はじめに：デジタル化が進むラテンアメリカの現実
ラテンアメリカは、モバイルファーストの急速なデジタル変革の最中にあります。ブラジル、メキシコ、コロンビア、アルゼンチン、チリを中心に、インターネットとスマートフォンの普及率は著しく上昇しています。しかし、この急速な接続性の向上は、地域固有の複雑なサイバーセキュリティ課題をもたらしました。金融包摂の拡大、政府サービスのオンライン化、中小企業（PYMEs）のデジタル移行は、新たな攻撃対象領域を生み出しています。本記事では、ラテンアメリカ特有のデジタル脅威の生態系を解明し、その攻撃手法の詳細な仕組み、そして地域の政府、企業、個人が講じている効果的な予防・対策策を包括的に解説します。
ラテンアメリカにおけるサイバー脅威の特徴と主要な攻撃手法
同地域の脅威環境は、世界的な傾向と共通点を持ちつつも、経済状況、制度の脆弱性、犯罪組織の活動を反映した独特の色彩を帯びています。高度な持続的脅威（APT）から低コストだが効果的なソーシャルエンジニアリング攻撃まで、その幅は広がっています。
金融を標的とした脅威：銀行型マルウェアと詐欺
ラテンアメリカは、特にブラジルを中心に、銀行型トロイの木馬（バンキングトロジャン）の世界的な温床となっています。ブラデスコ銀行、イタウ銀行、バンコ・デ・チリ、BBVA Méxicoなどの金融機関を標的とする高度なマルウェアが継続的に開発されています。Guildma、Grandoreiro、Krachulka、Casabenieroといったマルウェアファミリーは、偽の銀行画面を重ね合わせる（オーバーレイ）手法や、SMSを盗み見る機能を持ち、二要素認証をも突破しようとします。PIX（ブラジルの即時決済システム）の爆発的普及に伴い、これを悪用したフィッシング詐欺も急増しています。
ランサムウェア攻撃：重要インフラと企業への打撃
地域全体で、ランサムウェア攻撃が公的機関や大企業を直撃しています。2021年には、ブラジルの裁判所（STJ）や国家財務省が攻撃を受け、業務が数週間にわたり麻痺しました。コスタリカでは2022年、Contiランサムウェアグループによる大規模攻撃が国家非常事態を宣言させるに至り、財務省（Hacienda）や社会保障基金（CCSS）が被害を受けました。攻撃者は、身代金の支払い能力が高いと見なす標的を選別し、データ窃盗と暗号化を組み合わせた「二重脅迫」手法を頻繁に用います。
国家関与型のサイバー攻撃とスパイ活動
地域の地政学的緊張や天然資源を巡る競争は、サイバー空間に反映されています。APT10（MenuPassグループ）やAPT28（Fancy Bear）などの高度な持続的脅威グループが、エネルギー部門（ペメックス（Pemex）など）、外交機関、防衛関連企業を標的にしたスパイ活動を行っていると報告されています。また、ベネズエラのAPTグループ「El Machete」のような地域内のグループも活動しており、政府機関や反体制派を標的にしています。
ソーシャルエンジニアリングとフィッシング：文化的文脈の悪用
脅威行為者は、ラテンアメリカの社会的・文化的特性を巧みに利用します。信頼性の高い機関（税務署、電気会社、人気のECサイト）を装った偽メールやSMSメッセージが蔓延しています。特に、コロンビアやメキシコでは、「スピアフィッシング」と呼ばれる個人を特定して行う手口が発達しており、被害者の個人的・職業的関係を詳細に調べた上で、極めて説得力のある誘い文句を作成します。
脅威が機能する仕組み：技術的・人的脆弱性の悪用
攻撃が成功する背景には、技術的な欠陥と人的要因が複雑に絡み合っています。以下に、その主要な悪用経路を説明します。
マルウェア感染のライフサイクル
典型的な銀行型マルウェア攻撃は、以下の段階を経ます：1) 偽の請求書メールや就職詐欺サイトなどによる配信（Delivery）。2) ユーザーが添付ファイルを開くなどして実行させる実行（Exploitation）。3) 端末に持続的に潜伏するための確立（Establishment）。4) 銀行アプリの起動を監視し、偽画面を表示して認証情報を盗む窃取（Exfiltration）。これらのマルウェアは、Android端末を特に標的とし、公式ストア以外のアプリ配信サイト（APK）を通じて拡散されることが多くなっています。
ランサムウェア攻撃の侵入経路
ランサムウェアグループは、リモートデスクトッププロトコル（RDP）の弱いパスワードや、未修正の脆弱性（例えば、Microsoft Exchange Serverの「ProxyLogon」）を悪用してネットワークに侵入します。内部で権限を昇格させ、Mimikatzなどのツールで資格情報を横取りし、グループポリシーオブジェクト（GPO）などを通じてネットワーク全体にマルウェアを拡散させます。データを暗号化する前に、Mega.nzやTorネットワークを経由して重要なデータを窃取します。
人的要因：サイバーセキュリティ意識のギャップ
多くの組織では、従業員に対する定期的なサイバーセキュリティ訓練が不足しています。また、急速なデジタル化に制度や法整備が追いついておらず、特に地方自治体や中小企業では、専任のセキュリティ要員や予算が不足していることが根本的な脆弱性となっています。
ラテンアメリカ各国の対策と法規制の枠組み
各国は、脅威の高まりに対応するため、国家戦略の策定や法整備を進めていますが、その進捗と効果にはばらつきがあります。
| 国名 | 主要な法規制・戦略 | 監督機関・センター | 特徴的な取り組み |
|---|---|---|---|
| ブラジル | 個人データ保護法（LGPD）、国家サイバーセキュリティ戦略（E-Ciber） | 連邦警察サイバー犯罪対策局、 CERT.br（Nic.br） | LGPDはGDPRに類似した厳格な法規。CERT.brは地域で最も活発なセキュリティ啓発活動を実施。 |
| メキシコ | 国家サイバーセキュリティ戦略、個人データ保護法（LFPDPPP） | 国家警備隊（GN）、CERT-MX | エネルギー部門（Pemex, CFE）の保護を重点課題に位置付け。 |
| コロンビア | デジタルセキュリティ・信頼政策（Conpes 3995）、個人データ保護法 | コロンビア軍サイバーコマンド、ColCERT | 国家防衛計画にサイバー防衛を明確に組み込み、米国との連携が緊密。 |
| チリ | 国家サイバーセキュリティ政策、個人データ保護法 | CSIRT del Gobierno、チリコンピュータ緊急対応チーム | 経済協力開発機構（OECD）の基準に沿った政策構築を推進。 |
| コスタリカ | 国家サイバーセキュリティ戦略（2021-2025） | 科学技術通信省（MICITT）、CSIRT-CR | 2022年のランサムウェア攻撃後、対策を急速に強化・国際協力を要請。 |
| ペルー | 国家サイバーセキュリティ戦略、個人データ保護法 | 国防省、ペルーコンピュータ緊急対応チーム（PE-CERT） | アンデス共同体（CAN）の枠組み内での地域協力を重視。 |
国際協力の動き
ラテンアメリカ諸国は、米国国土安全保障省（DHS）、欧州刑事警察機構（ユーロポール）、インターポールとの二国間・多国間協力を強化しています。米州機構（OAS）の下にあるサイバーセキュリティ専門委員会は、能力構築と政策対話の重要なプラットフォームとなっています。また、カリブ共同体（CARICOM）も地域のセキュリティ対策の調整を図っています。
企業と組織が実践すべき効果的な予防策
脅威環境を鑑み、企業は多層防御（ディフェンス・イン・デプス）のアプローチを採用する必要があります。
技術的対策の基本と応用
- エンドポイントの保護： カスペルスキー、ESET（同地域で強いプレゼンス）、SentinelOne、CrowdStrikeなどの次世代型アンチウイルス（NGAV）やEDRソリューションの導入。
- 電子メール・ウェブゲートウェイ： Proofpoint、Mimecastなどを用いた高度なフィッシングメールの検知とブロック。
- パッチ管理： OS（Microsoft Windows、Linux）、アプリケーション（Adobe、Oracle Java）、ネットワーク機器の脆弱性を迅速に修正する厳格なプロセス。
- ネットワークセグメンテーション： 重要なシステム（財務データ、生産制御）を一般ネットワークから論理的に分離し、ランサムウェアの横移動を阻害。
- 多要素認証（MFA）の強制： RDP、VPN、クラウドサービス（Microsoft 365、Google Workspace）へのアクセスには、必ずAuthenticatorアプリや物理トークンを利用。
インシデント対応計画とバックアップ戦略
「攻撃は必ず起こる」という前提に立ち、インシデント対応計画（IRP）を策定し、定期的に訓練を実施することが不可欠です。これには、コンピュータセキュリティインシデント対応チーム（CSIRT）の役割定義、連絡手順、法的対応が含まれます。また、3-2-1ルール（3つのコピー、2つの異なるメディア、1つはオフサイト）に従った定期的なバックアップと、復元テストの実施は、ランサムウェアからの回復における最後の砦です。
個人ユーザーが身を守るための実践ガイド
個人レベルでの警戒と習慣が、地域全体のセキュリティレベルの底上げにつながります。
- ソフトウェアの更新： オペレーティングシステム、ブラウザ（Google Chrome、Mozilla Firefox）、アプリを常に最新状態に保つ。
- パスワード管理： 各サイトで異なる強力なパスワードを使用し、LastPass、Bitwarden、1Passwordなどのパスワードマネージャーを利用する。
- リンクと添付ファイルの慎重な取扱い： 送信者を確認し、URLをホバーして実際のリンク先を確認してからクリックする。
- 公衆Wi-Fiの利用制限： カフェや空港の無料Wi-Fiでは、仮想私設通信網（VPN）サービス（ExpressVPN、NordVPNなど）を利用し、通信を暗号化する。
- モバイル端末のセキュリティ： 公式アプリストア（Google Play Store、Apple App Store）のみからアプリをインストールし、不審な権限要求を許可しない。
未来への展望：課題と機会
ラテンアメリカのサイバーセキュリティの未来は、克服すべき大きな課題と、飛躍のための機会が併存しています。
主要な課題
依然として深刻なデジタルデバイド、専門家不足（サイバーセキュリティ人材ギャップ）、限られた財政資源、国境を越えた犯罪者への法執行の難しさが立ちはだかっています。また、暗号通貨を利用した身代金の支払いが、攻撃者グループの追跡を困難にしています。
新たな機会と成長分野
地域内で、サイバーセキュリティ産業のエコシステムが育ちつつあります。ブエノスアイレス、サンパウロ、メキシコシティ、ボゴタを中心にスタートアップが登場し、脅威インテリジェンスやマネージドセキュリティサービスを提供しています。教育機関も対応を始めており、チリ大学、メキシコ国立自治大学（UNAM）、ブラジリア大学などで専門コースが設けられています。さらに、クラウドサービスプロバイダー（CSP）であるAmazon Web Services（AWS）、Microsoft Azure、Google Cloudが地域にデータセンターを拡大し、組み込みのセキュリティ制御を提供することで、セキュリティ基盤の近代化を後押ししています。
地域協力と知識共有の重要性
脅威が国境を無視する以上、対策も国境を越えた連携が不可欠です。ラテンアメリカ・カリブ海ネットワークセキュリティフォーラム（LACNIC）は、技術コミュニティにおける重要な調整役を果たしています。FIRST（Forum of Incident Response and Security Teams）の枠組みを通じた各国CERTチーム間の信頼関係の構築は、インシデント発生時の迅速な情報共有に役立っています。また、オープンソースインテリジェンス（OSINT）を活用した地域研究者や、チェーンノーティス分析を行う民間企業の活動も、脅威の可視化に貢献しています。
FAQ
Q1: ラテンアメリカで最も狙われやすい業界は何ですか？
A1: 金融部門（銀行、決済サービス）、政府機関（税務、司法）、エネルギー・公益事業（石油・ガス会社、電力会社）、医療機関、そしてデジタル化が進む中小企業が特に標的となっています。金融部門は高度な銀行型マルウェアの、政府機関はランサムウェアやスパイ活動の主要な標的です。
Q2: ブラジルの「LGPD」とは何ですか？それはサイバーセキュリティにどのように影響しますか？
A2: Lei Geral de Proteção de Dados（LGPD）は、欧州連合（EU）の一般データ保護規則（GDPR）に類似したブラジルの包括的な個人データ保護法です。データ侵害が発生した場合、監督機関（ANPD）への通知と、場合によってはデータ主体への通知が義務付けられ、違反には多額の罰金が科せられます。このため、組織はデータ保護とサイバーセキュリティ対策を強化せざるを得なくなり、結果としてセキュリティ投資と意識の向上を促進しています。
Q3: ラテンアメリカでは、なぜAndroid端末を標的としたマルウェアが多いのですか？
A3: 主に二つの理由があります。第一に、市場シェアが圧倒的に高く（多くの国で80%以上）、攻撃対象として効率的です。第二に、Google Play以外のサードパーティ製アプリストア（APK配布サイト）からのアプリインストールが広く行われる文化的習慣があり、これが審査を回避した悪意あるアプリの拡散経路となっています。また、多くのユーザーが古いバージョンのAndroid OSを使用しており、セキュリティパッチが適用されていない端末が多数存在します。
Q4: ラテンアメリカのサイバーセキュリティ人材不足に対して、どのような取り組みが行われていますか？
A4: 複数のアプローチが並行して進められています。国際機関（米州機構（OAS）、米国国際開発庁（USAID））によるトレーニングプログラム、Cisco Networking Academy、Fortinetのトレーニングインスティテュートなどの民間イニシアチブ、そして大学での専門課程の設立が挙げられます。また、チリやコロンビアなどでは、国家サイバーセキュリティ戦略の中に人材育成を明確な柱として位置付け、資格認定制度の整備を進めている国もあります。
Q5: 個人として、ラテンアメリカ在住時に特に気をつけるべきサイバー脅威は何ですか？
A5: 第一に、公共料金請求や税還付、配送通知を装ったSMSフィッシング（スミッシング）や電話によるフィッシング（ビッシング）に極めて注意が必要です。第二に、公共の場でのスマートフォンの盗難やスナッチ詐欺に遭った場合、端末内の金融アプリやSMSを悪用されるリスクが高いため、生体認証と強力な端末ロックの使用が必須です。第三に、人気のECサイト（Mercado Libre, Amazon México）や決済サービス（PIX, Yape, Mercado Pago）を装った精巧な偽サイトが頻出するため、URLを直接入力する習慣を身につけることが重要です。
発行：Intelligence Equalization 編集部
本インテリジェンス・レポートは、Intelligence Equalization（知の均等化プロジェクト）によって執筆・制作されたものです。日米のリサーチパートナーによる監修を受け、情報格差の解消と知識の民主化を実現するため、グローバルチームがその内容を検証しています。