CrowdStrike Blog:テレワーク時の安全確保のカギはコミュニケーション ~ CrowdStrike CSO から皆様へ
CrowdStrikeのCSOとして、社内のセキュリティ確保のために重要なのは、当社のすべてのチームとの頻繁かつオープンなコミュニケーションを行い、彼らが組織として、また個人として、日々直面する脅威を認識し、それに対する準備を行えるようにすることです。
CrowdStrikeのCSOとして、社内のセキュリティ確保のために重要なのは、当社のすべてのチームとの頻繁かつオープンなコミュニケーションを行い、彼らが組織として、また個人として、日々直面する脅威を認識し、それに対する準備を行えるようにすることです。セキュリティリーダーが関係者に連絡を取り、最近の攻撃者グループの活動に伴い増大するリスクに対する警戒を訴えることが特に重要です。
詐欺の手口とソーシャルエンジニアリング
攻撃者グループらが、人間の感情の1つである「恐れ」を悪用しようとするのは、驚くことではありません。現在、私たちは感情的にも弱くなっています。攻撃者らはそこに目を付けているのです。危機的な状況下において、人は適切な判断ができなくなる傾向にあります。悪質なハッカーや詐欺師らは、そこに付け込もうとします。
最近では、コロナウイルスの世界的大流行に乗じた詐欺の手口が増加しています。CrowdStrike Intelligenceチームは、その多くの例を収集し、周知しています。ソーシャルエンジニアリングは、企業に侵入するための最も有効な方法であるため、多くの攻撃者に採用される手法です。また、攻撃者らはパンデミックを悪用して、個人情報や企業の知的財産を盗もうとしています。攻撃者らは、COVID-19の最新情報を公開しているように見せかけた悪質なWebサイトやアプリを利用して、マルウェアをユーザーのデバイスに送り込み、ユーザーの情報を盗んだり、デバイスをロックして身代金を要求します。皆が最新のニュースを知りたいと考え、このような戦術に釣られてしまいます。しかし、私たちは恐怖によって判断力を鈍らせるわけにはいきません。私たちが警戒を緩め、このような詐欺に屈すれば、敵の勝ちです。
ソーシャルエンジニアリングでも、最近のテレワークの増加に付け入る隙を狙っています。テレワークする従業員が増えるほど、ソーシャルエンジニアリングのリスクも高まります。同僚と対面することが少なくなった無防備な従業員を騙すのはずっと簡単です。「IT部門」からというその通話は、本当にIT部門からのものでしょうか。「Apple」からのEメールは、本物でしょうか。いったん落ち着いて、自問自答しましょう。その電話やメールの相手は、本当に名乗ったとおりの人物なのか。
オンライン上で安全を確保するための推奨事項
私たち皆の安全のために、すべてのユーザーに、以下のような注意喚起を行ってください。すでに皆が知っていることかもしれませんが、今はその記憶を呼び起こすべき時だと思います。
・知らない相手からのEメール内のリンクは絶対にクリックしないこと。まずは、リンクを観察してみましょう。信ぜよ、されど確認せよ!
・知らない相手からのEメールの添付ファイルは開かないこと。
・アカウント情報の提供や確認を求める内容のEメールや通話には気を付けること。
・Eメールや自動音声電話で、あなたのユーザー名やパスワード、誕生日、マイナンバー、口座情報などの個人情報を聞かれても、決して応じないこと。
・正当なソースから要求された情報を常に個別に検証すること。
・正当なWebサイトのアドレスを確認して、ブラウザ内に手動で入力すること。
・リンクアドレスに、スペルミスや不正なドメインがないかよく観察する(たとえば、アドレスの末尾が「.gov」であるはずのところ、「.com」となっているなど)。
・送金あるいは情報の送信をする前に、電話やテレビ電話で先方に確認をとる。
・消毒用品や防護具の販売、あるいはCOVID-19の予防、治療、診断、治療のための製品については、偽物に注意すること。
セキュリティ意識の向上は、被害に遭わないための最良の方法です。攻撃の標的となっている兆候を見つけるには、一般的なソーシャルエンジニアリングの手口を知っておくことが重要です。「自分はソーシャルエンジニアリング攻撃の被害に遭っているかもしれない」と従業員が疑った場合には、ITセキュリティ担当者に連絡できるようなプロセスが整備されていることを確認してください。
COVID-19に関する正確な最新情報を求めている方向けに、CDC(アメリカ疾病予防管理センター)では広範なガイダンスと情報を公開し、内容を頻繁に更新しています。COVID-19に関する正確な情報ソースとして最適なサイトは、www.cdc.govおよびwww.coronavirus.govです。
CrowdStrike 新型コロナウイルス(COVID-19)とサイバーセキュリティ リソースWebページでも、御社とテレワーカーのセキュリティ確保に役立つ情報を入手できます。
皆さまの今後の安全をお祈りするとともに、オンラインのご利用および在宅勤務のセキュリティについても十分に注意されることを願っております。これらの困難な時期には、私たちが自分自身の精神面、肉体面、感情面に気を配ることが非常に重要です。CrowdStrikeでは、私たちのお客様の組織とあらゆる場所で勤務されている従業員の皆様を守るために全力を尽くしています。しかし、この嵐を無事に乗り切るには、すべての人の意識と警戒心が不可欠です。
追加のリソース
・CrowdStrikeの既存お客様向けの、新規テレワーカーの安全性確保を目的とした2つの新プログラムについて、是非ご一読ください。
・COVID-19時代のサイバーセキュリティへの対応に関して、CrowdStrikeのCEO、George Kurtzがブログで発信しています。
・COVID-19蔓延時におけるサイバーセキュリティ上の課題や、テレワーカーの安全のための推奨事項に関する詳細については、CrowdStrikeのCTO、Mike Sentonasおよびチーフプロダクト・エンジニアリング・オフィサーのAmol Kulkarniのブログをご覧ください。
*原文はCrowdStrike Blog サイト掲載 :https://www.crowdstrike.com/blog/communication-key-to-keeping-remote-workforce-safe/
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威
オランダ半導体製造企業 侵害/doda 転職活動バレ/港湾運営会社 業務停止 ほか [Scan PREMIUM Monthly Executive Summary 2023年11月度]
宇宙航空研究開発機構(JAXA)が今年夏頃に、サイバー攻撃を受け、Active Directory(AD)への侵害を通じて宇宙開発に関する機微情報が漏洩した可能性があることが報じられました。米中をはじめ、日本においても宇宙事業は国家安全保障戦略に含まれていることを勘案しますと、組織としてもう少し考えて行動すべきだったように思います。
-
Microsoft バグ報奨金プログラム 10 周年 バグバウンティは安全性を高めているか?
さらにケイティ・ムーサリス氏を称えた。Microsoft 経営陣はバグに関して、リサーチャーに報酬を支払うことは「絶対ない」と言っていたのだが、ムーサリス氏が中心となって、Microsoft にはバグ報奨金プログラムが必要であると Redmond 上層部を説得した。最終的に Microsoft に転機をもたらしたのは、独自ブラウザで Internet Explorer の市場優位性に挑んできた新興企業Google を打倒したいという思いだった。
-
Ubuntu の OverlayFS においてセキュリティ機構の回避が可能となる権限昇格につながる脆弱性(Scan Tech Report)
2023 年 7 月に、Linux OS で高いシェアを誇る Ubuntu のファイルシステムに、権限昇格につながる脆弱性が報告されています。
-
今日もどこかで情報漏えい 第18回「2023年10月の情報漏えい」千葉県のSDカード“伊達直人”
10 月に最も件数換算の被害規模が大きかったのは、株式会社NTTマーケティングアクトProCX と NTTビジネスソリューションズ株式会社による「NTTマーケティングアクトProCX 元派遣社員 約900万件の顧客情報を不正に持ち出し、一部カード情報も含む」の 約 900 万件だった。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
![オランダ半導体製造企業 侵害/doda 転職活動バレ/港湾運営会社 業務停止 ほか [Scan PREMIUM Monthly Executive Summary 2023年11月度] 画像](/imgs/std_m/43394.jpg)
オランダ半導体製造企業 侵害/doda 転職活動バレ/港湾運営会社 業務停止 ほか [Scan PREMIUM Monthly Executive Summary 2023年11月度]

「楽々Document Plus」にディレクトリトラバーサルの脆弱性

トレンドマイクロ、2023年サイバーセキュリティ動向ふりかえり

Ubuntu の OverlayFS においてセキュリティ機構の回避が可能となる権限昇格につながる脆弱性(Scan Tech Report)

Ruckus Access Point に XSS の脆弱性

Apache Tomcat にリクエストスマグリングの脆弱性
インシデント・事故 記事一覧へ

京都教育大学附属桃山中学校の公用パソコン、サポート詐欺の被害に

ファイルサーバに脅迫文、大西グループに不正アクセス

ECC学習支援システムへの不正アクセス、名古屋芸術大学の在籍学生586人の個人情報漏えいの可能性

積水ハウスのシステム開発用クラウドサーバから顧客情報漏えい、委託先のBIPROGYのセキュリティ設定不備

マツダへの不正アクセス、再発防止策は ASM 導入や多要素認証の実装加速

NTTネクシア元社員が顧客情報を不正利用し nanaco 残高を詐取、懲戒解雇処分に
調査・レポート・白書・ガイドライン 記事一覧へ

不正注文被害のEC事業者は34.4%、年間被害金額は25~50万円が最多

ボットが一般家庭の IP アドレス使用し防御回避、ユーザーは「CAPTCHA地獄」に

代表的な偽アップデートマルウェア配信フレームワーク「SocGholish」分析

EPSS と CVSS を組み合わせた脆弱性ハンドリングを検証

ソースコード診断における ChatGPT の 3 つの長所 ~ MBSD 寺田氏検証

セキュリティの仕事24職種紹介「サイバーセキュリティ仕事ファイル」合本版
研修・セミナー・カンファレンス 記事一覧へ

AeyeScanによるテスト環境の診断方法 ~ エーアイセキュリティラボ 執行役員 関根氏解説

GMOイエラエ、「外部 IT 資産可視化」「継続的脆弱性対策」への ASM 活用セミナー 12/11 開催

GMOイエラエ社長 牧田誠 講演「エンジニアの楽園のつくりかた」~ 12 / 5, 6「GMO Developers Day 2023」オンライン開催

受け身ではなく先回り:CISO はサイバー脅威インテリジェンスをどう読むべきか

「サイボウズ バグハンター合宿 2023」脆弱性 36 件認定

サイバー脅威インテリジェンスの未来 5つの傾向
製品・サービス・業界動向 記事一覧へ

社会や環境に配慮した公益性の高い企業としてクラフを「B Corporation」に認証、国内セキュリティ企業初

宮崎県のサイバーセキュリティベンチャー企業が国際企業認証 B Corp 認定を受けるまで ~ 株式会社クラフ エバンジェリスト村上瑛美インタビュー

不正アクセス禁止法に基づくアクセス制御技術の募集を開始

心の中で思い描いたイメージの脳信号からの復元に成功

「脆弱性のない製品を」NECプラットフォームズ、製品セキュリティポリシー策定

脆弱性診断自動化ツール「AeyeScan」アップデート、重複表示の修正ほか 機能改善実施
おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました!(25周年記念キャンペーンは本日終了です)
![人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典] 画像](/imgs/std_m/43329.jpg)
人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞(上野宣)

小説内に登場するバーで直筆サインをいただきました ~ 創刊24周年キャンペーン 11/30 迄
