51 min
本日は、データ侵害に伴う不正防止と、なぜ侵害はほとんどの場合、単なるセキュリティインシデントでは終わらないのかについてお話しします。多くの場合、それは不正被害問題の始まりでもあるからです。
私はヘイリー・ウィンダムと一緒に、Snowflakeのデータ侵害、Evolve Bankの侵害、AT\&Tの顧客データ漏えいを含むいくつかの大規模な情報漏えい事件について話し合い、そのデータが世の中に出回った後に何が起こるのかを掘り下げました。顧客データが一度流出してしまうと、犯罪者はそれをただ放置しておくわけではありません。テストし、再利用し、他のデータと組み合わせます。そしてそれを、アカウント乗っ取り、クレデンシャルスタッフィング、なりすましなど、あらゆる種類の二次的な不正行為へと変えていくのです。
それこそが重要な部分です。
一見すると、情報漏えいのニュースはセキュリティチーム向けのサイバー関連ニュースのように聞こえます。しかし、よく見てみると、漏えいしたデータによる不正リスクは、漏えい後のEC不正、盗まれたデータを使った銀行不正、漏えいをきっかけとしたなりすまし不正へと姿を変え、その後始末を任される不正対策チームには大きな負担がのしかかるのです。
それが実際にはどういうことかというと、次のとおりです。
- データ侵害に対する不正防止は、侵害による情報流出がプライバシーリスクだけでなく、その後に発生する不正リスクも生み出すことを理解することから始まります
- クレデンシャルスタッフィング攻撃やアカウント乗っ取りは、大規模な情報漏えいの後に急増することがよくあります
- 機関が十分な速さで管理体制を強化しない場合、データ侵害に起因する金融詐欺の発生リスクが高まります
- 認証プロトコルの強化とログインセキュリティにおけるより良いベストプラクティスは、漏えいしたデータが出回り始めた後には特に重要になります
- 積極的な不正対策と、より強化された不正監視システムにより、侵害発生後の被害を軽減することができます
このエピソードでお届けする内容
- Snowflake、Evolve Bank、AT\&T のような大規模な情報漏えいが、最初のインシデントをはるかに超える不正リスクをどのように生み出すのか
- なぜクレデンシャルスタッフィング攻撃とアカウント乗っ取り対策が、情報漏えい後の最優先事項であるべきなのか
- 銀行、加盟店、デジタルプラットフォームにとって、漏えいしたデータがどのような不正リスクとなるのか
- 顧客データ保護戦略と不正監視システムによって、後続の悪用リスクをどのように低減できるか
- なぜ金融機関の不正防止には、サイバーイベントと不正対応をより迅速に結びつけることが必要なのか
このエピソードは次のような方におすすめです
- 不正対策、銀行業務、eコマース、またはトラスト＆セーフティに携わっており、データ侵害に関連する不正防止について実践的な視点を求めている方
- データ侵害による金融詐欺と、犯罪者がその後に盗まれたデータをどのように悪用するのかを理解する必要がある
- 加盟店の情報漏えい時の対応と、金融機関向けのより強力な不正防止対策を重視している
- アカウント乗っ取り防止や強化された認証プロトコル、ログインセキュリティのベストプラクティスについて、より優れたアイデアを求めている
- 侵害発生後のアカウントを保護し、侵害された可能性のあるデータに関するリスクシグナルに、より効果的に対応しようとしている
このエピソードを気に入っていただけたら、ぜひ購読して、iTunes、Spotify、YouTube、または普段お使いのポッドキャストアプリでレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードノートと主なポイント
なぜデータ侵害後の不正防止対策は、ニュースの見出しが出た“その後”から始めなければならないのか
これを分かりやすく説明していきましょう。
多くの企業はいまだに侵害を、閉じた一度きりの出来事として扱っています。侵害が発生し、法務が対応に入り、セキュリティが調査を行い、通知が出される。そのあと全員が、是正対応と広報対応へと移っていきます。
犯罪者はそんなふうには扱いません。
彼らにとって、侵害は在庫にすぎません。
そこからが面白くなるところです。
一度データが流出すると、その価値がすぐに試され始めます。それはクレデンシャルスタッフィング攻撃に利用できるでしょうか？アカウント乗っ取りを支援できるでしょうか？過去の漏えいデータと組み合わせて、より巧妙ななりすましに使えるでしょうか？ソーシャルエンジニアリング、アカウント復旧の悪用、あるいは本人確認プロセスの抜け道に役立つでしょうか？
だからこそ、データ侵害に対する不正防止がこれほど重要なのです。不正のリスクは、サイバー攻撃がニュースになる前ではなく、その後に始まることが多いのです。
それは重要なことです。
侵害されたデータが不正行為に悪用される仕組み
一見しただけでは、漏えいした顧客データがすぐに危険だとは限りません。連絡先情報かもしれません。口座情報かもしれません。ログイン関連の情報かもしれません。断片的な情報かもしれません。しかし、犯罪者はそうした断片的なデータを有効活用することに非常に長けています。
この手口は以前にも見たことがあります。
漏えいしたデータによる不正のリスクは、攻撃者がある侵害で入手した情報を、すでに他の侵害から得ている情報と組み合わせることで高まります。そうしたときに、盗まれたデータを使った銀行詐欺や、情報漏えいをきっかけとしたなりすまし被害、漏えい後の EC サイトでの不正利用などが、はるかに起こりやすくなります。
最も一般的なパターンには、通常次のようなものがあります。
- 再利用されたパスワードを悪用するクレデンシャルスタッフィング攻撃
- 銀行、⼩売、メールアカウントに対するアカウント乗っ取りの試み
- 個人情報を悪用して信頼できる相手を装うソーシャルエンジニアリング
- 不正な口座開設または架空（シンセティック）IDの悪用支援
- 既知の本人情報を悪用したカスタマーサポートの不正操作
これはセキュリティインシデントからの大きな変化には見えないかもしれません。しかし、不正防止の観点では、これは間違いなく大きな違いがあります。
Snowflake、Evolve銀行、そしてAT\&Tが重要である理由
Snowflakeのデータ侵害、Evolve Bankの情報漏えい、AT\&Tの顧客データ流出のような侵害が問題となる理由は、その規模だけではありません。これらが引き起こし得る二次的な悪用の種類こそが重要なのです。
それぞれの侵害では、関わるシステムも、流出するデータの種類も、影響を受ける当事者も異なる場合があります。しかし、不正対策の観点から得られる教訓はほぼ共通しています。ひとたび価値のある顧客情報や口座関連情報が外部に漏えいしてしまえば、不正対策チームは、犯罪者がどこかでそれを素早く悪用しようとすることを前提に動かなければなりません。
それは問題です。
なぜなら、いまだに多くの組織が、侵害対応と不正対応を別々のものとして切り離しているからです。セキュリティ部門は侵害への対応を行い、不正対策部門は不正への対応を行います。その二つのあいだで、貴重な時間が失われてしまうのです。
たいてい、うまくいきません。
不正対策チームは次の点を検討すべきです：
- どのような漏えいデータがアカウント乗っ取り防止の不備を助長し得るのか
- 現在、ログインまたはアカウント復旧のフローがこれまでより高いリスクにさらされているかどうか
- どの顧客セグメントを最優先で強化監視する必要があるか
- どのような漏えいデータのリスクシグナルが、直ちに強化された管理措置を発動すべきか
なぜクレデンシャルスタッフィングは今もこれほど大きな問題なのか
それには理由があるから、何度も話題に上がるのです。
クレデンシャルスタッフィング攻撃は、漏えいしたデータが直接的な不正行為につながる最も分かりやすい手口の一つであり続けています。派手さはありませんし、新しい手法でもありません。しかし、パスワードの使い回しが今なお至るところで行われており、多くのシステムがログインそのものを正当性の証拠として過度に依存しているため、依然として非常に有効なのです。
そうです。それが問題です。
ある環境でユーザーの認証情報が流出し、別の場所で再利用されると、犯罪者はそれらを大規模に試すことができます。そして一度アカウントに侵入されてしまうと、保存された支払い方法やプロフィールの変更、ロイヤリティプログラムの不正利用、出金処理、個人データへのアクセスなどを通じて、被害は瞬く間に広がってしまいます。
だからこそ、ログインセキュリティのベストプラクティスと強化された認証プロトコルは、侵害が発生した後にこれほど重要になるのです。
不正対策チームとセキュリティチームの両方が、次の点を考慮する必要があります。
- パスワード再利用によるリスク
- ログイン時のデバイスおよび行動の異常
- リスクの高いセッションに対するステップアップ認証
- 公開された侵害事件の後における異常なアクセスパターンの監視
いったん認証情報が漏えいしてしまうと、攻撃の経路が格段に容易になるからです。
プロアクティブな不正対策はどのような姿であるべきか
では、実際の現場では優れたデータ侵害対策の不正防止はどのような姿になるのでしょうか？
それは、不正被害の波が押し寄せてから事の重大さを思い知らされるのを待たないということです。
侵害発生後に講じるべき積極的な不正対策には、次のようなものが含まれます。
- ログイン、プロフィール変更、支払い取引にわたる不正検知のためのシステム監視の強化
- さらされた顧客層に対するアカウント乗っ取り防止対策の一層の強化
- 侵害されたデータに関するリスクシグナルに連動した、より高度なアラート機能
- リスクが高まっている間の、より厳格な復旧およびリセットのワークフロー
- 加盟店での情報漏えいへの明確な対応方針、または不正対策チームを早期に巻き込む全社的なエスカレーション計画
これは、スピードが非常に重要になる分野の一つです。慌てることではありません。大事なのはスピードです。
なぜなら、データが存在していると分かっていれば、損失が実際に出るのを待たなくても、リスクが変化したかのように行動する正当な理由があるからです。
なぜ不正対策チームとサイバーセキュリティチームは連携して動く必要があるのか
これは、このエピソードにおける主要な運用上のテーマの一つです。
金融機関、加盟店、デジタルプラットフォームにおける不正防止は、サイバーセキュリティ担当と不正対策チームが侵害とその不正被害を別々の出来事として扱うのをやめたときに、より効果的になります。実際には、同じ物語が異なる段階で現れているにすぎないことがほとんどです。
それこそが、より多くの組織が自らの中に取り込むべき点です。
侵害が発生すると、脅威モデルは変化します。
それによって認証リスクが変化します。
それは顧客の脆弱性を変化させます。
そして、犯罪者がどれほど積極的にあなたのシステムを試そうとするかにも影響します。
それらの変更がすぐに不正対策チームに伝わらなければ、組織は事実上、攻撃者に先手を取らせていることになります。
それは問題です。
より優れた顧客データ保護戦略には、セキュリティ侵害の封じ込めと不正行為への適応の両方を含めるべきです。そうでなければ、問題の半分しか解決していないことになります。
この出来事から不正対策担当者が学ぶべきこと
では、ここからチームは何を学ぶべきでしょうか？
まず、あらゆる重大な情報漏えいが、遅れてではなく即座に不正に関する疑問を喚起すべきです。
第二に、漏えいしたデータは犯罪者の手にある「生きた不正資産」として扱ってください。まさにそのとおりのものだからです。
第三に、自社が被害を受けた組織でなかったとしても、公表された情報漏えい事件の後には、自社の管理策を見直しましょう。顧客層が被害を受けた人々と重なっている場合、いずれにせよリスクが変化している可能性があります。
いくつかの実務的な優先事項は次のとおりです。
- 大規模な情報漏えいが公表された後は、ログインおよびアカウント復旧の管理を強化する
- クレデンシャルスタッフィング攻撃や異常なアカウントアクセスのパターンに注意する
- セキュリティ、不正対策、およびカスタマーオペレーション間の連携を強化する
- 被害が拡大し始める前に、侵害発生後のアカウントを保護するためのプレイブックを構築する
なぜなら、犯罪者はあなたのインシデントレビューが終わるのを待ってはいないからです。
なぜこのエピソードが重要なのか
このエピソードの本当の焦点は、この先に何が起こるかという点にあります。
はい、このエピソードでは Snowflake のデータ侵害、Evolve Bank の侵害、そして AT\&T の顧客データ漏えいを取り上げています。しかし、より重要なのは、データが盗まれた時点で侵害が終わるわけではないという点です。多くの場合、そこから不正行為の段階が始まるのです。
そして、不正対策チームがその段階を先取りしたいのであれば、より早く、より迅速に行動し、サイバーイベントとのつながりをこれまで以上に明確にする必要があります。
それが重要なポイントです。
データ侵害における不正防止は、単に情報を守ることだけが目的ではありません。漏えいしたデータがどのように再利用されるのか、それがどれほど速くアカウント悪用へとつながるのか、そして組織が侵害対応と不正対応を同じ仕組みの一部として扱うことで、どれだけの被害を防げるのかを見極めることが重要なのです。
なぜなら、攻撃者たちはすでにそうしているからです。
