米マイクロソフト コーポレートバイスプレジデントのベン ファティ氏
米マイクロソフト コーポレートバイスプレジデントのベン ファティ氏
[画像のクリックで拡大表示]

 「インターネットの脅威(危険)は、2000年を境に大きく変わっている。攻撃者の動機が、『混乱を発生させること』から金銭に変化しているためだ」。米マイクロソフトのベン ファティ(Ben Fathi)氏は2007年5月18日、記者向けの説明会において、脅威の現状などについて解説した。

 ファティ氏は、Windows コア・オペレーティング・システム部門担当 コーポレートバイスプレジデント。Windowsのコア コンポーネント開発を統括している。

 ファティ氏によれば、攻撃者の目的が大きく変わっているという。「2000年以前、攻撃者の多くは、社会を混乱させることに喜びを感じていた。例えば、短時間のうちに、できるだけ多数のコンピューターを破壊すること(使い物にならなくすること)を狙った。また、たとえ捕まっても、自分の名前が新聞などで報道されることを喜んだ」(ファティ氏)。

 ところが21世紀になって、「オンラインバンクやネットショッピングなどが普及すると、それに伴って攻撃のタイプが大きく変わった」(ファティ氏)。金銭的価値を持つ情報がネットでやり取りされるようになったため、攻撃者はその情報を狙うようになった。「金銭目的で攻撃するようになった」(同氏)。

 重要な情報を盗むことが目的なので、ユーザーに気付かれてはまずい。そこで、「コンピューターを破壊する攻撃から、コンピューターにひそかに侵入し、コントロールするような攻撃(例えば、ボット)に変化した」(ファティ氏)。

 今後は、ユーザーをだまして攻撃を成功させる「ソーシャルエンジニアリング」が、今まで以上に問題になるとファティ氏は予測する。「ソフトウエアのセキュリティが強化されても、ユーザーがだまされてしまえば、パスワードやクレジットカード番号などを盗まれる恐れがある」(同氏)。

 また、アプリケーションを狙った攻撃が増えると予想する。「OSのセキュリティは強化されているので、攻撃することが難しくなっている。そこで攻撃者は、アプリケーションのぜい弱性を狙うようになっている」(ファティ氏)。

 特定の企業や組織のユーザーだけを狙う攻撃(標的型攻撃、スピアー攻撃)も増えるという。目的は、それらの企業や組織が持っている情報を盗むこと。「こういった攻撃は極めて小規模なので、誰にも気付かれず、ニュースになることもない」(ファティ氏)。