この攻撃は本当に新しいのか

　「サイバー恐喝攻撃は目新しい戦略ではない。ただし、多くの人が話題にするものではなく、発生件数もあまり多くなかった」とクーン氏は語る。同氏によれば、2015年に30件の攻撃が発生する以前、2000年～2014年の14年間に耳にした攻撃は1～2件ほどだという。「脅迫攻撃は激増している。つまり、攻撃の数が増えて身代金（ランサム）を支払う人が多くなるほど、この手口は一般的になる。そして、攻撃の手口は洗練されるばかりだろう。今のところ、攻撃者は扱いやすいSQLインジェクションを狙っている」（クーン氏）

　「サイバー脅迫攻撃の啓発を決心したのは、このような形の攻撃が増加することを確信しているからだ。少なくとも、矛先が自分たちに向けられる恐れがあることを企業に通知し始めており、その意識はある程度根付いてきている。そうすることで、恐喝攻撃に関する対応計画を練り、攻撃されたときの状況にどれほど正しく対処できるか理解できるようになる」（クーン氏）

　Trustwaveで脅威情報部門のマネジャーを務めるカール・シグラー氏は次のように話す。「この類の話は、ハッキングと同じくらい古くから存在している。1990年代までさかのぼっても、ハッカーが企業のインフラで発見した致命的なバグを教える見返りを企業に要求する事例は見られる。このような犯罪者は、『ハッキングした企業を助けてあげている』と主張するが、実際はただの恐喝だ」

　ESETでセキュリティ研究者として働くリサ・マイヤーズ氏は、バグの領域侵害と言う言葉は新しいが、サイバー恐喝の概念は新しくないと認めている。「これまでもずっとそうだったが、セキュリティが手薄であれば不利益なことが起こる可能性は高くなる。そのため、ソフトウェアを最新の状態に保ち、保存中や転送中の機微なデータを暗号化しておくことが重要になる。自社のシステムを犯罪者にとって魅力的ではない状態にして、標的を他にそらす方法は無数にある」

　「Webサーバでは、サイバー恐喝のような攻撃が日常的に見られる。これはマルウェアに依存しない攻撃を利用する攻撃の1例だ。そう語るのは、CrowdStrikeでテクニカルプロダクト管理部門のディレクターを務めるダン・ラーソン氏で、次のように付け加えている。「最新のエンドポイントセキュリティ製品を使用すれば、攻撃者の動きを観察し、この類の攻撃を特定して防ぐことができる。このような状況では、攻撃者はSQLインジェクション攻撃を行った後に、Webシェルをドロップする」

サイバー恐喝への対応とは

　クーン氏は、バグの領域侵害の被害者に対して、「サイバー恐喝攻撃に関して利用できる全ての情報（攻撃者からのメールやサーバログなど）を集め、お住まいの地域の法執行機関、FBI、インターポール（国際刑事警察機構）に連絡を取ることをお勧めする」とアドバイスしている。

　 「企業が身代金（ランサム）を支払うべきかどうかについての議論は何度もなされている。この場合、攻撃者は金銭を受け取った後に脆弱性の情報を提供する可能性がある一方で、必ずしも脆弱性の情報を提供するとは限らないという主張もある。また、企業はサイバー犯罪に加担することにもなる」（クーン氏）

　「過去に身代金（ランサム）を払ったことがあるという事実が、将来的なトラブルにもつながる。確固たる警戒態勢を敷いている企業なら身代金は一銭も払う必要はない」とクーン氏はいう。攻撃とその方法を犯罪面から分析すれば、攻撃者に金銭を支払うことなく使用された攻撃を簡単に特定することは可能だ。

　クーン氏は防御策として次のことを推奨している。社外に接続しているサーバの脆弱性スキャン、ペネトレーションテストの実施、IPSとWebアプリケーションファイアウォールの利用、Webアプリケーションを実行する前のコードテストと監査、SIEMを使用したネットワークデータフローの監視と記録。さらに、同氏は次のようにも話している。「重要なのは、恐喝に近い脅威に直面した場合の事故対応計画を用意して維持することだ。効果的に脅威に対応して脅威を軽減するためには、連絡先や対応方法などを企業があらかじめ把握しておくことが欠かせない」

　「これらの犯罪者が恐喝に使用するデータを持ち出すために、SQLインジェクションを主に頼るのは当然だ。当社が実施したWebアプリケーション監査とペネトレーションテストで最も頻繁に見つかる問題の1つがSQLインジェクションである。企業は、公共に面したサービスに対して、脆弱性の評価やペネトレーションテストを継続的に行っていなければならない。また、Webサーバの手前にWebアプリケーションファイアウォールを配置するのも、恐喝攻撃を防ぐのに役立つだろう。それから、Webサーバのログやネットワーク活動を監視することで、大きなダメージを受ける前に攻撃を特定することができる」とシグラー氏は語る。