　海賊版ソフトウェアのユーザーはアップデートをダウンロードするのを恐れるため、セキュリティリスクにさらされる。彼らのソフトウェアには、パッチがまったく適用されないからだ。また、最近の海賊版ソフトウェアには、あらかじめマルウェアが仕込まれているものもある。その結果、海賊版ソフトウェアのユーザーは、グローバルなコンピューティングコミュニティーに病原菌をまき散らす“保菌者”になる。

2. ソーシャルエンジニアリング手法がソーシャルネットワークに進出する

　ソーシャルエンジニアリング手法がソーシャルネットワークに進出し、斬新な攻撃の手口が出現する。犯罪組織が各種のSNSを攻撃する手口は、ますます巧妙化している。例えば、Twitterはマルウェアの配布エンジンとして使われている。一方、LinkedInは、富裕層の個人を狙った攻撃に利用されている。来年には、こうした犯罪組織が斬新な手法でこれらのサイトを利用する結果、さまざまな攻撃や個人情報の盗用が増加する見込みだ。その背景には、新しい商用アプリケーションの登場で、これらのサイトで重要な個人情報が流出するケースが増えていることがある。

3. 犯罪者たちがクラウドを採用する

　“サービスとしての攻撃”が既に出現している。来年には、犯罪者たちは攻撃の効率と効果を高めるために、クラウドコンピューティングを利用するようになるだろう。

　IBM Global Technology Servicesのシニアテクノロジスト、ロバート・フリーマン氏によると、3番目の項目で指摘されているサービスには、マルウェアがセキュリティツールで検出されないかを確認するためのサービスや、特定のマルウェアの大規模感染を仕掛けるサービスなど、広範な種類が存在するという。

　「少なくとも犯罪組織との関係でいえば、マルウェア業界はますますサービス指向になっている」と同氏は指摘する。「ゼロデイ攻撃コードを売り込むよりも、効果的なメカニズムをさまざまな規模の攻撃組織に魅力的な価格で提供するという傾向が強まっている」

　ソーシャルネットワークは攻撃経路として利用されることが多くなってきたが、電子メールを利用した方法ほど普及していない。しかしIBM X-Forceのマルウェア研究員、ジョン・ラリマー氏によると、ソーシャルネットワークデータを利用したワームは成功率が高いという。攻撃対象者のネットワーキングプロファイルから得た情報に基づく対象者の家族、友人、興味などに言及した個人別メッセージを含めることができるからだ。

　「しかし、ソーシャルネットワークのメッセージングシステムのサイトを通じて広がるワームは短命だ。サイト運営者が素早くメッセージを遮断し、ワームの侵入を阻止できるからだ」とラリマー氏は付け加える。「言い換えれば、この種のワームでは、ソーシャルネットワーキングデータを利用しながらも、集中管理されていない電子メールを通じて拡散するタイプが最も成功率が高いということだ」

　一方、英Sophosのセキュリティアナリスト、マイケル・アーガスト氏は、ホステッドサービスに対する攻撃も増加すると考えている。

　「これらのサービスへの関心が高まっているが、その一方で、サービス障害、標的型攻撃、情報漏えいなどのリスクが存在する。来年も情報セキュリティ責任者にとって、セキュリティを重視した社内運用方式とデータをクラウド内に置く方法との間のバランスをとることが悩みの種になりそうだ。ホステッドサービスに対する攻撃では、セキュリティ上の脆弱性の利用や侵入といった直接的な方法と、認証情報の盗用やフィッシング攻撃といった間接的な方法の両方が利用されている」と同氏は指摘する。

　意外なことではないかもしれないが、標的型のデータ盗用は増加する見込みだが、攻撃者はデータを手に入れるために、より間接的な手段を利用するだろうとアーガスト氏は予想している。SNSを利用するという手段もその1つだという。

　「コンシューマーの個人データがiPhoneアプリやFacebokアプリから流出するケースが増えているのも1つの例だが、犯罪者が信用調査機関に直接アクセスするために会員登録したり、低所得者市場を利用してインサイダーを巻き込むというケースも見られる」とアーガスト氏は話す。「また、これまでターゲットになることが少なかった小規模企業が狙われるケースも増えるだろう。今年始まったこの傾向を示すいやな例の1つが、高等教育分野を狙った攻撃の増加だ。こういった教育機関の多くは、オープンネットワークアクセスポリシーのためにITセキュリティと格闘しているが、彼らは機密データが含まれる何万人分もの学生の記録を保有している」

　「来年には、同様の理由で医療機関を狙った攻撃が増加すると予想される。大手・中小の販売業者、税務当局、学校などに対する攻撃も続くだろう。大量の記録を保有していながら、これまで万全のセキュリティ対策を実施してこなかった組織が狙われるということだ」（同氏）