サイバーリスクが渦巻く現在、アカウント乗っ取りは最も陰湿な脅威の一つとして浮上しています。攻撃者が正規のメールアカウントの乗っ取りに成功すれば、警告を一切発生させることなく、信頼された個人や組織になりすませます。従来のメールセキュリティでは、異常は検知されません。その後、攻撃者は好きなタイミングで被害を拡大できます。目的は金銭の窃取、機密データの搾取、壊滅的なマルウェアの拡散などさまざまです。深刻な金銭的損失や企業の評判低下は、珍しくない結末です。
アカウント乗っ取りの典型的な流れは、攻撃者が認証情報を入手するところから始まります。手口はたいていフィッシングです。生成AI(GenAI)の登場により、攻撃者は無警戒な人をだまして、ログイン情報を簡単に引き出せるようになりました。同僚など信頼できる相手を装ったり、偽のログインページで機密情報を入力させたりします。
正規のIDの乗っ取りに成功すれば、すぐに大混乱が起きると思うかもしれません。しかし最近のアカウント乗っ取り犯は、もっと慎重で不気味です。この初期段階では警報が鳴っていないため、急いで行動しません。多くは時間をかけ、盗んだログイン情報を試して有効性を確認し、どこまで侵入できるかを探ります。
ソフトウェア開発企業KaseyaでサイバーセキュリティSVPを務めるDave Baggett氏は次のように述べています。「従来、攻撃者はアカウントを乗っ取るとすぐにスパムやフィッシングメールを大量に送り付けていました。しかし今は巧妙になっています。アカウントにアクセスしたら身を潜めて、やり取りされるメールを監視し、会話に割り込む好機をうかがうのです」
内側からの攻撃
攻撃者は組織の弱点を把握し、攻撃計画を練ると、乗っ取ったメールアカウントを武器にして、ほかの従業員や社内システムを狙い始めます。動機が金銭であれば、給与データベースや請求データベースへの侵入経路を探すでしょう。最終的な標的はさらにその先、組織の顧客や取引先に及ぶこともあります。そうなると、本当の悪夢が始まります。いわゆる「アウトバウンド型フィッシング」を使えば、攻撃者はまったく新しい範囲の機密性の高い接点を支配下に置けます。
アウトバウンド型フィッシングの被害者は、信頼するパートナーや味方からと思えるメッセージを前に、極めて無防備です。自社のメールアカウントを多要素認証(MFA)などの強力な対策で守ることはできても、他社の認証対策までは管理できません。Baggett氏は次のように説明します。「たとえば、私たちが守っているお客様がいるとします。そのお客様は安全です。ところが、第三者から不審なメールが届き始めたらどうでしょう。お客様には、その第三者がどんな対策をしているのか、そもそも対策しているのかさえ分かりません。その送信元からのメールは本物のアカウントから届いたように見えても、実際にはハッカーが打ち込んでいるのかもしれません」
第三者の組織を検査することはできません。そのため、通常のメールセキュリティより高度な仕組みが必要です。理想的なのは、言語理解を活用して会話履歴を詳しく調べ、異常を見つけ出せる、GenAI搭載のソリューションです。
攻撃者が上級職になりすました場合、防御側の対応はさらに難しくなります。幅広く信頼されている幹部になりすませば、攻撃者は強力な武器を手にしたも同然です。その上級者が築いた信頼と好意を、犯罪者がそっくり引き継ぐことになるからです。
従来型のメールフィルタリングシステムは、重要な業務連絡を妨げないよう、上級職のメールを一部の防御層で支障なく通過させる設定になっていることがよくあります。こうした送信元からのメールを受け取った人は、依頼内容に疑問を抱いても、異議を唱えたり報告したりすることをためらうかもしれません。経営幹部からと思われるメッセージを詐欺だと指摘するには、勇気が要ります。メールシステムが本物として通過させたように見えれば、なおさらです。
AIの力を活用する
プレッシャーが高まっているのは、IT部門だけではありません。複数の組織を守るMSP(マネージドサービスプロバイダー)も同様です。守る組織の多くは、社内にセキュリティの専門知識をほとんど持っていません。Kaseya自身の調査でも、多くの組織がいかに無防備であるかが明らかになっています。被害が出る前にアカウント乗っ取りの脅威に対処する、新しいアプローチが必要です。乗っ取りが起きてしまった場合は、重要なデータやインフラに影響が及ぶ前に、被害を封じ込める対策も考えなければなりません。
朗報として、まさにこうした対策を担う最新ツールがあります。KaseyaのINKYは、生成AIを活用したメール分析ツールです。従来のメールセキュリティをはるかに超える機能を備えています。ごくわずかで微妙な兆候から、メールのやり取りが侵害されつつあることを検知するよう調整されています。
INKYは、高度な送信者プロファイリング、文体解析(スタイロメトリ)、機械学習などの技術を使います。正規の従業員の既知の文章パターンと、偽メッセージのわずかに違和感のある口調との食い違いを見抜くのが得意です。メッセージヘッダーが本物らしく見えても、偽メッセージ特有の文脈上の異常を見つけ出すだけで、不審な点を嗅ぎ分けられます。
INKYは、特に第三者アカウントの乗っ取り対策で威力を発揮します。技術面と行動面の特徴に基づいて、信頼できる送信者の詳細なプロファイルを構築・維持するためです。時間をかけて「正常」な状態を学習し、第三者からのメールが送信者の確立されたプロファイルと一致しないことを見抜けます。
攻撃を封じ込める
乗っ取りに成功されてしまった場合、被害を食い止めるには、不審なアカウントをブロックするだけでは不十分です。発覚する頃には、侵害されたIDを足がかりに、連携するSaaSアプリ、クラウドストレージ、コラボレーションツールへの侵入が進んでいるかもしれません。被害範囲は、単一のメールスレッドをはるかに超えて広がる可能性があります。
現代のIT環境は、IDを軸にしたエンドポイントやゲートウェイが入り組んだジャングルのようなものです。正規の認証情報を手にした侵入者から守ることは、ますます難しくなっています。さらに、攻撃者がAIを使えば、こうしたSaaSベースのエコシステム全体を一つの攻撃対象領域として扱えます。組織内の個別の領域ごとに特定の課題を解決するために作られたツールを寄せ集めた防御では、この種の脅威には太刀打ちできません。
そのため、INKYはKaseya SaaS Alertsと連携するよう構成されています。SaaS Alertsは、MSPなどによる業務アプリケーションの監視・保護を支援する、クラウドベースの検知・対応プラットフォームです。INKYはメールボックスの乗っ取りを検知すると、そのユーザーを隔離し、送信メールをブロックします。続いてSaaS Alertsにイベントを送信し、SaaS Alertsがそのユーザーのアクセスを他のすべてのシステムで遮断します。二つのツールがチームとして機能します。INKYが侵害されたアカウントをブロックし、SaaS Alertsが被害の拡大を防ぎます。
この連携の強みは、INKYがリアルタイムのメールセキュリティテレメトリをSaaS Alertsに送れる点にあります。受信メールの分析結果や脅威検知、ユーザーが報告したフィッシング活動、送信メールの保護イベントなどです。こうした連携により、複雑なSaaSエコシステム全体でのリアルタイムの脅威検知を自動化しやすくなります。
Baggett氏は次のように述べています。「不審なメールが送信されているのを検知すれば、アカウントを停止し、そのほかの是正措置を取れるということです。メールの意味を深く理解するほど、多くの脅威を捕捉できます」
スマートなツールが救いに
アカウント乗っ取りとの戦いに終わりはなく、今後も革新が欠かせません。AIが攻撃者の手に渡れば危険な武器になることは、これまで見てきたとおりです。防御側にとっても非常に便利なツールですが、条件があります。Baggett氏は次のように指摘します。「受信・送信するすべてのメールをLLMに通すわけにはいきません。コストが見合わないからです。もっと賢くやる必要があります」
GenAIの新たな活用法として、特に重要で巧妙なものの一つが、アカウント乗っ取りを防ぐだけでなく、弱点がどこにあるかを予測することです。問題が起きる前に食い止める助けになります。Baggett氏は、セキュリティ業界はモデルを使ってこのように予測できるようになる、まだ入り口に立ったばかりだと考えています。その前提として不可欠なのが、組織を守るさまざまな構成要素が互いに情報を共有できるようにすることです。
この統合の取り組みはすでに進んでいます。初期の例が、INKY Mail Protection SystemとSaaS Alertsの間のリアルタイムの連携です。次のステップは、あらゆるセキュリティ構成要素がリアルタイムでイベントを発行でき、ほかの構成要素がそれを購読できる統合データ層の構築です。
Baggett氏は次のように約束しています。「今後も、この種の統合を増やしていきます。AIの一元的な基盤機能も構築しています。多くの構成要素がそれぞれ独自のAIを持つようになると、土台となるプラットフォームが必要です。また、さまざまなタスク向けにカスタムモデルを作れる、機械学習専門家のサービスビューローもあります。気を抜くことはできません。攻撃の量は確実に増えていくでしょう」
詳しくはKaseyaのサイバーセキュリティレポートを こちらでご覧ください
スポンサー:Kaseya
