# 24/01/15～24/01/19配信分まとめ 皆さん、おはようございます。もしくは、こんにちは。または、こんばんは。 今日の10分シキュリティラジオ、土曜担当パーソナリティの山田です。 土曜日の配信は、今週のS-1インネギュラー放送の内容を10分間にぎゅっと圧縮してお送りする、 シキュラジ切り抜きチャンネルとなっております。10分間最後までお付き合いください。 はい、では早速ですが、月曜の配信から振り返ってみます。 タイトルは、板見市の委託事業者が利用するサービスにノーウェアランサム被害です。 兵庫県板見市から、同市の委託事業者が利用するサービスへのノーウェアランサム被害について発表がありました。 今回のインシデントは、板見市が業務を委託するアプリサービスの一部に第三者から不正アクセスがあり、情報が持ち出され削除されたというものです。 対策として、影響のあったシステムのセキュリティ強化とパスワードの変更を迅速に行っており、対象者に電話連絡等で謝罪と状況報告を行っています。 さて、このノーウェアランサム、関田寺でも初めて出てきたかと思います。 従来のランサムウェアとの違いなど、解説いたします。 ノーウェアランサムとは、組織のネットワークへ侵入しデータを盗み出し、そのデータを爆破すると脅迫し、身のしろ金を要求するサイバー攻撃です。 ランサムウェアとは異なり、データを暗号化せず接種するため、被害の発覚が遅れる可能性があります。 また、暗号化という手順が簡略化されているため、攻撃者の技術的な刺激が下がったり、データ暗号化が失敗した場合でも、身のしろ金を要求できたりする可能性があります。 ランサムウェアに比べ攻撃手法がシンプルに、かつ洗練されたといえますが、こういった傾向は今後も増加が見込まれます。 その理由は、攻撃者が目的を達成するため、よりリスクが少ない方法を取ることが考えられます。 例えば、最近はクラウドサービスの利用が世間に広がり、バックアップ取得が容易にできるようになりました。 これは、攻撃者にとっては、データを暗号化しても復元されてしまうというリスクが増したことになります。 であれば、暗号化という作業はコストであると考えるのではないでしょうか。 サイバー攻撃が経済活動となっている現状で、その費用対効果も考えられていることが読み取れます。 攻撃者に十分なコストをかけさせることも、セキュリティ対策の一つになると、ご理解いただけましたら幸いです。 はい、では続きまして、水曜の配信を振り返ってみます。 タイトルは、「名工ジポテル京都のメールアカウントに不正アクセス 迷惑メール送信の踏み台に」です。 株式会社JR西日本ホテル開発から、同社が運営する梅工事ポテル京都のメールアカウントへの不正アクセスによる迷惑メールの送信について発表がありました。 今回のインシデントは、同社が運営するメールアカウントの一つに不正アクセスがあり、不特定多数のメールアドレスにフィッシングメールが送信されたというものです。 さて、皆さんも仕事で、プライベートで、いくつかのメールアカウントを持ちかと思いますが、このようにアカウントが不正利用され、スタブメールの踏み台にされないための対策をおさらいしておきましょう。 メールアカウントのセキュリティ対策として、認証を強化したり、定期的にログイン履歴を確認することが挙げられます。 認証の強化については、具体的にはIDとパスワードだけではなく、多要素認証が提供されていれば積極的に活用してください。 また、普通にメールのやり取りをしているだけでは、第三者が自分のメールアカウントにログインしていると気がつくことは困難です。 第三者に不正利用されていないか、メールアカウントのログイン履歴を定期的に確認するようにしましょう。 なお、今回被害に遭ったメールアカウントについては、事案の発生確認後にパスワードを変更しており、フィッシングメールの送信は停止していることのことです。 推測可能な安易なパスワードを設定しないという基本的なセキュリティ対策が行われているかも、皆さん、今一度見直してみてください。 では最後、金曜の配信を振り返ります。 タイトルは、生成AIに伴うリスク増大が一位に。 JASA 情報セキュリティ監査人が選ぶ2024年情報セキュリティ重大トレンドです。 特定非営利活動法人日本セキュリティ監査協会から、情報セキュリティ監査人が選ぶ2024年の情報セキュリティ重大トレンドの発表がありました。 同トレンドは、情報セキュリティ監査人約1900人を対象としたアンケートで選ばれており、第1位は、生成AIの悪用と誤用により増加するセキュリティ事故となりました。 では、生成AIが1位に選ばれたポイントを解説いたします。 まず挙げられているのが、生成AIがサイバー攻撃者の武器となることへの懸念です。 フィッシングメールの作成や標的型攻撃のためのメール作成はもちろん、コンピュータ言語を駆使したプログラミングによるマルウェア攻撃の自動化、量産化が可能となっていると解説されています。 さらに、生成AIの利用は、リスクを伴うことを知らなければ、誤用につながりかねないとしています。 具体的には、出局された生成物による第三者の著作権、表彰権の侵害などによる事故の発生が懸念されています。 生成AIは、大量のデータを学習し、文集や画像などを作成します。 その際、学習データに含まれる著作物の著作権を侵害する可能性があることに注意が必要です。 例えば、他人の写真を生成AIを使い加工し、新しい画像を生成した場合も、著作権侵害に該当する可能性があります。 生成AI利用の際は、学習データに含まれる著作権について事前に確認した上で、著作物をそのまま再現しないようにするなど注意が必要です。 その他、トピック全体では、無差別なランサムウェア攻撃やサプライチェーンの脆弱性をついた攻撃など、サイバー攻撃に関するものが多数を示し、 その他、人材の流動化に伴う情報動員の危険性やサイバー人材の不足という、人材に着目したトピックもランクインしています。 はい、生成AI、皆さんにも身近な存在になってきたかと思いますが、このような懸念点があることにも配慮の上、安全にご利用いただけただろうと思います。 # エンディングと今日の一言 ということで、スケダジ1週間を振り返ってみました。 ながらできててためになる。 今日の10分セキュリティラジオは、毎週月曜水曜金曜の朝7時15分より最新回を配信しております。 また、月水の夜8時から、録音には聞けないスケダジ制作過程の裏側を、Voicyライブアワーから生放送でお届けしています。 そして、土曜日は月水金の内容をダイジェストでお送りする、スケダジ切り抜きチャンネルを放送しております。 月曜から土曜までの各スケダジ、ぜひお聞きください。 はい、ということでね、今週も1週間お疲れ様でした。 はい、そうですね、今週のスケダジですね、私注目したのが、金曜の2024年情報セキュリティ10大トレンドですかね。 この手のランキングって、今まではランサムウェアが1位を占めてきたかなと思うのですが、 どんどんね、それが引きずり、脅され、対等してきたのが、生成AIっていうことでね、 おー、そっかー、と思いました。 とはいえ、ランサムウェアも衰えてきたというわけではないので、 そうですね、まずは基本的なセキュリティ対策をしっかりととっていっていただけたらと思います。 はい、それでは今回はこの辺で失礼いたします。 来週も聞いていただけました。嬉しいです。 では、またねー。