本稿執筆時点で、ロシアはウクライナ侵攻を開始してほぼ2週間が経過しています。この紛争は、サイバーセキュリティやコンピュータネットワーク運用を含む多くの分野で前例のない状況となっています。サイバー攻撃が軍事作戦の前兆として、あるいは軍事作戦と連携して直接的に利用されたのは、歴史上おそらく初めてのことです。ロシアによるウクライナでの特殊軍事作戦に続き、ウクライナの銀行、エネルギー、軍事を含むインフラに対する一連のサイバー攻撃が発生しました。これに対し、ウクライナはサイバー戦闘部隊を立ち上げ、限られたサイバー戦闘能力に加え、同盟国や世界中の個人からの支援を要請しました。歴史上初めて、ウクライナが容認する形で、民間および国家主導のサイバー攻撃が、既存の国家に対して勃発したのです。
正しいか間違っているかはさておき、これらの攻撃はロシアからの報復につながる可能性が高い。それがどのような形で行われるかはまだ分からない。確かなのは、ロシアがその広範なサイバー戦争能力を西側諸国に対して行使するだろうということだ。
サイバー攻撃とは何ですか?
米国立標準技術研究所（NIST）は、サイバー攻撃を「サイバースペースを介した攻撃で、企業のサイバースペース利用を標的とし、コンピューティング環境やインフラを妨害、無効化、破壊、もしくは悪意を持って制御すること、あるいはデータの完全性を破壊したり、管理下の情報を窃取すること」と定義しています。サイバー攻撃を戦争行為として分類する交戦規則は、常に曖昧な領域でした。ロシアのサイバー攻撃が戦争行為を構成するかどうかは、サイバー攻撃が戦争行為を構成するかどうか、そしてさらに言えば、国家がサイバー攻撃に対してどのような適切な対応をとるべきかという点で、多くの議論の的となっています。北大西洋条約機構（NATO）は、加盟国に対するロシアのサイバー攻撃は、物理的な攻撃と同様に戦争行為とみなされる可能性があると、以前から主張してきました。しかし、NATOは加盟国による対応に値するサイバー攻撃の種類の定義を広げたようです。武力攻撃を仕掛けたとみなされるためには、重大な悪意のある累積的なサイバー活動が行われる必要があることを具体的に特定した。ロシアのサイバー攻撃は西側諸国の標的に対してまだ重大な結果をもたらしていないが、ウクライナ紛争の一環として、ロシアは自国に対するサイバー攻撃は侵略行為とみなされるとかなり明確に述べている。
なぜ今なのか？
サイバー攻撃がいつ、どのような標的に対して行われるかを予測することは困難です。しかし、そのようなサイバー攻撃は、現在ウクライナで見られるような物理的な侵攻を補完する可能性が高いでしょう。サイバー犯罪やサイバー攻撃は、人々が注意散漫になったり、精神的に不安定になったり、あるいは特に脆弱で攻撃の被害を受けやすい状況にある時に増加します。ロシア軍は、西側諸国と比較すると時代遅れの装備に依存しています。しかし、彼らのサイバー能力とそれらを運用するための積極的な戦術は、侮れない力です。ロシアは、米国やその他の西側諸国に対してサイバー攻撃やサイバー犯罪を仕掛けてきた歴史があります。サイバー領域における国家支援活動の輝かしい歴史を持つロシア。したがって、ロシアが私たちに与える影響として、以下の5つの点を予測し、対処することができます。
1. 銀行に注意してください。
銀行や金融機関はサイバー攻撃の脅威にさらされています。近年、銀行を標的とした、これまでにない大規模なサイバー攻撃や、その脅威を煽る行為がいくつか発生しています。これは、サイバーセキュリティへの意識が高まっている昨今において特に顕著です。銀行は、仮想通貨やソーシャルエンジニアリングをベースとした攻撃の増加に注意を払う必要があります。また、銀行の顧客も、フィッシングや詐欺の増加に注意を払う必要があります。
2. 重要な国家インフラ。
国家インフラがサイバー攻撃に対して非常に脆弱であることは、周知の事実です。これには多くの理由がありますが、レガシーソフトウェアとハードウェアへの依存もその一つです。こうした脆弱性により、国家インフラはサイバー攻撃に対して脆弱な状態にあります。さらに、国家インフラへの攻撃は国民の生活の質に直接的な影響を与える手段であり、より大規模な攻撃に利用される可能性もあります。
3. 政府。
政府はサイバー犯罪者にとって最も標的となる組織の一つです。紛争時には、政府機関への攻撃が頻繁に発生し、その活動を妨害・混乱させる可能性があります。ウクライナ紛争では、既に両陣営でこの現象が見られ、政府機関のウェブサイトやシステムが長期間にわたってオフラインになっています。
4. 中小企業に対する攻撃の増加。
中小企業はサイバー犯罪者の格好の餌食とみなされることが多い。先週、サイバーセキュリティ・インフラセキュリティ庁（CIISA）は組織向けガイダンスを更新し、米国企業に対するサイバー攻撃の増加を予測する声明の中で、企業に対しレジリエンス（回復力）強化に注力し続けるよう強く求めた。これは、ロシアによるウクライナ政府ウェブサイトへのサイバー攻撃を受けての措置である。中小企業はサイバー攻撃者にとって好ましくない標的であるというのは、よくある誤解である。
5. 情報戦争。
ロシアは直接的なサイバー攻撃ではないものの、広大な国土を有し、広範な心理作戦と情報戦能力を過小評価すべきではありません。ロシアの活動はますます報道され、国際社会の監視の目も厳しくなるため、クレムリンは国際的なコミュニケーションを妨害し、外交政策に影響を与え、世論をコントロールするために、今後数ヶ月で情報操作戦術を強化する可能性が高いと考えられます。全体として、ロシアがサイバー戦能力を真に発揮した様子は今のところ見られません。組織はサイバー攻撃の増加と、攻撃を受けるリスクの高まりに留意する必要があります。紛争が激化し、戦場での血なまぐさい行為が日増しに激化するにつれ、こうしたエスカレーションは物理的なものだけにとどまらず、サイバー空間における攻撃の増加も十分に考えられます。