XNUMX月はCybersecurityAwareness Monthであり、ここSSL.comでは、拡大し続けるインターネットの領域を踏みながら、より警戒する方法について、企業、政府機関、および一般の人々を教育することを目指しています。 この記事では、大規模な組織に対するサイバー攻撃の驚くべき増加について説明します。
過去2020年間は、サイバーセキュリティ違反、特にランサムウェアの増加が原因で特に懸念されてきました。 XNUMX年の初めの数ヶ月は 着実に上昇 ランサムウェア攻撃が発生し、2021年前半に急増しました。2021年78.4月までに、XNUMX万件のランサムウェア攻撃の試みが記録されました。
他の人質をとる状況と同様に、ランサムウェアハッカーの目標は、企業の貴重なデータやコンピューターシステムへのアクセスを盗み、そのような資産の保有を放棄する前に莫大な金額を要求することです。 今では、最新のセキュリティソフトウェアがすべて開発されているため、ランサムウェアギャングは、被害者を攻撃するための非常に洗練されたツールの開発にすべての時間を費やしていると思うかもしれません。 しかし、次のセクションで説明するように、それらの多くはハッキング兵器をリサイクルし、非技術的で周辺的な侵入経路であるヒューマンエラーから始めます。 マルウェア自体の開発には技術的なスキルが必要ですが、マルウェアの実行は、従業員が悪意のある電子メール内のリンクまたはファイルをクリックするのと同じくらい簡単に行われます。 ランサムウェア攻撃は段階的に発生し、本格的な攻撃が勢いを増すのはより単純な段階であることが多いことを覚えておくことが重要です。
実際、 IBM、方程式から人為的エラーを取り除くと、データ侵害の95％が発生するのを防ぐことができます。
非常に魅力的なパスワードと寛大な従業員の問題
A 2019リサーチ PreciseSecurity.comによると、パスワードの不備は、従業員のサイバーセキュリティトレーニングの欠如とフィッシングに次ぐ、ランサムウェア攻撃のXNUMX番目の主要な原因であると特定されました。 ランサムウェア感染のこれらXNUMXつの主要な原因からわかるように、これらはすべて実際に人為的ミスに起因しています。
実際には、人間の脳は本当に強力な器官であり、特にこれらが定期的に使用されている場合、さまざまなアカウントの長い複数のパスワードを非常に記憶することができます。 しかし、 調査 GoogleとHarrisPollが実施したところ、53％が複数のアカウントで同じパスワードを使用し、13％がアカウント全体で同じパスワードを使用していることが判明しました。 このデータを組み合わせると、65％の人が、他の人を思い付くためのすべてのオプションがある場合でも、パスワードをリサイクルしていることがわかります。
グーグルとハリスポールの調査は、人々がより速いアクセス、さらには複数のアカウントやデバイスへのマスターアクセスを望んでいる現代のサイバーカルチャーの傾向を示唆しています。 当然のことながら、長いパスワードを定期的に入力しなければならないという単調さや、23.2を超えるアカウントについて話している場合、強力なパスワードを生成するのはかなり困難です。 しかし、世界中のXNUMX万人のデータ侵害の犠牲者がいたとき、それは原因を助けません 発見 パスワードとして123456を使用し、別の7.8万人が12345678を使用しました。さらに悪いことに、さまざまな国の別の3.5万人が、サイバー泥棒からの障壁として「パスワード」という単語自体を使用することを選択しました。
次のセクションでは、不正なパスワードと不正な行動をとる従業員が、過去XNUMX年間、つまり人々がより多くの知識と能力を必要とする時期に、史上最大のランサムウェアとサイバースパイ攻撃が発生する道をどのように開いたかを見てみましょう。サイバー犯罪者から身を守ることです。
コロニアルパイプラインランサムウェア攻撃
2021年50月、ランサムウェアギャングのダークサイドがコロニアルパイプライン（国内の主要なガソリンおよびディーゼルパイプラインシステム）を攻撃し、国内の燃料供給チェーンのXNUMX％を混乱させました。
サイバー誘拐犯は会社からほぼ100GBの情報を盗み、会社が身代金を支払わなかった場合、インターネット上でそれを漏らすと脅迫しました。 その後の攻撃の発生を恐れて、コロニアルパイプラインは操業を停止することを決定し、ダークサイドに5万ドル近くを支払いました。 このランサムウェア攻撃は、空港の燃料供給とフライトスケジュールの変更に影響を与え、パニック買いを引き起こしました。
上院のヒアリングで、CEOのJoseph Blountは、単一要素認証のみでセットアップされたレガシー仮想プライベートネットワーク（VPN）システムの従業員ログインで攻撃が開始されたことを明らかにしました。 これは、携帯電話に送信されるセキュリティコードなどのセカンダリパスにアクセスする必要がなかったことを意味します。
攻撃を分析するために相談を受けたサイバーセキュリティ会社のマンディアントは、従業員が以前に侵害されたWebサイトでパスワードを使用した可能性があると理論付けました。
新しい協調的ランサムウェア攻撃
ちょうど前月、アイオワを拠点とする農業協同組合であるNEW Cooperativeが、DarkSideギャングのブランド変更されたバージョンであると信じられているBlackMatterと名乗るロシアのランサムウェアギャングに攻撃されました。 サイバー犯罪者は、牛、鶏、豚などの5.9万頭の動物に餌を与えるために使用するコンピューターシステムへの小屋のアクセスを回復するために、11万ドルの支払いを要求しました。
デジタルIDセキュリティ会社FYEOの最高執行責任者であるTammyKahnは、NEW Cooperativeに対するランサムウェア攻撃は、多くの従業員が不正なパスワードを使用することで可能になったと分析しました。
FYEOがデータベースでNEWCooperativeのWebサイトを監査したところ、組織には過去に侵害された653個のパスワードがあることがわかりました。 さらに悪いことに、120人の従業員の間で使用される最も一般的なパスワードは、あまりにも一般的な家畜と、数えるときに最初に来る数の組み合わせであることが発見されました。 chicken1。 このような単純なパスワードは必ず失敗します。 フィッシングキャンペーンやブルートフォースハッキングツールは忘れてください。 従業員と幹部の電子メールアドレスがオンラインで公開されているため、ハッカーはパスワードを推測するだけでよく、「chicken1」のようなものはほとんど死んでしまいます。
SolarWindsサイバースパイ
ITソフトウェア会社であるSolarWindsは、2020年の初めに、ロシアのハッカー容疑者に潜入しました。Orionと呼ばれる監視ソフトウェアシステムのアップデートにトロイの木馬が埋め込まれ、数千の政府を含む同社の著名な顧客の33,000人が使用しました。国内外の代理店、および最大の米国企業。 その後、悪意のあるコードにより、ハッカーはマルウェアをさらにインストールして、影響を受けた被害者をスパイできるようになりました。
セキュリティ研究者のVinothKumar 主張した 2019年にSolarWindsに、更新サーバーの会社のパスワードには誰でもアクセスできることを警告しました。 そのパスワードはどうやら： ソーラーウィンズ123.
議会の公聴会で、SolarWindsは、弱いパスワードは、GitHubでもパスワードを共有しているインターンによって行われたエラーであると主張しました。
ケイティ・ポーター議員はその啓示に激怒したので、彼女は 叫んだ: 「子供がiPadでYouTubeを見すぎないようにするために、「solarwinds123」よりも強力なパスワードを使用しています。」
さらに悪いことに、SolarWindsのCEOであるSudhakar Ramakrishnaは、侵害されたパスワードが2017年から使用されていることを認めましたが、会社がそれに対処したのは2019年のクマールによる警告だけで、すでに手遅れでした。
SolarWinds攻撃は、歴史上最大のサイバースパイのXNUMXつであり、平均して 12万ドル 潜入した企業ごとの経済的損失。
従業員が適切なパスワード慣行を通じて会社のサイバーセキュリティを強化する方法
今、これまで以上に、企業は基本的なサイバーセキュリティ慣行に投資する必要があります。 非常に単純なパスワードは言うまでもなく、繰り返しのパスワードを受け入れることと、より強力なパスワードを考え出すのに時間をかけることの違いは、会社の何十万もの金融資産を保護することです。 実際、 ホワイトペーパー サイバー保険会社Coalitionによると、サイバー犯罪者からの平均身代金需要は、230,000年の第2020四半期の338,669万ドルから、同じ年の第47四半期の6ドルに跳ね上がったことが明らかになりました。 これは、わずかXNUMXか月でXNUMX％の増加です。
企業や他の組織も、サイバー犯罪者が他のギャングと同盟を結んでいることに注意する必要があります。パスワードが侵害されると、パスワードが地下のフォーラムで急速に共有され、攻撃のポイントが増える可能性があります。 実際には、 研究 アガリによると、侵害されたパスワードは、フィッシングWebサイトやフォーラムで共有されると、すぐにごちそうになります。 彼らがこれらのポータルに偽のアカウントの資格情報を投稿したとき、20％がわずか40時間で侵入し、XNUMX％がわずかXNUMX時間以内に侵害されました。
以下は、コンピュータサイエンスのバックグラウンドがない従業員でも、会社のサイバー防御を強化するために実装できる実用的なヒントです。
文字の置換とパスフレーズを使用して、パスワードを工夫してください
NEW CooperativeとSolarWindsの場合に見たように、サイバー壁に小さなへこみがあっても、高度なサイバー攻撃が発生する可能性があります。 では、どうすれば、chicken1やsolarwinds123よりも優れたパスワードを思い付くことができるでしょうか。
まず、アカウントのパスワード要件を確認します。 現在、ほとんどのプラットフォームでは、ユーザーは大文字、小文字、数字、記号を含める必要があります。
文字の置換とパスフレーズは、ありふれた単語から強力なパスワードを作成するための優れた組み合わせ戦略です。 たとえば、あなたはペットのトカゲを飼っているので、次のようなフレーズを選択できます。トカゲはうろこ状ですが、私はそれらが好きです。 次に、文字の一部を数字または記号に置き換えることができます。 文字「i」は1になり、文字「s」は5になり、文字「a」は@になります。 scalyという単語の後に「、」のような文字を付けることもできます。 したがって、パスフレーズは次のようになります：L15 @ rd5 @ re5c @ ly、but1l1kethem。 これをタイプするのは最初は厄介ですが、あなたの脳は何度も繰り返すことですぐにそれに適応します。
パスフレーズ+文字置換の良い点は、個人的または意味のあるものを障害としてではなく利点として記憶するという人間の脳の傾向を扱うことです。 ペット、家族、お気に入りの場所など、身近なものの単語を組み合わせることができますが、スタンドアロンの単語だけでなく、それらをフレーズにつなげて、一意のコードを考え出すようにしてください。 パスフレーズは、ランダムな文字の寄せ集めに比べて、間違いなく覚えやすいです。 また、コードを使用した文字置換は他のパスワードに繰り返すことができますが、コードが何を表すかを知っているのはあなただけです。
パスワードに外国語を含める
外国語のクラスを受講している場合、または外国語を話す方法を知っている場合は、言語スキルを使用してパスワードを強化することを検討する必要があります。
インターネット通信とトランザクションは主に英語で行われるため、「Mam-is baw kayman nan ba-at ya ubi」のようなパスワードを思い付くことができれば、ハッカーはそれを解読するのに苦労するでしょう。 英語では「バナナとサツマイモはきっと美味しい」という意味です。 パスワードが英語で生成された場合、それは一般的なフレーズのように聞こえるので、ハッカーはパスワードを解読する可能性が高くなります。 しかし、フィリピン北部の島の北部にある山岳地帯を起源とする現地の言語で書かれているため、ハッカーは、英語で設定されている可能性が最も高いブルートフォースハッキングソフトウェアを持っていても、推測するのは難しいでしょう。 この戦略を文字置換およびパスフレーズと組み合わせると、アカウントのセキュリティがさらに向上します。
外国語を使用することのもう一つの良い点は、それが認知運動になるので、それらがあなたの脳を健康に保つことです。 ですから、別の言語を学ぶ良い動機があります！
パスワードにスペースを入れてください
倫理的ハッカー、ED Skoudis、 株式 ITの知識が最も少ない従業員でも、パスワードを強化するためにできる簡単なことのXNUMXつは次のとおりです。
「パスワードを攻撃しにくくするためにもできる本当に簡単なことがあります…パスワードにスペースを入れるだけで、今ではすべてのシステムがそれをサポートしているわけではありませんが、一部はサポートしていますが、コンピュータ攻撃者としてあなたに言っています。パスワードにスペースを入れると、パスワードを解読したり推測したりするのが難しくなります。 あなたはそれをどこかの真ん中に置くことができます。 たぶん、いくつかのスペースを入れてください。 パスワードにスペースを入れるのに最も陰湿な場所は最後ですが、その理由はわかりますか？ 攻撃者がパスワードの解読に成功すると、攻撃者の画面にパスワードが表示され、スペースが表示されないからです。 そのため、彼らは侵入し、スペースを入力していないためにパスワードが機能しない理由を疑問に思ってアカウントをロックアウトします。 そして、悪者がアカウントにアクセスするよりも、自分のアカウントをロックアウトしたいのです。」
パスワードマネージャーを使用する
この記事の冒頭で述べたGoogleとHarrisPollの調査に戻ると、回答者の24％だけがパスワードマネージャーを使用し、55％だけが用語を正しく定義できたというのは悲しい発見でした。 したがって、これにより、企業は、従業員が使用できるシステムを実装し、パスワードマネージャーの利点についてより多くの教育を受けることができます。
さまざまなアカウントの長いランダム化されたパスワードを覚えて入力する必要がないようにしたい場合は、同期機能とパスワード生成機能によりさまざまなアカウントに簡単にアクセスできるため、パスワードマネージャーは優れたソリューションです。
かつて悪名高いハッカーからセキュリティコンサルタントに転向したKevinMitnickから入手してください。 言う: 「パスワード マネージャーを使用すると、残りの資格情報を管理できるため、マスター パスワードを選択してパスワード マネージャーのロックを解除すると、残りはパスワード マネージャーが処理します。 そして実際に設定することもできます これらのパスワードマネージャー たとえば、15 文字のパスワードをランダムに作成します。」
最後の言葉
この記事から実用的なことを学んだことを願っています。このサイバーセキュリティ意識月間では、ビジネスだけでなく日常生活においてもサイバーセキュリティの重要性について学ぶことをお勧めします。 安全を確保し、警戒を怠らないでください。
