金融業界脅威の実態レポート

KnowBe4 Japanは、金融業界の最新情勢をまとめた年次レポート「Financial Sector Threats Report（英語）」を公開した。同リリースは、金融機関がAIを活用した攻撃、認証情報の窃取、サプライチェーン由来の漏えいといった複合的な脅威に直面し、結果としてシステム的リスクが高まっている現状を示すものである。レポートは、攻撃増加の規模、人に起因するリスク、侵入経路の主流化、地域別の標的傾向を定量指標で提示し、対処の優先順位を明確化している。

攻撃の急増と第三者漏えいの拡大

当レポートでは、金融機関を狙う攻撃が前年比109％増となった点を最初の論点として掲げる。単なる件数増にとどまらず、米国の主要銀行の97％が2024年に第三者による情報漏えいを経験し、欧州主要金融企業の100％でもサプライヤー経由の漏えいが発生した事実が強調される。
さらに、金融サービス企業は他業種と比べて年間最大300倍のサイバー攻撃の対象となる旨が示され、業界の恒常的な過負荷が浮き彫りになっている。これらの数値は、金融機関の外縁（サプライヤー）と内縁（自組織）の双方でガバナンス強化が求められることを意味し、一箇所の脆弱性が全体へ波及するという、金融特有の連鎖構造を裏付けるものである。

人的要因：PPPが示す“入口”の大きさ

人的リスクを測る指標として、KnowBe4はPhish-prone™ Percentage（PPP）を用いる。リリースは大手金融機関のテストで、従業員の約45％が危険リンクのクリックや感染ファイルのダウンロードに至る可能性を示し、初期段階のPPPは44.7％であったと報告する。他方で、包括的なセキュリティ意識向上トレーニングを継続した場合、PPPを5％未満へ低減できることも明記されている。すなわち、人に由来する攻撃の入口は大きいが、計画的な教育と検証により実効的に縮小可能であるという位置づけである。

手口の変化：AIの活用と“恐喝”の多段化

脅威アクターはFraudGPTやElevenLabsなどのAIツールを活用し、言語品質やパーソナライズ度の高いフィッシングを生成しているとされる。加えて、ランサムウェアの焦点が「暗号化中心」から「データ窃取と多段階の恐喝スキーム」へ移行している点が指摘される。正規の認証情報の悪用が増えることで、既存の検知手段をすり抜ける確率が高まり、侵入後の横展開と継続的な圧力に晒されやすくなる。リリースは、こうした質の変化を前提に、対策の優先順位を見直す必要を示唆している。

侵入経路と“窃取市場”の様相

データ面では、300万件超のダークウェブ投稿の分析が紹介され、盗まれた正規の認証情報がクレジットカード窃取件数を大きく上回る実態が示される。加えて、情報窃取型マルウェアの感染試行は2024年に58％増、攻撃の68％が電子メール起点であったとされる。すなわち、メール由来の初期侵入と認証情報を核とする攻撃の持続化が、依然として金融業界の主要課題であることが確認できる。リリースは、これらの数値をもって、レピュテーションや静的検知だけでは捕捉し切れない領域が広がっている現状を示している。

地域別の標的傾向：APACと西欧の差

地域別にみると、米国と英国を狙った攻撃が全体の70％超を占める一方、APACではインドネシア（5.81％）、インド（4.65％）、中国（2.33％）、日本（1.16％）が戦略的な標的とされる傾向が示される。ただし、西欧諸国に比べると攻撃率は低いとされ、地域差が明確である。これらの指標は、各地域の対策の厚みや攻撃者の費用対効果を背景に持つが、本リリースの範囲では傾向の提示に留め、詳細の要因分析はレポート原文へ誘導している。

金融システムの連鎖リスク

金融の相互依存性に関して、リリースは大手銀行の決済システムが1日停止した場合、世界のネットワーク銀行の38％に波及し得るという関連情報に触れる。個別企業の被害が決済ネットワークやサプライヤーを介して広域の機能不全へ拡大し得ることを示すものであり、単独のインシデントがシステム全体のリスクへ転化する恐れを可視化している。

KnowBe4のセキュリティ意識向上アドボケイトであるジェームズ・マクイガン氏は、攻撃者が金融業界に対して優位に立ちつつある現状を踏まえ、認証情報の窃取がランサムウェア以上に効果的で検出回避にも資する手口であると指摘する。そのうえで、ヒューマンリスクマネジメントを最優先とし、教育・訓練を継続する重要性を強調している。

「Financial Sector Threats Report（英語）」の全文は、KnowBe4の案内ページからダウンロード可能である。詳細は当該リリースのこちらを参照されたい。

出典：PRTimes KnowBe4、脅威レポートを公開：世界の金融業界が前例のないサイバー脅威の急増に直面していることが明らかに