2011年4月21日5:50
サイバー犯罪は小規模で不特定多数の攻撃へシフト
PCI DSSなどの基本的なセキュリティ対策が重要に
ベライゾンビジネスは、2011年4月20日、同社とシークレットサービスにより、2010年に発生した情報漏洩/侵害の件数や傾向をまとめた「2011年度データ漏洩/侵害調査報告書」を発表した。
ベライゾンは世界最大級の情報セキュリティサービスプロバイダである。全世界に6箇所にオペレーションセンターを設置し、情報漏洩対策やペイメントカード業界の国際基準である「PCI DSS」の審査などを実施している。また、PCI SSCが認定したフォレンジック調査機関であるPCI Forensic Investigatorの資格もいち早く取得している。
同報告書は4回目の発行となるが、2010年にデータ漏洩事件によって侵害されたデータは過去最低の約400万件。2009年の約1億4,400万件から大きく減少した。しかし、データ漏洩/侵害件数は約760件と4回目の調査で最多となっている。前年が150件程度のため、かなりジャンプアップした結果となった。
「2008年、2009年は、犯罪グループのリーダー的な人間が逮捕・起訴されました。そのため、2010年は、犯罪グループの心理が小規模で不特定多数を狙う攻撃にシフトしてきています。これまでは、数千、数万件など、大量のカードデータが盗まれる傾向にありましたが、今年を見ると知的財産のファイルやフォルダなどが少ない単位で盗まれる被害が多く、少量でも被害は大きかったです」（ベライゾンビジネス シニアコンサルタント フォレンジック調査対応部 鵜沢裕一氏）
データ漏洩の原因として、部外者によるものが92％を占めた。部内者の攻撃は前年の49％から16％と大幅に減少しているが、これは部外者からの攻撃が増えたためで、攻撃の件数自体はそれほど変わってはいない。
具体的な手法としては、マルウェア、ハッキングによるものが突出して多かった。また、セルフのガソリンスタンドの支払い装置に不正な手が加えられ、カード番号などの情報が漏洩する事件も多く発生している。SQLインジェクションによる被害は報告書によるとそれほど目立ってはいないものの、「日本で私が調査した会社ではほとんどのケースがSQLインジェクションによる被害でした」と鵜沢氏は説明する。
情報漏洩の被害に遭った企業でPCI DSSに準拠した企業の割合は約11％。PCI DSSへの準拠に関しては、審査前の企業の対応状況を同社自身が調査している。
「PCI DSSの要件2では、デフォルトのパスワードを使用しないことが求められていますが、33％しか対応できていませんでした。また、要件5は、半数近くの企業が未対応であり、アンチウィルスソフトそのものを導入していないところも多かったです」（鵜沢氏）
2010年は、小規模で不特定多数の攻撃が目立ったため、「今後は自らが被害者になることも考えなければいけない」と鵜沢氏は指摘する。その対策として、PCI DSSの準拠など、基本的なセキュリティ対策を行うことが重要であるという。また、カード情報などの機密データを保持しないことで情報漏洩を防止する必要性を同氏は強調した。
