名和利男氏

コロナ禍で私たちの社会活動やビジネス環境が大きく様変わりした。同様に攻撃者（犯罪責任を持つ行為者）の手口も大きく変化し、特にVPN脆弱性の悪用や多要素認証の回避などが顕在化している。全ての関係者に適切な脅威とリスクを認識していただくべく、「時系列」と「図解」で攻撃手口の変化を説明する。

コロナ禍の影響を受けて、私たちの社会活動やビジネス環境が大きく様変わりしたのと同様に、攻撃者(犯罪責任を持つ行為者)の手口も大きく変化した。特に、VPN脆弱性の悪用や多要素認証の回避などが顕在化。すべての関係者に適切な脅威とリスクを認識していただくべく、「時系列」と「図解」で攻撃手口の変化を説明する。

人間の心や考え方を、"主導権を握るための新たな戦闘空間”あるいは"争奪領域"と位置づける認知戦の目的は、不協和を起こし、対立する物語（ナラティブ）を扇動し、意見を二極化させてグループを過激化することとされています。これにより敵対国における結束の強い社会を崩壊させたり、分裂させるような行動を人々に起こさせる可能性があります。ここ数年、その疑いのあるとされる事象が次々に報告されています。本講演では、それらの常套手段とその象徴的な事例を紹介しつつ、ウクライナ情勢で多用され、進展した状況を解説します。

近い将来に日本周辺で発生する可能性のある有事（軍事戦と経済戦）に関連して、社会インフラに深刻な影響を与えるサイバー攻撃や認知戦が発生する可能性が高くなっています。特に、現下のウクライナ情勢に見られる「ロシアとウクライナの軍事戦」と「ロシアと西側の経済戦」に連動したサイバー攻撃や認知戦において、これまで想定されていた戦術や手口とは大きく異なるものが観測されています。そのため、現在（平時）におけるシステムの開発・改修・運用・保守における想定リスクを大きく見直し、今後のサイバー脅威に備えなければなりません。

講演者の登壇内容は、下部の「登壇イベントはこちら」からご覧ください。

ウクライナへのロシア侵攻前後に、データ破壊マルウェア、サイト改ざん、DDoS攻撃、SNSやSMS（ショートメッセージサービス）を利用した影響工作、衛星デバイスへの信号妨害や機能破壊など、非常に多くのサイバー攻撃や情報戦が観測されました。いずれも、ここ数年間、ロシアが仕掛けたサイバー攻撃や情報戦のTTP（戦術、技術、手順）から大きく外れるものではありませんが、幾つかの「進展」が見られます。この「進展」を見逃してしまうと、既存のセキュリティ対策の有効性が低下する可能性があります。本講演では、このような観察から得られた教訓を、近い将来における「日本周辺の有事」に備えた対策として考えたいと思います。

最近、サプライチェーン攻撃リスクの高まりから、その対策に関する理解や知識が急激に広まっているが、それらの利用主体は「調達元」がほとんどである。そして、対策例には、「調達先や委託先等」に負荷をかけるばかりのものが並んでいる。一般的に、サプライチェーン上にある「調達先や委託先等」の企業は取引上の立場が弱く、適正な取引に課題を抱えること多い。それに畳み掛けるように、サイバーセキュテリィ対策の負担をしなければならない状況にある。そして、何をもって適正な対策であるかを知るよしもなく、過剰／過小な対策に陥ることすらある。本講演では、このような観点で、「委託先や共有先」に寄り添った、現実的で少しでも有効性を高めるための「サプライチェーン攻撃対策」のあり方について考える。

サプライチェーン攻撃は、サプライヤーや委託先等を脅威とみなしたものとなるため、理想的な対策は、「業務連携する他組織（サプライヤーや委託先等）」から脅威を排除することである。しかしながら、規模の大きい組織でさえ、今のサイバー脅威から守るために多大なコストと人的リソースを要しながらも100%守ることが困難な状況にあるのに、規模が相対的に小さいサプライヤーや委託先に対して同様な努力を押し付けることは現実ではない。そこで、ここ7-8年の間、世界各国で繰り返し発生しているサプライチェーン攻撃から、象徴的な事例をレビューし、得るべき教訓とそこから必然的に導出される現実的な対策を考える。

目まぐるしく移り変わる「国際情勢」や世界中で高まる「地政学的リスク」に強く影響を受ける形で、これまでの金銭獲得目的の「サイバー犯罪グループ」、特定の主義主張を持つ「ハクティビスト」、神出鬼没な「個人のハッカー」とは全く異なる、「国家や国家の支援を受けるアクター（国家アクター）」のサイバー活動（オペレーション）が活性化し、重要組織に加えて、一般の組織や個人も標的にするケースが見られています。 そこで、ここ数年「国家アクター」が有事（武力衝突）以前に実施していると分析・評価された事象を合理的に組み合わせた「最悪のシナリオ」を紹介しつつ、最近の政府機関が求める標準レベルのセキュリティ対策を実装した組織が、どのような（潜在化・顕在化）インシデントを経験するのかについて考えます。