2015年、最大のインパクトを与えた「年金個人情報流出」から得られた教訓とは：「データマイニング」が攻撃者、守る側、双方の武器に、マカフィーが予測

インテルセキュリティ（日本での事業会社はマカフィー）は2015年11月13日、第2回「2015年のセキュリティ事件に関する意識調査」の結果を発表するとともに、2016年ならびに今後の5年間増加するであろうサイバー脅威の予測も発表した。

» 2015年11月16日 15時15分公開

　インテルセキュリティ（日本での事業会社はマカフィー）は2015年11月13日、第2回「2015年のセキュリティ事件に関する意識調査」の結果を発表した。それによると、日本企業の経営層や情報システム部門に最も広く認知されたセキュリティ事件（セキュリティインシデント）は、「日本年金機構が標的型攻撃を受け、125万件の個人情報が流出した事件」。マカフィー執行役員 SE本部本部長の田井祥雅氏は「この事件をきっかけに、侵入されることが当たり前であり、侵入を受けた後どうするかが重要であることが認識された」と指摘した。

　この調査は、2015年10月2日から5日にかけて、日本国内在住者1552人（属性は日本企業の経営層および情報システム部門）を対象に実施した。インテルセキュリティが選定した30件のセキュリティ事件について、どの程度「認知」しているかを尋ねることで、社会に与えたインパクトを測るというものだ。結果は以下の通りとなっている。


順位	セキュリティ事件（時期）	認知度
1	日本年金機構への標的型攻撃で125万件の年金個人情報が流出（2015年6月）	60.1%
2	振り込め詐欺／迷惑電話による被害（1年を通して）	56.8%
3	大手金融機関やクレジットカード会社などをかたるフィッシング（1年を通して）	42.1%
4	東アジアの国家元首を題材にした映画公開に際し、米ソニー・ピクチャーズ・エンタテインメントにサイバー攻撃（2014年11月）	37.0%
5	公衆無線LANのセキュリティ問題（1年を通して）	36.9%
6	Flash Playerの脆弱性（1年を通して）	35.3%
7	全国初のケースとなる、無線LANの「ただ乗り」による電波法違反容疑で男を逮捕（2015年 6月）	32.9%
8	ソニー・コンピュータエンタテインメントの「PlayStation Network」にシステム障害（2014年12月）	30.7%
9	IP電話の乗っ取り被害（1年を通して)	28.2%
10	中央官庁の局長が、飲酒で寝過ごした電車内でカバン置き引きの被害に遭い、職員連絡網など流出（2015年6月）	24.9%

　なお2014年の同じ調査では、リスト型攻撃（パスワードリスト攻撃）や、内部不正に起因するベネッセコーポレーションにおける情報漏えい事件が上位に上がっていた。

マカフィー執行役員 SE本部本部長の田井祥雅氏

　この調査結果について田井氏は、まず標的型攻撃について、「これまで日本の企業では、入られないように鍵を強固なものにすることばかり議論されてきた。しかし、ソーシャルエンジニアリング手法を見破るのは難しく、入られてしまうことは当たり前。災害と同じで、起こることを前提にどう対応するかが問われることになる」と指摘した。

　また同時に、無線LANのセキュリティに関するトピックがランクインしていることにも触れ、「現在、無料で利用できる公衆無線LANサービスが増えているが、サービスやデバイスのセキュリティ設定がしっかりしていないと、他人に情報を盗み見られ、乗っ取られる恐れがある。2020年に向けてより多くの公衆無線LANサービスが提供されることになるだろうが、それに伴ってこうした事件が増加する恐れもある」と述べ、適切な設定の元で利用することの重要性を訴えた。

「データマイニング」が攻撃者、守る側、双方の武器に？

　説明会では米インテルセキュリティ McAfee Labsの上級副社長を務めるヴィンセント・ウィーファー氏が、2016年、そして2020年に向けた今後5年間の脅威予測についても解説した。

米インテルセキュリティ McAfee Labs 上級副社長ヴィンセント・ウィーファー氏

　同氏はまず、企業内でのセキュリティが強化された結果、サプライチェーン全体が危険にさらされる恐れがあると指摘した。企業ネットワークに直接攻撃を仕掛けるのが困難になってきたことから、まずはその周辺、具体的には企業から信頼されている従業員やパートナーを狙い、その情報を盗み出して本人になりすまし、内部に侵入を試みる手法が増加すると予想する。

　自動車をはじめとするIoT機器もリスクにさらされるだろうという。「ネットワークに接続された『Connected Car』は、2020年には2億5000万台に増加すると予測されている。攻撃者もそこを狙ってくるだろう。2016年には、実際の攻撃は発生しないまでも、われわれのSecurity Operation Center（SOC）では多くのコンセプト実証コードや脆弱性を発見することになると予想される」（ウィーファー氏）

　もう一つのトレンドは、一般企業がビッグデータを活用するのと同じように、サイバー犯罪者もブラックマーケットで情報を取引し、データマイニングを行うだろうということだ。現在、国や業種を問わず、さまざまな個人情報の流出被害が報告されている。こうした流出情報は、攻撃者に取って貴重な「データウェアハウス」だ。流出したデータをつなぎあわせ、解析することによって「攻撃者は点と点を結ぼうとしている。例えば、どんな名前の人物がどこに住み、どこに勤めているかといった情報を把握し、入念に的を絞った上で攻撃するケースが増えていくだろう」（ウィーファー氏）。

　こうした攻撃者の動きに対処する武器も、スタティックなセキュリティ技術では不十分であり、やはりデータマイニングや機械学習といった技術を活用する必要があると同氏は指摘した。「より多くのセキュリティ機器同士が統合、連携し、機械学習などの技術を活用してアノーマリな動き（正常時と異なる挙動）を見つけ、除去していくことが必要だ。より多くのデータや情報、ナレッジを共有し、守る側もスマートかつ柔軟にならなくてはならない」（ウィーファー氏）