「WannaCry」の拡散続く「クローズドな環境だから安全という思い込みが脆弱性」：IoTセキュリティ（2/2 ページ）

[朴尚洙，MONOist]

制御システム関連ソフトのゼロデイ脆弱性の増加に注意

　会見では、2018年以降の国内サイバー犯罪動向予測についても触れた。製造業関連では、法人のIIoT（産業用IoT）システムへのサイバー攻撃リスクが増大するという。

　トレンドマイクロが2017年1〜9月に確認した、国内におけるSCADAなど制御システム関連ソフトウェアの脆弱性の総数は、同年1〜3月の4件に対して、4〜6月が50件、7〜9月が84件と増加傾向にある。

法人のIIoTシステムへのサイバー攻撃リスクが増大している（クリックで拡大） 出典：トレンドマイクロ

　これらの脆弱性の過半を占めるのが「ゼロデイ脆弱性」だ。ゼロデイ脆弱性は、既に問題が指摘されているものの、その対策が提供されていない脆弱性を指す。岡本氏は「問題があることが分かっていて対策が提供されていないゼロデイ脆弱性は、サイバー攻撃者の格好の的だ。にもかかわらず、IIoTシステムでゼロデイ脆弱性が増加傾向にあるのは、レガシーなシステムへの対応法が整備されていないことが理由だろう」と指摘する。

　これらの他、2017年のサイバー犯罪動向として、2017年3月に発見されたミドルウェア「Apache Struts2」の脆弱性を利用した公開サーバからの情報漏えいや、海外で急増するとともに国内でも幾つかの事例が報告されているビジネスメール詐欺（BEC：Business E-mail Compromise）についても説明している。

2017年における公開サーバからの情報漏えい（左）と3つの脆弱性から考える課題（右）（クリックで拡大） 出典：トレンドマイクロ

ビジネスメール詐欺は2013年10月〜2016年12月の累計で53億米ドルの被害に（左）。2017年は全世界で被害が拡大。2017年1〜11月の合計で約8000件、このうち11件が日本で確認されている（中央）。ビジネスメール詐欺に関する3つの脆弱性から考える課題（右）（クリックで拡大） 出典：トレンドマイクロ