SpyFone（企業） | SEO-LPO.net

この12カ月間におけるサイバーセキュリティは、暴れ馬のようだった。サイバーセキュリティで何もかもが壊れ、あとはそのことを認めるだけとなり、そして今年、2021年は、特に年末にかけて何もかもが一度に壊れた。しかし、何はともあれ、私たちはこれまで以上に多くのことを知り、この年を終えることになる。

この1年で、私たちは何を学んだのだろうか。

1.ランサムウェアの被害で大きいのはダウンタイムであり身代金ではない

ファイルを暗号化するマルウェアの被害が続いている。2021年だけでもランサムウェアは町全体にオフラインを強いることになり、給与の支払いをブロックし、燃料不足を招いた。企業のネットワークの全体が、数百万ドル（数億円）の暗号資産と引き換えに人質に取られたからだ。米財務省の推計では、ランサムウェアの2021年の被害額は、これまでの10年を合わせた金額よりも多い。しかし研究者たちによると、企業の被害の大半は、生産性の落ち込みと被害後の困難な後始末作業によるものだ。後者には、インシデント対応や法的サポートも含まれる。

関連記事：ランサムウェアが企業に与える莫大な金銭的被害は身代金だけじゃない

2.FTCはモバイルのスパイウェアメーカーに被害者の通知を命じることができる

SpyFoneは、2021年9月の連邦取引委員会（FTC）からの命令により米国で禁止される初めてのスパイウェアになった。FTCはこの「ストーカーウェア」アプリのメーカーを、人目につかない秘かなマルウェアを開発し、ストーカーや米国ないの悪意を持つ者が、被害者のスマートフォンのメッセージや位置情報の履歴などを知られることなくリアルタイムでアクセスできるようにしたと訴えた。さらにFTCはSpyFoneに、同社が不法に集めたデータをすべて削除し、同社のソフトウェアによってスマートフォンをハックされた人たちに通知することを命じている。

3.サイバーセキュリティへのVCの投資は2020年に比べて倍増

2021年はサイバーセキュリティへのVCの投資が、記録破りの年だった。8月には、投資家たちが2021年の前半に115億ドル（約1兆3242億円）のベンチャー資金を投じたことが明らかとなっている。これは2020年の同時期に投じられた47億ドル（約5412億円）の倍以上の額となる。最大の調達はTransmit Securityの5億4300万ドル（約625億円）のシリーズAと、Laceworkの5億2500万ドル（約605億円）のシリーズDだった。投資家たちは、クラウドコンピューティングとセキュリティのコンサルティング、およびリスクとコンプライアンス方面の好調が投資に火をつけたという。

4.Microsoftのユーザーデータに対する法的要求の3分の1は、口外禁止になっている

ハイテク企業がユーザーデータの最大の保有者であることは周知の事実であり、意外にも、犯罪捜査のための情報を求める政府のデータ要求の頻繁な対象になっている。しかし、Microsoftは2021年、政府が検索令状に秘密命令を添付する傾向が強まっていることを警告し、ユーザーのデータが調査の対象となる時期をユーザーに通知しないようにしている。

Microsoftによると、法的命令の3分の1は秘密保持条項付きで、その多くは「意味のある法的分析や事実分析に裏づけられていない」と、同社の顧客セキュリティー・トラストの責任者Tom Burt（トム・バート）氏はいう。Microsoftは、秘密保持命令は技術産業全体に蔓延していると述べている。

5.FBIはサイバー攻撃の後処理の一環として、プライベートネットワークへのハッキングを許される

2021年4月にFBIは、この種の操作としては初めてハッカーが数週間前に放置した米国の数百に及ぶ企業のメールサーバーにあるバックドアの削除を開始した。MicrosoftのメールソフトウェアであるExchangeの脆弱性を大規模に悪用して、ハッカーが米国全域の何千ものメールサーバーを攻撃し、連絡先リストと受信箱を盗んだ。非難されているのは中国だ。その犯行により数千のサーバーが脆弱性を抱えたままであり、企業は緊急に欠陥を修復すべきだが、しかしパッチは残されたバックドアを削除しないので、ハッカーが戻ってきて容易にアクセスを取得できる。

テキサス州の連邦裁判所が操作を許可し、FBIはハッカーが使ったのと同じ脆弱性を利用してバックドアを削除した。裁判所による操作許可の根拠は、今後の再犯への恐れだ。それにより、悪人たちによる今後の悪用を防いだ。同様の「ハックとパッチ」操作でボットネットを駆除した国は他にもあるが、サイバー攻撃の後でFBIがプライベートネットワークを効果的に掃除したのは、知られているかぎり、これが初めてだ。

6.詐欺師たちが自動車保険のサイトを襲って失業手当を詐取

2021年は複数の保険企業が、ありえないがますます普通になってきた詐欺のターゲットになった。Metromileによると、保険の見積もりを保存する同社のウェブサイトにバグがあり、運転免許証の番号が盗まれた。そして数カ月後には、Geicoもターゲットになり、同じく運転免許証の番号を盗み取られている。。

Geicoのデータ侵犯報告は、盗んだ免許証番号を使って、ユーザーの名前で「失業手当を申請した」詐欺師たちを非難した。米国の多くの州では、州の失業手当を申請する前に運転免許証を必要となる。自動車保険会社ならその番号がわかるので、ターゲットにされたのだ。

画像クレジット：Getty Images

［原文へ］

（文：Zack Whittaker、翻訳：Hiroshi Iwatani）

米連邦取引委員会（FTC）は全会一致でスパイウェアメーカーのSpyFone（スパイフォン）を禁止し、同社のCEOであるScott Zuckerman（スコット・ズッカーマン）氏を監視産業から追放することを決めた。この種の命令は初で、同社が多くの人のモバイルデータを収集してインターネット上に放置していたことを受けての措置だ。

SpyFoneは「隠されたデバイスを通じたハックで密かに人々の身体の動き、電話使用、オンライン活動に関するデータを集めて共有」し、スパイウェア購入者が「デバイスのライブの位置情報を確認したり、デバイスユーザーの電子メールやビデオチャットを閲覧できるようにしていた」とFTCは述べている。

SpyFoneは、ペアレンタルコントロールを装ってマーケティング活動し、往々にして既婚者がパートナーをスパイするのに使う、数多くのいわゆる「ストーカーウェア」アプリと呼ばれるものの1つだ。スパイウェアは、誰かのスマホに密かにインストールされることで機能する。多くの場合、許可なくメッセージや写真、ウェブ閲覧履歴、リアルタイムの位置情報を得るために使われる。FTCはまた、SpyFoneが被害者にさらなるセキュリティリスクを与えたと非難した。SpyFoneはスマホの「根幹」レベルで作動し、これによりSpyFoneがデバイスのOSの立ち入り禁止部分にアクセスできるからだ。SpyFoneのプレミアム版にはキーロガー（キー入力監視プログラム）や「ライブスクリーン視聴」が含まれていた、ともFTCは指摘する。

FTCは、SpyFoneの「基本的なセキュリティの欠如」がそうした被害者のデータを流出させた、と述べた。スパイウェアが被害者2000人超のスマホから収集していたデータを垂れ流していた安全でないAmazonのクラウドストレージサーバーのためだ。SpyFoneは調査のためにサイバーセキュリティ会社、法執行当局と協業したと述べたが、FTCはそうした事実はないと述べている。

実際には、禁止措置でSpyFonとCEOのズッカーマン氏は「監視アプリ、サービス、事業の提供、販促、販売、広告」が禁じられることを意味し、同社の事業運営を難しいものにしている。しかしFTCコミッショナーのRohit Chopra（ロヒト・チョプラ）氏は別途出した声明文で、ストーカーウェアメーカーは米国のコンピューターハッキングと盗聴の法律に基づいて刑事罰を受けるべきだと述べた。

FTCはまた「不法に」集めたデータすべてを削除するようSpyFoneに命じ、SpyFoneのアプリが密かにデバイスにインストールされていたことを初めて被害者に伝える。

声明文で、FTCの消費者保護責任者のSamuel Levine（サミュエル・レヴィーン）氏は「今回のケースは、監視ベースの事業が我々の安全やセキュリティにとって大きな脅威になるという重要なリマインダーです」と述べている。

ストーカーウェアを検知して対抗し、また啓発する企業のグループであるEFFは、FTCの措置を賞賛した。EFFは2年前にCoalition Against Stalkerware（対ストーカーウェア同盟）を立ち上げている。「FTCはいまこの産業に注意を向けていて、ストーカーウェアの被害者は規制当局が自分たちの懸念を真剣に受け取り始めているという事実に慰めを見出すことができます」とEFFのEva Galperin（エヴァ・ガルペリン）氏とBill Budington（ビル・バディントン）氏はブログ投稿で述べた。

ストーカーウェアメーカーに対するFTCの禁止措置は今回が2例目だ。FTCは2019年に、Retina-Xが何回かハックされ、最終的に業務を停止した後に同社と和解した。

過去、mSpy、Mobistealth、Flexispyなどいくつかのストーカーウェアメーカーがハックされるか、うっかり自らのシステムを露出した。また別のストーカーウェアメーカーであるClevGuardはハックされた何千人という被害者のスマホのデータを野ざらしのクラウドのサーバーに置いていた。

もしあなた、あるいはあなたが知っている人が助けを求めているなら、National Domestic Violence（全国家庭内暴力）ホットライン (1-800-799-7233) が24時間無料で内々のサポートを家庭内虐待・暴力の被害者に提供している。緊急事態であれば911に通報を。

この記事を読んで思うところがあったり、筆者に伝えたいことがあれば、SignalかWhatsAppを使って+1 646-755-8849まで、あるいは電子メールzack.whittaker@techcrunch.comで連絡して欲しい。

［原文へ］

（文：Zack Whittaker、翻訳：Nariko Mizoguchi）

タグ: SpyFone（企業）

2021年に知ることになったサイバーセキュリティの6つのポイント