マルウェア配信に悪用されるSaaS、1位は「OneDrive」─Netskope調査

グローバル調査「Netskope Threat Labs Report」より

2024年4月23日(火)愛甲峻（IT Leaders編集部）

リスト

Netskope Japanは2024年4月16日、日本におけるクラウドアプリケーション（SaaS）の利用実態やマルウェア配信の状況に関する調査結果をグローバル調査レポート「Netskope Threat Labs Report」の最新版として発表した。同日に開いた説明会では、クラウド利用の浸透を受けて変化するセキュリティリスクや、企業が解決すべき課題が示された。

　「Netskope Threat Labs Report」は、米Netskope（ネットスコープ）の調査研究部門、Netskope Threat Labsが発表したグローバル調査レポートである。同部門は毎月、特定の地域や業界などに焦点を当て、クラウドアプリケーション（SaaS）の利用実態や、クラウド利用に起因するマルウェア/ランサムウェアのリスクなどについて調査している。

　2024年4月16日には最新のレポートとして、日本市場に特化した調査結果を公開した。調査期間は2023年4月1日～翌年3月31日で、調査対象はグローバルの同社顧客企業のうち約3000社である。

クラウド経由のマルウェア配信が日本で増加

　調査によると、クラウドアプリケーションの導入数や利用傾向は、日本とグローバルで大きな差はない。日本の平均的なユーザーが利用するクラウドアプリの数は月に約20個で、グローバルよりわずかに少ないが、どちらも増加傾向である。クラウドからアップロードするユーザーの割合は、日本とグローバルで同じ67％であり、ダウンロードするユーザーの割合は日本が95％、グローバルが94％と、ほぼ一致している（図1）。

図1：クラウドアプリケーションの導入数と利用傾向（出典：Netskope Japan）
拡大画像表示

　一方で、マルウェア配信全体に占めるクラウド経由の割合は、日本が59％で世界最大であり、北米を4％、アジアを1割ほど上回っている（図2）。クラウド利用の浸透により、近年はクラウドアプリがWebに代わり、マルウェア配信の主要な経路になっているという。日本ではそうした傾向がより顕著であることが、調査結果から明らかになった。

図2：マルウェア配信に占めるクラウドアプリケーション経由の割合（出典：Netskope Japan）
拡大画像表示

　過去1年間のクラウドアプリ経由のマルウェア配信は、グローバルでは減少傾向にある一方で、日本では増加。急速に進むクラウド化に対してセキュリティが追いついていないという前提の下、Webからクラウドに攻撃対象が移っているという。Netskope Threat Labs シニア脅威リサーチャーのヒューバート・リン（Hubert Lin）氏（写真1）は、「攻撃者はドメインのブロックリストのようなレガシーなセキュリティ対策を回避するために、クラウドアプリを悪用している」と指摘した。

写真1：Netskope Threat Labs シニア脅威リサーチャーのヒューバート・リン（Hubert Lin）氏

　また、リン氏は過去1年間で同社が検知した、日本を標的とするマルウェア/ランサムウェアファミリーの上位10種を紹介。注目すべき点として、「RAT.ComRAT」や「NetWire RC」など、通常は国家支援型の脅威アクターが使うマルウェアが上位に入っていることを挙げた（図3）。

　「これは、日本が標的型攻撃にさらされていることを示唆するもので、日本企業にはセキュリティ対策を見直して防御策を講じることを勧めたい。クラウドアプリに対する包括的な監視や、適切なセキュリティポリシーの設定が必要だ」（リン氏）。

図3：日本を標的とするマルウェア/ランサムウェアファミリー上位10種（出典：Netskope Japan）
拡大画像表示

攻撃者が狙う「OneDrive」や「Box」などのクラウドストレージ

　具体的に、どのようなクラウドアプリが利用されているのか。利用率トップ3は、「OneDrive」「SharePoint」「Google Drive」で、Windowsの標準ということもあってOneDriveが突出しているが、いずれもグローバルで支持されているSaaSである。一方、日本でも「Box」の利用率が13％と、他の地域（1.2％）を大きく上回っているなど、日本特有の傾向も見てとれる（図4）。

図4：クラウドアプリケーションごとの利用率（出典：Netskope Japan）
拡大画像表示

　図5は、クラウドアプリごとのマルウェア配信の平均割合を示したものだ。日本では上から順に、OneDrive、SharePoint、Boxとなっている。上位2つは利用率の高さに対応しているが、3位のBoxは利用率に対して、マルウェア配信に利用される割合が高いことを示している。こうしたクラウドストレージは、ベンダーに対する信頼感からユーザーの警戒心が薄れやすいため、悪用されているという。

　リン氏が注意を促したのが、4位の「GitHub」だ。ソフトウェア開発の定番と言えるサービスだが、近年はサプライチェーン攻撃に悪用されるケースが増えているという。「攻撃者がソフトウェア開発のプロセスに侵入し、不正なコードを埋め込む事案や、ソフトウェアアップデートを悪用してマルウェアを配布する事案が発生している」（同氏）。