2025年、流出データは657億件へ：盗まれたIDが攻撃の起点に

SpyCloudによると、犯罪フォーラム上で流通するアイデンティティ情報の数が、2025年には前年比23%増の657億件に達したと警鐘を鳴らしています。

リサーチャーは次のように述べています。「フィッシング、マルウェア、サードパーティ経由の侵害、コンボリストが、犯罪エコシステムに膨大なアイデンティティデータを供給し続けています。」

「そのリスクは、単なる情報の流出にとどまりません。流出しているデータは大規模かつ深刻な被害をもたらす攻撃の燃料となります。これほど多くの流出データが出回っていることで、攻撃者は断片的な情報をつなぎ合わせ、アプリケーションやシステムへの初期アクセスを獲得し、その後の攻撃へとつなげることができます。」

アカウントへの侵入や認証情報の窃取に使われる手口として、フィッシングは今も最も広く使われており、その多くが企業を狙った攻撃で成果を上げています。

SpyCloudは次のように説明しています。「フィッシングは依然として、セキュリティチームが最も大きなリスクとして挙げる脅威であり、ランサムウェア攻撃で最も悪用されている侵入口でもあります。」

「最新のデータは、フィッシングが想像以上の成功率で企業を標的にしている事実を裏付けています。フィッシングサイトにデータを入力することは、攻撃者に重要なシステムへ入り込むための鍵を渡しているようなものです。流出したアイデンティティ情報の半数近くが企業に関連するものであり、特定の攻撃キットではその割合がさらに高まることもあります。これは、企業の既存のセキュリティ対策が、この脅威を食い止められていないという現実を浮き彫りにしています。」

こうした脅威を加速させているのが、特別なスキルのない攻撃者でも高度な標的型攻撃を仕掛けられる「フィッシング・アズ・ア・サービス（PhaaS）」プラットフォームの存在です。

「偽サイトのデザインからMFA（多要素認証）の回避機能、さらには標的を選別するためのメールテンプレートまでのフィッシングのプロセスが『商品化』されたことで、高度な攻撃手法が民主化されてしまいました。その結果、新たに参入した技術力の低い攻撃者でも組織レベルの攻撃を実行できるようになり、脅威環境にはそうした攻撃者が次々と流れ込んでいます。さらに、AIによるパーソナライズ化や、より詳細な情報を盗み出す情報窃取マルウェアが組み合わさることで、PhaaSはランサムウェアやアカウントの侵害における主要な初期侵入経路になりました。より大きな被害は、そこから始まります。」

KnowBe4は、従業員一人ひとりが日々の業務において、より的確なセキュリティ判断を下せるよう支援します。現在、世界で7万社を超える組織がKnowBe4のHRM+プラットフォームを信頼し、セキュリティ文化の醸成とヒューマンリスクの低減を実現しています。

詳細については、Spy Cloudの記事をご参照ください。