ベライゾン「2023年度 データ漏洩/侵害調査報告書」を発表

ソーシャルエンジニアリング攻撃の頻度とコストが飛躍的に増加あらゆる業界で、引き続き人的要因によるデータ侵害が多くみられる

◇本年度のポイント
・ランサムウェア インシデントは、1件あたりの、身代金額がこの2年間で倍増。
　また、データ侵害の4件に1件を占めている。
・インシデントの大部分は人的要因が関係し、データ侵害の74%が該当する。
・プリテキスティング（なりすまし）は昨年の2倍以上に。
・Log4jのインシデントの分析により、インシデントの規模と対処の有効性が明らかに。

ニュージャージー州・バスキングリッジ －ベライゾン・ビジネス（日本法人：ベライゾンジャパン合同会社、所在地：東京都千代田区、代表執行役員社長：山崎隆太、以下「ベライゾン」）は、6月6日（米国時間）に第16版となる「2023年度 データ漏洩/侵害調査報告書（DBIR）」（https://www.verizon.com/business/ja-jp/resources/reports/dbir/）を公開しました。本報告書では、16,312件のセキュリティインシデントを分析し、そのうち5,199件のデータ侵害を確認しました。最も重要な点は、ランサムウェア（組織のデータを暗号化してアクセス復旧に高額を請求するマルウェア）による身代金額の高騰です。

ランサムウェアは引き続き猛威を振るう

　ランサムウェア インシデントにかかるコストの平均は、ここ2年で倍増しています。損失が生じたインシデントの95％は100万ドル～225万ドルの費用がかかっていることも分かりました。費用の上昇と同時に、その頻度も急激に増加しています。

　2022年度版の報告書では「ランサムウェアの攻撃の件数は2021年比で13%増加し、たった1年で過去5年間の増加率合計と同程度を記録した」と解説しました。今年もこの流行は続いていて、ランサムウェアはデータ侵害全体の4分の1近く（24％）を占め、依然サイバー攻撃の主要な手段となっています。

人的要因によるデータ侵害がインシデントの大部分を占める

　また、企業は重要なインフラストラクチャーを保護し、サイバーセキュリティのプロトコルに関するトレーニングを強化し続けているものの、依然として人的要因がインシデントの大部分を占めており、データ侵害全体の74％にあたります。

　人間の性質を巧みに利用する、最も一般的な手法はソーシャルエンジニアリング攻撃です。フィッシングや、プリキャスティング（なりすまし）などの手法により組織の機密情報を操作するもので、ハッカーがユーザーに悪意のあるリンクや添付ファイルをクリックさせます。

　ベライゾン・サイバーセキュリティ・コンサルティングのマネージング・ディレクターであるクリス・ノバック（Chris Novak）は、

「多くの組織において、経営陣等の上層部に対するサイバーセキュリティの脅威が高まっています。彼らは組織の最も機密性の高い情報を持っている上に、セキュリティプロトコルの例外を設けている組織も多く、保護が極めて手薄になっているからです。ソーシャルエンジニアリングが普及しますます巧妙になっているため、組織は高額の被害をもたらすシステム侵害を避けるために上層部に対する保護を強化する必要がある」と説明しています。

　特に、社員になりすまして金銭的利益を得るビジネスメール詐欺（BEC）と呼ばれる攻撃手法の増加を考えると、ソーシャルエンジニアリングはランサムウェアと同様、サイバー犯罪者にとって収益性の高い手法であると言えます。

　米国インターネット犯罪苦情センター（IC3）のデータによれば、ビジネスメール詐欺による被害額の平均は、ここ数年で5万ドルにまで増加しています。なりすましによる攻撃が、昨年の2倍以上になった可能性があります。

BECの増加に伴い、従業員が各地に分散している企業は、人間を中心としたセキュリティのベストプラクティスの作成と厳密な実施というさらに重要な課題に直面しています。

IDCのリサーチ・バイスプレジデントであるクレイグ・ロビンソン氏は、

　「サイバー攻撃の脅威アクターは、消費者や企業の機密データを取得するために、世界的に広く執拗な努力を続けています。その情報から生み出される収益は驚異的であり、取締役会レベルでは最重要課題となっているため、ビジネスリーダーがそれを見逃しているわけではありません。ベライゾンのデータ漏洩/侵害調査報告書は、サイバーセキュリティ業界にとって重要なトピックについて深い洞察を提供し、ビジネスコミュニティにとって真実の情報源となっている」と述べています。

2023年度DBIRその他のポイント

• スパイ活動がメディアの注目を集めているが、現在の地政学的状況により、スパイ目的の攻撃者はわずか3％にすぎない。残る97％は金銭的収益を目的にしている。

• Log4jの年間脆弱性スキャンの32％は、リリースから30日以内に発生。これは概念実証から大規模な悪用に至る攻撃者の速さを示している。

• 外部の攻撃者はさまざまな手法を用いて組織内部に侵入している。認証情報の盗用（49％）、フィッシング（12％）、脆弱性の悪用（5％）など。

 

　企業が重要なインフラストラクチャーを保護する方法の1つは、業界の先端のプロトコルとプラクティスを採用し遵守することです。

　今回、ベライゾンは、米国のテレコム・プロバイダーで初のMANRS（ルーティングセキュリティに向けた合意規範）の参加者となりました。MANRSは、攻撃者に悪用される可能性のあるルーティングの主な脅威を排除するための国際的なイニシアチブです。MANRSへの参加は、主なルーティングの脅威に対する業界最善の解決策と、

ネットワーク上の顧客をサイバーインシデントから保護するためのベストプラクティスの遂行に専心するベライゾンの取り組み姿勢を表しています。

◇DBIRについて

　2023年度のDBIRは第16版であり、16,312件のセキュリティインシデントを分析し、そのうち5,199件でデータ侵害が確認された。分析に使われたデータは、数カ国の法執行機関、法医学組織、法律事務所、CERTおよびISAC、政府機関など、国内外の87カ所のデータ寄与協力組織から収集されたものです。

「2023年度 データ漏洩/侵害調査報告書」は、

専用ページhttps://www.verizon.com/business/ja-jp/resources/reports/dbir/からご確認ください。

◇ベライゾンについて

　ベライゾン・コミュニケーションズ（NYSE, Nasdaq: VZ）は、2000年6月30日に設立された、テクノロジーおよび通信サービスを提供する世界有数のプロバイダーです。ニューヨークに本社を置き、世界中に拠点を有するベライゾンは、2021年に1,336億ドルの売上高を記録しました。同社は、受賞歴を誇るネットワークとプラットフォーム上でデータ、ビデオ、音声サービス、ソリューションを提供し、モビリティ、信頼性の高いネットワーク接続、セキュリティ、コントロールに対する顧客の要望に応えています。

　ベライゾンのオンラインメディアセンター: ニュースリリース、記事、メディア窓口、その他のリソースは次のサイトhttps://www.verizon.com/about/news-centerで入手可能です。

また、ニュースリリースはRSSフィードから購読可能です。購読するには、以下のサイトにアクセスください：

www.verizon.com/about/rss-feeds/