2023年のサイバー攻撃：主要インシデントと2025年に活かす学び

2023年には、壊滅的なサイバー攻撃が大量に発生し、被害を甚大にするランサムウェア攻撃から、重要インフラを狙った侵害まで幅広く見られました。脅威アクターがますます革新的な手口を用いる中で、最も重大な攻撃とその含意を理解することは、強固な防御を構築するうえで不可欠です。

本記事では、2023年の主要なサイバー攻撃とその影響を分析し、出現しつつある傾向を明らかにするとともに、現代的な脅威から組織を守るための実行可能な戦略を提示します。

2023年の代表的なサイバー攻撃トップ

注目を集めた標的

2023年、政府機関や大企業はサイバー犯罪者の主要な標的の一つでした。攻撃は、機密データの悪用と重要な業務の妨害の両方に焦点を当てていました。主な例として、次のようなものがあります：

• 米国務省の侵害：2023年初頭の攻撃 が米国務省を標的に行われ、機密性の高い外交通信が侵害されました。この侵害は国家が後援する組織による犯行の可能性があると見られており、国家の安全保障と国際関係の双方が危険にさらされています。
• 医療分野への攻撃：2023年4月、Enzo Biochem へのサイバー攻撃により、240万人の患者の個人情報が侵害されました。攻撃者は共有され、かつ古いログイン資格情報を使ってネットワークにアクセスし、監視が不十分だったため数日間検知されないまま残るマルウェアを設置しました。この攻撃は業務の停止には至りませんでしたが、同社のセキュリティ運用における重大な脆弱性が明らかになり、医療分野でより強固な防護策が不可欠であることを示しています。
• エネルギー業界への攻撃：2023年5月の デンマークのエネルギー部門へのサイバー攻撃 では、Zyxel のファイアウォールの脆弱性を悪用して 22 社を標的にしました。攻撃はエネルギー供給を妨げることはありませんでしたが、パッチ未適用のシステムがもたらすリスクと、重要インフラに対して重大な損害が発生しうる可能性を明らかにしました。
• 運輸・物流分野への攻撃：重大度の高い脆弱性を悪用し、 DP World Australia への攻撃 は同国の輸入・輸出能力の約 40%に影響を与えました。

ランサムウェアの流行

2023 年、ランサムウェア攻撃は拡大し、より巧妙になり、金銭的な被害も一段と大きくなりました。攻撃者は単純なデータの暗号化にとどまらず、データの外部流出や盗み出したデータの公開によって支払いを強要するなど、より破壊的な手口へと進みました。ここでは、2023 年にランサムウェア攻撃を受けた企業を 2 社だけ紹介します：

• Johnson Controls, スマートビル技術の世界的リーダーである同社は、 ランサムウェア集団 による攻撃を受けました。この集団は、機密情報を盗み出して漏えいさせることで知られています。攻撃により業務が機能不全に陥り、数百万ドル規模の財務損失につながりました。
• Caesars と MGM。米国最大級のホテルおよびカジノチェーンの2社が、ランサムウェアの攻撃キャンペーンを受け、ホテルのチェックインシステムからスロットマシンまで、全インフラが停止させられました。脅威グループ AlphV（BlackCatとしても知られる）が犯行を認めたと主張しています。
• Boeing。世界最大級の防衛・宇宙分野の請負企業の一つである Boeing は、Lockbit による攻撃の標的となりました 2023年11月。DP World のインシデントにつながったのと同じ脆弱性を悪用したのです。

サプライチェーンの脆弱性

また 2023 年には、サプライチェーン攻撃が急増しました。サイバー犯罪者は信頼できる第三者ベンダーを狙い、その顧客やその他のパートナーにまで侵入を試みたのです。ここでは主要なインシデントを2件紹介します：

• SolarWinds 攻撃：2023 年に新たに発生した出来事ではありませんが、SolarWinds 攻撃の影響はその後も年を通して続き、政府機関や民間企業への侵入がどの程度まで及んでいたのかについて新たな事実が明らかになりました。攻撃者は侵害された SolarWinds のソフトウェア更新プロセスを悪用し、数千社のネットワークを突破しました。これは、サプライチェーンの脆弱性によって引き起こし得る被害の規模の大きさを示しています。
• MOVEit と MOVEit Cloud 悪用事例：攻撃者は これらのファイル共有および管理ソリューションにあるゼロデイの脆弱性を悪用して、500社を超える組織から機密性の高いビジネスデータを盗み、3,450万人を超える個人の個人情報を漏えいさせました。

2023年のサイバー攻撃の傾向

以下のサイバー攻撃における新しい傾向は、戦場がどこへ向かっているのかを理解する手がかりになります。

主要なサイバー攻撃のケーススタディ

2023年の主要なインシデントを詳しく見ることで、世界中の組織にとって貴重な学びにつながります。

Johnson Controls へのランサムウェア攻撃

Johnson Controls に対する ランサムウェア攻撃は、業務を混乱させただけでなく、高度に相互接続されたシステムが抱えるサイバーセキュリティ上の課題についての認識も高めました。

2023 年半ば、既知のサイバー犯罪グループが Johnson Controls のネットワークに侵入し、ランサムウェアを使用して重要データを暗号化しました。報道によれば、この攻撃は IT システムだけでなく、同社の運用技術（OT）ネットワークにも影響し、医療、政府、商業不動産などの各セクターにわたって顧客へサービスを提供する同社の能力を妨げたとされています。

この攻撃は、OT ネットワークのようなスマートインフラの脆弱性と、これらのシステムがサイバー犯罪者の標的としてますます魅力的になっていることを浮き彫りにしています。組織が、より多くの IoT 対応ソリューションやクラウドベースのプラットフォームを導入するにつれ、それらを保護するための強固なサイバーセキュリティ対策を実装する必要があります。たとえば、OT システムに依存する企業は、これらのネットワークが少なくとも IT 側の環境と同等のセキュリティであることを確実にし、さらにランサムウェアの拡散を抑えるために OT 環境と IT 環境の間で強力なセグメンテーションを実施する必要があります。

MOVEit および MOVEit Cloud の悪用

2023年半ば、脅威アクターは MOVEit Transfer および MOVEit Cloud のゼロデイ脆弱性を悪用して、500 以上の組織に侵入しました。具体的には、この脆弱性により攻撃者は未授权の SQL コマンドを実行し、機密データを抽出すると同時に、より広範なネットワーク悪用のための悪意あるコードを注入できるようになりました。多くの組織では疑わしい活動を検知するための適切な監視プロセスが欠けており、その結果、攻撃者は長期間にわたり攻撃を継続できました。Clop ランサムウェアのグループは責任を主張し、身代金が支払われない限り盗まれたデータを公開すると脅迫しました。

この事件は、現代のデジタル・エコシステムが持つ相互接続性と、サプライチェーンソフトウェアに内在する固有のリスクの両方に光を当てています。つまり、重要なツールに存在する単一の脆弱性が連鎖的に広がり、世界的な危機へと発展し得るということです。さらに、脅威アクターの高度化が進み、サプライチェーンソフトウェアのような高い見返りが期待できるターゲットに注目していることも示しています。

サプライチェーンセキュリティにおける目立った弱点に対処するには、組織はより包括的なサイバーセキュリティのアプローチを採用する必要があります。将来的に同様のインシデントを防ぐためにも、ソフトウェアベンダー、組織、サイバーセキュリティ機関の間で連携を強化することが重要です。

DarkBeam データ漏えい

2023年半ば、攻撃者が DarkBeam のネットワークに侵入しました。DarkBeam は、ダークウェブ上の活動を監視し、企業向けに脅威インテリジェンスを提供することを専門とする会社です。侵害の全容はまだ調査中ですが、初期報告では次のことが明らかになっています。

• 顧客データが盗まれました。 脅威インテリジェンス レポート、ユーザー名、パスワード、そして潜在的に機密性の高い組織の詳細など、顧客のために収集されたデータが公開されました。
• プラットフォームの脆弱性が悪用されました。 研究によると、DarkBeam のプラットフォームにある脆弱性により、攻撃者が認証対策を回避してデータ リポジトリにアクセスできた可能性があります。
• ダークウェブの活動レポートが公開されました。 皮肉にも、ダークウェブ上における自社の脆弱性を顧客に知らせるために収集されたデータが、悪意のある攻撃者にアクセス可能になりました。

DarkBeam の侵害は、強固な防御と先手を打った対策の重要性を改めて裏付けています。特に、組織はパートナーのサイバーセキュリティ態勢を確認するために、デューデリジェンス（適正評価）を実施する必要があります。

米国務省の侵害

2023年の中頃、攻撃者が米国務省を侵入し、data breach 国家安全保障と国際外交に広範な影響を及ぼしました。侵害の詳細は機密扱いとなっていましたが、捜査報道やサイバーセキュリティ企業から漏えいした情報は、懸念すべき状況を示していました：

• 高度な攻撃ベクトルの使用： 国家と結びつくことが多い高度持続的脅威（APT）グループが、攻撃の主犯であると考えられています。彼らはゼロデイの脆弱性を悪用して、初期アクセスを確保しました。
• 諜報を目的としたもの： この侵害の主な目的は、機密および機微な外交情報の窃取だったとみられます。盗まれたデータには、メール、レポート、さらに外交政策、交渉、国際協定に関連する暗号化された通信が含まれていた可能性があります。
• 長い滞在時間： 攻撃者は長期間にわたって発見されずに活動していた可能性があり、高価値のシステムへアクセスするために横方向の移動を行い、データを持ち出しました。

この侵害は、最も安全に見えるシステムであっても脆弱性が存在することを、改めて痛感させる教訓となります。将来同様のインシデントを防ぐために、政府機関は次のことを行う必要があります：

• 脅威検知のための人工知能（AI）や機械学習など、最先端のサイバーセキュリティ技術に投資しましょう。
• あらゆる階層の従業員に対して、サイバーセキュリティ意識の文化を育みましょう。
• 重要な政府機関へのサイバー攻撃を抑止するため、国際的な規範と協定を強化しましょう。

23andMe のデータ漏えい

2023年10月に、23andMe は侵害（ブリーチ）を報告しました 。攻撃者がユーザーアカウントに不正にアクセスし、機密性の高いデータを持ち出した（エクフィルトレートした）という内容です。この攻撃の注目すべき点は、以下のとおりです。

• クレデンシャル・スタッフィング（credential-stuffing）の使用：攻撃者は、以前の別件の侵害で盗まれた認証情報（credentials）を使用して 23andMe のアカウントにログインしました。この方法が成功したのは、多くのユーザーが複数のプラットフォームでパスワードを使い回していたためです。
• 広範な影響：23andMe のユーザーベースが世界中に広がっているため、この侵害は多様な背景を持つ人々に影響を及ぼし、国際的な懸念を高めました。
• 非常に個人的なデータの標的化：盗まれたデータには、氏名、メールアドレス、所在地などの個人を特定できる情報（PII）だけでなく、詳細な遺伝情報も含まれていました。DNA の親族共有機能を利用することを選択していたユーザーでは、家族関係や遺伝的特性もまた侵害されました。
• ダークウェブでのデータ販売：侵害の直後に、大規模な 23andMe のデータセットがダークウェブ上で販売されているのが見つかりました。さらに、一部のデータセットは特定の民族グループに関連していると宣伝されており、遺伝データが標的型の攻撃や差別のために悪用されるのではないかという懸念が高まりました。

クレジットカード番号など他の個人情報と異なり、遺伝データは不変で永続的です。そのため、悪用は長期的な脅威になります。実際、盗まれたデータが雇用主、保険会社、その他の組織によって悪用され、遺伝的素因に基づいて個人を差別するために使われるのではないかという懸念が残っています。

この事件をきっかけに、遺伝子データやその他の機微な個人情報について、より厳格な規制を求める声が高まりました。23andMeは、セキュリティ運用への懸念から多数の顧客がサービスを解約したため、直ちに売上への打撃を受けました。

組織に対するサイバー攻撃の影響

サイバー攻撃の標的となった組織は、以下に詳述するものを含め、幅広い結果に直面する可能性があります。

経済的損失

侵害（ブリーチ）による経済的な損失には、身代金の支払い、生産性の低下、法的費用、復旧サービスなどが含まれる場合があります。侵害の世界的なコストは数十億ドルに達しています。

記述された攻撃による損害は、数千万ドルから数億ドルの範囲に及びました。米国務省のような組織の侵害は、被害額を正確に見積もるのがより難しいのが現状です。中小企業（SMBs）は、侵害後に財務的に回復できない可能性があります。

風評被害

注目度の高い攻撃は、被害を受けた組織や政府機関に対する信頼を損なってきました。侵害による風評被害は、多くの場合、顧客がより安全だと見なす競合他社に乗り換えることで事業の喪失につながります。顧客、パートナー、そして一般の人々との信頼を再構築するには、何年もかかることがあります。

法的および規制上の影響

侵害（ブリーチ）を受けた組織は、高額な罰金を含め、規制当局から厳しいペナルティを科される可能性があります。さらに、監督（オーバーサイト）や監査（オーディット）が強化される場合もあります。

さらに、侵害（ブリーチ）は、事件の影響を受けた個人や団体による法的措置につながることがあります。実際、先に挙げたブリーチのうち3件の被害者は、いまだ継続中の集団訴訟（クラスアクション）に対応しています。そのため、結果として生じる影響の最終規模が完全に明確になるまでには、数年かかる可能性があります。

サイバーセキュリティへの支出増加

組織は、防御を強化するためにサイバーセキュリティの専門家を採用し、第三者のサービス要員を活用し、脅威検知システムやファイアウォール、エンドポイント向けセキュリティソフトウェアなどのツールに投資することで、サイバーセキュリティ予算を大幅に増やす必要が生じることがよくあります。このような支出の増加には、綿密な計画と適切な根拠が求められます。というのも、製品開発、マーケティング、従業員の育成といった、ビジネスの他の重要分野から資源が逸れてしまう可能性があるためです。

連鎖的な影響と遅れて現れる被害

重要なインフラへの攻撃は連鎖的な影響を及ぼし、また被害の発現が遅れることもあります。連鎖的な影響とは、実際に起きた出来事が、対象となった組織のビジネスパートナーや顧客、あるいは社会全体にまで影響を与えることを指します。DP World がオーストラリアでの事業運営を停止せざるを得なかった際には、数百の企業が必要な物資を受け取ったり発送したりできない状態に陥りました。医療提供者、特に主要な病院では、予定されていた治療を延期しなければならない可能性があります。その場合、リソースの再配置が必要になり、患者の長期的な治療計画にも影響が及ぶおそれがあります。

予防措置とベストプラクティス

先回りして講じる対策により、サイバー攻撃の被害に遭うリスクを軽減できます。以下に、いくつかのベストプラクティスを示します。

クラウド セキュリティ

• 定期的に監査を実施し、誤った設定を特定してください。
• ロールベースのアクセス制御（RBAC）と多要素認証（MFA）を使用して、機密データおよびシステムへのアクセスを厳格に制限してください。
• 暗号化を使用して機密データを保護してください。
• 疑わしいアクティビティを検出するために、クラウドネイティブの監視ツールと侵入検知システムを使用してください。

ランサムウェア対策

• 身代金を支払わずにデータを復旧できるようにするには、定期的にバックアップを取り、暗号化したうえでオフラインに保存してください。
• ランサムウェアを特定し、その実行をブロックするには、高度なエンドポイント検知・応答（EDR）ツールを導入してください。
• メールのフィルタリング、URL スキャン、フィッシングのシミュレーション訓練を活用して、フィッシング攻撃経由でランサムウェアが届けられるリスクを減らしましょう。
• 重要なシステムを、セキュリティがより低いシステムから分離することで、ランサムウェアがネットワーク内で横方向に移動するのを制限します。
• 最小権限モデルを用いてユーザー権限を制限し、侵害されたアカウントによる潜在的な被害を最小限に抑えましょう。
• 「data classification」とデータの最小化を厳格に行い、組織がどのような種類のデータを扱っているのかを正確に把握し、必要な分だけに絞りましょう。保存されていないデータは、ランサムウェア攻撃で悪用されることはありません。

ベンダー管理とサプライチェーンセキュリティ

• すべてのベンダーおよびパートナーのサイバーセキュリティ態勢を定期的に評価します。
• 第三者のアクセスは必須のシステムに限定し、異常な活動を監視します。
• 業界標準の遵守（例：ISO 27001）など、サイバーセキュリティ要件をベンダー契約書に盛り込みます。
• 可能であれば、ツールを使用してベンダーのシステムに脆弱性や侵害がないか監視します。
• 「Zero Trust」の原則を導入してください。検証されるまではすべての外部接続を信頼できないものとして扱い、活動を綿密に監視します。
• ベンダーおよびサプライチェーンのパートナーと、導入済みのセキュリティプロセスや、貴社のエコシステムに影響を与える可能性が高い攻撃パターンに関する新しい動向について、定期的に情報交換する体制を整えましょう。

インシデント対応

• コミュニケーション戦略を含め、インシデント対応における役割、責任、および手順を明確に示したインシデント対応計画（IRP）を策定しましょう。
• 定期的に訓練を実施し、シミュレーションによるサイバー攻撃（例：テーブルトップ演習）を通じてIRPを検証し、ギャップを特定して対応の準備態勢を向上させましょう。
• イベントを監視してログを記録し、security information and event management（SIEM）ツールを活用して、脅威の検知と対応を改善します。
• コミュニケーションのプロトコルを整備し、関係者、規制当局、および影響を受ける個人に対して、速やかかつ透明性をもって通知するための明確な戦略を用意しましょう。
• インシデントを解決した後は、徹底的な事後レビューを実施して得られた教訓を特定し、将来の対応戦略を改善します。

サイバーセキュリティの未来

以下は、近い将来に見込まれる主要なサイバーセキュリティのトレンドです。

脅威環境の大きな変化

IoTデバイスの利用が増えることで、個人、企業、そして重要インフラの攻撃対象領域が拡大します。さらに、量子コンピューティングの台頭により、現在の暗号化標準が課題に直面し、場合によってはそれらが時代遅れになる可能性もあります。

同時に、地政学的な緊張が高まることで、不可欠なサービスを標的とする国家支援型攻撃が増えることが予想されます。

技術の進歩

人工知能（AI）と機械学習（ML）は、サイバーセキュリティにおいて二つの役割を果たすことになります。サイバー犯罪者は、こうした技術をますます活用して高度なマルウェアを開発し、詐欺や誤情報のために説得力のあるディープフェイクを作成するでしょう。また、AI と ML により、攻撃の自動化、検知の回避、従来型の防御の突破が可能になり、彼らの能力も強化されます。

一方、防御側は AI と ML を活用して、強力な行動ベースの分析によって脅威検知を向上させるとともに、インシデント対応を自動化します。機械学習によって支えられる予測分析により、組織は攻撃パターンを事前に見通し、先手を打って防御を強化できるようになります。

より厳格な規制

各国政府は、より厳格なサイバーセキュリティ規制を導入し、データ保護やインシデント報告に関する基準をより高く設定するとともに、違反に対してより重い罰則を科すでしょう。たとえば米国の「Cyber Incident Reporting for Critical Infrastructure Act（重大インフラのサイバー・インシデント報告法）」では、侵害の検知後 72 時間以内に通知することが義務付けられています。

CISA やその他の規制機関は、MOVEit の悪用（MOVEit exploitations）のようなサプライチェーン攻撃を防ぐため、特にソフトウェアベンダーに対してコンプライアンス（遵守）に関する期待水準を引き上げています。そして、23andMe の遺伝データが露出（流出）したことで、機微なバイオインフォマティクスおよびゲノムデータを保護するために、より包括的な業界別規制を求める声が高まっています。

グローバルなサイバーセキュリティ協力

サイバー犯罪者はしばしば管轄区域をまたいで活動するため、各国政府、国際機関、民間企業が脅威インテリジェンスを共有し、標準化された規制を整備することが不可欠です。国連の政府専門家グループ（United Nations’ Group of Governmental Experts（GGE））や、NATO のような同盟は、サイバー空間における責任ある行動の規範を確立するために取り組んでいます。さらに、公民パートナーシップも先進的な防御ツールの開発を加速する上で重要な役割を果たします。ただし、地政学的な緊張、法制度の違い、各国間の資源格差がこれらの取り組みを妨げる可能性があり、信頼と協力を育むことの重要性が強調されます。

Netwrix ができること

Netwrix では、組織がサイバー攻撃から防御するために設計された複数の製品を提供しています：

• Netwrix Threat Manager. この高度な 脅威検知ソフトウェア は、機械学習とユーザー行動分析を活用して、不審なアクティビティをリアルタイムで特定し対応することで、潜在的な脅威を迅速に封じ込められます。
• Netwrix Threat Prevention. このツールは、既に侵害されたパスワードとして知られている 50 万件以上の包括的な辞書を活用し、弱いパスワードや盗まれたパスワードの使用を防ぐのに役立ちます。
• Netwrix Password Policy Enforcer. このソリューションにより、組織はパスワード ポリシー を Active Directory 全体で強制できるため、強力でカスタマイズ可能なポリシーを適用できます。
• Netwrix Password Secure. リアルタイムのアラートと包括的なレポートを提供するこのツールにより、組織はパスワードの脆弱性を事前に特定して対処でき、全体としてパスワードのセキュリティを強化できます。
• Netwrix Directory Manager Password Management. Microsoft Entra ID（旧 Azure AD）および Active Directory でユーザーが自分のパスワードをリセットできるようにし、すぐに業務に戻れるため、また IT チームはより戦略的なタスクに集中できます。さらにセキュリティを強化するために、パスワードのリセットを許可する前に MFA またはマネージャー承認をシームレスに要求します。
• Netwrix Access Analyzer for AD/EntraID. weak passwords のような重要なセキュリティ脅威を特定して対処したり、発生している可能性のある不審なログオンイベントを見つけたりできます。

結論

2023年には、サイバー攻撃が規模と巧妙さの両面で増加しました。重要インフラを標的にしたランサムウェアのキャンペーンから、サプライチェーンの脆弱性を悪用して数百の組織が侵害されたケースまで、被害は広がっています。多くのインシデントは、深刻な財務面・評判面・規制面での影響につながり、不十分なサイバーセキュリティ対策が浮き彫りになりました。

重要なポイントとして、組織がクラウドセキュリティを最優先に位置づけ、ランサムウェアへの強固な防御を導入し、サプライチェーンにおけるサードパーティのリスクに取り組む必要があることが挙げられます。実際、サイバー犯罪者が AI のような先進技術をますます採用し、接続されたデバイスを標的にするようになっている以上、組織はこれまで以上に、警戒心を持ち、積極的で、柔軟に対応しなければなりません。堅牢なインシデント対応計画を策定し、Zero Trust の原則を採用し、最先端の技術を活用して、脅威をリアルタイムで検知・軽減することが求められます。

協力も同じくらい重要です。企業は、業界の同業他社、サードパーティのベンダー、政府機関と連携して脅威インテリジェンスを共有し、統一された防御体制を構築する必要があります。サイバーセキュリティを業務運営の中核として優先し、意識を高める文化を育むことで、組織はリスクを軽減できるだけでなく、明日に向けて変化し続ける脅威に対するレジリエンス（強靭性）を築くことができます。何もしない場合の代償はあまりにも大きく、行動を起こす時期は今です。

よくある質問

最も一般的なサイバー攻撃の種類は何ですか？
一般的なサイバー攻撃には、フィッシング、ランサムウェア、分散型サービス拒否（DDoS）、サプライチェーン、クレデンシャルスタッフィング（credential-stuffing）攻撃などがあります。

中小企業はサイバー攻撃から身を守るにはどうすればよいですか？
中小企業は、マルチファクタ認証（MFA）を導入し、定期的にデータのバックアップを取り、ソフトウェアを頻繁に更新し、従業員にサイバーセキュリティのベストプラクティスを教育するとともに、エンドポイントのセキュリティソリューションに投資することで自社を守ることができます。

自社がサイバー攻撃を受けた場合、どうすべきですか？
直ちにインシデント対応計画を有効化し、さらなる被害を防ぐために侵害を封じ込めます。必要に応じて関係者や規制当局へ通知し、サイバーセキュリティの専門家を起用して調査を行い、安全にシステムを復旧してください。

サイバーセキュリティに関連する新しい規制はありますか？
はい、2023年には、国レベルおよび地方レベルの双方で新たなサイバーセキュリティに関する義務（mandates）が導入されました。これには、インシデント報告の期限をより厳格にすることや、ベンダーのリスク管理を強化するための要件が含まれています。