トレンドマイクロでは、2013年に国内で猛威をふるったサイバー攻撃、サイバー犯罪について、日本と海外における脅威動向としてまとめました。2014年も 1ヶ月以上が経過しておりますが、2013年の脅威動向の総括から新たな攻撃への傾向と今後取るべき対策への理解を深めることができます。
- セキュリティラウンドアップレポート：
2013年 年間セキュリティラウンドアップ：金銭を狙う攻撃が世界規模で拡大
http://www.trendmicro.co.jp/2013ASR/DL/?cm_sp=Corp-_-sr-_-2013asr
2013年の全世界的な脅威動向として、金銭的利益を得るための攻撃が国内外で明らかになったことが挙げられます。金銭的利益を狙う攻撃は 2004年前後から継続している傾向ですが、特に 2013年にはその被害規模の大きさが明らかになりました。特にオンライン銀行詐欺ツールをはじめ、偽セキュリティソフト、ワンクリック詐欺、フィッシング詐欺など、「オンライン詐欺」に分類されるサイバー犯罪の被害が顕著でした。
中でも世界的に猛威をふるったのがオンライン銀行詐欺ツールです。2013年 1年間の全世界での検出台数は、99万8千件に達しました。これは 2012年の年間検出台数 49万8千件の約2倍です。日本国内でも検出台数は 2万5千件を越え、過去最大規模の金銭被害に繋がっています。また、世界全体のオンライン銀行詐欺ツール検出数に占める日本の割合は第1四半期の 3%から増加を続け、第4四半期には全体のほぼ 1/5となる 19%となりました。これはアメリカに次いで 2番目となる被害割合であり、2013年 1年間のうちに世界の中でも特に日本に対する攻撃の比重が高まったことを示す数字と言えます。また銀行取引を狙う攻撃として、世界的にはモバイルバンキングも攻撃対象となりつつあります。Android向け不正アプリによるモバイルバンキングを狙う攻撃として、アプリの偽装によるアカウント情報窃取や、「Man-In-The-Middle（MitM、中間者）攻撃」による二経路認証の侵害が確認されています。
オンライン銀行詐欺ツール以外の金銭を狙う攻撃としては、ランサムウェア（身代金要求型不正プログラム）の被害も顕著でした。世界全体での検出台数はおよそ 8万5千台となってます。また、これまでランサムウェアの影響が少ないとされていた日本でも、1年間に 1万6千台以上と前年比約10倍の検出台数を確認しました。ランサムウェアは侵入した PC 自体を使用不能にしたり、内部のデータを暗号化することでその回復のための身代金を要求する不正プログラムです。特に 10月に登場した「CryptLocker」の影響は世界的に大きく注目されました。これまでのランサムウェアと異なり、侵入毎に暗号化キーを変える手口によりデータの回復が実質不可能なため、特に被害が表面化しやすかったものと言えます。
オンライン詐欺以外の攻撃としてもっとも顕著だった攻撃としては、正規Webサイト改ざんが挙げられます。特に日本国内では複数のセキュリティ団体が過去最大規模の被害だったことを報告しています。しかし、正規Webサイト改ざんの被害は改ざんされサイトに留まるものではないことに注目すべきです。攻撃の最終目的は不正プログラムの拡散にあり、オンライン詐欺など他の脅威に連鎖する攻撃であると言えます。特に日本国内では、公表された Web改ざん被害のうち、約8割が正規Webサイトの訪問者に不正プログラムを感染させる目的の攻撃だったことがわかっています。
また、1年を通じて脆弱性の利用が国内外を問わず多数見られました。正規Webサイト改ざん攻撃においては、改ざん時にサーバ側、特に管理用ミドルウェアの脆弱性が狙われています。同時に、サイト訪問者への不正プログラム感染時には、Java や Adobe製品などクライアントPC側アプリケーションの脆弱性が狙われています。世界的には最新ではない古いバージョンのソフトウェアに影響する新しい脆弱性攻撃の発生傾向も確認されています。この傾向は 2014年4月の Windows XPサポート終了後の攻撃を予期させるものと言えます。2013年には未修正の脆弱性を利用するゼロデイ攻撃も続発しましたが、確認された 12件の主要なゼロデイ攻撃のうち、半数にあたる 6件が日本への攻撃を発端に確認されており、ここでも日本への攻撃の比重が高まっていることがうかがえます。
その他、国内ではアカウントリスト攻撃が不正アクセス被害全体の 54％を占め、不正アクセスの被害を急増させています。不正ログインの成功率が高いことから、1件あたりの被害規模も拡大しており、最大で 25万件以上の ID が侵害された事例も公表されています。一方で世界的には、「アメリカ国家安全保障局（NSA）」における国家レベルでの個人情報の監視活動が暴露されました。この事件はデジタル社会における個人のプライバシーの危機という、大きな問題を提起しました。
2013年 年間セキュリティラウンドアップ：金銭を狙う攻撃が世界規模で拡大
 |