週末や休日は「稼ぎ時」、サイバー攻撃者が狙う理由

サイバー攻撃者は攻撃対象が弱体化しているときを狙う。週末や休日、夜間だ。防御側の対応が遅れるため、攻撃が通りやすい。このような時間帯はどの程度危険なのだろうか。

[Matt Kapko，Cybersecurity Dive]

　サイバー攻撃者は平日の昼間、「遊んでいる」。なぜなら週末や休日、夜間が稼ぎ時だからだ。平日と比較して、どの程度攻撃が集中するのだろうか。

ランサムウェア攻撃が特に危ない

　Cybereasonが2022年11月16日に発表した調査（注1）によれば、回答者の3分の1以上が、休日や週末に攻撃を受けた場合、平日と比較して攻撃範囲の評価や攻撃の阻止、攻撃からの復旧に時間がかかると回答した。2000人以上の従業員を抱える大企業では、このような遅延が発生する可能性がさらに高い。

　攻撃の確率が上がるだけでなく、被害も大きくなる。Cybereasonによると、週末や休日にランサムウェアの攻撃を受けた場合、より大きな損失を被る可能性があるという。回答者の3分の1は、休日や週末のランサムウェア攻撃の場合、企業はより多くの金銭を失うと回答した。このように答えた回答者は2021年時点では13％と少なかった。

社内に人が少ない時間を狙う

　サイバー犯罪者はわれわれにとって都合の良い時に休みを取ることはない。多くの専門家は週末にも仕事をしている。だが、そうではない人が多い。脅威者は休みを弱点として利用して、企業が人手不足で攻撃の検知と対応の準備が大幅に遅れるようなときに攻撃を開始することがある。

　Cybereasonのリオル・ディブ氏（CEO兼共同設立）は次のように語った。

　「ランサムウェアを使ったサイバー攻撃者は、休日や週末に攻撃を始める傾向がある。そのような時間帯には企業の人的防御がそれほど強固でないことを知っているからだ。セキュリティチームが対応に奔走している間に、検知を回避して、より多くの損害を与え、より多くのデータを盗む」

　調査回答者の半数近くが、自社が休日や週末には平日の33％以下の人員で運営していると回答した。

　「サイバー犯罪者は、休日や週末の攻撃によって全体的な成功を収めている。サイバー犯罪帝国を強化する方法として、これらの時間帯に企業をより積極的に標的にしている」（ディブ氏）

平日以外に弱体化しているのは教育分野

　教育や旅行、運輸に携わる企業は休日や週末の攻撃は平日以上に財務的損失を被る可能性が高いことを調査は示している。これらの業界の回答者の約5人に2人が、このような時間帯の攻撃では自社でより大きな経済的影響があったと回答した。

　調査によれば、教育分野の企業は対応が最も遅く、休日や週末の攻撃によって経済的損失を被る可能性が最も高い。教育分野のセキュリティ専門家の半数以上が、そのような時間帯の攻撃に対して「攻撃の範囲を評価するのに時間がかかった」と答え、5人に2人が「対応に時間がかかった」と回答している。

　教育分野で最も注目を集めた2022年のランサムウェア攻撃は、ロサンゼルス統一学校区に対するものだ。レーバーデイ直前の土曜日、2022年9月3日の午後10時30分に、進行中のサイバー攻撃が見つかった（注2）。

　この攻撃の背後には多量のランサムウェアを仕掛ける「Vice Society」というグループがあり、盗まれたデータのうち約25万個のファイルをダークウェブに公開した（注3）。その中には社会保障番号や各種契約書、米国の所得税の申告書（W-9納税書）、請求書、パスポート情報が含まれていた。

　Cybereasonのレポートでは、ランサムウェアが主要なサイバー脅威として挙げられている。全ての業種と地域の回答者の半数が、自社のセキュリティオペレーションセンターがランサムウェアの攻撃を解決するために最も頻繁に取り組んでいると回答した。

　今回の調査はCybereasonがCensuswideに委託したものだ。2022年9〜10月に1200人以上のサイバーセキュリティ専門家を対象として調査を実施した。回答者はそれぞれ、2021年の休日や週末に1回以上のランサムウェア攻撃を経験した中堅から大企業に勤務している。

出典：Cybercriminals strike understaffed organizations on weekends and holidays（Cybersecurity Dive）

注1：Ransomware Attackers Don’t Take Holidays

注2：Ransom demand escalates fallout from Los Angeles schools cyberattack（Cybersecurity Dive）

注3：LA schools system downplays impact of leaked data（Cybersecurity Dive）