2017年世界を驚かせた7つの詐欺事例

2017年12月14日

2017年の締めくくりとして、イージー・ソリューションズは今年話題となった詐欺事例を振り返ってみたいと思います。この7つの事例は、詐欺の背景を変え、組織と今後のセキュリティへの見解に長期的な影響をあたえる結果となりました。

1.Gmailのユーザーを狙った大規模なフィッシング

今年5月に、Gamilのユーザーに実際の連絡先から送られてきたようなメールが送信され、共有していたGoogleドキュメントを開くように求められました。そして、その罠にはまった人はGoogle ドキュメントのアプリケーションに許可を与えるよう要求されました。しかし、それは偽のアプリケーションで、ユーザーのコンタクト先へアクセスするために利用され、さらなる不正を続けるためにメッセージが送信されたのです。その攻撃はユーザーのコンタクト先リスト以外のお金やログインクレデンシャルなどを盗みだそうとはしませんでしたが、攻撃者がソーシャルエンジニアリングの力を利用して、攻撃者が望んだようにユーザーを操ることができることを示しました。

2.ランサムウェアWannaCry (ワナクライ) により世界中がパニック

こちらも今年の5月、150ヵ国で25万人以上の被害者のデバイスを感染させた大規模なランサムウェアの攻撃が開始され、世界を震撼させました。この攻撃はWindowsのオペレーティングシステムのセキュリティの脆弱性を悪用して実行されました。一度感染してしまうと、パソコンのファイルは暗号化され、ファイルと引き換えに、ビットコインで身代金の支払いを要求した画面が表示されます。ワナクライの驚くべき対象範囲と影響力により世界中がパニックに陥りました。今も多くの小規模なランサムウェア攻撃がそれに続いています。

3. NotPetyaが引き続き流行

6月、ランサムウェアPetyaに似ているために「NotPetya」となずけられた亜種がヨーロッパ、米国、ウクライナを攻撃し、広告会社から保険会社まで幅広い組織を混乱に陥れました。よくあるランサムウェア攻撃のようにNotPetyaもファイルの暗号化を解く代わりにビットコインでの支払いを要求します。しかし、その攻撃はそのコードと要求内容から考えて、素人の仕業ではないかと考えられています。調査員はNotPetyaは利益を目的とする代わりに、混乱を起こすこと自体が目的だったと推測しています。その攻撃には政治的な動機が見られ、ウクライナのITインフラストラクチャの破壊が目的だったと考えられています。

4.Trickbotがその範囲を拡大

8月、Trickbotという既存のバンキングトロージャンがその標的基盤を拡大し、米国を含む、新たに12ヵ国以上の国を標的にしました。その標的には、それらの国のほとんど全ての主要銀行のローカルURLが含まれていたため、多数の銀行とエンドユーザーにとって重要な情報が盗まれるリスクが拡大されました。毎日更新されるコードにより、そのマルウェアによる被害拡大の可能性も増加しました。Trickbotについての詳細はこちらのビデオをご覧ください。ビデオはこちら

5.Equifax(米国、消費者信用情報会社)のデータ漏えいは前代未聞の結果に

9月に明らかになったEquifaxのデータ漏えいは、今年の詐欺事例の中で間違いなく最も影響力のあったものだと言えるでしょう。米国住居者1.43億人以上と英国とカナダの住民を巻き込んだこの攻撃では、社会保障番号、誕生日、住所、その他の個人的な情報が盗まれました。このEquifaxのデータ漏えいが他の侵害事例と異なっているのは、1.43億人以上のデータを利用してなりすまし詐欺に利用される可能性があるということです。

6.米国政府は連邦機関にDMARC導入を要請

10月、アメリカ合衆国国土安全保障省は、新たなポリシーとして、全ての連邦機関にメールドメイン保護のため、DMARCの導入を要請しました。この要請は8月の調査結果で、連邦メールドメイン保護のためのDMARC導入率が非常に低かったことを受けて要請されたものです。これはアメリカ合衆国国土安全保障省がメールチャネル保護の重要性を正式に認識していることを表しています。

7.ウーバーのハッキング事例、その後もみ消し作業

2017年11月、巨大なオンラインタクシー会社のウーバーは、過去にさかのぼる2016年10月にデータ侵害の被害にあっていたことを認めました。その後、そのサイバー犯罪をなかった事にするため、ハッカーたちにお金を払っています。その攻撃でハッカーは、ユーザー名とパスワードの組み合わのだけで保護されていたウーバーの開発者のパスワードを入手して、会社のシステムへアクセスしました。そのデータ侵害は、市場には有り余るほど強固なセキュリティ対策のオプションがあるにも関わらず、未だに重要なデータの保護に失敗する企業があり、それと同様に企業とその顧客を保護する義務を果たせていない企業があることを明らかにしています。

2017年に起きた大規模なサイバー攻撃とデータ侵害は、幅広く利用できるセキュリティ対策にもかかわらず、組織が詐欺から組織と顧客を保護するための戦略を実行するために長い道のりがあることを示しています。アメリカ合衆国国土安全保障省のDMARC実装の義務化などの政府規制は、そのプロセスを軌道に乗せるのをサポートしますが、切迫したリスクがいまだに存在します。当社の詐欺対策のエキスパートによる今後の詐欺動向の見解に関してはこちらを参照してください。

 

2018年の予見:ソーシャルエンジニアリングの拡大により、エンドユーザー認証の強化は必須に >>


By Hope Kabel

Hope Kabel

Hope Kabelはイージー・ソリューションズのテクニカルライターとして様々な部署の技術的な書類を担当しています。

Cyxtera Technologies, Inc. All rights reserved    I    Privacy Policy    I    Legal Terms