この1年で、アジア太平洋地域は世界のフィンテック投資をけん引する存在へと台頭し、北米や欧州といった従来の経済大国を上回りました。[1] さらに、アジアのフィンテックベンチャーへの投資拡大と、シンガポールおよび香港における規制サンドボックスの登場は、フィンテック分野の主導権が西から東へと明確に移りつつあることを示しました。
この発展を支える主な要因の1つは、アジアでモバイルおよびアプリケーション市場が活況を呈していることです。そのため、特にモバイル決済やデジタル金融技術などの分野で、この地域はイノベーションの実証に適した環境となっています。この変化は、私たちの日常生活にも表れています。Apple PayやDBS Paylah!は、日々の暮らしに深く浸透した、アプリケーションを活用する多種多様なキャッシュレス決済サービスや電子ウォレットの一例です。
これらのテクノロジーはユーザーの利便性を高める多くの機会をもたらす一方で、それに伴う脅威や脆弱性も増大しています。バングラデシュ中央銀行の不正送金事件や香港でのビットコイン盗難事件が、その事実を裏付けています。意外なことに、大多数の金融機関がサイバー脅威を事業上の主要なリスクの1つに挙げているにもかかわらず、自社のアプリケーションが直面する脅威について十分に認識していない組織も少なくありません。
今日のデジタル時代における高度化した脅威環境の中で、フィンテック企業が対策すべき主なアプリケーション脅威は次のとおりです。
- マルウェア
データ、ユーザー、またはその両方に損害を与えるよう設計されたバンキングマルウェアは、2016年だけでアジア太平洋地域において30万件以上も確認されました。これは北米で確認された件数の3倍に相当します。[2]
最も一般的なマルウェアの罠の1つは、悪意のあるアプリケーションをソフトウェアプログラムにバンドルする手口です。インストール手順をよく確認しないユーザーは、気付かないうちにデバイスへのマルウェアの侵入を許してしまいます。侵入したマルウェアは、ソフトウェアプログラムまたはオペレーティングシステムのセキュリティ脆弱性を悪用します。
- Webアプリケーション攻撃
これらの攻撃は通常、ソフトウェアの脆弱性などの攻撃ベクトルを悪用してWebサイトに侵入します。
近年、Webアプリケーションの複雑化に伴い、ソフトウェアの脆弱性が増えています。さらに、アプリケーション需要の高まりにより、迅速な導入が求められる一方、アプリケーションコードのセキュリティを確保する時間が十分に取れず、脆弱性を悪用されやすくなっています。
- 内部関係者による侵害
内部関係者による侵害は、最も危険なサイバー攻撃の形態の1つです。アジア太平洋地域では、セキュリティ上の懸念事項として2番目に高く位置付けられており、2015年には10%を超える企業が20件を超える侵害を報告しています[3]。このような攻撃は一見信頼できる発信元から行われるため、セキュリティ対策で検知されないことが少なくありません。
こうした脅威には通常、主に2つの形態があります。標的となる組織の従業員でもある悪意のあるハッカーと、偽の身元を使って従業員になりすます外部の人物です。
- DDoS攻撃
分散型サービス拒否（DDoS）攻撃では、侵害された数千台のコンピューターからなるネットワークを悪用し、Webサイトのサーバーに大量のリクエストを送りつけて過負荷状態にし、Webサイトを停止させます。2015年には、香港の約20行の銀行がこのような攻撃の被害を受けました。これは香港金融管理局（HKMA）に報告された事例にすぎず[4]、実際の件数ははるかに多かった可能性があります。
一見すると比較的無害に思えるかもしれませんが、サービスの中断、特にフィンテック分野での中断は、金銭面と評判の両面で損失につながります。実際、NeustarのDDoSに関するレポートでは、ダウンタイムによる損失は1時間あたり250,000米ドルと推定されています。
脅威が顕在化してから初めてセキュリティ対策を講じる企業があまりにも多く見られます。しかし、アプリケーション開発のあらゆる段階でセキュリティプロセスをアプリケーションに組み込めば、こうしたセキュリティリスクの大半を排除できます。実際、これらのセキュリティプロセスによって、財務上の失敗を競争上の成功へと容易に転換できる可能性があります。
アジアのフィンテック業界が今日の攻撃ベクトルに対する防御を強化する方法について詳しく知りたい方は、6月20日（火）にシンガポールで開催されるAnticipate 2017にぜひご参加ください。金融業界を代表する専門家から、貴重な見解や知見を伺います。
[2] http://sbr.com.sg/financial-services/news/317822-online-banking-malware-detected-in-apac-in-2016
[3] https://www.infosecurity-magazine.com/news/insider-threats-reponsible-for-43/
著者について
Shahnawaz Backerは、F5 Labsのプリンシパルセキュリティアドバイザーを務めていました。最新のアプリケーション開発、デジタルアイデンティティ、不正行為の手口に強い関心を持ち、セキュリティインテリジェンスをソリューションに組み込むことに注力するとともに、自動化されたプロアクティブな防御の重要性を強く信じています。
Shahnawaz Backerのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。