Viettel Cyber Securityの2025年第3四半期のネットワーク情報セキュリティレポートでは、漏洩した記録が約650万件に上ったが、第2四半期の漏洩記録の数は400万件近くに上った。
この現象は技術的な脆弱性だけでなく、インターネット ユーザーの「安全性の錯覚」からも生じていることを指摘しておく価値があります。
システムは「壊れている」が、ユーザーは依然として安全だと信じている
サイバー犯罪者はより洗練され、専門的になり、サイバー攻撃を真のサービス産業へと変貌させています。以前のように独自のマルウェアを作成する代わりに、彼らはスティーラーマルウェアを使用しています。このタイプのマルウェアは、パスワード、ログインCookie、アクセストークンを密かに収集する機能を備えています。
さらに、このタイプのマルウェアは、Stealer-as-a-Service（SaaS）という形で「商品化」されています。犯罪者は、わずかな金銭でソフトウェア、ユーザーマニュアル、配布ツールが含まれた完全なパッケージを購入することができます。
偽のリンクをクリックしたり、不明なソフトウェアをダウンロードしたりするだけで、ユーザーに知られずにデバイス上のすべてのデータが盗まれる可能性があります。
 |
Stealer-as-a-Service により、ユーザーデータの盗難が容易になります。 |
ハッカーは、ユーザーへの直接攻撃に加えて、社内メール、集中型 ID 管理プラットフォーム (SSO)、VPN システムなどの企業の中核システムも標的にし、組織の IT インフラストラクチャ全体にアクセスします。
これらのシステムが侵害されると、ハッカーは簡単に機密データを盗んだり、マルウェアをインストールしたり、さらなる攻撃の扉を開いたりすることができます。
2025年第3四半期、Viettel Threat Intelligenceは221件のデータ侵害を記録し、5億200万件以上の記録と73GBの機密情報が漏洩し、侵入の深刻さが増していることを反映しています。
ほとんどのインシデントは、サポートライフサイクル（EOL）の終了（EOL）を迎え、メーカーによるセキュリティパッチのアップデートが終了している古いシステムから発生します。これらの製品の脆弱性は、ハッカーが侵入するための理想的な「バックドア」となり、小さな脆弱性からデータ災害に至るまでの一連の攻撃を引き起こします。データ窃盗攻撃は通常、すぐに発生するのではなく、3段階の段階を経て進行します。
最初のステップでは、ハッカーは通常、古いソフトウェアやアプリケーションのセキュリティ上の脆弱性を悪用するか、公開された管理者アカウントを利用して悪意のあるコードをインストールし、最初のアクセスを取得することによって、システムに侵入しようとします。
内部ネットワークに「侵入」すると、攻撃者は制御範囲を拡大し、ツールを使用してパスワードを推測したり、上位レベルのアカウントを乗っ取ったり、ピアツーピア システムを攻撃してインフラストラクチャ全体を乗っ取ったりします。
最終段階では、攻撃者はデータベースにアクセスし、顧客データ、従業員アカウント、ソースコード、内部文書などの機密情報を抽出して盗み、それを地下データ市場で販売します。
ビジネスが「破綻」すると、その影響はその組織に留まらず、何千人もの関連するユーザー、パートナー、顧客も情報漏洩のリスクに巻き込まれる可能性があります。
多くの攻撃の根本的な原因は、システム管理の遅れにあります。多くの組織では、依然として時代遅れのテクノロジープラットフォームを維持していたり、パッチを更新していなかったり、アクセス監視が不十分だったり、社内ネットワークとパブリックネットワークを明確に分離していなかったりしています。
一方、ハッカーはインターネット上でこうした「弱点」を常に探しています。たとえ小さな脆弱性が一つでも修正されずに放置されると、システム全体が情報セキュリティ災害への扉を開くことになりかねません。
Z世代の「安全幻想」
サイバー攻撃のほとんどは技術的な脆弱性に起因するものですが、もう一つの大きな原因はユーザーの行動にあります。ユーザーの行動はセキュリティチェーンにおける最も弱い部分です。特に、インターネットと共に生まれ、ソーシャルネットワークで育ちながらも、誰よりも主観的なZ世代にとってはなおさらです。
多くの人は「失うものは何もない」と思い込み、ソーシャルネットワークやエンターテイメントアプリを使うだけではハッカーにとって魅力的ではないと考えています。こうした考え方が彼らを警戒心から解き放ち、格好の標的にしてしまうのです。これは「安全の錯覚」の最も明確な現れであり、ユーザーはこれまで一度も危険にさらされたことがないからといって、自分は保護されていると思い込んでいます。
こうした考え方から、若者は無意識のうちに自分の身分証明書、搭乗券、自宅住所、注文、個人のスケジュールなどの写真を共有しています。これらの小さなデータが悪者によって結合され分析されると、なりすまし、アカウントの乗っ取り、または標的型詐欺を作成するのに十分な完全なデジタル ID プロファイルになる可能性があります。
人々は情報を過剰に共有するだけでなく、テクノロジーに絶対的な信頼を置いています。同じアカウントで何十ものアプリにログインしたり、同じパスワードを使ったり、「ちょっと試してみよう」という理由で出所不明のアプリをインストールしたりします。
このような「クイックログイン」は、ユーザーに知られずに第三者に個人データへのアクセスを許可することを意味します。
 |
ICSのサイバーセキュリティ専門家が情報セキュリティソリューションを共有。写真： ICS。 |
「多くの人は、自分はハッキングされることはないと考えています。これは『安全という幻想』です。専門家はこれを楽観バイアスと呼び、『悪いことは他人にしか起こらない』という考え方です。しかし、オンライン上では、すべてのアカウントに価値があるのです」と、ICSインターナショナル・サイバーセキュリティ・カンパニーのCEO、ヴォ・チュン・アウ博士は述べています。
オー氏によると、サイバー攻撃がより巧妙化している今、この幻想は特に危険だ。データ漏洩の影響はスパムメッセージにとどまらず、金融詐欺、個人情報窃盗、ディープフェイクを使った脅迫につながり、金銭と信用に直接的な損害を与える可能性がある。
ICSのサイバーセキュリティ専門家によると、攻撃は現在ボットとAIによって自動化されており、特定の標的を選ばずに毎日何百万ものアカウントをスキャンしているという。
「奇妙なリンクをクリックしたり、パスワードを共有したりするといったたった一つの悪い習慣が、システム全体への扉を開く可能性がある」とオー氏は警告した。
国家サイバーセキュリティ協会（NCA）によると、2024年までにベトナムのユーザーの最大66%が個人情報を不正に利用された経験があり、そのうち74%はオンラインショッピング中に、62%はソーシャルネットワークでの過剰な情報共有が原因でした。この数字は、リスクがハッカーだけでなく、ユーザーが利用するデジタルエコシステムからも生じていることを示しています。データは容易に転送されるものの、適切に保護されることはほとんどありません。
サイバーセキュリティの専門家によると、セキュリティは複雑な技術から始まるのではなく、ユーザーの意識と日常の行動から始まります。
ベトナムサイバーセキュリティ会社（VSEC）の代表者は、 Tri Thuc - Znewsとのインタビューで、デジタル安全習慣の形成は、アプリケーションに権限を付与する際に注意すること、個人情報の共有を制限すること、重要なアカウントに対して多要素認証（MFA）を有効にすること、セキュリティホールを修正するためにソフトウェアを定期的に更新することなど、小さなステップから始めるべきだと強調した。
組織レベルでは、政府機関や企業は厳重なセキュリティシステムを維持する必要があります。ソフトウェアを定期的に更新し、社内ネットワークとパブリックネットワークを分離し、アクセスを制御し、異常なアクティビティを監視する必要があります。パッチ適用の遅れやアカウントの侵害は、数百万件ものユーザーデータを漏洩させる可能性があります。
出典: https://znews.vn/ao-giac-an-toan-khien-nguoi-viet-doi-mat-nguy-co-mat-du-lieu-ca-nhan-post1600964.html
コメント (0)