セキュリティ情報 SECURITY INFORMATION
ブログ
  • INFORMATION
  • 2023.10.11

【2023年度版】最新のセキュリティ脅威動向とそれに対するセキュリティ対策！

企業を狙うサイバー攻撃はより多様化し、その手口は巧妙かつ深度を増すばかりです。2023年のセキュリティ10大脅威をもとに、最新のセキュリティ脅威動向を紹介します。

2022年下半期から2023年にかけてのセキュリティ脅威

セキュリティ関連の動向を確認したい時は、情報セキュリティ10大脅威を確認すると良いでしょう。
情報セキュリティ10大脅威とは、前年に発生したセキュリティ攻撃や事故から脅威を選定したものです。2006年から毎年、情報セキュリティ対策の啓蒙活動の一環として、独立行政法人情報処理推進機構（IPA）が発表しています。
情報セキュリティ10大脅威を確認することで、最新のセキュリティ脅威の大枠が把握できます。
2023年の組織における情報セキュリティ10大脅威は以下の通りです。

2023年の組織における情報セキュリティ10大脅威

1位 ランサムウェアによる被害（前年順位 1位）
2位 サプライチェーンの弱点を悪用した攻撃（前年順位 3位）
3位 標的型攻撃による機密情報の窃取（前年順位 2位）
4位 内部不正による情報漏えい（前年順位 5位）
5位 テレワークなどのニューノーマルな働き方を狙った攻撃（前年順位 4位）
6位 修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）（前年順位 7位）
7位 ビジネスメール詐欺による金銭被害（前年順位 8位）
8位 脆弱性対策情報の公開に伴う悪用増加（前年順位 6位）
9位 不注意による情報漏えいなどの被害（前年順位 10位）
10位 犯罪のビジネス化（アンダーグラウンドサービス）（前年順位 圏外）

セキュリティ被害の特徴と動向

2023年の10大脅威の参考となった、セキュリティ被害の特徴と動向を以下に紹介します。

動向①　VPN機能からの不正アクセス

警視庁が公表した資料によると、2022年の1月から6月の半年間に発生したランサムウェア被害の約7割はVPN機能からの侵入によるものと報告されています。
テレワークが普及する中、外出先や自宅から VPN 経由で社内システムへアクセスする機会が増えました。新しい働き方が増える一方で、通信環境の脆弱性を突いた攻撃が新たに顕在化しています。
被害例は、ウェブ会議の覗き見や、端末へのウイルス侵入などです。

動向②　セキュリティ関連企業も標的となるゼロデイ攻撃

ゼロデイ攻撃とは、脆弱性の修正プログラムや回避策などが対策される前に攻撃が可能な場所を把握しピンポイントに狙う攻撃のことです。
２０２２年からセキュリティ１０大脅威にランクインするようになりました。被害実例は情報漏えいやウイルス感染が挙げられます。
脆弱性への対策が公開される前の攻撃なので、ゼロデイ攻撃を完全に防ぐことは難しい状況です。現状では、ソフトウエアを最新に保つ、ファイアウォールなどの多層防御など、基本的な対策を行うことによって防衛しています。

動向③ Emotetの活動再開と感染拡大

システムやネットワークを監視し、不一致や侵入、悪意ある行為を検出することは不可欠なことです。システムやネットワークを監視することによって、情報セキュリティ管理者は、機密データを侵害やその他のセキュリティ関連の問題から保護することができます。また、情報セキュリティ管理者は、データの安全性を確保するために、システムとネットワークの監視を定期的に行わなければなりません。

チェックポイント④

2022年はマルウェアのEmotetが新たに活動を再開し、感染を拡大しました。日本国内でもピーク時には4万台以上の感染が確認されています。
Emotetに感染すると端末が乗っ取られたような状態となり、外部からの操作ができます。乗っ取られた端末は、スパムメールやサイバー攻撃用として利用されています。
また、Emotetは自力で感染を拡大できる機能が備わっているため、そのままにしておくと被る被害は甚大です。

2022年上半期との変化、特徴は？

2023年のセキュリティ10大脅威について、2022年に起きたサイバー攻撃の事例を参考に特徴と動向を紹介します。

特徴①　2022年の脅威がそのまま拡大する傾向

2023年の10大脅威に新たにランクインしたのは、アンダーグラウンドを介した犯罪のみで、基本的な大枠に変更はありません。
ランサムウェアの脅威はここ数年で大きな変化はなく、VPNが攻撃対象となる基本的な傾向はそのままです。引き続きランサムウェアが脅威としてあり続けると見られています。
手法に変化はないものの、進化の早いサイバー攻撃は、より深度を増した手法となり、脅威の度合いは深くなるでしょう。

特徴②　Emotetの脅威がより拡大する

数年前から拡大を見せているEmotetが、2023年も脅威であり続けると見られています。Emotetはメールの添付ファイルを感染経路としている不正プログラムです。
巧妙なメールの件名と内容にて、添付ファイルを開かせようとします。マルウェアとしては古典的であるものの、フィッシングメールの内容が巧妙化しているため、依然として感染が拡大し続けています。

特徴③　医療機関へのサイバー攻撃

2022年は世界中の医療機関がサイバー攻撃の標的になりました。この流れは2023年になっても継続すると見られています。
日本国内においても、小さな総合病院から大規模な医療センターまで被害がありました。結果として、電子カルテシステムの障害が発生し、緊急の手術や外来診療が停止される事態にまで発展しています。
「Phobos」と呼ばれるランサムウェアの一種が原因とされており、VPN装置が起点となって侵入されています。

今すぐできるオススメのセキュリティ対策！

より脅威を増すサイバー攻撃に対して、有効かつ適切な対策を以下に紹介します。

対策①　ゼロトラストの導入

複雑かつ巧妙化するサイバー攻撃に対抗するには、何も信用しないゼロトラストの考え方が必要です。
従来のセキュリティ対策は、信頼できる内側と信頼できない外側にネットワークを分離して、境界線で対策を講じる方法が主流でした。
現在では、クラウドサービスの普及もあり、守るべきデータは内外に点在しています。全てを信用せずに都度認証を行うゼロトラストは、最新のサイバー攻撃へ対抗するための有効な手段です。

対策②　EDR対策を検討する

EDRの導入は、重要な情報を扱う企業にとってもはや必須です。EDR（Endpoint Detection and Response）とは、組織内のネットワークに接続されているパソコンやサーバー、スマートフォンなどのエンドポイントからログデータを収集します。その後解析専用のサーバーにて相関性を見極め、不審な挙動、サイバー攻撃を検知した際に、管理者へ通報するシステムです。脅威の早期発見かつ最後の砦として機能するため非常に有効な手段です。

対策③　脆弱性の把握と対応

ゼロデイ攻撃に備えて、日々利用しているソフトウエアなどの脆弱性をあらかじめ把握しておくことが重要です。
ゼロデイ攻撃は、脆弱性が広く周知されるまえに攻撃されるため、専門家でなければ対応が不可能です。
よりレベルの高いセキュリティを維持するためには、ゼロデイ攻撃を意識した対策をしておく必要があります。

まとめ

2023年も引き続き、サイバー攻撃の脅威が収まることはありません。より巧妙になり、深度を増した脅威として存在し続けるでしょう。
サイバー攻撃へ基本的な対策を行うことはもちろんのこと、場合によっては専門家の力を借りることも必要です。
より強固なセキュリティ対策を検討している方は、ぜひセキュアエッジ株式会社へご相談ください。

参照サイト：https://www.ipa.go.jp/security/10threats/10threats2023.html

お問合せ