米通信大手Verizonの日本法人ベライゾンジャパンは12月12日、2024年度版の「データ漏えい／侵害調査報告書」（DBIR）に関する説明会を開いた。2023年に発生したセキュリティインシデントの分析結果を基に、脅威の動向やセキュリティ対策の方向性を解説した。
DBIRでは、セキュリティインシデントについて同社や関係協力機関が対応を支援した事案および報告書などが公開された事案を分析。17回目となる2024年度版のDBIRは5月に公開された。2023年に発生した94カ国・3万458件のインシデントの分析から1万626件がデータ漏えい／侵害に該当したといい、前回調査から倍増している。
Verizon サイバーセキュリティコンサルティングおよびセールス担当バイスプレジデントのChris Novak氏
まず全体の傾向などをVerizon サイバーセキュリティコンサルティングおよびセールス担当バイスプレジデントのChris Novak氏が解説した。脅威の侵入経路では既知の脆弱（ぜいじゃく）性を悪用する初期段階の攻撃が前回調査から2.8倍増加し、分析したインシデントの68％は人的ミスなど悪意のない要因で、15％は取引先などサプライチェーン関連だった。
また、攻撃者によって窃取された認証情報の悪用による侵害が31％を占めていた。被害者が攻撃者に支払った金銭は、ランサムウェアなどのケースで中央値が4万6000ドル、ビジネスメール詐欺（BEC）では5万ドルに上った。さらに、フィッシングメールを開封～クリックしてしまうまでの時間が中央値で1分未満だったこと、対応の緊急性の高い脆弱性の半数は、情報公開から55日を経過しても半分ほどしか修正されていないといった実態が分かった。
脆弱性の修正パッチを迅速に適用することが理想だが、限られたリソースで作業するには難しい。影響が大きい脆弱性への対応を優先するなどの方針や体制が重要という（説明資料より）
脆弱性などの動向についてNovak氏は、攻撃が急増する中で未知の脆弱性が悪用されるケースが増えているとしつつ、既知の脆弱性への対応が遅れていることが問題だと指摘した。米サイバーセキュリティおよび社会基盤安全保障庁（CISA）が公開している、サイバー攻撃で頻繁に悪用される脆弱性情報「KEV」（Known Exploited Vulnerabilities catalog）では、情報公開から修正パッチのリリースまで平均5日という。
Novak氏は、リリースされた修正パッチを迅速に適用して修正を図ることが望ましいとしつつも、実際には組織のリソースの制約から難しい状況にあり、ビジネスへの影響やリソースがある中でも、リスク評価値などを活用しながら優先的に対応すべき脆弱性を見極めるといったことをアドバイスしている。
