現在、企業はソーシャルエンジニアリング攻撃をはじめとする脅威に対して、多くの物理的なセキュリティ対策を講じている。そう説明するのは、米Forrester Researchで副社長と主席アナリストを務め、セキュリティとリスクに関する専門サービスを提供しているジョン・キンダーバグ氏だ。「攻撃者がLANやWANといった社内ネットワークにアクセスできるようになったら、それは攻撃が成功したも同然である。社内ネットワークは誰も監視していないからだ」

　予防戦略に勝る防衛策を講じる1つの方法は、データ中心の検出アプローチを採用することだ。企業は自動化された検出と動作分析を使用して、重要な情報とその情報へのアクセスを監視している。監視対象となるのは、いつ、どこで、誰が、何の目的でアクセスしたのかだ。

　「情報セキュリティは全体的に、予防から検出へ移行している。予防システムが破られたら、攻撃者が社内ネットワークへアクセスできるようになるからだ」。米ニューヨークのセキュリティ会社White Opsの共同設立者でチーフサイエンティストを務めるダン・カミンスキー氏はいう。同社は、決定論的なボットネットの検出と洗練されたデジタル不正の予防を専門としている。

巧妙なソーシャルエンジニアリング攻撃

　企業を標的としたメールによるフィッシング攻撃は、簡単に成功させることができる。米LinkedInなどのソーシャルメディアの普及により、攻撃者は“ある事実”をうまく利用している。それは、従業員が“同僚”からの電話や“同僚”からのメールに記載されているリンクを信頼する傾向があることだ。

　米クラウドアプリケーションセキュリティ企業のAdallomで戦略の統括責任者を務めるタル・クライン氏は、次のように語る。「ソーシャルエンジニアリングを仕掛ける攻撃者は、ある企業の従業員リストを入手して、その企業の従業員が送ったものであるかのようなメールを生成できる。そして、そのメールに米Googleの「YouTube」のビデオなど、攻撃の始点となる魅力的なものを埋め込むのだ。攻撃者はフィッシング攻撃にソーシャルな要素を関連付けることで、リンクをクリックしたときに攻撃されている事実が特定される可能性を低くしている」

　クラウドは、ソーシャルエンジニアリング攻撃を仕掛けようとしている攻撃者が利用する領域の1つだ。「ソーシャルエンジニアリング攻撃は、どんな新しいウイルスやバックドアよりも大きな影響がある。その程度は私たちが想像するより大きい」とクライン氏は言う。

　Adallomは、フィッシング攻撃とクラウドアカウントのハイジャック攻撃から従業員を保護することに注力している。また、クラウドサービスに保存しているデータも重点的に保護している。その手段として、データ側でセキュリティが確保され、暗号化されているかどうかを監視し、そこに追跡記録をアタッチしている。そして、各個人の行動を監視して、標準的な行動から逸脱したものをデータ化する。これは、銀行が不正を見破るのと同じような方法だ。不自然な活動を検出したときには、追加の認証を課したり警告を発したりする。

　米Netskopeと米Skyhigh Networksも、この領域でサービスを提供している。ただし、この3社が採用する手法はそれぞれ異なる。

　攻撃者は、相対的な信頼関係に入り込んで操作することに驚くほど長けていることが少なくない。DNSのキャッシュに関する欠陥を特定した研究で有名なカミンスキー氏は、次のように話す。「他人の権利を侵す人にはなりたくないと考えるのが普通だろう。私たちは自分が果たすべき役割とは何か、すべき物事とは何かを常に探している。誰とやりとりしているかに関係なくだ」。人として、自らの役割に順応するのは標準的な反応だろう。攻撃者は、人のこうした傾向を悪用している。

　企業は、IT部門のスタッフを名乗る攻撃者からの電話攻撃の対象となることが往々にしてある。これは“電話詐欺”と呼ばれる手法だ。「あなたの所有物を修復するために、あなたのパスワードが必要です」という内容の電話がかかってくる。この問い合わせに対して、従業員はパスワードを教えてしまうのだ。「攻撃者は、このようにして手に入れた資格情報を使用してネットワークに侵入し、システムへの足掛かりを簡単に得ている」とカミンスキー氏は言う。

　企業がソーシャルエンジニアリング攻撃の餌食となるリスクを軽減したいなら、従業員に許可を得て、電話口の第三者からの要求を検証しなければならない。「チェックすることを良しとする企業文化を形成した方がいい。IT部門のスタッフを名乗る人物が、本当にIT部門のスタッフかどうかを確認する時間を取ることをお勧めする。例えば、メールを送って、電話の相手がメールを受け取ったことを確認する方法がある。依頼を断るのではなく、『少し時間が欲しい』と伝えるのだ。また企業は、奇妙な電話やメールがあったことを報告する枠組みを用意しなければならない」（カミンスキー氏）

　従業員には、もっと電話相手に質問するよう促すべきである。「普通でない」「不自然だ」と感じた場合は特にそうだ。「荷物を抱えた宅配便業者の担当者がオフィスビルに入ることを制止することはあるだろうか。恐らくないだろう。私たちはいつも宅配業者の担当者を信用している。宅配業者に限らずユニフォームを着用している人なら信用してしまうのが実情だ」とクライン氏は語る。「データセンターのセキュリティについては以前、抜き打ちのデータ監査テストをしていた。データセンターを訪問し、顧客のサーバの隣で写真撮影するといったものだ。管理人の制服を着用することで、その作業はいとも簡単に遂行できた」（同氏）

　後編では、ソーシャルエンジニアリング攻撃によって侵入したマルウェアへの対処方法や、データ流出の被害を防ぐために企業がなすべき対策を紹介する。