2021年セキュリティ事件まとめ　22年にも注意すべき脅威とは？（3/3 ページ）

公開 2021年12月31日 11時00分

更新 2022年01月12日 15時48分

[ITmedia]

印刷する Googleで優先するソースとして追加

スパイウェア「Pegasus」

　イスラエルのサイバー戦争を専門とするNSO Groupが開発したスパイウェア「Pegasus」も大きな話題となった。ジャーナリストや活動家、政府要人をターゲットにしたスパイウェアで、iOSの脆弱性を利用し、メッセージ閲覧、通話／位置情報の追跡などが可能としている。米Appleは修正アップデートを配信し対処にあたった他、NSOを提訴。米商務省も同社をエンティティリスト（取引制限リスト）に加えている。

世界中のサーバに影響を与える「Log4j」関連

　21年も師走に入ったころ、Apache Software Foundation（ASF）のJava向けログ出力ツール「Log4j」で脆弱性が発見された。出力されたログに記録された任意のコードを実行し、外部からプログラムを読み込んでしまうというもの。Log4jはさまざまなサーバで利用されており、脆弱性の発見後から間を置かずに無差別攻撃も始まっている。このため、被害が拡大する恐れがある。ASFは修正アップデートを配布するなど対応を進めているが、別の脆弱性が発見されるなど、翌年も混乱は続きそうだ。

2022年も警戒が必要なサイバーセキュリティ

　コロナ禍や働き方改革の影響を受け、企業のデジタル化が急速に進んでいる。自宅や遠隔地からでもスムーズに仕事をこなせる時代になった一方で、SaaSやクラウドツールへの依存度が増えるほど、それに応じてセキュリティリスクも高くなる。利用しているSaaSの権限設定や情報共有の範囲が適切か、一度見直すのも手だ。SaaS利用やリモート環境が一般化するにつれ、社内外を区別せずアクセスを信頼しない（＝都度認証が必要）「ゼロトラスト・セキュリティ」を推奨する声も出ている。

　組織犯行的なランサムウェアの法人被害も深刻化している。バックアップ環境まで暗号化されたケースも散見される他、窃取した機密データを公開すると脅す多重恐喝の手口も横行し始めているという。万が一攻撃を受けた場合でも早期に復旧できるよう、オフラインを含めメイン環境から切り離されたバックアップ体制の構築も必要だろう。

狙われるクラウド、恐喝の手口は悪質化　2022年のセキュリティ動向予測

　身の回りを見ると、Twitterアカウントの乗っ取り被害など、法人／個人でSNSに関するトラブルも多く見られた。直近では、「凍結屋」と呼ばれる、アカウントを凍結させると脅し金銭を狙うグループも出現している。フィッシング詐欺被害も依然多くみられる。フィッシング用のキットをサブスクリプションで販売する「Phising-as-a-Serive」（PHaaS）なるサービスも出現し、より手軽に攻撃できてしまう環境が整いつつある。昨今のフィッシングでは、ニセのメール／Webサイトも区別がつかないほど巧妙なものも多い。アカウント周りでは多要素認証を設定し、WebサイトでID／パスワードや個人情報を入力する際はURLが正規のものか確認するなど、22年も引き続き注意が必要だ。