを挙げている。
この問題に悩まされている組織の中で滞留時間の中央値が最も長かったのは、中小企業（21日）と教育機関（34日）だった。
これらの組織は多くの場合、ネットワーク内の怪しいアクティビティーを迅速に検知することはおろか、サイバーセキュリティの基本を確実に管理するための予算やリソース、十分な数の情報セキュリティ担当者を確保するために苦労を重ねている。
