米政府関係者がCNNに語ったところによると、犯行は2014年、米国務省のメールシステムに侵入した同じハッカーの仕業とみられる。同省が同年11月から必死で追跡しているハッカーが、同システムを利用してホワイトハウスのネットワークに侵入したようだ。

　捜査当局は今回のハッキングについて、米国政府のシステムに仕掛けられたものとしては最も洗練されたサイバー攻撃の1つだと見ており、ロシア政府の関与があると指摘している（ホワイトハウスはその点についてコメントしていない）。

　ホワイトハウスへの高度な攻撃とはいえ、始まりは非常にシンプルだった。米政府関係者によると、発端は国務省のメールアカウントを装ったスピアフィッシングメール（標的型攻撃メール）だったという。

　聞き覚えのある人も多いだろう。そう、最近発生したもう1つの有名なサイバー攻撃である米Sony Picturesの事件も、始まりはスピアフィッシングメールだった。実際、ここ数年のスピアフィッシング攻撃は枚挙にいとまがない。被害を受けた企業も予想の範囲を超える。

　例えば、米EMCのセキュリティ部門であるRSAや、米国家安全保障のためのセキュリティを研究する国立研究所のOak Ridge National Laboratoryなども攻撃対象となった。枚挙にいとまがないというのは、決して誇張などではない。実にハッカー攻撃の約91％はスピアフィッシングメールを含むフィッシングメールから始まると、米ニュースメディアWIREDは推計する。

　北朝鮮からのものとみられるSony Picturesへの攻撃は、外国政府からのスピアフィッシング攻撃に民間企業が極めて脆弱であることを浮き彫りにした。この事件は、ジェームズ・クラッパー米国家情報長官が2015年初頭、サイバーセキュリティに関するFBIカンファレンスで民間企業に直接呼び掛ける契機となった。長官が唱えた戒律の1つは、「スピアフィッシング攻撃がどのようなものであるか、従業員に徹底せよ」というものだった。

　「中国（政府）やその他の国々から、誰かになりすましてわれわれのシステムへ近づき、アクセス方法を探る動きが頻繁にある。そして、誰かがその方法を教えている」とクラッパー長官は警告する。

スピアフィッシング対策の基本は「絶対にクリックしないこと」

　スピアフィッシング攻撃がこれほどまでに多い理由の1つは、「成功率が極めて高いからだ」とWIREDのキム・ゼッター氏は話す。メール形式であるために正体を見破りにくく、ファイアウォールをはじめとするゲートウェイセキュリティ製品をすり抜けてしまうのだ。さらに「明らかに疑わしい場合でも、非常に高い確率で従業員がクリックしてしまう」とゼッター氏は指摘する。

　企業のセキュリティシステムの中で、従業員の果たす役割は重要だ。にもかかわらず、英コンサルティングファームPricewaterhouseCoopers（PwC）が実施した2015年度の情報セキュリティ調査によると、人々のセキュリティに関するベストプラクティスへの認識はいまだに低く、むしろ悪化する傾向にさえある。

　全世界の上級管理職9700人を対象に実施した同調査では、セキュリティに関する意識向上とトレーニングのためのプログラムを設けているとした回答者は51％にとどまり、前年の60％から低下した。さらに、セキュリティポリシーの策定に役員会が関与していると回答した上級管理職は、36％しかいなかった。

　同調査の担当者は、「こうした状況が結局、この重要な話題を会社と従業員が共有していないという状況をもたらしている」と指摘する。PwCが調査した最高経営責任者（CEO）の84％は、自社のセキュリティ戦略が事業目標に反映されていると信じている。一方、「従業員が、日常的に適切な意思判断ができるほど、十分にセキュリティ戦略を理解している」と回答したCEOは、41％にすぎなかった。

　最高情報責任者（CIO）やIT担当役員にも問題がある。米TechTargetが発行するセキュリティ雑誌『Information Security』の特集エディタ、キャサリーン・リチャーズ氏によると、米コンピュータ技術産業協会（CompTIA）の調査でも、IT部門によるセキュリティトレーニングの不足は明らかだという。

情報セキュリティツールによる行動是正

　米調査会社Gartnerの副社長アンドリュー・ウォールズ氏は、非常に疑わしいメールであっても従業員が不用意にクリックしてしまう問題に対処するため、一部企業で戦術を変更する動きがあると話す。従業員がスピアフィッシングメールなどのフィッシングメールにどう反応するかを調べるために、米Wombat Security Technologiesや米PhishMeなどのセキュリティベンダーのセキュリティツールを利用する動きだ。

　これらのセキュリティツールでは、セキュリティ部門がフィッシングメールを模倣したメッセージを従業員に送り、フィッシング対策ツールでその従業員がどのように反応するかをモニターする。ツールから従業員がどの程度適切な行動を取ったかが報告されると、企業はそれらのデータを使ってピンポイントで問題を探り出し、トレーニングプログラムを開発できる。

　もっとも、こうしたツールも万能ではない。「フィッシングメールに対する従業員の対応を是正する製品／サービスも、決して完全であるとはいえない」とウォールズ氏は語る。いずれにせよ、スピアフィッシング攻撃に対処するには、王道のセキュリティプラクティスを徹底する他ないだろう。

　「スピアフィッシング攻撃に悪用されるソーシャルエンジニアリングの脅威を検出し、適切に対応するために、従業員が果たす役割は大きい。ただし、最も効果的なアプローチは、従業員自身によるリスク管理と自動化されたインフラベースのリスク管理を組み合わせる方法だ」とウォールズ氏は語る。