Trellixが2022年十大セキュリティ事件ランキング
サプライチェーンリスクが増大、情報漏えい対策も転換期に
2022.12.29−Trellixは14日、毎年恒例になっている十大セキュリティ事件の2022年版を発表した。内部不正による営業秘密の持ち出し事件が第1位になったほか、子会社や取引先が被ったサイバー攻撃が自社の事業活動に影響する“サプライチェーンリスク”にスポットが当たる結果になった。また、引き続きランサムウェア被害が増加していることも目立った傾向となっている。
この調査は、2021年12月から2022年11月までに報道されたセキュリティ事件に対するビジネスパーソンの認知度（複数回答）を集計したもの。十大事件のランキングは下表の通りで、第1位には、大手外食チェーンの元役員が競合企業に転職する際に営業秘密を持ち出した事件がランクインした。第8位にも意図的・悪意を持った情報持ち出し事件が入っており、同社では情報漏えい対策が性善説から性悪説に基づいた対策へ、データレベルでの監視や制御を可能にする対策へと転換する必要が出てきたとしている。退職者によって持ち出されるリスクだけでなく、転職者から持ち込まれるリスクも考慮すべきだという。
また第2位、4位、5位、7位はサプライチェーンリスクに関連した事件。自社がセキュリティ対策を万全にしていても、グループ会社や取引先などのほころびからサイバー攻撃の影響を受け、大事態に発展する可能性があることが示された。大手企業や重要インフラ事業のサプライチェーンは今後も標的となる可能性があるため、同リスクに関する分析を入念に行い、自社の対策と合わせてサプライチェーン全体としての対策を行うことが重要だと指摘している。
一方、ランサムウェアの被害は2022年も複数確認され、ランキングでは2位、6位、7位にランクインしているほか、10位にもマルウェアEMOTETによる被害がみられる。同社では、ランサムウェア攻撃の被害状況も調査しており、「経験あり」の回答率が2021年の30.0％から2022年は42.0％に上昇した。被害内容は、「金銭の支払いを要求する画面が表示された」が約2倍に増えているほか、「PCが感染し操作不能になった」や「サーバーが暗号化された」「サーバー内のデータが流出した」も多く、引き続きさまざまな被害があらわれている。
被害後の状況では、「身代金を払い復旧した」「身代金を払ったが復旧できなかった」の合計が前年より9.1ポイント減少。身代金を払うべきではないという啓発の成果が出てきたと分析している。逆に、「身代金を払わずに復旧した」が57.7％あり、前年より9.4ポイント増加している。セキュリティベンダーによる解析が進み、復旧のためのカギが公開・提供されることが増えていることや、バックアップによる対策が進んだことなどが背景にあると分析している。いずれにしても、警察庁によると、2022年上半期のランサムウェア報告件数は前年同期比で約2倍と大きく増加しており、今後も最大限の警戒が必要になるだろう。
******
＜関連リンク＞：
Trellix（トップページ）
https://www.trellix.com/ja-jp/index.html
| 順位 | セキュリティ事件（時期） | 認知度 |
| 1 | 大手外食チェーンの元役員が競合企業に転職する際に営業秘密を持ち出し、その後も商品原価や仕入れ値など不正に取得したデータを社内で共有した（2022年9月） | 48.8 |
| 2 | 大手自動車メーカーの主要仕入れ先である部品メーカーがサイバー攻撃を受け、自動車メーカーが国内14工場、28ラインを生産停止することになった（2022年2月） | 41.0 |
| 3 | ロシアのウクライナへの軍事侵攻が開始。サイバー攻撃をはじめとしたかつてない規模の「ハイブリッド戦争」の様相を呈する（2022年2月） | 37.5 |
| 4 | 電子決済サービスのキャンペーンに参加したユーザー情報（国内ユーザー約5万件、海外ユーザー約13万件）のカード情報がインターネット上で閲覧できる状態になった（2021年12月） | 36.9 |
| 5 | 関西地方の自治体の業務再々委託先の社員が無断で持ち出したUSBメモリーを紛失し、全市民約46万人の個人情報が流出危機に（2022年6月） | 35.6 |
| 6 | 大手自動車メーカーグループの海外自動車部品メーカーがランサムウェアのサイバー攻撃に。発注書やメール、図面など15万7000件以上、1.4テラバイトのデータを公開される恐れがあった（2022年3月） | 34.7 |
| 7 | 関西地方の医療機関が外部からの不正アクセスを受け、ランサムウェア被害。電子カルテシステムに障害が発生し、通常診療が不能に（2022年10月） | 26.2 |
| 8 | 関東地方の自治体の職員が知人の依頼で住民基本台帳ネットワークシステムにある個人情報を漏えいした（2022年11月） | 23.4 |
| 9 | 親ロシア派のハッカー集団「Killnet」が4官庁23サイトにサイバー攻撃。電子サイト「e-Gov」など計4省庁23サイトと、地方税の手続きサイト「eLTAX」が一時閲覧できなくなった（2022年9月） | 23.3 |
| 10 | 総合旅行会社がマルウェア「Emotet」の感染を確認、同社関係者および顧客に向けて、なりすましメールが送信されている疑いがあると発表した（2022年3月） | 22.9 |
