サイバー犯罪による世界経済の損失は年間 4,000億米ドルを超えると推定されており、今後も増加すると予想されている。
最も大きなリスクにさらされているのは金融業界だ。金融業界の資産は現金化が最も容易だからである。世界各地とつながる金融機関は、人員、セキュリティサービスや仕組み、物理的な管理策など、情報インフラの強化に膨大な資源を投じてきた。
最近の調査 では、金融分野で働くIT専門家のうち、「金融口座を狙った侵入を防ぐ準備が十分にできていると感じる人は、わずか16％だった」ことが分かった。
最善を尽くしているにもかかわらず、世界各地の銀行業務が最近、単一の組織的サイバー犯罪グループによって侵害され、その被害額は 10億米ドルと報じられた。
侵害を防ぐために膨大な資源を投じているのに、なぜ侵害は起き続けるのだろうか。
最も弱い環：人
今日の高度に統合され、デジタルに依存する企業では、組織へのデジタル経路が一つでも自ら開かれれば、サイバー犯罪を実行するだけの攻撃性と起業家的な才覚を持つ者に機会を与えてしまう。
サイバー攻撃に対して自社のシステムがどれほど安全だと考えているかは関係ない。従業員一人の行動が、偶然であれ故意であれ、その安全性を破るのに十分なのだ。
従業員がメール、ウェブ、テレワークシステムにアクセスできると、悪意あるコードが入り込む余地が生じ、それによって外部の者が内部にアクセスできるようになる。
駐車場で 見つかった メモリースティックやUSBメモリのような単純なものでも、高度なルートキットやリモート管理ツール（RAT）を運ぶ媒体となり得る。これらは遠隔アクセスを得たり、悪意あるコードを隠したりするために使われる。
これにより攻撃者は、アクセス獲得に利用できるシステムを掌握する。そこから内部関係者の認証情報を使って内部の活動を監視し、業務プロセスについて十分な知識を得るのは簡単だ。
その後、サイバー犯罪者は重要な記録やデータベース全体を持ち出し、さらには口座残高を移転し始めることができる。特定の取引を行う権限と利用権限を主要従業員に与えており、その認証情報が乗っ取られていれば、こうした行為はさらに容易になる。
サイバー犯罪に境界はなく、顔もない
インターネットは本質的に世界規模のネットワークであり、国際通信を可能にして、世界のほぼどこにいる人々やサプライチェーンもつなぐ。
そのため犯罪者は、ほぼあらゆる法域から企業システムにアクセスできる。法執行は主権国家を基盤とする取り組みであるため、複数の法域にまたがる捜査には各国の協力が必要となる。
サイバー犯罪に関する協力については、欧州評議会のような国際的な合意があるものの、 サイバー犯罪条約 にかかわらず、サイバー攻撃は場所を移しながら行われるため、容疑者の追跡・逮捕には専門的な技能、迅速な対応、人的資源が必要だ。
こうした資源を結集しても、インターネットがもたらす匿名性と隠蔽性により、特定の人物が特定のシステムを使って実際に法を犯したと証明するのは難しい。
わずかな費用で、リスクに見合う報酬
ハッキングツールや脆弱性を悪用する手法は、何十年も前から存在している。
しかし、サイバー犯罪がもたらす大きな経済的利益を背景に、それを支えるサービス、すなわち サービスとしてのマルウェアが生まれた。
犯罪は利益を生む。比較的わずかな金額で、インターネット上で入手できるDIYツールキットやカスタマイズサービスを利用すれば、大きな金銭的見返りを得られる。言い換えれば、こうしたサービスによって、必要な目的に応じた特注のマルウェアを作成できる。
周到に計画された配布方法と資金洗浄の仕組みを組み合わせれば、金もうけの費用対効果は容易に計算できる。
ビットコインなどのデジタル通貨の登場により、盗んだ現金は簡単に換金され、世界のどこへでも送金できる。
組織犯罪
サイバー犯罪は大きなビジネスになった。利益を原動力とする組織犯罪は、オープンネットワークと隠れたネットワークを広く悪用するため、明らかにノウハウを拡大している。
組織犯罪は、他者の技能を活用し、サイバー犯罪の計画を主導する者たちを統制する能力を備えることで、合法的な企業慣行を模倣する起業家的な活動を自信を持って拡大し、資源を戦略的に連携させて金銭的利益を確保している。
かつては安全な隠れ場所、脆弱な国家、時代遅れの法律がサイバー犯罪に必要な隠れみのを提供していたが、今日では匿名化と暗号化がそうした活動を守っている。
こうした特徴は、 組織犯罪の組織構造を変化させた。関係性は、見分けのつく階層構造から、一時的で取引を動機とする犯罪事業へと移行している。
サイバー犯罪の機会が増えたことで、不正資金の洗浄も促進された。組織犯罪がより豊かで強力になるにつれ、サイバー技術を介した隠蔽性の高い犯罪プロセスによって、サイバー犯罪者は不正に得た資金を合法経済の監督や規制から逃れさせてきた。
今後に向けて
サイバー犯罪を無力化することは可能だが、現代社会の多くの有害事象と同様、簡単な解決策はない。サイバー犯罪対策として現在行っていることが機能していないのは明らかだ。
したがって、今後の対応は普遍的なものでなければならない。連携の強化と国際的な関与が実現している一方で、それを揺るぎないものとして維持しなければならない。
サイバー犯罪を構成する要素は多様で、被害者は国際的な規模に及ぶ。
サイバー犯罪のさまざまな側面に対抗する取り組みは存在するものの、成功はわずかだ。何が有効で何が有効でないかを示す証拠があれば、予防活動に確実に役立つだろう。
サイバー犯罪の全体像を包括的に描くことで、適時かつ正確な現場レベルの評価が可能となり、国境を越えた議論の方向性をそろえる助けとなる。
その時になって初めて、既成概念にとらわれずに考え、現実社会におけるサイバー関連の犯罪問題に対する新たな発想を生み出し、新しいサイバー犯罪対策キャンペーンの策定を支援できる。
この記事はもともと The Conversationに掲載されたものです。 元の記事をお読みください。掲載は、世界経済フォーラムが見解を支持することを意味しません。
アジェンダの最新情報を得るには、 週刊ニュースレターに登録してください。
著者：ニコラス・ギルモア博士は、ウェリントンのマッセイ大学におけるニュージーランド警察のティーチング・フェローであり、情報、犯罪、安全保障、犯罪科学に関する修士課程の科目を担当している。アンドリュー・M・コラリック博士は、マッセイ大学防衛・安全保障研究センターの上級講師である。
画像：コンピューター画面の前に掲げられた虫眼鏡。ロイター／Pawel Kopczynski。
