Verizon社のデータサイエンティストで共著者であるGabriel Basset氏は、Verizon社が出した最新のデータ侵害報告書はセキュリティにとって良いニュースであるという。同報告書は衝撃的な統計データを示しているにもかかわらずだ――データ侵害の86%は金銭的動機によるもので、2019年の71%から増加しており、今年はWebアプリケーション攻撃が倍増して43%に達したという。

Basset氏は「パッチを当てたり、脆弱性を防ぐために私たちが行っていることは、うまくいっています」と述べている。「自社で行っていることをそのまま続けてください。それはセキュリティに役立っています――ちゃんと機能しています。フィッシングや認証情報、ヒューマンエラーに焦点を当てつつも、今やっていることを続けてください」

Verizon社は今週、第13回目となる「2020年度データ漏洩/侵害調査報告書」を発表した。同報告書では32,002件のセキュリティインシデントを分析し、そのうち3,950でデータ漏洩が確認された。これらの事例は81カ国81社の協力者から寄せられたもので、現在では16の事業セクターが分析対象となっている。

同社のこれまでの全ての報告書と同様に、2020年の報告でも、侵害の大部分が引き続き外部の攻撃者によるものだということがわかった。侵害のうち、外部からの攻撃によるものは今年は70%に達し、そのうち55%を組織犯罪が占めている。認証情報の盗難（37％）と、フィッシング（25％）やビジネスメールの漏洩などのソーシャルアタックが侵害の原因の大部分（67％以上）を占め、ヒューマンエラーは22％となっている。

さらに、2020年の報告では、2019年に比べてWebアプリケーションの侵害が2倍に増加しており、43％に急増していることがわかっている。これらのケースの80％以上で、不正入手した認証情報が使用されていた。

これら32,002件のセキュリティインシデントが分析されたのはCOVID-19パンデミックによって世界中の企業の営業が止まり、就業中の労働者のほぼすべてが在宅勤務を余儀なくされる前のことではあるが、企業がビジネスクリティカルなワークロードをますますクラウドに移行していることや在宅勤務が増えていることを考えると、こうした調査結果は気になる傾向を浮き彫りにしていると言える。

2020年の報告書のデータ収集期間は2018年11月1日から2019年10月31日までだった。「そのためCOVID-19の期間はカバーしていませんでしたが、調査結果のいくつかはCOVID-19を伴う状況にもそのまま当てはまるものです」とBasset氏はウェブアプリケーションの侵害を指して述べている。「多くの組織がこのような移行を行いました――安全な境界線内で従来のドメインコントローラやデスクトップコンピュータを使用していたのを、分散型大企業向けに使用されるタイプの（クラウド）アーキテクチャへと移行する動きです。多くの企業がこのような移行を行ったため、攻撃者はそちらに移ってきて、（不正入手した）認証情報を利用するようになっています」

攻撃者がすでに移動しているため、パンデミックの影響でクラウドへの移行を今行っている企業は特に厳しい状況に置かれている、とも氏は言う。「そして今、従来のオンプレミス型アーキテクチャを持つ企業は、攻撃者がすでに存在するオフプレミス型アーキテクチャへの移行を余儀なくされています」

データ侵害へ至る経路

報告書には、攻撃者が侵害を試みる際の経路、つまり攻撃を成功させるためにはどのようなステップを踏まなければならないのかを詳細に説明したセクションも含まれている。これは企業や組織が攻撃者の経路を理解するのに役立ち、また、どの部分で攻撃者を妨害するのかを選択する際に有益だ。「このセクションは、防御力を向上させる新しい方法を示す機会となっています」とBasset氏は言う。

例えばフィッシング攻撃だ。「フィッシングメールを組織内に侵入させないようにしたいのか？ あるいは、ユーザーにフィッシングメールをクリックさせないようにしたいのか？ それとも、フィッシングメールを報告してもらうようにするのか？ その次の段階で攻撃を止めてもいい――フィッシングは悪意のあるウェブサイトやドメイン、実行ファイルにつながります。ですから、メールを介して自社のドメインに入ってくるファイルを探し、組織内でマルウェアが実行されるのを防ぐことで攻撃を防ぐという選択肢もあるわけです。ポイントは、どこで攻撃を止めるか選べること、経路のそこかしこで止めることもできることです」

さらに、攻撃者は短い攻撃経路を好む。そのほうが投資対効果が高いためだ。このことは企業にとってもうひとつの防御上のメリットになる。アクションの数を増やしたり、攻撃者にとって余分なステップを追加したりすれば、攻撃を受ける機会が減るからだ。

「何であれ防御を増やすようなことをすれば、攻撃は減ります。攻撃者側は素早く済ませたいのです」とBasset氏は言う。「30分余分にかかるとしましょう。その30分は、他のはるかに簡単なターゲットを攻撃するために使えたはずの30分です。攻撃者側はむしろ他の簡単なターゲット10社を狙うほうが良いと考えるでしょう。そのほうが自分たちにとってはるかに価値があるからです」

Verizon Data Breach Report Finds Web Application Attacks Doubled