最も多く悪用された侵入経路は「境界型セキュリティ機器」で、全体の58％を占めた。これらの機器にはVPN（仮想プライベートネットワーク）機能やファイアウォール機能が搭載されており、外部ネットワークと社内ネットワークの境目に配置されることが一般的だ。実際に攻撃の侵入経路となったのは、Cisco Systems、Fortinet、Palo Alto Networks、SonicWallなど、大手セキュリティベンダーの製品だった。

　ランサムウェア攻撃がどのように始まったかを示す「初期攻撃ベクトル」（Initial Attack Vector：IAV）の分析では、最も多かったのはIDやパスワードといった認証情報の侵害で、全体の47％を占めた。その大半は、ブルートフォース（総当たり）攻撃による漏えいだった。ソフトウェアの脆弱（ぜいじゃく）性を悪用するエクスプロイト型の攻撃は29％だった。

企業がさらしている重大な脆弱性

　さらにレポートでは、リモートデスクトップソフトウェアや、セキュリティ機器のログイン画面がインターネット上に公開されていることが、重大なリスク要因であると警鐘を鳴らす。Coalitionによると、Micorosoftの「リモートデスクトッププロトコル」（RDP）に使用される3389番ポートを解放しているシステムが500万件以上検出されたという。背景には、企業がテレワークの利便性を優先している状況がうかがえる。加えて、セキュリティ機器のログイン画面も数万が検出されたという。同社のサイバー保険の加入申請企業の65％以上が、従業員用向けのログイン画面を1つ以上インターネット上に公開している実態が明らかになった。

　インターネット上に公開されたログイン画面の詳細を見てみると、最も多く検出されたのはCisco Systems製VPN機器の管理者用ログイン画面だった、次いで多かったのが、SonicWall製VPN機器のログイン画面であり、この2社のログイン画面だけで、検出された全体の19％以上を占めた。3番目に多かったのは、Microsoftのメールサーバ「Exchange Online」および「Exchange Server」の管理コンソールだった。

　このようなログイン画面は、サイバー攻撃者にとって格好の標的である。米国の医療メーカーChange Healthcareは、2024年にランサムウェア攻撃を受け、復旧のために2200万ドル（約33億円）の身代金を支払った。この攻撃は、インターネット上に公開されていた同社のCitrix Systems製リモートアクセス用Webポータルへの不正アクセスから始まったとされる。このポータルにはMFA（多要素認証）が実装されておらず、それがセキュリティホールとなった。

　Coalitionのセキュリティプロダクト部門責任者であるアロック・オジャ氏は、次のように警鐘を鳴らす。「ランサムウェアをはじめとするサイバー攻撃から身を守るためには、リスクの高いセキュリティ項目の優先的な見直しが不可欠だ。既存の境界型セキュリティ機器、リモートデスクトップソフトウェア、インターネット上に露出したログイン画面の存在を把握し、継続的な監視と保護対策を講じる必要がある」

2025年の脅威予測　求められる対策は？

　Coalitionは今後の見通しとして、2025年には脆弱性識別子「CVE」を付与される脆弱性が月間4000件、年間で4万5000件以上発生すると予測する。これは2024年の約4万件を上回る数字であり、非営利のセキュリティ団体Forum of Incident Response and Security Teams（FIRST）が2025年2月に発表した予測とほぼ一致している。

　CVEの増加は、攻撃対象領域（アタックサーフェス）の急速な拡大が主因とされているが、CVEの付与を許可された認定機関「CVE Numbering Authorities」（CNA）の増加も関与しているとCoalitionは見る。

　Coalitionのシニアセキュリティリサーチャーを務めるダニエル・ウッズ氏はレポートについて、「特にセキュリティ人材が不足しがちな中小企業にとって、レジリエンシー（障害からの回復力）を高めるために、適切な防御策への投資を優先すべきことを強く示している」と語る。

　特に重点的に投資すべき項目は以下の通りだ。

• 脆弱性の早期発見と修正
• 構成ミスや設定の不備の修正
• 脅威インテリジェンス（脅威の特定や対策のための洞察をデータ解析で引き出すセキュリティ手法）の導入

　ウッズ氏は、ゼロデイ脆弱性（修正プログラムが提供される前の脆弱性）への対応も不可欠だと強調し、「当社の『アクティブ保険』は、単なる被害補償にとどまらず、ゼロデイ脆弱性に関するアラートを顧客企業に対して通知する」と説明する。これにより、最もリスクの高い脆弱性を優先的に解消できるよう支援するという。

（翻訳・編集協力：編集プロダクション雨輝）