第4四半期にCiscoが対応したインシデントのうち、約40％は、公開されているネットワークサービスに関連する脆弱性の悪用から始まっていた。これは第3四半期の62％から低下している。

　また、Ciscoは、第4四半期におけるランサムウェア攻撃の割合が全インシデントの13％となり、第3四半期の20％や、年初の第1四半期および第2四半期（いずれも約50％）と比べて減少したことも確認した。

　特筆すべき点として、Ciscoは「新種のランサムウェアや亜種に対応しなければならない事態は一切なかった」と述べた。

　Ciscoによると、第4四半期も脆弱性の悪用は高水準で推移したものの、活動の大部分を占めるような大規模な悪用キャンペーンは確認されなかったという。これは、第3四半期にToolShellのキャンペーンが一連の攻撃を引き起こした状況とは対照的だ（注2）。それでも、Oracleの「E-Business Suite」の脆弱性や（注3）、「React Server Components」の脆弱性を狙った複数の攻撃が発生していた（注4）。

　ある攻撃者は、Oracleの脆弱性を悪用した攻撃を実行した。攻撃についてCiscoは「経営幹部を標的に金銭を脅し取ることを目的とした大規模なキャンペーンに関連している可能性が高い」としている。

　別の攻撃者は「React」の脆弱性を悪用し、暗号資産のマイニング用マルウェアを設置した。Ciscoは、暗号資産マイニング（クリプトマイニング）について「攻撃者が未修正のシステムを素早く悪用しようと競い合う中で、今後も見られると予想される多くの活動の1つだ」と述べている。

　Ciscoが観測した最も一般的な初期侵入手法の一覧では、フィッシングは脆弱性の悪用に次いで2番目に多かった。同社は、脅威インテリジェンスレポートではほとんど取り上げられることのないコミュニティーを標的にしたキャンペーンにも言及している。それは米国先住民の組織だ。

　ある事例において、Ciscoのアナリストは、侵害された電子メールアカウントやサイトを利用して、信頼できる内容に見せかけたメッセージを使ってマルウェアを配布する攻撃者を確認した。研究者たちは「電子メールアカウントの悪用を超える横方向の移動は確認できなかったものの、被害環境内の追加アカウントや外部の受信者への情報流出が確認されており、より広範な影響が及ぶ可能性がある」と記している。

　また、Ciscoは「先住民の組織を標的にした2件目のフィッシングキャンペーンも確認した」と述べている。この攻撃は、侵害の指標を含め、先に確認された攻撃と共通する特徴を有していた。

　ランサムウェアの動向について、Ciscoは「ランサムウェアグループ『Qilin』が依然として優勢であり、確認されたランサムウェア攻撃の大半で観測された」と述べている。研究者たちはランサムウェア「DragonForce」を使用した攻撃にも対応したようだ。同社によれば、このランサムウェアは活動を開始してから1年以上確認されていなかったものだという。

　Ciscoの第4四半期のインシデント対応案件において、最も標的とされたのは政府機関であり、これは第3四半期から続く傾向だ。これに続いたのは、通信および教育、医療の各分野だ。

　Ciscoは、自社のインシデント対応の結果に基づき、システムの定期的なパッチ適用や強力なログ取得の有効化、迅速な対応体制の構築と訓練の実施を、組織に対して推奨した。さらに、多要素認証（MFA）の悪用を検知する仕組みを導入し、強固なポリシーを策定することも求めている。