2023年初頭、サイバーセキュリティおよびインフラストラクチャセキュリティ庁（CISA）、国家安全保障局（NSA）、およびマルチステート情報共有分析センター（MS-ISAC）は、リモート管理およびリモートアクセスソフトウェアの悪意のある使用の増加に関する共同勧告を発表しました。Splashtopのセキュリティ＆コンプライアンスのVPであるJerry Hsiehと、これらの攻撃について、そしてリモートアクセスユーザーがどのようにして自分自身と会社をこのような攻撃から守ることができるかについて話しました。
サイバー犯罪者はリモートアクセスソフトウェアをどのように悪用しているのか？
2022年6月、サイバー犯罪者が政府職員を標的にしたスピアフィッシングキャンペーンを調整しました。フィッシングキャンペーンは、政府職員に次の行動を促しました。
ITやサポート技術者を装った見知らぬ番号からの電話が、従業員に不審なウェブサイトを訪問するよう促す
謎のウェブサイトは、リモートアクセスソフトウェアのダウンロードと設定の手順を提供しました
従業員がソフトウェア を正常にインストールし、サイバー犯罪者にデバイスへのアクセスを許可する
サイバー犯罪者がリモートアクセスソフトウェアを使用する方法は珍しくありません。彼らがここで悪用しているのは人間の弱さです。
「サイバーセキュリティにおいて人間は最も弱いリンクです」とSplashtopのセキュリティ＆コンプライアンス担当VP、Jerry Hsiehは述べています。
サイバー犯罪者は信頼できる同僚を装い、サイバーセキュリティに関してあまり教育を受けていない可能性のある従業員を標的にしています。この弱点を利用することで、その従業員はサイバー犯罪者の要求に応じてリモートアクセスソフトウェアをダウンロードし、犯罪者は被害者のデバイスにアクセスできるようになります。
サイバーセキュリティへの最大の脅威は技術とは関係がない
「社員からフィッシングメッセージが頻繁に転送されてきます」とHsiehは言います。サイバーセキュリティ分野で数十年の経験を持つHsiehは、企業に対する創造的な攻撃を数多く見てきました。彼の数十年の経験を経ても、これらの創造的な攻撃には共通の要素があります。それは人間の弱さです。
「インターンや新卒者がLinkedInで新しい役職に就いたことを投稿するかもしれません」とHsiehは言います。「そのサイバーセキュリティ犯罪者はそのインターンを標的にし、彼らを弱点として特定し、アクセスを得るために標的にします。」
サイバーセキュリティ攻撃の軽減
サイバーセキュリティ攻撃を最小限に抑えるためには、すべての潜在的な 脆弱性を特定することが重要です。社会的側面に関して、Hsiehには一つの提案があります。
「フィッシング攻撃を防ぐための最善の方法は、すべてに対して懐疑的であることです」とHsiehは言います。「迷ったときは、セキュリティチームに聞いてみてください。」
フィッシングやその他の社会的欺瞞戦術は、サイバー犯罪者がブルートフォースよりも簡単にアクセスを得る方法の一つです。これを防ぐためのいくつかの方法を紹介します。
強力なセキュリティトレーニングの実践を採用する
サイバーセキュリティに関して人間が最も弱いリンクである場合、最善の策は、従業員に適切な防御と教育を施すことです。定期的に従業員にサイバーセキュリティのベストプラクティスをテストし、会社のために安全なプラクティスを採用してください。
多要素認証の強制、シングルサインオンツールの採用、または定期的に従業員にパスワードの変更を要求するなどの一般的なベストプラクティスは、良いスタート地点です。これらは社会的な欺瞞を止めることはできませんが、セキュリティの重要性を理解し、なぜデータセキュリティが重要なのかを考える助けになります。
従業員にセキュリティの実践を訓練する際、フィッシングやランサムウェアに関するトピックを強調することを確認してください。生成AIの台頭により、これらのフィッシング詐欺はより洗練され、実際の従業員のように見せかけ、彼らのコミュニケーション方法をモデル化し、他の同僚との関 係を模倣するまでに至っています。従業員が受け取るリクエストが正当であることを確認する簡単な方法は、2つの異なるチャネルでコミュニケーションを確認すること、またはさらに良いのは直接確認することです。
懐疑心を奨励し、恥を防ぐ
疑わしい行動を報告することが安全である文化を築くことは、従業員を保護するために非常に重要です。従業員が潜在的なセキュリティの懸念を抱えている場合、従業員がそれを報告するためのプロセスが設定されているべきであり、それによって彼らへの反発を最小限に抑えることができます。
「人々は罰を恐れています」とHsiehは言います。「ランサムウェアは恥ずかしい習慣を狙うかもしれません—彼らは恥をかきたくないのです。」
恥は従業員がサイバーセキュリティの問題を報告することを妨げる大きな障害であり、報告を奨励することで、潜在的なミスに対して従業員を罰するのではなく、それを避けることができます。これを行う最良の方法は、報告ポリシーを明確にし、サイバーセキュリティの侵害が従業員のアカウントで発生した場合に何が起こるかを明確に示すことです。これを防ぐ最善の方法は、責任を最小限に抑えることです—問題はあなたの従業員ではなく、彼らを標的にしようとするサイバー犯罪者です。
データソースへのアクセスを「知る必要がある」基準に保つ
データアクセスを最小限に抑えることは、主要なデータ漏洩や侵害を防ぐのに役立つ、もう一つのシンプルで一般的なサイバーセキュリティのベストプラクティスです。サイバー犯罪者がリモートアクセスソフトウェアを使用してインターンをフ ィッシングすることに成功した場合、どのデータにアクセスできるでしょうか？
すべての従業員に同じ量のアクセスを提供すると、サイバー犯罪者が組織を狙いやすくなります。代わりに、アクセスが必要な従業員にのみアクセスを提供してください。そのため、別の従業員が狙われた場合でも、犯罪者がアクセスできるデータの量はその従業員が担当するものに限定され、組織全体のデータには及びません。
「最高」のセキュリティツールは存在しない
サイバーセキュリティは常に適応し変化しており、それに伴いサイバー犯罪者がソフトウェアを回避する方法も洗練されていきます。
「最高のセキュリティというものは存在しません」とHsiehは言います。「より良いセキュリティだけです。」
HsiehとSplashtopチームは、この引用を信条として、常に警戒を怠らず、変化し続ける技術に対応するためのさまざまな方法を見つけ続けています。チームがサイバーセキュリティプロセスを改善する方法を探している場合は、Splashtop Secure Workspaceを検討してください。
Splashtop Secure Workspaceは、チームのアカウントへの安全なアクセスを支援し、リモートワークアクセスを提供し、ログインを簡素化する便利なプラットフォームです。Splashtopでワークスペースをセキュアにする方法について詳細はこちら。
