史上最大かつ最も悪名高いサイバー攻撃

サイバー攻撃とは、データを盗み取ったり改ざんしたり破壊したりすること、または業務を妨害して重要インフラのデジタル部分を損傷させることを目的とした意図的な試みです。この記事では、史上最も破壊的だった主要なサイバー攻撃を取り上げ、その根底にある動機と影響を詳しく解説し、その後に予防および検知のベストプラクティスを提示します。

サイバー攻撃の種類

サイバー攻撃には、次のようにさまざまな形態があります。

• Malware — システムに侵入して被害を与えたりデータを盗み取ったりする、悪意のあるソフトウェアの総称です。例としてはウイルス、ワーム、スパイウェアなどがあります。
• Ransomware — Ransomware は、被害者のファイルやシステムを暗号化して利用できなくしてしまうタイプのマルウェアです。攻撃者はその後、復号鍵と引き換え、またはアクセスを復元するという約束と引き換えに、しばしば暗号通貨の形で身代金の支払いを要求します。
• Phishing — 悪意のある攻撃者は、電子メールで正当な組織になりすまし、機密情報を収集しようとします。関連する攻撃では、テキストメッセージ（smishing）、音声通話またはボイスメール（vishing）、または偽のQRコード（quishing）などが使われます。要するに、ユーザーの操作ややり取りが必要なものは、攻撃者にとっての潜在的な侵入口になり得ます。
• Social engineering — 攻撃者は、信頼・恐怖・好奇心・切迫感といった人間の特性を悪用し、個人を欺いて機密情報を開示させたり、不正なアクセスを許可させたり、セキュリティを損なうその他の行動を取らせたりします。
• サービス拒否（DoS）攻撃 — DoS攻撃では、攻撃者がシステムまたはネットワークに非常に大量のトラフィックを流し込み、正当なユーザーが利用できない状態にしようとします。
• 中間者（MITM）攻撃 — 攻撃者は2者間の通信を傍受して、データを盗んだり、悪意のあるコードを注入したりします。
• SQLインジェクション — 攻撃者は、データベース駆動型のWebサイトにある脆弱性を悪用して、データへの不正アクセスを取得します。
• ゼロデイ攻撃（ゼロデイ・エクスプロイト） — 攻撃者は、ベンダーが問題を見つけてパッチを発行する前に、ソフトウェアまたはハードウェアのサイバーセキュリティ脆弱性を発見して悪用できるよう、懸命に調査します。

サイバー攻撃はほとんどの場合、攻撃経路（attack path）に沿って上で挙げた攻撃手法を組み合わせて実行されることを理解しておくことが重要です。例えば、次のようなシナリオを考えてみてください。攻撃者はフィッシングやソーシャルエンジニアリングを用いて、疑うことのないユーザーから有効な認証情報（valid credentials）を収集し、その認証情報を使って標的のシステムに侵入します。ネットワーク内へ進入する間に発見されないようにするため、守る側の注意をそらす目的でDoS攻撃を仕掛け、さらに深く侵入するために、既知の脆弱性を悪用して重要なシステムを制圧しようとします。

根底にある動機

サイバー攻撃の背後にある主な動機要因には、次のようなものがあります。

• 経済的利益 — 悪意のある攻撃者は、攻撃をさまざまな方法で収益化します。たとえば、個人情報、金融データ、または知的財産を盗んで闇市場で販売すること、ランサムウェア攻撃で身代金を要求すること、あるいは smishing や vishing を使って従業員に自分たちへ送金させるよう説得することなどがあります。
• 政治的または思想的な動機 — 時には、政治的または思想的な意見の相違が原因で、サービスを妨害したり組織の評判を傷つけたりすることが目的となる場合があります。
• 国家の利益を推進するために — 各国は、情報を収集したり作戦を妨害したりするために、政府機関、防衛システム、重要インフラを標的としてサイバー戦を用います。
• 企業スパイ活動 — 企業は、競合他社の営業秘密、研究、またはその他の専有情報を盗む目的でサイバー攻撃を行うことがあります。
• エゴ — 一部の攻撃者は、自分のスキルを示すため、ハッキング界隈で評判を築くため、または能力を試すためにサイバー攻撃を仕掛けます。

サイバー攻撃の影響

サイバー攻撃による被害は、直ちに狙われた対象をはるかに超えて広がり、コミュニティ、経済、そして国際関係にまで影響を及ぼし得ます。2015年に世界経済フォーラム（World Economic Forum）のためのレポートを執筆していた際、McKinseyの研究者はサイバー犯罪のコスト（または経済価値の損失）が2020年に3兆ドルになると見込んでいましたが、2020年時点では2025年の予測損失は10.5兆ドルにまで上昇し、現在の2029年の予測は約15兆ドルです。

しかし、金銭的な損害が唯一の結果ではありません。以下は、重要なインフラ（電力網、医療機関、水処理システムなど）、政府、企業に対する攻撃がもたらすその他の主要な影響の一部です。

重要インフラへの攻撃がもたらす影響

• 公共の安全に関するリスク — サイバー攻撃は、日常生活を混乱させるサービス停止を引き起こしたり、場合によっては生命を危険にさらすこともあります。
• 公共の信頼の浸食 — 重要インフラへの頻繁または深刻な攻撃は、安全で信頼できるサービスを提供する政府の能力に対する国民の信頼を損なう可能性があります。

政府への攻撃がもたらす影響

• 国家の安全保障に関するリスク — 軍事情報などの機密情報の盗難、または防衛システムや通信ネットワークへの損害は、国の防衛態勢を弱める可能性があります。
• 公共の安全に対するリスク — 政府の業務が妨げられると、緊急対応システムや脆弱な人々への支払いなど、重要なサービスが機能不全に陥る可能性があります。
• 政治的な損害 — サイバー攻撃や偽情報キャンペーンは、選挙結果に影響を与え、世論を操作し、混乱を生み出すためにますます利用されています。

企業への攻撃がもたらす影響

• 評判の毀損と収益の喪失 — 機密情報の漏えいは、顧客の信頼を低下させ、その結果、ビジネスの損失につながる可能性があります。また、パートナーやサプライチェーンの関係にも悪影響を及ぼします。
• 競争力の喪失 — 営業秘密や研究などの独自情報が盗まれると、企業の競争力が弱まる可能性があります。
• コンプライアンス の罰則 — 規制対象データの違反は、高額な罰金、将来の監査における監視の強化、さらにはクレジットカード決済のような中核的な事業運営への制限につながる可能性があります。

サイバー戦争という特殊なケース

サイバー戦争は特別な議論を要します。国家は、敵対相手を弱体化させる、または競争上の優位を得ることを意図して、世界の舞台で戦略的・政治的・経済的な目標を追求するために高度なサイバー能力を用います。実際に、サイバー戦争は地政学的な緊張を悪化させ、強固なサイバー防御・攻撃能力が国家安全保障戦略の不可欠な要素となる環境を生み出しています。

サイバー戦争の主な側面は次のとおりです：

• スパイ活動 — 多くの国家がサイバー攻撃を用いて、政治戦略、技術の進歩、経済動向などに関する情報を収集しています。
• インフラへの攻撃 — 国家は、エネルギー・グリッド、医療システム、金融機関などの重要なインフラも標的とし、自らの力を誇示するか、相手の立場を不安定にすることがあります。
• 偽情報の拡散 — もう一つのサイバー戦の手口は、ソーシャルメディアを通じて偽情報を拡散し、他国の政治に影響を与えて社会的・政治的不安定を生み出すことです。これには世論を左右したり、選挙プロセスを操作したりする取り組みが含まれます。
• 経済的サボタージュ — 国家は、相手国の経済を損ない、世界経済における自国の立場を弱めるために、知的財産を盗んだり、企業や政府の業務を妨害したりすることがあります。
• 代理人（プロキシ・アクター）の利用 — 国家は、自国に代わってサイバー作戦を実行するために、ハッキング集団、民間の請負業者、その他の第三者に資金援助することがよくあります。このアプローチにより、責任を否定し、結果を回避できるようになります。

歴史的概観：史上最も悪名高いサイバー攻撃

サイバー攻撃の進化

年を追うごとに、サイバー攻撃はより複雑になり、より巧妙になり、そしてより破壊的になってきました。ここでは簡単な歴史を紹介します。

• 黎明期（1970年代〜1980年代）— 最初期のサイバー脅威は、主に実験のために作られた基本的なウイルスやワームでした。
• マルウェアの台頭（1990年代） — パーソナルコンピュータが一般的になるにつれて、ウイルス、トロイの木馬、メールワームが登場し始め、メールの添付ファイルやフロッピーディスクを通じて拡散するようになりました。
• 金銭目的の攻撃（2000年代）— この時期にはスパイウェア、フィッシング、ソーシャルエンジニアリングのキャンペーンが爆発的に増加しました。敵対者はまた、感染したコンピューターのネットワーク（ボットネット）を作り始め、分散型サービス拒否（DDoS）攻撃を仕掛けるようになりました。
• 組織的なサイバー犯罪と APT（2010年代） — 次に、CryptoLocker や WannaCry のようなランサムウェア攻撃が相次ぎました。各国やその他の組織は、高度で持続的な脅威（APTs）を使って、検知されないままシステムへ侵入し、時間をかけてデータを盗み取るようになりました。さらに、ハッカーは IoT（モノのインターネット）デバイスの脆弱性を悪用して、不正アクセスやネットワークの支配を行いました。
• 現代の脅威（2020年代） — 近年はサイバー犯罪のハードルが下がっています。たとえば、ランサムウェア・サービス（RaaS）では、ランサムウェアのキットやサービスによって攻撃を容易に行えるようになり、AIベースのツールはアマチュアでもディープフェイクを作って標的を欺いたり操作したりできるようにしています。もう一つの傾向は、SolarWinds のようなサプライチェーン攻撃で、ソフトウェアやハードウェアの提供業者を標的にして、顧客のシステムへ侵入する入口とします。医療システムのような重要インフラへの直接攻撃も増加しています。

主なサイバー攻撃の年表

史上最大級のサイバー攻撃トップ3

以下は、歴史上の中でも特に大規模なサイバー攻撃の一部です。

WannaCry（2017）

2017年5月の WannaCry 攻撃は、世界中の個人ユーザーおよび大規模な組織にランサムウェア感染を広げました。米国と英国は、この攻撃を北朝鮮の Lazarus Group によるものと結び付けています。

• 背景 — 4月、Shadow Brokers というハッキング集団が、WannaCry 攻撃で使用されたエクスプロイト EternalBlue を含む、米国国家安全保障局（NSA）によって開発されたとされるいくつかのツールをリークしました。Microsoft はすでに、EternalBlue が悪用する脆弱性を修正するためのセキュリティパッチを公開していましたが、多くの組織はこの重要な更新を迅速に適用しませんでした。
• 手口 — ランサムウェアは、フィッシングメールによって拡散されるか、パッチ未適用のシステムにおいて EternalBlue の脆弱性を直接悪用することで広がりました。ワームのような仕組みを使ってネットワーク全体に感染を拡大します。次にファイルを暗号化し、復号用キーのための支払いを要求しました。最初の身代金は、1台のデバイスにつきビットコインで 300ドルでしたが、指定された時間内に支払いが行われない場合は金額が増加しました。
• 対応 — セキュリティ研究者がランサムウェアのコード内にキルスイッチを素早く発見し、マルウェアにハードコードされていた未登録のドメインを登録することで拡散を止めました。とはいえ、組織には Microsoft のパッチを適用し、サイバーセキュリティ対策を強化するよう促されました。
• 影響 — この攻撃は150の国で200,000台以上の端末に影響を与え、医療、交通、銀行、通信の各分野が特に大きな打撃を受けました。たとえば、英国の国民保健サービス（NHS）傘下の多くの病院やクリニックが麻痺し、数千件の予約がキャンセルされ、医療手続きも遅延しました。被害額は40億〜80億ドルと見積もられています。
• 得られた教訓 — 今回のインシデントは、定期的なシステムバックアップ、堅牢なエンドポイント保護、そして従業員教育の重要性を改めて示しました。

Yahoo（2014）

ヤフーで2014年に発生したデータ漏えいにより、5億人以上のユーザーのデータが露出しました。しかし、その漏えいは2年後になるまで公表されませんでした。米国はこの犯罪を、ロシアの連邦保安庁（FSB）に関連しているとされる2人のハッカーを含む4人の個人に帰しています。さらに以前の2013年の漏えいでは、ヤフーの全30億アカウントが侵害されていました。

• 手法 — 攻撃者は、Yahoo のシステムに侵入するために、スピアフィッシング（spear-phishing）およびその他の手法を用いたものと考えられています。その後、攻撃者は 5 億人のユーザーのデータにアクセスし、そこには氏名、メールアドレス、弱いアルゴリズムでハッシュ化されたパスワード、生年月日、電話番号、そしてセキュリティ質問と回答が含まれていました。
• 対応 — ユーザーには、パスワードをリセットし、多要素認証（MFA）を導入し、不審な活動がないかアカウントを監視するよう助言が出されました。Yahoo は、暗号化基準のアップグレードや、より堅牢な侵入検知機能の導入などを含め、サイバーセキュリティの実践を改善する必要がありました。
• 影響 — 2013 年と 2014 年の侵害は合わせて、史上最大級のデータ侵害として際立っています。個人情報が漏えいしたことで、何百万人ものユーザーがなりすまし（アイデンティティ盗難）、フィッシング、その他のサイバー犯罪に対する高いリスクに直面しました。この侵害は、同社が訴訟、規制当局による精査、そして数億ドルにのぼる和解金を抱えることになったため、ユーザーの信頼を損ない、Yahoo の評判にも打撃を与えました。Verizon は 2017 年に Yahoo を買収しましたが、これらの侵害により買収価格は 3 億 5,000 万ドル引き下げられました。
• 学び — Yahoo は、2 年後になってからようやく事件を開示したことが批判され、その結果、より厳格なデータ侵害の通知に関する法律を求める声が高まりました。さらに、GDPRのように、説明責任を徹底しユーザー情報を守るための包括的なデータ保護規制の必要性が明確になりました。

ウクライナの電力網（2015年）

2015年にウクライナで発生した攻撃は、ある国の電力供給を停止させた最初のサイバー攻撃でした。この攻撃は、ロシアのハッキング集団 Sandworm によって仕掛けられたものと考えられています。

• 手口 — BlackEnergy 3 というマルウェアを含むフィッシングメールを介して、彼らはネットワークへのアクセスを獲得しました。次に、そのマルウェアを使用して偵察を行い、横方向に移動して重要なシステムを特定し、Supervisory Control and Data Acquisition (SCADA) システムにアクセスするための資格情報を収集しました。盗み取った資格情報を使って、彼らは遠隔からコマンドを発行し、遮断器を開放して変電所への電力を遮断しました。
• 影響 — 約23万人の住民が最大6時間停電しました。病院や交通システムなどのサービスも一時的に中断されました。
• 対応 — 対応を遅らせるために、攻撃者は KillDisk マルウェアを投入してファームウェアを書き換え、デバイスを使用不能にしました。さらに、ユーザーによる停電報告を妨げるため、顧客サービス回線に対して電話によるサービス拒否攻撃（DoS）も仕掛けました。エネルギー企業は数日間、手作業のプロセスに頼らざるを得ず、また攻撃者がリモート機能を無効化していたため、現場の作業員は遮断器を手動で操作して通電を復旧する必要がありました。影響を受けたシステムは再構築されるか、バックアップから復元されました。
• 学び — エネルギー企業は、重要なシステムを公衆ネットワークから分離し、フィッシングに関する従業員の意識を高めるための対策を講じました。より広い観点では、この事件が、重要インフラが APT に対していかに脆弱になり得るのか、そしてサイバー戦争のリスクが高まっていることを示したと言えます。

最近の重大なサイバー攻撃

過去5年間で特に大きかったサイバー攻撃のいくつかを、以下で紹介します。

MOVEit（2023）

2023年、ロシア語を話すサイバー犯罪グループ「Clop」は、MOVEit Transfer ソフトウェアの脆弱性を悪用して、大量のデータを盗み出しました。

• 手口 — ソフトウェアの脆弱性（CVE-2023-34362）を悪用し、LEMURLOOT という名前の Web シェルを投入することで、このグループは不正な SQL コマンドを実行し、データを持ち出すことができました。身代金を支払わない限り盗んだデータを公開すると脅したのです。
• 対応 — Progress Software は、脆弱性が発見され次第、直ちにこれに対処するパッチを公開しました。組織には、ソフトウェア パッチを適用し、システムを侵害の兆候（indicators of compromise（IOCs））の有無についてスキャンし、セキュリティ設定を更新するよう助言されました。
• 影響 — Amazon、BBC、British Airways、Shell、ニューヨーク市教育局（New York City Department of Education）など、2,500 件以上の組織が影響を受けました。今回のインシデントにより、約 6,000 万人の個人に関する機微なデータが露出し、その中には個人を特定できる情報（personally identifiable information（PII））、財務データ、社内の通信が含まれていました。

Colonial Pipeline（2021）

2021年5月7日、Colonial Pipeline はランサムウェア攻撃を受け、東海岸全体で燃料の供給が滞りました。この攻撃は、東ヨーロッパを拠点としていると考えられているサイバー犯罪グループ DarkSide によって実行されました。

• 手口 — 攻撃者は、MFA が有効化されていない VPN アカウントに対して漏えいしたパスワードを使って初期アクセスを獲得しました。捜査担当者によると、そのパスワードはダークウェブのデータベースから入手されたものと考えられています。その後、彼らは 100 ギガバイトのデータを盗み、Colonial Pipeline のビジネス ネットワーク システムを暗号化するためにランサムウェアを展開しました。
• 対応 — 運用技術（OT）システムは直接的な影響を受けなかったものの、同社は予防措置として事業を停止しました。次に、同社はランサムウェアの運営者に対し、約75ビットコイン、つまり約500万ドル相当の身代金を支払いました。しかし、攻撃者が提供した復号ツールは報道によれば遅く非効率だったため、同社は事業を復旧するためにサイバーセキュリティの専門家と連携する必要がありました。2021年6月、米国司法省（DOJ）はビットコインのウォレットを追跡し、身代金支払いのうち230万ドルを回収しました。
• 影響 — Colonial Pipeline は、ガソリン、ディーゼル、ジェット燃料などを含む東海岸の燃料のほぼ 45% を供給しています。攻撃の結果として操業は数日間停止し、その影響で米国南東部で燃料不足が広範囲に発生し、パニックも起きました。米国政府は燃料不足の影響を緩和するため、非常事態を宣言しました。

SolarWinds（2020）

2020年12月、IT管理会社 SolarWinds がサプライチェーン攻撃によって侵害されていたことが明らかになりました。ハッカーは SolarWinds のシステムに侵入し、IT監視・管理で広く利用されている Orion ソフトウェアプラットフォームのアップデートに悪意のあるコードを挿入しました。18,000人を超える SolarWinds の顧客が、侵害されたソフトウェア更新プログラムをダウンロードし、その結果、攻撃者は顧客のシステムに潜在的なバックドアを作り、諜報活動（スパイ行為）を行う可能性を得ました。この攻撃は、ロシアの対外情報機関（SVR）としばしば関連づけられる脅威グループの仕業とされています。

• 手法 — 攻撃者は、Microsoft の製品、サービス、およびソフトウェア配布のインフラにある欠陥を悪用しました。たとえば、彼らは Zerologon の脆弱性を悪用して、侵害したネットワーク内の認証情報にアクセスし、その結果 Office 365 のメールアカウントを侵害することが可能になりました。別のソフトウェア上の不具合によって MFA を回避できた可能性もあります。
• 対応 — セキュリティコミュニティは、侵害された顧客が誰であったかを特定するためのツール、攻撃に使用されたマルウェアを無効化するキルスイッチ、顧客から盗まれたソフトウェアの潜在的な悪用に備えるための対策など、さまざまな支援を提供しました。
• 影響 — 今回のサプライチェーン攻撃は、国土安全保障省（DHS）、財務省、商務省など、複数の米国政府機関に影響を与えました。さらに、Microsoftを含む世界中の数千の民間組織にも影響が及びました。SolarWindsの投資家は、同社のセキュリティ上の不備と、その後の株価下落に関連して集団訴訟を提起しました。

政府・防衛分野で発生した最悪のサイバー攻撃

以下は、政府・防衛分野に関連する歴史上最悪のサイバー攻撃です。

SQL Slammer（2003）

SQL Slammer ウイルスは、史上最も急速に広がったマルウェア攻撃の1つでした。Microsoft SQL Server の既知の脆弱性を悪用したこのウイルスは、数分以内に脆弱なシステムを感染させ、ユーザーの操作を必要とせずに指数関数的に拡散しました。その急速な伝播により、ATM、航空会社のシステム、緊急対応サービスでの障害を含む、広範な混乱が引き起こされました。

データを盗み取ることはありませんでしたが、このワームは大量のネットワークトラフィックを生成し、事実上サービス拒否攻撃（DoS）を引き起こしました。その後、世界中の組織はパッチ管理を優先事項にするようになり、既知の脆弱性から守るためにはソフトウェアを適時に更新することが極めて重要だという点が強調されました。

ロシア-ウクライナのサイバー戦（2022年以降）

ロシア-ウクライナ紛争は、重大なサイバー戦によって特徴づけられてきました。ウクライナ侵攻の前および侵攻中に、ロシアはウクライナのインフラを標的とする複数のサイバー攻撃を行いました。その一部は、国際刑事裁判所（ICC）が戦争犯罪の可能性として調査しています。たとえば2022年のサイバー攻撃では、70以上のウクライナ政府ウェブサイトが侵害され、追加の作戦ではウクライナ政府と銀行のウェブサイトの双方が標的となり、重大な混乱につながりました。ロシアはまた、サイバー手段によってウクライナの送電網を妨害し、広範な停電と混乱を生み出すことを狙っています。

ウクライナは、攻撃的・防御的の両方のサイバー戦略で対応しています。特に、ボランティアのサイバー部隊がロシア政府のウェブサイトや金融機関を標的とし始めており、同盟国はサイバー防御を強化するために情報と技術的支援を提供しています。

これらの出来事は、現代の紛争におけるサイバー戦の重要な役割を強調するとともに、強固なサイバーセキュリティ対策と国際協力の必要性を示しています。

米国人事管理局（OPM）（2014）

米国OPMは、米国史上でも最大級の規模で政府データが侵害された事件の1つとなりました。攻撃者は下請け業者から盗み出した認証情報を使って、OPMのシステムにアクセスしました。さらに後に、彼らがほぼ1年間にわたりOPMのシステムへのアクセスを維持していたことが明らかになりました。

連邦職員や請負業者を含む約2,210万人が影響を受けました。侵害されたデータには、氏名、社会保障番号、指紋データに加え、家族、ルームメイト、外国の連絡先、心理情報などの情報を含むセキュリティ許可（資格審査）関連情報が含まれていました。

OPMは被害者に対してクレジット監視およびアイデンティティ盗難防止の保護サービスを提供し、さらにOPMの長官（Director）と最高情報責任者（Chief Information Officer）の両名が辞任を余儀なくされました。

サイバー攻撃が企業に与える影響

マリオット（2018）

2018年11月、Marriott Internationalは、2014年にStarwoodで始まった大規模なデータ侵害を明らかにしました。Starwoodは2016年にMarriottが買収したものの、まだ同社の予約システムへ移行できていなかった企業です。サイバーセキュリティの専門家は、侵害の原因は国家の支援を受けた可能性のある攻撃者、たとえば中国からの関与者だったのではないかと考えています。理由の一つは、侵害されたデータが外国の情報機関にとって有用だった可能性があるためです。

• 手法 — 調査により、攻撃者が Remote Access Trojans（RATs）や mimikatz のようなツールを含むマルウェアをインストールして、アクセスを獲得しデータを持ち出していたことが判明しました。
• Impact — 攻撃者は、Starwoodの宿泊客予約データベースにある数億件の顧客記録へアクセスしました。データには名前だけでなく、パスポート番号や、有効期限付きの支払いカード番号といった非常に機密性の高い情報も含まれていました。Marriottは宿泊客に対し、身元（アイデンティティ）監視サービスを1年間無料で提供しました。2024年、同社はこの事件および他の2件のデータ侵害について、5,200万ドルの罰金を支払うことに合意するとともに、機密データの取り扱いと保護のプロセスを改善することでも合意しました。

ソニーの PlayStation Network（PSN）（2011年）

最大級のゲームおよびデジタルエンターテインメント・プラットフォームの1つであるソニーの PlayStation Network は、2011年に攻撃を受けました。

• 手口 — ハッカーは、PSN インフラの脆弱性、サーバーのセキュリティが弱いこと、そして適切な暗号化なしでデータを保管していた点を悪用しました。
• 対応 — ソニーは不正なアクセスを検知すると、侵害を調査するために PlayStation Network を停止しました。サービスの完全な復旧には数週間かかりました。
• 影響 — 今回の侵害により、氏名、住所、メールアドレス、生年月日、ログイン認証情報などを含む、約7,700万件の PSN アカウントの個人データが漏えい（侵害）しました。ソニーは、侵害によるコストを1億7100万ドルと見積もりました。同社はネットワークのセキュリティを強化するため、新たな暗号化プロトコル、ファイアウォール、監視システムを導入することが求められました。さらに呼び込み策として、「Welcome Back」プログラムを開始し、影響を受けたユーザーに無料のゲーム、映画、そして1か月間の PlayStation Plus サブスクリプションを提供しました。

Equifax (2017)

米国最大級の信用情報機関の一つである Equifax は、これまでで最大規模の機密データ侵害の1つを被りました。2020年2月、米国政府はこの事件に関して中国の人民解放軍のメンバーを起訴しました。

• 手口 — Equifax の社内ネットワークへ侵入するため、攻撃者は Apache Struts というオープンソースの Web アプリケーション・フレームワークの脆弱性を悪用しました。その後、Equifax の従業員の認証情報を侵害（窃取）し、信用監視データベースにアクセスできるようにしました。検知を避けるため、ハッカーは 51 のデータベースからデータを一つずつ慎重に持ち出しました。
• 対応 — この侵害は 76日間、検知されませんでした。発覚後、Equifax は米国の国土安全保障省（Department of Homeland Security）からの支援を断り、その代わりに民間のサイバーセキュリティ企業を起用して、侵害対応を支援してもらいました。分析により、Apache Struts の不具合に対するパッチは侵害のかなり前から存在していたにもかかわらず、Equifax がまだ適用していなかったことが判明しました。（実際、2015年の社内監査で同社のパッチ適用プロセスに関するシステム的な問題が明らかになっていましたが、その大半は2017年の侵害前に対処されていませんでした。）さらに、いくつかのシステムでは適切な暗号化やセキュリティプロトコルが不足していました。
• 影響 — この事件により、米国の約1億4,790万人の居住者（国の人口のほぼ半数）および英国・カナダの数百万人の市民の機密情報が露呈しました。Equifax は、被害を受けた個人への無料のクレジット・モニタリングやID盗難防御に加え、より強力な暗号化、MFA、リアルタイムの脅威監視などのサイバーセキュリティ改善を含め、14億ドルの費用を負担しました。Equifax はまた、規制当局や民間団体からの複数の訴訟や調査にも直面しました。この事件は、議会での公聴会の開催や、より厳格なデータ保護法の制定を求める声を引き起こしました。

注目すべき諜報（スパイ）目的のサイバー攻撃

Google（2009）

2009 年に Google を対象として行われた高度な攻撃は、中国政府を批判する人権活動家や政治的な反体制派に関する情報の収集を目的としていました。さらに、それは知的財産や企業の機密情報を盗むための、より大規模な取り組みの一部だった可能性もあります。

• 手口 — 攻撃者は Microsoft Internet Explorer のゼロデイ脆弱性を悪用し、Aurora という名称の悪意のあるコードを遠隔で実行できるようにしました。これにより足場を築き、データを流出させました。さらに、スピアフィッシングメールを用いて従業員を狙い、システムへのアクセスを獲得しました。
• 対応 — この攻撃は中国にある Google のインフラを狙いましたが、Adobe Systems、Yahoo、Juniper Networks、Northrop Grumman などを含む 20 以上の他の組織も被害を受けました。
• 影響 — 今回のサイバー諜報の一件は、計り知れない影響を及ぼしました。Googleは、中国の法律で求められている検索結果の検閲を中国では今後行わないと発表し、その代わりに、中国のユーザーを検閲されていない香港サイトへリダイレクトし始めました。また、この攻撃は米中関係にも緊張をもたらしました。Googleは中国政府を直接非難しなかったものの、サイバーセキュリティの専門家や米国当局者は、犯行の可能性が高いのは中国の国家が支援するハッカーだと指摘しています。

イランの核計画（2010年）

2010年のStuxnet（スタックスネット）によるサイバー攻撃は、イランの核濃縮プログラムを狙った革新的で非常に高度な作戦でした。コンピューターワームを用いて産業設備に物理的な損傷を与え、サイバー戦争の新しい時代を切り開きました。

• 背景 — 2000年代初頭までに、イランはウランを濃縮しており、核兵器を獲得してさらにこの地域の不安定化を招く可能性があるとして、欧米諸国の間で懸念が高まっていました。外交努力や経済制裁では、イランの進展を止めることができませんでした。
• 手法 — このサイバー攻撃は、Stuxnet という高度なコンピュータワームに依存していました。これは、米国とイスラエルが秘密裏の作戦の中で共同開発したと考えられているものです。 . インターネット接続がなかったイランのウラン濃縮施設にある産業用制御システムへ侵入するために、ワームは感染したUSBドライブを介して拡散し、Windowsシステムのゼロデイ脆弱性を悪用しました。侵入後、Stuxnetは遠心分離機の運転パラメータを変更し、許容範囲を超える速度で回転させて機械的な故障につなげました。同時に、監視システムへ誤ったフィードバックを送信し、あたかも運転が正常に行われているように見せかけました。
• 影響 — 報道によると Stuxnet は約 1,000 台の遠心分離機を破壊し、イランが兵器級ウランを入手するという目標に対して大きな打撃となりました。今回の攻撃は、世界的なサイバー兵器競争を激化させ、より多くの国が攻撃・防御の両面でのサイバー能力への投資を進めました。特に、イランは米国の金融機関やインフラに対するサイバー攻撃を開始しました。また、Stuxnet の使用は、国際法の下でサイバー攻撃が適法であるかどうかについての議論を呼び起こしました。

サイバー攻撃の予防と対応力の向上

上で詳述したサイバー攻撃は、すべての組織が サイバーセキュリティ対策とレジリエンス（復旧・耐障害性）計画 を強化する必要があることを示しています。さらに、進化し続ける脅威に対抗するための国際協力も不可欠です。

インシデント対応の戦略を構築する

効果的なインシデント対応計画を構築したい組織は、以下の戦略を盛り込むことを検討してください：

即時の封じ込めと軽減

• 影響を受けたシステムを ネットワークから切断して、攻撃の拡散を防ぎます。
• 社内または外部のサイバーセキュリティチームを起動し、攻撃を評価して無力化します。
• 侵害された場合は、クリーンなバックアップを使用してデータとシステムを復元します。
• 重要なデータとインフラを優先してください。
• 捜査機関と連携して、攻撃者の調査と追跡を行います。

コミュニケーション

• すべての従業員に侵害の事実を通知し、ガイドラインを提供します。
• 顧客データが侵害された場合は、影響を受ける当事者への通知に関する法的要件および社内方針に従ってください。
• 透明性を維持し、情報発信の主導権を確保するために、プレスリリースを発行します。

調査

• 攻撃の性質、侵入経路（攻撃ベクター）、および攻撃者の身元を調査します。
• 再発を防ぐため、根本原因の分析を行い、脆弱性を特定して修正します。

法的および規制上のコンプライアンス

• データ保護機関など、関連する当局に攻撃を報告します。
• インシデントが第三者ベンダーの過失による結果であった場合は、法的措置を検討してください。

防御を強化する

• パッチを適用してソフトウェアを更新し、脆弱性を解消しましょう。
• ファイアウォール、侵入検知システム、そして エンドポイントのセキュリティツールを導入してセキュリティを強化しましょう。
• 従業員に対して、フィッシングやその他の脅威を見分ける方法を教育しましょう。

政府の対応オプション

上記の対応戦略を用いて侵害に直接対処することに加えて、政府には以下のような追加の選択肢がある場合があります。

外交的措置

• 責任主体を公に特定する。
• 攻撃を実行または支援する組織に対して、経済的または政治的制裁を課す。
• NATO や UN（国際連合）などの国際的なパートナーや同盟と連携し、集団としてのサイバーセキュリティ防御を強化しましょう。

法的および政策上の対応

• サイバー犯罪に関する法律を強化し、適切な法の適用と攻撃者の起訴を行いましょう。
• 透明性を高めるために、企業に対する報告要件を定めましょう。
• サイバー犯罪の撲滅を担う法執行機関間で、多国間および国際的な協力を促進しましょう

能力開発

• リスク管理 と 予防のための枠組みを開発します。
• 民間企業と連携して重要インフラを確保します。
• サイバー衛生について一般の人々に周知する啓発キャンペーンを実施します。

報復

報復は、ハックバック（hackbacks）と反撃（counterattacks）の2種類に分けられます。

• ハックバックのシナリオでは、攻撃された側の国が加害者をハックし返すことでサイバー攻撃に対抗しようとします。ハックバックは議論を呼んでおり、ほとんどの研究者はそれを妥当な選択肢とは見ていません。
• もう一つ、さらに極端な変種として、国が物理的な反撃を行うことを検討する場合については、政策フォーラムで議論されています。これまでのところ、軍事的な対応がサイバー攻撃への直接的な報復としてサイバー攻撃に用いられたことはありません。

企業および政府のためのサイバーセキュリティのベストプラクティス

サイバー脅威に対する回復力（レジリエンス）を高めるために、あらゆる分野の組織は次の対策を採用できます：

脅威の予防

• 最小権限の原則を厳格に適用し、principle of least privilege 各ユーザーのアクセス権を、その役割に必要な範囲に制限してください。
• インテリジェントな MFA を導入してください。
• システムを定期的に更新し、パッチを適用してください。
• 脆弱性を特定するために risk assessments を定期的に実施してください。
• 定期的なペネトレーションテストを実施し、シミュレートされたサイバー攻撃に対する現在の防御の有効性を検証します。
• 「Zero Trust policy 」を ネットワークアクセス に適用します。
• すべてのユーザーを対象にセキュリティ意識向上トレーニングを実施し、フィッシング、ソーシャルエンジニアリング、その他の一般的な攻撃ベクトルを必ず取り上げるとともに、不審な活動を簡単に報告できる手段を提供してください。模擬フィッシングキャンペーンの実施などのシミュレーション脅威シナリオを用いて、従業員の対応力と意識をテストします。

脅威の検出と対応

• 脅威の検出を改善 するために、エンドポイント検出・対応（EDR）および侵入検知システム（IDS）を導入します。
• 活動を監視し、高度な分析を活用して不審な挙動を見つけましょう。
• 脅威インテリジェンスのフィードを購読して、新たなエクスプロイトに関する情報を常に把握しましょう。
• サイバーセキュリティ企業、法執行機関、政府機関と連携して、脅威インテリジェンスやその他のリソースを共有しましょう。

インシデント対応（復旧）

• サイバーインシデントを封じ込め、復旧するための手順と、担当する役割・責任を明確にした包括的なインシデント対応計画を作成しましょう。
• データや主要なシステム（例：Active Directory）を定期的にバックアップし、バックアップを徹底的にテストしてください。すべてのバックアップは、オフサイトの不変（immutable）ストレージを使用して安全に保管します。

Netwrix ができること

Netwrix は、組織がサイバー攻撃に対する防御を強化し、脅威を早期に検知して、起こり得る被害を軽減できるようにする一連のソリューションを提供しています。これらには次が含まれます。

• Netwrix Auditor は、変更、設定、およびアクセス許可を監査することで、IT 環境に対する包括的な可視性を提供します。これにより、組織は不審な活動を検知し、インシデントを調査し、脆弱性に対処することで、攻撃リスクを低減できます。
• Netwrix Threat Prevention は、リアルタイムの監視と分析によって、インフラ内の異常な振る舞いおよび潜在的な脅威を特定します。これにより、リスクを軽減するための先手の対応が可能になります。
• Netwrix Threat Manager は、セキュリティチームに自動化された脅威対応機能を提供し、インシデント管理を効率化するとともに、セキュリティインシデントを効果的に対処するまでの時間を短縮します。
• Netwrix Endpoint Protector は、エンドポイントを保護することで攻撃の発生源からサイバー攻撃を阻止します。機密データへのアクセスを監視・制御し、不審な活動を検知して、不正な変更やデータの持ち出し（データの流出）を防ぎます。

結論：史上最大級のサイバー攻撃から学ぶ教訓

歴史は、サイバー脅威が持続的で、かつ拡大し続ける課題であることを教えてくれます。技術が進化するにつれて、攻撃手法もそれに応じて進化してきました。サイバー犯罪はますます商業化が進み、ダークウェブのプラットフォームが盗まれたデータの販売を後押しし、ランサムウェアやその他の選択肢を「サービス」として提供するようになっています。国家は現在、サイバー能力を諜報、破壊工作、影響工作に用いており、重要インフラは深刻な現実被害をもたらす最優先の標的となっています。

今後は、攻撃対象領域（アタックサーフェス）の拡大が進むと考えられます。スマートホームから工業用センサーまで、あらゆる場面でモノのインターネット（IoT）デバイスが増えることで、攻撃者の侵入口はより多くなります。2030年までに数十億台のデバイスが接続される見込みで、その多くはセキュリティが十分ではない可能性があります。人工知能が重要なシステムに組み込まれるにつれ、攻撃者はAIモデルや意思決定プロセスに存在する脆弱性を狙うでしょう。5Gおよび今後のネットワーク技術の普及は接続性を高め、より多くのネットワークが、より多くのサイバー脅威にさらされることになります。

同時に、脅威はさらに洗練されていきます。攻撃者はAIを使って、より高度なマルウェアを作成し、攻撃を自動化し、フィッシングの手口において人間の行動を模倣するでしょう。量子コンピューターによって現在の暗号化方式が時代遅れになり、機密データが解読にさらされる可能性もあります。

リスクを軽減するための鍵は、準備、協力、そして革新です。人的要素は依然として重要な弱点であり、強力なトレーニングと効果的なアクセス制御の必要性が浮き彫りになります。高度な技術は攻撃だけでなく防御においても重要な役割を果たし得ます。たとえば、AIはより迅速で正確な脅威の検知と対応を可能にし、量子コンピューティングはより強力な暗号化と、より安全な通信システムを実現します。より大局的には、組織は明確なインシデント対応計画を策定し、信頼できるバックアップを維持し、堅牢なレジリエンス（復元力）戦略を実装する必要があります。

よくある質問

歴史上最大規模のサイバー攻撃は何ですか？

史上最も破壊的なサイバー攻撃として広く見なされているのは、2017年6月の NotPetya 攻撃です。主な標的はウクライナでしたが、マルウェアは急速に世界中へ拡散し、被害額は推定で100億ドル（$10 billion）を超えました。

米国で最大のサイバー攻撃は何でしたか？

米国で最大規模の攻撃には、次のものがあります。

• SolarWinds — 2020年、攻撃者が SolarWinds の Orion ソフトウェア更新に悪意のあるコードを仕込み、その後、その更新は米国の連邦政府機関やフォーチュン500企業など多数のクライアントに配布されました。
• Colonial Pipeline — 2021年5月、米国の主要な燃料ディストリビューターである Colonial Pipeline がランサムウェア攻撃を受け、パイプラインの運用が停止して燃料不足が生じました。
• 中国のサイバー諜報活動 — 2024年、中国のハッカーは、大統領候補やその関係者を含む米国の政治家の携帯電話を標的にしました。この作戦は、個人の機密データを収集し、政治プロセスに影響を与えることを目的とした、より広範な諜報活動の一環でした。

最も有名なサイバー攻撃にはどのようなものがありますか？

世界規模での重要性、メディアでの報道、そして長期にわたる影響によって際立つサイバー攻撃には、次のようなものがあります。

• Stuxnet — イランのウラン処理施設を標的にしたこのマルウェア攻撃は、物理インフラを狙った最初の既知のサイバー兵器と見なされています。
• WannaCry — このランサムウェア攻撃は、150か国で20万台を超えるコンピューターに影響を与えました。
• NotPetya — この破壊的なマルウェアによる総被害額は、100億ドルを超えると推定されています。
• Equifax — この侵害により、米国の居住者 1,4790万人の個人データに加え、数百万人の英国およびカナダの市民のデータも流出しました。

最悪のサイバー犯罪は何でしたか？

最悪のサイバー犯罪の候補には、次のようなものがあります：

• NotPetya（2017）。世界中の主要企業を次々と停止させた
• WannaCry（2017年）。世界中の Windows システムを身代金目的で暗号化しました
• Equifax（2017年）。1億4800万人以上の個人データが流出しました
• Yahoo（2013年）。30億件のアカウントが侵害されました

大規模なサイバー攻撃では何が起こるのでしょうか？

サイバー攻撃は一般的に複数のフェーズ（段階）で構成されます。まず、攻撃者はターゲットのシステム、ネットワーク、脆弱性に関する情報を収集します。初期の足がかりを得るために、フィッシング、マルウェア、脆弱性の悪用、盗難された認証情報などの手法をよく用います。侵入に成功すると、権限を昇格させ、追加のシステムへ横方向に移動します。最後に、業務を妨害したりデータを盗んだり暗号化したりして任務を完了し、痕跡を隠すためにログを削除します。

攻撃が検知された場合、組織は影響を受けたシステムを隔離し、侵害がどのように発生したのかを分析して攻撃者を特定します。さらに、バックアップからシステムを復旧し、脆弱性をパッチ適用したうえで、影響を受けた当事者、利害関係者、そして捜査機関に侵害について通知します。結果として、復旧コスト、評判の毀損や事業機会の損失、罰金、訴訟、そしてより厳格な監督などが発生する可能性があります。

よくある質問

サイバー攻撃とは何で、どのように発生するのでしょうか？

サイバー攻撃とは、コンピュータシステム、ネットワーク、またはデータに対して侵害、破壊、あるいは無断のアクセスを試みるあらゆる意図的な行為です。こうした攻撃は、マルウェア、フィッシングメール、ソーシャルエンジニアリング、またはセキュリティの脆弱性の悪用など、さまざまな手法を通じて行われます。映画の描写とは異なり、成功している攻撃の多くは、正体不明のハッカーが激しくキーを叩いているようなものではありません。人間の行動や組織の弱点を突く、計画的で手順のある作業が中心です。

現代のサイバー攻撃は、通常、偵察（reconnaissance）から始まります。攻撃者はソーシャルメディア、公開データベース、企業のWebサイトなどを通じてターゲットを調査します。次に、フィッシングメールやソーシャルエンジニアリングを使って、従業員をだまし、悪意のあるリンクをクリックさせたり、認証情報を提供させたりします。侵入後は、攻撃者がネットワーク内で横方向に移動し、価値のあるデータやシステムに到達するまで権限を段階的に引き上げます。最も被害の大きい攻撃は、攻撃者が情報を静かに集め、次の行動を計画している間に、数か月にわたって検知されないことがよくあります。

現実には、攻撃者はもはや単に侵入するだけではありません。盗み取ったり改ざんしたりした正規の認証情報でログインするのです。だからこそ data security はアイデンティティ（Identity）から始める必要があります。攻撃者が有効な認証情報を使ってあなたのシステムにアクセスできる場合、従来の境界（パリティ）セキュリティは意味を失います。組織には、誰が何にアクセスできるのか、そのアクセス権をどのように使っているのかを可視化し、侵害を示す異常な行動パターンを検知できる能力が求められます。

組織はサイバー攻撃を効果的にどのように防止できるのでしょうか？

効果的なサイバー攻撃の防止には、技術的な脆弱性と人為的な要因の両方に対処する多層的なアプローチが必要です。まずは基本のセキュリティ衛生（hygiene）から始めましょう。ソフトウェアを最新に保ち、多要素認証を導入し、最新のバックアップを維持します。ただし、これらの基本だけでは、アイデンティティとアクセス管理の弱点を悪用する高度な攻撃者は止められません。

最も重要な予防戦略は、機密データへのアクセスを制御し監視することに重点を置きます。最小権限の原則を実装してください。ユーザーは職務上必要なリソースにのみアクセスできるようにします。定期的なアクセスレビューは、不必要な権限が攻撃の足がかりになる前に、それらを特定して削除するのに役立ちます。ユーザーがこれまでに一度もアクセスしたことのないファイルにアクセスしたり、想定外の場所から接続したりするなどの、異常なアクセスパターンを検知できる監視ソリューションを導入しましょう。

従業員教育は引き続き欠かせませんが、それだけでは十分ではありません。セキュリティ意識向上プログラムに加えて、人為的なミスが起きた際に被害を抑える技術的な統制を組み合わせましょう。たとえば、疑わしいメッセージをユーザーに届く前に検知して隔離（quarantine）するメールセキュリティソリューションを導入します。攻撃が起きたときにチームが迅速に実行できるインシデント対応手順も作成してください。予防は「侵入できない要塞」を作ることではありません。組織をより攻撃しづらい対象にしつつ、脅威を素早く検知して対応できる状態を確保することが目的です。

サイバー攻撃を検知した直後に、まず何をすべきですか？

サイバー攻撃への対応では、対応までの時間が極めて重要です。最優先は封じ込め（コンテインメント）です。影響を受けたシステムを隔離して、横方向への移動を防ぎつつ、調査のための証拠は保持してください。侵害された端末をネットワークから切断しますが、メモリに保存されている貴重なフォレンジック情報が失われる可能性があるため、すぐに電源を落とさないでください。

直ちにインシデント対応チームと連絡（コミュニケーション）計画を有効化してください。対応の調整や対外連絡を行うために、窓口を1つに定めます。すべてを記録してください——タイムスタンプ、実施した対応、影響を受けたシステム、収集した証拠。これらの記録は、復旧作業、保険請求、そして起こり得る法的手続きのために極めて重要になります。攻撃の性質や規模に応じて、経営陣、法務担当（弁護士等）、場合によっては捜査機関などの関係者へ連絡してください。

範囲と影響を素早く、しかし徹底的に評価してください。どのデータやシステムにアクセスされたのか、データが盗まれたのか、改ざんされたのか、そして攻撃がどのように発生したのかを特定します。この評価は復旧戦略を左右し、復元作業の優先順位付けにも役立ちます。まずは重要な業務機能の復旧に集中しましょう。ただし、攻撃を可能にした脆弱性に対処する前に、通常運用へ急いで戻らないでください。根本的なセキュリティの欠落を直さずに復旧にだけ注力すると、多くの組織が繰り返し攻撃を受けます。

サイバー攻撃者はなぜソーシャルエンジニアリングの手法を使うのでしょうか？

ソーシャルエンジニアリングが機能するのは、技術的な脆弱性ではなく人間の心理を悪用するためです。攻撃者は、適切に設定されたセキュリティシステムを突破するよりも、人を操作するほうが簡単だと感じています。攻撃者は、信頼、権威、切迫感、恐怖を利用して、被害者にセキュリティ対策を自ら回避させるよう説得します。巧妙に作られたフィッシングメールは、技術的な攻撃で実現するまでに数週間かかることを、数分で達成できる場合があります。

ソーシャルエンジニアリングの有効性は、ソーシャルメディアと一般に公開された情報によって劇的に高まっています。攻撃者は標的を徹底的に調査し、正当で関連性があるように見えるパーソナライズされたメッセージを作成します。攻撃者は、信頼性を高めるために最近の会社の出来事、共通のつながり、あるいは現在の業界の課題に言及することがあります。この調査段階により、彼らのアプローチはより説得力を増し、受信者が悪意あるものだと見抜くのが難しくなります。

ソーシャルエンジニアリング攻撃は、攻撃者に正規の認証情報（資格情報）やアクセス経路も提供します。従業員が偽のログインページにユーザー名とパスワードを入力すると、攻撃者はセキュリティアラートを発報させることなく、システムに対する正規のアクセス権を得ます。これが、アイデンティティ（Identity）に重点を置いたセキュリティアプローチが不可欠である理由です。つまり、それらは認証情報が侵害される可能性を前提とし、不正なアクセス試行を単に遮断するだけでなく、不審な行動パターンを検知することに注力します。組織は、セキュリティ意識のトレーニングと、侵害されたアカウントを迅速に特定して対応できる技術的コントロールを組み合わせる必要があります。

1日に発生するサイバー攻撃はどれくらいの数で、最も多い種類は何ですか？

サイバー攻撃は絶え間なく発生しており、インターネット上で毎日数千回の試みが行われているという推定もあります。とはいえ、その大部分は自動化され、難易度が低い攻撃です。たとえばポートスキャン、マルウェアの配布、あるいは認証情報の詰め込み（credential stuffing）攻撃の試行などです。より深刻なのは、特定の組織を狙った標的型攻撃に関する統計です。発生頻度ははるかに低いものの、被害は大きくなります。

フィッシングは、成功した侵害における最も一般的な攻撃ベクターであり、80%以上のセキュリティインシデントで確認されています。これらの攻撃は、わかりやすいスパムメールを超えて、個人向けにカスタマイズされたメッセージで特定の個人を狙う高度なスピアフィッシング（spear-phishing）キャンペーンへと進化しています。ランサムウェア攻撃も大幅に増加しており、新しい亜種が定期的に登場し、攻撃者はますます高額な支払いを要求しています。

最も危険な傾向は、複数の技術を組み合わせた攻撃です。現代の攻撃キャンペーンでは、初期アクセスを得るためにソーシャルエンジニアリングから始め、ネットワーク内を移動するために正規の管理ツールを使用し、悪意のあるソフトウェアを投入する前にデータ窃取を行うことがあります。こうした多段階の攻撃は、各ステップで正当なツールと資格情報を使うため、検知や防御がより困難です。この進化は、「明白な攻撃手法をブロックするだけ」ではなく、Identity と行動のモニタリングに重点を置く必要がある理由を裏付けています。