2020年の全世界漏えいデータは360億件
2020年はデータ侵害という意味では史上最悪な年になる様です。Risk Based SecurityのQ3 Quick viewレポートでは、侵害されたレコードの合計が360億件になったと発表されました。
Risk Based Securityによると、公に報告されたデータ侵害の数は2020年の第3四半期に減少しましたが、世界中でさらに数十億のレコードが公開され、今年の合計は360億になりました。
セキュリティベンダーの2020年第3四半期のデータ侵害QuickViewレポートは、公開されているレポート、FOIリクエスト、ニュースレポートの人間による自動分析から作成されました。
2020年は、第3四半期に追加の83億件の記録が公開される前でさえ、これまでに記録された中で最悪の年であると主張しました。ただし、これらの数値には、盗まれたデータだけでなく、情報を危険にさらす可能性があるが悪意のある攻撃者が情報を入手することにはならないクラウドベースの設定ミスも含まれます。
今年の最初の3四半期の情報漏えい報告の数は、前年比51％減の2953件でした。
ベンダーのエグゼクティブバイスプレジデントであるIngaGoddijnは、これはランサムウェア攻撃の増加によって説明できると主張しました。これらは最初の3四半期に報告された違反の21％を占めましたが、さらに多くが記録されていない可能性があります。
(Infor Security Magazine記事より引用）※機械翻訳
元ソース（Risk Based Security)
キタきつねの所感
360億件のレコード（個人情報）が漏えい。凄い数字です。2020年の世界人口は77.9億と言われてますので、1人4.6回はデータが漏えいした計算になります。
そして、記事でも書かれていますが、この数字は氷山の一角です。この調査データにも書かれていますが、今年はランサム被害が多く、ランサムに関して言える事は、もしランサムオペレータ―（ハッカー）に対して身代金（ランサム）を払っているとしたら、この調査結果に、その数字には”載らない”可能性が高くなります。
今年は、報じられている事件でも結構な企業／組織がランサムを払った事が記事に出てきたりしていますので、（そうした所はランサム被害を受けた事実は認めても、影響範囲＝漏えい件数をリリースに書いてない所が、日本企業においても多く見られます）
2020年はまだ終わっていませんのでまだ早いのですが、セキュリティ業界での今年のベスト10を振り返るとすると、確実にランサムビジネス市場の拡大（Ransom as a service）が上位にランクインしてくると思います。
データの中身を見ると、データ漏えい事件（の報告）件数は前年比49％とかなり減っています。しかし全体の漏えい件数が伸びている事を考えると、大型の流出事件が多かった事を示唆しています。
また、ランサムに関しては、Q3のデータ（83億件）の21%を占めると書かれていますので、約17億件が漏えいした（少なくてもと書くべきでしょうが）事が分かります。
また、日本ではまだこの分野の大型の事件は発生していませんが、特に海外では「ヘルスケア」セクターが大きな被害を受けており、11.5%を占めます。この理由として考えられるのが、攻撃側が、新型コロナウィルスワクチンなどの研究・治験データを狙った、そして機微な患者データを狙った事が考えられます。ランサム（身代金）を支払ってくれる可能性が高い所が集中的に狙われていると言い換えても良いかも知れません。
そして、忘れてはいけないのが、「クラウドの設定ミス」です。オンプレからクラウドにデータが移行していくのは、当然の流れかと思いますが、そこでセキュリティ管理が甘くて良いという訳はありません。クラウド環境ミスによって、そこで管理しているサービスの全てのデータが漏えいしてしまうケースも多いのです。
自社の環境外であるクラウドに、機微なデータを大量に預ける事を考えれば、オンプレでの管理体制以上のセキュリティ体制（多層防御）を構築する必要がある事が忘れられているのではないか、そんな風にもこの調査結果から感じました。
決して日本でも対岸の火事ではなく、今年データ侵害が報じられた国内著名企業が、意外に漏えい件数を「発表してない」事からも、結構な被害が出ていたと考えて、自社のセキュリティ体制、多層防御を、今一度見直す事が重要なのではないでしょうか。