最近、多様な産業がハッキングで被害を受けています。ニュースを見ると、病院・大学・会社・銀行など、その分野も様々です。それで、今回は果たしてハッカーたちがどのような方法でハッキング戦略を立ててハッキングをするのか、またハッキングに最も脆弱な産業は何なのかを調べてみます。
最もハッキングに脆弱な産業は?
昨年行われたアンケート結果によると、企業のCSOとセキュリティ担当者は、金融産業が情報セキュリティに最も気を使わなければならない産業と答えています。これは明白な事実です。今までの調査によると、金融事業が他の産業群に比べ、サイバー攻撃の回数が多かったです。金融産業は、ハッカーたちにはかなり良いターゲットです。クレジットカード、銀行口座情報などを通じて、人々は全ての金融財産を瞬時に失うこともあり、2次被害であるスパムや詐欺にかかわることもあります。しかし、それとして金融産業群に含まれない産業群や中小企業がハッカーのターゲットではないと油断してはいけません。
昨年、Ponemon Researchが、米国の企業を対象に調査した結果によると、90%の回答者がこの12ヵ月間、ウェブ攻撃により企業情報の流出を経験したと答えました。アンケートは、583つの企業（中小企業(1-500人の役職員)から大手企業(75,000人以上の役職員規模)）を対象に調査が行われました。このような結果を見ると、サイバー攻撃から保護が必要な産業は、金融産業だけではないことが明らかになります。
ハッカーたちの目標は？
ハッカーたちの最も究極的な目標は、データを流出するという脅迫をし、彼らにお金を要求することです。近年、米国のハリウッド長老教会派医療センター(Hollywood Presbyterian Medical Center)は 医療データをハッキングされ、全ての医療センターの資料にアクセスすることができませんでした。ハッカーたちはUSD$17,000の「身代金」を要求しました。
このようなハッキングはいわゆる「ランサムウェア」と言います。病院は、「身代金」の支払を断りました。病院はハッキングに遭った3週間、すべてのデータや診療記録を手で直接作成したとします。ハッキングによって、日常的にしていた業務も難しくなりましたが、これより重要なのは、患者の情報と病歴も流出される可能性があったということです。結局、ハリウッド長老教会派医療センターは、ハッカーたちに「身代金」を支払い、データを復元しましたが、今後もこのような状況が再発する可能性があり、恐れています。また、データのバックアップもできておらず、これを代替する適当な計画もないため、病院は患者たちから信頼を失われました。
主に「ランサムウェア」は、3段階にかけて行われます。最初は、メールの「受信箱」から始まります。メールの内容は、実際に発行される請求書とほぼ同じく作成されるために、メールを受信した人はメール本文に添付されているリンクをクリックするようになります。このリンクがワードファイルに繋がって、プログラムが実行されれば、ゲームオーバー!です。
このようにハッキングされると、この後は、ハッカーが保有している鍵を通じてのみ、データを復旧することができます。金銭的な価値のある情報を目標とするハッキングは、緻密な計画が要求されために、ランサムウェア攻撃をするハッカーたちは、国際的な犯罪集団と協力します。大胆な行動を通じてニュースにも報道されたりします。
ダークウェブ市場とは？
ランサムウェアのほかに、ハッカーたちが金銭的価値を持つ情報をターゲットとする理由は、実は、「ダークウェブ」を通じて、販売をするためです。
皆さんは「ダークウェブ」（*)という言葉を聞いたことがあるのでしょうか。
*ダークウェブとは？
簡単に言うと、インターネット上に存在する闇市場です。ダークウェブは、とても複雑な構造で構成されていて、非常に技術的な暗号化とソフトウェアを通じて形成されたインターネット上のウェブサイトを指す言葉です。ここでは、様々な隠密な取り引きが行われています。
2012年韓国では最大規模の教育サイトのデータベースがハッキングされました。サイト会員の約4分の1程度の顧客情報が流出される事件でした。最初、顧客たちの反応はメールアドレスや電話番号流出ぐらいは…という反応でした。しかし、その後、ハッキング被害者たちは“大学登録金解決!“または"新学期の準備のための割引"などのような、迷惑メールを数十通受けるようになりました。教育業者たちが'ダークウェブ'を通じて情報を購入し、これを利用したものです。
もう一つの事例は、2015年日本の年金システムがハッキングされ、125万件の個人情報が流出された事件を挙げられます。職員1人がウイルス付きメールを開いたのがハッキングの原因でした。このシステムを開発した会社のCEOは、名前・年金番号・生年月日・住所などの個人情報が流出されたことについて謝罪しました。この情報がどこに流出されたのかを調べるために着手した警察が最も先に確認した所は病院、薬局そして薬品会社でした。ハッキングをしたハッカーは見つからなかったが、捜査官たちの調査は的中しました。ダークウェブで購入した医療情報を通じてスパムやフィッシング詐欺を試みた形跡を探したのです。
結論から言うと、最も脆弱な産業ということはない。
ハッカーたちは、単に情報を販売するのではなく、情報の「可能性」を販売することです。2012年韓国教育サイトの個人情報漏えい事件を見れば、ハッカーたちが住民登録番号を探そうとしたことではないということが分かります。顧客たちが興味を持っていた講義や彼らの成績、関心分野のような情報を探していたのです。ある人にとってはこうした情報が価値がないかもしれませんが、誰かには利益を得ることができるような情報となるのです。どのホテルで宿泊したのか、どの食堂で昼食を食べたのか…。このような情報は、ある産業においては大切なマーケティング/営業情報になるのです。
したがって、中小企業はさらに注意しなければなりません。中小企業は顧客たちとさらに近いところで関係を結んでいるため、ウェブ攻撃を受ける確率がさらに高いためです。今は、企業規模に関係なく、全ての産業がウェブ攻撃を注意しなければならない時代です。今年にはどのようなウェブ攻撃が現れるかについては確信することができないとしても、いつも攻撃に備えて、セキュリティに気を使わなければなりません。
