ブログ

アシュリー・マディソンはサイバーハッキングの新たな暗い段階を象徴している

ゲイリー・ニューサムネイル
ゲイリー・ニュー
2015 年 9 月 4 日公開

7月下旬、オンラインデートサイト「アシュリー・マディソン」の所有者であるAvid Life Media（ALM）は、大規模なデータ侵害の被害に遭い、数百万人のアシュリー・マディソンユーザーの個人情報や身元が漏洩した可能性があることを認めた。

1か月後、インパクト・チームとして知られるハッカー集団が約3,200万人の顧客の名前、住所、電話番号、クレジットカード取引の詳細を公開し、同社の懸念（ユーザーの懸念は言うまでもない）が現実のものとなった。 この情報は、「ダークウェブ」を通じて公開された。ダークウェブとは、特別なTorブラウザとOnionルーターを使ってのみアクセスできる、インターネットの半匿名化された一角である。 当然のことながら、データにアクセスする方法についての指示が登場し、続いてタブロイド紙には、パートナーの詳細を発見した人々の記事が大量に掲載された。 さらに報道では、漏洩は内部犯行だったという非難や、多くの人が実際にサイトをどのように、あるいはなぜ利用しているのかという社会的に深い反省も含まれている。

ダークサイド

しかし、サイバーセキュリティの観点から見ると、アシュリー・マディソンは、サイバー攻撃の新たな暗い局面を示す、これまでで最も注目を集める例である。 サイバー犯罪者は、単に混乱や恥辱を引き起こしたり、ちょっとした自己宣伝をしたりしようとするのではなく、身代金目的でハッキングを行うことが増えています。 7月初旬、映画ストリーミングサービス「Plex」がハッキングされ、攻撃者は同サービスから金銭を引き出そうとした。 1か月前、中国銀行と東アジア銀行の両行がDDoS攻撃の被害に遭い、ハッカーらは多額のビットコインを支払わなければ攻撃を延長すると脅迫していた。

インパクトチームは、この攻撃はアシュリー・マディソンの背後にある企業に対する士気をくじく攻撃のようなものだと主張している。 ハッカーらによると、ALMは2014年に完全削除サービスから170万ドルの収益を上げており、このサービスではユーザーは1回19ドルを支払うだけでサイトの利用履歴や個人情報を削除できるという。 インパクトチームは、これは事実ではなく、ユーザーの支払い詳細は引き続きアクセス可能であると主張している。

32億ドルの価値がある質問ですか?

しかし、ハッキングのより可能性の高い理由は、盗まれた情報が非常に機密性が高く、その価値がどれだけの金銭に及ぶかということである。 ダークウェブにデータが漏洩した 3,200 万人の個人が、そのデータを削除するために 100 ドルを支払う意思があるとしたらどうでしょうか? 計算してみれば（計算したくないなら、賄賂収入は32億ドルという途方もない額になるかもしれない）、Ashley Madisonのハッキングのような侵害がいかに強力であるかがはっきりとわかる。

それで、これは企業にとって何を意味するのでしょうか? 簡単に言えば、サイバーセキュリティについて真剣に、そして迅速に取り組む必要があるということです。 Ashley Madison とそのサービスに対するあなたの意見に関わらず、このハッキングは、企業が有料顧客のデータを保護する上で直面する広範な課題の一例であり、将来の収益にも影響を及ぼすことが想定されます。

多くの企業は、急速に進化するセキュリティの脅威に対処するために、ポリシーと保護を迅速に変更できていません。 まだ標的にされていないのであれば、あなたは幸運です。 組織が今すぐ行動を起こさなければ、ハッカーはシステムを侵害してデータを盗む新しい方法を見つけ続けるでしょう。  

ハッカーに先んじる

残念ながら、ハッカーから身を守るための特効薬はありません。 ただし、組織はまず、何を保護しようとしているのか、ハッカーが何を侵害しようとしているのかを検討することから始める必要があります。 こうした攻撃のベクトルはますますマルチスレッド化しています。 たとえば、DDoS 攻撃が進行中の場合、ハッカーがデータにアクセスするために他の場所でapplicationsを標的に攻撃している間に、セキュリティ チームと IT チームの注意をそらすように設計されていることがよくあります。 これらの攻撃の通常の焦点領域はapplicationsであり、ハッカーはapplicationロジックやそのapplicationsを使用する人々を悪用する可能性があります。

アシュリー・マディソンをめぐる道徳的議論はさておき、焦点はハッカーが企業をますます支配するようになり、その過程で個人の自由や匿名性の権利を侵害していることに置かれるべきだ。 こうした攻撃が毎週、あるいは毎日のように起こるのを防ぐには、セキュリティ業界とあらゆる分野の企業が協力してハッカーに先手を打つ必要があります。