アクロニスの2024年のサイバー脅威予測

2023年もさまざまなサイバー攻撃が発生し、一部インフラが停止するなどの事件が報じられました。攻撃者は、生成AIなどのサービスを活用して技術力を高めていますが、一方で、古典的な攻撃の被害も依然として残っています。この度、アクロニスのキーパーソン３人が、2024年に予測されるセキュリティの世界の動向を考察し、「アクロニスの2024年のサイバー脅威予測」として以下の通り公開しました。

2023年、AIは著しい発展を遂げましたが、セキュリティリスクも同じく増加しました。生成AIによるディープフェイクの作成に関するFBIの報告が急増しました。サイバー犯罪者は虚偽の情報によって、社会全体の危機、家族への恐喝、株式市場の大混乱などの重大な結果をもたらすことを意図して、ディープフェイクを悪用してきました。今後はおそらく、特に利益の獲得を目的としてこのテクノロジーへの理解が深まることから、より頻繁に問題が発生すると思われます。また、サイバー犯罪者は今後、機密情報を抜き出すために独自の方法でAIの利用を開始する可能性もあります。すでにフィッシング攻撃は生成AIの主要な目的となっており、これによるリスクは今後も脅威になり続けると予測されます。2024年はAIに関連する新しい法規制が多数登場するでしょう。

MFAはこれまで、機密情報の最適な保護手段として絶対的に信頼されてきましたが、状況は変化しているかもしれません。実際、MFA攻撃やソーシャルエンジニアリング攻撃が何度も注目を集めました。ハッカーがシステムを侵害しMFAを迂回する手段を見つけ出しており、今後はフィッシング対策型のMFAテクノロジーが普及する可能性があります。フィッシング対策型のMFAプロセスでは、ユーザーが特殊なトークンやコードを受け取ってログインした後は、そのトークンやコードは別のデバイスからはアクセスできず、そのユーザーのセッションにバインドされます。

2023年にAppleは新製品ラインアップにUSB-C充電機能を搭載しました。これにより、個人用スマート機器の充電に関する新たな基準が定着する可能性があります。すべての個人ユーザーが公共充電ステーションをより手軽に利用できるようになると、2024年にはジュースジャッキング攻撃（USBポートにマルウェアを仕込まれたり、データを盗まれたりする攻撃のこと）の発生件数が増加する可能性があります。侵害された充電ポートに機器をつなぐと、攻撃者はその接続を利用してユーザーのデータをダウンロードできます。この攻撃モデルは大規模に展開するものではないため、問題を封じ込めることが可能ですが、ユーザーは所有する端末のソフトウェア更新により脆弱性に対するパッチ適用を怠らないようにする必要があります。また、ジュースジャッキング攻撃は、USB充電ケーブルの代わりに手持ちの電源アダプターを使用するか、データ接続が無効化されたケーブルを使用することで回避できます。

2023年は、AI支援型ソーシャルエンジニアリング攻撃が数件確認されました。私の記憶が正しければ、ラスベガスのカジノへのランサムウェア攻撃が発端だと思います。2024年には件数はさらに増加する見込みで、この攻撃が主流になる可能性もあります。シナリオとしては例えばAIによりターゲットの偽の音声を生成して生体認証を突破する、ITヘルプデスクを騙してパスワードのリセットや二要素認証の無効化を行う、従業員を標的として「CEOを装った」ソーシャルエンジニアリング攻撃を行うといったことが考えられます。

今後は誰もが大規模言語モデル（LLM）を使用して大量のテキストを生成することになるでしょう。Web、フォーラム、企業ブログ、すべてのソーシャルメディア（SNS）に大量のテキストが溢れるようになり、ユーザーがChatGPTの有効な回答とLLMのハルシネーション（事実に基づかない情報）を区別できずに、多くの偽情報が生成されるでしょう。これにより、Wikipediaなど、現在頻繁にソースとして活用されているサイトにも影響が出る可能性があります。ブリタニカ百科事典には影響が出ないことを祈るしかありません。 また、ほぼすべてのプログラマーは今後LLMでコードを生成し、確認することなく結果をプログラム内に貼り付けることになるでしょう。過去にStackoverflowでも同様のことが起こりましたが、今後はもっと大規模に行われることになるため、診断の難しいバグや、セキュリティ脆弱性までも発生することになるでしょう。また、その一部が悪用される可能性があり、その際には他のLLMも利用されるかもしれません。ランサムウェア攻撃の作成者もLLMを悪用するようになり、悪意のあるソフトウェアの開発に使用されることになるでしょう。LLMの活用において、ソフトウェア開発という目的自体を排除することは難しいため、どのような保護機能を配備しようとしたとしても、突破する手段が必ず存在することになります。

ランサムウェア攻撃自体も引き続き増加するでしょう。大企業が対策を強化したとしても、攻撃者は中堅企業へと矛先を変え、攻撃作戦の規模を変える手段を見い出そうとするでしょう。ただ、これについて私は懐疑的で、今後も有名企業へのランサムウェア攻撃が増えていくと思われます。現時点ではランサムウェアの展開は攻撃者により直接行われていますが、攻撃者が全体または一部の自動化に成功すれば、より多くの企業を標的として攻撃できることになります。攻撃1件ごとの利益は減りますが、件数は多くなります。そのような傾向はすでに確認されており、一部のランサムウェア犯罪組織はフランチャイズとなる一方で、攻撃の規模を拡大する手段を検討していると私は考えています。 また、一部地域での緊張状態により、引き続きAPTアクターが活発に行動することになるでしょう。APTアクターの活動は、無謀な攻撃が実施され情報が公開されない限り、ほとんど知られることはありませんが「効果作戦」（サイバー攻撃により一時的または恒久的に物理的な破壊、損傷、無効化の被害を受けること）の可能性がありますが、その予測は困難です。実際に確認できるかどうかにかかわらず、インターネット空間の軍事化は今後も継続し、世界中の政府がサイバー空間やインターネットの規制に巻き込まれることになるでしょう。

大規模な脆弱性は今後も発生するでしょう。パッチ適用を適切なタイミングで行わない企業が、ランサムウェアを使った攻撃者や暇を持て余してソフトをいじっているような若者の手に落ちてしまうようなことが起きるでしょう。

言語モデルや、AIアシスタントをサービスとして提供する各種サービスが登場したことで、AIはあらゆるアプリケーションに標準搭載されるようになりました。2024年は、ユーザーがAIアシスタントを過度に利用するあまり、予期しない結果が引き起こされ、特定困難なミスが増加する可能性があります。今後は、AIアシスタントに仕事を任せているアナリストがより高度なトレーニングを受け、従業員も仕事の質を向上させることが、一層重要になります。AIアシスタントを利用している組織だけでなく、AIトレーニングとスキル開発を優先し重視している企業が、このテクノロジーを本当の意味で活用できるでしょう。

サイバーセキュリティとバックアップが統合された「サイバープロテクション」が、サイバー空間における防御手段に加わりました。AIと自動化が広く利用されていることから、AIによりカスタマイズされた大規模な攻撃を回避するために、さらに多層化された防御手法が標準となっていくと予測します。これには、脆弱性評価とパッチ管理による「予防」、エンドポイント検出・対応ソリューションによる「検出」、バックアップからの復元などの「修復」、バックアップのデータを用いた「フォレンジック」などのさまざまな手段を統合することが含まれます。

個人も法人も、統合型アプリケーションのシームレスなエクスペリエンスに慣れており、ベンダーは顧客が利用している他のアプリケーションとの統合を進めることが求められています。統合プラットフォームが増加していることから、今後はAPIの公開が急増すると予測します。これらのプラットフォームは、ベンダーや特定のアプリケーションのベンダーにとって、低コストで顧客に追加の機能を提供するだけでなく、プラットフォームベンダーの顧客ベースに直ちにアクセスできるようにします。そのような統合プラットフォームでは、ユーザー向けの追加機能のプロビジョニングを、ベンダーにとって低い追加コストで実行できるようになります。