元FBI最重要指名手配ハッカーから学んだ5つのこと

サイバーセキュリティでは、「攻撃者のように考えなさい」とよく言われます。しかし、その人生を生き、それを好転させた人から直接話を聞く機会を得る人はほとんどいません。

The Segment の最も忘れられないエピソードの 1 つで、私はかつて米国シークレット サービスによって「オリジナルのインターネット ゴッドファーザー」と呼ばれたブレット ジョンソンと対談しました。

最初の組織化されたサイバー犯罪コミュニティを構築し、FBIの最重要指名手配リストに載った後、ブレットは人生を再建し、現在では法執行機関とセキュリティのリーダーの両方にとって信頼できる代弁者としての役割を果たしています。

ここでは、ブレットが改心した犯罪生活から教えてくれた、私に最も心に残った5つの教訓を紹介します。

1. 認識は新しい現実です

ブレットのメッセージの核心には、ぞっとするような真実があります。私があなたを納得させることができるのは重要です。」

これは単なる犯罪戦術ではなく、社会的な懸念事項です。フィッシングメールから政治的な誤った情報に至るまで、信頼は武器化されています。そして、ディープフェイクのビデオとオーディオが急速に進化するにつれて、本物と偽物の境界線は急速に消えつつあります。

「ディープフェイクがリアルタイムになるところまで来ています」とブレット氏は警告した。

同氏は、悪質な行為者がZoomビデオ会議でCEOをディープフェイクできる攻撃の例を挙げた。Payroll は、彼らが CEO とリアルタイムで話していると思っていますが、実際には騙されて別の銀行口座に送金しています。  

「それは非常に効果的です」と彼は言いました。「そして、それは魅力のように機能するでしょう。」

重要なのは、想定ではなく検証するシステムを構築することです。ゼロトラストはセキュリティフレームワークですが、デジタルデセプションの世界で信頼を回復する方法でもあります。

「ディープフェイクがリアルタイムになるところまで来ています。」

2. 犯罪者は天才ではなく日和見主義者です

ハリウッドはハッカーを優秀な無法者として描いています。ブレットはそれを違った見方をしています。

「ほとんどの攻撃は現金ベースで日和見主義的です」と彼は説明した。「私は、その犯罪投資に対して最大の利益をもたらす最も簡単なアクセスを探しています。」

そのため、脆弱性にパッチを適用し、認証情報を保護し、開いているポートを閉鎖するなど、基本的な サイバー衛生 が依然として重要です。これらの手順は派手ではありませんが、スキップされることがよくあります。

セキュリティは高価である必要はありません。しかし、それは一貫性を持たなければなりません。

3. 信頼は行動の上に築かれる

攻撃者は、私たちがデバイスを信頼していることを知っています。彼らはその信頼を私たちに対して利用します。

「私たちは本質的に携帯電話、ラップトップ、デスクトップを信頼しています」とブレット氏は語った。「私たちはアクセスしたウェブサイトを信頼しており、それが信頼の扉を開く傾向があります。」

ブレット氏は、人々と組織の両方に、デジタルシステムに対する信頼を再定義するよう促しています。動作を検証し、コンテキストに注意を払い、正当性の単一のシグナルに依存しないシステムを設計します。

「世界中のあらゆる詐欺を止めることができます。あなたがしなければならない唯一のことは、ウェブをシャットダウンすることです」と彼は冗談を言った。「安全保障と摩擦のバランスをとる必要がありますが、そのバランスは絶対に安全保障面にもっと重くのしなければなりません。」

4. ハッカーは協力します。擁護者もそうしなければならない。

彼の最も鋭い批判の1つは?「悪者はあなたたちよりも共有と協力が得意です」と彼は言います。

サイバー犯罪者はツール、戦術、ヒントを取引します。しかし、擁護者は、業界、競争、官僚主義によってサイロ化されることがよくあります。

「私が特定の業界にいて、自分の会社が特定の種類の攻撃を受けた場合、その情報を共有することで、同じ分野の他の人も標的にされる前に身を守ることができます」と彼は言いました。

肝心なのは、脅威の状況はサイロ化されていないため、防御もサイロ化されるべきではないということです。

「私が特定の業界にいて、自分の会社が特定の種類の攻撃を受けた場合、その情報を共有することで、同じ分野の他の人も標的にされる前に自分自身を守ることができます。」

5. ゼロトラストは信頼を再構築する方法です

ブレット氏は、ディープフェイクのような AIが生成したコンテンツにより、人々が何を信頼すべきかを知ることが難しくなっていると考えています。オンラインで批判的に考え、懐疑的であり続けることが重要です。しかし、組織は信頼を再構築する方法を見つける必要があります。

「顧客と組織の間のすべての新しいエンゲージメントは、 ゼロトラスト の観点から行う必要があります」と彼は推奨しています。  

リアルタイムで認識を偽装できる世界では、信頼を想定することはできません。それは何度も何度も獲得しなければなりません。

「詐欺の可能性を予測するためにバックグラウンドでできる限りのことをし、その時点で行動してください」とブレット氏はアドバイスした。

ゼロトラストは単なる技術的な戦略ではありません。それは毎日の習慣であり、考え方です。そして、この進化する脅威環境では、準備を整えるための最善の手段です。

The Segmentを聴き、購読し、レビューする

ブレット・ジョンソンの話をもっと聞きたいですか?The Segment: A Zero Trust Leadership Podcastの全エピソードは、当社のウェブサイト、Apple Podcasts、Spotify、またはどこでも視聴できます。