今週のセキュリティニュース - 2024年6月14日

昨今、企業のクラウドサービス利用が拡大している一方、利用しているクラウドサービスの設定ミスによる情報漏えい事故も増加しています。そこで株式会社アシュアードは、クラウドサービスの設定ミスを引き起こすリスクについての調査結果を公表しました。
これによると、半数以上のクラウドサービスがアクセス権限設定の仕様を変更する場合に事前通知をしていないという結果になりました。アシュアードは、ゼロトラストで重要な最小権限の原則を適用するために、利用しているサービスのアクセス権限の仕様変更を把握し、適宜アクセス権限の付与を見直すことを推奨しています。
そのほか、ユーザーが組織内のログイン履歴や操作ログを確認できないクラウドサービスは50.9%と約半数となりました。

フィッシング対策協議会は、フィッシングの被害状況や攻撃手法などをとりまとめた「フィッシングレポート 2024」を発表しました。
このレポートによると、2023年のフィッシング情報の届け出件数は過去最高の 100 万件を超えて 1,196,390 件となり、2022 年と比較して約 1.23 倍に増加しました。
また、2023年にフィッシングにブランド名を悪用された件数は212件となり、さまざまなブランドがブランド名をフィッシングに悪用されました。同協議会は、今まで狙われていた事業者がフィッシング対策を進めていることにより、対策が遅れている事業者や、今までフィッシングが発生していない分野が狙われていることが背景にあると分析しています。

人工知能を活用したセキュリティエンジニアリングの新興企業、CardinalOps Ltd.の最新レポートによると、企業のセキュリティ情報およびイベント管理（SIEM）ツールは、サイバー脅威の検出において依然として不十分であることが明らかになりました。
調査は、Splunk Inc.、Microsoft Sentinel、IBM QRadar、Sumo Logic Inc.などの主要SIEMの3,000の検知ルールと120万のログソースを分析しました。結果、これらのツールは潜在的に87%のデータをカバーできるにもかかわらず、MITRE ATT&CKのテクニックのうち19%しかカバーしていないことが判明しました。
MITRE ATT&CKは、サイバー攻撃の戦術、技術、手順を分類するフレームワークで、現在のバージョンでは201のテクニックをカバーしていますが、調査対象のSIEMはそのうち38しか検出できませんでした。さらに、分析したルールの18%に設定ミスやフィールドの欠落があり、無効であることが明らかになりました。これにより、潜在的な脅威が見逃される可能性があります。レポートは、SIEM検出の実装には共通の原則が存在しないことを示しており、組織ごとに異なる要件や環境に適応する必要があると指摘しています。

サイバーセキュリティソリューションを開発・提供するSophosは、毎年実施している小売企業のランサムウェア被害実態調査を発表しました。
この調査によると、昨年ランサムウェアの被害に遭った小売企業は45%で、これは2023年の69%、2022年の77%から顕著に減少しており、歓迎すべき結果です。また、小売企業に対するランサムウェア攻撃の56%がデータ暗号化に繋がり、2023年の71%、2022年の68%から大幅に減少しています。
小売業界のデータ暗号化率は全業種平均の70%や金融サービスを除く全業種の49%よりも著しく低いです。しかし、ランサムウェア攻撃から復旧するための小売企業の平均費用は2024年には273万ドルに増加しており、2023年の185万ドルから大幅に上昇しました。