ブランド、ビジネス、詐欺

フィッシングや詐欺は、ほとんどの場合（そして残念なことに）、金融業界や銀行業界と関連付けられています。  

詐欺とは、策略、欺瞞、偽り、悪知恵の別名です。 そして、これらはまさに、攻撃者が企業ユーザーから認証情報を毎日入手する手段なのです。 フィッシングや、単純なブラウジング行為によって企業資産に埋め込まれたマルウェアを通じて。 ああ、わかっています。企業ユーザーにはそういったサイトを閲覧させないんですね。 しかし、子供たちに BBC を閲覧させますか? ニューズウィーク？ ニューヨークタイムズ？ MSNはどうですか？ いずれも最近、マルバタイジングの被害者となった。マルバタイジングとは、悪意のある人物がトップクラスのサイトを利用して、オンライン広告会社を通じてマルウェアを含んだオンライン広告を配信する行為である。 ああ、もちろん、ウイルス対策ソフトウェアは実行されています。 しかし、 「非常に成功するマルウェアの 5 つの習慣」によると、実際のマルウェアのうちウイルス対策ソフトで検出されるのはわずか 25% です。 フィッシング攻撃の兆候を認識するよう従業員に指導する「セキュリティ意識向上」セッションを何度も実施したことがあるでしょう。 しかし、被害者の約50%は、メールを受信してから1時間以内にメールを開いてリンクをクリックします。

ここで忘れてはならないのは、悪意のある人物がフィッシングやマルウェアに大きく依存している金融機関に、職場から人々がアクセスしているということです。 IDC の調査によると、職場でのインターネット アクセス時間の 30 ～ 40% は仕事以外の活動に費やされています。 そのため、F5 SOC は、フィッシング攻撃が週末よりも平日の方が大幅に多く、月曜日がフィッシング攻撃に非常に人気がある日であることを発見しました。 従業員が月曜日の朝に外出して銀行業務をしていて、金融認証情報を盗み出すことを目的としたフィッシング攻撃の被害に遭った場合、攻撃者は企業の認証情報も入手する可能性が高くなります。 AV ではすべてを検出できるわけではなく、フィッシング攻撃の被害者になる人が依然としているからです。 こうした企業の資格情報は、他の資格情報と同様に、つまり非常に簡単に市場で販売できます。

さらに、社外から SSL VPN やその他の「保護された」ポータルを介して企業資産にアクセスする従業員もいます。 現在ブラウザに潜んでいるマルウェアは、企業関連の認証情報を取得するのか、それとも消費者関連の認証情報を取得するのかをあまり気にしません。 それらはすべて攻撃者にとって価値のあるものであり、攻撃者がそのデバイスを感染させるためにあらゆる努力を払った限り、入手できるものはすべて入手してしまえばよいのではないでしょうか。

現実には、「詐欺」は金融や銀行に特有のものではありません。 ああ、彼らは最も大きな打撃を受け、最も直接的な影響を被っています。なぜなら、悪者は私たち全員のために管理するよう依頼されたお金を狙っているからです。 しかし、過去数年間に起きた「大規模な」侵入事件のいくつかを思い出すと、そのほとんどは、資格情報の盗難という単一の根本原因に帰着します。

認証情報は、フィッシングやマルウェアによって直接盗まれたか、または従来の検出システムをすり抜けて悪意のある人物にネットワークへの容易な侵入口を与えたトロイの木馬によって盗まれた可能性があります。 そこから、データが目標となることがほとんどです。 顧客データと企業データも同様です。 次に気がつくと、バン！ 「今週のあなたのデータを保護できなかったのは誰でしょう？」マガジン*の表紙にあなたが登場します。

その侵害に対処するためのコストは、技術的および運用上のコストをはるかに超えます。

ブランドとビジネスへの影響

ああ、もちろん復旧と清掃の費用もかかります。 リソースは、フィッシング攻撃が一度成功したことで発生したマルウェアやバックドアのインスタンスをすべて根絶するために再割り当てされます。 ドライブバイダウンロードやマルバタイジングによって侵入したものを排除するため、デスクトップは消去され再インストールされます。  IT 部門とビジネス部門全体で生産性が大幅に低下し、収益が減少します。

そして、ブランドの影響力が発揮されるのです。 Twitter では怒りの感情が溢れています。 これまで純粋だったあなたのブランドは、小学校で最初の冬の風邪が流行するよりも速く広がる嘲笑的なミームに変わります。

デスクトップがクリーンになり、より強力な保護が導入されると、侵害の余波がブランドの評判に打撃を与え続けるため、その問題に対処する必要があります。 最近の調査によると、半数以上 (57%) の組織が、セキュリティ インシデントが自社の評判に悪影響を及ぼし、中小企業では 8,000 ドル以上、大企業では 20 万ドル以上の損害を被ったことを認めています。 そのコストの一部は、回答、質問への回答、進め方に関するアドバイスなどに対する膨大な需要に対応するために外部機関を雇うことから生じます。 その一部は、個人情報盗難保護（63%）、信用監視サービス（58%）、現金、製品、またはサービスの形での補償（67%）を提供するという消費者の期待に応えるために発生したコストから生じています。

その理由の一部は、顧客を失うことに起因しています。なぜなら、結局のところ、ブランドは消費者の購買決定において重要な要素だからです。 価格は通常、第一に挙げられますが、価格の考慮はブランドの評判と相対的であることがわかります。 消費者は評判の良いブランドにはより多くのお金を払うので、侵害が発生した後はできるだけ早くブランドを修復することが必須となります。

しかし、被害は消費者に限定されるわけではありません。通常、私たちはまず消費者に注目します。 採用にも影響が出ていることが判明しました。 適切な人材を引き付けるには費用がかかりますが、 「雇用主ブランドのグローバル トレンド」レポートでは、優れた雇用主ブランドでは採用費用が 22% 低いことが報告されています。 それは、まず第一に才能に興味を持ってもらえるかどうかという前提です。 同じ調査によると、採用候補者の 45% が、新しい仕事を選ぶ際に、自分が勤務する会社に対する他人の認識を「重要」な要素として挙げていることがわかりました。 ブランドは、人々が組織で働きたいと思うかどうかに影響を与えるため、違反は、今日の成功に必要な人材を引き付ける（そして場合によっては維持する）能力に悪影響を及ぼす可能性があります。

ウェブ詐欺への対処

幸いなことに、フィッシングやマルウェアの脅威に対処するツールが存在します。 たくさんあります。 これらは一般に「詐欺対策」として分類され、金融や銀行、その他の金銭をベースとした業界の文脈で言及されています。 しかし、これらのソリューションは金融や銀行に特有のものではありません。これらの業界が顧客とやり取りする方法には、詐欺対策がそれらの業界を保護するためだけに適用されるような魔法のようなものは何もありません。なぜなら、詐欺対策の真の目的は、 Web詐欺、つまり Web アプリやテクノロジーを使用して個人を騙し、欺き、認証情報を引き渡すよう強要することを防ぐことだからです。 

Web 詐欺ソリューションは、最終的に攻撃者がセキュリティを侵害するのを助ける資格情報の盗難を探し出して防止します。 彼らが現金を狙っているのか、データを狙っているのかは関係ありません。一度認証情報を収集し始めると、企業向けか消費者向けかを問わず、あらゆる認証情報を収集することになります。 従業員が侵害されたマシンを使用して企業リソースにアクセスすると、悪意のある人物は他のすべての情報とともに企業の認証情報も入手します。 そして、それはあらゆる業界の企業にとって懸念事項となるはずです。

* 実際の出版物ではありませんが、過去数年間の侵害の連続を考えると、出版物が必要であるように思えます。