日本の従業員、半数近くがリスク承知で危険行動 ～ プルーフポイント「2024 State of the Phish」

　日本プルーフポイント株式会社は2月27日、第10回目となる年次レポートの最新版「2024 State of the Phish」（英語版）を発表した。

　同レポートは、生成AI、QRコード、多要素認証（MFA）が悪意のある攻撃者に悪用されている等の脅威の状況について、プルーフポイントが世界中の23万組織でスキャンした2兆8,000億通を超えるメールのテレメトリと1年間に送信された1億8,300万通のフィッシング攻撃のシミュレーションから得られた知見に基づいて解説している。

　また同レポートでは、日本を含む主要15ヶ国（日本、アメリカ、韓国、シンガポール、オーストラリア、カナダ、ブラジル、フランス、ドイツ、イタリア、スペイン、イギリス、オランダ、スウェーデン、アラブ首長国連邦）における7,500人の従業員と1,050人のITおよびセキュリティ担当者の認識についても調査を行っている。

　同レポートによると、日本の従業員の47％（世界平均：71%）が、パスワードの再利用や共有、未知の送信者からのリンクのクリック、信頼できない送信元への認証情報の提供などのリスクのある行動を取っていることを認めており、そのうち98％（世界平均：96％）は、内在するリスクを承知の上で行動していたことが判明した。危険な行動の動機はさまざまで、ほとんどの日本の従業員は利便性（54％）や時間の節約（34％）、緊急性（19％）を主な理由として挙げている。

　多要素認証（MFA）をバイパスするフレームワーク「EvilProxy」を使った攻撃が毎月100万件以上行われているにもかかわらず、日本のセキュリティ担当者の84%（世界平均：89%）はMFAがアカウント乗っ取りを完全に防いでくれると信じていることを挙げ、憂慮している。

　メール詐欺を報告する組織は世界的に減少しているが、日本（62%、前年より12ポイント増）では攻撃件数が増加しており、その理由として、日本や韓国、アラブ首長国連邦では文化や言語の障壁から以前はBEC攻撃が少なかった可能性があるが、攻撃者は生成AIでより説得力のあるパーソナライズされたメールを多言語で作成できるようになった点を挙げている。

　過去1年間にランサムウェアの感染を経験した日本の組織は38%（世界平均：69%）で、被害組織のうち32%（世界平均：54%）が攻撃者への支払いに同意したが、1回の支払い後にデータへのアクセスを回復したのはわずか17%（世界平均：41%）と、前年の50%から減少している。

　日本プルーフポイントのチーフ エバンジェリスト 増田幸美氏は「サイバー攻撃のほとんどが人的要素に起因するにも関わらず、日本においては調査組織のうち半数以下しか人的リスクを可視化できていませんでした。これは調査15か国中最下位に位置します。」とコメントしている。