2021年の4大サイバー攻撃事例と、そこから学べるセキュリティ教訓

ビジネスや企業の世界がバーチャル空間へと移行するにつれ、サイバー犯罪者に対する脆弱性も高まっています。かつてのような、強盗が銃を手に金融機関に押し入って大金を奪う時代は終わりました。

今や犯罪者はオンラインの世界にひそみ、チャンスをうかがい、相手にわずかな隙を見せた瞬間に襲いかかります。そして、その「隙」は世の中に数多く存在するのです。

そこで本記事では、2021年に発生した最大規模のサイバー攻撃を振り返り、そこから何を学ぶべきかを解説します。

1. SolarWinds（ソーラーウィンズ）

SolarWindsは一般消費者にはあまり馴染みがありませんが、企業や政府機関向けの主要ソフトウェアプロバイダーのひとつです。この攻撃は2020年末に初めて公表されましたが、被害者の発表は2021年に入っても続きました。

同社のクライアントには、米国国土安全保障省（DHS）、国務省、国家核安全保障局、エネルギー省といった政府機関のほか、Cisco、Intel、Microsoftなどの世界的な民間企業が含まれています。

攻撃者はSolarWindsの最も人気のあるサービス「Orion」にバックドア型トロイの木馬を仕込み、ソフトウェアアップデートを通じて顧客へ配信しました。ハッカーはSolarWindsの顧客へのアクセスに成功しましたが、これは各組織の内部セキュリティを突破したことを意味するわけではありません。

とはいえ、Microsoftは攻撃を防いだものの、DHSなど他の機関は被害を受けました。その結果、当時のチャド・ウルフ長官のメールアカウントが不正アクセスされ、政府側はハッキングがどれほどの期間続いていたのか、どの情報が漏洩したのかさえ把握できない状態となったのです。

2. Colonial Pipeline（コロニアル・パイプライン）

2021年5月、サイバー犯罪グループ「DarkSide」が、米国最大のパイプラインインフラ保有企業であるColonial Pipelineを攻撃しました。このランサムウェア攻撃により、東海岸およびアメリカ南部全域で自動車用・航空用燃料の供給が約1週間にわたり混乱しました。

燃料不足はガソリン価格の高騰と給油所の長い行列を引き起こし、タンクを満タンにしたり、携行缶でガソリンを買いだめするドライバーも現れました。影響はハーツフィールド・ジャクソン・アトランタ国際空港やシャーロット・ダグラス国際空港にも及び、アメリカン航空は燃料不足のため一部の直行便を経由便に変更せざるを得ませんでした。

最終的に同社はサービス復旧のために440万ドルの身代金を支払いました。Colonial Pipelineのジョセフ・ブラウントCEOは「国のためには正しい判断だった」と述べています。

3. Poly Network（ポリーネットワーク）

2021年8月、暗号資産史上最大級の強盗事件が発生しました。分散型金融（DeFi）プラットフォームのPoly Networkは、わずか1日で6億1,100万ドル相当を単一のハッキングによって失ったのです。この事件の奇妙な展開として、ハッカーは直後に2億6,000万ドル超の盗んだ暗号資産を返還しています。

攻撃者はその後Q&Aを公開し、「Poly Networkの脆弱性を発見し、他の誰かに悪用される前に先手を打った」と主張しました。また、プロジェクトチームが問題を修正するまで資金を保管しているだけだと説明しています。

Poly Networkが「Mr. White Hat」と名付けたこの攻撃の背後にある人物は、発見した問題が修正された後、盗んだ資産をすべて返還しました。プラットフォーム側はシステムの欠陥を特定した功績として50万ドルの報奨金を支払うことを約束し、さらにチーフセキュリティアドバイザーの職位までオファーしたほどです。

4. Twitch（ツイッチ）

インフラ企業、金融機関、政府機関がサイバー犯罪者の標的になるのは理にかなっていますが、エンターテインメント業界も安全というわけではありません。2021年10月、ある4chanのユーザーが125GB分のTwitchデータを投稿しました。その目的は、オンラインストリーミング業界により多くの混乱と競争をもたらすことだったとされています。

流出したデータには、Twitchの歴史、モバイル・デスクトップ・コンソール向けのソースコード、独自の機能やサービス、内部セキュリティツール、暗号化されたパスワード、さらには2019年のクリエイターおよびストリーマーへの支払い額まで含まれていました。

この漏洩により、数百万人のTwitchユーザーはアカウント侵害を受ける前にパスワードやログイン情報を変更する必要に迫られました。また、同じ認証情報を他のサービスでも使い回しているユーザーは、それらも危険にさらされているため、同様に変更しなければなりません。

誰も安全ではない

2021年の大型ハッキング事件の多くは金銭が動機でした。企業のデータと管理権限の返還と引き換えに数百万ドルを要求するランサムウェア攻撃です。しかし、これらの注目度の高い攻撃のうち2件は異なる動機によるものでした。ひとつはセキュリティ上の脆弱性を暴露するため、もうひとつはプラットフォームへの不満によるものと見られています。

それでも、これらすべての攻撃が示しているのは「誰も安全ではない」という事実です。巨大企業から政府、金融、エンターテインメントまで、攻撃はいつどこで起こってもおかしくありません。一般消費者が自分自身を守る最善の方法は、すべてのサービスで固有のログイン認証情報を使用することと、可能な限り二要素認証（2FA）を有効にすることです。

インターネットを閲覧する際、知識こそがサイバー犯罪者から身を守る重要な武器となります。ネット上で何をすべきで、何をすべきでないのかを理解することで、あなたの脆弱性は確実に減らせるのです。