SaaS狙いの攻撃拡大などセキュリティ脅威がさらに変化–クラウドストライク

今回は「SaaS狙いの攻撃拡大などセキュリティ脅威がさらに変化–クラウドストライク」についてご紹介します。

関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　クラウドストライクは3月28日、2025年版グローバル脅威レポートを公開し、メディア向けに解説を行った。同社が監視する脅威アクターがさらに増加し、SaaSへの攻撃拡大や手法の高度化などの変化もより進んでいる状況だと指摘している。

　このレポートは、2024年における同社の脅威インテリジェンスから判明したセキュリティ脅威の動向をとりまとめたもの。解説を担当したファルコン コンプリート マネージャーの鵜沢裕一氏は、「脅威アクターの年だったと言える」と総括した。

　脅威アクターとは、サイバー攻撃やサイバー犯罪を行う人間や組織などの総称。鵜沢氏は、アクターには、国家の支援を受けて機密情報の窃取などを狙うタイプ、金銭の獲得を狙うタイプ、主義・主張を知らしめることを目的にする「ハクティビスト」の3種類があると解説。企業や組織のセキュリティ対策では、個々の攻撃を防ぐことに主眼を置きがちだが、鵜沢氏は、自組織を狙う脅威アクターのタイプ、動機、目的にも目を向けるべきと説いた。

　クラウドストライクは長期にわたり脅威アクターの活動を追跡しているといい、2024年の対象アクター数は26件増の257件、さらに脅威アクターとなる恐れのある集団が140件あるとした。

　また、同社が分析した2024年の全体的な脅威動向では、音声を使うフィッシング攻撃の「Vishing（Voice Phishing）」が442％増、初期段階の不正侵入に特化したアクターの「アクセスブローカー」が50％増となり、攻撃全体のうち初期段階の不正侵入で悪用された脆弱（ぜいじゃく）性が52％を占めた。不正侵入に成功した脅威アクターが侵害を拡大する「ラテラルムーブメント（横展開）」を開始するまでの時間も近年は数十分単位で短くなっており、2024年同社が検知した最速のケースは51秒だったという。

　人間をだますフィッシング攻撃は、技術的なサイバーセキュリティの防御を講じることが難しい人の心理につけ込むため、脅威アクターが多用する「ソーシャルエンジニアリング」と呼ばれる手法の一つになる。

　例えば、同社が2024年に遮断した「Curly Spider」と呼ぶ脅威アクターの攻撃では、標的に膨大なスパムメールを送り付けて、その対応で標的を疲弊させる。次にアクターは、その状態の標的に「ITサポート」のVishingで接近し、標的を巧妙な攻撃サイトにアクセスさせて、標的の認証情報を窃取する。脅威アクターは、この認証情報を使って初期侵入し、正規のITツールを悪用して侵入先のシステムに不正プログラムを設置したり設定を変更したりするなどして、永続的に侵入可能な状態にしようとした。ただし、この攻撃は検知から4分未満で阻止されたという。

　このほかに鵜沢氏は、2024年の特徴的な脅威動向として、クラウドの侵害、脆弱性攻撃、SaaSへの攻撃を挙げた。

　クラウドの侵害は25％増加し、このうち有効な認証情報が悪用されたケースが35％を占めた。クラウドを侵害する脅威アクターは、侵入先のクラウド環境の悪用にとどまらず、昨今ではクラウド上の大規模言語モデル（LLM）も悪用し始めているという。特に中国と北朝鮮の支援を受ける脅威アクターが増加しているとした。

　脆弱性攻撃では、特に日常的に厳格な監視が難しく、ファームウェアの積極的な更新などが行われていないネットワーク通信機器が狙われているとのこと。また、脆弱性対策では、危険度や重要度が高いものに優先して対応することがセオリーとされてきたが、鵜沢氏は「異なる低レベルの脆弱性を組み合わせて悪用の成功率を高める『チェーンエクスプロイト』が拡大している」と警鐘を鳴らす。

　SaaSへの攻撃では、「Microsoft 365」が頻繁に狙われているといい、全体のうち「Microsoft SharePoint」の侵害が22％、「Outlook」の侵害が17％を占めていた。上述のフィッシング攻撃などで脅威アクターに窃取された認証情報が悪用されており、鵜沢氏は多要素認証の強化と設定不備の修正の徹底などが肝心とアドバイスした。

　これら以外にも2024年は、生成AIによる精巧なフィッシングメールやディープフェーク（偽動画）の攻撃も目立つようになり、中国を背景とする脅威アクターの能力がほかの大国と並ぶほどに到達し、同国の地政学的な野心をかなえる攻撃が活発になっているとした。中国を背景とするさまざまな脅威アクターは、標的の国・地域、業界別で特化している傾向が見られるという。

　最後に鵜沢氏は、脅威対策では認証情報などのアイデンティティーやクラウドの保護の重要性が高まり、オンプレミスやクラウドの異なる環境を横断した脅威への対応が必要だとし、今後は自組織を狙う脅威アクターの正体を理解しての対策も求められると話した。