個人情報に基づく攻撃とは、個人や組織のデジタル ID を標的にして侵害するサイバー攻撃の一種です。 この種の攻撃では、サイバー犯罪者は、ログイン認証情報やドメイン名、個人データ、デジタル証明書などの個人情報に関連する情報を盗み、改ざん、悪用しようとします。
この種の攻撃は、個人情報およびアクセス管理の脆弱性を悪用して、組織のシステム、データ、リソースに対し不正にアクセスします。 サイバー犯罪者が個人のオンラインアイデンティティにアクセスすると、組織のセンシティブデータにさらにアクセスするために、実際のユーザーになりすますことがあります。
こちらでは、個人情報に基づく攻撃とは何か、個人情報に基づく攻撃と個人情報盗難の違い、個人情報に基づく攻撃の種類、それらが危険である理由と予防策について詳しく説明します。
個人情報に基づく攻撃と個人情報盗難:その違いとは?
個人情報盗難は、被害者の個人識別情報(PII)を使用して被害者になりすまし、詐欺を行うことです。 サイバー犯罪者は、被害者の PII を使用して被害者の名前で犯罪を犯すことがあり、それによって被害者の名誉毀損や債務、破産、犯罪歴が残る可能性など、被害者に永続的な悪影響を及ぼす場合があります。
個人情報に基づく攻撃とは、組織から個人のオンライン識別情報を盗み、不正アクセスをしようとするサイバー攻撃の一種です。 個人情報に基づく攻撃と個人情報盗難は、どちらも PII を盗もうとする点で似ています。しかし個人情報に基づく攻撃は、組織から機密データを盗むことを標的としたものですが、個人情報盗難は、誰かの情報を盗んでその人になりすまし、詐欺を行う可能性があるものです。
個人情報に基づく攻撃の種類
個人情報に基づく攻撃は、さまざまな手口を使用して個人のデジタルアイデンティティを盗みます。 犯罪者は、個人情報の保存方法や管理方法、認証方法の脆弱性を悪用することがよくあります。 以下は、個人情報に基づく攻撃の最も一般的な種類です。
フィッシング攻撃
フィッシングは、評判の良い企業や仕事の同僚など、よく知られた人物になりすますことで、ユーザーを騙して個人情報を公開させようとするサイバー攻撃の一種です。 サイバー犯罪者は、ユーザーに悪意のある添付ファイルやリンクをクリックさせる目的でメッセージを送信します。 ユーザーが悪意のあるリンクをクリックすると、そのユーザーのデバイスがマルウェアに感染したり、ユーザーを騙して個人情報の開示させようとする、偽のウェブサイトに誘導されたります。
クレデンシャルスタッフィング
クレデンシャルスタッフィングとは、検証済みのログイン認証情報を使用して、複数のアカウントにアクセスするサイバー攻撃の一種です。 サイバー犯罪者は通常、セキュリティ侵害で漏洩した、またはダークウェブで見つかったログイン認証情報を使用して、クレデンシャルスタッフィング攻撃を開始します。 これらの攻撃は、複数のアカウントでパスワードを使い回しているユーザーを標的にします。 Keeperの2022 年パスワード習慣レポートによると、56%のユーザーがパスワードを使い回しているため、クレデンシャルスタッフィング攻撃は犯罪者にとって有効です。
パスワードスプレー攻撃
パスワードスプレーは、よく使用される単一のパスワードとユーザー名のリストとを照合して一致させることを試みる、ブルートフォース攻撃の一種です。 サイバー犯罪者は、一般的に使用されるパスワードを持つユーザー名のリストを調べあげ、一般的に使用されているパスワードを使ってプロセスを繰り返します。 パスワードスプレーでは脆弱で予測可能なパスワードを悪用し、ユーザーのアカウントにアクセスします。
中間者攻撃
中間者攻撃(MITM)とは、サイバー犯罪者が送信されたデータを盗聴、盗難、改ざんするサイバー攻撃の一種です。 サイバー犯罪者は、通信を行う二者間の仲介者として行動し、データを傍受します。 公衆または捏造された WiFiネットワークは暗号化されておらず、接続されたユーザーのウェブトラフィックを誰でも簡単に閲覧できるため、サイバー犯罪者はそれを当てにすることがよくあります。
パス・ザ・ハッシュ攻撃
パスワードハッシュとは、プレーンテキストのパスワードをスクランブル処理し、解読して実際のパスワードを明らかにすることができない読み取り不可能な形式にするアルゴリズム機能です。 パス・ザ・ハッシュ攻撃とは、ハッシュ化されたパスワードを盗んでシステムの認証プロトコルをバイパスし、ネットワークの水平展開を可能にするサイバー攻撃の一種です。 サイバー犯罪者がネットワークにアクセスすると、組織の機密情報を盗んだり、ネットワーク内でより多くの特権アクセスを得たりすることができます。
個人情報に基づく攻撃が危険である理由
個人情報に基づく攻撃は、個人のオンラインアイデンティティを侵害して盗む可能性があります。 サイバー犯罪者がユーザーのオンライン個人情報を取得すると、個人情報を盗難して被害者の評判を損なう可能性があります。個人情報盗難とは、犯罪者がユーザーになりすまして、クレジットカードの不正利用などの詐欺行為に代表される犯罪を犯すものです。 サイバー犯罪者はユーザーになりすまして組織の機密情報にアクセスし、組織のセキュリティを危険にさらすこともあります。
個人情報に基づく攻撃を防ぐ方法
個人情報に基づく攻撃は、個人や組織のサイバーセキュリティと評判を危険にさらす可能性があります。 ユーザーは、個人情報に基づく攻撃によって自分の個人情報が盗まれることを防ぎ、オンラインアイデンティティを保護する必要があります。 ここでは、個人情報に基づく攻撃を防ぐ方法をいくつかご紹介します。
法人用パスワードマネージャーを導入する
法人用パスワードマネージャーは、従業員がパスワードを安全に保存し、管理できるツールです。 従業員のパスワードは、マスターパスワードでのみアクセスできるクラウドベースの暗号化されたデジタルボルトに保存されます。 従業員は、文書や身分証明書などのその他の機密情報を保存することもできます。
法人用パスワードマネージャーは、従業員のログイン認証情報を保護し、サイバー犯罪者がそれらを簡単には解読できないようにすることで、個人情報に基づく攻撃のリスクを軽減します。 法人用パスワードマネージャーを使用すると、IT 管理者は、従業員のパスワード慣行を完全に可視化し、従業員が強力で唯一無二のパスワードを使用することを確認できます。 また、パスワードマネージャーによって、従業員がチームメンバーや組織の他のメンバーとパスワードを安全に共有することも可能になります。
MFA を強制する
多要素認証(MFA)は、追加の認証方法を必要とするセキュリティ対策です。 MFA を有効にすると、ユーザーはオンラインアカウントやシステム、個人情報にアクセスするために、ログイン認証情報のほかに追加の認証形式を提供することが求められます。 MFA はアカウントにアクセスするユーザーを完全に制御し、許可されたユーザーのみが個人情報にアクセスできるようにします。 MFA を強制すると、ログイン認証情報が侵害された場合でも、アカウントを保護することでセキュリティレイヤーが強化されます。
最小特権アクセスを実践する
サイバー犯罪者が組織のセンシティブデータにアクセスできないようにするには、最小特権の原則を実践する必要があります。最小特権アクセスとは、ユーザーは自分の業務を行うために必要な情報やシステムへのアクセス権だけを付与され、それ以外のアクセス権は持たないというサイバーセキュリティの概念です。 ユーザーのアクセスを制限することで、脅威アクターに侵害される可能性のある経路を減らし、ネットワーク全体の横移動を防ぐことができます。
特権アクセス管理(PAM)ソリューションを使用して、最小特権アクセスを実装できます。 PAM とは、非常に機密性が高いシステムやデータにアクセスする権限を持つアカウントを管理し、保護することです。 PAM を使用すれば、IT 管理者はネットワーク、アプリケーション、サーバー、デバイスアクセスなど、データ環境全体を完全に可視化して制御できます。 PAM ソリューションを使用することで特権アカウントを保護し、それらの悪用や侵害を防ぐことができます。
サイバー脅威に備えて従業員を教育する
フィッシング攻撃などのサイバー脅威について、従業員を教育する必要があります。 そうすることは、従業員が将来的にそれらを認識し、回避するために役立ちます。 サイバーセキュリティのベストプラクティスや、サイバー脅威について定期的な従業員研修を実施することによって、セキュリティ侵害や組織のセンシティブデータへの不正アクセスを防ぐことができるのです。
ソフトウェアを最新の状態に保つ
サイバー攻撃の中には、組織のソフトウェア、ハードウェア、アプリケーション内に見つかったセキュリティの脆弱性を悪用するものもあります。 組織のソフトウェアを最新の状態に保つことで、サイバー犯罪者が組織のシステムにアクセスできないようにする必要があります。 ソフトウェアアップデートには、セキュリティの欠陥を取り除くセキュリティパッチや、組織により優れた保護を提供する新しいセキュリティ機能が含まれます。
サイバーセキュリティソリューションを実装する
組織は、脅威保護やウイルス対策ソフトウェアなどのサイバーセキュリティソリューションに投資して、サイバー脅威から防御する必要があります。 ウイルス対策ソフトウェアを使用すると、デバイスからマルウェアを検出、防止、削除できます。 組織全体にウイルス対策ソフトウェアを実装することで、従業員がインターネットを安全に閲覧できるようになり、マルウェアが組織のセンシティブデータを盗むのを防ぐことができます
まとめ:Keeper で個人情報に基づく攻撃から身を守る
個人情報に基づく攻撃から組織を保護する最良の方法は、PAM ソリューションを使用することです。 PAM ソリューションは最小特権原則を実装し、攻撃対象領域を減少させるのに役立ちます。攻撃対象領域とは、サイバー犯罪者がシステムにアクセスしてデータを盗む可能性がある、潜在的なエントリポイントです。
KeeperPAM™(特権アクセスマネージャー)は、組織内すべてのデバイス上のすべての特権ユーザーに対する完全な可視性、制御、セキュリティ、レポートを組織に提供する、ゼロトラストおよびゼロ知識特権アクセス管理ソリューションです。 KeeperPAM は、エンタープライズパスワード管理(EPM)、Keeper シークレットマネージャー(KSM)、そしてKeeperコネクションマネージャー(KCM)という3つの強力なセキュリティソリューションを組み合わせて組織を保護します。
KeeperPAM™ のデモをリクエストして、個人情報に基づく攻撃から組織を保護しましょう。