第45回組織化されたサイバー犯罪

快適ITライフのために知っておきたい
初めての情報セキュリティー

PCのウイルス感染による個人情報の漏えい、インターネットを利用した犯罪などが急増する昨今、ITの専門家だけでなく、使う側のITリテラシーが問われている。ITコンサルタントのドクター・グンプ氏に、人類総インターネット時代の新常識を学ぶ。

Dr. Hermann Gumpp ミュンヘン在住の IT コンサルタント、起業家。日独産業協会における IT ワーキンググループを率い、ミュンヘン大学（LMU）や日本企業での技術導入アドバイザーならびにGDPR Toolbox というデータ保護のプラットフォームをEnobyte GmbH (enobyte.com) で共同開発中。東京の国立情報学研究所（NII）での研究開発経験もある。専門家チームとの共同研究を進めながら、あらゆるコンピューティング・プラットフォームにプロトタイプを導入している。

サイバー攻撃というものは、孤独なコンピューターオタクであり、何らかの犯罪動機を持っているハッカーが行っている、と未だに多くの人が考えているかもしれない。しかし、時代は変わった。

国際規模のチームによる犯罪

ここ数年の間、犯罪組織は利益を上げられる違法なビジネスモデルを多数用いて、サイバー攻撃の計画と実行のためのグローバルエコシステムを構築してきている。例えば、インターネットのアンダーグラウンドでは、使いやすいハッキングツールキットやゼロデイ攻撃（本誌1136号参照）を提供したりしている。また、盗まれたアクセスデータを販売したり、DDos攻撃（本誌1098号参照）のためのサーバー容量を借りたりすることもある。

さらには、マーケティングやグラフィックデザイン部門を含むソーシャルエンジニアリングチーム全体を雇うことができる市場まで存在する。これらの作業を国際規模で巧妙に分担することで、犯罪組織はより効果的に連携できるだけでなく、摘発や刑罰などから逃れることができてしまうのだ。

データ侵害の早急な報告が重要

こうした組織による犯罪が増えてきた結果、「防衛側」が大きく後れをとっているという深刻な状態であることが問題視されている。このため、情報交換の改善や脅威への迅速な対応のほか、サイバーセキュリティーを強化させるため、予防戦略の策定において企業と法執行機関の国際的なネットワークを促進することがますます重要になってきている。特にデータ侵害を早急に報告することで、マルウェアの拡散を防ぎ、犯罪の解決にもつながる。

この点で大きな役割を果たすこととなったのが、EU一般データ保護規則（GDPR）だ。これにより、欧州連合（EU）内全ての企業に対して、遅くとも72時間以内に監督当局にデータ侵害の報告を行うことが義務づけられた。日本でも、個人情報保護委員会（PPC）がGDPRを模範とし、日本のデータ保護法の改正に取り組んでいる。

現在の脅威の大部分は自動化されたサイバー攻撃であり、そのほとんどはリスクを最小限に抑えるために体系的に軽減することができる。攻撃者が強固なIT インフラに遭遇した場合、約7割が40時間後にはあきらめてしまうことも明らかになっている。そのため、企業は市場の競合他社よりも優れたサイバーセキュリティーを発揮し、攻撃者の犠牲になる可能性が低いことが競争上の優位性となっている。

サイバー攻撃に関する国際法の整備など、国際社会の連携が求められている