サイバー攻撃者はこの時期に何が起きているかをよく知っており、そのため季節的な状況を利用してより攻撃的なキャンペーンを仕掛けてきます。
夏は休暇や仕事の激しさからの十分に値する休息の時期です。そして、サイバー攻撃の標的になる絶好のタイミングでもあります。
サイバー犯罪者の活動は一年を通じて続いていますが、夏はサイバー攻撃者にとって特別な時期です。私たちの警戒心が普段よりも緩みやすいことや、天候がリラックスを誘うことなどが理由で、さまざまな調査によると夏はあらゆる分野で犯罪活動が年間のピークの一つとなっており、サイバーセキュリティも例外ではありません。あらゆる業界の組織が、より攻撃的かつ無差別なキャンペーンにさらされることになります。
なぜサイバー攻撃は夏に増加するのか？
まず、リモートワークが活発化します。ビーチや山など、テレワークをしたくなる魅力が多すぎます。
「多くの人が、セカンドハウスやホテル、空港など、管理の行き届いていない場所から接続し、公衆Wi-Fiやセキュリティの甘いネットワークを利用しています。これらはネットワークのなりすましやデータの傍受といった攻撃に非常に弱いのです」と、WatchGuard Technologies 南欧セールスエンジニアのギジェルモ・フェルナンデス氏は語ります。「さらに、普段リモートワークに慣れていない人は、適切なデジタル習慣を知らなかったり、意識が低い場合があります。加えて、多くの場合、会社のノートパソコンを持ち歩くのを避けるため、従業員が個人のデバイスを使うことがあり、これらはセキュリティ対策が不十分です（例えば、システムが古かったり、ウイルス対策や暗号化がされていないなど）。これによりリスクへの露出がさらに高まります。」
WatchGuard Technologies.
もう一つ重要なのは、夏の間、攻撃者は多くのITやサイバーセキュリティチームがリソース不足やスタッフの休暇で手薄になっていることを知っている点です。「彼らはこれを利用してフィッシングキャンペーンやその他の標的型攻撃を仕掛けてきます。注意力や警戒心が低下しがちであることを知っているからです」とフェルナンデス氏は続けます。
最後に、物理的なリスクも忘れてはいけません。デバイスの持ち運びが増えることで、盗難や紛失の可能性も高まり、機密情報が悪意のある第三者の手に渡る危険性が増します。
「結局のところ、夏は単なる休息の時期ではなく、企業が最大限の注意を払い、サイバーセキュリティポリシーを状況に合わせて積極的に維持すべき時期でもあります」と彼は助言します。
サイバーセキュリティリスクの増大
Altiaのサイバーセキュリティアカウントマネージャー、ベレン・フェレイロ氏によると、サイバーセキュリティリスクは夏に大幅に増加する傾向があり、2024年の夏だけでも攻撃は平均30％増加しています。
「これは偶然ではありません」と彼女はメールで説明します。「多くの企業が少人数体制で運営され、ITやセキュリティチームのリソースも減っています。また、アップデートやアクセスチェック、バックアップといった重要な作業を後回しにしがちです。これらすべてが攻撃者に付け入る隙を与えてしまいます。」
Altia
そして夏特有の活動、例えばオンライン予約やネットショッピングなどもあります。「サイバー犯罪者はこれを知っていて、航空会社やアパート、決済プラットフォームからのメールを完璧に模倣したフィッシングキャンペーンを仕掛けてきます」とフェレイロ氏は言います。
「結局のところ、リスクは二重です。攻撃の試みが増え、監視の目が減るため、迅速に検知・対応する人が少なくなります。さらに、何か起きたときに誰が対応するか明確なプロトコルがなかったり、バックアップがきちんとテストされていない場合、インシデントが誰にも気づかれずに重大化する恐れがあります」とフェレイロ氏は述べます。
だからこそ、彼女はこのメッセージを無視してほしくないのです。サイバーセキュリティは休暇に入りません。「むしろ今こそ、すべてを徹底的に見直し、コントロールを強化し、スタッフに『たとえ休暇中でも警戒を緩めてはいけない』と再認識させるべき時です」と彼女は言います。
すべての脅威が夏に増加するわけではない
ESETスペインのリサーチ＆アウェアネス部門ディレクター、ジョセップ・アルボルス氏によると、すべての脅威がこの時期に顕著になるわけではありません。
「例えば、当社のテレメトリデータを見てみると、企業向けサイバー脅威の検知数は夏に減少しています。これはこの期間の業務活動が減るため当然です」と彼は言います。「一方で、個人ユーザーを狙った一部の脅威は、夏の間に増加が見られます。これは、レジャー目的でデバイスの利用が増えるため、多くのユーザーが油断し、サイバー犯罪者にとって魅力的な標的となるからです。」
ESET.
いずれにせよ、NetAppラテンアメリカ技術ディレクターのハイメ・バラニャ氏は、特に注意すべき脅威としてランサムウェアを挙げています。
「ランサムウェアは依然として主要な脅威です。その破壊力だけでなく、インフラ全体を短時間で危険にさらすスピードが増しており、より標的型で静かに進行するようになっています」と彼は言います。「さらに、生成AIツールによって本物と見分けがつきにくくなった標的型フィッシングの増加も加わっています。また、チームが過重労働になったり、セキュリティプロトコルが不明確な場合、内部リスクも高まります。」
NetApp.
GFTのアーキテクチャ＆サイバーセキュリティソリューション部門ディレクター、カルロス・ルビオ氏は、夏に増加しやすい攻撃として認証情報の漏洩も挙げています。
「個人デバイスや公衆Wi-Fiネットワークが十分な対策なしに使われることが多く、認証情報の盗難や通信の傍受が容易になります。また、監視が緩くなりリスクの高い行動が増えることで、シャドーITや非公式アプリの利用、承認されていないアプリからの作業や安全でない手段での文書共有なども増加します。」
GFT.
個人デバイスで企業情報にアクセスすることについて、ギジェルモ・フェルナンデス氏は「これらのデバイスは脅威に対する保護が不十分で、場合によっては高度なセキュリティソリューションもありません」と述べています。
彼はさらにこう付け加えます。「夏は人々がよりリラックスし、気が緩み、普段と違う行動を取りやすいため、詐欺メールや悪意のあるメッセージ、不正なリンクに引っかかりやすくなります。」
決して油断しないこと
「夏には一時停止しているという錯覚がありますが、実際にはシステムは稼働し続け、脅威は存在し、攻撃者も活動しています。多くの企業は、まさに強化すべき時に監視レベルを下げてしまいます」とルビオ氏は述べ、数週間業務を自動運転に任せることで生まれる安心感が、攻撃者にとって絶好の機会になると付け加えます。「これを認識し、対策を講じる必要があります。」
「鍵は予測と準備です」とBabelのサイバーセキュリティディレクター、フアン・フランシスコ・コルナゴ氏はメールで語ります。彼は「継続性計画の見直し、自動化ツールによる監視強化、強力な認証によるリモートアクセス保護、パスワード変更の徹底、対応チームの稼働維持、そして何より夏特有のリスクに対する社内啓発の強化」を推奨しています。
彼の考えでは、「休暇前にしっかりとした啓発キャンペーンを行うことで、実際に大きな違いが生まれる」と言います。
Palo Alto Networksのソリューションコンサルティングマネージャー、アンヘル・セラーノ氏もこの時期の見直し強化のアドバイスに同意しています。
「まず第一に、夏の間、従業員がどのように、どこから、どんな保護のもとで接続しているかを見直すことが重要です。企業VPNなしでオープンWi-Fiから作業するのは重大なミスであり、無知ではなく利便性から選ばれることも多いのです」と彼は言います。「通信の保護、デバイスの確認、多要素認証の適用、アクセス権限の制限は基本的な対策ですが、オフィス外では徹底されないことが多いです。境界が消えると、ゼロトラストモデルの重要性がこれまで以上に高まります。」
彼はさらにこう付け加えます。「これに加えて、デバイスの物理的な保護も必要です。デフォルトでの暗号化、リモート管理、自動ロック、オフィス外でのデータ利用・保存に関する明確なポリシーは不可欠な対策です。」
Palo Alto Networks.
最後に、セラーノ氏は意識向上の重要性を強調します。「フィッシング訓練や運用上の注意喚起、トレーニングセッションはすべて有効です。もしセキュリティチームが人手不足であれば、AIによる自動化で行動異常を検知し、即座の人手介入なしに脅威を封じ込めることも可能です」と彼は述べます。
さらなるトレーニングが必要
Babelのコルナゴ氏は、サイバーセキュリティトレーニングが依然として攻撃者に最も狙われやすい弱点の一つだと考えています。「テクノロジーだけでは、人間の要素が失敗した場合にインシデントを防ぐことはできません」と彼は強調します。「だからこそ、技術者だけでなく全従業員が、どう行動すべきか、どんな兆候に注意すべきか、やってはいけないことは何かを知っている、部門横断的なサイバーセキュリティ文化の構築が重要なのです。」
残念ながら、彼は「これらはすでに分かっていることなのに、私たちは繰り返し失敗し続けている」と付け加えます。
「問題は知識だけでなく、認知的なレジリエンス（回復力）にもあります。まさにそこに企業は注力すべきです。同じ過ちを繰り返さないようにしましょう」と彼は言います。
コルナゴ氏が見ている失敗の一つは、夏になると警戒心が緩む傾向です。「皮肉なことに、最も守るべき時期に、多くの組織が監視や対応能力を下げてしまいます」と彼は言います。
「監視の強化、待機シフトの準備、従業員への良いデジタル習慣のトレーニングは不可欠な対策です。サイバーセキュリティは季節的なものでも技術部門だけのものでもありません。全従業員とサプライチェーンが365日責任を持つべき共同責任なのです。」
NetAppのバラニャ氏も、より良いトレーニング体制を提唱しています。「組織内のさまざまな職種に合わせて、何をすべきかだけでなく、なぜそうするのか、やらなかった場合どうなるのかまで説明する継続的なプログラムが必要です」と彼は言います。
GFTのルビオ氏も同意しています。
「夏はその特異性ゆえに、習慣の変化や監督の緩みがセキュリティ習慣を試すため、この学びを強化する絶好のタイミングです」と彼は言います。「実践的で状況に即した定期的なトレーニングを行うことで、組織のサイバーセキュリティ文化を大きく強化できます。」
ニュースレターを購読する
編集部からあなたの受信箱へ
下記にメールアドレスを入力して、今すぐ始めましょう。