まもなくゴールデンウィークが始まります。この長期休暇の機会に家族でのお出かけや家でゆっくり休んで過ごすなどそれぞれ有意義に過ごされることかと思います。

しかし、サイバーセキュリティの観点で言えることは、ゴールデンウィーク中もマルウェアをはじめとしたサイバー攻撃が行われるということです。

昨今のサイバー攻撃事案のリスクの高まりを踏まえると、連休中の隙を突いたセキュリティインシデント発生などが懸念されることから、サイバーセキュリティ対策が必要です。IPA(独立行政法人情報処理推進機構)でも『2024年度 ゴールデンウイークにおける情報セキュリティに関する注意喚起』を公開しています。

そこで、この記事ではゴールデンウィークを迎えるにあたって、セキュリティ担当者のために、2つの気をつけるべきリスクと推奨対策を紹介します。

ランサムウェア攻撃はセキュリティ担当者が少ない週末や休日を狙う

まず1つ目として、ランサムウェア攻撃は稼働しているセキュリティ担当者が少ない週末や休日を狙う傾向があります。このことは、サイバーリーズンが発行した休日におけるランサムウェアに関する調査結果である『【グローバル調査結果】 2022年版 組織が抱えるサイバーリスク〜休日の間もランサムウェア攻撃の手は緩まない〜』でも明らかにされています。

1,200人以上のサイバーセキュリティ担当者を対象としたこのグローバル調査では、週末や休日に発生した攻撃は、平日に発生した攻撃よりも高いコストと大きな収益損失をもたらすことが判明しました。週末や休日にランサムウェア攻撃を受けた回答者の3分の1以上が、結果として損失が大きくなったと回答しており、この数字は2021年と比べて19%増加しています。

この調査結果を考慮すると、むしろ休日の方が侵入・感染させられるリスクが高いとも言えます。実際、日本でランサムウェア攻撃の被害にあった企業・団体からの報告を見ると、週末に感染したケースがいくつかありました。

また長期休暇中にシステム管理者が不在となると、通常の業務体制とは異なる状況が生まれることがあります。このような状況下では、セキュリティインシデントが発生した場合、対応に遅れが生じたり、予期せぬ問題が発展したりして、予期せぬ損害や業務継続への影響が生じる可能性があります。

攻撃者は、休日や不測の状況に乗じて攻撃を成功させようとします。このような事態に備えるために、以下の対策が有効です。

  • 休暇中の監視体制と有事における連絡体制を再確認する
  • サーバーやVPNなどのネットワーク機器の脆弱性を把握し、対策を講じる
  • リモート接続など外部からのアクセスは必要最小限にする
  • アカウントのアクセス権限を確認し、不要なアカウントは削除する
  • 従業員に対してパスワードの強化、管理の徹底を周知徹底する

連休明けに一気に高まるフィッシングメールの感染リスク

もう1つのリスクは、「メールを発端とした感染のリスク」があります。ゴールデンウィークが明けの仕事初日には、まず休暇中に溜まった大量のメールをしょりすることが多くの人にとって定番の作業となっています。場合によっては何百通にも及ぶ大量のメールを一気に処理する必要があり、1通1通の中身のチェックが雑になってしまった結果、普段なら騙されないようなフィッシングメールの手口にされてしまうケースも少なくありません。

最近はフィッシングメールの手口がより一層巧妙化しており、正規のメールとの違いがますます見分けづらくなっています。メールセキュリティソフトウェアによるフィルタリング処理をすり抜けてしまい、ユーザーのメールボックスまで到達してしまう可能性もあり、注意が必要です。

サイバーリーズンが公開しているサイバーセキュリティトレーニング動画「詐欺メールはどのように見分けるの？〜増加するフィッシングとマルウェア「Emotet」に注意するには〜」では、フィッシングメールの見分け方や日本で増加しているマルウェア「Emotet」の特長について約3分で分かりやすく解説しています。

さらにスマートフォン向けのフィッシング攻撃が増加しており、メールだけではなく、SMS宛のフィッシング攻撃が存在します。単純にURLをリンクさせてマルウェアをダウンロードさせたり、フィッシングサイトへ誘導させるだけではなく、QRコードや著名な翻訳サイトを経由して誘導させるような手法も現れています。スマートフォンはビジネスでも当たり前のように使われている端末の一つです。PCと同等の対策が求められます。

長期休暇明けのタイミングでは、こうした巧妙な手口を用いたフィッシングメールの手口にユーザーが引っ掛かるリスクが一気に高まります。そのため、あらためてそのリスクについて組織内で注意喚起する必要があります。

その際には単に「不審なメールに注意するように」と呼び掛けるだけでなく、フィッシングメール対策協議会などが公開している事例情報を基に、実際に観測されているフィッシングメールの実例を示すなど具体的な情報を発信することで、より高い教育効果が期待できるでしょう。

またサイバーリーズンでは、サイバーセキュリティ学習者向けの専用ページ「サイバーリーズン・セキュリティ・アカデミー」をWebサイトにて公開しています。サイバーセキュリティ教育を通じて経営者をはじめとする企業・組織全体でのサイバーセキュリティの態勢強化、サイバーセキュリティ対策の重要性についての意識と理解の向上にご活用ください。

【調査結果レポート】2024年版 ランサムウェア 〜ビジネスにもたらす真のコスト〜

サイバーリーズンでは、1,008名の企業のIT担当者を対象に、2024年度のランサムウェアがビジネスに及ぼす影響に関するグローバル調査を実施しました。

本レポートでは、詳細な調査結果を紹介するとともに、企業がとるべき対策として6つの核となる課題を取り上げて、それぞれの課題に対する推奨対策について紹介しています。
https://www.cybereason.co.jp/product-documents/survey-report/11873/