レジリエンス向上のための4つの課題と4つの解決策

サイバー脅威の攻撃者が顧客データを欲しがっていることは周知の事実です。IBMによれば、攻撃を受けた組織にとって最も一般的な影響はデータの盗難と漏洩でした。さらに、Delineaの報告によると、今日のランサムウェア攻撃の最大の動機はデータ漏洩となっています。

金融サービス業界ほど価値の高い顧客データを扱う業界はほとんどないため、この業界は脅威の攻撃者にとってもこの上なく魅力的なターゲットとなります。

多くの金融サービス組織は多額の資金と資産を保有しているため、「大物」の標的を追いかけようとするランサムウェア攻撃者にとって魅力的な組織となります。また、金融セクターは相互に関連しているため、1つの機関や一般的に使用されている商品が危険にさらされると、業界全体に幅広い影響が及ぶ可能性があります。

In Recorded Future’s recent fireside chat webinar, Navigating Risk: How Threat Intelligence Is Transforming Financial Services, Citizens Bank Cyber Threat Intelligence Manager Lea Cure summed up the complex nature of financial services cybersecurity:

「金融機関である当社は、資金と個人情報を保有しています。そうした情報の保護方法についての考え方は、他の組織とは大きく異なります。当社が使用するテクノロジーと、資金移動に使用するテクノロジーは非常に重要です。これらに障害が発生した場合、どうするか、対応策をあらかじめ整備しておくことが肝要です。」

このブログでは、金融サービス組織が直面している課題と、脅威インテリジェンスが重要なコンテキストを提供し、悪質なアクターが顧客データを盗んで事業運営に影響を及ぼすことを防御側がより早く効率的かつ効果的に防ぐ方法について説明します。

課題1：サプライチェーン攻撃

さまざまな業界の潜在顧客や既存顧客から、サプライ チェーン攻撃が最大の懸念事項であると何度も伺っています。対談の中で、クライアントのパネリストは二人とも同様に感じていると言いました。

サプライチェーン攻撃を防ぐためにできることはほとんどないため、そうした懸念は当然のことです。Gartnerの調査によると、45%の組織が過去数年間にサードパーティ関連の業務中断を経験しています。

北米の商業銀行の脅威インテリジェンスマネージャーであるChristopher Martinkus氏は、「金融業界外、特にテクノロジーサービスプロバイダー業界では、規制ははるかに緩くなっています」と述べます。「そこでこうした侵害が数多く発生しています。サードパーティのサービスプロバイダーに対する攻撃は、当社を特に狙った攻撃よりもはるかに多く発生しています。」

例えば、ランサムウェアグループのCL0Pのような脅威アクターは、Accellion、SolarWinds、MOVEit製のファイル転送ソフトウェアの脆弱性を悪用することに焦点を当てています。CL0Pは、転送中のファイルに不正にアクセスすることで、機密情報を盗み、身代金目的でファイルを暗号化し、侵害されたファイルを他の悪意のある活動に悪用することに成功しました。

サービスとしての製品提供が主流の現在、サプライチェーン全体のリスクの軽減がさらに困難になっています。Zachary Smithリサーチ担当シニアプリンシパル（Gartner）は 、「サイバーセキュリティチームは、サードパーティ関連の混乱に対する回復力を構築し、サードパーティ関連の事業上の意思決定に影響を与えることに苦労しています」と述べています。

解決策：サプライチェーンのリスクを軽減

Can threat intelligence help organizations be more proactive in identifying risks that stem from their partners and vendors? Recorded Future client Christopher Martinkus thinks it’s possible to mitigate supply chain risk.

「実際、当社のサードパーティ企業がランサムウェア恐喝サイトに掲載されているという警告が届いたことがあります」と同氏。「そこに掲載されていることに気付く前に、そのベンダーへの通知は完了していました。」

別の金融サービス会社は、新規ベンダーの調達プロセス中に悪意のあるネットワークアクティビティを特定することができました。この場合、会社はベンダーにハイリスクのフラグを立て、オンボーディングの前にさらに詳細を精査することができました。

With supply chain attacks, minutes and hours really matter. Decisions need to be made and steps need to be taken to keep the business secure. Threat intelligence can provide real-time threat monitoring and assessment to help you overcome current challenges and ensure that your organization has the context needed to stay ahead of supply chain threats.

課題2：ランサムウェア

法執行機関による悪名高いランサムウェアグループLockBitの阻止は短期的には功を奏しましたが、ランサムウェアは金融サービス機関にとって引き続き大きな懸念事項となるでしょう。すでに、他のランサムウェアグループが混乱から立ち直った例も見られています。

「ランサムウェアはなくならないと思います」とLea Cure氏。「この状況は今後も続き、問題であり続けるでしょう。」

Christopher Martinkus氏はこう語ります。「LockBitに似た他のバリアントが出てくるでしょう。ヒドラ理論のようなもので、片方の頭を切り落とすと、最終的に頭が2つになるのです。」

2023 was a banner year for ransomware groups. Ransomware payments doubled to more than $1.1 billion (The Record), and high-profile attacks received extensive media attention. Of organizations that suffered an attack, 62% lost revenue, 48% experienced reputation damage, and 48% lost customers (Delinea’s State of Ransomware 2024).

新年にランサムウェア恐喝サイトに投稿された被害者の数は減少しましたが（The Record-Ransomware Tracker）、その数は増加の可能性があります。金融サービス組織は、この休息期間を利用して防御を強化する必要があります。

解決策：プロアクティブなランサムウェア対策

ランサムウェア攻撃の軽減のため、金融機関は積極的な洞察を必要としています。シフトレフトの方法としては、まず明確な意図をもって業界を狙う攻撃者に焦点を当てることが挙げられます。

これらのグループに関連するツール、戦術、手順（TTP）は何で、動機はどのようなものでしょうか。環境内の悪意のあるインフラストラクチャを先制的に検出するハンティングパッケージはありますか？

金融サービス業界のクライアントがRecorded Futureからの有益な洞察を活用して防御を強化した事例を数多く目にしてきました。

あるクライアントは、Recorded FutureのランサムウェアダッシュボードのランサムウェアMITREマップのTコードを使用して、潜在的なランサムウェアのTTPに関する情報を入手しています。この結果、時間を節約し、脅威のプロファイリングを強化することができました。

また、別のクライアントは、同業他社を狙う脅威アクターを監視するアラートを設定して、自社のビジネスに最も適した脅威に優先順位を付けています。

課題3：デジタルリスク

IBM X-Force脅威インテリジェンス・インデックスによると、2023年のMITRE ATT & CK Matrixの最初のアクセス経路の上位3位は、有効なアカウント（T1078）、フィッシング（T1566）、エクスプロイト公開アプリケーション（T1190）でした。これらは大差をつけてトップとなりました。

実際、レポートによると、正当な認証情報を使用した攻撃の量は前年比で71%増加しました。これは、情報窃取型マルウェアの使用が266%増加したことが原因と考えられます。Recorded Futureの2023年攻撃者インフラストラクチャレポートによると、観測された一意のC2サーバーの数に基づき、RedLine StealerとRaccoon Stealerが最もよく使われた情報窃取マルウェアとなりました。

脅威アクターが情報窃取型マルウェアと侵害された認証情報をこうも重視する理由はどこにあるのでしょうか。Recorded FutureのDmitry Smilyanetsプロダクトマネージャーディレクターは、自身のブログ記事「セッションハイジャックとMFAバイパス」で、「サイバー犯罪者は、盗んだセッションを使用してWebアプリケーションやサービスへの認証を行い、多要素認証（MFA）チェックポイントをバイパスすることができます」と述べています。

Despite no longer being the top initial access vector, phishing is still prevalent. According to a brand protection report from Mimecast, brand impersonations have risen by more than 360% since 2020. This is likely due to cybercriminals using domains, corporate names, slogans, logos, and executive impersonation to create communications that look like they’re coming from legitimate financial services organizations.

組織がデジタルチャネルを拡大し、クラウドベースのリソースの利点を活用し続ける中、外部の攻撃対象領域は常に変化し、拡大しています。インターネットに接続する新しい資産の爆発的な増加、多数のクラウド環境、リモートワーカーのエントリーポイントの増加はいずれも可視性の課題につながり、悪用のリスクを高める可能性があります。Enterprise Strategy Groupのレポートによると、未知、管理されていない、または管理が不十分なインターネットに接続された資産の悪用に起因するサイバー攻撃を受けた組織の割合は76%に上ります。

ソリューション：デジタルリスクの保護と露出の管理

Preventing digital risks requires improving visibility into digital blind spots. Whether you’re concerned with compromised credentials, typosquat domains, or vulnerable assets, visibility is essential to monitoring, prioritizing, and remediating risks to your enterprise.

サイバー犯罪者の間で有効な認証情報と情報窃取型マルウェアが人気であることを考えると、侵害された認証情報が使用される前に見つけて修復することが重要です。ある従業員のパソコンが情報窃取型マルウェアに感染したとき、Toyota Motors North AmericaはRecorded Futureを使用して、侵害された認証情報について事前警告し、脅威アクターが盗んだ認証情報を大量に使用しようとする前に、従業員のアカウントをプロアクティブに保護しました。

ドメインのタイポスクワットや偽のログインページを監視することで、従業員、顧客、パートナーがフィッシングキャンペーンに巻き込まれる可能性を減らすことができます。組織の名前にもよりますが、タイポスクワッティングやサイバースクワッティングと見なされる可能性のあるドメインが数十から数百存在する可能性があります。ノイズをカットするには、画像光学式文字認識（OCR）を使用して、作成または更新中のウェブページをスキャンし、会社のロゴやログインページを探すことも有効です。例えば、英国のある銀行では、偽のログイン画面を持つ潜在的なフィッシングサイトを発見するためのドメイン悪用警告を受信し、セキュリティチームは混乱を招く前にそのサイトを停止することができました。

外部の攻撃対象領域を守る最善の方法は、自社が影響を受けやすいエクスポージャーと、脅威アクターによって積極的に悪用されているエクスポージャーを理解することです。どのようなCVE、設定ミス、その他のリスクが自社に存在するかを理解することで、事後対応型ではなく、よりプロアクティブに対応できます。 Recorded Futureとのインタビューで、CumminsのMatt Bittick氏は、攻撃対象領域のリスク管理プログラムの成功には可視性、資産インベントリ、マッピングが必要であると述べました。「成功のためには、自分の問題が何であるかを知ることだけでなく、それらに対処する方法も知っておく必要があります。」

課題4：不正支払い

クレジットカード詐欺は、金融機関にとって大きな脅威です。Recorded Futureの「2023年年次不正支払いインテリジェンスレポート」によると、詐欺師はダークウェブやその他のソースに1億1,900万枚以上の決済カード情報を無料で、または販売用に掲載しました。 2022年には、おそらくサイバー犯罪の取り締まりとウクライナ侵攻が原因で、盗まれたカードがダークウェブで販売される回数が減少しましたが、2023年は大幅に回復しました。

さらに、コロナ禍中、支払いカード盗難の主な手口はATM、ガソリンスタンド、加盟店などで行われるカード提示型（CP）取引からオンラインで行われるカード非提示型（CNP）取引へと変化しました。2021年には、盗難された支払いカードの65%がCNP取引中に侵害されており、その割合は現在約75%に上昇しています。

Recorded Futureの調査によると、2023年は、脅威アクターが何も知らないオンラインショッピングユーザーからカード情報を盗むための戦術を改良し続けた年でした。新しい戦術には以下が含まれます。

• リバースエンジニアリングを複雑にするeスキマーコード内の複数の論理パス
• リレーURLからeスキマーを受信するローダースクリプト
• Trojanized Google Tag Manager containers in a chain-loading structure
• 難読化されたオブジェクトベースのeスキマーインフラストラクチャ
• Telegramボットの悪用によるeスキマーと盗難データの中継

ソリューション：プロアクティブな不正支払い防止

「当社が注力している大きな取り組みの1つは、不正行為の分野で対応することです」とChristopher Martinkus氏は語ります。「私たちは実際に、Recorded FutureのPayment Fraudモジュールの導入を進めています。 これは、予算に組み込めた大きな成果の1つです。部分的なPAN（主要口座番号）と完全なPANデータを取得し、不正行為チームと協力して、それらのカードと漏洩したデータをリスク評価して再発行またはリスクスコアリングを行うように取り組んでいます。」

詐欺とサイバー脅威のインテリジェンスチームは、提携して侵害された支払いカードのライフサイクルを包括的に調査することで、不正取引を積極的にブロックし、誤検知を減らすことができます。

マーチャントがいつ侵害されたかを診断することから、盗まれたカードデータがダークウェブに投稿されて販売されているか否かの判定、詐欺師がテスターマーチャントを通じてカードの有効性をテストしていることの特定まで、脅威インテリジェンスは金融機関が不正リスクをより明確に把握するのに役立ちます。

脅威インテリジェンスは、他の種類の支払い詐欺を阻止するためにも使用できます。例えば、最近のFinCENの投稿で指摘されているように、不正支払いを目的とした小切手の盗難が増加しています。Recorded Futureは、盗まれた小切手の画像を、詐欺に使用される前にサイバー犯罪のエコシステムから入手します。光学式文字認識（OCR）を使用し、不正小切手の高品質のフィードを作成することができます。

このインテリジェンスを使用して、小切手が盗まれた顧客アカウントや、盗まれた小切手を使って入金された顧客アカウントを特定できます。これにより、被害を受けた顧客の口座から資金が流出するのを防ぎ、入金された盗まれた小切手が最終的に詐欺として報告される前に利用可能になった資金を詐欺師が盗むのを防ぐことができます。例えば、北米のある金融機関は、Telegramチャネル上の不正小切手が使用される前に事前特定することに成功しました。

ある北米の大手金融機関ののCTIディレクターはこう語ります。「Recorded Futureは詐欺の軽減に本当に役立ちました。異なる使命を持ち、常に頻繁にコミュニケーションをとるわけではないさまざまなステークホルダー全員が、提供される情報が当行にとって本当に価値があるという合意に達することができました。」

脅威インテリジェンスによる金融機関の保護

「脅威インテリジェンスは業界を問わず同じだと思います」とChristopher Martinkus氏は語ります。「違う点は、自社を狙うアクターとその背後にある動機です。どの企業にも脆弱性があり、また、維持すべき技術、独自のブランドと評判があります。結局のところ、私たち全員が同様の脅威に焦点を当てているのです。注目している脅威そのものは企業によって異なるでしょうが。」

金融サービス組織にとって、脅威インテリジェンスは、セキュリティチームが脅威を予測し、攻撃に迅速に対応し、リスクを軽減するためのより良い意思決定を行うのに役立ちます。未知の脅威を明らかにし、より良い意思決定を行い、共通の理解を促進して組織全体のリスク軽減を加速させることで、サプライチェーン攻撃、ランサムウェア、デジタルリスク、不正支払いに直面しても回復力を高めることができます。

For more information on how Recorded Future can elevate your security defenses, request a demo. Already a Recorded Future client and want to learn more about the latest product updates, request a free consultation.