日本の従業員の46％がリスクを知りつつも危険な行動–プルーフポイント調査

今回は「日本の従業員の46％がリスクを知りつつも危険な行動–プルーフポイント調査」についてご紹介します。

関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　プルーフポイントは、サイバーセキュリティに関する第10回目の年次レポート「2024 State of the Phish」（英語版）を発表した。

　この中で日本の従業員は、47％がパスワードの再利用や共有、未知の送信者から伝えられたリンクのクリック、信頼できない送信元への認証情報の提供など、リスクのある行動を取っていることを認めているという。なお、グローバルの調査結果では、世界の従業員の3分の2以上（71％）が故意に組織を危険にさらし、ランサムウェアやマルウェアの感染、データ漏えい、財務上の損失につながる可能性が明らかになった。

　今回の調査結果からプルーフポイントは、「サイバーセキュリティに関する知識が不足しているために人々が危険な行動をとっており、その対策としてセキュリティ意識向上トレーニングを実施すれば危険な行動を完全に防ぐことができる」とコメント。従来の考え方が大きく覆されたとした。

　レポートの基となる調査は、主要15カ国（日本、米国、韓国、シンガポール、オーストラリア、カナダ、ブラジル、フランス、ドイツ、イタリア、スペイン、英国、オランダ、スウェーデン、アラブ首長国連邦）における7500人の従業員と1050人のITおよびセキュリティ担当者の認識を調べた。報告書ではプルーフポイントが世界中の23万組織でスキャンした2兆8000億通を超えるメールのテレメトリーおよび1年間に送信された1億8300万通のフィッシング攻撃メールなどのシミュレーションで得られた知見に基づく内容も含め、現在の脅威の状況を詳細に解説している。

　日本における主な調査結果は、リスクのある行動を取っていることを認めている従業員のうち98％（世界平均：96％）は、内在するリスクを承知の上でそのような行動をとっている。危険な行動の動機はさまざまで、ほとんどの日本の従業員は利便性（54％）、時間の節約（34％）、緊急性（19％）を主な理由として挙げている。

　なお日本の対象組織の36％（世界平均：68％）が、2023年に少なくとも1回のフィッシング攻撃の被害に遭っているという。前年の60％に比べると、フィッシング攻撃の成功率は低下しているが、フィッシング攻撃の被害が発生した組織のうち、ランサムウェアの感染を引き起こされた組織が56％に上っている。

　日本のセキュリティ担当者の80％（世界平均：85％）が、ほとんどの従業員は自身にセキュリティの責任があることを知っていると回答。担当者は、ポジティブな行動に対する「リワード（100％）」「トレーニングの強化（75％）」「経営陣のセキュリティへの取り組み強化（75％）」が解決策だと考えていることが分かった。しかし、調査対象の大半の従業員（88％）は、「セキュリティが簡素化されより使いやすくなれば、セキュリティを優先する」と回答している。

　また、日本のセキュリティ担当者の84％（世界平均：89％）は、いまだに多要素認証がアカウント乗っ取りを完全に防ぐと信じていた。しかし多要素認証を回避するフレームワーク「EvilProxy」を使ったサイバー攻撃が毎月100万件以上行われているとする。

　プルーフポイントは、毎月平均6600万件の標的型ビジネスメール詐欺（BEC）攻撃を検出。メール詐欺を報告する組織は世界的に減少したが、調査対象の日本の組織の中で、62％がメール詐欺を報告しており、前年より12ポイント増えた。日本や韓国、アラブ首長国連邦では、文化や言語の障壁により、以前はBEC攻撃が少なかった可能性があるものの、生成AI技術により、攻撃者がより説得力のあるパーソナライズされたメールを多言語で作成できるようになっていると解説する。

　加えて、過去1年間にランサムウェアの感染を経験した日本の組織は38％（世界平均：69％）で前年から30ポイント減少した。ランサムウェア攻撃の影響を受けた組織のうち、32％（世界平均：54％）が攻撃者への支払いに同意し（前年の18％から増加）、1回の支払い後にデータへのアクセスを回復したのは、わずか17％（世界平均：41％）と、前年の50％から減少している。

　このほかに日本では、「サポート詐欺」（Telephone-Oriented Attack Delivery：TODO）攻撃が依然として活発だという。これは、攻撃者が偽の「コールセンター」になりすまして電話で直接会話を始め、受信者を扇動するメールを送るものだ。プルーフポイントでは、月平均1000万件のTOAD攻撃を検出。最近のピークは2023年8月で、1300万件のインシデントが発生したという。この攻撃は、発生直後においては無害なメッセージに見えるが、無防備な従業員が偽のコールセンターに電話をかけることにより攻撃チェーンが起動し、結果的に認証情報を提供したり、悪意のある攻撃者にリモートアクセスを許可したりしてしまうという。