サイバー犯罪による損失は、2025年までに年間10.5兆ドルに達する可能性があります。
標的は個人から政府、重要インフラに至るまで多岐にわたります。
サイバー犯罪者は国際的に活動しており、取り締まるためには国際的なルールが必要です。
サイバー犯罪は、世界中の国家、企業、国際機関にとって最優先の課題となっています。今後発表される 2023年版グローバルリスク報告書 が示すように、地政学的緊張の深刻化により、いわゆる高度な持続的脅威 （APT）は、その蔓延と同様に高度化が進んでいます。
新たな技術は、サイバー犯罪の及ぶ範囲と影響力を拡大させています：マルウェア攻撃やランサムウェア攻撃（後者は、身代金が支払われない限りデータを公開する、またはデータへのアクセスを永久に遮断すると脅迫するもの）は急増し 2020年にそれぞれ350%以上、430%増加しました。次世代ツールはアンチウイルスプログラムを回避しており、そのため、攻撃者が正規のソフトウェアや機能を悪用して悪意ある行為を行うLiving off the land（LOtL）攻撃が、ほぼ3分の2を占めました（2021年に報告された全インシデントに対する割合）。
こうした問題は、セキュリティ専門家の不足、報告の習慣の不備、そしてサイバー脅威の規制方法に関する世界的な合意の欠如によって、さらに深刻化しています。
サイバー犯罪に対処するための国際的なルールの必要性
サイバー犯罪は巨大なビジネスです。 ある業界団体は、回復・修復費用を含むあらゆる形態のサイバー犯罪による被害総額が、2015年に3兆ドル、2021年に6兆ドルに上り、2025年までに年間10.5兆ドルに達する可能性があると推計しています。しかし、サイバー犯罪の影響は経済的コストにとどまりません。また、インターネット利用者の間の信頼を損ない、公共・民間のサービス提供者の評判も傷つけます。政府や重要インフラが標的となることが増えているため、オンライン攻撃は国家間の緊張を高めています。それにもかかわらず、サイバー犯罪を緩和・防止するための明確な世界的規範、基準、ルールは、依然としてほとんど存在していません。
問題の大きな要因は、標的となる公的機関、企業、市民社会団体の多くが、データ侵害やサイバー窃盗を報告する義務を負っていないことです。多くは評判の低下を懸念して報告をためらっています。この状況は変わりつつあります。米国の2022年のCyber Incident Reporting for Critical Infrastructure Act は、業界別に任意開示に関するガイダンスを提供しており、欧州連合の2018年のネットワーク・情報システムのセキュリティに関する指令、さらにその他多数の規制により電気通信・決済サービス事業者、医療機器メーカー、重要インフラ事業者にも侵害の報告が義務付けられています。世界的なルールが強化され、ほとんどの分野で侵害報告が義務化されるまでは、課題の真の規模を把握することは不可能であり、ましてや的を絞った解決策を講じることもできません。
サイバー犯罪者は、ランサムウェアで標的を脅迫するだけでなく、クレジットカード情報、金融口座のログイン認証情報、サブスクリプションの認証情報、社会保障番号、ユーザー名とパスワードなどのデータ資産を売却することでも莫大な利益を得ています。サイバー犯罪の実行者は、強力な情報機関からティーンエイジャーのハッカーまで多岐にわたります。サイバー犯罪は、まさにその分散的な性質のために止めることが困難です。例として、Cobalt CyberCrime gang という集団は、2018年に40か国以上の100の金融機関に侵入し、攻撃1件あたり約1,100万ドルを得ていました。そのリーダーは2018年にスペインで逮捕され、2018年に3人の構成員が米国に逮捕され、2018年にさらに3人がカザフスタンおよびウクライナで2021年に有罪判決を受けましたが、専門家はこれが同グループの活動にほとんど打撃を与えないとみています。
フォーラムは、世界的なサイバーセキュリティ課題にどのように取り組んでいるのでしょうか？
サイバーセキュリティセンターは、リーダーが集まり、進化するサイバーリスクとその構造的な影響を理解するための信頼できるプラットフォームを提供しています。相互接続が進むデジタル社会において、理解と信頼の構築に注力しています。
分野横断的な連携と知見の共有を可能にすることで、センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
世界的な協力やインターネットの根本的な構造変革がなければ、被害者が自らを守るためにできることはほとんどありません。サイバー保険は、ほとんどの購入者にとって手の届かないものになりつつあるだけでなく、問題をさらに深刻化させている可能性があります。国際的なルールを確実に執行すること、そしてサイバーレジリエンスを育むより広範なアプローチが緊急に必要です。
国連はまさにこの問題について議論しており、2019年にサイバー犯罪条約の策定を決議しました。同条約の初回会合は2022年に開催されましたが、オンラインコンテンツに対する政府の規制を拡大し、表現の自由を犯罪化し、プライバシーを損なう可能性があるとの懸念がありました。現在、各国は「情報通信技術の犯罪目的利用への対抗に関する包括的国際条約」と呼ばれる条約の枠組みについて交渉しており、大半の欧米政府は強く求めており、同条約が個人のデータ保護およびプライバシー権を尊重することを確保しようとしています。
