Coronavirus Malware: Cyber Threats Rising

トピック

Threat Detection, サイバーセキュリティ, Phishing Resistance, セキュリティ

要約

新型コロナウイルス感染症（COVID-19）のパンデミックが始まって以来、サイバー犯罪者はその活動を劇的にエスカレートさせています。社会の不安、リモートワークの脆弱性、健康に関する不確実性などを悪用し、フィッシングキャンペーン、ランサムウェア攻撃、マルウェア感染、ダークウェブ詐欺などを仕掛けています。ヘルスケア組織、金融機関、そして一般ユーザーのすべてが、格好の標的となっています。こうした脅威から防御するには、強力なパスワードの衛生管理、多要素認証、従業員教育、定期的なソフトウェアのパッチ適用、安全なデータバックアップといった多層的なアプローチが必要です。

サイバー脅威情勢とCOVID-19の影響

マルウェア、ランサムウェア、フィッシング攻撃、およびソーシャルエンジニアリング戦略といったサイバー脅威は、COVID-19の発生以来増加しています。人々がオンラインで生活する時間が増えているため、デジタル環境は変化しています。このような変化に伴い、悪意のある攻撃者も、新しい複雑なサイバー犯罪の手口で進化しています。これらの攻撃がどのようなものかを知っておくことは、攻撃を防ぎ、阻止するための最良の方法を見つけるのに役立ちます。パンデミック中のサイバー脅威に対する防御には、攻撃を防ぎ、阻止するための優れたサイバー衛生とセキュリティ慣行を備えた多面的なアプローチが必要です。

パンデミック中にサイバー攻撃が急増した理由とは？

FBIに寄せられるサイバーセキュリティ関連の苦情は、パンデミック以前と比較して400％急増しています。新型コロナウイルスの感染拡大前は1日あたり約1,000件でしたが、現在は1日あたり4,000件近くに上ります。世の中に不確実性が生じると、犯罪者はそれに乗じて、人々の不安やオンライン上のトレンドの変化によって生じる潜在的な弱点を悪用しようとします。パンデミックによって人々の不安が高まり、その結果サイバー攻撃の範囲と件数が増加し、攻撃の成功率も高まっています。

リモートワークによってサイバーセキュリティの脆弱性が高まった理由

在宅勤務の普及に伴い、ネットワークのセキュリティが不安定になり、サイバー攻撃に対する脆弱性が高まる可能性があります。さらに、銀行取引や買い物を行い、オンラインでより多くの用事や取引を済ませる人が増えています。つまり、より多くの財務情報や個人情報がデジタル形式で保存されるようになり、ハッカーやサイバー攻撃に対して脆弱になっているということです。パンデミック下で巧妙化するサイバー脅威は、ヘルスケア組織、金融サービス、小売業務、行政機関を標的にしています。詐欺師はまた恐怖心につけ込み、偽のコロナウイルス関連メールやWebサイトを利用してサイバー犯罪を行っています。

新型コロナウイルスの感染拡大期に、サイバー脅威はどのように変化したのでしょうか？

公衆衛生上の危機に当局の注意が向けられるなか、国際刑事警察機構（インターポール）は、サイバー防御が手薄になる可能性もあるため、サイバー犯罪者がこの状況を悪用していると警告しています。サイバー犯罪者は、主要な担当者が別の問題への対応に追われている隙を狙って、システムやネットワークへのアクセスを試みます。

パンデミック下でソーシャルエンジニアリングの手口はどう変化したか

パンデミックの初期には、COVID-19関連の情報を利用してユーザーを誘い込むソーシャルエンジニアリングの手口が使われていましたが、現在ではコロナ禍の求人情報や学校関連の最新情報へと手口が変化しています。例えば、学校がより詳細な情報を求めるようになるにつれて、偽の健康調査もより多くの情報を要求するようになっています。また、パンデミックによって多くの失業者が生まれ、新たな就職の機会を求める人が増えています。これにより、詐欺師は別の手口を使えるようになります。新しい仕事の機会に関する情報があると謳う詐欺メールは、一般的なフィッシングの手口です。

ヘルスケア組織が特にサイバー犯罪の標的になりやすい理由とは

ヘルスケア組織や病院は、コロナウイルスに起因するサイバー犯罪の増加により、その主な標的となっています。CISA（Cybersecurity & Infrastructure Security Agency）の報告によると、個人の医療データはダークウェブ上で金融データの最大20倍もの価値があり、医療・公衆衛生（HPH）セクターはサイバー犯罪の主要な標的となっています。ヘルスケア業界ではランサムウェアによる被害が拡大しています。医療機関は、治療を提供するためにシステムにアクセスする必要があり、システムからロックアウトされるわけにはいかないからです。ヘルスケア業界は、急速に成長・進化する技術環境、予算の制約、価値の高いデータ、一貫性のないサイバーハイジーンの実践、そして過重労働で低賃金なことが多いスタッフといった要因を抱えており、サイバー攻撃のリスクを高める可能性があります。パンデミックに直接関連するヘルスケア分野の課題には、次のようなものがあります：

病気の蔓延を抑制するためのリモートワークへの急激な移行は、トレーニング不足のユーザー、ワークテクノロジーとクラウド環境における設定ミス、およびエンドポイント保護の欠如につながりました。
この健康危機は世界的な規模であるため、グローバルな連携、リスクの進化、サポートと支援の選択肢の減少が必要です。
パンデミックの長期化は、継続的な不確実性と経済的影響を生み出しています。
新しい作業環境に対するセキュリティツールの調達と実装が迅速に行われたため、必要なほど徹底されていませんでした。

COVID-19を利用した脅威の種類

米国では、COVID-19に関連するサイバー攻撃の件数が、2020年4月から5月にかけて1日あたり2万～3万件に達しました。これは、世界的なトレンドやウイルスの感染拡大に続くものでした。世界保健機関（WHO）がCOVID-19を世界的な健康上の緊急事態と宣言すると同時に、サイバー犯罪が増加し始めました。その様子は、まるでウイルスの感染拡大を映し出すかのようでした。サイバー犯罪者がサイバー犯罪攻撃でCOVID-19を直接利用する方法はいくつかあります。

脅威の種類	SCIM の仕組み
悪意のあるドメイン	インターネット上に登録されているドメインには、「COVID-19」、「coronavirus」、「coronavirus antivirus」、「corona antivirus」、「covid19」といった用語が使用されており、フィッシング攻撃やスパムキャンペーン、マルウェアの拡散に悪用されています。
埋め込み型マルウェア	新型コロナウイルス関連のWebサイトやマップは、インタラクティブな形式で提供されることがよくあります。中には正規のものではなく、スパイウェア、マルウェア、トロイの木馬などが含まれているものがあります。
迷惑メール	COVID-19に関するヘッダーを含むEメールは、ユーザーを誘導してリンクをクリックさせ、マルウェアをダウンロードさせようとすることがよくあります。
ビジネスメール詐欺（BEC）	これもまた、健康危機を直接利用したスパム/詐欺eメールの一種です。多くの場合、支援団体を装い、支援活動への寄付として金銭やビットコインを要求してきます。
ランサムウェア攻撃	コンピューターシステムやネットワークの脆弱性が悪用されるか、ユーザーがeメールを開いて感染した添付ファイルやリンクを操作することで、システムをロックダウンしてコンピューターネットワークやデータを人質に取るマルウェアをダウンロードしてしまいます。アクセス権を回復するために、支払いが要求されます。
モバイルの脅威	新型コロナウイルス感染症（COVID-19）の感染状況を追跡するために設計されたと称する悪意のあるアプリが使用されています。こうしたアプリは実際にはランサムウェアの一種であり、スマートフォンをロックして、アクセスを回復するためにビットコインでの支払いを要求します。
ブラウザアプリ	世界保健機関（WHO）などの既知の組織を装った偽のCOVID-19情報アプリが、LinksysまたはD-Link製ルーターのDNS（ドメインネームシステム）設定をハッキングします。これにより、Webブラウザが自動的に開き、アプリからのアラートが表示されます。このアラートは、ユーザーに「COVID-19 Inform App」をクリックしてダウンロードするよう要求するもので、これを実行すると、ブラウザの履歴、ブラウザのCookie、保存されたログイン認証情報、ブラウザの支払い情報などを盗むマルウェアの亜種がインストールされます。
ソーシャルエンジニアリング	パンデミック中に発生した最大級かつ最も有名な攻撃の1つが、Twitterのハッキング事件です。10代のハッカーが物理的な方法で携帯電話を制御し、Twitterの従業員に自分はTwitterのIT担当者だと信じ込ませることで、著名人のTwitterユーザーアカウントへのアクセス権を不正に取得しました。そのアクセス権を利用して、著名な経営者、セレブリティ、政治家になりすまし、人々を騙してビットコインを送金させました。
セクストーション詐欺	セクストーション詐欺は通常、ユーザーのweb閲覧履歴やwebカメラにアクセスしたとeメールで脅し、ユーザーが不適切な状況にいる証拠を持っていると主張する手口です。その後、攻撃者は支払いを要求し、応じなければ情報を暴露または公開すると脅迫します。この詐欺のコロナウイルス版では、支払いがない場合、標的またはその家族をウイルスに感染させると脅迫します。

サイバー犯罪者は、新型コロナウイルスの研究開発に取り組む企業も標的にしており、その専有情報を盗み出そうとしています。ワクチン開発の初期段階でFBIは警告を発し、外国政府のハッカーがウイルスの治療法やワクチンの開発に取り組むヘルスケア機関や研究機関を標的にしていると注意を促しました。

コロナウイルスをテーマにした攻撃でマルウェアはどのように使用されていますか？

サイバー犯罪者の進化に伴い、マルウェアはますます複雑化しています。パンデミックの間に登場したマルウェア関連の大きな脅威の1つに、マスターブートレコード（MBR）を書き換えるマルウェアがあります。この種のマルウェアは、コンピューターのMBRを書き換えたり、ファイルを消去したりすることで、感染したシステムを破壊する可能性があります。こうしたマルウェアの亜種は、金銭的な利益を求めるのではなく、破壊活動を行うためにコロナウイルスをテーマとして利用します。

MBRを書き換えるマルウェア：ファイルを消去するかMBRを書き換える、新型コロナウイルスをテーマにした5つのマルウェアの亜種が確認されています。その亜種の1つであるCOVID-19.exeは、コンピューターに感染した後、Windowsのタスクマネージャーを無効にし、閉じることができないウィンドウを表示します。ユーザーがこのウィンドウを管理しようとしている間に、マルウェアはバックグラウンドでMBRを密かに書き換えます。その後、パーソナルコンピューター（PC）が再起動され、新しいMBRがトリガーされて、ユーザーはプリブート画面でブロックされます。
MBRを書き換えるマルウェアの別の亜種は、「CoronaVirusランサムウェア」になりすまし、ランサムウェアを装ってパスワードを盗み、その真の目的を隠していました。ランサムウェアは、見せかけにすぎませんでした。データが盗まれるとすぐに、マルウェアがMBRを書き換え、ユーザーをプリブートメッセージ画面にロックして、PCへのアクセスを拒否します。PCにアクセスできなくなり、ランサムノートが表示された場合、ほとんどのユーザーはアプリのパスワードも盗まれていないか確認しようとは考えないでしょう。
フィッシングとコロナウイルス：データ漏洩の大多数（85%）は、コンピューターコードの欠陥を悪用するのではなく、人間のユーザーを直接標的にしています。こうしたデータ漏洩の半数以上は、フィッシングなどのログイン認証情報を盗むことを目的とした手口です。コロナウイルスに関連するフィッシング詐欺は通常、eメールのヘッダーを利用したり、何らかの形でパンデミックに関する情報を含んでいたりします。こうした詐欺は、ユーザーに感染したリンクをクリックさせたり、悪意のある添付ファイルをダウンロードさせたりして、ログイン認証情報などの機密データを盗み出そうとします。こうしたフィッシング詐欺では、多くの場合、ユーザーは偽のログインフィールドに誘導されます。このフィールドは、Facebookのログインポータルのように、正規のログインポータルに見せかけられています。ユーザーが認証情報を入力すると、ハッカーがそのユーザーのアカウントにアクセスできるようになります。ハッカーはアカウントに侵入してユーザーをロックアウトし、アプリ内の個人情報をすべて盗み出すことができます。フィッシング詐欺は、詐欺師がフィッシングeメールやテキストメッセージをさまざまな方法で利用することで、2019年から2020年にかけて2倍以上に増加しました。こうした詐欺には、次のようなものがありました。
- COVID-19ワクチンに関する偽のアンケートは、メーカー（ファイザー、モデルナ、アストラゼネカ）のいずれかからのものと偽装し、ユーザーが銀行またはクレジットカードの情報を提供した場合に報酬を約束します。
- ワクチン抽選を実施している州で、ワクチン接種を受けたことに対する多額の現金報酬を主張し、賞金を請求するために銀行のデータまたは社会保障番号を要求する電子メール、電話、またはテキストメッセージ。
- COVID-19関連の葬儀費用を支援する連邦政府のプログラムに個人を「登録」すると称し、eメール、電話、テキストメッセージを通じてFEMA（連邦緊急事態管理庁）の職員になりすまして個人情報をだまし取る手口。このプログラムは実在しますが、フィッシング詐欺は情報を要求してきます。FEMAが直接そのような要求をすることはありません。
- IRS（内国歳入庁）またはその他の政府機関からと思われる電話、メール、およびテキストメッセージで、料金の支払いやリンクのクリック、または景気刺激策の確認のために社会保障番号などの個人データを確定するように指示されます。
- 個人情報や機密情報を入力することで「COVID-19救済補助金」を提供すると謳うFacebookメッセージ。
ランサムウェアとコロナウイルス：ランサムウェアとは、サイバー犯罪者が被害者のシステムにアクセスし、通常はマルウェアを使用してシステムを乗っ取った後、制御を取り戻すための身代金を要求するハッキング行為です。ランサムウェアはデータ侵害を伴うこともあり、身代金が支払われない場合は機密情報を漏洩させるという脅迫によって、企業や組織から金銭を脅し取ります。パンデミックが始まって以来、ランサムウェアによる攻撃は500％近く急増しています。支払い要求額も着実に増加しており、平均支払額は$ 200,000近くに達しています。東ヨーロッパを拠点に活動する特に悪名高いランサムウェア集団に、Wizard Spider（別名：UNC1878）があります。この集団は、TrickBotというトロイの木馬を使ってユーザーのシステムにアクセスし、その後Ryukランサムウェアを使って組織や企業から金銭を脅し取ります。パンデミックの期間中、ヘルスケア組織や病院は特にランサムウェアに対して脆弱であり、米国のヘルスケア組織に対する全攻撃の4分の3にRyukが関与していました。CoronaVirusと呼ばれるランサムウェアの亜種が、システムの最適化をうたう一見正規に見えるWiseCleanerサイトを通じて拡散されています。しかし、ユーザーが偽サイトからWSGSetup.exeをダウンロードすると、2種類のマルウェアがダウンロードされます。1つはランサムウェアの「CoronaVirus」、もう1つはパスワードを盗むトロイの木馬「Kpot」です。PCの起動プロセスに注入されるCoronaVirusは、Windowsの起動プロセスを遅らせながら、脅威を発生させて身代金を要求します。要求される支払額は、わずか50ドル相当のビットコインと、ごく少額に見えます。しかしその間に、Kpotは重要なパスワードとログイン認証情報を盗み出しています。
コロナウイルス詐欺とダークウェブ：パンデミック下では、Torのようなプライベートで追跡が困難なブラウザを利用して、ダークウェブで販売されるCOVID-19関連のサービスや製品が増加しています。サイバー犯罪者は、ウイルスを取り巻く人々の恐怖や不安に付け込んでいます。当初は、次のような多種多様なアイテムを提供していました：
- 個人用保護具（PPE）
- 偽のワクチン
- ウイルスの「治療」を謳う薬
- 回復したとされる被害者の血液
- フィッシング詐欺とメールのテンプレート
- 在宅勤務者の脆弱なサイバーセキュリティを標的とするマルウェア

ダークウェブの犯罪者も、パンデミックによって従来の収入源が絶たれたため、戦術の変更を余儀なくされています。旅行者の減少や、航空会社のマイルや偽造渡航文書といった旅行関連サービスの需要低下に伴い、詐欺師は収入源を維持するために他の手口に移行せざるを得なくなりました。在宅勤務の導入やオンラインで過ごす時間の増加に伴い、サイバー犯罪者は新たな市場や手口を開拓しようと進化を続けています。パンデミックが猛威を振るう中、犯罪者は現在、ワクチン接種証明書や新型コロナウイルス検査の偽の検査結果などの文書を偽造して販売するといった新たな手口を利用しています。2021年1月から3月の間に、偽の新型コロナウイルス感染症（COVID-19）検査結果や偽造ワクチン接種証明書の広告が300％急増しました。ダークウェブを利用して、こうしたアイテムを売買する人々がいます。政府や組織が活動への参加や出勤の条件として、新型コロナウイルス（COVID-19）の陰性証明書やワクチン接種証明書の提示を義務付けるようになったことで、ダークウェブではコロナウイルス関連の偽造文書の需要が高まっています。

新型コロナウイルス（COVID-19）に関連するサイバー脅威は、どの程度広がっているのでしょうか？

パンデミックの発生以来、コロナウイルス関連のサイバー犯罪が急増しています。犯罪者はそこに好機を見出し、それをものにしようと狙っています。2020年上半期に、CISAは次のように報告しています。

悪意のあるウェブサイトに対して、35,000件以上の削除通知が発行されました。
4月には毎日、1,800万件のマルウェアおよびフィッシングメールがGoogleによってブロックされました。
1月から4月にかけて、90万件以上のスパムメッセージと800件近くのマルウェア関連インシデントが発生しました。
1月から4月の間に、COVID-19に関連する約50,000件の悪意のあるURLが検出されました。

金融機関への影響

銀行や保険会社などの金融機関では、コロナウイルスに関連する脅威が大幅に増加しています。パンデミックが始まって以来、サイバー犯罪が増加したと報告している金融機関は4分の3近くに上ります。金融機関の40％近くが、自社の顧客はサイバー犯罪や不正行為の大きなリスクにさらされていると考えています。40％以上が、パンデミックによって普及した在宅勤務モデルにより、セキュリティが低下し、サイバー攻撃に対する脆弱性が高まったと回答しています。ランサムウェアやフィッシングの手口が主に使用されるデータ侵害は2021年も増加しており、10月までに2億8,150万人がデータ侵害の影響を受けています。2021年には、2020年全体を上回る数のデータ漏洩がすでに発生しています。パンデミックが続く中、サイバー犯罪者はセキュリティの脆弱性や、人々の新型コロナウイルス感染症（COVID-19）に対する不安感に付け込む絶好の機会をうかがっています。

個人や組織は、こうしたサイバー脅威からどのように身を守ればよいのでしょうか？

サイバー犯罪者は、セキュリティシステムの脆弱性を探し、人間のユーザーを直接攻撃します。これらの脅威に対する最良の防御策は、意識、教育、そして予防策です。リモートで働く従業員が増えているため、これまで以上に優れたサイバー衛生を実践し、ネットワークとシステムを安全に保つことが重要です。サイバー攻撃から身を守るためのベストプラクティスを以下に示します。

従業員に安全なプラクティスについて教育します。詳細で、すべての従業員がすべてのデバイスに対して遵守する標準のセキュリティプロトコルと在宅勤務の組織ポリシーを使用します。
リモートワーカーが安全なネットワークで作業していること、およびホームWi-Fiルーターが安全な方法で構成されていることを確認してください。
多要素認証を使用し、定期的に変更される安全なパスワードを使用してください。
文字、数字、記号、大文字と小文字を組み合わせた12文字以上の強力なパスワードを作成してください。
パスワードを再利用しないでください。すべてに対して異なるものを作成し、共有しないでください。
ハードウェアとソフトウェアを最新の状態に保ち、必要に応じてパッチがインストールされていることを確認してください。
ウイルス対策およびマルウェア対策ソフトウェアを使用します。
独自の、従業員の、または機密情報やデータを含むすべてのデバイスを暗号化します。
作業していないときは、データとデバイスを安全にロックしてください。
従業員にフィッシング詐欺を見抜くためのトレーニングを実施し、メールに含まれる疑わしいリンクをクリックしたり、添付ファイルをダウンロードしたりしないように周知徹底します。代わりに、検証のためにITセキュリティチームに送信する必要があります。
悪意のあるWebサイトとURLについてユーザーを教育し、承認されたWebサイトにのみ直接アクセスするように指示します。
ランサムウェア攻撃から身を守るために、データの安全なバックアップを保管してください。すべての機密情報が同じ場所に保存されていない場合、他の場所で既にアクセスできる場合は、サイバー犯罪者がデータを人質にすることはより困難になります。
承認されたプラットフォームを使用して安全なリモート会議を実施し、新しい参加者が参加したら紹介し、会議ごとに新しい会議コードを選択して定期的に変更し、どうしても必要な場合を除き、会議を録画しないでください。
すべてのコンピューターとモバイルデバイスで定期的なヘルススキャンを実行します。
モバイルデバイスを使用する場合は、信頼できるソースからのみアプリをダウンロードしてください。
安全で機密性の高い情報は、会社のコンピューターにロックしておき、個人のデバイスに転送しないでください。
古くなったサードパーティ製のコンポーネントは、侵入ポイントとして使用される可能性があるため、無効にしてください。
プライバシー設定を定期的に更新および確認して、ソーシャルメディアアカウントを安全に保ちます。
最新のサイバーセキュリティの脅威とトレンドを常に把握してください。悪意のあるウェブサイト、既知のスキーム、ハッカーの名前、およびサイバー攻撃の情報が公開され、一般の人々を教育し、将来の被害者を防ぐのに役立ちます。

サイバー犯罪の被害に遭ったと思われる場合は、すぐに最寄りの警察に届け出てください。詐欺の被害に遭った場合は、連邦取引委員会（FTC）に直接報告してください。また、個人と組織の両方を、データ漏洩やサイバー犯罪の潜在的なリスクから保護するのに役立つセキュリティ製品やサービスも数多く存在します。パンデミック禍で、サイバー犯罪者の活動範囲が広がっています。企業は、サイバー攻撃の潜在的な影響を防止、阻止、停止、最小化するために、セキュリティ対策を強化し、継続的に進化させる必要があります。

よくある質問（FAQ）

新型コロナウイルス感染症のパンデミック下で、サイバー攻撃がこれほど急増したのはなぜでしょうか？

パンデミックは、広範な不安、リモートワークへの急速な移行、組織の監視体制の縮小、オンラインで金融取引や個人的な活動を行う人々の増加といった、サイバー犯罪者にとって絶好の機会を生み出しました。こうした要因によって、組織全体のサイバー防御が手薄になり、攻撃者に新たな効果的攻撃手段を与えることになりました。

ヘルスケア組織がランサムウェアの格好の標的となる理由とは何でしょうか？

ヘルスケア機関では、患者のケアがデータやシステムへの継続的なアクセスに依存しているため、システムのダウンタイムは許されません。ダークウェブ上で金融データの最大20倍の価値があるとされる非常に貴重な個人健康データ、予算の制約、一貫性のないセキュリティ対策といった要因が相まって、病院は特に魅力的なランサムウェアの標的となっています。

マスターブートレコード（MBR）を書き換えるマルウェアとは何ですか？また、なぜ危険なのですか？

MBRを書き換えるマルウェアは、コンピューターのマスターブートレコードを上書きしたり、ファイルを完全に消去したりすることで、感染したシステムを破壊します。ランサムウェアとは異なり、その目的は金銭的な利益ではなく破壊です。亜種の中には、ランサムウェアになりすまして本来の目的を隠しながら、バックグラウンドで同時にパスワードを盗み出すものもあります。

新型コロナウイルス感染症（COVID-19）関連のeメールやWebサイトがフィッシング詐欺かどうかを見分けるには、どうすればよいですか？

フィッシング詐欺は、ワクチンメーカー、FEMA（連邦緊急事態管理庁）やIRS（内国歳入庁）などの政府機関、ソーシャルメディアプラットフォームといった信頼できる組織になりすまし、ユーザーにリンクのクリック、添付ファイルのダウンロード、社会保障番号や銀行口座情報などの機密情報の提供を要求することがよくあります。正規の組織が、一方的に送りつけられたeメールやテキストメッセージでこの種の情報を要求することはありません。

パンデミック時代のサイバー脅威から身を守るために、組織はどのような対策を講じることができるでしょうか。

主な防御策としては、多要素認証の徹底、強力で固有のパスワードの要求、すべてのソフトウェアとハードウェアにパッチを適用して最新の状態に保つこと、フィッシングの試みを認識するための従業員トレーニング、機密データの暗号化、ランサムウェアによる影響を低減するための安全なオフサイトでのデータバックアップの維持などが挙げられます。