2025 年 1 月 31 日 Corey Nachreiner 著

2024 年に起きたインシデントから学べるサイバーセキュリティに関する教訓は、2025 年の今も非常に重要です。データ漏洩は、大企業や政府機関にとって依然として深刻な脅威です。また組織にとって重要な保管されたデータも、サイバー犯罪者にとって格好のターゲットとなっています。サイバー攻撃は経済的な影響を与えるだけでなく、評判、および法的な影響も大きく、その対策はビジネスの安定性に関わってきます。

過去 1 年間に起きた最も重大なサイバー攻撃の分析によると、アクセス保護や脆弱性管理を含む基本的なサイバーセキュリティ原則を適用できていなかった事例が、多くのデータ漏洩の背後にあることが示されています。攻撃者の技術や戦術が進化する中で、盤石なサイバーセキュリティ基盤を築くことが、リスクを軽減し、インシデントを減らす唯一の方法です。そのため、2024 年の中でも注目すべきサイバー攻撃を振り返ることが重要です。脅威がどのように成長し変化しているのかを見ていき、基本的なサイバーセキュリティ原則を強化する重要性を再確認しましょう。

2024 年の重大なサイバー攻撃

昨年も、注目度の高い攻撃が多数報告されています。以下に関連するインシデントを挙げます。

1. Orange Spain 社のトラフィックハイジャック：
   年初に、Orange Spain 社は BGP（ボーダーゲートウェイプロトコル）を利用したトラフィックハイジャック攻撃を受け、サイバー犯罪者が一部の顧客のインターネットトラフィックを不正なサーバに転送しました。このインシデントは、サービスの大規模な中断を引き起こしました。
2. 子供病院を狙ったランサムウェア：
   米国シカゴのリュリ子供病院が、 Rhysida ランサムウェアグループの攻撃を受け、患者データを含む 600GB の機密データを盗まれ、60 ビットコイン（当時約 600 万ドル）の身代金が要求されました。その結果、医療サービスが中断され、医療業界のサイバー脅威への脆弱性が浮き彫りとなりました。
3. Apple ユーザへの大規模なフィッシング：
   3 月に、Apple デバイスの所有者を狙った高度なフィッシング攻撃が展開されました。ハッカーは MFA（多要素認証）疲労を利用し、ユーザに偽のパスワードリセット要求を次々と送って混乱させた上でアクセスを手に入れました。また、Apple のテクニカルサポートを偽って詐欺電話をかけ、ユーザに機密情報を開示させていました。
4. XZ Utils におけるバックドア：
   2024 年 3 月、XZ Utils のバージョン 5.6.0 および 5.6.1 にバックドアが発見されました。XZ Utils は Linux システムで広く使われているデータ圧縮ツールです。この脆弱性により、特定のプライベートキーを持つ悪意のある攻撃者が、影響を受けたシステムに不正にリモートアクセスできるようになりました。幸いにも、侵害されたバージョンは生産システムには広く導入されていませんでした。このインシデントは、ソフトウェアサプライチェーンのセキュリティの重要性と、更新プログラムの導入前に欠陥がないかを確認する必要性を強調しています。
5. 一般的に使用されるログイン情報を使用した VPN および SSH サービスへの大規模な総当たり攻撃：
   1 年間にわたるこの攻撃は、4 月に Cisco Talos が VPN サービスを含むさまざまなターゲットに対する総当たり攻撃の世界的な増加を積極的に監視したことにより、注目を集めました。この総当たり攻撃は、一般的なユーザ名や特定の組織向けの有効なユーザ名を使用して実行されます。ターゲットは無差別で、特定の地域や業界を狙っているわけではないようです。
6. BBC 従業員を狙った攻撃：
   5 月、英国の公共放送局 BBC は、サイバー犯罪者が同社のクラウドストレージサービスに侵入し、25,000 人分以上の従業員の年金計画データにアクセスしたことを報告しました。個人情報は漏洩したものの、財務情報やパスワードは漏洩しませんでした。インシデントの原因は現在も調査中です。
7. FBCS の深刻な評判への影響：
   6 月、米国の債権回収機関 FBCS は、300 万人以上の個人の名前、社会保障番号、または身分証明書など、非常に機密性の高い情報が漏洩した重大なデータ漏洩を報告しました。この脅威の通知の遅れは批判を招き、同機関のセキュリティプロトコルに対する疑念を生じさせました。
8. ロンドン交通局（TfL）へのサイバー攻撃：
   2024 年 9 月、TfL はコンタクトレス決済やオイスターカードなどの重要なサービスに影響を与えるサイバー攻撃を受けました。もっとも、バスや地下鉄サービスへの影響は限定的でした。銀行情報を含む 5,000 人のデータが漏洩し、このインシデントには、対応とセキュリティ対策で 500 万ポンドの費用がかかりました。その後、このインシデントに関連して 17 歳の少年が逮捕されました。
9. カシオを狙ったランサムウェア攻撃：
   2024 年 10 月、カシオは地下サイバー犯罪グループによるランサムウェア攻撃の犠牲となりました。この攻撃により、従業員、候補者、顧客に関連する個人データ、財務情報、法的書類が盗まれました。一部のサービスは中断されたものの、同社はクレジットカードなどの支払い情報が漏洩したわけではないことを強調しました。
10. HACLA を狙ったランサムウェア攻撃：
    2024 年 11 月、Cactus ランサムウェアグループはロサンゼルス住宅公社（HACLA）をハッキングし、891GB のデータを盗みました。これには財務書類、バックアップ、顧客および従業員の個人データが含まれていました。このインシデントは膨大な量の機密情報を漏洩させ、公共セクターのセキュリティに対する懸念を引き起こしました。
11. Finastra への攻撃：
    2024 年 11 月、フィンテック大手の Finastra は、ファイル転送プラットフォーム（SFTP）で侵害を受けました。悪意のある攻撃者は侵害された認証情報で 400GB のデータにアクセスし、窃取しました。そのデータはダークウェブのフォーラムで販売されました。同社は影響を受けたシステムを隔離し、サイバーセキュリティ専門家とともにインシデントを調査し続けています。

これらの 11 件のサイバー攻撃は、2024 年にわれわれが直面した課題の一部に過ぎず、脅威がどのように進化して、さまざまな企業に影響を与えているかということを示しています。年間を通して、身代金目的で繰り返し使用されるランサムウェア、ソフトウェアサプライチェーンの脆弱性の悪用、フィッシングや MFA 疲れ攻撃などのソーシャルエンジニアリング戦術など、共通のパターンが観測されています。また、クラウドストレージサービスや、重要なプラットフォームにおけるデータへの不正アクセスに関連する漏洩も発生しました。

このような背景の中で、脅威に対処するためには包括的なサイバーセキュリティアプローチの採用が不可欠です。このアプローチは、高度なツールと予防、継続的な監視、迅速な対応能力に焦点を当てた戦略を組み合わせます。これらの対策を優先することによって、組織はリスクを削減するだけでなく、ますます厳しくなる環境の中でそのレジリエンスを強化することができます。