| サイバー攻撃、日本に矛先 3年で攻撃数 倍増 日経 2023/1/22 海外からのサイバー攻撃の矛先が日本に向かっている。 攻撃を検知したり、システムへの侵入を防ぐためにソフトウエアの脆弱性を修復したりするのが主要国で最も遅く、防衛力が弱いためだ。 背景にはIT（情報技術）開発の ベンダーへの丸投げが多く、サイバー防衛への 当事者意識 が希薄になりがちなことがある。 2021年にランサムウエア（身代金要求型） 攻撃を受けた四国の中規模病院。 被害の原因は19年5月に公表されていたセキュリティーの弱点である可能性が高いことが分かった。 様々な団体から至急対策をとるよう警告が出ていたが放置されていたようだ。 同病院は基盤システムと電子カルテのシステムをそれぞれ別のベンダーに委託。 ベンダーは 2社とも対策を積極的に講じていなかった。 22年6月公表の被害報告書では 「（システムの）設定の責任やサポート業務は完全に宙に浮いていた」 と指摘する。 システムに弱点があればハッカーが侵入する穴となるため早期に修復する必要があるが、日本は対応が遅い。 米 バッドパケッツによれば、米 パルスセキュア製VPN （仮想私設網）の脆弱性が19年8月に公表されてから1週間後に修復された割合は 日本が 9%。 ドイツ （49%）や 米国 （31%）を下回る。 ハッカーの攻撃を察知するのも苦手だ。 トレンドマイクロが企業の IT責任者に実施した調査によると、ランサムウエア攻撃を侵入初期の段階で 「検知できる」と答えた日本企業は 34.5%と海外平均 42.2% よりも少ない。 日本は社内データの流出や攻撃者による探索の段階でも反応が鈍く、サービス停止など被害が最終的に生じてから気づく企業が多い。 海外のハッカーからは日本の対応遅れが見透かされている。 警察庁によると、22年1～6月に検知した不審なアクセス通信は1日約 7800件と 19年通年から 倍増した。 発信元のほぼすべてが 海外だ。 サイバー脅威に詳しいディー・エヌ・エー（DeNA）セキュリティ部の 松本隆氏は 「以前は日本語の使用が攻撃を防ぐ壁になっていたが、翻訳ソフトの発達で崩れつつある」 と指摘する。 米ソニックウォールによると世界の ランサムウエア攻撃は 21年夏をピークに頭打ちとなっており、日本の 急増が目立つ。 日本のサイバー防衛が脆弱な背景には、組織内で ITの専門家を育てず、外部のベンダーに開発や運用を丸投げする慣習が根強いことがある。 クラウドサービスの ドリーム・アーツ（東京・渋谷）の大企業の担当者 1千人に対する調査によれば、主要ベンダーを過去に一度も変えたことがない企業は 8割に上る。 同社の石田・最高技術責任者（CTO）は 「1社に丸投げし続けることで自社の課題を主体的に考える人材や意識が乏しくなる」と話す。 国家が支援するサイバー攻撃が増え、重要インフラや先端技術などの機密情報が狙われ、サプライチェーン（供給網）内の中小企業ですら標的になっている。 1つの穴からの侵入が社会全体を揺るがす被害につながりかねない。 各国は対策を強化している。 21年12月に発覚したログ管理ソフト「アパッチ ログフォージェイ」の脆弱性では、米国政府は企業に具体的な対策をとるよう指示し、 対応しない場合は「法的権限を行使する」と警告した。 この脆弱性はロシアのウクライナ政府への攻撃でも使われた。 日本政府は国家安全保障戦略など防衛 3文書をまとめ、サイバー攻撃を未然に防ぐ体制整備に乗り出した。 企業も攻撃の脅威を我が事ととらえ、守りを固める必要がある。 ソフトウエアの脆弱性 ソフトウエアの不具合や設計上のミスが原因となって発生する、情報セキュリティー上の欠陥。 放置すると ハッカーから不正アクセスに利用されたり、パソコンやサーバーが マルウエア（悪意のあるプログラム）に感染したりする危険性がある。 米政府機関によると、2022年に世界で公表された脆弱性件数は 17年比 56%増の 2万3千件と過去最多だった。 脆弱性が見つかれば製品を開発したメーカーが欠陥を塞ぐ修正ソフトを提供するが、対策をとらずに放置する企業は多い。 19年に米フォーティネットが公表したVPN （仮想私設網）機器の脆弱性では、その後に国内約 600の企業や組織が被害を受けた。 近年は脆弱性が発見されてから修正ソフトが配布されるまでの間に攻撃をしかける 「ゼロデイ攻撃」も発生している。 SBテクノロジーの 辻セキュリティリサーチャーは 「膨大な数の脆弱性が日々公表され、すべてに対応するのは難しい。 重要性と自社への影響度から優先的に対応すべきものを判断する体制が必要だ」 と話す。 田中道昭 立教大学ビジネススクール 教授 サイバーセキュリティーの代表的技術である RSA暗号の開発者で同分野の第1人者の1人、アディ・シャミア博士と面談した際、 「最も脆弱な部分は消費者が持つ デバイスレベル である」と指摘していました。 年初に CES2023でのサイバーセキュリティーのセッションに参加した際、米サイバーセキュリティー庁の ボブブラウン氏は 「つながる時代において、デフォルトで製品デザインの段階からの対応が重要」 と指摘、FCCがメーカーにこの強化規制を検討していることも大きな話題でした。 こういう人達のミーティングでは 「自分のスマホのカメラ部分は 絆創膏 を貼っている」 と述べているのが同セキュリティーの 難易度の高さ を物語っています。 「メディアからの抜粋」 へ戻る |