サイバー犯罪が心の健康に及ぼす代償

Ian LauthAI製品マーケティング担当ディレクター | F5

自分の評判なんて、どうでもいい。

Joan Jett & the Blackheartsがその歌詞を声高らかに歌えたのは、現代のインターネット時代が到来する前、カウンターカルチャーが反体制的でクール、かつ先鋭的だった時代だからこそでした。

今や、カウンターカルチャーは主流となり、オンラインでの評判がすべてを左右します。ポケットの中のデバイスとの結びつきがますます強まるなか、私たちはデジタル上の自分を意図的に演出し、人目にさらしながら、厳密に管理しています。

そのため、クレデンシャルスタッフィングによってアカウントが乗っ取られ、悪意のある攻撃者に悪用されると、個人にとって深刻な被害につながる可能性があります。

パニック、気まずさ、そして羞恥心。

これらは、デジタル世界で起きる出来事によって生じる、現実の感情です。

これは、Identity Theft Resource Center（ITRC）が「アカウント乗っ取りの蔓延」と呼ぶ、ソーシャルメディアアカウントの乗っ取りにおいて特に顕著です。

ITRCによると、2021年には15,000人近くの個人情報犯罪被害者から支援サービスに関する問い合わせがあり（これ自体が過去最多）、ソーシャルメディアのアカウント乗っ取りは2020年から2021年にかけて1,044%増加しました。驚くべき数字です。

その後、ITRCがソーシャルメディアアカウント乗っ取りの被害者を対象に調査を実施したところ、明らかになったのは、66%がソーシャルメディアアカウントを制御できなくなったことで強い感情的反応を経験したと回答したことです。内訳は、92%が侵害されたと感じ、83%が心配や不安を感じ、78%が怒りを感じ、77%が無防備だと感じ、7%が自殺を考えたと回答しています。

「世界メンタルヘルスデー」の趣旨を踏まえると、これらはサイバーセキュリティ分野で考慮すべき重要な統計です。ソーシャルメディア上のなりすまし被害を単なる不便と捉える人もいるかもしれませんが、これらの数字は、オンラインでの評判が心の健康といかに密接に結び付いているかを示しています。

私の友人であるTrevorとStaceyの例を見てみましょう。2人とも2022年7月、おそらく同じクレデンシャルスタッフィング攻撃によってソーシャルメディアのアカウントを乗っ取られました。どちらも2要素認証を設定していませんでした。

2人とも第一線で活躍するプロフェッショナルで、ソーシャルメディアを積極的に利用していました。また、そのうち1人は暗号資産にそこそこ関心を持っていました。

悪意のある攻撃者は、ビットコインのマイニング事業への参加を露骨に促すメッセージをInstagramのストーリーズに投稿しました。それはiPhoneのロック画面のスクリーンショットで、プロフィールの写真（Trevorの場合は、プロフィールに掲載されていた本人と妻の写真）とBofAを装った偽のテキストメッセージが表示され、その後に本人のものと称する銀行口座のスクリーンショットが続いていました：

これが詐欺だと見抜くのにサイバーセキュリティの専門知識は必要ありません。しかし、悪用事例があまり知られていないソーシャルエコシステム内で、信頼できる発信元の実際のアカウントから送られているため、効果的なフィッシング手口となる可能性があります。

攻撃者がどれほど巧妙なのか興味があったことに加え、ブラックハットの相手と直接話せる機会を逃す手はないと思い、彼らのメッセージがどの程度効果的なのかを確かめるため、そのストーリーに返信しました。

わかってる、わかってる。私って本当にいい友達でしょ？

2人にとって、それはひどくつらい経験でした。Trevorは、顔をスキャンし、タグ付けされた膨大な写真ライブラリと照合するInstagramの顔認証プロセスを利用できました。27時間以内にアクセスを取り戻し、2要素認証を設定することができました。

一方、Staceyはソーシャルメディアを完全にやめました。この一件はあまりにも恥ずかしく、大きな不安を感じたため、すべてを投げ出して去ってしまったのです。そして、デジタル世界でのペルソナというものは自分には合わないと判断しました。

これは珍しいことではありません。2020年の調査によると、アカウントがハッキングされた場合、消費者の28%がそのWebサイトの利用をやめることが示唆されています。

パニック、気まずさ、そして羞恥心。

お客さまのエンドユーザーがF5の製品を利用する際に、このような感情を抱くことは望んでいません。この例はソーシャルメディアに特有のものかもしれませんが、その思いは誰もが共感できるものです。

ソーシャルメディア、フィンテック、eコマースをはじめ、攻撃に悪用され得るユーザー基盤を持つあらゆる組織にとって、クレデンシャルスタッフィングは終わりのないいたちごっこであり、その影響は目を見張るほど深刻です。

Javelin Strategy and Researchの2021年アイデンティティ詐欺調査によると、2020年にはアカウント乗っ取り（ATO）詐欺による損失総額が60億ドルを超えました。企業が新たな防御策を講じると、ハッカーはそれを回避するツールを開発し、このサイクルが繰り返されます。

では、企業はどのように対抗すればよいのでしょうか？

Aite Groupの最新レポートでは、金融機関、フィンテック融資会社、eコマース企業のリスク管理責任者にインタビューを行い、増加の一途をたどるATO攻撃から自社をどのように保護しているかを調査しました。

主なポイントは次のとおりです。

• ほとんどの消費者は、複数のWebサイトで同じ少数のユーザー名とパスワードを使い回しており、組織的犯罪集団に悪用される脆弱性を生み出しています。
• 攻撃対象領域は拡大し続けており、検知と緩和がさらに複雑になっています。
• 組織には、リアルタイムのデータ分析を活用して自動化された攻撃に対応し、ビジネスに影響が及ぶ前に悪意のあるアクティビティをブロックするソリューションが必要です。
• 堅牢な防御策を備えた企業では、犯罪者がより攻撃しやすい標的に狙いを移すため、攻撃件数が減少します。

ATO攻撃が収益に及ぼす明白な影響だけでなく、こうした犯罪が実際に人々にも影響を及ぼすことを忘れてはなりません。

不正行為の阻止は、単に金銭的損失を防ぐためだけのものではありません。より良いデジタルの未来を支える根幹をひそかにむしばむ、人々の心の傷を防ぐうえでも同じように重要です。現実世界と同様に、望ましいデジタルの未来を実現するには、安全性、セキュリティ、信頼が欠かせません。

著者について

Ian LauthAI製品マーケティング担当ディレクター | F5

Ian Lauthのその他のブログ記事