【第二弾】セキュリティのプロが明かす「攻撃者の実態と企業の備え」

———非常にサイバー攻撃が増えているという印象を我々は持っているのですが、
攻撃者はどのような企業を選んで今攻撃しているのか、専門家の視点からお聞かせください。

那須：攻撃の仕方は、「標的型攻撃」 と 「ランダム攻撃」 の2つがあります。
標的型攻撃というのは、有名な企業に対してピンポイントで攻撃を仕掛けるサイバー手法で、もう一つのランダム攻撃というのはネットに繋がっている端末、通信機器や、パソコン、スマートフォンも含めて、ネットに繋がっているものであれば軒並み手当り次第攻撃をしてみて、
それで侵入ができるということがわかれば、実際に侵入して中身を物色しながら情報を抜き取ったり、暗号化を仕掛けるこういった攻撃が2つあり、今のサイバー事情を見ていると そのほとんどがランダムでやられていますね。

標的で狙われるというのは、当然大きな企業様がありますが、ネットに繋がっている環境であれば
必ず誰かがやられているという、そんな状態が今世界中で起こっている、と思います。

———簡単に攻撃されるという印象を持ちましたが、なぜそのようなことになっているのでしょうか？

那須：まず、攻撃者の役割が 分業化されていまして専門的な、 例えば初期侵入を専門にしているイニシャルアクセスブローカーというのがいるのですが、彼が初期に侵入して、例えばネットワークの通信機器の脆弱性からネットワークに侵入できる状況を作ったり、
メールを送り込んできて、パソコンを乗っ取って、それを売っているんです。
ダークサイト上で売っているものですから、そうすると、そこまで能力が高くなくても
攻撃ができてしまうんですよね。
ですから、やろうと思ったらできてしまうんですよ。
ダークサイト上で公開されている、通信機器のネットワーク機器の脆弱性も入れています。
それが手っ取り早く攻撃ができてしまっている今の実態かなと考えております。

———実際に攻撃を受けた側として組織的なものや見えない攻撃者と戦ったわけですが、
見えない敵というのはどういうふうな印象であったり、先ほどのような組織化を感じる瞬間はありましたか？

達城：名前がランサムウェアakiraと特定されていたので、どういう敵なのか想像するよりも、
何が起きるんだろうという不安の方がすごく、その不安を打ち消すためにいろんなことを意思決定していくというところでしかなかったかなと思います。

今もサイバー攻撃というのは、被害者の連携は一切なく、那須さんが言われたように、
攻撃者側の情報交換と超連携というのが勝てるはずないなというふうにも感じていて、
私は、株式会社関通もそうなのですが「またあるもの。攻撃は。」
それをもし突破されても復旧が1時間以内でできるという環境を目指しているのが実態です。
専門家の方々はやはり防ぐことにフォーカスを当てられて、我々もその体制をつくった上で、被害者の立場であれば、「やられる可能性もなきにしもあらず」なので、やられた後の体制ということを準備しておくことの必要性は皆さんに御理解いただきたいなと思います。

———被害者は連携していないのに、攻撃者が連携しているという、
面白いキーワードが出たのですが、この点について那須さんはどのようにお考えですか？

那須：全くその通りでして、まず攻撃者は、本気なんですよね。
なぜかというと侵入が成功して、今は身代金が多いのですが、攻撃が侵入できて、後はいくら払ってくれるかということを投げかけて待っているだけでいいんですよね。

支払ってもらえれば相当儲かるようなビジネス設計になっているので、
儲かるという前提で、やはり儲けたい人たちが集まってきて、そこには能力のある人とない人、さまざまな人が存在します。

超連携という話がありましたが、かなり連携している状況ではあるということですよね。
一方で被害側は情報を出したがらないのが実情です。
今回、達城社長が本を出したことに僕はとてもびっくりしたのですが、
ここまで赤裸々に情報を出すということは通常ではあり得ないんですよね。
なぜかというと、日本は恥の文化なので、そういったことを起こしてしまって恥ずかしいと思ってしまうと。
それに対して達城社長は自分たちだけではなく、日本の国民に目を向けようという思いで間違いなく出されたのではないかなと思うので、その勇気に改めて敬服しております。

達城：本当にもう私は根っからの商売人なので、損した分を何とか取り戻そうと頑張っています。

那須：本当にここまで出せるというのがなくて、おそらく前代未聞であるぐらい、
問題を表に出されたのではないかなと思います。
その姿を明確に出すとのは上場会社だからというだけの話ではないと思うのですが、
実際に被害に遭ってどういう状態になり、何が心理的負担として一番重かったのか
というところも含めて全てを書いておられるところがやはりすごいなと思います。

———ある時点の判断で達城社長が全て捨てようという判断をしました。
企業によってさまざまな対策があると思いますが、そのような対策をしたことについて、那須さんの評価をお聞きかせください。

那須：完璧だと思います。
ほとんどのインシデント対応では、完全に捨て去るということはしないんですよ。
例えば、パソコンをもう一度OSから再インストールするであったり、
サイバー攻撃者はOSが完全に再インストールされると攻撃がなかなかできないというところがあります。
ネットワークの関係や、どこかネットワーク上に潜んでいて、NASのようなストレージ経由でまた通信が始まり、サイバー攻撃が行われるという状態になるといたちごっこの様相を呈してしまうということになります。
そのため、全てを捨てるということは、実は見たことのない判断でした。

サーバー環境を捨てる、ネットワーク環境を捨てる、
コンピューター端末を捨てる、というのは、お金が相当かかるじゃないですか。
リスクと利便性とコストのバランスをとっていくのが経営だと思うのですが、
その中で一度全部捨てて、完全に0から作り直すということを、関通さんの規模でやるという判断をしたのは、本当に私もびっくりしました。

———非常に大きな損害が出るとわかっている中でお金を使って解決するという判断に至った
経緯を教えてください。

達城：まさに 復旧体制というのは関通全員が非日常的な感覚で職場にいたと思うので、
この非日常的な感覚をいち早く戻すための選択として全て捨てた方がみんなが安心するのではという考えでした。
また、パソコンも新しくになる、全てが新しくなるという部分については、それなりに
1から物事の管理が進むというところをとった方が間違いなくいけるなと。
お金という部分については損した分は稼げるし、
変に得した部分は、その分どこかで損をするので、
それもこれもやはり会社に使える現金をたくさん持っているから
このような意思決定ができるということだと思います。

———経営層のサイバー攻撃への関心が低いことを懸念していますが、那須さんは理解を促すためにどのような取り組みをされていますか？

那須：CISOの活動そのものが経営者皆様の理解促進だと思って動いています。
この本の執筆もそうですし、結局現場から「社長、セキュリティが危ないから対策した方がいいですよ」と言われても経営者が理解できていなければ
「いや、ウイルスソフト入っているし、この間だってネットワークの機器とかも入れているんじゃないの？」
「バックアップだってとっているんだから、そんな被害にも遭っていないから」
「それでさらにやろうとしているの？」「いくらかかるの？」
「何でそんなにかけないといけないんだ？」となり、
理解していないと投資はできないんですよね。
また、セキュリティーに対する投資はコストみたいにどうしても感じてしまうので、
できる限り抑えたいと思う領域だと思います。
売り上げを上げるわけでもなく、そこで業績がより良くなっていくわけでもないという、
気持ちはわかるのですが、被害に遭ったときのダメージが本当に怖いです。

それを私たちも見たくないので、メディアからのオファーはなるべくお答えするようにしていたり、本を出したりしています。
全国でセミナーを通して様々なお話をするのですが、結局のところ経営者様にアンテナが立っていないと、サイバーセキュリティーの情報をキャッチアップできないと思うんですよね。
ここがすごく難しいなと思いながら、ずっと会社を経営しています。

———達城社長、セキュリティーに関する意識というのはサイバー攻撃を受ける前と受けた後で変わった部分はありますか？

達城：その会社の被害額を教えてあげることです。そうすると、変わります。
ヒアリングして、それこそAIで被害額出すんですよ。これを見た瞬間変わりますよ。

本当に想定もしない桁数なので、目線が大きく変わると思います。

那須：実際に被害に遭って被害額を知っているからこそ、言えることでもありますよね。

達城：そうなんですよ。
被害額を教えてあげると前のめりになりますよね。

那須：我々のようなサイバーセキュリティーのハンドリングに入ったとしても、
その企業様がどれぐらい被害に遭ったのかというところまでをキャッチアップできないんですよ。
できるとしても、やはりシステムの被害額であったり、我々が対応させていただいたり、弁護士費用をフォレンジックなど、あくまでもインシデント対応に我々が携わったところでしか金額は出せないのですが、私自身も勉強になる所が多くあります。

金額をこれぐらいというように想定するのはやはり簡単ではないと思うんですよね。
ただ、全ての会社様に言えることなんですけれども、
自社がどんなセキュリティー対策をやっていて、それがどう守られる状態になっているのか
というのを知らないんですよ。
なぜ知らないかというとシステムベンダーに丸投げしているところがほとんどだからなんですよね。
システムの担当の方もある程度把握をしているけれどもやっぱりセキュリティーのプロではないので、結果的にみんな知らない状態というのが起こっているんですね。
ということは、対応のしようがないんですよ。
知らないことには対応のしようがありませんので、ちゃんとそれを知るというところを
始めるのをお勧めしております。

CISOの場合は網羅的にその会社さんのセキュリティー状態がどうなっているかというのをスコアリングして全部点数を数値化して、足りないところが何で、それを全部やればいいという話でもなく、特にサイバー攻撃からの対策がどういったところを優先順位つければ手を打てるかというふうに全体をわかった上で必要最小限の取り組みに着手していくということが一番望ましい、コストパフォーマンスの高いものなのかなと思うんですけれども。
ですので、やはりわからないことには対応のしようがないので、まずは知るというところから始めていくのがお勧めかなとは思います。
金額的なところは、本当にその企業規模であったりとか、あとは持っている情報の取り扱い方であったりとか、オンプレミス環境なのか、クラウド環境なのか、そういったところによっても全然変わってしまうというのが正直あるんですよね。

———達城社長はセキュリティーにかけるお金、コストというのはどのようにお考えですか？

達城：防御のための予算というのはとっておかなければいけないですし、
自分たちが理解して、人様にも説明できるような環境というのはすごく重要で
そのためにうちは「サイバーガバナンスラボ」というラボをつくって
ノウハウや体制も皆さんにお知らせできる体制をつくりたいなと思っています。

現実、我々自身、関通が皆さんに一番勧められるのは、もし被害に遭ったらというところなので、そこの準備に備えているのかな。
そこをしっかり体制として持っておくということ、それに対しての予算という部分についてはそんなにかかるものでもないなと思いますし、実際に例えば30分で攻撃を受けても復旧できる体制と1日かかって復旧できる体制とは、0が2、3個 違うかもしれないですし、
そこの体制においては、そこは企業文化の問題かなとは思います。
間違いなく必要なお金である ということは、ものすごく重要だと思いますね。

———サイバー攻撃を受けたことを想定していかに早く復旧できるか。
それにより風評被害であったり、取引停止を防ぐという考え方が達城社長のお考えであると思いますが、那須さんからみてその辺の視点はどのように見えておられますか？

那須：難しいなと思うのが、持っているビジネスモデルによって全然変わるとことだと思います。

例えば、システムが動かなければ全く事業ができなくなるようなケースだと
いかに早く稼働させるか、というところにもなるでしょうし、
業種によってはパソコンがなくても動くだろうというところもあって、
その業種業態によって変わるかなとは思います。
ただ、今総じて言えることは、インターネットがないと事業ができないというケースがほとんどになっているはずで、その場合は被害にあったときにいち早く通常業務が復旧できるかというところにフォーカスするのはやはり重要だなと思うんですよね。
気をつけないといけないのは、例えば調査をして結果が出ないと先に進めませんとなると、
事業がものすごく遅れてしまう状態が起こるので、事業を進められないだけでなく、
取引先から「いつになるんだ」であったり、
今度取引先から「何でちゃんと調査が終わっていないのに次進めようとしているんだ」というような、様々な反応があるはずです。
そういった観点で見ると、やはり関通さんがすごいなと思うのが、
「被害に遭いました、そこで捨てる、新しくつくり直す」といって事業再復活のプランがとても早かったというところは、本当に見たことがないぐらいのスピード感だなと改めて実感しますね。

達城：我々としては、とても心強かったですし、
やるべきことに集中できました。
また、我々が今みたいな形で非日常から日常の業務に戻れたという部分は本当にCISOさん並びにその当時協力していただいた皆さんのおかげだなと感謝しています。

サイバー攻撃の実体験を起点に誕生した「サイバーガバナンスラボ」

関通は、2024年に受けたサイバー攻撃という未曾有の危機を経て、企業としての在り方やサイバー対策の根本的な見直しに迫られました。復旧対応に奔走する中で強く感じたのは、「経営者自身がサイバーリスクを深く理解し、組織全体で備える必要がある」という現実です。

この経験を経て、当社はサイバーセキュリティの専門企業であるCISOとパートナーシップを締結し、新たに立ち上げたのが、実践型のプログラム「サイバーガバナンスラボ」です。

「サイバーガバナンスラボ」では、 “リアルな被害事例”をもとに、再発防止や危機管理に直結する知見を提供。実際の対応現場で得られた教訓や判断のプロセスを学ぶことで、参加企業はサイバーリテラシーを組織全体で高めることが可能です。

CISOとの連携により、このプログラムは「経営目線でのセキュリティ」と「専門技術による対応力」の両面を備えた、実効性の高い内容となっています。単なる知識の提供にとどまらず、危機対応に本当に必要な「備え」と「行動」を習得できる機会として、今後、多くの企業にご活用いただきたいと考えています。

サービス詳細はこちら：https://kantsu-cgl.com/

【第二弾】対談動画も公開中！

内容	詳細
動画タイトル	【第二弾】セキュリティのプロが明かす「攻撃者の実態と企業の備え」
動画URL	https://youtu.be/Fp6OJC7UHSs
長さ	23分44秒