最近の米テック業界では大量レイオフが行われているが、該当企業では自社がサイバー攻撃に対して脆弱になるセキュリティリスクが発生しかねず、そのことを見過ごしてはならないという。セキュリティの専門家らが警鐘を鳴らした。

このところ、グーグル、マイクロソフト、アマゾンといったテック大手が数万人の人員削減を発表しているが、これはサイバー攻撃者に門戸を開く結果になりかねない。大量の人員流出によって混乱が起こればつけ込もうと攻撃者側は考えている。

「悪人はこう言うかもしれません。『おや、1万人をレイオフしたな。今も以前と同じように強固かどうか、ちょっと調べてみようじゃないか。あるいは、今なら従業員になりすますことができるかもしれない。前よりも経験の浅い相手であれば、入り込むのが簡単になるぞ』」。米調査会社ガートナーのバイスプレジデント兼アナリスト、ポール・フルタード（Paul Furtado）氏が米SDxCentralの取材で語った。企業が従業員を10%レイオフすれば、セキュリティへの何らかの影響はあると話す。

攻撃者側はレイオフを増員のチャンスとして利用する可能性もあるという。「ほとんどの攻撃者は犯罪組織です。人材の募集もしています」と氏。

「今は大変な時期ですが、攻撃者はそれに乗じて元従業員に金銭を提供し、引き換えに重要なシステムやインフラにアクセスできるユーザー認証情報を受け取る動きが当面続く可能性が高いと考えています」。セキュリティ監視を提供する米アークティック・ウルフ（Arctic Wolf）のCEO、ニック・シュナイダー（Nick Schneider）氏も意見を同じくする。「額の差こそあれ、わいろの効かない人間はいないという諺があります。ある人々にとってはそれがいくらなのかということがはっきりするのかもしれません」

米クラウドストライク（CrowdStrike）のCTO、マイケル・セントナス（Michael Sentonas）氏の指摘によると、企業のレイオフにつけ込む機会を狙う動きが増えているという。「私としては、ある企業がチームの縮小を公にしたために攻撃者のターゲットにされたというニュースを見ても驚かないでしょう」とSDxCentralの取材で語った。

人員削減でサイバー脅威は増大する

レイオフをすれば、内部脅威やアクセス管理の問題、ヒューマンエラー、サプライチェーンリスクも増大する可能性がある。

「最大のリスクはデータ流出に関するものです」とフルタード氏。

退職していく従業員は「自分が作ったものだ」という認識を持ち続け、その情報の一部を次の会社に持っていきたいと考える可能性はある、と氏は言う。「たとえば、貴方がテック企業の従業員だとして…（中略）…一部のソースコードを持ち出し、競合他社で働くことになったとします。これは知的財産の盗難に当たる可能性があり、問題となり得ます」

どんな企業もデータ漏洩や個人情報の不正利用といった内部脅威と向き合っている。しかし、「何かしらの悪事の下準備をしている従業員がいた場合、レイオフを実施すると行動を早める可能性があります。従業員が個人用ドライブにデータを保存できる場合にはなおさらです」。米ブラック・カイト（Black Kite）のCSO、ボブ・メイリー（Bob Maley）氏は指摘する。

「大量レイオフをめぐる現在の状況に関して言えば、従業員が不当に解雇対象にされたと感じ、行動を起こしたくなる可能性が通常より高い状況にあると言えるでしょう」。シュナイダー氏も同じ意見だ。従業員が絶望的な気持ちになっていればフィッシング詐欺に引っかかり、誤って会社をデータ侵害やランサムウェア攻撃にさらす可能性も高くなると続けた。

フルタード氏によると、内部脅威の約56%は過失やミスによるもので、26%が悪意や犯罪行為によるもの、18%が認証情報の盗難によるものとガートナーの最近の調査で分かっているという。

認証情報の漏えいについては、企業は従業員のアクセスを遮断することはできても個人的なネットワークや人間関係を遮断することはできない。ソーシャルエンジニアリングによってそうしたネットワークにアクセスされることはありうる、と氏は言う。

さらに、セキュリティチームが縮小すれば、サードパーティに対するサイバーリスクが待っていることも多いという。「攻撃者はサードパーティを介した攻撃を行うことも多いです。その方が簡単だと知っているのです」

マネージド セキュリティ サービス ベンダーへの注目

こうした脅威の増大に対し、人員削減や予算削減を最近行ったテック企業はセキュリティベンダーに頼るようになっている。

クラウドストライクではマネージド セキュリティ サービスが人気となり、支援を求める大企業が増えているという。「大企業の方が話をされるのはマネージド セキュリティ サービスについてです」とセントナス氏。「シンプルに技術を運用する人員が足りず、当社に代行を依頼されます」

MDR（Managed Detection and Response）などのマネージド セキュリティ サービスはレイオフを実施した場合の影響がさらに大きいものになりかねない中小企業にもメリットがあるとした。

こうした人員削減が事業にもたらすリスクは他にもある。もともと小規模で、常にフル稼働に近い状態のセキュリティチームの作業負荷に影響する可能性があるのだ。そのため、企業各社は仕事の一部をマネージド セキュリティ サービスや自動セキュリティサービスを提供するセキュリティベンダーやAIに委譲したがっている、とフルタード氏は言う。

中小企業に関しては、「私が最初にお伝えするのは、セキュリティを自社で何とかしようとするのはやめた方がいいということです。効果的に行うのは無理です。サードパーティのパートナーが必要です」と話した。

組織の規模を問わず、「従業員の大規模な移動を検討する際には、セキュリティの目を社内に向け、優れた内部脅威管理プログラムを開発する必要があります。大量の人員流出を安全なものにするために極めて重要なことだと考えています」。フルタード氏はこのように締めくくった。

Cyberattackers Look to Exploit Tech Job Cuts