アイビーリーグの大学から個人データまで：学術データの漏洩は過去最高レベルに！

内部の連絡先を装った悪意のある攻撃者が、説得力のある声で電話をかけ、たまたま適切な内部担当者が電話の向こう側にいた。これだけで、熟練したハッカーは目的を達成したのです。

ブランド新のサイバー犯罪ビジネスモデル「Vishing」を紹介します。

銀行口座番号、ワンタイムパスワード（OTP）、パスワードなどの重要な情報を得るために、身近な存在になりすまして哀れみや恐怖、あるいは同情を引き出す行為です。

ハッカーや攻撃者は、説得力を武器にしたこの説得力のある詐欺に移行しています。

親しみやすさ – ファイアウォール、BitLocker、ウイルス対策ソフトを簡単にすり抜け、無邪気な人間の信頼に深く食い込む心理的な抜け穴です。これがすべての情報漏洩、詐欺、ランサムウェア攻撃の始まりです。なぜなら、親しみやすさが信頼を確固たるものにし、デジタル上の信頼は「この人なら知っている…要求されているものを渡してあげよう」という考えにつながるからです。

デジタルでのやり取りが親しみやすくなるほど、疑いを抱くことが少なくなり、まさに攻撃者たちが食い物にする好ましい状況となります。

この記事では、名門大学が電話の向こう側の親しみのある声を持つ人物からの単純な電話によって被害に遭った事例について詳しく見ていきます。

このアイビーリーグの大学には、20,000人の教職員、学部および大学院課程の24,500人の学生、そして世界中に40万人の卒業生がいます。

ハーバード大学では、卒業生、寄付者、学生および教職員の記録を含むデータベースが侵害されました。

これは一つの大きなメッセージを示しています。つまり、これらのハッカーは財務データにアクセスしようとしているだけでなく、個人の身元やネットワーク、影響力、優位性、そして重要な学生のプロフィールの詳細を狙っているということです。

大学やその他の教育機関は、個人の履歴、著名な卒業生の情報、家族のネットワークといった個人情報に加えて、それ以外にも多くの情報を保有しています。

実際の価値という点では、これらの機関は研究文書、実験結果、助成金記録や通信、学術アーカイブ、その他の極めて機密性の高い内部通信や情報といったデータセットの宝庫です。

この侵害により、連絡先情報、経歴データ、電子メールアドレス、電話番号、自宅および勤務先の住所、その他の機微情報が漏洩しました。また、卒業生の配偶者に関する情報や、在籍する学生および保護者の連絡先情報も含まれていました。

金融記録、パスワード、社会保障番号は漏洩していませんでしたが、寄付や贈り物、資金調達および同窓生との関与活動に関する情報が暴露されました。

ハーバード大学は、不正な活動がさらに広がるのを防ぐためにあらゆる追加アクセスをブロックし、第三者のサイバーセキュリティパートナーおよび法執行機関と連携して、今後のインシデントを防止しています。

ハーバード大学は同じ年に2回攻撃されましたが、ペンシルベニア大学やプリンストン大学といった他のアイビーリーグの大学も同様のデータ侵害に見舞われました。

ペンシルベニア大学のデータ侵害：

大学の攻撃に対する対応：

感染したシステムは、さらなる侵入や不正アクセスを防ぐために即座に隔離されました。大学は第三者のサイバーセキュリティ企業CrowdStrikeに依頼して事件の調査を行いました。また、ペンシルベニア大学はこの事件をFBIに報告し、Oracleが発表した脆弱性を解決するための必要なセキュリティパッチをすでに適用しています。

プリンストン大学のデータ漏洩：

大学の攻撃に対する対応：

今年のデータ漏洩が、来年のなりすまし攻撃につながる可能性があります。

問題は彼らが何を持っているかではなく、そのデータを使って何ができるかにあります。それらのデータを使って、将来どのような危険なことを仕掛けてくるかが重要です。

盗まれたデータは販売されたり身代金目的で保持されたりする可能性がありますが、それらは実際に発生し得る被害のごく表面にすぎません。

ハッカーが教育機関を攻撃する目的は、単にデータを抜き取ることだけではありません。彼らは影響力の源泉を求めています。データは多目的に使える資産であるため、それを盗み出します。そのデータは、利用されたり販売されたり、なりすましに使われたり、身代金目的で保持されたり、さらに悪質な場合は兵器化され、自動化されることさえあります。

特にアイビーリーグを含む大学が標的となる場合、悪用される学生や教職員のデータは非常に高価値です。なぜなら、これらの学生や教職員は一般の個人とは異なるからです。このデータには、高い社会的・経済的資本を持つ寄付者、卒業生、教授、研究者らに関する情報も含まれています。

今日では、たった1通のフィッシングメール、あるいは魅力的な情報を含むメールによって、ビジネスアカウントであろうと個人アカウントであろうと、共同アカウントであろうと、あなたの銀行口座全体が暴露される可能性があります。これはログイン要求を改ざんしたり、将来的にはデジタルアイデンティティを乗っ取ることさえ可能にします。

だからこそ暗号化が重要なのです。

暗号化により、たとえデータ侵害が発生したとしても、攻撃者が見られるのはファイルそのものだけに限られ、決してファイルを開いたり情報を改ざんしたりすることはできません。

一度、学術データあるいはいかなるデータであれ漏洩または侵害されると、サイバー市場に人質として持ち込まれ、そこで販売されたり、複製されたり、無限に増殖されてしまいます。つまり、漏洩したデータは決して完全に消えることはないのです。

一見まったく無害に見えても、これは標的型サイバー犯罪や個人を特定した嫌がらせのための単なる駒にすぎません。ハッカーにとって真の狙いは、生のデータそのものではなく、そのデータに付随する信頼性を操ることにあります。

大学関連のデータ侵害では、攻撃者は大学システム内の信頼できる人物になりすましてフィッシング攻撃を行い、社会的文脈を巧みに利用した手法で極めて説得力のある偽装をしています。

このようにして、最終的に最大のリスクは情報の暴露ではありません。信頼を武器とし、親しみやすさを完璧な抜け道とし、人間関係を利用してアクセスや資金を操作し、内部の人間にとって馴染みのある単純な職業関係を悪用して完全な支配を確立することにあるのです。

これらすべてが、正当な学術的つながりという名目の下で行われている。

暗号化はもはや選択肢ではなく、時々起こる訓練のようなものでも決してありません。重大な侵害を防ぐためには、組織にとって毎日の習慣である必要があります。

ビジネス用の暗号化であろうと個人利用であろうと、それは心の平安への投資であり、あなたのアイデンティティを完璧に保護する手段です。

適切に実装された暗号化とは、誰かがあなたのデバイスやドライブにアクセスしたとしても、読めず役に立たない暗号文しか得られないことを意味します。たとえば、AES-256ビット暗号化は、現在存在する中で最も強力で、比類なく信頼できる暗号化の種類の一つです。そして何より素晴らしい点は、AxCryptがこの暗号化に加えて、パスワード保護やデータ侵害防止といった多層的なセキュリティを提供していることです。

不動産関係書類、法的文書、研究資料その他の書類について安全なファイル共有を希望する場合でも、この暗号化は、あなたのプライバシーと心の平安を静かに、しかし確実に守る盾となります。

すべての攻撃がデジタルな抜け穴を必要とするわけではありません。チーム内にだまされやすい人物がいること、あるいは電話の向こう側に聞き慣れた声があることだけで十分な場合もあります。

あなたがなりすまし音声詐欺（ビッシング攻撃）の被害に遭うのを防ぐための簡単なルールをご紹介します。

職場に突然電話がかかってきましたか？ どこか聞き覚えがあるような気がするけれど、何かがおかしいと感じませんか？ その電話が本物かどうかを、あなたとその人物にしかわからない簡単で無害な個人的な質問をして確認しましょう。

たとえば…

ダビッド氏を装ったなりすまし： ジェーン、私のラップトップを開いて、「ABC」というファイルをすぐに送ってくれないか。

ここがまさに、情報漏洩が発生する瞬間です。

ジェーンは、会計担当者としてそのファイルをなりすまし犯に渡して会社を破産させるか、あるいはビッシング攻撃を阻止して、この賢明な対応により昇進と大幅な昇給を手にするかのどちらかです。

ジェーン： わかりました。すぐやります。ところで、歯医者の予約はどうでしたか？ 歯は抜いたんですか？

なりすまし犯は、目的のものを手に入れるまでその場しのぎで答えようとします。しかしジェーンは賢明です。彼女はすぐに電話を切り、家族と一緒にボラボラで休暇中のダビッド氏に状況を報告します。

これは、あなたの直感とゼロ知識暗号化ソフトウェアが連携することで、あなたが次にニュースで取り上げられる侵害事件の当事者になるのを防げる可能性の一例にすぎません。