今日の世界では、インターネットに接続されたすべての個人と組織がサイバー攻撃に対して脆弱であるというのが現実です。攻撃の件数、種類、そして巧妙さは増え続けており、 脅威報告書 を先月発表したのは、オーストラリア・サイバーセキュリティセンター（ACSC）で、この点を指摘しています。
脅威にさらされているのは大規模な組織だけではありません。ハッカーに提供できるものが多くないと考えている個人や組織であっても標的にされる可能性があります。そのため、自分は小さな標的だと思っていても、依然としてリスクにさらされているかもしれません。
信頼の錯覚
悪意ある個人や集団は、攻撃戦略を強化するために役立つ情報を収集することで勢力を伸ばしています。ハッカーは、 スピアフィッシング 攻撃にますます注力しつつあります。これは個人に合わせて仕立てられた攻撃であり、あなたに関するわずかな情報でも役立つ可能性があります。
ハッカーにとって鍵となるのは、信頼の問題です。収集された情報は標的のプロファイルの構築に用いられ、ハッカーがあなたにとって信頼できる存在に見えるほどのデータを得ることを目指します。
ほとんどの場合、ハッカーはあなたが信頼している組織になりすまそうとします。ハッカーがあなたについて多くの情報を持つほど、目的を達成するまでその錯覚を十分な期間維持できる可能性が高まります。
攻撃が成功した場合の影響は大きく異なり、その多くはハッカーの動機によって左右されます。
私たちの多くにとって、身元の盗用が最も大きな被害をもたらす可能性が高いです。日常生活を送る能力に深刻な影響を及ぼすためです。たとえば、信用格付けが深刻に損なわれる可能性があります。さらに悪いことに、攻撃による被害への対処は、費用がかかり、時間を要し、精神的にも消耗させるものになり得ます。
その他の場合では、医療履歴記録などの機密情報が悪意ある第三者の手に渡り、その結果、あなたがさまざまな種類の恐喝に対して脆弱になる可能性があります。
最近の Ashley Madison（アシュレイ・マディソン） サイトからの情報流出は、個人の機密情報が悪意ある第三者によって悪用されうる典型例です。
あなたのアクセス権はハッカーにとって重要
しかし、攻撃の背後にある要因は、特定の個人情報だけではありません。多くの場合、他のシステムに対してあなたが持つリソースやアクセス権こそが、攻撃の全体的な目的となっています。
多くの個人や組織が抱いている一般的な誤解は、自分たちのシステムに価値のあるものがなければ、攻撃される可能性は低いというものです。あるいは、ハッカーはすべての情報をコピーしても何も得るものがない、というものです。
情報自体の価値はゼロかもしれませんが、リソースは貴重な商品であり、次の二つの方法で容易に利用されえます。
ハッカーの主要な標的に対して、より集中的で分散された攻撃を仕掛けるため
それらは「貸し出される」形で、 ボットネット として他の当事者に提供されることがあります。
ユーザー権限の観点からは、ハッカーは再び、標的に関する知識を悪用して、到達困難なシステムへのアクセスを得ようと試みることがあります。
ハッキングへの思考材料
米国で起きた一件について聞いたことがあります。政府機関の職員の食習慣（クレジットカードの利用明細から入手されたもの）を利用して、外国のハッカーが「watering hole」攻撃を仕掛けたというものです。
ハッカーは、政府職員がよく利用するレストランのウェブサイトをホストするサーバーに容易に侵入し、元のPDFメニューを、マルウェアが埋め込まれた新しいものに差し替えました。その結果、政府職員が安全な端末からメニューを閲覧したとき、同時にマルウェアもダウンロードしていたのです。
これらは、ハッカーが攻撃によって得た情報を利用しうる方法のほんの一例にすぎません。残念ながら、その唯一の制約は悪意ある者の創造性であり、そして残念なことに、ハッカーは非常に創造的です。
サイバー攻撃への対抗
サイバー攻撃を防ぐには、個人と組織の姿勢を変える必要があります。オンラインにいるとき、誰もが標的であり、私たちの誰一人として小さすぎたり重要でなかったりするわけではないという根本的な理解が必要です。
インシデントの検知と対応に対する姿勢を変えることも極めて重要です。防御の面で向上できるのは、どれほど痛みを伴い費用がかかるものであっても、過去の経験から学んだ場合に限られます。上記の攻撃のいくつかについて私たちが知っているのは、それらが検知され、調査されたからにほかなりません。
ほとんどの組織は、インシデント対応をサイバー防御の中核的要素とは考えていません。そしてそれが続く限り、サイバー防御の改善は遅々として進まないでしょう。
サイバーセキュリティを、コストのかかる監査作業としてではなく、真剣に扱うための協調的な取り組みが必要です。圧倒的多数の組織は、サイバーセキュリティをコンプライアンス業務とみなしており、そのため、達成するために可能な限り最小限のことしか行っていません。
クレジットカード業界の データセキュリティ基準 （主要クレジットカード向け）の典型例です。基準が存在すること自体は好ましいことですが、残念なのは、すべての組織が実際にセキュリティを向上させるのではなく、基準の審査を通過するために可能な限りの最低限のことしか行おうとしていない点です。
代わりに、サイバーセキュリティ要件を、全体的なセキュリティを向上させ、それによって将来の高コストで被害の大きいインシデントを回避するための手段として活用すべきです。
本記事は The Conversationとの協力により掲載されたものです。掲載は、世界経済フォーラムによる見解への支持を意味するものではありません。
アジェンダの最新情報を追うには、週刊ニュースレターに登録してください。
著者：Mihai Lazarescuは、Curtin University コンピューティング学科の准教授兼学科長です。
画像：2013年2月28日付のこのイラスト資料写真に写っている、ワルシャワでコンピュータのキーボードを打つ男性。REUTERS/Kacper Pempel/Files.
