2022年の1年間、ランサムウェアはサイバー脅威界の王者として君臨し続け、医療機関やソフトウェアのサプライチェーンが直面する最も一般的でかつ最も危険な脅威の１つであり続けました。また、同年2月には、ウクライナ戦争が勃発し、ゼロデイ脅威が世界中の組織に大混乱をもたらすことへの懸念が高まりました。さらに、ロシアとつながりのあるサイバーギャングであるContiランサムウェアは、コスタリカ全土での金融業務を妨害することに成功したほか、ハッキンググループであるLapsus$による攻撃には終わりが見えず、同グループは手ごわい脅威であることを証明しています。

では、2023年のサイバーセキュリティ状況は一体どうなるでしょうか？この記事では、米国のCybereason Inc.が予測した「次の年に起こるであろうこと」を9つ紹介します。

また最後にはサイバーリーズン Japan CISO執筆の資料「2023年サイバー脅威予測 〜2022年の代表的な脅威の振り返りと、2023年に警戒しておくべき脅威の傾向〜」も紹介していますので、合わせて読んでいただくことをおすすめします。2023年度のご自身が所属する組織におけるサイバーセキュリティ対策の検討にお役立てください。

クラウドクレデンシャル攻撃の増加：SaaSへの大規模な移行は、企業のアイデンティティおよびアクセス管理（IAM）システムを簡素化し統合するための10年以上に及ぶ作業を断片化しました。さらに、多くの新しいSaaSアプリケーションは、組織の既存のシングルサインオン（SSO）ソリューションと統合されていないにもかかわらず、SSOによるセキュリティ制御を必要とせずに、新しいSaaSソフトウェアの採用を加速し続けています。その結果、IT部門とセキュリティ部門がIAMをその制御下に取り戻さない限り、攻撃者は、こうしたより脆弱なアクセスポイント（新しいSaaSアプリケーション）を見つけて企業データや個人データへのアクセス権を取得することに、ますます注力することになるでしょう。

混合型攻撃においてディープフェイクがより大きな役割を果たす：近年、ソーシャルエンジニアリング手法と悪意あるリンクを組み合わせた「混合型攻撃」の成功が増加していることが確認されています。エンドユーザがソーシャルエンジニアリングに関する意識を高める中、より巧妙な攻撃者は、エンドユーザを騙して不正なリンクをクリックさせたり、感染ファイルをダウンロードさせたりするために、ますますディープフェイクを利用するようになることが予想されます。ディープフェイクが、サイバー犯罪のキルチェーンで使用される混合型攻撃の一般的かつ中核的なもう1つの要素となる日は、そう遠くないでしょう。

第5世代のランサムウェアが出現：サイバーリーズンが発行した最近のレポート「【グローバル調査結果】2022年版 ランサムウェア 〜ビジネスにもたらす真のコスト〜」によると、2022年には73%の組織が少なくとも1つのランサムウェア攻撃を受けたことが判明しました。この数字は、2021年には55%でした。世界中でランサムウェアが飽和状態になると、攻撃者は同じ被害者から身代金を得るための新しい方法を模索するようになります。そのような攻撃者たちが利用する手法は「第5世代のランサムウェア」と呼ばれることになるでしょう。

国家レベルでの規制の見直し：Cyber Defenders Councilが発行した最新レポート「Will Regulation Reduce　Cyber Risk and Improve Resiliency?(英語版)」で明らかになったように、規制には多くのメリットとデメリットがあり、そしてメリットとデメリットの間にも多くの議論が存在しています。来年、EUにおける規制は、企業がセキュリティ侵害を本格的に特定し修正することに、より重点を置くようになると思われます。この規制は、インシデント発生直後に攻撃の出入り口をシャットアウトすることと、攻撃の影響を理解することの間にあるギャップを縮めることに重点を置くことになるでしょう。一方、米国では、SECなどの規制機関はEUとは異なるアプローチを採用しており、サイバーリスクに関する報告の徹底や取締役会レベルのガバナンスの強化に重点を置いています。

ランサムウェアが、クラウドストレージへのアクセス制御の取得を試みるようになる：クラウドストレージは、データ保護に関する大きなメリットを、より柔軟な復旧オプションと共に組織に提供します。しかし、ランサムウェアが、その標的をエンドポイントからクラウド専用スペースへと移行するようになると、組織にとって新たなリスクが生じます。これは特に、パンデミック時にクラウド導入を加速させた組織や、機密データの保管場所や機密データに対するアクセス権を持つユーザーに関する情報を見失った組織にとって重大なリスクとなります。なぜなら、これにより、クレデンシャル管理が弱体化し、ランサムウェアが侵入する余地を残すことになるからです。

サイバー攻撃がスマートデバイス間で転送可能になる：一般的なサイバー攻撃はハッカーからデバイスへと移動しますが、2023年にはスマートデバイス（スマートカーを含む）の間をジャンプするようなサイバー攻撃が初めて登場するかもしれません。スマート環境内での複製はまだ観測されていませんが、イノベーションのペースが加速するならば、スマートカー攻撃により、あなたの車が、その隣を走っている車からハッキングされる可能性も出てくるでしょう。

クリティカルな国家インフラに対する重大な攻撃のリスクが高まる：直接的および間接的なサイバー戦争の領域が拡大するにつれ、実質的なサイバー攻撃の可能性も高まっており、これはエネルギー分野のような領域で発生する可能性が最も高いと思われます。このリスクはEMEAで最も顕著に見られると見ていますが、このようなリスクが、世界中のサイバーセキュリティと国防の専門家の間で最も重要視されていることは確かです。

燃え尽き症候群がサイバーレジリエンスに影響を与える：世界中のセキュリティチームは、在宅勤務で長時間働いており、主要なビジネスシステムにおけるあらゆる変化に対応するために、組織のセキュリティ態勢を適応させています。今もなお大規模なスキル不足に直面している業界において、燃え尽き症候群が、セキュリティチームの能力に影響を与えるとしても驚くには値しないでしょう。セキュリティチームは、適切なタイミングで危機に対応するために、24時間体制でカバレッジを維持する必要があります。

セキュリティリーダーは、サプライチェーン脅威に対する新たな戦略を策定する必要に迫られる：サプライチェーン攻撃の頻度とそれがもたらす影響がエスカレートしていることを考えると、CSOがサードパーティに対して行ってきた標準的なデューデリジェンスとセキュリティ評価は、もはや適切ではありません。EUにおけるNIS Directive 2.0のような規制や、サイバー保険会社により、企業はサプライチェーン関連のリスクについてより頻繁かつ動的な評価を実施した上で、サードパーティに与える自社ネットワークへのアクセス権の制御を強化する必要に迫られています。

2023年サイバー脅威予測 〜2022年の代表的な脅威の振り返りと、2023年に警戒しておくべき脅威の傾向〜

2022年はロシアによるウクライナ侵攻など激動する世界情勢に特徴づけられる年でした。サイバー攻撃についても、国家や重要インフラに対する攻撃が増加し、ハクティビストやハッカーグループによる攻撃などが台頭しました。

一方で、金銭目的の脅威も健在で、特にランサムウェア攻撃は国内外に多くの被害をもたらしました。また、コロナ禍でのテレワークと通常勤務というハイブリッドな環境で、セキュリティ担当者の配置を含めたセキュリティ対策の難しさもあります。

本資料では、2022年に起きたサイバー空間の脅威の傾向を受けて、特に大きな影響を及ぼす4つの脅威を2022年のサイバーセキュリティ予測として取り上げました。2022年の4つの脅威を振り返りながら、2023年のサイバー脅威予測について説明します。
https://www.cybereason.co.jp/product-documents/survey-report/9838/