世界的不動産企業が音声フィッシング攻撃の被害に

世界最大級の商業不動産会社の一つであるクッシュマン＆ウェイクフィールドは、音声フィッシング（ビッシング）攻撃に関連するデータセキュリティインシデントを確認した。2つの別々のサイバー犯罪グループが関与を主張して名乗り出ており、ShinyHuntersは個人識別情報（PII）を含む50万件のSalesforceレコードを窃取したと主張し、一方でQilinランサムウェアグループも同社への独自の攻撃を主張している。これらが単一の組織的なキャンペーンなのか、2つの別個の侵害なのかは依然として不明だが、このインシデントは不穏な現実を浮き彫りにしている——大規模なITリソースを持つ組織でさえ、巧妙な一本の電話によって崩壊し得るという事実だ。

クッシュマン＆ウェイクフィールドはこのインシデントを「限定的な」範囲と説明したが、主要なクラウドCRMプラットフォームに関連する50万件のレコードは、軽視できる露出ではない。Salesforce環境には多くの場合、連絡先情報、取引履歴、機密性の高いビジネスコミュニケーションが含まれている。世界規模で商業不動産取引を行う企業にとって、リスクにさらされるデータは同社の従業員をはるかに超えて、クライアント、パートナー、取引相手にまで影響を及ぼす可能性がある。

ビッシングが技術的防御に対してこれほど有効な理由

ビッシング攻撃は、ほとんどの組織が多大な投資を行う技術的な管理策を回避するため、特に危険である。ファイアウォール、エンドポイント検知、ネットワーク監視は、攻撃者が単に従業員に電話をかけてITサポート、ベンダー、または幹部になりすます場合には、ほぼ無意味となる。攻撃者の目的は機械ではなく人間を操ることであり、人間はパッチを当てることがはるかに難しい。

典型的なビッシングのシナリオでは、発信者は緊急性を演出し、偽の信頼性を確立し、ターゲットを誘導して認証情報を渡させたり、アカウント変更を承認させたり、マルウェアをインストールするリンクをクリックさせたりする。攻撃者がSalesforceのようなプラットフォームの有効な認証情報を手に入れると、明らかなアラートを発することなく環境内を静かに移動し、レコードを外部に持ち出すことができる。クッシュマン＆ウェイクフィールドへの攻撃は、複数の業界で見られるパターンに従っている——ソーシャルエンジニアリングが侵入口となり、クラウドデータが標的となるパターンだ。

これこそが、技術的なセキュリティ対策だけでは不十分な理由である。従業員の意識向上トレーニング、機密性の高いリクエストに対する厳格な本人確認手続き、認証情報の変更に関する明確なプロトコルは、いかなるソフトウェア管理策と同様に重要である。セキュリティを純粋に技術的な問題として扱う組織は、防御に人間の大きさの穴を残していることになる。

多層的なコミュニケーションセキュリティの必要性

クッシュマン＆ウェイクフィールドのインシデントは、企業が機密性の高いコミュニケーションをどのように扱うかについて、より広範な疑問を提起している。数十万件のレコードを保持するシステムへのアクセスが電話一本で許可される可能性があるとすれば、そのコミュニケーションチャネル自体が攻撃対象領域の一部であることを示唆している。暗号化・検証されたコミュニケーションチャネルは、攻撃者が乗り越えなければならない摩擦を加えるとともに、暗号化されていない電話では残らない監査証跡を生成する。

セキュアなコミュニケーション慣行は、組織のあらゆるレベルで重要である。これには、内部調整のための暗号化メッセージングの使用、リモートワーカーがセキュアで認証された接続を通じて機密システムにアクセスすることの確保、そして認証情報やシステムアクセスに関わるリクエストへの対応前に帯域外検証ステップを確立することが含まれる。これらの慣行は大企業だけのものではない——クラウドプラットフォームでクライアントのPIIを扱うあらゆる規模のビジネスが、同様の根本的なリスクにさらされている。

ShinyHuntersグループは、以前から複数のセクターにわたる注目度の高い侵害に関連付けられており、クラウドホスト型データベースを標的とした活動がますます活発化している。クッシュマン＆ウェイクフィールドへの関与をTelegramチャンネルで発表したとされる行為は、こうした活動がいかに公然かつ大胆なものになっているかを示している。一方、Qilinによる別個の主張は、同社が同一の初期アクセスを悪用した複数の攻撃者に狙われたか、あるいはランサムウェアグループが支払いを強制するために機会主義的に関与を主張しているかのいずれかである可能性を示唆している。

あなたにとっての意味

個人にとって最も差し迫った懸念は、自分の情報が侵害されたとされる50万件のSalesforceレコードに含まれているかどうかという点だ。クライアント、テナント、またはビジネスパートナーとしてクッシュマン＆ウェイクフィールドとの取引があった場合は、アカウントの不審な動きを監視し、個人情報を利用して正当に見せかけた後続のフィッシング攻撃に警戒することが賢明だ。

組織にとって、このインシデントはクラウドCRMプラットフォームへのアクセス権がどのように付与・取り消されるかを見直す契機となる。問うべき主要な質問には次のものが含まれる——従業員は電話によるリクエストだけで認証情報の変更やデータのエクスポートを承認できるか？機密性の高いアクションの検証手順は文書化され、一貫して遵守されているか？インシデント対応計画はソーシャルエンジニアリングを侵入経路として想定しているか？

クッシュマン＆ウェイクフィールドの侵害は、セキュリティ文化がセキュリティツールと同様に重要であることを改めて示している。不審な電話を認識・報告するためのトレーニングを受けていない従業員を、いかなる技術投資も完全に補うことはできない。

実践的な対策：

  • メールフィッシングだけでなく、ビッシングの手口に特化した従業員トレーニングを実施する。音声ベースの攻撃には異なる認識スキルが必要だ。
  • 発信者がいかに正当に聞こえても、認証情報、アカウント変更、または大量データアクセスに関わるあらゆるリクエストに対して多段階の検証を導入する。
  • Salesforceなどのクラウドプラットフォームへのアクセス権を監査し、最小権限の原則を適用する——ユーザーは真に必要なものにのみアクセスできるようにする。
  • 従業員が不審なリクエストに対応する前に確認できる、明確で信頼できる内部チャンネルを確立する。
  • CRMおよびクラウドストレージ環境での異常なデータエクスポートアクティビティを監視する——大規模なレコードアクセスは、多くの場合、外部持ち出しが完了する前に検知できる。

人的要素は、エンタープライズセキュリティにおいて最も悪用されやすい脆弱性であり続けている。そのギャップを埋めるには、より優れたソフトウェアだけでなく、人材、プロセス、そして検証されたコミュニケーション慣行への投資が必要だ。