被害者となったのはLos Angeles Times、New York Timesなど複数の米新聞社だ。これらの新聞社が共有する印刷システムがサイバー攻撃を受け、新聞の印刷・配達機能の停止にまで発展した。攻撃起点となったとみられるランサムウェア「Ryuk」は、ネットワークのエンドポイントにあるシャドーコピー（一時的な自動バックアップファイル）を削除するだけでなく、ドライブの暗号化も可能。Windowsのシステム復元機能も無効にできる。外部ストレージのバックアップがない限り、データを復旧できない状況に陥れることが可能だ。

「対岸の火事」ではない

　2018年の平昌オリンピックでは、ITインフラがサイバー攻撃の対象になった。開会式直後の同年2月に、大会の公式Webサイトなどが被害を受けたと大会組織委員会が発表した。開会式のチケット発行に支障が出るなど、観客への実害を及ぼしたという。攻撃者はロシアのハッカーではないかという臆測が飛び交った。同大会ではロシア選手団のドーピング問題が発覚し、出場を禁じられたという経緯があったためだ。

　このようなビジネスを停止に追い込む攻撃の事例は、海外だけの話ではない。日本国内で同様の被害が発生する可能性は十分ある。「ビジネスに影響が生じるようなサイバー攻撃に対して、企業は常に注意を払い、対策を講じる必要がある」とジャーカフ氏は念押しする。

　ビジネスの停止だけでなく、情報漏えいを狙ったサイバー犯罪も衰えを見せない。ホテル事業を展開するMarriott Internationalはホテルの予約システムにサイバー攻撃を受けた。判明したのは2018年11月で、最大3億8300万人の顧客が個人情報流出の被害者となったと同社は推定する（2019年1月時点）。氏名や住所、メールアドレスなど基本的な個人情報だけでなく、旅程・ホテル予約情報、パスポート番号といった詳細情報が流出した顧客もいるとみられる。同社の見積もりでは、暗号化されていないパスポート番号の流出件数は2030万件に上るという。「この攻撃は、政府高官が出張した際のホテルの利用情報を入手し、移動先や行動を突き止めることを目的にした可能性がある」とジャーカフ氏は説明する。

「質より量」のIoTデバイスハッキング

写真2　McAfee Labsが検出したクリプトジャッキングマルウェア数の推移（出典：マカフィー）

　検出数の伸びが目立つのは、IoTデバイスを狙った攻撃だという。乗っ取ったデバイスを使った仮想通貨マイニング（クリプトジャッキング）が目的だ。McAfeeの調査部門であるMcAfee Labsが2018年に検出したクリプトジャッキングマルウェアの合計サンプル数は、2017年と比較して4467％増加し、およそ389万件に上った。

　「IoTデバイスはPCと比べてセキュリティの強度が低く、外部からの侵入を許しやすい。個々のマシンパワーは低いが、数量の多さでそれをカバーできるため、クリプトジャッキングに悪用されるケースが増えている」とマカフィーの櫻井秀光氏は説明する。さらに同氏は次のような懸念を示す。「IoTデバイスのセキュリティは未熟であり、例えばパスワードを初期設定から変更することを強要しないデバイスもある。そのようなデバイスは、マニュアルを参照して初期パスワードを入力すれば簡単にハッキングできてしまう」

　IoT化が進み、今後ますますITと現実世界が密な関係になるにつれて、サイバー犯罪による被害の危険性も増していく。サイバー犯罪はもはや仮想的な、どこか遠い世界の存在ではなく、日常を脅かし得るものだということを念頭に置き、対策を練る必要がある。