高まる波に注意：攻撃のうねりに揉まれる金融サービス
金融サービス業界は世界経済の基盤であり、成長と発展を支えています。しかしながら、きわめて重要であるがゆえに攻撃者から第一の標的として狙われています。これらの脅威アクターには、主に金銭的利益を目的としたランサムウェアグループ（CL0P、LockBitなど）や、政治的なつながりを持つ可能性があり、金融機関の機能を妨害することを目的としたハクティビスト（BlackCat [ALPHV]、REvilなど）が含まれます。 攻撃の影響は広範囲に及ぶこともあり、グローバルな金融システムにおける信頼を損なう可能性があります。
こうした現状を背景に、金融サービス業界に対する攻撃はますます増加しており、その対象は銀行や決済処理業者から投資会社、金融テクノロジー（フィンテック）企業まで多岐にわたります。
この脅威の状況について解説し、金融サービス組織が自社を保護するためにどのような対策を講じることができるかを掘り下げた、Akamaiによる最新のインターネットの現状（SOTI）レポート「高まる波を乗りこなす：金融サービス業界の攻撃トレンド」を公開しました。レポートに記載されている主な調査結果は次のとおりです。
金融サービスは、最も頻繁にレイヤー3および4の分散型サービス妨害（DDoS）攻撃の標的にされた業界でした。イスラエルとハマスの紛争、ロシアとウクライナの戦争といった地政学的緊張により、ハクティビストの活動が急増しています。
デジタルサービスやAPI（特に文書化されていないシャドウAPI）の利用増加がアタックサーフェスの拡大を招き、金融機関ではレイヤー7のDDoS攻撃に対する脆弱性が高まっています。
金融サービス業界は、フィッシングやブランドなりすましといったスキームの最大の標的となっています。フィッシングサイトは、金融機関になりすました疑わしいドメインの68%を占め、アイデンティティ窃取やアカウント悪用の増加を引き起こしています。
DDoS攻撃の主要な標的
金融サービス業界は、レイヤー3およびレイヤー4（ネットワーク層およびトランスポート層）を標的としたDDoS攻撃の件数において、2年連続で他の業界を大きく上回っています（図1）。
図1：金融サービスはレイヤー3および4のDDoS攻撃の発生件数が最も多い
地政学的緊張とその結果生じるハクティビスト活動は、DDoS急増における主要な要因となっています。たとえば、ウクライナと関係のある欧州の銀行には攻撃が集中しており、これを開始したのは親ロシアの攻撃者だと推定されます。
また、最近では中東の金融機関に対してもDDoSハクティビズムの攻撃が激化するとともに、レイヤー7へのDDoS攻撃も増加しています。増加を後押しするもう1つの要因は、仮想マシン（VM）ボットネットをはじめとする技術の進歩であり、これがDDoS攻撃者の能力を大幅に向上させています。
さらに、デジタルサービスやAPIの利用増加に伴いアタックサーフェスが拡大しており、攻撃者が悪用できる脆弱性が増えています。特に懸念されるのは文書化されていないシャドウAPIであり、こうしたAPIへの保護は往々にして不十分です。また、金融サービス機関は進化するコンプライアンス要件と規制要件を満たすためにAPIを導入しており、こうした潜在的なエントリーポイントを保護する作業がさらに複雑になります。
頻度と強度が一致するとは限らない
金融サービスに対するDDoS攻撃に関する調査から、重要な知見を得ることができました。それは、イベントの頻度と攻撃の強度が必ずしも相関するとは限らないということです。攻撃がほとんど見られなかった期間が数か月ありましたが、その期間のGbpsデータはトラフィックの急増を示しています。これは、DDoS攻撃を評価する際には攻撃の頻度と規模の両方を考慮する必要があることを強調しています。
ブランドの悪用とブランドのなりすまし
金融サービス業界では、金融機関と顧客の信頼関係を悪用するフィッシングやなりすまし詐欺などのブランド悪用が増加しています。調査によると、驚くべきことに、ページ訪問者の30%がフィッシングサイトやブランドなりすましサイトに誘導されていることが判明しました。Akamaiが監視している疑わしいサイトの数から考えて、金融サービスは最もなりすましの多い業界と言えます。
サービスプラットフォームやツールキットとしてのフィッシングの出現により、サイバー犯罪者が侵入する際の障壁が低くなり、金融サービスやその顧客に対するフィッシング攻撃の規模が拡大して深刻化しました。実際、2023年8月から2024年7月までに特定されたフィッシングページの68%が、金融機関とその顧客を標的としています（図2）。
図2：金融サービス業界で記録された不審なドメインのうち68%がフィッシングページであり、これは他業界の合計を上回る
ブランドの悪用は、アイデンティティ窃取やアカウント悪用など、さまざまな犯罪行為を引き起こす可能性があります。組織は、評判の失墜、コンプライアンスや法律上の問題、さらには偽造品に起因する売上損失などにより、多額の財務上の損失を被るかもしれません。正規の金融機関を模倣した詐欺的なWebサイトの恐ろしいほどの多さと、元のサイトがオフラインになった後に攻撃者が新しいドメインを作成するスピードが特に懸念されます。
コンプライアンスとレジリエンス
SOTIレポートには、金融サービス情報共有分析センター（FS-ISAC）のGlobal Head of IntelligenceであるTeresa Walsh氏による寄稿コラムが掲載されています。この記事では、現代の脅威に直面する中、コンプライアンスの強化と運用レジリエンスの向上が不可欠であると指摘しています。デジタル・オペレーショナル・レジリエンス法（DORA）などの新たな規制や、SECのガイドライン改定により、金融サービスにおけるサイバーセキュリティへの包括的な取り組みの必要性が高まっています。その中で求められるのは、重大なリスクを特定して優先順位を付け、その結果を組織のリスク管理フレームワークに組み込み、堅固なインシデント対応計画を確実に策定することです。
Walsh氏は、脅威の状況がますます不安定になる中で事業のレジリエンスを確保し、顧客の信頼を維持するためには、プロアクティブな姿勢がきわめて重要であると指摘しています。
高まる脅威に対抗する
増加するサイバー脅威から金融機関を保護するためには、多面的なアプローチが不可欠です。今回のSOTIレポートでは、フィッシングやブランドのなりすまし、DDoS攻撃、ランサムウェアによるリスクを軽減するための実用的なヒントについて考察しています。
また同レポートでは、レジリエントなセキュリティポスチャを維持するために、ゼロトラスト・フレームワークの導入が重要であると指摘しています。このアプローチは、いかなる接続要求、ユーザー、デバイスも脅威である可能性があるという原則に基づいて機能します。暗黙の信頼を排除し、継続的な検証を実施することで、認証および許可されていない場合はデフォルトでリソースへのアクセスを拒否します。さらに、ゼロトラストはセグメンテーションとマイクロセグメンテーションによってインフラ内のラテラルムーブメント（横方向の移動）を防止し、攻撃の影響を受ける範囲を狭めて機微な情報を保護します。
脅威を理解することが最初のステップ
金融サービス業界において顧客とのやりとりをデジタル化する流れは加速する一方であり、こうしたやりとりを悪用しようとするサイバー脅威もまた、増加していきます。 効果的な緩和戦略を実施することは、金融機関とその顧客の保護だけでなく、規制へのコンプライアンス維持のためにもきわめて重要です。脅威の性質と範囲を完全に理解することは、増加するサイバー脅威に対処するうえで欠かせないステップです。
さらに詳しい情報
この調査結果の全文をご覧になるには、最新のインターネットの現状（SOTI）レポート「高まる波を乗りこなす：金融サービス業界の攻撃トレンド」をぜひダウンロードしてください。
