第3回：データの流出 – データ窃盗犯の目的

組織のセキュリティ対策
2016.3.15

データの流出ブログ連載第３回へようこそ。今回は、データ窃盗犯が何を考え、どのような種類やフォーマットのデータが最も狙われやすいのかを詳しく見ていきたいと思います。懐疑的な読者のためにまずお伝えしておくと、500人以上のセキュリティ専門家を対象とした弊社の一次調査でも、大手企業に対する最も高度な攻撃の目的は、シンプルかつ明白にデータの窃取でした。アジア太平洋地域ではセキュリティ侵害の90%、北米では84%、英国では80%が、データを盗み取ることを目的としています。

誰が何を入手しているのか

ご存じのように、データ窃盗犯の大多数は、スリルを求めているわけではなく、不正に利益を得るため、時間と手間をかけています。犯人は、退廃した「ウルフ・オブ・ウォールストリート」と同類の抜け目のないビジネスパーソンになりすましています。欲しいものは何か、そして最も高い投資利益を生み出すものは何かを把握しています。彼らのリストでは、最も商品価値が高いのが顧客情報で、次いで社員の情報、知的財産、クレジットカード情報という順番になっています。最初の2つのデータカテゴリには個人を特定できる情報が満載で、ハッカーのブラックマーケット、いわゆるダークウェブではクレジットカード情報の10倍の値段（英文）で売れるため、これは当然ともいえる結果です。Intel Security EMEAのCTOであるRaj Samaniは、盗難データのダークウェブ上での具体的な価格についてこちらのブログ（英文：What Is Your Customer Data Worth?）で言及しています。

ここまでは外部の人間（アウトサイダー）を想定した話ですが、オフィス内で毎日すれ違っているような、社内にいる人間（インサイダー）についてはどうでしょうか？「Grand Theft Data（英文：データ窃盗）」と題した弊社のレポートでは、インサイダーは社員情報を好む傾向があることがわかりました。おそらく、企業の社内HRシステムのことがわかれば簡単に入手できるからでしょう。我々の調査によると、内部の人間が盗むデータは、33%が社員情報で27%が顧客情報で構成されることがわかりました。一方、外部の人間は、こっそりと顧客情報を盗み出すほうに関心が高いことが明らかになっています。

セキュリティをシンプルに

データを盗み出そうとする人は複雑な技法を使ってデータにアクセスするかもしれませんが、最も価値のあるデータは最も基本的なフォーマット、すなわちMicrosoft Office文書、プレーンテキスト/CSV、PDF、画像や動画、XMLで保存されていることも知っているという点に留意してください。私たちのデジタルライフはこういったものでできているのです。外部の人間よりも内部の人間のほうがOffice文書に関心が高いのです。これは恐らく、内部の人間がPowerPointプレゼンテーション、Word文書、Excelのスプレッドシートを毎日自分のデスクトップで目にするからで、悪意があればそれを簡単に悪用したり、悪意がなくても運が悪ければ紛失することもあるからです。逆に、戦略の発表や製品設計が含まれた画像や動画は、外部の人間に、より高く評価されています。私自身も、建物の内部や外観の写真を撮ろうとすると警備員がすぐに駆けつける組織を訪問したことがあります。場合によっては、建物の写真を撮影した社員は解雇されることもあるのです。

すべての貴重なデータはそのフォーマットにかかわらず、格好の標的であることがおわかりいただけたことでしょう。第４回目のブログでは、組織からデータがどのように流出するのかという点について見ていきたいと思います。次回のブログをお待ちいただく間、以下のような情報もご確認ください。