ランサムウェア・アズ・ア・サービス（RaaS）：クラウドベースのサプライチェーンが標的にされる理由

クラウドが増え続けるソフトウェア提供の主要なアクセス手段となるにつれ、あらゆるアプリケーションが「アズ・ア・サービス」配信モデルへ移行しているように見えます。ランサムウェアがクラウドのバンドワゴンに飛び乗ったのも不思議ではありません。

RaaSとは何か

ランサムウェア・アズ・ア・サービス（RaaS）に会いましょう。データネットワークをロックし、所有者から支払い（通常はビットコインなどの暗号通貨）を脅し取って解除する、パッケージ化され、容易に展開可能な手段です。

人気のマネージドサービスと同様、RaaSには24時間テクニカルサポートや、アプリケーションを最大限活用するためのユーザーフォーラムが含まれることがあります。購入者は、月額サブスクリプション、一時ライセンス料、ソフトウェアプロバイダーとの利益分配など、さまざまな方法で「ソリューション」を入手できます。供給形態がどうであれ、RaaSには共通の目標があります：デジタルな大混乱を引き起こし、その過程で莫大な利益を得ること。これが、Cybersecurity Venturesによると、昨年米国でランサムウェア収益が推定200億ドルに急増した主な理由です。

グローバルサプライチェーンの脆弱性

2016年頃からダークウェブで入手可能と報告されて以来、RaaSはランサムウェア拡散の手段として急速に拡大しました。あらゆる規模と技術的洗練度を持つ複数の独立したパートナーで構成されるグローバルサプライチェーンは、特に攻撃に対して脆弱です。大手製造業者、卸売業者、小売業者は、自社内で数百万ドルをかけて厳重なセキュリティ対策を講じているため安全だと思うかもしれません。しかし、最も小さく、一見取るに足らないサプライヤーが、顧客と運営に関する豊富な機密データへの入り口となり得ます。一部の推計では、現在すべてのサイバー攻撃の3分の2がサプライチェーンを経由しています。

過去10年間で数と用途が爆発的に増えたモバイルデバイスは、感染の一般的なベクトルです。「ある開発者の下請けが、クライアント向けのAPIベースのソフトウェア拡張を構築するために入ってくるとする。彼らのコードが安全かどうか、どう知るか？彼らが使用するデバイスを守っているか、どう知るか？」と、SAP Procurementのグローバル製品戦略担当バイスプレジデント、Padmini Ranganathan氏は言います。

クラウド内の組み込みシステムの保護にも同様に警戒が必要だとRanganathan氏は指摘します。クラウドテクノロジー自体が自動的なセキュリティ脅威ではないものの、IoT（モノのインターネット）に接続されたデバイスの増加によりリスクレベルが上昇します。企業は、データにアクセスするすべてのデバイスとシステム（外部・内部両方）の厳格な監査を実施することで対応する必要があります。

過小評価される「リスクとしての価値」

RaaSがサイバー犯罪者によるネットワークの身代金要求を容易にした今、民間企業と政府機関がデータ保護に特別な注意を払っていると思われます。しかし、近年のランサムウェア攻撃の相次発は、そうではないことを示唆しています。2021年だけでも、石油パイプライン、食肉業者、化学品卸、自動車メーカー、さらにはマーサズ・ヴィニヤードのフェリーサービスが被害を受けました。攻撃を受けた主体にパターンは見られません──ただ、驚くほど容易に仕掛けられる攻撃形態に対して、すべてが脆弱であったというだけです。

中小ベンダー（大手であっても）は、サイバーセキュリティに投資するリソースがないと主張するかもしれません。Ranganathan氏は、問題を適切なフレームで捉えていないと指摘します。確かに、適切なセキュリティ対策は取得にコストがかかり、バランスシート上では一時的な負担になります。しかし、サイバー攻撃からの復旧コスト、特に数百万ドルに上る身代金要求のコストはどうでしょう？小売業者やサービスプロバイダーの怠慢により顧客の機密個人データが漏洩し、激怒した顧客を失う損失は？「我々は『リスクとしての価値』の概念を過小評価している」とRanganathan氏は言います。

コストをかけずにできる重要な対策

サイバーセキュリティの重要な側面の一つは、必ずしもコスト増を伴いません。システムやデバイスを通じた侵害の脅威に対する従業員の意識と勤勉さです。最初から何も信用すべきではありません。多くの場合、成功する攻撃はテクノロジーの脆弱性ではなく、人的な不注意に起因します。

ハッカーの手口は進化し続けています。今日のランサムウェア攻撃は、今後数年で全く新しい形を取るでしょう。テクノロジーは常に変化する脅威に追いつこうと努めますが、システム設計者から最もカジュアルなユーザーまで、継続的な警戒が鍵です。

企業は、セールス、マーケティング、新製品開発というより派手な世界と同じ注意を、システムセキュリティに払う必要があります。Ranganathan氏は言います。「急速なイノベーションの名の下に、アーキテクチャの衛生管理から目を離すことはできない。」