蔓延するサイバー攻撃代行ビジネスの脅威

サイバー攻撃は今やあらゆる企業が潜在的な標的となり、その数は増加の一途をたどっています。また、サイバー攻撃は闇ビジネスの主要な産業としても認知が進み、サイバー攻撃のノウハウやリソースのない一般人でも特定組織や個人を狙って攻撃を行えるような仕組みがグローバルに展開されているのが現状です。

いわゆるサイバー攻撃代行ビジネスの浸透は、世の中のセキュリティ対策やサイバー攻撃に対する認識をどのように変えているのでしょうか。

日本で増加するサイバー攻撃

サイバー攻撃はここ10年ほどで、発生件数とその規模において急速な拡大が進んでいます。総務省が発表したデータによると、2015年にはサイバー攻撃に使用された通信数は632億パケットだったのが、2023年には6,197億パケットと、10倍近く増加しているとのことです。

また、警視庁は2024年3月14日に報道発表資料「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」において令和５年における不正アクセス禁止法違反事件の検挙件数は521件と発表しており、確認できる範囲でも多くの攻撃が行われていることがわかります。

サイバー攻撃は盤石の対策を事前に実施することで、既知の脅威であればそのほとんどを回避することができます。ただ、未知の脅威に対してはなす術がないケースも少なくないばかりか、既知の脅威に対しても企業では十分に対策できていないのが現状です。

このような状況を踏まえると、企業は常にサイバー攻撃の高いリスクにさらされている状態であると言えるでしょう。

暗躍するサイバー攻撃代行ビジネス

サイバー攻撃の増加に拍車をかけているのが、近年横行しているサイバー攻撃代行ビジネスです。その名の通り、ネット上で攻撃者がクライアントを募り、安価な価格で標的に対しサイバー攻撃を仕掛けるという闇サービスです。

2024年8月、警察庁サイバー特別捜査部はこのサイバー攻撃代行ビジネスを利用し、都内出版社に攻撃を指示した疑いで、男を逮捕しました。この際実行されたのがDDoS攻撃と呼ばれる手法で、標的のサーバーに過剰な負荷をかけ、サービスの正常な利用を妨害するものです。

サイバー攻撃代行サービスの脅威は、月額5ドル、日本円にして700円程度で利用できる手軽さもさることながら、スキルや攻撃リソースを持たない人物でも、サイバー攻撃を実行できる点にあります。

これまでサイバー攻撃は、システムについての知見がある、少数の専門家によって実行されてきました。しかしサイバー攻撃がサービスとして提供されるようになったことで、犯罪者のネットワークと手軽に接続し、わずかな金銭と引き換えにサイバー攻撃を各所に加えられるようになったのです。

サイバー攻撃代行サービスは、その存在が確認され次第各国当局によって取締られていますが、その全てを駆逐することは難しいのが現状です。今後このようなサービスの認知が広まれば、ますますサイバー攻撃が世界中で増えていく事態は避けられないでしょう。

政府の対応も後手に回る組織的なサイバー攻撃

サイバー攻撃による損失は、すでに年間では国家予算レベルになる規模にまで膨れ上がっています。にもかかわらず日本政府は現状、十分な対策を国内で実施することができていません。

サイバー攻撃の駆逐が困難である以上、有効な方法として実施したいのは国民のリテラシー向上と厳罰化です。

アメリカではFBIによる法的リスクの啓蒙活動が積極的に進められている一方、日本ではこのような活動は広まっておらず、深刻な社会問題となるまでは後手に回ることが懸念されます。

また、今後はサイバー攻撃代行ビジネスの一層の普及と、攻撃手法の悪質化が懸念されます。DDoS攻撃はサーバーのダウン程度ですませられますが、ランサムウェアによる攻撃などが代行サービスとして提供されれば、日本経済そのものが停止してしまう可能性もあるでしょう。

そのため、企業は当局や政府の対応を過信することなく、自衛手段を充実させる必要があるでしょう。

企業が検討すべきサイバー攻撃からの自衛手段

では、企業がサイバー攻撃から組織を守るためにはどのような自衛手段を取るべきなのでしょうか。サイバー攻撃のリスクをゼロにすることはできませんが、主なアプローチとして検討すべきは

• 自社のセキュリティリスクの評価
• 必要な対策の検討・システムの導入
• リテラシーの向上

の3つです。セキュリティ対策の充実には、まず自社のどのような点に脆弱性を抱えているかを確認しなければなりません。どこにどんな穴が開いているのかを確認してからでないと、正しくセキュリティホールを防ぐことはできないでしょう。

その上で必要な対策を専門家とともに検討しながら、新しいシステムの構築を進めます。老朽化したシステムの継続使用などはもれなく脆弱性に発展するため、場合によっては抜本的なDXの推進が求められることもあります。

また、セキュリティ担当者以外の従業員や経営者のセキュリティリテラシー向上も必要です。メール運用の見直しやSaaS導入の際のセキュリティリスクの把握など、業務のデジタル化に伴うリスクの増大に備えましょう。

システムそのもののセキュリティ対策と、ヒトの対策を両立することで、大半のサイバー攻撃から組織を守ることができます。