米国におけるデータ侵害：2023年 1月〜9月期の 2116件は昨年の合計を上回る

US Smashes Annual Data Breach Record With Three Months Left

2023/10/12 InfoSecurity — ITRC (Identity Theft Resource Center) によると、2023年1月〜9月期に報告された米国のデータ漏洩は 2116件 であり、Q4 を残して過去最悪の年となっている。この非営利団体は、米国で公に報告された情報漏えいを追跡調査している。2023年 Q3 にはデータ漏洩が 733件発生し、Q2 と比べて 22％ 減少した。しかし、この相対的な落ち込みがあるにしても、2021年に記録された 1862件 という、これまでの最悪のレベルを超えるには十分なものであった。

ただし、一連の侵害で推定される被害者数は 2億3,400万人であり、昨年の 4億2,500万人を大きく下回っていると、ITRC は述べている。

2023年 Q3 において、侵害の原因として最も一般的だったものは、依然としてサイバー攻撃である。また、最も一般的な攻撃ベクターはフィッシング攻撃であり、それに続くのが、ゼロデイ・エクスプロイト／ランサムウェア／マルウェアである。 ITRC によると、特に増加傾向にあるゼロデイ攻撃は、2023年 Q1〜Q3 の合計が、2022年全体と比べて 1620％ も増加したという。

この期間において、依然としてサプライ・チェーン攻撃は大きな脅威であり、1,321 の組織が報告した侵害において、 87 のサードパーティに対する攻撃が関連していたという。また、その多くは Clop ランサムウェア・ギャングが標的にした、MOVEit ソフトウェアである。

実際のところ、ITRC は、2023年 Q3 に発生した、大規模な侵害の上位 10件のうち４件が、MOVEit キャンペーンによるものだと述べている。

ITRC の CEOである Eva Velasquez は、2023年を通じて観測された数字は、驚くべきものではないと述べている。

Velasquez は、「データ漏洩の増加には、ゼロデイ攻撃の急激な増加から、新たなグループが犯罪 ID 市場に参入して作り出した、ランサムウェア攻撃の新たな波にいたるまで、いくつかの理由がある。これまでにおける、年間データ漏洩件数の記録を更新したが、どれくらいの差があるのかという疑問が残る。持続的な懸念は、侵入された組織における透明性の欠如である。ITRCによると、報告された侵害の 53％ では、攻撃のイニシャル・ベクターについて、何の説明もなかった」と述べている。

米国におけるデータ侵害の状況を、ITRC (Identity Theft Resource Center) という非営利団体が調査した結果が、レポートとして提供されています。Wikipedia で調べてみたら、「ITRC は、消費者／企業／政府機関／政策立案者などの組織に対して、個人情報の盗難や不正行為の検出／削減／軽減に関するベスト・プラクティスを教育する。 また、サイバー・セキュリティ／データ侵害／ソーシャルメディア／詐欺などにおける、アイデンティティ問題の傾向に関する客観的な国家リソースとして機能する」と記されていました。