eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性を保っています。当サイトのリンクをクリックしていただくことで、収益が発生する場合があります。 詳細はこちら
ランサムウェア攻撃はしばしば、暗号化されたシステム、盗まれたデータ、業務の停止、数百万ドル規模の身代金要求といった最終的な被害の大きさで語られます。
しかし、攻撃の初期段階で狙われる従業員については、これまであまり注目されてきませんでした。
Zscaler ThreatLabzによる新たな調査によると、ランサムウェアの攻撃者は、業務上の権限やアクセス権が組織への侵入経路として価値を持つ従業員を、これまで以上に標的にする傾向を強めているとのことです。
Zscalerのランサムウェア調査から得られた主な知見
- 被害者の62%がマネージャー職以上の役職
- 被害者の75%が財務、営業、業務、人事、マーケティングのいずれかに従事
- 被害者の約50%が製造業またはIT分野に従事
- 被害者の44%がジェネレーションX(X世代)で、平均年齢は46歳
ランサムウェア攻撃者、マネージャー層や経営幹部への標的化を強める
ThreatLabzは、初期侵入の獲得、企業データの大量窃取、そして重要システムを選別した上での暗号化で知られるグループが関与するランサムウェアキャンペーンを分析しました。
1か月間の調査期間中に、研究者らは334の組織にまたがる351人の被害者を特定しました。
この調査結果は、管理職としての権限、財務プロセスへのアクセス権、そして部門を横断する業務上の人間関係が、従業員をより魅力的な標的にし得ることを示しています。
ランサムウェア攻撃者がビジネス上の権限を持つマネージャーを標的にする理由
特定された被害者のうち、62%がマネージャー職以上の役職に就いていました。この結果は、技術的な権限と業務上の権限という、重要ながら見落とされがちな違いを浮き彫りにしています。
従来のセキュリティプログラムは、技術的に高い権限を持つユーザーに焦点を当てがちですが、マネージャーも同様に価値の高い業務上の権限を持っている場合があります。
担当業務にもよりますが、マネージャーは支払いの承認、予算の管理、取引先とのやり取り、契約書の確認、機密情報へのアクセス、部門を横断した業務の調整などを行っている可能性があります。
そのため、これらのアカウントが侵害されれば、ランサムウェアの攻撃者は情報収集や機密情報へのアクセス、信頼された従業員へのなりすまし、組織内での活動範囲の拡大などが可能になってしまいます。
また今回の調査では、被害者の44%をジェネレーションXが占め、平均年齢は46歳であることも判明しました。
これは年齢そのものが主要なリスク要因であることを示すというよりも、キャリアの年次を反映している可能性があります。
現在、多くのジェネレーションX世代の従業員が、攻撃者の求める組織的なアクセス権を有する、確立されたマネージャー職や経営幹部のポジションに就いているのです。
ランサムウェア攻撃で最も標的にされやすい業務分野
被害者の約75%が、経理・財務、営業、業務、人事、マーケティングのいずれかに従事していました。
経理・財務が被害者全体の17.7%を占め、営業が17.4%、業務が16.8%と続きます。
こうした部門は、ランサムウェア攻撃において価値を持ちうる情報やプロセスを日常的に扱っています。
例えば経理担当者は、請求書、支払い情報、銀行口座の詳細、承認記録、取引先データなどにアクセスできる可能性があります。
営業マネージャーは、顧客アカウント、契約書、価格情報、売上予測などを扱っていることがあります。
業務担当の従業員は、サプライヤーや社内チーム、業務上不可欠なプロセスの調整を担うことが多くあります。
今回の調査結果は、管理者権限がなくても大きなリスクにつながり得ることを示しています。
通常の業務上のアクセス権であっても、機密情報や業務用アプリケーション、財務プロセス、そして信頼された社内でのやり取りへの経路になり得るのです。
ランサムウェア攻撃者が製造業やテクノロジー企業を標的にする理由
特定された被害者の約半数が2つの分野に集中しており、製造業が35.5%、情報技術(IT)分野が14.6%を占めていました。
製造業の組織で従業員のアカウントが侵害された場合、製造、物流、流通を支えるシステムへのアクセス経路になり得ます。
テクノロジー企業においては、従業員アカウントの侵害が知的財産や、デジタル製品・サービスを支えるプラットフォームの流出につながる可能性があります。
こうした環境がランサムウェアの標的として狙われやすいのは、生産、物流、決済、デジタルサービスなどを停止させることで、恐喝交渉における業務上・財務上の圧力を生み出せるためです。
組織がランサムウェアのリスクを低減する方法
今回の調査結果は、組織が従来の特権を持つ技術系アカウントの枠を超えて、ランサムウェア対策を拡充すべきであることを示唆しています。
セキュリティチームは、マネージャーやその他の事業上重要な役割を担う従業員が持つ権限、人間関係、利用アプリケーション、アクセス可能な情報について検討する必要があります。
組織は、複数の補完的なセキュリティ対策を導入することで、こうしたリスクの高いユーザーを取り巻く保護体制を強化できます。
- フィッシング耐性を備えた多要素認証(MFA)と最小権限アクセスの原則を徹底することで、マネージャーやその他リスクの高い従業員における認証情報の悪用を減らし、攻撃者がアクセスできる範囲を制限します。
- ランサムウェア対策ツールを活用し、エンドポイント、ネットワーク、ID、行動分析による検知を組み合わせることで、ランサムウェアが拡散する前に不審な活動を検知・ブロックします。
- IDとセッションの不審な活動を監視すること。具体的には、通常とは異なるサインイン、想定外のMFA設定変更、トークンの不正利用、異常なデータ転送、不正なリモートアクセスなどが対象です。
- 外部とのやり取りを制限し、機密性の高い依頼は必ず確認することで、なりすましやソーシャルエンジニアリング、コラボレーションツールを介した不正な接触を減らします。
- リスクの高い操作には二段階の確認を義務付けること。高額な支払い、銀行口座情報の変更、取引先情報の更新、認証情報のリセット、機密性の高いシステムへのアクセスなどが該当します。
- 重要システムをセグメント化し、隔離されたバックアップを維持することで、横方向への侵害拡大を抑え、重要データを保護するとともに、身代金の支払いに頼らない復旧を可能にします。
- 攻撃シミュレーションツールを用いてランサムウェアのシナリオでインシデント対応計画をテストする。
結局のところ、効果的なランサムウェア対策には、組織が管理者権限にとどまらない広い視点で「権限」というものを捉え直す必要があります。
従業員が持つアクセス権や権限に基づいて保護策を講じることは、一つのアカウントの侵害が、より大規模なランサムウェア攻撃へとエスカレートするのを防ぐ助けとなります。
ゼロトラストは、アクセスを継続的に検証し、アカウントが侵害された際に攻撃者の行動範囲を制限することで、こうした取り組みを一層強化する助けとなります。
