2024年のトップ11データ侵害：真の影響を測るにはデータの機密性が件数を上回る理由

データ侵害はますます一般的になっていますが、その真の影響は見出しの数字をはるかに超えています。最近発表されたKiteworksの「2024年のトップ11データ侵害」レポートは、複数の次元にわたる侵害の深刻度を測定するために高度なリスク露出指数を適用し、侵害の影響を本当に決定する要因について驚くべき知見を明らかにしています。この分析は、侵害の深刻度を決定する際に、記録数よりもデータの機密性が重要であることを示しており、盗まれたものの量よりも何が盗まれたかが重要であることを証明しています。

進化するデータ侵害の状況

2024年にはデータの侵害規模が前例のないレベルに達し、17億人以上が侵害通知を受け取りました。組織は4,876件の侵害インシデントを規制当局に報告し、2023年の数字と比較して22%の増加を示しました。さらに懸念されるのは、侵害された記録の劇的な増加で、前年比178%増加し、42億件の記録が露出しました。

この前例のない規模は、National Public Data事件を含むいくつかの「メガ侵害」によって主に引き起こされ、単独で29億件の記録が侵害されました。これらの数字を過去5年間の平均と比較すると、2024年は線形ではなく指数関数的に侵害の影響が増大する重要な転換点を示しています。

業界のターゲティングパターンにおいて注目すべき変化があり、金融サービスが2018年以来初めて医療を上回り、最も侵害されたセクターとなりました。金融機関は主要な侵害の27%を占め、次いで医療（23%）、政府（18%）、小売（14%）、技術（12%）が続きます。この変化は、脅威アクターが金融データを即座に収益化できる可能性を重視していることを反映しています。

2024年に出現した脅威ベクトルには、APIの脆弱性、クラウドの設定ミスの悪用、アイデンティティベースの攻撃、ゼロデイ脆弱性の悪用が含まれ、記録的な90件のゼロデイが発見され、悪用されました。

リスク露出指数の理解

リスク露出指数（REI）は、データ侵害の深刻度と影響を評価し比較するための標準化された方法論を提供します。露出した記録の数などの従来の指標は貴重な洞察を提供しますが、侵害の影響の多次元的な性質を捉えることはできません。REIは、この制限を克服するために、侵害の深刻度をより包括的に評価するための7つの主要な要因を組み込んでいます。

これらの主要な要因には以下が含まれます：

1. 露出した記録の数（重み：15%）： 個々の記録が侵害された生の数が評価の基礎となります。
2. 財務的影響の推定（重み：20%）： 直接的および間接的なコストを考慮した独自のモデルを使用して計算されます。
3. データの機密性分類（重み：20%）： すべてのデータが同等の価値やリスクを持つわけではありません。侵害されたデータは、基本的な連絡先情報から保護された健康情報まで、機密性に基づいて階層化されます。
4. 規制コンプライアンスの影響（重み：15%）： 侵害に適用される規制の状況を評価し、潜在的な罰則や通知要件を含みます。
5. ランサムウェアの関与（重み：10%）： ランサムウェアが関与しているかどうかと運用への影響の期間を考慮します。
6. サプライチェーンの影響評価（重み：10%）： 接続された組織への侵害の連鎖効果を評価します。
7. 攻撃ベクトルの洗練度（重み：10%）： 攻撃の技術的な複雑さを評価します。

各要因は1から10のスケールで個別にスコアリングされ、適切に重み付けされ、最終的なREIスコアを1（最小の影響）から10（壊滅的な影響）までの範囲で生成します。

National Public Data: 最高リスクの侵害の解剖

National Public Dataの侵害は、露出した記録の量で史上最大のデータ侵害として位置づけられています。この侵害は発見されるまで約9か月間未検出のままでした。攻撃者は、同社のAPIゲートウェイの未修正の脆弱性を悪用し、検出システムを回避するために設計された一連の低速なクエリを通じてデータを徐々に抽出しました。

重複排除後、推定12億人のユニークな個人が影響を受けました。侵害されたデータの種類には、フルネーム、社会保障番号、自宅住所、電話番号、メールアドレス、所有物件情報、裁判記録、選挙登録データが含まれます。

推定財務的影響は100億ドルを超え、通知、クレジット監視サービス、法的費用、規制罰則の直接的なコスト、およびビジネスの中断、顧客の流出、評判の損失による間接的なコストを含みます。National Public Dataの株価は、侵害の公表後の週に42%下落し、38億ドルの市場資本を失いました。

この侵害は、分析された侵害の中で最も高いリスクスコア（8.93）を受け、特に攻撃ベクトルの洗練度（8.4）とサプライチェーンの影響（8.5）で高いスコアを獲得しました。

Change Healthcare: 完璧なサプライチェーンの嵐

Change Healthcareの侵害は、医療史上最も破壊的なサイバーセキュリティインシデントの一つを表しています。この攻撃により、同社の請求処理インフラストラクチャが26日間完全に停止し、全国的な医療支払い危機が発生し、数千の医療提供者に影響を与えました。

医療業務の混乱が最も注目を集めましたが、データの流出コンポーネントは、ランサムウェアの展開前に190万人の医療請求データが盗まれたことに影響を与えました。

推定財務的影響は321億ドルに達し、Change HealthcareとUnitedHealth Groupへの直接的なコスト（2200万ドルの身代金支払いを含む）および医療エコシステムへの大規模な下流の影響を含みます。数千の医療提供者が停電中にキャッシュフローの危機に直面し、多くの小規模な診療所が運営を維持するために緊急融資を必要としました。

この侵害は、サプライチェーンの影響に対して最高の10.0を獲得し、全国の数千の医療提供者に対する壊滅的な下流の影響を反映しています。

トップ11の侵害からの重要な知見

トップ11の侵害の分析は、いくつかの主要な攻撃ベクトルを明らかにしています。資格情報に基づく攻撃は、11の主要な侵害のうち5件で初期ベクトルであり、高度なセキュリティコントロールにもかかわらず、攻撃者が依然として人間の要素を悪用していることを示しています。

最も洗練された攻撃は、高度な持続技術、ゼロデイの悪用、ソーシャルエンジニアリングの進展を含む複数の高度な特性を示しています。対照的に、洗練度の低い侵害は、Amazon S3バケットの設定ミスから生じたAT&Tの侵害のように、より単純なベクトルを通じて依然として重大な影響を与えました。

Change Healthcareの侵害は、パッチリリースからわずか16日後に脆弱性を悪用し、組織が重要な更新を実施するための時間枠が急速に縮小していることを示しています。

侵害の深刻度を本当に決定するものは何か？

記録数は、全体的なリスクスコアと中程度の正の相関（r=0.61）を示し、その関連性を確認しつつ、唯一の重要な要因ではないことを示しています。この関係は非線形であり、記録数が1億を超えると限界影響が減少することが示されています。

財務的影響は、全体的なリスクスコアと最も強い相関（r=0.84）を示し、他の要因の結果としての役割と組織的な損害の直接的な測定としての役割を反映しています。

データの機密性は、リスクスコアと強い相関（r=0.78）を示し、特に医療および金融サービスの侵害で高い影響を持っています。この分析は、保護された健康情報が最上位にあり、基本的な連絡先情報が最下位にあるデータの機密性階層を特定し、侵害の影響を一貫して影響しています。

侵害影響におけるデータ機密性の階層

トップ11のデータ侵害の分析は、侵害の影響を一貫して影響する明確なデータ機密性の階層を特定しています：

1. 治療の詳細を含む保護された健康情報
2. 財務書類（納税申告書、所得証明）
3. CVVを含む完全な支払いカードの詳細
4. 社会保障番号
5. 認証資格情報
6. 連絡先情報と基本的な個人情報

組織は、この階層に合わせてセキュリティコントロールと監視能力を調整し、最も機密性の高いデータカテゴリーに最も厳しい保護を適用する必要があります。

すべての侵害にわたる多要素分析は、侵害の深刻度を決定する上で最も影響力のある3つの要因が次の通りであることを示しています：

1. データの機密性（影響力24%）
2. 財務的影響（影響力22%）
3. 規制コンプライアンス（影響力18%）

ランサムウェアの二重影響パターン

ランサムウェアの関与は、リスクスコアと顕著だが支配的ではない相関（r=0.47）を示しています。しかし、全体的なリスクスコアではなく運用への影響のみを考慮すると、相関は大幅に強化され（r=0.76）、ランサムウェアの主な影響がデータの機密性ではなくビジネスの継続性にあることを反映しています。

これは、組織がビジネスの継続性とデータ保護の両方に焦点を当てた二重の防御戦略を開発する必要があることを示唆しています。

サプライチェーンと第三者リスク

第三者の脆弱性は、主要な侵害の64%のゲートウェイであり、セキュリティが最も弱いベンダーと同じくらい強いことを証明しています。第三者リスク管理プログラムの成熟度は他のセキュリティドメインに比べて大幅に遅れており、脅威アクターがますます悪用する体系的な脆弱性を生み出しています。

組織は、セキュリティの境界がデジタルサプライチェーン全体を包含するように拡大していることを認識する必要があります。厳格なベンダー評価、継続的な監視、および検証されたセキュリティ要件は、コンプライアンスのチェックボックスではなく標準的な慣行になる必要があります。

戦略的セキュリティの意味

リスク露出指数分析の結果は、組織に明確な戦略的意味を提供します：

• データの量ではなく機密性に基づいてセキュリティコントロールを優先する
• 資格情報に基づく攻撃の一般的な役割を考慮してゼロトラストアーキテクチャを実装する
• 侵害の潜在的な影響を軽減するためにデータ最小化戦略を開発する
• 第三者リスクの高度な監視を確立する
• エコシステム全体の影響を考慮したインシデント対応計画を作成する
• ランサムウェア防御をビジネスの継続性とデータ保護の投資として扱う
• 規制コンプライアンスをセキュリティプログラムに統合し、別個の機能として扱わない

脅威アクターが技術を洗練させ続ける中、組織は継続的な監視、強力なアクセス制御、およびより強力な規制コンプライアンスの取り組みで先を行く必要があります。これらの対策を実施し、データの機密性に基づくセキュリティモデルに焦点を当てることで、企業はリスク露出を減らし、ますます敵対的なデジタル環境で機密データをよりよく保護することができます。

追加リソース

• ブログ記事 ゼロトラストアーキテクチャ：信頼せず、常に検証
• ビデオ KiteworksがNSAのデータ層モデルでのゼロトラストを進める方法
• ブログ記事 コンテンツ層にゼロトラストを拡張することの意味
• ブログ記事 ゼロトラストアプローチで生成AIに信頼を築く
• ビデオ Kiteworks + Forcepoint: コンテンツ層でのコンプライアンスとゼロトラストの実証