インサイダー情報の売買。内部不正を誘うダークウェブの書き込み

企業を狙うサイバー攻撃は、年々巧妙になっています。
かつてはシステムの脆弱性を突いて侵入する手法が中心でしたが、最近は少し様子が変わってきました。

攻撃者が注目しているのは、企業のネットワークではなく、その中で働く「人」です。 ダークウェブを継続的に調査していると、以下のような投稿を見かけることがあります。

・ 「社内情報を提供できる人はいないか」
・ 「VPNのアカウントを譲ってほしい」
・ 「管理者権限を持つ社員を紹介してほしい」

盗まれた情報が売買されるだけでなく、内部協力者そのものを探す動きが活発になっているのです。

攻撃者にとって、正規の権限を持つ社員は非常に魅力的な存在です。外部から時間をかけて侵入経路を探すよりも、社内で利用されているアカウントを入手できれば、短時間で目的を達成できる可能性が高まります。企業側がセキュリティ対策を強化するほど、その傾向は顕著になっています。

ダークウェブでは「協力者」を探す書き込みが珍しくない

ダークウェブというと、漏えいした個人情報やクレジットカード情報が売買される場所という印象を持つ方も多いでしょう。もちろん、それは現在でも主要な取引の一つです。

しかし近年は、それとは性質の異なる投稿も増えています。企業の内部にいる人間へ直接協力を呼び掛ける内容です。

投稿には企業名や業種が具体的に書かれていることもあれば、「製造業の社員」「金融機関で働いている人」「クラウド管理者」といった条件だけが示されていることもあります。

求められるものも、顧客リストや設計図のような機密情報だけではありません。

・　社内で利用しているVPNアカウント
・　リモートアクセス環境
・　Active Directoryの権限
・ クラウドサービスの管理画面へアクセスできる資格情報

上記のような「攻撃の足掛かりとなる情報」も高く評価されています。

こうした投稿を見ると、攻撃者が求めているのは「データ」だけではないことが分かります。企業の中へ入り込むための入口を探しているのです。

攻撃者が内部の人間を狙う理由

企業ではEDRや多要素認証（MFA）、ネットワーク監視などのセキュリティ対策が広く導入されるようになりました。その結果、外部から正面突破することは以前より難しくなっています。

そこで攻撃者が目を向けたのが、人の持つ権限です。

正規のアカウントを使ったアクセスは、一見すると通常業務と区別がつきません。盗み出した認証情報や内部協力者から提供されたアカウントを利用すれば、侵入の初期段階で不審な挙動として検知されにくくなるケースもあります。

近年のランサムウェア攻撃でも、最初からマルウェアを送り込むのではなく、社内ネットワークを十分に調査してから暗号化を実行するグループが増えています。そのためには、内部の情報や正規のアクセス権限が大きな武器になります。

攻撃者にとって、内部協力者は「侵入口」であると同時に、「社内の案内役」でもあります。どこに重要なサーバーがあり、どの部署が機密情報を管理しているのか。そうした情報を知っている人が一人いるだけで、攻撃の成功率は大きく変わります。

売買されるのは機密情報だけではない

「情報漏えい」と聞くと、顧客名簿や設計図、研究データなどを思い浮かべるかもしれません。 しかし実際には、一見それほど重要に見えない情報が攻撃の出発点になることも少なくありません。

・　社内の組織図やメールアドレスの一覧
・　人事異動のお知らせ
・　利用しているクラウドサービスの名称
・　ネットワーク構成の概要

これらは一つひとつ見れば、公開されても大きな問題にならないように見える情報です。

ところが、攻撃者はそれらを断片的に集め、OSINT（Open Source Intelligence）で収集した公開情報と組み合わせます。すると、標的企業の組織構成や利用システム、人間関係まで推測できるようになります。

その結果、本物と見分けがつかないフィッシングメールを作成したり、特定の社員だけを狙った標的型攻撃を仕掛けたりすることが可能になります。

社員本人は「この程度なら問題ないだろう」と考えて提供した情報でも、攻撃者にとっては十分な価値を持っている場合があります。

内部不正は「悪意のある社員」だけの問題ではない

内部不正という言葉には、「会社を裏切る社員」というイメージが付きまといます。

もちろん、金銭目的で機密情報を持ち出すケースは存在します。しかし、それだけが内部不正ではありません。会社への不満や人間関係のストレス、評価への不公平感、退職を控えたタイミングなど、さまざまな要因が重なった結果として、不正に手を染めてしまうケースもあります。

攻撃者はそうした心理を巧みに利用します。

最初から「機密情報を売ってほしい」と持ち掛けることは多くありません。

１．「簡単なアンケートに答えてほしい」
２．「業界調査に協力してほしい」
３．「転職の相談に乗りたい」

といった自然なやり取りから関係を築き、少しずつ社内情報を聞き出していきます。

やがて「社内で使っているセキュリティ製品を教えてほしい」「利用しているVPNの種類を知りたい」といった質問へ発展し、それがさらに認証情報やアクセス権限の提供へとつながることがあります。

本人は「たいした情報ではない」と思っていても、その積み重ねが企業全体のリスクを高める結果になりかねません。

「自社は大丈夫」という思い込みが最も危険

内部不正の話題になると、「うちにはそんな社員はいない」「信頼しているから問題ない」という声を耳にすることがあります。

社員を信頼することは、組織運営において欠かせない考え方です。しかし、サイバー攻撃の世界では、その信頼関係を悪用しようとする人間が存在します。

だからといって、社員を疑い続ける組織をつくるべきだという話ではありません。

重要なのは、誰もが標的になり得るという前提に立つことです。攻撃者は企業規模や業種を問わず、少しでも突破口があれば接触を試みます。内部不正対策は、社員を監視するためではなく、「社員を犯罪へ巻き込まないための仕組みづくり」と考えるべきでしょう。

内部不正を防ぐために企業が取り組むべき対策

内部不正による情報漏えいを防ぐためには、「不正をする人を見つける」という発想だけでは十分ではありません。

重要なのは、不正が起こりにくい環境を整え、万が一発生した場合にも早期に発見できる仕組みを作ることです。近年の情報セキュリティ対策では、外部からの攻撃だけでなく、内部から発生するリスクも含めて管理する考え方が求められています。

権限管理を見直し、必要以上のアクセスを与えない

内部不正対策で最初に確認すべきポイントは、従業員が持つアクセス権限です。業務上必要な範囲を超えた権限が付与されている場合、不正利用やアカウント侵害が発生した際の被害は大きくなります。

例えば、営業担当者が開発部門の機密情報へアクセスできたり、退職予定者が長期間にわたって重要システムの権限を保持していたりする状態は、企業にとって大きなリスクになります。

権限は一度設定すると、そのまま放置されてしまうことがあります。組織変更や異動、退職が発生した際に適切な見直しが行われなければ、不要な権限が残り続けるからです。定期的な権限レビューを実施し、現在の業務に必要なアクセスだけを許可する仕組みが求められます。

近年注目されている「ゼロトラスト」の考え方も、こうした内部リスクへの対応と深く関係しています。「社内ネットワークだから安全」「一度認証したから信用できる」という前提を置かず、アクセスする人や端末、利用状況を継続的に確認することで、不正利用のリスクを抑える考え方です。

ログ監視によって異常な行動を早期に把握する

内部不正を完全になくすことは簡単ではありません。そのため、発生を防ぐだけでなく、不自然な行動を早い段階で検知する仕組みも必要になります。

重要になるのが、アクセスログや操作履歴の管理です。

・　普段利用していない時間帯に大量のファイルへアクセスしている
・　通常では利用しないシステムへ接続している
・　大量のデータを外部へ転送している

上記のような通常業務とは異なる動きは、内部不正の兆候になる可能性があります。

ただし、ログを取得するだけでは十分ではありません。膨大なログの中から本当に注意すべき変化を見つけるには、継続的な分析が必要です。最近ではAIを活用したログ分析やUEBA（User and Entity Behavior Analytics）など、利用者の通常行動との差異を検出する仕組みも活用されています。

内部不正は突然発生するように見えても、その前段階には小さな変化が現れることがあります。その変化を見逃さない体制づくりが重要です。

セキュリティ教育は「ルールを伝える」だけでは不十分

内部不正対策というと、従業員向けのセキュリティ教育を思い浮かべる企業も多いでしょう。しかし、単純に「情報を持ち出してはいけません」「パスワードを共有してはいけません」と伝えるだけでは十分ではありません。

なぜその行動が危険なのか、もし情報を渡してしまった場合に企業や取引先へどのような影響が発生するのかを理解してもらうことが重要です。

また、近年は社員自身が攻撃対象になるケースも増えています。ダークウェブ上で内部協力者を探す投稿が存在する以上、従業員一人ひとりが「自分も狙われる可能性がある」と認識する必要があります。

怪しい依頼を受けた場合や、不審な接触を受けた場合に相談できる窓口を用意しておくことも有効です。相談しやすい環境があれば、問題が深刻化する前に対応できる可能性が高まります。

退職者・異動者への対応を徹底する

内部不正リスクが高まるタイミングの一つが、退職や異動の前後です。退職予定者が大量のファイルをコピーしたり、個人のクラウドストレージへデータを移したりするケースは過去にも発生しています。

もちろん、すべての退職者を疑う必要はありません。しかし、退職や異動という環境変化が発生した際には、アクセス権限の確認やアカウント管理を確実に行うことが重要です。

退職後もアカウントが有効になっている、不要な権限が残っているといった状態は、内部不正だけでなく、第三者によるアカウント悪用の原因にもなります。人事部門と情報システム部門が連携し、入社から退職までのアカウント管理プロセスを整備することが求められます。

ダークウェブ監視によって「狙われている兆候」を把握する

内部不正対策というと、社内のアクセス管理や教育に目が向きがちです。しかし、攻撃者がどのような情報を求めているのか、自社に関連する情報が外部で取引されていないかを把握することも重要です。

ダークウェブでは、企業名やドメイン名、社員情報、認証情報などが売買されることがあります。問題は、企業がその事実に気付くまで時間がかかるケースが多いことです。

情報が流出してから数か月、場合によっては数年後に発見されることもあります。その間に攻撃者が情報を利用すれば、不正アクセスやサイバー攻撃へ発展する可能性があります。

そこで有効になるのが「ダークウェブ監視」です。

ダークウェブ監視では、自社に関連する情報が不審なサイトやコミュニティ上で確認されていないかを継続的に調査します。社員のメールアドレスや認証情報が流出していないか、企業名が攻撃者間で話題になっていないかを早期に把握できれば、被害が発生する前にパスワード変更やアクセス制御の強化など、必要な対応を取ることができます。

サイバー攻撃への対応では、「攻撃を受けてから防ぐ」だけでは限界があります。攻撃者が何を狙っているのか、自社に関する情報がどこで利用されようとしているのかを把握し、先回りして対応する姿勢が重要です。

内部不正対策は「人」と「情報」の両面から考える

インサイダー情報の売買は、決して一部の特殊な企業だけに関係する問題ではありません。あらゆる企業が、従業員や取引先、利用サービスを通じて情報を狙われる可能性があります。

特に現在は、ダークウェブを通じて攻撃者同士が情報を共有し、内部協力者を探す環境が整っています。

企業が取り組むべきことは、社員を疑うことではありません。

・　必要な権限だけを与える仕組みを作る
・　異常な行動を検知できる環境を整える
・　万が一情報が外部へ流出した場合にも早期に気付ける体制を構築する

その中で、ダークウェブ監視は外部で起きているリスクを把握するための重要な手段になります。

社内だけを見ていても、すでに外部で売買されている情報や攻撃者の動きを把握することは困難です。自社に関する情報がダークウェブ上で確認されていないかを継続的に確認することで、情報漏えいや不正アクセスの兆候を早期に発見できます。

内部不正や情報漏えいへの備えとして、アクセス管理や社員教育とあわせて、ダークウェブ監視をセキュリティ対策の一つとして検討する企業が増えています。

「気付いた時には情報が悪用されていた」という事態を防ぐためにも、外部で発生しているリスクを把握する取り組みが重要になっています。