不正送金や支払先改ざんを引き起こす
RPAで深刻化、仕事の手順を勝手に変える「ビジネスプロセス詐欺」（BPC）とは？
企業の支払いフローを改ざんし不正送金させる「ビジネスプロセス詐欺」（BPC）のリスクが、ロボティックプロセスオートメーション（RPA）ツールの普及とともに増加する恐れがある。具体的な対策は何だろうか。
業務プロセスを自動化し、効率的な業務の遂行を実現する「ロボティックプロセスオートメーション」（RPA）ツールが企業に広まりつつある。RPAツールは業務効率化といったメリットを企業にもたらす一方で、使い方によっては新たなリスクを生み出してしまう可能性がある。RPAツールの運用に伴うリスクと、その対策を紹介する。
業務プロセスを勝手に改変するビジネスプロセス詐欺（BPC）
企業を狙ったサイバー攻撃の一つに「ビジネスプロセス詐欺」（BPC）がある。攻撃者が業務プロセスを不正に改変し、金銭や機密情報をだまし取る攻撃手法だ。BPCにおいて一般的に攻撃対象となるのは金銭の授受に関わるシステムで、例としては給与振込に関わるシステムや商取引の請求支払いシステムなどがある。攻撃者はシステムに偽の送金を要求する命令を与えたり、システムに登録済みの送金先情報を改ざんしたりといった行為により金銭を詐取する。
こうした振込業務をRPAツールで自動化している場合、攻撃者がRPAツールを介してBPCを仕掛ける恐れがある。トレンドマイクロは同社のレポート「2019年セキュリティ脅威予測」において「BPCの新たな糸口として、自動化された業務プロセスを攻撃者が狙うようになる」と予測する。
RPAツールを利用する企業がBPCに対処する場合、どのようなセキュリティ対策が有効なのだろうか。
併せて読みたいお薦め記事
RPAは業務を改善するか
サイバー犯罪における詐欺行為
ロボットの管理とRPAツールの保護が有効
「全ての脅威に対抗できる『銀の弾丸』を探すより、複数の技術を組み合わせた多層防御を実現する方が理にかなう」とトレンドマイクロは提案する。多層防御に有効な対策は以下のような機能を持つ製品だ。
- 機械学習や挙動解析などを活用したマルウェア判別
- 侵入防止システム（IPS）、ファイアウォール
- スパム対策
- アプリケーションコントロール、ログ検査
- SIEM（Security Information and Event Management）
- 脅威検出エンジン、サンドボックス
- エンドポイントに侵入した脅威の事前検出（EPP）と事後対策（EDR）
- データ損失対策（DLP）
- バックアップ作成・管理
さまざまな場面でRPAツールによる業務プロセスの自動化が進むと、監視すべきソフトウェアやトラフィックの対象範囲も広がり、特定の領域や脅威に対する保護ではリスクを排除し切れなくなる。イベントログやアクセスログを包括的に相関分析するSIEMは、1つの側面からは発見できない怪しい挙動を捕捉するのに役立つ。
RPAツール自体に対する、攻撃者の侵入を防ぐための保護も重要だ。RPAツールが稼働している端末へのアクセスを守るためにIPSが利用できる。入力した情報を暗号化したり、作成したロボットの編集・実行権限を管理したりする機能を持つRPAツールを選べばセキュリティが強化でき、BPCや情報漏えいのリスク軽減が可能だ。RPAツールの実行権限を管理するためにアプリケーションコントロール製品を使うことも、RPAツールの侵害や不正実行の防止に役立つ。実際に攻撃者から侵害を受けた場合、検出段階ではEPP製品を活用し、インシデントへの対処にEDR製品を活用するとよいだろう。バックアップ管理製品を導入し、ロボットが改ざんされてしまった場合に備えておくことも対策になる。
管理が行き届いていない「野良ロボット」を放置しないことも、RPAツールを活用する企業にとって重要だ。作成したロボットがどこでどのように利用されているかをシステム管理者が把握できていないと、それらのロボットが攻撃を受けたとしてもすぐに気付けない可能性がある。適切なロボットの管理は被害の発生だけでなく、実際に被害を受けた場合でも原因の迅速な特定につながる。RPAツールには作成済みのロボットに対してプロセスの制御、監視、スケジューリングなどを実行できるロボット管理機能を持つものもある。こうした機能を使い、各部門で運用するロボットを全社的に統括し、監視下に置かれていないロボットの発生を防ぐことができる。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[NTTPCコミュニケーションズ株式会社] クラウド時代のネットワーク＆セキュリティ、自社に適した方式や方針の見極め方 -
製品資料
[NTTPCコミュニケーションズ株式会社] 自社のセキュリティ対策は大丈夫？ 自己診断リストで対策の優先順位が分かる -
製品資料
[株式会社NTTデータ] 溜めるだけのデータを成果に変える AI時代に求められる伴走型データ活用とは -
事例
[アルテリックス・ジャパン合同会社] 温室効果ガス集計の自動化と市民開発で年100時間超を削減、AGCはどう実現した？ -
市場調査・トレンド
[グーグル・クラウド・ジャパン合同会社] エージェント型AI時代に既存インフラは限界？ AI基盤見直しのポイントとは
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Kubernetesプラットフォーム」に関するアンケート
-
2
PHP2Shellの「事前の情報流出」でパニックに パッチ公開を巡る“混乱劇”
-
3
「年1回の外部診断」が限界に 大手小売が脆弱性管理を内製化・一元化した方法
-
4
「AIの粗悪レポート」で悲鳴 IntelやGoogleがバグ報奨金を止めた理由
-
5
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
6
シャトレーゼを悩ませる偽メール 混乱なしでBIMI導入とDMARC強化を実現した方法
-
7
障害対応に「余裕なし」が9割超 運用担当316人調査で見えた「運用赤字」
-
8
被害額は過去最高額 それでも「サイバー犯罪者が捕まらない」3つの理由
-
9
そのアプリ危険かも？ “野良アプリ”から「Android」「iOS」を守る防御策
-
10
なぜ人はいるのにDXが進まない？ ライオンも直面した“老害”レガシーシステム
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
5
「IT史に名を残すシステム障害」8選
-
6
「EDR」選定ガイド：比較・検討フェーズで整理すべきポイントを解説
-
7
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
MDMだけでは防げない？ Appleデバイスに潜む5つのセキュリティギャップ
-
10
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー