フォーティネットジャパンは10月17日、記者向けの説明会を開催し、2024年1～9月のサイバー脅威動向を解説した。サイバー攻撃者の侵入行為に加担する「イニシャルアクセスブローカー」が暗躍し、サイバー犯罪の凶悪化にも影響していると指摘する。 　同社で20年近くにわたり脅威動向の分析やサイバーセキュリティのイニシアティブ役などを務める米Fortinet 主席セキュリティストラテジスト 兼 脅威インテリジェンス担当グローバルバイスプレジデントのDerek Manky氏は、これまでの経験を踏まえて「最近のサイバー犯罪はより洗練され、犯罪組織は不特定を狙うのではなく、明確に標的を定めて標的への侵入攻撃に集中するようになった」と述べる。そこで暗躍しているのが、イニシャルアクセスブローカーの存在だ。 　現在のサイバー犯罪は分業構造になっており、さまざまな役割や機能に特化した集団がそれぞれにサービスを販売する犯罪ビジネスが確立されていると言われる。イニシャルアクセスブローカーは、組織などの機密情報を入手して金銭を獲得したいと考える犯罪者や犯罪組織を相手に、標的の組織へ侵入するための方法や道具、情報など販売したり有償サービスを提供したりする。 　「イニシャルアクセスブローカーは、ユーザー名やパスワード、認証情報、VPN、『Active Directory』、DNSゾーンといったものを販売している。どのような業界の組織に侵入できるのかを宣伝したり、侵入に使うための“商品”をオークション形式で販売したりしている」（Manky氏） 　Fortinetがイニシャルアクセスブローカーの動きを調査したところ、あるイニシャルアクセスブローカーは、電力や石油、ガス業界の組織に特化した不正アクセスのための情報を0.5ビットコイン（2024年10月時点で約1000万円前後）からオークションで販売していた。 　Manky氏によれば、特に人気なのが工場やエネルギー関連施設といった場所で利用されている制御系システム（OT）へ不正侵入するための情報やツール、サービスだという。Fortinetの調査・分析によると、世界で発生しているランサムウェア攻撃の44％がOTシステムを標的にしていた。また、ランサムウェア攻撃の開始から発覚までの期間は、2023年下期時点で平均4.75日となっており、同年上半期に比べて43％短くなっている。Manky氏は、「かつては数週間だったものが現在では5日未満になり、将来的に数時間程度にまで短縮されるだろう」と警鐘を鳴らす。 　標的から金銭を得るために行う脅迫行為も、かつてのデータの不正な暗号化に加えて、現在では標的から窃取した組織内の機密情報の暴露、さらに機密情報だけでなく組織外の顧客や関係者の情報も暴露したり、これらのあらゆるデータを破壊して標的の事業活動そのものを停止させたりするといった二重、三重、四重の脅迫を行うなど凶悪化が進んでいるという。 　また、2024年1～9月に同社が検知したサイバー脅威の動向は、攻撃含む不審な活動がグローバルでは約1兆6000億件、アジア太平洋（APAC）地域では約5098億件、日本では約168億件だった。マルウェア感染の拡散行為がグローバルでは約1190億件、APAC地域では約5億2829万件、日本では約5420万件だった。 　Manky氏によると、日本で検知された不審な活動の内訳は、攻撃を含めIT環境に影響を与える行為（Impact）が53.01％で最も多く、ネットワークからの脆弱（ぜいじゃく）性スキャンといった探索（Reconnaissance）が20.24％、認証情報の悪用による不正侵入（Credential Access）が19.27％、初期侵入（Initial Access）が6.51％だった。 　Manky氏は、「特に2番目に多い探索活動は、システムの弱点を探るためのスキャンや調査であり、攻撃を計画した攻撃者がどのように標的を絞るか検討しているということを意味する。これにはネットワークからのスキャン以外にソーシャルメディアを通じた情報の入手もある」と述べる。 　同氏は、サイバー攻撃の被害につながりかねない認証情報の悪用や初期侵入のリスクに対処する上で、初期設定や推測されやすいパスワードを使わないこと、多要素認証やゼロトラストセキュリティのアプローチ、アイデンティティー管理といった仕組みを実装することが重要になると解説した。