セキュリティ専門家が懸念する「サイバー空間における9.11」とは？

by Richard Patterson

現在ではあらゆるものがコンピューターで制御される時代となっており、便利になっている一方でサイバー攻撃による脅威も増しています。サイバーセキュリティの専門家らは「サイバー空間における9.11」が起こる可能性もゼロではないと考えており、ハッカーがどのような攻撃を仕掛けてくるのかについて予測しています。

'Cyber 9/11' scenarios: power outages, bank runs, changed data
https://www.cnbc.com/2018/11/18/cyber-911-scenarios-power-outages-bank-runs-changed-data.html

◆公共サービスの破壊
電気や水、ガスといった公共サービスも現代ではコンピューターによる管理が行われており、精密で効率のいいシステムが構築されています。そんな人々の生活に欠かせない公共サービスへのサイバー攻撃は、過去にもいくつかの事例が存在する現実的な脅威であるとのこと。

たとえば2000年にはオーストラリア・クイーンズランド州の下水処理場に勤める男が職場への不満を募らせ、下水処理場の管理システムをハッキングするという事件を起こし、実際に下水が公共の場所に流れ出す被害が発生しました。また、2007年にはエストニアの電気通信システムがロシアとの紛争に起因するサイバー攻撃に襲われ、国全体が停電するという事態に発展。さらに2015年にもウクライナの送電網がサイバー攻撃によって機能停止に陥り、25万人もの住民が数時間にわたって電気を使えなくなってしまいました。

このように現実として公共サービスへの攻撃は起こり得るものであり、国家的な攻撃に限らず悪意のある個人による攻撃が行われる可能性もゼロではありません。たとえば2017年に流行した「NotPetya」というマルウェアはデータを暗号化してBitcoinを要求するというもので、ドイツでは消費財メーカーのレキットベンキーザーがいくつかの製品出荷を停止、物流大手のA.P. モラー・マースクの船舶が出航できずに3億ドル(約340億円)もの打撃を受けるなど、多くの物理的被害が現実的に起こっています。

大手保険企業のマーシュ・アンド・マクレナンの顧問弁護士を勤めるPeter Beshar氏は、停電や水の供給遮断といった被害が公共サービスへのサイバー攻撃として予測されるとしています。「停電だけでなく水も人間の生活にとって欠かせないものであり、もし人々が使用する水道の浄化がストップしてしまえば、水を使用する全ての産業に影響が及びます」とBeshar氏は語りました。

by fatmanwalking

◆金融機関への攻撃
銀行や証券取引所などの金融機関に対するサイバー攻撃も、専門家が懸念する事項の一つです。中でも金融は人々の恐慌をあおりやすいものであり、たとえばある銀行のシステムに攻撃が加えられたことが明らかになった途端、その銀行にお金を預けている多くの人々がこぞって預金を引き出そうとパニックを起こす可能性があります。ATMから預金が引き出せなくなったり、クレジットカードが一時的に使えなくなったりといったやがて復旧可能な事態でも、ユーザー間で一気に不安が増殖する恐れがあるとのこと。

すでに金融機関の間ではサイバー攻撃に備え、いくつかの対策を取っているところもあります。金融サービス情報共有分析センター(FS-ISAC)の非営利子会社であるSheltered Harborには、モルガン・スタンレーやゴールドマン・サックスなど70もの企業が参加してサイバー攻撃に備えています。

Sheltered Harborでは銀行や金融機関が常に顧客の正しい口座や金融情報にアクセスし、致命的なサイバー攻撃を受けた場合でも金融取引をストップさせない仕組み作りを目的としています。中でも、特にデータを著しく損壊したり、長期間にわたってシステムを稼働停止したりする攻撃に対して重点的に対策を行っているとのこと。所属する金融機関に対し、Sheltered Harborは毎日生成する財務データのバックアップを取る仕組みを提供しており、失われたデータを即座に復元できるようにしているそうです。

by Ervins Strauhmanis

◆重要なデータの内容を書き換える
犯罪者や敵対する国家は相手の機密情報を盗み出すだけではなく、産業機械のプログラムやバランスシート上の財務情報など、重要な情報の中身を書き換えるというタイプの攻撃を仕掛けてくる可能性もあります。ロシアのサイバーセキュリティ企業であるBI.ZONEのCEO・Dmitry Samartsev氏は、「最悪のシナリオは一度に複数タイプのサイバー攻撃を仕掛けられた場合です」と語りました。

たとえば、攻撃者が特定の企業に対して「ネットサービスを一時停止させる」という攻撃を加えます。これだけであればユーザーがサービスを一時的に使用できなくなるだけですが、「この企業は倒産の危機にあり、もはやサービスを維持できない」というフェイクニュースをSNSやメディアなどで流す攻撃と組み合わせたとします。すると、実際にサービスが使用できない状態を目の当たりにしているユーザーはフェイクニュースを信じる可能性が高まり、パニックに陥るかもしれません。

たとえば2015年に大手信託銀行のバンク・オブ・ニューヨーク・メロンのシステム不具合により、いくつかの有価証券に対して誤った評価が下されてしまったケースでは、自動取引のアルゴリズムを混乱させて株価が急降下してしまいました。2013年にはAP通信のTwitterアカウントが乗っ取られ、「ホワイトハウスで爆発があり、オバマ大統領が負傷した」という誤情報が流されたこともありました。このケースでも、ダウの株価が急降下するという影響が出ています。

世界銀行の元サイバーセキュリティ部門責任者であるTom Kellermann氏は、データの書き換えがデータの破壊や漏えいよりも脅威であることを認めています。「データの完全性が鍵となります。財務部門が提出するデータの信頼性が損なわれた場合、物事は一気に悪化します」とKellermann氏は語りました。

by Christoph Scholz