サイバー攻撃者は経営幹部の"プライベート"を狙っている：Cybersecurity Dive

近年、テレワークのようにオフィス以外の場所で勤務する経営幹部を狙ったサイバー攻撃が多発している。特にホームオフィスのネットワークは格好の侵入経路だ。

[David Jones，Cybersecurity Dive]

　セキュリティ企業のBlackCloakと調査会社のPonemon Instituteが2023年6月5日に発表した調査結果によると（注1）、経営幹部は会社や自宅の執務環境、さらには家族まで標的とする高度なサイバー攻撃を受けていることが明らかになった。

　過去2年間において、調査対象の組織の約42％が経営幹部またはその家族がサイバー攻撃を受けたと回答している。この調査は550人以上のITセキュリティリーダーを対象に実施されたものである。

　これらのサイバー攻撃は財務情報や知的財産、その他の情報を含む機密性の高い企業データの盗難につながるケースがある。インシデントのうち3分の1で、テレワーク中に使用されていた安全ではない自宅のネットワークを通じてハッカーが経営幹部に接触を図っていた。

経営幹部はプライベートでは脆弱

　同調査は特に、従業員がオフィスや遠隔地から勤務するハイブリッドワーク環境を認める企業において、経営幹部や役員を対象にした高度なサイバー攻撃が実行されると強調している。

　BlackCloakの創設者兼CEO（最高経営責任者）であるクリス・ピアソン氏は「サイバー攻撃者はこれまでも、アカウントを乗っ取って企業内システムにアクセスしようとする際、より大きな利益のため経営幹部を標的にしてきた。ここ数年の変化でいうと、ほとんどの経営幹部が企業アカウントや企業が利用を認めるデバイス以外のところでは無防備だとサイバー攻撃者が気付いてしまったことが挙がる」と語る。

　「そのため経営幹部は、ソーシャルエンジニアリング攻撃やマルウェア感染、自宅ネットワークへの標的型攻撃を受けやすい」（ピアソン氏）

　同調査は、最近のサイバー攻撃が経営幹部や取締役会メンバーおよび他の重要な人員を標的にしていることを裏付けている。

　Microsoftは2023年5月下旬、サイバー攻撃者が企業を標的にして高度なビジネスメール侵害（BEC）攻撃を行っていることを報告した（注2）。同社の調べによると、サイバー攻撃者は居住地のIPアドレスを利用し、侵入が現地で発生したように見せかけて、セキュリティ警告を回避していたという。

　これらのサイバー攻撃は、従業員の記録や企業の財務データに対して特権アクセスを持つ上級幹部を標的としていた。

　その他、Dragosは2023年5月初旬、犯罪者が新入社員を利用して企業の特定のシステムにアクセスし、会社の経営幹部を恐喝しようとする攻撃について報告した（注3）。攻撃者は幹部の個人的な電子メールを通じて連絡を取り、さらに幹部のプライベートな連絡先にまで接触していた。

（注1）Ponemon: Understanding the Serious Risks to Executives’ Personal Cybersecurity & Digital Lives（BLACKCLOAK）
（注2）BEC attacks rise as criminal hackers employ new tactics to evade detection（Cybersecurity Dive）
（注3）Dragos says it thwarted extortion bid by known ransomware threat group（Cybersecurity Dive）

原文へのリンク