アジアの金融サービス業界は、最も厳しい規制が課されている業界の1つであり、コンプライアンスはセキュリティを保証するものとして語られることが少なくありません。しかし、コンプライアンスはセキュリティの一側面にすぎません。さまざまな規制が幅広い課題を対象としていますが、コンプライアンスに対応するためにソリューションやデバイスを導入するだけでは不十分です。
アジア太平洋地域でモバイルデバイスが急速に普及し、それに伴ってインターネットバンキングの利用が拡大したことで、サイバーセキュリティの脅威はますます巧妙化しています。しかし、Telstraのモバイルアイデンティティ調査によると、金融サービス業界の経営幹部の62%が、アイデンティティとセキュリティへの投資が不十分であると回答しています。また、3分の1を超える消費者が個人情報の盗難を経験していることから、金融機関のセキュリティ対策に満足している消費者は半数未満でした。
昨年は、JP Morganの情報漏えいや、韓国の銀行が大規模なクレジットカード情報漏えいの被害を受けるといった個人情報窃盗事件が発生しました。また、2014年には個人情報詐欺により、被害者から160億米ドルが盗まれました。個人情報窃盗は金融サービス業界にとって急速に深刻化している脅威ですが、依然として過小評価されています。
攻撃対象領域の拡大と攻撃の高度化
攻撃対象領域の拡大と攻撃ツールの高度化により、サイバー犯罪者による個人情報の窃取が一般化しています。現在、サイバー攻撃はより多様な経路から仕掛けられています。たとえば、多くの金融サービス機関では従業員の私物デバイスによる社内ネットワークへのアクセスを許可しているため、Bring Your Own Device（BYOD）環境のモバイルデバイスが、サイバー犯罪者にとって、従業員の認証情報を悪用して潜伏し、攻撃を拡散し、情報を盗み出す経路となる可能性があります。
もう1つの攻撃経路となり得るのが、安全性に問題のある公開Webアプリケーションです。これにより、ID情報が短時間で盗まれる可能性があります。たとえば、昨年大きく報道された次のようなゼロデイ脆弱性が挙げられます。ShellshockとHeartbleedです。組織による脆弱性へのパッチ適用が遅れたり、Webアプリケーションを保護するための適切なテクノロジーが不足していたりするだけで、攻撃を許すことになります。サイバー犯罪者に制御を奪われると、データの窃取から、サーバーを利用したボットネット攻撃の実行まで、意のままに悪用される可能性があります。
このように攻撃の「場」が広がったことで、サイバー犯罪者がログイン認証情報を窃取する手口の選択肢も増えました。もはやキーロガーやデータベース侵害に頼る必要はなく、Webインジェクトを使用するだけで窃取できます。
たとえば、ユーザーがインターネットバンキングの口座にログインする際、攻撃者はWebページ上に正規のものに見えるATMの暗証番号（現金自動預払機の個人識別番号）の入力欄を追加し、ITに詳しいかどうかを問わず、インターネットバンキングのユーザーを欺くことができます。その間、マルウェアはバックグラウンドで「マン・イン・ザ・ブラウザー」攻撃を実行できますが、ホストWebアプリケーションからは検知できません。
攻撃経路を増やすだけでなく、今日のマルウェアやトロイの木馬は、モバイルバンキングアプリケーションを介してログイン認証情報を盗み、銀行などの金融サービス機関にある資金へアクセスする能力を備えています。サイバー犯罪者は、銀行のアプリケーションに似せたモバイルアプリケーションを簡単に作成し、スピアフィッシングによってログイン認証情報を盗むことができます。DyreやDyrezaなど、一部のマルウェアは法人向け銀行口座を直接標的とし、警戒していない企業から100万ドルを超える金額を盗むことに成功しています。
多層防御、プロアクティブな対策、強固なモバイルポリシーで脅威に対処
内部脅威が2015年上半期に発生した侵害の大半を占める中、組織が目まぐるしく変化する今日のサイバー犯罪者に後れを取らないことが、これまで以上に重要になっています。企業は、インターネットに公開されているアプリケーションを保護するために必要な対策を講じる必要があります。サイバー犯罪者は常にネットワークへ侵入する機会を狙っており、こうしたアプリケーションはその格好の経路となるため、対策を最優先事項とすべきです。また、ジェイルブレイクされたデバイスは、一般にサイバー犯罪者がネットワークへアクセスする別の手段となるため、その使用を控えることも重要です。
まず、適切なテクノロジーを活用した多層防御戦略が不可欠です。ファイアウォールなどのテクノロジーを使用すれば組織のネットワークを十分に保護できると広く誤解されていますが、現在ではもはや通用しません。組織は、Webアプリケーションファイアウォールなど、ほかのテクノロジーも検討する必要があります。Webアプリケーション攻撃は、特定のアプリケーションを狙って調整・作成されることが多いため、従来のセキュリティ対策では見逃される場合があります。
侵害発生後に問題を修正する「修復」も一定の役割を果たしますが、ネットワークのセキュリティ確保には、事後対応よりもプロアクティブな対策の方が大きな効果をもたらします。修復は本質的に事後対応であり、フォレンジックチームが侵害の原因を遡って特定し、レポートを提出したうえで、インシデント発生後に修復を行います。一方、組織のセキュリティをプロアクティブに確保しても、すべての攻撃を100%防げるとは限りません。それでも、攻撃を受ける割合を100%から少しでも減らせれば、成果とみなすべきです。
最後に、周囲が攻撃を受けているのを目の当たりにしながら、自分だけは被害を免れると思い込む「自分には起こらない」という姿勢を改め、慢心を排することも必要です。
組織は、モバイルデバイスが会社支給か個人所有かを問わず、その取り扱いに関するガイドライン、原則、実務を定めたモバイルデバイスセキュリティポリシーを策定する必要があります。これらのポリシーには、役割と責任、インフラストラクチャセキュリティ、デバイスセキュリティ、セキュリティ評価などの領域を含める必要があります。
セキュリティポリシーを策定することで、組織は無線ネットワークのセキュリティを支えるための対策、ツール、トレーニングを適用する枠組みを構築できます。また、モバイルセキュリティポリシーについて従業員を教育することは、モバイルデバイスが安全かつ適切に設定、運用、使用されるようにするうえでも役立ちます。
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。