近年、サイバー犯罪者の手口はますます巧妙になっている。最新のトレンドや世間の関心が高い問題を悪用してマルウェアを拡散し、無防備なユーザーから個人情報を盗むのである。
お気に入りのテレビ番組に関するアプリであろうと、新型コロナ関連の政府の健康情報であろうと、荷物の不在配達の追跡であろうと結果はどれも同じで、結局はデバイスを感染させて詐欺や盗難を行うのだ。
ごく一般的な種類のマルウェアからデバイスを保護するためには、日頃からの基本的なサイバーセキュリティ衛生が鍵となる。しかし、非常に巧妙なサイバー攻撃を防ぐためには、テクノロジーにあらかじめ組み込まれたセキュリティが欠かせないのである。
シークレットサービスは大統領を守ることで有名だが、彼らの別の主要任務には米国の金融インフラと決済システムを保護し、米国の偽造通貨、銀行・金融機関詐欺、不正資金操作、ID窃盗、アクセス機器詐欺、サイバー犯罪など、幅広い金融・電子犯罪から経済の健全性を維持するというものがある。
モバイル機器が広く普及した現在、国土安全保障省（DHS）が推奨しているように「ユーザーはアプリのサイドロードや未承認アプリストアの使用を避けるべきであり、企業もデバイス上で禁止すべき」なのである。
サイバー犯罪者にとって今回のパンデミックは実に好都合であったと話すのは連邦捜査局のPaul Abbate（ポール・アベイト）副局長だ。「社会のテクノロジー依存から利益を得る機会を利用して、インターネット犯罪が盛んになった」のである。
FBIのインターネット犯罪苦情センターに寄せられた苦情は、2020年には79万1790件を記録し、前年の約2倍、前年比で過去最大の伸びを記録している。特に陰湿な例としては、ワクチン予約のためのアプリをダウンロードするよう促すテキストメッセージが送られるというもので、そのユーザーの連絡先にあるすべてのデバイスにマルウェアを送り、個人データや銀行情報を盗み出すというものがあった。
2021年初め、英国の国家サイバーセキュリティセンター（NCSC、National Cyber Security Centre）は、パンデミック時に多発した不在配達の荷物の追跡リンクを装った新種のマルウェアについて注意を呼びかけた。このリンクは、FluBotと呼ばれるマルウェアアプリケーションをダウンロードさせ、ユーザーの銀行口座やその他の金融口座の詳細を危険にさらすのである。サイバーセキュリティの研究者によると「悪意のあるSMSメッセージ（FluBot）の量は、1時間あたり数万件に上ることがある」という。さらにハッカーたちは大ヒットテレビ番組「イカゲーム」の人気に乗じて、同番組に関連するアプリに隠されたマルウェアを使ってモバイル機器を狙うというサイバー犯罪の新風を巻き起こしてさえいるようだ。
モバイル端末は今やインターネットの主要なアクセスポイントとなっており、2020年の米国におけるウェブサイトアクセス数の61％はモバイル端末によるものである。これは2019年に多数派に転じたばかりの傾向だが、すでに確固たる事実として確立されている。これを反映するかのようにモバイル端末へのサイバー攻撃が増加し、FBIに寄せられたフィッシングやスミッシング攻撃（悪意のあるリンクが貼られたメールやSMSテキストメッセージ）の苦情は2020年には倍以上に増え、2019年の11万4702件から2020年は24万1342件となっている。
ある調査によると、年末商戦を迎えるにあたり、買い物客の55％以上が少なくとも1回はモバイル端末で買い物をすると言われており、端末の所有者が攻撃から身を守るための予防策を講じることが不可欠だと言える。
NCSCが推奨する対策は、頻繁にデバイスのバックアップを取る、ウイルス検出ソフトウェアを使用する「メーカーが推奨するアプリストアからのみ新しいアプリをインストールする」などのごく基本的な保護策だ。DHSの指針も同様だが、加えてOS、アプリ、その他のソフトウェアを定期的に更新することの他、ユーザーと企業が多要素認証を採用することなどの勧告も含まれている。
サイバー衛生のシンプルな推奨事項を実行することで攻撃に対する防御の層を形成し、モバイル機器への不正アクセスの脅威を劇的に減少させることができる。しかし、このようなユーザーの行動が重要かつ効果的であるのと同時に、サイバー犯罪者は人間の心理や行動を利用した高度な技術を駆使してユーザーを欺き、デバイスに侵入するのである。
ソーシャルエンジニアリング攻撃と呼ばれるこの種の攻撃は、人間同士の交流や社会的スキルを利用してユーザーを騙し、攻撃者がデバイスやシステムにアクセスできるようにするだけでなく、時にはオプションのセキュリティ保護をユーザー自らに無効化させてしまうことさえある。FluBot、偽の予防接種サイト、悪意のある「イカゲーム」アプリなどの攻撃は、すべてソーシャルエンジニアリングの一例だ。
DHSのサイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA、Cybersecurity and Infrastructure Security Agency）によると、モバイル機器の所有者は、テキストメッセージを通じたソーシャルエンジニアリング攻撃に対してより脆弱である可能性があるという。モバイル機器は「メール、音声、テキストメッセージ、ウェブブラウザの機能を統合しているため、操作された悪質行為の犠牲になる可能性が高くなる」のである。
2021年初めに開催されたホワイトハウスのサイバーセキュリティサミットでは、不正アクセスから保護するための、サイバー衛生に留まらない方法が話し合われた。「今後、テクノロジーの安全性はデフォルトとして構築されていく必要があります。我々は皆、安全な技術を購入していることを確信できなければならないのです」とホワイトハウスの高官は述べている。
セキュリティ・バイ・デザインのモバイル機器は、サイバー衛生管理をあらかじめデバイスに組み込み、セキュリティの方程式から人間の心理を排除するのである。シートベルトやエアバッグも当初は自動車購入者のオプションとして始まったが、今ではすべての自動車に必須の安全装備となっているのである。
多要素認証や公式アプリストア以外からのアプリのダウンロード禁止など、基本的なサイバー衛生管理は、設計上システムに組み込むことが可能である。このような保護機能が最初から組み込まれているモバイル端末であれば、端末所有者が人気番組に興味を持ったりパンデミックを心配したりしたとしても、ソーシャルエンジニアリング攻撃に対して脆弱になることはないだろう。
確かに市民は、サイバーセキュリティ機関が推奨する基本的なサイバー衛生に従うべきである。しかし、作り手が高度なソーシャルエンジニアリング攻撃を回避し、技術の設計に高度なセキュリティ保護を組み込むことが必要不可欠なのではないだろうか。
画像クレジット：Andriy Onufriyenko / Getty Images
［原文へ］
（文：Mark Sullivan、翻訳：Dragonfly）