英国の小売企業であるコープ・グループ、マークス＆スペンサー、ハロッズは、ここ数日間で相次いで大規模なサイバー攻撃を受けています。ハッカーに関する詳細は不明ですが、攻撃の発生場所が近接していることから、3社すべてに単一の攻撃者が関与している可能性が高く、M&Sへの攻撃に関与したとされるハッキンググループ「Scattered Spider」の関与が疑われます。小売業者、銀行、そしてその他関係者は、どのように対応すべきでしょうか？
小売業ハッカーの戦術
英国の小売チェーンであるブーツがIT障害の被害を受けた最新の企業である一方、モリソンズは昨年サイバー攻撃により売上に大きな打撃を受けており、またカリーズとJDスポーツも顧客データを侵害する攻撃を受けている。小売業者が脆弱なのは明らかであり、マークス＆スペンサーが非接触型決済に対応できないことで5億ポンドの損失を被り、コープの店舗の棚が空になったことから、これらの攻撃の重大さを過小評価することはできない。
一体何が起こっているのでしょうか？偽の資格情報を使って仕事を得た北朝鮮のリモートワーカーがIT部門に潜入した可能性はないのでしょうか？こうした悪質な連中がすでにかなり高度な技術を持っていることは周知の事実です。ある人事部は、応募者が応募書類に掲載されたAI加工された写真と一致することを確認するために4回のビデオ面接を実施し、さらに身元調査も行いましたが、すべて問題なしという結果でした（盗まれた米国の身分証明書が使用されていたため）。しかし、結局、マルウェアをダウンロードし始めた偽の従業員を雇ってしまったのです。別の企業は最終的に、北朝鮮人がリモートワークの仕事を確保するための組織的な計画の被害に遭い、エンジニアリングチームの3分の1以上が北朝鮮人だったことを発見しました。
北朝鮮の Python プログラマーでなかったら、外国のエージェントがこれまで知られていなかった量子コンピュータにアクセスして秘密コードを解読し、秘密鍵を複製してネットワーク セキュリティを破り、小売業者のネットワークに侵入したのだろうか?内部関係者は、望ましくない利用規約の変更に対する報復として、ホストに反旗を翻し、彼らを不利に扱おうとしたのでしょうか?大手サプライヤーが提供する IT システムは、競合小売業者に代わって活動する偽装攻撃者によってハッキングされたことがありますか?
いいえ、もちろん違います。偽の従業員やハッカーがコードを解読したという話ではなく、どこでも常に起こっているいつもの攻撃です。ハッカーはヘルプデスクに連絡し、パスワードを忘れた従業員を装いました。英国の国家サイバーセキュリティセンター（NCSC）は、これらの攻撃に関連して、企業はITヘルプデスクがパスワードをリセットする前に「従業員を認証する」方法を再評価すべきであり、特にITネットワークの高レベル部分にアクセスできる上級スタッフについてはそうすべきだと述べました。まあ、それは明らかです。いつものソーシャルエンジニアリングによるハッキングと同じです。
そうである必要はありません。金融分野では、生体認証の最も一般的な用途の 1 つはアカウントの回復であり、銀行が顧客確認 (KYC) 認証を使用してアカウントへのアクセスを回復するのと同じように、小売業者が従業員確認 (KYE) 認証を修正するために同じ種類のテクノロジーを使用できない理由がわかりません。
(たとえば、Keyless や Anonybit などの企業が何をしているのかをご覧ください。)
M&Sは最新の年次報告書で、ハイブリッドワークへの移行によりサイバー攻撃に対する脆弱性が高まったと警告した。注目すべきは、同社が今回の攻撃への対応策として、リモート会議中はカメラをオンにし、「出席者全員を確認する」よう従業員に指示したことである。また、70,000万人の従業員に送られた社内メールでは、Teamsの通話を録音したり文字起こししたりしないよう指示しており、ハッカーが社内会議に出席して文字起こしを行い、ソーシャルエンジニアリング攻撃の精度向上に役立てる情報収集や、将来の侵害に役立てるための社内システムに関する情報収集を行っている可能性を示唆している。
新たな犯罪、新たな犯罪者。
犯罪の性質が変化し、サイバー犯罪者がますます巧妙になっていることは周知の事実です。カメラをオンにしておくことは多くの点で良い方針ではありますが、ここでは大きな違いを生むかどうかは疑問です。人工知能はすでに同僚を騙せるような動画を作成することができ、長年にわたって悪質な目的で使用されてきました。アラップ社は、AIを使って同社のCFOになりすまし、複数人でのグループビデオ通話中に部下に資金を送金するよう指示した詐欺師によって25万米ドルを失いました。香港警察によると、「部下が見た全員が偽物だったことが判明した」とのことです。
このようなディープフェイクは、銀行や小売業だけにとどまらず、広まっています。ロンドンのアートギャラリーのオーナーは、偽のピアース・ブロスナンとの展示会の交渉に数か月を費やした後、30,000万ポンドの損失を被った。英国で起きた別の事件では、少なくとも14人の男女に代わって市民権試験に合格するため、発覚を逃れるために「偽造身分証明書」を使い、一連のかつらや衣装を着用した疑いで女性が逮捕された。 AirBnBのオーナーが、盗難IDを持ち、偽造運転免許証で照会報告書を渡した女性に物件を貸し出しました。その後、彼女は家具を盗み、その家をパーティー会場として転貸しました。
AI ハッカー、AI 防御?いいえ。
連邦準備制度理事会（FRB）のマイケル・バー理事は最近、AIを活用したディープフェイク攻撃の増加を受け、銀行は「火に油を注ぐ」ようにAIへの投資を増やすべきだと述べました。しかし、私はこれに反対です。AIによる偽造が改良されるまでは、顔認識、音声分析、行動生体認証といった技術によってAIによる偽造を検出できるようになる可能性があります。確かに、AIへの多額の投資は、AIを活用した詐欺の急増から銀行を守るのに役立つかもしれませんが、詐欺師が手口を改良する中で、一時的な救済策に過ぎないかもしれません。しかし、なぜこのような道を進むのでしょうか？AIで攻撃者を出し抜こうとするのではなく、偽造不可能な実績のある技術、つまりデジタル署名を活用しないのはなぜでしょうか？
AI対AIの戦いは、終わりなき激しい競争です。そうではなく、銀行、小売業者、メディア企業、その他すべての組織に対し、ディープフェイクを駆使する現代のハッカーを阻止するために、実績のあるセキュリティインフラの活用を強化するよう求めるべきです。以前にも書いたように、ブラッド・ピットの完璧に説得力のある偽動画を作成することはできても、ブラッド・ピットの完璧に説得力のあるデジタル署名を作成することはできません。従業員に、目の前にいるのが本当にビル決済担当副部長（北東地域）なのか、それともボットなのかを推測させるのではなく、パスワードの代わりに二要素認証、カメラ起動認証の代わりに強力な生体認証による検証可能な資格情報、暗号化されデジタル署名されたコピー、そして改ざん防止機能付きの暗号化キー保管場所（例えば、携帯電話上）を提供すべきです。*注：デジタル署名はデータの真正性と完全性を強力に保証するため、偽造対策において非常に有効なツールとなります。*
コメントは締め切りました。