すべての侵害がゼロデイ脆弱性の悪用や、ますます巧妙化するフィッシングキャンペーンによって始まるわけではありません。中には、攻撃者を正面玄関から堂々と招き入れる決断をした従業員が発端となるケースもあります。
増加している悪意ある内部脅威は、良いニュースと悪いニュースが同居する状況を映し出しています。組織はセキュリティ対策を強化していますが、サイバー犯罪者はファイアウォールやVPNでは防ぎようのない唯一の存在、すなわち正規のアクセス権を持つ人間を突いてきているのです。内部脅威に起因するインシデントは、ランサムウェアの展開、直接的な金銭的損失、コンプライアンス違反、データの全面的な流出など、さまざまな深刻な結果をもたらしかねません。
内部脅威による年間コストは2026年、組織あたり1,950万ドルに達しました。SentinelOneによるこの報告では、インシデントの56%は、フィッシングの罠にかかったり社用デバイスを紛失したりした不注意な従業員に起因するとされています。同社はまた、承認されていないツールを利用する従業員が増えていることによるシャドーAI（人工知能）リスクの高まりとも関連付けています。
しかしSentinelOneの研究者はもう一つの警告を発しています。高い権限を持つ悪意ある内部関係者が関与した侵害は、1件あたり平均約490万ドルのコストを組織にもたらし、「追跡されている中でも最も高額なシナリオの一つ」だといいます。
金銭的な影響が拡大する一方で、不正を働く内部関係者も増加しています。Mimecastの「The State of Human Risk 2026」レポートによれば、過去1年間で悪意ある内部関係者による事案は42%増加したとのことです。
不注意による内部脅威が依然として多数を占めていますが、悪意ある行為者による脅威の増加を受け、両方への対応がますます重要になっています。
「ネットワークを管理する人間を怒らせてはいけない」
不満を抱えた従業員は、悪意ある内部脅威の多くのシナリオを歴史的に占めてきました。2020年、米ジョージア州北部地区連邦検察局は、元勤務先である医療梱包会社をハッキングし、電子出荷記録を妨害したとしてChristopher Dobbins被告に連邦刑務所への収監を言い渡しました。その行為により同社は20万ドル以上の損害を被り、新型コロナウイルス感染症のパンデミック下における個人防護具の出荷が遅延したと発表資料は伝えています。
Flashpointが7月にダークウェブ上の勧誘動向を調査したところ、「独自の脅威アクター投稿の75%以上が、悪意ある第三者に対して自らのアクセス権を売り込む内部関係者によるものだった」ことが判明しました。
「これは、不満を抱えた従業員が企業データやネットワークへの侵入口を買い取る相手を積極的に探すという、極めて意欲の高い脅威の実態を示しています」と同社のブログ記事は述べています。
米シークレットサービスの元シニア特別捜査官であるJustin Miller氏は、あるIT部門の責任者が午前8時に解雇を告げられながらも当日のシフトを最後まで務めるよう求められ、その後会社のシステムをロックするマルウェアを展開した事件を担当したことがあるといいます。
誰も彼から鍵を取り上げず、資格情報のアクセス権も無効化しなかったため、彼は午前2時に戻ってきて報復を実行したと、現在はタルサ大学でサイバー研究の実務准教授を務めるMiller氏は語ります。
「自社のネットワークを管理している人物を怒らせてはいけません」とMiller氏はDark Readingに語ります。「不満を募らせる内部関係者は、どんな組織にも必ず存在するものです」。
多くの企業は、自社が高価値な標的リストの上位に位置しないと考えたり、最善の防御策を講じていると思い込んだりしています。しかし実際には、たとえ完全に防御されていたとしても、脆弱性は社内にいてランサムウェア攻撃者と結託する人物である可能性があると、Huntressのアドバーサリー戦術担当シニアディレクターであるJamie Levy氏は説明します。
「私たちもそういった事例を数多く目にしています。内部に協力者を仕込んだり、ランサムウェア攻撃者側から『アクセス権をよこせば報酬を払う』と持ちかけたりするケースです」とLevy氏はDark Readingに語ります。同氏はScattered Spiderを例に挙げました。この悪名高いランサムウェア集団は、標的とするユーザーに対するSIMスワッピング攻撃を実行するために通信会社の従業員に賄賂を渡していました。
金銭も明らかな動機の一つです。Coalitionのインシデントレスポンス責任者であるShelley Ma氏によれば、同社は先月、ある従業員が被害者から個人銀行口座に資金を吸い上げていた悪意ある内部関係者による事案を調査したといいます。
Ma氏は、真に悪意ある内部関係者による事案を目にするのは2年に1度程度だと述べていますが、それでも顧客にとっては正当な懸念事項であり続けていると、Coalitionのインシデントレスポンス担当ディレクターであるLeaann Nicolo氏は付け加えます。ランサムウェア攻撃を受けた後、顧客はしばしば内部の人間が関与していなかったかを保険会社に尋ねてくるとNicolo氏はDark Readingに語ります。資格情報の侵害やパッチ未適用のシステムといった説明の方が可能性としては高いものの、内部関与の可能性を排除することはできないと同氏は述べています。
「内部関係者の協力を得たランサムウェアは現実に存在する」
かつては稀だったこの脅威が、特にランサムウェアの分野で増加している可能性があります。昨年、Medusaランサムウェア・アズ・ア・サービス集団のメンバーを名乗る人物が、BBCワールドサービスのサイバー担当特派員であるJoe Tidy氏に対し、同氏のPCへのアクセス権と引き換えに、身代金支払額の25%を渡すと持ちかけました。Tidy氏はより多くの情報を得るためにその話に乗り、脅威アクターが「多額の報酬と引き換えに、自分が勤める企業の中枢へのカギをひそかに売り渡す」取引を望んでいることを突き止めました。
昨年末、NCC Groupの調査により、ランサムウェア・アズ・ア・サービス集団が従業員、業務委託先、信頼されたパートナーを標的組織への侵入口としてますます扱うようになっていることが判明したと、同社のシニアアドバイザー兼セキュリティ担当ディレクターであるTim Rawlins氏は説明します。ただし、可視性の欠如により実際の件数を把握するのは困難だといいます。
「内部関係者の協力を得たランサムウェアは現実に存在しますが、まだ組織への侵入経路として主流にはなっていません」とRawlins氏はDark Readingに語ります。
主流になっていない理由の一つは、Tidy氏の事例のように標的となった従業員が通報する可能性があるため、内部からの勧誘がランサムウェア運営者側にとってもリスクを伴うからかもしれません。それでもそのリスクには見返りが伴います。攻撃者は自ら侵入口を探す代わりに、組織へまっすぐ入り込むことができるようになるのです、とTenableのシニアスタッフリサーチエンジニアであるSatnam Narang氏は述べています。
「LockBit 2.0集団がこれを試みたことは分かっています。身代金要求メッセージや、感染マシンの壁紙の一部に内部関係者募集の文言を盛り込み、VPNやリモートデスクトッププロトコル、メールの認証情報を提供してくれる内部関係者を求めていました」とNarang氏はDark Readingに語ります。
企業が成熟し防御力が向上するにつれ、その面では組織側が優位に立ちつつありますが、脅威アクターは初期侵入の新たな手段を模索していると、Flareの公認ダークウェブ調査員でありランサムウェアの専門家でもあるTammy Harper氏は説明します。内部関係者の取り込みは、欧州、米国、カナダの高収益企業といった高価値な標的の間で、より一般的になりつつあります。
より高いレベルのシステムアクセス権を持つ人物を仲間に引き入れることができれば、なおよいと同氏は付け加えます。
「優良な資産に対して、内部関係者が最大15,000ドルを受け取ったと主張しているのを見たことがあります」とHarper氏はDark Readingに語ります。「あるいは、脅威アクターの多くは身代金が支払われた際にその一部を渡すと言いますが、それは非常にリスクが高いことです。実際にもらえるかどうかは分かりません。相手は犯罪者なのですから」。
防御力の向上に加え、Harper氏は内部関係者の協力を得たランサムウェア攻撃の増加をレイオフとも関連付けています。レイオフが増えれば、不満を抱え操りやすくなる従業員や取引先も増える一方、オフボーディング（退職者対応）プロセスにおける可視性の欠如も広がります。誰にも監視されないまま、アカウントが開いたままになっていることもあるのです。
悪意ある内部関係者が行動を起こすのはオフボーディングの局面だと、Levy氏も同意します。その場合、組織はシングルサインオン、VPN、SaaS（サービスとしてのソフトウェア）、コードリポジトリ、クラウドコンソールにわたって、同じ時間内でのアクセス権剥奪を実施すべきだといいます。パスワードだけでなく、セッショントークンやアプリの許可も取り消すことが重要だと同氏は付け加えます。
組織は内部脅威を防げるのか
こうしたリスクへの対応には、人材、アイデンティティ、サプライヤー、インシデントレスポンスの各分野を横断する総力戦のアプローチが求められます。プログラムはサイバーセキュリティ、人事セキュリティ、人事部門、調達、サプライヤー保証を組み合わせたものでなければならないと、Rawlins氏は付け加えます。
多要素認証（MFA）の強化や、最小権限の原則、特権アクセス管理、職務分掌、期間限定のサプライヤーアクセス、定期的な再認証といった正規アクセスの管理徹底に加え、同氏は組織が通報を安全かつ迅速に行えるようにすることも推奨しています。健全な通報文化は優れたセキュリティ対策の一つだと同氏は説明します。
同様にLevy氏も、全員を疑ってかかるのではなく可視性を高める組織文化を意図的に醸成するよう組織に呼びかけています。内部脅威対策プログラムは、監視の色合いが強すぎると失敗すると同氏は警告します。
「何が、なぜ監視されているのかについて透明性を保つべきです」と同氏は推奨します。「ミスを報告することを、当たり前のように安全にしてください。1時間以内に報告してくれる不注意な内部関係者であれば軽微なインシデントで済みますが、1週間隠し続ける人物が相手ならランサムウェア事案に発展します」。
内部脅威対策としてエンドポイントの監視を強化するには、許可されていないリモートアクセスをITの衛生管理上のチケットではなく重大な検知事項として扱うべきだと、Levy氏は付け加えます。リモート監視・管理ツールの悪用は前年比277%増加しており、これは内部・外部を問わず攻撃者が目立たず正規に見えるアクセスを保持する最も一般的な手口だと同氏は明かします。
特権を「高コストかつ一時的なもの」にすることも極めて重要です。例えば、ランサムウェア攻撃者が最も狙うバックアップ、ハイパーバイザー、エンドポイント検知・対応（EDR）コンソールの3つを、個別の認証情報・承認・MFAの導入によって保護することが挙げられます。ハイパーバイザーへのアクセス権を持つ内部関係者であれば、1台のホストから数百台の仮想マシンを暗号化することも可能なのです。
「何が起こるか分かりません」とLevy氏は言います。「不満を募らせた誰かが何かを無効化したり、誰かを侵入させたりするかもしれません。誰かがあなたを狙おうとすれば、必ず実行に移すものです」。
