この1年間を代表する事件“電子決済サービスへの不正アクセス”

　調査対象期間を代表する事件として第1位に登場したのは、電子決済サービス提供する企業が管理するサーバが不正アクセスの被害に遭い、2000万件以上の加盟店の情報が流出した事件だ。電子決済サービスの利用者が増加する中、加盟店の情報へのアクセス権限設定不備を狙われて発生したこの事件は世間に大きな話題となった。

日々進化するランサムウェア攻撃の脅威

　第4位にランクインした米国の重要インフラ事業者を狙った攻撃や、第9位の精密化学メーカーを狙った攻撃、またこの中にはないが医療機関が攻撃された事件などもあり、ランサムウェアによる攻撃が大きなインパクトを残した。攻撃手法が日々進化し巧妙化する中、組織は後手に回らない対策が求められる。

　警察庁から2021年9月に発表された2021年上半期の脅威情勢（注1）によると、ランサムウェアの報告件数は2020年下半期から約3倍になり、それに伴い企業や団体の被害件数も増加した。

McAfee Enterpriseの見解

　2021年は2020年に引き続きクラウドサービスの利用が増えた。さまざまなサービスがオンラインで提供されることで利便性は高まるが、安全に利用できるよう、サービスの運営事業者は包括的な対策を採る必要がある。1位の事件以外にもクラウドサービス利用時の設定不備を突いた不正アクセスが幾つか見られ、企業の信頼性を維持するためにも、セキュリティ観点でのガバナンスの確立、自社の脆弱（ぜいじゃく）な点を監査する組織や仕組みの導入などの重要性が高まると考えられる。

　2021年は国内の大企業や米国の重要インフラ事業者を狙ったランサムウェア攻撃にも注目が集まった。データの暗号化に加えて事前に重要データを手元に収め、暗号化データの復号のための身代金交渉がうまくいかない場合に重要データを漏えいさせると脅す2重脅迫型が主流だった。RaaS（Ransomware as a service）のプラットフォームを使用し、データの暗号化や情報搾取のための手法が洗練されたことも特徴だ。ランサムウェア攻撃の目的やパターンも変わる中で、企業や組織は有効とされていたデータのバックアップだけでなく、攻撃者の侵入や横展開、重要データの搾取という一連のフェーズを多層で防御する対策に加え、万が一攻撃が成功してしまっても、迅速に検知し対応する対策の実施が求められる。

　今回は電子決済サービスにおける情報流出や、国内大手企業や米国の重要インフラ事業者を狙ったランサムウェア攻撃といった収益化を狙う脅威に注目が集まった。しかし、全体的に認知度は低い結果となり、世間を大きく賑わせた大型のセキュリティ事件は例年と比較すると少ない印象だ。