今回の気になるニュース

「開発者はおいしい脆弱性になった」――攻撃者が狙うのはシステムよりも人

https://atmarkit.itmedia.co.jp/ait/spv/2606/01/news048.html

引用元：atmarkit

サイバー攻撃というと、多くの人はシステムの脆弱性や設定ミスを狙うものを想像する。しかし近年、攻撃者の視点は大きく変化している。

攻撃対象はシステムそのものではなく、そのシステムを作り、運用する「人」へと移りつつある。

＠ITで紹介されたセキュリティ専門家の指摘によれば、開発者を取り巻く環境には、AIコーディング、採用活動、オープンソースソフトウェア（OSS）、CI/CDといった複数の攻撃経路が存在し、これらが新たな侵入口になっているという。

特に注目すべきは、生成AIの普及による開発環境の変化だ。

AIコーディングツールは開発効率を大きく向上させる一方で、開発者はAIが提案したコードやライブラリを以前よりも短時間で採用するようになった。攻撃者にとっては、このスピード感そのものが新たな攻撃機会となる。

また、開発者が利用するOSSやパッケージ管理システムも狙われている。悪意のあるライブラリを公開し、開発者自身に組み込ませることで、企業内部への侵入を図るサプライチェーン攻撃はすでに珍しいものではなくなった。

さらに見逃せないのが採用活動である。

近年は、偽の求職者や架空のエンジニアを利用して企業内部へのアクセスを試みる事例も報告されている。従来のセキュリティ対策は「外部からの侵入」を前提としていたが、攻撃者は人事プロセスや業務プロセスそのものを攻撃面として利用し始めている。

こうした状況は金融犯罪対策の世界とも共通している。

不正送金や不正利用の対策においても、攻撃者はシステムの欠陥を探すより、人間の心理や行動の隙を突く傾向を強めている。フィッシング詐欺が典型例だが、近年では正規利用者になりすますことが攻撃の中心になっている。

つまり攻撃者は「脆弱なシステム」を探しているのではなく、「信頼されている人」を探しているのである。

この変化に対して求められるのは、単純な脆弱性管理だけではない。

誰がアクセスしたのかだけではなく、その行動が自然なのか、不自然なのかを継続的に判断する視点が重要になる。

正しい認証情報を持っているから安全とは限らない。

正規の開発者アカウントだから安全とは限らない。

正規の従業員だから安全とは限らない。

サイバー攻撃の世界では、「本人らしさ」を確認する時代から、「その行動らしさ」を確認する時代へと移行している。

開発者が狙われる時代とは、人そのものが攻撃面になる時代でもある。

だからこそ企業には、システムの脆弱性だけではなく、人の行動に潜む不自然さを検知する仕組みがこれまで以上に求められている。