不正送金や支払先改ざんを引き起こす

RPAで深刻化、仕事の手順を勝手に変える「ビジネスプロセス詐欺」（BPC）とは？

企業の支払いフローを改ざんし不正送金させる「ビジネスプロセス詐欺」（BPC）のリスクが、ロボティックプロセスオートメーション（RPA）ツールの普及とともに増加する恐れがある。具体的な対策は何だろうか。

公開 2019年04月22日 05時00分

更新 2019年07月06日 14時39分

著者

大久保心織

[TechTargetジャパン]

印刷する

　業務プロセスを自動化し、効率的な業務の遂行を実現する「ロボティックプロセスオートメーション」（RPA）ツールが企業に広まりつつある。RPAツールは業務効率化といったメリットを企業にもたらす一方で、使い方によっては新たなリスクを生み出してしまう可能性がある。RPAツールの運用に伴うリスクと、その対策を紹介する。

業務プロセスを勝手に改変するビジネスプロセス詐欺（BPC）

　企業を狙ったサイバー攻撃の一つに「ビジネスプロセス詐欺」（BPC）がある。攻撃者が業務プロセスを不正に改変し、金銭や機密情報をだまし取る攻撃手法だ。BPCにおいて一般的に攻撃対象となるのは金銭の授受に関わるシステムで、例としては給与振込に関わるシステムや商取引の請求支払いシステムなどがある。攻撃者はシステムに偽の送金を要求する命令を与えたり、システムに登録済みの送金先情報を改ざんしたりといった行為により金銭を詐取する。

　こうした振込業務をRPAツールで自動化している場合、攻撃者がRPAツールを介してBPCを仕掛ける恐れがある。トレンドマイクロは同社のレポート「2019年セキュリティ脅威予測」において「BPCの新たな糸口として、自動化された業務プロセスを攻撃者が狙うようになる」と予測する。

　RPAツールを利用する企業がBPCに対処する場合、どのようなセキュリティ対策が有効なのだろうか。

併せて読みたいお薦め記事

RPAは業務を改善するか

サイバー犯罪における詐欺行為

ロボットの管理とRPAツールの保護が有効

　「全ての脅威に対抗できる『銀の弾丸』を探すより、複数の技術を組み合わせた多層防御を実現する方が理にかなう」とトレンドマイクロは提案する。多層防御に有効な対策は以下のような機能を持つ製品だ。

機械学習や挙動解析などを活用したマルウェア判別
侵入防止システム（IPS）、ファイアウォール
スパム対策
アプリケーションコントロール、ログ検査
SIEM（Security Information and Event Management）
脅威検出エンジン、サンドボックス
エンドポイントに侵入した脅威の事前検出（EPP）と事後対策（EDR）
データ損失対策（DLP）
バックアップ作成・管理

　さまざまな場面でRPAツールによる業務プロセスの自動化が進むと、監視すべきソフトウェアやトラフィックの対象範囲も広がり、特定の領域や脅威に対する保護ではリスクを排除し切れなくなる。イベントログやアクセスログを包括的に相関分析するSIEMは、1つの側面からは発見できない怪しい挙動を捕捉するのに役立つ。

　RPAツール自体に対する、攻撃者の侵入を防ぐための保護も重要だ。RPAツールが稼働している端末へのアクセスを守るためにIPSが利用できる。入力した情報を暗号化したり、作成したロボットの編集・実行権限を管理したりする機能を持つRPAツールを選べばセキュリティが強化でき、BPCや情報漏えいのリスク軽減が可能だ。RPAツールの実行権限を管理するためにアプリケーションコントロール製品を使うことも、RPAツールの侵害や不正実行の防止に役立つ。実際に攻撃者から侵害を受けた場合、検出段階ではEPP製品を活用し、インシデントへの対処にEDR製品を活用するとよいだろう。バックアップ管理製品を導入し、ロボットが改ざんされてしまった場合に備えておくことも対策になる。

　管理が行き届いていない「野良ロボット」を放置しないことも、RPAツールを活用する企業にとって重要だ。作成したロボットがどこでどのように利用されているかをシステム管理者が把握できていないと、それらのロボットが攻撃を受けたとしてもすぐに気付けない可能性がある。適切なロボットの管理は被害の発生だけでなく、実際に被害を受けた場合でも原因の迅速な特定につながる。RPAツールには作成済みのロボットに対してプロセスの制御、監視、スケジューリングなどを実行できるロボット管理機能を持つものもある。こうした機能を使い、各部門で運用するロボットを全社的に統括し、監視下に置かれていないロボットの発生を防ぐことができる。

印刷する