ひねりの効いた内部脅威

ランサムウェアのニュースといえば、フィッシングメールや露出したリモートデスクトップポート、未修正のソフトウェアが定番だ。しかし、テスラに対する計画は違った。事件の報道によると、クリュチコフという男がネバダ州にあるテスラのギガファクトリーの従業員に近づき、持ちかけた内容は、カスタムマルウェアを社内ネットワークに仕込む手助けをしてくれれば、あとは仲間が機密データを窃取し、公開すると脅して身代金を要求する、というものだった。

これは典型的な二重脅迫型ランサムウェアの手口だ。データを盗んでから暗号化するか、漏洩をちらつかせることで、被害者に支払いを迫る理由を二つに増やす。今回のケースで異例だったのは、その配信方法だ。悪意ある添付ファイルでマルウェアを送り込むのではなく、既に正規のネットワークアクセス権限を持つ生身の人間をリクルートしようとしたのだ。報道によれば、従業員には当初協力の見返りとして50万ドルが提示され、後に100万ドルへと引き上げられた。この金額の高さが、テスラの内部データに攻撃者がどれほどの価値を見積もっていたかを物語っている。

その従業員が金を受け取らず通報した理由

この計画が破綻したのは、標的となった従業員が賄賂を受け取る代わりに、テスラと法執行機関に通報する道を選んだからだ。ファイアウォールやアンチウイルス製品ではなく、その決断こそがこの攻撃を食い止めた。通報を受けてFBIが動き、マルウェアがテスラのシステムに触れる前に計画は阻止された。

この点はじっくり考える価値がある。ネットワークセグメンテーション、エンドポイント検知、暗号化バックアップなど、企業が構築するあらゆる技術的防御は、既に境界の内側にいるか、外部から侵入しようとする攻撃者を阻止するためのものだ。有効な認証情報を持つ従業員が自ら進んで扉を開けるなら、そうしたツールはほとんど意味をなさない。このシナリオに対する唯一の現実的な防御策は、従業員が安心して、さらには積極的に、不審な接触を即座に報告できる職場文化である。

これは、サプライチェーンやパートナーエコシステムが、自社の従業員だけにとどまらず攻撃対象領域を大きく広げるということを改めて示すものでもある。Tata Electronicsの侵害でAppleとTeslaのファイルがダークウェブに流出した事件は、関連するパターンを示している。つまり、機密性の高い企業データは、標的企業から直接盗まれなくても危険にさらされるのだ。内部関係者を直接リクルートできない攻撃者にとって、セキュリティ管理が甘いベンダーや請負業者、サプライヤーが最も抵抗の少ない経路になり得る。

インサイダー脅威への意識を高めるビジネス上の根拠

企業は境界セキュリティに莫大な予算を投じる一方、インサイダー脅威対策プログラムははるかに注目されないことが多い。しかし、テスラに対するような内部関係者のリクルートは、技術的なエクスプロイトを一切必要としない。完全に、金銭的プレッシャーや誘惑の下での人間の意思決定に依存しているのだ。

いくつかの実践により、組織はこの種のアプローチへの耐性を高められる。

  • 誰かがアクセス権や認証情報、セキュリティ管理を回避する手助けと引き換えに金銭を提示してきた場合、誰に連絡すべきかを従業員が正確に把握できるよう、明確で周知された報告経路を整備する。
  • フィッシングメールだけでなく、ソーシャルエンジニアリングや贈賄の試みを特に取り上げた定期的なトレーニングを実施する。
  • 不審な接触の報告が、不正行為の告白ではなく、前向きな行動として扱われる文化を醸成し、従業員が名乗り出ることを恐れないようにする。
  • 最小権限アクセスポリシーを適用し、単一の侵害されたアカウント（人間によるものであれ技術的なものであれ）が実際に引き起こせる被害を限定する。

これらの対策はいずれも、二重脅迫攻撃の成功によって生じ得る潜在的なコスト（身代金の支払い、規制当局の罰金、法的リスク、長期にわたる風評被害など）に比べれば、高価なものではない。

これがあなたにとって意味すること

中小企業を経営している場合でも、大企業のIT部門で働いている場合でも、テスラのケースは自社のセキュリティ体制を検証する有益な試金石となる。もし誰かが、USBドライブを設置したり、パスワードを共有したり、「契約業者」が制限区域にアクセスするのを見て見ぬふりをしたりするよう、現金で持ちかけられたら、従業員はどうすればよいかわかっているだろうか。答えがはっきりしないなら、攻撃者に見つかる前に埋めるべきギャップだ。

これは、データ漏洩リスクが自社ネットワーク内に限定されない理由も再認識させる。Tata Electronicsのインシデントが示したように、大手企業に関連する機密ファイルは、その直接の管理が及ばない第三者機関の侵害を通じて表面化する可能性がある。貴重な知的財産や顧客データを扱う組織にとって、ベンダーのセキュリティ慣行を審査することは、もはや任意ではないのだ。

実践可能なポイント

  • 賄賂や内部関係者リクルートの提案を受けた従業員のために、シンプルで匿名の報告プロセスを確立する。
  • システムだけでなく人を標的にするソーシャルエンジニアリングの手口を見抜けるよう、スタッフをトレーニングする。
  • 最小権限アクセスを適用し、単一の従業員が独断で重要インフラを危険にさらせないようにする。
  • 自社の防御が持ちこたえてもサードパーティから機密データが漏洩し得るため、ベンダーとサプライチェーンのセキュリティを監査する。

テスラのケースは、一人の従業員が正しい判断を下したことで良い結末を迎えた。その判断を下しやすく、期待されており、報われる職場を築くことは、あらゆる組織が導入できる最も費用対効果の高いランサムウェア対策の一つである。