4種類のサイバー攻撃——実証済み防止戦略

2020年が教えてくれたことがあるとすれば、変化は本当に一夜にして起こり得るということだ。最初のコロナウイルスシャットダウン、外出制限命令、物理的ビジネスの閉鎖から数日以内に、アメリカ人はトイレットペーパーや食料品のような商品の購入方法を変えざるを得なくなった。

これらの新しい習慣は定着した。米国国勢調査局のデータによると、2020年のEコマース売上は7,917億ドルに達し、2019年から32.4%増加した。COVID-19ワクチン接種が全国で進む中、多くの人がパンデミック前の正常さに戻ることをためらっている。First Insightの調査によると、推定40%の消費者がワクチン接種後も店舗での買い物を同量かそれ以下にする予定だと答えている。

より多くの人がオンラインで商品を購入する中、ハッカーはこれらの取引で共有される個人情報の海を悪用している。パンデミック初期、FBIは1日3,000〜4,000件のサイバーセキュリティ苦情を受けたと報告しており、パンデミック前比400%増だ。Webscaleが2021年グローバルEコマースセキュリティレポートで調査した1,572社のEコマースマーチャントは、ピークセールスイベント中にサイバーセキュリティ脅威が最大のビジネス課題だったと報告している——悪質ボット、SQLインジェクション、クロスサイトスクリプティング（XSS）攻撃、分散型サービス拒否（DDoS）攻撃、Magecart攻撃など。大多数のビジネスにとって、これらのセキュリティインシデントの財務的影響は大きく、平均10万〜25万ドルの範囲だ。

昨年、サイバーセキュリティがすべてのEコマースビジネスにとって最優先事項であるべきだと教わった。彼らは今後3年間でセキュリティ支出を15〜20%増やすことを約束している。今後の道に備えるため、この画期的なEコマースイヤーに浮上したトレンドと、現在および将来的にこれらの脅威に対処できるテクノロジーを理解することが重要だ。

頻度と劇的な経済的影響で昨年際立った4種類のサイバー攻撃：Magecart攻撃、カーディング攻撃、クレジットカード詐欺、ランサムウェア。

Magecart攻撃

Magecart型攻撃は、2020年およびそれ以降のEコマースにとって最大の脅威だった。これは、デジタルスキミングやフォームジャッキングで顧客の個人識別情報——特にクレジットカード詳細——をハッキングし、ダークウェブで売却する13の異なるサイバー犯罪グループの総称だ。最大のMagecart型攻撃の1つは、2018年9月のBritish Airwaysへのもので、最大38万人の顧客に影響し、航空会社に2億3,000万ドルの罰金をもたらした。小売サイトはサードパーティベンダーとオープンソースコードライブラリを使用してリッチな顧客体験を提供している。残念ながら、これらのスクリプトはブランドとビジネスにリスクをもたらす。

このような攻撃を検知・防止する方法はいくつかある。リアルタイムコンテンツセキュリティポリシー（CSP）保護は、ブラウザとアプリケーションサーバー間の信頼を高め、信頼ドメインを検証し、ブロック済みドメインのスクリプト実行を防止する。多要素認証（MFA）も、管理者を認証済みユーザーのみにロックダウンすることで役立つ。これはセキュリティの重要な第一歩であり、悪意あるアクターがバックエンドへアクセスするのを防ぐ。

カーディング攻撃

これはサイレントキラーだ。クレジットカード情報が盗まれると、サイバー犯罪者はダークウェブで売却するかクレジットカード詐欺に使用するため、カードを検証しなければならない。Eコマースサイトは、低額取引を試行することでカードを検証するために使用される。このプロセスで多数のAPI呼び出しが行われる。サイトに厳格なセキュリティがあれば、この種の悪意あるトラフィックを迅速に特定し、チェックアウトプロセスでレート制限を発動して攻撃を防御できる。

クレジットカード詐欺

多くのEコマースマーチャントはクレジットカード詐欺検知システムを導入していない。それがないと、Eコマースサイトは格好の標的になる。インテリジェントな詐欺検知・緩和ソリューションは、連絡先と配送先住所、原産国、IPの異常を検知し、疑わしい取引をフラグする。

ランサムウェア

2020年、ランサムウェアは組織間で最も一般的なサイバー攻撃の1つになった。ランサムウェアは、コンピューターシステムに感染し、問題を緩和するために金銭の支払いを要求する悪意あるソフトウェアだ。最新の注目すべき攻撃は、2021年3月のPCメーカーAcerへのもので、史上最高額の身代金——5,000万ドルをMonero暗号通貨で支払う——が要求された。高リスクだが、企業がランサムウェア攻撃からの被害を最小限に抑えるために取れる行動がある：

• オフラインバックアップを維持する。 バックアップファイルの可用性は、ランサムウェア攻撃からの迅速な復旧を助ける。
• データ窃取防止戦略を実装する。 今日、企業は大量のデータをクラウドストレージプラットフォームにアップロードしており、悪意あるアクターが悪用できるため、これは極めて重要だ。
• ユーザーアカウント行動を監視する。 ユーザー行動を監視・分析し、潜在的セキュリティリスクを特定する。悪用を疑ったら迅速に行動する。
• 企業ネットワークへのすべてのリモートアクセスポイントに多要素認証を導入する。 攻撃者にとって脆弱なエントリーポイントであるリモートデスクトッププロトコル（RDP）アクセスの保護または無効化に焦点を当てる。
• ペネトレーションテストを実施する。 企業ネットワークの弱点と、CVE-2019-19781のような脆弱性を特定し、パッチ適用を優先する。

2020年は世界にとって困難な年だった。同時にEコマースセグメントにとっては著しい成長と機会の年でもあり——悲しいかな、サイバー犯罪にとっても最高の年だった。今日のサイバー犯罪ネットワークは資金力があり、組織化され、高度な能力を持つ。これらのグループが運営を拡大する中、サイバーセキュリティ業界は攻撃予測と、無数のサイバー脅威を監視・特定・防御するソリューション開発で向上している。すべての規模のEコマースビジネスは、2020年に生じたサイバー犯罪脅威の先手を打ち、2021年以降も継続するため、以下の4ステップ計画に従うべきだ：

• 自社のセキュリティ脆弱性と、データ侵害の潜在的経済的影響（コンプライアンス罰金、高額な顧客訴訟など）を評価する。
• 顧客、パートナー、ベンダー、従業員を含む完全なエコシステムをカバーするサイバー脅威戦略を策定する。
• インフラ、トラフィック、資産への完全な可視性を提供し、クラウドとEコマースを理解するエキスパートチーム（社内または外部）を備えた、自動化された包括的なサイバーセキュリティサービスに投資する。
• ゼロトラスト戦略を強制する。従業員にサイバーセキュリティベストプラクティス、企業データポリシー、非コンプライアンスのコストを教育する。

明確な計画を持ち、過去1年の教訓を胸に、Eコマースビジネスは2021年もまた成功の年を迎える準備が整う。

Sonal Puri氏はWebscaleの最高経営責任者。