Positive Technologies 調査：製造業への攻撃が倍増している

Industrial Companies At Risk As Attacks Double

2021/09/17 CyberSecurityIntelligence — Positive Technologies のエンタープライズ・セキュリティ専門家によると、2020年におけるサイバー脅威を広範に分析した結果、2019年と比較して、産業系製造業への攻撃が 91% 急増し、マルウェア関連の攻撃が 54% 増加したことが明らかになった。産業系製造業では、自動化の導入に伴い、これまで以上にデジタル化が進んでいる。IIoT (Industrial Internet of Things) により、人工知能／クラウド／ロボット工学などが工場に導入されている。

サイバー・フィジカル・システムは、オペレーション・システムや情報システムなどの、サプライチェーンのあらゆる側面を統合できるようになり、時代遅れのサイロ化された機械を置き換えている。これらの新技術を活用した工場は、スマート・ファクトリーと呼ばれ、専門家の間では Industry 4.0 と呼ばれている。 スマート・ファクトリーでは、生産段階での効率化／ミスの少ない高品質な製品／作業プロセスの柔軟性などが、デジタル技術により実現されるため、製造業にとって大きな助けとなるだろう。

Positive Technologies の調査によると、外部からの攻撃者は、これらすべての組織の企業ネットワークに侵入することが可能であり、いったん侵入すると 100％ のケースでユーザー資格情報を取得し、インフラを完全に制御できる。これらのケースの 69％ で、外部の攻撃者は、パートナーや従業員に関する情報や、内部文書などの機密データを盗み出せる。

同社のレポートは、「産業系製造業は、その規模の大きさや、ビジネスプロセスの重要性、社会や生活に与える影響力などから、犯罪者を惹きつける。情報セキュリティ専門家の使命は、産業インシデントが日常化しないようにすることだ。そのためには、許容できない事象を特定し、サイバー攻撃により、そのような事象が発生しないような、情報セキュリティ・レベルを実現することが重要だ」と述べている。

さらに、Positive Technologies のペネトレーション・テスト担当者は、75% の組織のネットワークにおける、技術的セグメントに試験的にアクセスした。その結果、56％ のケースで Industrial Control Systems (ICS) へのアクセスが可能になった。悪意の行為者が ICS コンポーネントにアクセスすると、生産ライン全体の停止や、機器の故障、産業事故の誘発などの、深刻な損害や死亡事故を引き起こす可能性が生じる。

Positive Technologies は、これらの組織が、ハッカーに対して脆弱になるには、さまざまな要因があると述べている。たとえば、最近の Positive Technologies パイロット・プロジェクトでは、それぞれの産業系製造業の内部ネットワークで、多数の疑わしいイベントが発見されている。

あるケースでは、Positive Technologies の研究者たちが、外部クラウド・ストレージへの Remote Desktop Protocol (RDP) 接続を登録し、RDP と HTTPS を介して、このストレージのアドレスに 23GB のデータを転送することに成功した。また、研究者たちが指摘するのは、この産業では古いソフトウェアが使用されていることが多く、リモートアクセス認証フォームにユーザー名／パスワードなどの接続パラメータを保存していることが一般的である。したがって、そのようなコンピュータを攻撃者が制御できるようになると、認証情報なしで孤立したセグメントのリソースに接続できるという点である。

彼らは、「近年における工業分野は、ハッカーにとって極めて魅力的になっている。攻撃のシナリオは複雑になり、その成功率も上がっている。その一方で、企業は標的型サイバー攻撃を、自力で検知できないことが多い。この産業分野を保護するためには、どこよりも重要なシステムをモデル化して、そのパラメータをテストし、ビジネスリスクの確率を検証し、脆弱性を探すことが必要だ」 と報告書で述べている。

Positive Technologies のレポートが参照元とされていますが、リンクが無かったので調べたところ、9月1日に公開された、Information Security Risks at Industrial Companies が見つかりました。この Positive Technologies ですが、本拠地はロシアのモスクワのようです。眺めてみた限りでは、調査対象が明らかではありませんが、ベネズエラやホンダの例が挙げられているので、グローバルなのだと思います。なかなか基調で、興味深い資料です。