2022年はどんなセキュリティ事故が起きた?被害事例をご紹介
はじめに
サイバー攻撃では、企業が未対応である脆弱性を突かれることも少なくありません。そこで今後のセキュリティ対策の一助とすべく、2022年のセキュリティ事故の傾向と事例をご紹介します。
※2023年度版はこちらです
参考コラム:2023年はどんなセキュリティ事故が起きた?被害事例をご紹介 |
2022年に起きたセキュリティ事故やサイバー攻撃の傾向
1位:ランサムウェアによる被害
2位:サプライチェーンの弱点を悪用した攻撃
3位:標的型攻撃による機密情報の窃取
4位:内部不正による情報漏えい
5位:テレワーク等のニューノーマルな働き方を狙った攻撃
6位:修正プログラムの公開前を狙う攻撃(ゼロデイ攻撃)
7位:ビジネスメール詐欺による金銭被害
8位:脆弱性対策情報の公開に伴う悪用増加
9位:不注意による情報漏えい等の被害
10位:犯罪のビジネス化(アンダーグラウンドサービス)
出典:情報セキュリティ10大脅威 2023|IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/vuln/10threats2023.html
2022年はランサムウェアによって情報システムが使えなくなる被害が多数報告されました。大企業だけでなく、中小企業や病院にまで被害は及んでいます。
ランサムウェアの中でも「Apache Log4j」の脆弱性を突いた「Log4Shell」を利用したサイバー攻撃は、2021年頃から継続的に発生しています。
また標的型攻撃で使われるマルウェア「Emotet(エモテット)」が再度活発化したこともトピックとして挙げられます。Emotetの活動は2021年に一度下火になりましたが、2022年上期だけでIPAへの届け出が前年の2倍となるほどの脅威を見せました。
他に、不注意や内部不正による、個人情報や営業機密の情報漏えいも世間を騒がせています。以下では、2022年に起きたセキュリティ事故の例をご紹介します。
2022年に起きたランサムウェアの感染事例
2022年に起きたランサムウェア被害事例の中から3件をご紹介します。
参考コラム:ランサムウェアとは?想定される被害や、主な感染経路・対策方法 |
製造業・自動車部品メーカーにおけるランサムウェア被害(2022年2月)
2022年2月、自動車部品を製造する企業がランサムウェア被害を受けたことをきっかけに、国内有数の大手自動車メーカーの操業停止にまで発展しました。
ランサムウェア被害のきっかけは、部品製造企業の子会社のリモート接続機器(VPN装置)の脆弱性でした。子会社が外部から不正アクセスを受けたのちに親会社のネットワークにも侵入され、ランサムウェアによってサーバやパソコンの一部でデータが暗号化され、利用できなくなったというものです。
部品製造企業がランサムウェア被害により操業できなくなったため、部品の納品先である大手自動車メーカーの工場も一時操業停止という事態となりました。
大手企業を狙うのではなく、セキュリティ対策が手薄な関連企業や取引先企業を経由して侵入する「サプライチェーン攻撃」の典型例といえます。
病院へのランサムウェア被害(2022年6月)
ある県の病院で、ランサムウェア「Lockbit 2.0」が情報システムへ侵入し、電子カルテや院内LANが使用不能となる被害が発生しました。入院患者などへの影響は食い止められましたが、電子カルテが使えないため新規の外来患者を一時受け付けられない事態となりました。被害が発覚して2日後に、情報システムは全面再開となっています。
ランサムウェア感染のきっかけは、1つ目の事例と同じくVPN機器とみられています。このVPN機器は2019年にソフトウェアの脆弱性があることが公表されており修正プログラムが配布されていましたが、ランサムウェア被害を受けた病院ではパスワードが変更されていなかったことから、VPN機器がランサムウェアの侵入経路である可能性が高いとされています。
脆弱性「Log4Shell」を利用した仮想化ソフトウェア製品への攻撃(2022年8月)
ある仮想化ソフトウェア製品をきっかけに、情報漏えいやランサムウェアへの感染被害が起きました。これはオープンソースのソフトウェアである「Apache Log4j」の脆弱性「Log4Shell」が悪用されたものです。
この仮想化ソフトウェア製品の利用者に、感染端末からの情報漏えいや、情報漏えいの数日後にランサムウェアへ感染するなどの被害がありました。
攻撃手順は大まかに、「Log4Shell」を悪用した後にPowerShellコマンドを使用して攻撃対象のネットワークを検出し、不正なDLLを実行させるというものです。「Apache Log4j」がWebサーバとして広く利用されているApacheに標準で組み込まれていることから、攻撃の影響は大きかったものと見られます。
2022年に起きた不注意や内部不正による情報漏えい事例
個人情報を含むUSBメモリの紛失(2022年6月)
ある自治体の外部委託企業が、自治体の全住民の個人情報を含むUSBメモリを紛失するというセキュリティ事故が起きました。事故の経緯としては、作業者がデータ移管作業のためにデータをUSBメモリへ記録。USBメモリを持ち出してデータ移管作業を完了した後に飲酒し、USBメモリが入った鞄ごと紛失したというものです。
その後、USBメモリ紛失以外にも問題が続出しました。この作業者が外部委託先企業の再々委託先に所属しておりその再々委託先自体は市から未承諾であったこと、未承諾の再々委託先企業の作業者が市の機密情報に容易にアクセスできる状態であったことなどです。
情報の取り扱いに関して数々の問題が露見したことで、市は市民からの信用低下を招くこととなりました。
同業他社の機密情報を提供(2022年9月)
同業の外食チェーンからの転職者が、前職で得た営業秘密情報を転職先へ提供していたという事件が起きました。前職で取締役を務めていた人間が、競合他社の社長に就任する前後に、前職から営業秘密である売上データの提供を受けていたというものです。事件に関わったこの社長と他1名の関係者が不正競争防止法違反の疑いで逮捕されました。
上場企業の現職社長が逮捕されるという異例の事態は、大きく報道され多くの一般消費者の知るところとなりました。役職員のコンプライアンス欠如が招いた事件といえます。
2022年に起きたハッカー集団によるサイバー攻撃事例
日本政府のサイトがアクセス不可に(2022年9月)
本政府のサイトがアクセス障害に(2022年9月)
日本政府の複数のサイトがDDoS攻撃を受け、サイトが一時アクセス不可となりました。ある国を支持するハッカー集団による攻撃と見られており、このハッカー集団はSNS上に、「サイバー攻撃を行った」という旨の声明を発表しています。
DDoS攻撃は、政治的な主張を目的に攻撃を仕掛けるハッカー集団がよく用いる攻撃方法です。ハッカー集団の攻撃は日本政府だけでなく、世界の政府が攻撃の対象となっています。
2022年に起きたテレワークに関連する機器の脆弱性を利用した攻撃
続くコロナ禍によりテレワークで働く人が増えている昨今、テレワーク関連機器を発端としたサイバー攻撃も増えています。セキュリティ事故が起こった背景には少なからずリモート機器が関連しています。
VPN装置の脆弱性を利用した攻撃
攻撃の前段階として、VPN装置やリモートデスクトップサービスなどの脆弱性が突かれているケースがありました。この脆弱性が悪用されると攻撃者が内部へのアクセス権を得ることになり、その後情報漏えいやランサムウェア感染の被害へと繋がってしまいます。
2022年に起きたランサムウェアなどによるサイバー攻撃の多くは、これらの VPN 装置やリモートデスクトップサービスの脆弱性を悪用されたことが原因という指摘もあります。裏を返せばVPN装置の脆弱性対策が行われていれば発生しない被害もあったということです。脆弱性への完全な対応は困難ですが、既知の脆弱性はできるだけ早く塞ぐようにしなければなりません。
今後、情報セキュリティの脅威となることとは?
攻撃先としては、グループでのセキュリティ対策が必要となるため対策のスピードが遅れがちなサプライチェーンや、何年も続いている国家および重要インフラへの攻撃が今後も発生するとの予測もあります。また戦争が長引く世界情勢に鑑みて、政治的主張を行いたい人間が、高度な技術を持つハッカーと組んでサイバー攻撃を行う可能性もゼロではありません。
今後も、最新のセキュリティ情報をチェックし、必要な対策を実施していきましょう。
サイバーセキュリティ対策はアクセリアにご相談ください
サイバーレジリエンスソリューションとしてご提供しており、サイバー攻撃やシステム障害による機会損失のリスクを最小化するだけではなく、顧客のUX(User Experience)を高め、収益機会を最大化するための最適なサービスを、お客様の課題に合わせて提供することができます。
お困りのことがありましたら、まずはご相談ください。
サイバーレジリエンスサービス ラインナップ
▶【Solution CDN】
日本人エンジニアの運用サポートで、最高のパフォーマンスと最先端のセキュリティを提供するCDN
▶【クラウドWAF(Scutum)】
「新しい」を「当たり前」に変えた11年連続 国内シェアNo.1のクラウド型WAF
▶【データバックアップサービス(VDaP)】
ランサムウェア対策としてのデータバックアップサービス。ローカル環境、クラウド2拠点へ自動保存。さらに簡単リストア。
▶【サイバーリスクに備える保険】
3つの保険会社のサイバー保険商品から、保険とサイバーセキュリティに精通したプロが最適な保険商品をご提案
▶【産業サイバーセキュリティ事業】
OT/ITあらゆるレイヤーのリスクを踏まえたセキュリティサービスをご提案
サービスにご興味をお持ちの方は
お気軽にお問い合わせください。
Webからお問い合わせ
お問い合わせお電話からお問い合わせ
平日09:30 〜 18:00
Free Service