先日、10億ユーロを盗んだサイバー犯罪の首謀者を逮捕したというニュースがあった。日本円にして、約1,314億円というあまりにも現実とかけ離れている額だけに、このニュースを聞いても、サイバー犯罪が自身の生活へ関わるかもしれないという実感値はあまりないかもしれない。
しかし2018年はじめに起きた仮想通貨NEMの流出事件や、もっと身近なところでいくとLINEやSNSの乗っ取りをなどを考えた場合、IT化した私たちの生活は、割とサイバー犯罪に巻き込まれやすい状況下にあることも確かだ。
身近になったサイバー犯罪。我々はその実態について知っておく必要があるのではないだろうか。
米RSAは、オンラインで提供されるさまざまなサービスとその顧客を標的にしたサイバー犯罪の傾向から、今後、顕著になると予測した事象をホワイトペーパー「2018年のサイバー犯罪の現状」にまとめた。
犯罪を助長するインフラやサービスの開発が活発に
まず、現在のサイバー犯罪が起こりやすい背景からみていこう。昨今、バンキングサービスやEコマースの中心はモバイルチャネルに移行しつつあり、それは今はスワイプ経済ともいえるほどだという。
このため、サービス提供者は技術革新を取り入れ、使いやすさと便利さ、安全性を利用者に提供する努力を続けている。しかし、そこが逆に弱点となっているとしている。
この脆弱性が生じることを防ぐことはできておらず、サイバー犯罪者はそれに乗じている場合が多い。つまり、消費者行動やビジネスモデルの変化をうまく利用して新しいツールと詐欺手法を開発しているのだとしている。
そして、そのためのインフラやテクノロジーの開拓、犯罪を助長するサービスの開発などが活発になっているのである。
このような背景をもとに、「2018年のサイバー犯罪の現状」では2018年に顕著な動きが見られると予想される領域を4つ挙げている。以下でそれをみていこう。
アカウント乗っ取りの増加
1つ目は、大規模な情報漏えいによるアカウント乗っ取りの増加である。現在、大規模な情報漏えいとフィッシング攻撃により、数十億件もの個人情報、つまりユーザー名やパスワードなどが闇市場に大量流出しているという。
サイバー犯罪者は、このような個人情報を買い求め、アカウント乗っ取りに悪用している。これはユーザー名とパスワードを複数のアカウントで使いまわす利用者が多いという事実に基づいた戦法だとしている。
個人情報がまだ使える状態であるか、どうかは非常に重要だ。そしてそれを確かめるテストサービスという新ビジネスがますます盛んになることは間違いないとしている。有効な個人情報は高値で取引されるからだという。
具体的にはSentry MBA（認証リプレイ攻撃）という自動化ツールがある。これは、ユーザー名とパスワードの確認を高速で実行できるというもの。
このようなツールは低価格や無料入手できる。また、FaaS（Fraud as a Service：不正取引サービス）でも提供されるという。
アカウント乗っ取りの成功率は高くて5％しかないという。しかし、成功するとサイバー犯罪者にとって十分な利益をもたらすとしている。
サイバー犯罪者は “安全な”方法と技術を常に模索
2つ目は、サイバー犯罪者は、効率良く“安全な”方法と技術を常に模索しているということ。同レポートによると、それはソーシャルメディアとブロックチェーンとIoTだという。今後、これらにサイバー犯罪者の注目が集まると予測している。
なぜなら、ソーシャルメディアは、サイバー犯罪者向けのコミュニケーションチャネルとして急成長が見込まれているからだという。人気のソーシャルメディアは無料で、その範囲は広くグローバルで使われている。サイバー犯罪者にとってはまさにうってつけのメディアと言える。
実際、RSAの直近の調査では、ソーシャルメディアでの不正行為は70％も増加しており、そのほとんどが誰もが閲覧できる設定を利用したものだったという。以前のようにダークウェブでのフォーラム運営の手間、ホスティングの費用、フォーラム参加希望者の確認プロセスはなくなったからだ。
同レポートでは、Facebookがサイバー犯罪者の間で最も人気の高いソーシャルメディアだとしている。ここでは、不正に入手した本物の金融情報（個人情報や認証コードを含むクレジットカード番号など）、サイバー犯罪の手引書、マルウェア/ハッキング用ツールや換金/運び屋サービスに関する情報などが公然と共有されているという。
さらに、サイバー犯罪者の間では、ブロックチェーンで活動用のWebサイトを構築することに関心が高まっているという。ブロックチェーンベースのドメインを保持できれば、防備がより着実となるからだ。
このように、犯罪者はブロックチェーンに目を付けている。これは、彼らの犯罪活動持続のために、当然のことだとしている。
不正行為に悪用できる新たな脆弱性の登場
3つ目は、オムニチャネルの拡大、オープンAPI、ファスターペイメントなど不正行為に悪用できる新たな脆弱性の登場だという。
この背景には、消費者取引のモバイル チャネルへの移行が進んでいることがあるという。オープンAPIエコノミーの出現やファスター ペイメント（イギリスが2008年より実施。24時間ｘ365日リアルタイム送金が可能）により利用者の利便性は大きく向上している。サイバー犯罪者はこのような技術革新に追従する形で、犯罪行為を犯しているとしている。
具体的には、オープンAPIエコノミーにより、利用者自身の銀行口座情報が閉じたシステム内にあった状況が大きく変わった。銀行口座情報を他サービスで活用できるようになったのだ。
このようにファスターペイメントが拡がっている今、決済システムの高度化に最適なセキュリティ対策が必要である。でないと、犯罪行為に巻き込まれる新たなリスクを生じると警告している。
3D SECURE 2.0導入準備
4つ目は、カード発行会社と加盟店による3D SECURE 2.0導入準備だという。クレジットカード取引における不正利用は高度化してきており、1時間あたりの損失は66万ドルになるという。
これは、カード発行会社、販売業者ともに甚大な影響をもたらす。このため、3D Secure 2.0プロトコル（EMV 3D Secureとも呼ばれる）の導入が強力に推し進められているという。
このプロトコルは、リスクベース認証をサポートしている。リスクベース認証は、不正行為の減少が実証済みであるため、プロトコルの導入を促進するとみられているとしている。
脅威インテリジェンス機能を活用したソリューションが必要
これらの予測から、サービス事業者はすべてのデジタル チャネルで効果的なセキュリティ対策を行う必要に迫られているのがわかる。
RSAは、不正行為を防ぐためには、統合された脅威インテリジェンス機能を活用したモバイル環境やクラウド環境にも展開できるソリューションが必要と考えるとしている。
これによって、不正行為による攻撃をすべて阻止することはできない。しかし、攻撃に対する検出方法と対応方法を変えることで、損失や損害を最小限に抑えられる、と提言している。
IT化の進化で我々の生活は、一昔前とは比べ物にならないほど、便利で豊かになった。しかし、その反面、今回のサイバー攻撃などこれまでになかった新しい脅威にさらされているのもまた事実である。
今後、犯罪者と取り締まり側のイタチごっこが続くだろう。このような脅威から身を守るには、一人一人が個人で注意しなければならない時代になっているのだ。
img: PR TIMES