今回、Help Net Securityのインタビューに応じたのは、BlackCloakのField CISO、Client Advisory担当であるBrian Hill氏です。同氏は、攻撃者が経営幹部の私生活を通じて企業に侵入する手口について解説します。多要素認証がかけられていない経営幹部の個人メールに報告書の草稿が置かれていたために、それを悪用したトレーダーがニュースの公表前に取引を行っていたという事例も紹介されています。
また、AV業者がケーブルを付け替えたことで開放状態になってしまった自宅ネットワークや、ホテルのWi-Fi経由で仕込まれたマルウェアについても触れつつ、ディープフェイク対策は「メッセージ」ではなく「本人」を検証すべきだという同氏の考え方を語ります。多くの企業は、このギャップを埋めるためのツールを持ち合わせていません。
懐疑的なCISOたちの前に立つとき、経営幹部の私生活が企業への侵入経路になり得ることを証明するために、どのようなケーススタディやデータを提示しますか。この数年でその証明はしやすくなりましたか、それとも難しくなりましたか
残念ながら、ドキシングや、オンライン上の行動が原因で経営幹部が物理的に標的にされる事件、セキュリティの甘い自宅ネットワークや個人アカウントを突く侵害といった実際の被害事例を示すのは、決して難しいことではありません。この種の攻撃は頻度が増しているだけでなく、表面化するケースも増えています。
私がよく挙げる例の一つに、ある企業が、市場での好調な業績に関する公式発表の予定日よりかなり前の時点で、不審な株式取引が行われていることに気づいたケースがあります。同社はBlackCloakに連絡を取り、何が起きているのか調査してほしいと依頼してきました。徹底した調査の結果、原因は、ある経営幹部が自分の個人メールアカウントに会社の年次報告書の草稿を保存していたことにあると判明しました。そのアカウントはサイバー犯罪者にアクセスされていたのです。経営幹部の個人メールに侵入したハッカーたちは報告書のコピーを入手し、インサイダー情報として悪用しました。残念ながら、この幹部は自分の個人メールに多要素認証を設定しておらず、ハッカーにとって容易に付け入る隙となってしまいました。
このケースは、経営幹部の個人メールアカウントへのアクセスが、いかに容易に企業に対する行動へとつながり、ガバナンスやコンプライアンスの取り組みを損ないかねないかを示す好例です。その結果、深刻な財務的・評判的損害が生じる可能性があります。
多くのセキュリティチームは、この10年間、企業の境界防御強化に注力してきました。その成功が、結果として攻撃者をより手薄な個人という標的へと静かに押しやってきたのでしょうか。つまり、企業のセキュリティが強固になればなるほど、御社のようなサービスの重要性が増すということでしょうか。それとも、それはあまりにも都合の良いストーリーでしょうか
都合の良い話ではなく、戦術的な現実です。企業の防御が万全かどうかは、実のところ本質的な問題ではありません。本当の問題は、著名なビジネスリーダーの私的なデジタル生活に脆弱性が存在するということです。そして、サイバー犯罪者はその脆弱性が企業への明確な侵入経路になることを知っているからこそ、それを突いてくるのです。
一例を挙げると、ある企業幹部が、ほぼ本物そっくりに偽装された個人メールアドレスを使って攻撃者になりすまされ、そのメールアドレスを使って会社の内部アカウントにアクセスされるという被害に遭い、BlackCloakに相談に訪れました。この不正なメールアドレスとオンライン上の活動は最終的に公になり、その幹部は不正行為に関与したとして疑いをかけられる事態に発展しました。こうしたデジタル攻撃は、残念ながら物理的な攻撃にまで発展し、その幹部と家族はニューヨークの路上で実際に暴行を受け、加害者は翌朝、メディアを通じてPR攻撃を仕掛けると脅迫してきました。
結果はどうなったか。彼女はBlackCloakに支援を求め、当社の専任セキュリティオペレーションセンター(SOC)が直ちに介入し、迅速なインシデント対応を提供しました。私たちは彼女の個人デバイスのセキュリティを強化するとともに、データブローカーからの削除対応を開始し、ウェブ上に露出していた個人情報を消去して、彼女とそのメールを結びつける虚偽の情報を排除しました。攻撃者が持っていた彼女の私的なデジタル生活への足がかりと可視性を取り除くことで、PR攻撃が実行される前に脅威を無力化することに成功しました。従来の企業防御では手の届かない危機を解決した事例です。
セキュリティチームの誰も気づかないような場所から始まった攻撃について教えてください。子どものゲーム機、スマートサーモスタット、配偶者の乗っ取られたメールアカウントなど。そうした発見と対応の連鎖は、どのようなものになるのでしょうか
家庭内環境における発見と対応の連鎖は、複雑なゼロデイ攻撃を必要とすることはめったになく、たいていは見落とされがちな単純な人為的ミスに起因します。
あるCEOの自宅ネットワークに対してリモートでの定期的なペネトレーションテストを実施していたところ、BlackCloakのチームは、誰でもカメラや警報システム、ホームオートメーション、そしてネットワークに接続されたあらゆるデバイスにアクセスできてしまう開放ポートを発見しました。これは重大なデジタル面・物理面双方のセキュリティリスクとなり得るものでした。
さらに調査を進めた結果、原因は単純なミスでした。あるAV業者が、娯楽システムの修理に訪れた際に誤って別のケーブルを接続してしまい、ネットワーク全体を侵害のリスクにさらしてしまっていたのです。私たちはこのCEOと直接連携し、ケーブルの問題を修正し、脆弱なポートを閉鎖したうえで、この家庭内環境が今後も攻撃者にとって行き止まりであり続けるよう、継続的なテスト体制を構築しました。
社内のセキュリティチームは、企業資産に対しては監視権限を持っています。しかし、リスクが個人のデバイスやアカウント上に存在した瞬間、その権限は消えてしまいます。御社のサービスは本当に必要なギャップを埋めているのでしょうか、それとも企業が本来引き受けたくない問題を外部に押し付けている結果にすぎないのでしょうか
これは根本的な企業のギャップを埋めるものです。企業がこの問題を引き受けたくないというわけではなく、常に対応に追われている社内のセキュリティ課題も抱える中で、それに対応するためのツールやリソースを持っていないというのが実情です。その結果、ほぼすべての企業でこのギャップが存在しています。
さまざまな理由から、企業は経営幹部の私生活を可視化することができませんし、そうすべきでもありません。BlackCloakは、社内チームに一切の負担をかけることなく、企業の資産に関するリスクと個人のプライバシーとの明確な切り分けを保ちながら、経営幹部とその家族にエンタープライズグレードの保護を拡張します。
ある事例では、あるCEOとその配偶者が、海外出張中、高級ホテルに滞在した後、個人のデバイスの挙動がおかしいことに気づきました。侵害の分析を行った結果、私たちのチームは、両者のデバイスがホテルの公衆Wi-Fiネットワークに接続していた際に、ある国家主体がマルウェアを仕込んでいたことを突き止めました。BlackCloakは直ちに配偶者のタブレットとCEOの個人用スマートフォンのセキュリティを確保し、マルウェアを除去したうえで、デバイスを強化し、今後のネットワーク経由の傍受を防ぐための高度なプライバシー制御を導入しました。この事例は、私的な出張中に個人デバイス上で発生したものであるため、社内のセキュリティチームでは発見できなかった可能性が高いケースです。
AIを用いた攻撃やディープフェイクは日を追うごとに巧妙化しており、検知はますます困難になっています。経営幹部はこうした悪質な脅威から自分自身をどのように守ればよいのでしょうか
良い質問ですね。多くの業界の企業が最新・最高峰のディープフェイク検知技術の開発にしのぎを削っていますが、私たちはその競争には参加していません。この問題を解決するには、「メッセージ」ではなく「本人とそのデバイス」を起点とした実践的な解決策が必要です。信頼できる連絡先が、意思決定の瞬間に、攻撃者が制御できないチャネルを通じて認証要求に応答することで、電話、ビデオ会議、メール、WhatsAppメッセージ、テキストメッセージなどのコミュニケーションをリアルタイムで検証できます。これが私たちのImpersonation Protection機能が対応している領域であり、BlackCloakアプリを通じてリアルタイムでシームレスに機能します。
5年後を見据えたとき、個人向けデジタル保護は、かつての社用車や身辺警護のように、経営幹部の報酬パッケージにおける標準的な項目になっているとお考えですか。それとも、これは一部の慎重な人向けの任意特典にとどまるのでしょうか
デジタル・エグゼクティブ・プロテクションは、すでに贅沢品ではなく戦略的必須事項として扱われるようになっています。CISOをはじめとする経営幹部たちは今や、ビジネスリーダーの私的なデジタル生活を無防備なままにしておくことが、見過ごすわけにはいかないセキュリティ上のギャップであると理解しています。
攻撃者が狙っているのは経営幹部のパスワードだけではありません。企業の知的財産、ブランドの評判、財務的な安定性そのものです。オンライン上の個人データが広く出回り、無制限にアクセス可能な状況にあるため、無防備な状態に置かれたビジネスリーダーとその家族は、現実世界での物理的な攻撃の標的になりやすいのです。こうした脅威が拡大するにつれ、企業のサイバーセキュリティ施策の一環としてデジタル・エグゼクティブ・プロテクションを導入する組織は今後も増え続けるでしょう。サイバーセキュリティと物理的セキュリティ、そして私的な保護と職務上の保護との間のギャップを埋め、経営幹部のリスクを全社的なリスクマネジメント戦略に組み込む必要性は、もはや標準的な考え方になりつつあり、今後もその流れが衰えることはないでしょう。
経営幹部を狙った攻撃について、業界の人々によく誤解されていると感じる点があれば教えてください
企業は、経営幹部が私生活において標的にされた場合のリスクとその影響については理解しています。しかし、よくある誤解として、この問題への対応には運用面での大きな負担と、すでに手一杯になっているセキュリティチームへの多大な負荷が必要だと思われがちです。しかし、実際はそうではありません。
個人のプライバシーと企業のプレイブックの両方を尊重するコンシェルジュ型プロバイダーと提携することで、ビジネスリーダーとその家族が私生活において、自宅であれ出張中であれ、個人のデバイス上で直面する問題は容易に克服できます。これは、著名人と企業資産を悪意ある攻撃者から守り、同時に企業の財務的・評判的な立場を保護するうえで、最も優れた効果的な方法です。
翻訳元: https://www.helpnetsecurity.com/2026/08/04/brian-hill-blackcloak-digital-executive-protection/
