シマンテックは12月12日、「2019年セキュリティ動向の予測」に関する記者説明会を開催した。説明会では、Symantec 太平洋地域および日本担当CTO（最高技術責任者）のNick Savvides氏が、2018年の傾向を踏まえ、2019年に注意すべきセキュリティ分野や攻撃を紹介した。

同氏は、グローバルの脅威予測とアジア・パシフィック地域に関する予測をそれぞれ紹介した。

  • Symantec 太平洋地域および日本担当CTO（最高技術責任者） Nick Savvides氏

2019年グローバルの脅威予測

Savvides氏は、2019年グローバルの脅威予測として、以下の7点を挙げた。

  1. IoTデバイスが普及したことで、大規模なDDoS攻撃がさらに危険な攻撃につながる
  2. 通信中のデータ窃取がさらに進化する（IoTデバイスやルータの侵入）
  3. 5Gネットワークの配備と導入が進み、 ブラインドスポットが狙われる
  4. 攻撃者は、人工知能（AI）システムに侵入し、 攻撃としてAIを悪用する
  5. 防御の立場から、AIは脆弱性を見極めて反撃するためのアイテムとしても活用される
  6. サプライチェーンを悪用する攻撃が、 質・量ともに増加する
  7. セキュリティとプライバシーの意識向上に伴って、立法や規制活動が進む

「通信中のデータ窃取」については、消費者と企業とに分けて考える必要がある。消費者の場合、ルータやIoTデバイスを接続したホーム・ネットワークを乗っ取られるおそれがある。一方、企業の場合、さまざまなセキュリティ対策が導入されていたり、データが暗号化されていたりするため、データが窃取される可能性は低い。そのため、Savvides氏は「企業においては、どのシステムからどのシステムにデータが送信されているかなど、データの流れをモニタリングすることで、攻撃の精度を高めようとすることが考えられる」と指摘した。

「5G」についてはさまざまな実証実験が行われており、来年はさらに取り組みが進むことが予想される。Savvides氏は、「5Gは帯域が広くなるため、ルータを介すことなくデバイスが直接ネットワークにつながるようになる。これまでは、ルータを介すことでデバイスを管理できていたが、5Gの利用が拡大するとこれが難しくなる。このシフトは大きなもの」と、5Gによってセキュリティのリスクが高まることを指摘した。

「AI」は既に攻撃者によって悪用されているが、2019年はAIシステムに侵入して、攻撃にAIを悪用することが見込まれるという。まず、AIシステムはまだ新しい分野であるため整備されておらず、脆弱性を抱えている可能性があり、攻撃者はこれを突くことが予測される。また、攻撃者はAIを用いて攻撃に使うためのデータをSNSなどから収集することが考えられるという。Savvides氏はその例として、スピア・フィッシングを挙げた。

Savvides氏は、「AIでデータを収集して、それをもとに攻撃用のメールを作成することで、攻撃者は生産性を上げることができる」と説明した。

  • 攻撃にAIを悪用するだけでなく、AIを狙う攻撃者が増えることが予想される

製品やサービスが消費者に届くまでの過程でマルウェアを感染させる「サプライチェーン攻撃」について、Savvides氏は「2018年のホット・トピックだったが、今後もこの状態は続く」と述べた。

米Bloombergが今年10月、Supermicroのサーバ用マザーボードにスパイチップが埋め込まれ、米国企業のデータセンターで利用されていたと報道したが、Savvides氏は「ハードウェア以上にソフトウェアスタックのほうが脆弱」と指摘した。

  • サプライチェーン攻撃において、ハードウェアよりもソフトウェアのほうが脆弱

アジア・パシフィック地域に関する脅威とトレンド

アジア・パシフィック地域に関する脅威とトレンドの予測としては、以下の

  1. プル要因によってサイバー犯罪者が引き付けられ、 日常的にヘルスケア、病院、健康情報、消費者向け健康デバイスが攻撃を受けるようになる
  2. クリプト戦争が第3フェーズに突入し、 裁判所での法の検証に伴い激化する
  3. ディセプション技術が台頭し、新たな課題となる
  4. 企業における IoTは、ITとOTの融合を推し進めた結果、レガシーシステムが露呈 することになる
  5. エッジの復活
  6. DevOps、NetOps、SecOps、DevSecOps、 NetSecOps は挫折を続ける
  7. 業界脅威の共有は、 金融サービス分野にとどまらない
  8. 国民国家とセキュリティ連合が公然になる
  9. 責任感と目立つ攻撃によって、経営陣 のサイバー意識が向上する
  10. 生き残りをかけた統合が進む

「ディセプション技術」とは、攻撃者をおびき寄せる「ハニーポット」などのだます技術を指す。今後、ディセプション技術がホットな技術になることが予想されるが、その代わりに、攻撃者はディセプション技術が関わるところを避け、これまでは狙われていなかったようなところが攻撃されるといった新たなリスクが生まれるという。

「エッジ・デバイスでコンピューティング処理が行われるようになると、新たな脅威ベクトルが生まれる。エッジはブラックボックスのようであり、安全性の確保が難しい」とSavvides氏は説明した。

また、2019年は、金融業界に加えて、他の業界でも業界ベースの脅威の共有がスタートするという。Savvides氏は、「国でいうなら日本、オーストラリア、シンガポールといった先進国、業界では製造業や電力で先行することが予想される」と説明した。