7月下旬、オンライン出会い系サイトAshley Madisonを運営するAvid Life Media（ALM）は、大規模なデータ侵害の被害を受け、数百万人に上るAshley Madisonユーザーの個人情報や身元が漏えいした可能性があることを認めました。
それから1か月後、Impact Teamとして知られる犯行グループとみられるハッカーが、約3,200万人の顧客の氏名、住所、電話番号、クレジットカードの取引明細を公開したことで、同社の懸念（そして言うまでもなく、ユーザーの懸念）が現実のものとなりました。この情報は、専用のTorブラウザーとOnionルーターを使用しなければアクセスできない、インターネット上の半匿名化された領域「ダークウェブ」を通じて公開されました。当然ながら、データへのアクセス方法も出回り、その後、パートナーの情報を見つけた人々に関する記事がタブロイド紙にあふれました。さらに、この情報漏えいは内部犯行だったとの疑惑や、実際に多くの人がどのように、あるいはなぜこのサイトを利用しているのかについて、より踏み込んだ社会的考察も報じられています。
闇の側面
しかし、サイバーセキュリティの観点から見ると、Ashley Madisonの事例は、サイバー攻撃が新たな暗黒期に入ったことを示す、これまでで最も注目を集めた例です。サイバー犯罪者は、単に混乱や困惑を引き起こしたり、多少の売名を図ったりするのではなく、身代金を目的としたハッキングを行う傾向を強めています。7月初旬には、動画ストリーミングサービスのPlexがハッキングされ、攻撃者は同サービスから金銭を脅し取ろうとしました。その1か月前には、Bank of ChinaとBank of East AsiaがいずれもDDoS攻撃の被害を受け、ハッカーは多額のBitcoinを支払わなければ攻撃を拡大すると両行を脅迫しました。
Impact Teamは、この攻撃について、Ashley Madisonを運営する企業に対する道徳的な聖戦に近いものだったと主張しています。ハッカーらによると、ALMは2014年、サイトの利用履歴と個人を特定できる情報を19ドルの一回払いで削除できる「完全削除」サービスから、170万ドルの収益を得ていました。しかしImpact Teamは、実際には完全には削除されず、ユーザーの支払い情報に引き続きアクセスできる状態だったと主張しています。
32億ドルをめぐる疑問
しかし、このハッキングの理由としてより可能性が高いのは、盗まれた情報が極めて機密性の高いものであり、多額の金銭的価値を持ち得ることです。データがダークウェブに流出した3,200万人が、その削除のために1人100ドルを支払うとしたらどうでしょうか。計算してみれば（計算するまでもなく、脅迫による収益は実に32億ドルに達する可能性があります）、Ashley Madisonへのハッキングのような情報漏えいが、いかに大きな影響力を持つかは明らかです。
では、これは企業にとって何を意味するのでしょうか。端的に言えば、サイバーセキュリティに真剣かつ早急に取り組む必要があるということです。Ashley Madisonとそのサービスをどう評価するにせよ、このハッキング事件は、有料顧客のデータ保護において企業が直面する広範な課題を示す一例であり、将来の収益にも影響が及ぶと考えられます。
多くの企業では、急速に進化するセキュリティ脅威に対応できるほど迅速に、ポリシーや保護対策を見直せていないのが実情です。まだ標的になっていないとすれば、それは幸運だったにすぎません。組織が今すぐ行動を起こさなければ、ハッカーは今後もシステムを侵害してデータを盗む新たな手口を見つけ続けるでしょう。
ハッカーの先を行く
残念ながら、ハッカーから守るための万能な解決策はありません。まず組織は、何を保護しようとしているのか、ハッカーが何を侵害しようとしている可能性があるのかを把握する必要があります。こうした攻撃では、複数の攻撃経路が同時に使われるケースが増えています。たとえば、DDoS攻撃を仕掛けてセキュリティチームやITチームの注意をそらし、その間に別の場所でアプリケーションを狙い撃ちしてデータへのアクセスを試みる手口がよく見られます。こうした攻撃では通常、アプリケーションが主な標的となり、ハッカーはアプリケーションロジックや、そのアプリケーションを利用する人々の脆弱性を悪用する可能性があります。
Ashley Madisonをめぐる道徳的な議論はさておき、注目すべきは、ハッカーが企業の防御をかいくぐるケースが増え、その過程で個人の自由や匿名でいる権利が侵害されていることです。こうした攻撃が毎週、さらには毎日のように報じられる事態を防ぐには、セキュリティ業界とあらゆる業種の企業が連携し、ハッカーの先手を打つ必要があります。
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。