株式会社NTTデータグループは6月18日、サイバーセキュリティに関するグローバル動向四半期レポート（2024年10月～12月）を公開した。
同社では、顧客やグループ内でのセキュリティ被害抑止を目的にニュースリリースやWebサイト、新聞、雑誌等の公開情報を収集し、セキュリティに関するグローバル動向を調査しており、同レポートはサイバーセキュリティ動向の変化を捉えるために作成している。
同レポートでは注目トピックとして「金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」公開」「2024年末に起きた複数企業を標的としたDDoS攻撃」を、脅威情報として「ドメインドロップキャッチから「Google認証連携」を不正利用する攻撃手法」「NFCタッチ決済を悪用した攻撃」を取り上げ、解説している。
・金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」公開
金融庁が2024年10月に公表したサイバーセキュリティ強化のための新ガイドラインでは、対象組織を銀行と保険会社だけでなくFinTech事業者などへも拡大した他、組織特性に応じたリスクベース・アプローチの採用、経営陣の主体的関与の要求、セキュリティ人材の育成強化、サードパーティリスク管理の徹底、脆弱性対策の具体化、ゼロトラスト概念の導入、セキュリティ・バイ・デザインの奨励などの特徴がある。
・2024年末に起きた複数企業を標的としたDDoS攻撃
日本の航空会社や金融機関、通信事業者などに対し2024年末から2025年初頭にかけて行われた大規模なDDoS攻撃は、複数のDDoS攻撃手法を組み合わせた混成型で、年末年始という利用者が集中する時期を狙った点が特徴で、SYN、ACK、UDPなどのフラッド攻撃やDNSを狙った攻撃、HTTPフラッド攻撃が含まれていた。世界各地の300台超のIoT機器がボット化され、絨毯爆撃型のDDoS攻撃に利用されたことで、予約システムやネットバンキング、決済サービスなどに深刻な障害が発生している。
・ドメインドロップキャッチから「Google認証連携」を不正利用する攻撃手法
攻撃者は企業や組織が手放したドメインを取得後に元の組織と同じメールアドレスを作成し、Google WorkspaceのアカウントとSaaSを連携させることで、正規ユーザになりすまして、企業や組織のSaaSへ不正アクセス、ChatGPT、Slack、Notionなどの多くのSaaSサービスから個人情報や機密情報を窃取するおそれがある。
・NFCタッチ決済を悪用した攻撃
2024年11月に報告された「Ghost Tap」というNFCタッチ決済を悪用した新たな攻撃手法では、攻撃者がフィッシングでクレジットカード情報を窃取して、自身のスマートフォンへ登録し、その後、NFCリレーツールを使って協力者のスマートフォンに決済情報を中継して、不正な決済を行う。NFCリレーによる匿名性の高さと協力者の確保の容易さが特徴で、被害者がすぐに不正利用に気づかないことが多く、協力者や攻撃者の追跡が困難。
同レポートでは「マイナンバーカードの電子証明書更新を狙ったフィッシング詐欺の増加」を予測している。マイナンバーカードの電子証明書の更新は5年で、マイナポイント制度が始まった2020年9月からマイナンバーカード作成者が急増加したため、ちょうど5年目となる今年は更新者が多く、サイバー攻撃者は、この大量の更新者による電子証明書の更新を狙って、フィシング攻撃等行うおそれがあるとしている。
