フィッシングデータに明るい兆し？

　Verizonは、フィッシングデータの中に明るい兆しを見つけようとした。そこで注目したのは、年間を通して78％のユーザーはフィッシング目的のリンクをクリックしていない点だ。だが、Verizonはその雲行きを怪しくする事実をすぐに重ねて主張する。「残念ながら、どの特定のフィッシング攻撃活動でも平均して4％のユーザーはリンクをクリックすることになる。そして、1人だけでも取り込まれれば、残りのユーザーも巻き添えになる」と報告されている。

　また、Verizonの指摘によると、フィッシングリンクをクリックする可能性があるユーザーはわずか4％だが、その問題は悪化しているという。フィッシングリンクをクリックしたユーザーは、将来的に再度クリックする可能性が高いためだ。さらに悪いことに、フィッシング攻撃活動のわずか17％しか報告されていないというデータもある。スティックランド氏は、フィッシング攻撃を報告することにユーザーが慎重になっている可能性を示唆する。その報告を恥だと感じているためだ。

　「フィシング攻撃にだまされたことへの汚名が小さくなれば、報告はもっと増えるのではないだろうか。否定的な感情を弱めて、フィッシングに関して個人的な判断で対応を決めないような仕組みを作る。そうすれば、報告するユーザーは増えるだろう」（スティックランド氏）

　セキュリティサービスを提供するForcepointでチーフサイエンティストを務めるリチャード・フォード氏は、ユーザーがありのままでいられるようにすることが重要だという。

　フォード氏は次のように語る。「これは、IT部門によるトレーニングを受けていない無鉄砲な人のように、何も考えずクリックすればいいという意味ではない。コンピュータセキュリティの専門家ではなく、ミスを犯す恐れのある従業員のことも思いやる必要があるということだ。こうした仕組みはセキュリティではなく安全のためにあると考えたい。その中で、物事が必然的に誤った方向へと進む場合に備えて、IT部門が防波堤となる環境を整えておく。ユーザーの行動傾向とは関係なく、全員が使用し、企業全体で非常に積極的に興味を抱かせる必要がある。誰もが失敗を犯す恐れがあるのだから、そのために防御を準備しておくべきなのだ」

　セキュリティサービスを提供するRapid7でチーフデータサイエンティストを務めるボブ・ラディス氏は、フィッシング報告の大きな問題は摩擦にあると述べる。

　「フィッシング攻撃活動について報告しやすくなれば、ユーザーが実際に報告する可能性はもっと高くなる。転送用のアドレスが用意されていることでさえ、最も勇敢な従業員まで挫折させるほどの摩擦要素になり得る。可能なら、カスタマイズをサポートしているメールクライアントにボタンを追加して、フィッシングの報告を極めて簡単にする。そうすれば報告率が跳ね上がることは間違いない。ゲーミフィケーションによる方法も成果が得られる可能性がある。ランキングや表彰バッジなどを開発し、ビデオゲームやソーシャルメディアにより引き起こされるドーパミン（脳内で分泌される興奮型の物質）反応を活用する。そうやって、組織のセキュリティを支援する取り組みをユーザーに継続させることだ」とラディス氏はTechTargetに話した。

無作為の調査結果と偏りに対する意見

　企業で対処しているのがランサムウェアの脅威であれ、別の攻撃手法であれ、攻撃者がデータを漏えいさせる速さに比べると対応までの時間は依然として大幅に遅れている。Verizon DBIRはそう指摘する。

　Verizonはレポートの中で次のように述べている。「データが漏えいしたときの侵害までの時間が非常に短いのは相変わらずだ。機密情報の収集やその他の攻撃者による準備にどの程度の時間が費やされているのかは特定できていない。だが、多くの場合、一連のイベントの中で、最初の行動から資産に対する最初の侵害までの時間は秒単位や分単位で計測される。これに対し、検出までの時間は数週間から数カ月に及ぶ可能性が高い。この検出時間は攻撃の種類によっても大きく異なる。クレジットカードなどの支払い代行機能を持つカードの侵害は、盗まれたデータの不正使用により発覚することが多い。通常は数週間から数カ月間後になる。一方、ノートPCの盗難は被害者が泥棒に入られたと気付いた時点で明らかになる」

　Verizon DBIRでは、一部のよくある誤解を覆すことも試みられた。例えば、DDoS攻撃（DoS攻撃を大量の端末から一斉に実施する攻撃方法）は他の悪意のある活動の隠れみのに使用されることが多い、という考え方だ。

　「2017年のデータセットでは、DoS（単一の端末から、特定のサービスリソースに不正な負荷をかける攻撃方法）が関係したデータ漏えいが1つしかなかった。さらに、その1つにおいては、侵害された資産が突破口として使用されてDDoSが仕掛けられた。DDoS攻撃によってデータが侵害されたわけではない。実際、DoSパターンでは1年間に2桁の侵害が発生した年はこれまで一度もない。異星人のように宇宙には存在しているのかもしれないが、確認はされていない」とVerizonは報告している。

　最後に、VerizonはVerizon DBIRの中で、サンプリングに偏りがある可能性を認めている。1年間に全ての企業で発生したデータ漏えいの総数を同社が把握していないからだ。多くの侵害が報告も検出もされていないためだ。Verizonはこの事実を過去にも認めている。それでも、特に業界固有の脅威に関してVerizon DBIRには価値あるデータが含まれていると主張する。

　Verizon DBIRは「目立つ攻撃に強く偏っている傾向があり、その他の脅威が除外されている。例えば、仮想通貨のマイニングやbotネットへの参加といった、さまざまな目的に合わせて乗っ取ったPCの動員や、データ盗難などのことだ」というのがマンティン氏の考えだ。

　「データ盗難に比べてランサムウェアは目立つ攻撃だ。全ての事例で被害者に気付かれている。大抵の場合、データ盗難攻撃は検出されず、被害者は自分が攻撃を受けていることに気付かない。内部のデータ漏えいについても外部のデータ漏えいについても、この事実は変わらない。従って、被害者の視点で見ても、ランサムウェアが最も流行している攻撃となる。この被害者は、組織の中で5つのマルウェアが暗躍していても分からない恐れがある。こうしたマルウェアは、盗んだデータを収集し漏えいさせて、資格情報を集めてPCを乗っ取る。さらに、組織のデスクトップ数百台で匿名のアカウントのために仮想通貨をマイニングしている可能性もある。共通の標的に対するDDoS攻撃への参加命令を待機していることもあり得る」（マンティン氏）