バイナンスは、「レッドチーム」として知られる社内の倫理的ハッキング部門を通じて、グローバルな従業員に対し、毎月の義務的なフィッシング・シミュレーション攻撃を実施している。最高セキュリティ責任者（CSO）のジミー・スー氏は、シミュレーションで提示された疑似的な餌に引っかかった従業員は対象を絞ったリメディエーション（再教育）トレーニングを受けなければならない一方、繰り返し失敗した場合は職を解かれる可能性があると述べた。試験の成績は社内のパフォーマンス評価に直結するためだという。
この取り組みは、ますます巧妙化するソーシャルエンジニアリングの脅威への対応を目的としている。バイナンスは、人間に起因するリスク管理が、ユーザーの資産として1000億ドル超（$100 billion）を保有する世界最大級のデジタル・アセット取引所を守るうえで重要だと捉えている。業界データでは、ソーシャルエンジニアリングのキャンペーンが、暗号資産プラットフォームに直面するセキュリティインシデントの大半を占めていることが示されており、資格情報（クレデンシャル）窃取の防止が主要な防御優先事項となっている。
Binanceのレッドチームが現実的なフィッシングのシナリオを投入
バイナンスの社内レッドチームは、現代のサイバー犯罪者の手口を再現することを狙い、多様で非常に現実味のあるフィッシング・シナリオを設計している。セキュリティチームは、高度な餌として、偽のリクルーターからの問い合わせ、偽のイベント招待、悪意のあるビデオ会議の更新情報などを投入する。シミュレーションでは、フィッシングメールが、ソフトウェア更新やオファーとして偽装したマルウェアを従業員にダウンロードさせようとする、Zoomの会議攻撃を模倣するケースがしばしば見られるほか、資格情報を抜き取るために「偽の求人機会」を提示することもある。その他のシナリオとしては、偽のパートナー提案や、業界カンファレンスへの招待を用い、スタッフが個人情報または企業情報を不適切に開示してしまうかどうかを検証するものもある。
ソーシャルエンジニアリングが暗号資産のセキュリティインシデントを支配
バイナンスの方針は、Web3およびフィンテック分野で広がるコンセンサスを反映している。すなわち、人為的なミスが重大なセキュリティ侵害の主な侵入経路になっているという考え方だ。業界データによれば、ソーシャルエンジニアリングのキャンペーン（資格情報の収集から、ターゲットを絞ったビジネス向けメールの侵害まで）は、暗号資産プラットフォームに直面するセキュリティインシデントの大半を占めている。サイバー犯罪者は、ソーシャルチャネルを通じて暗号資産取引所の担当者を狙い、従来の技術的ファイアウォールを迂回して、重要なネットワーク基盤への不正アクセスを得ることを常に行っている。バイナンスの経営陣は、初期の社内テストでセキュリティ衛生（セキュリティ習熟）の大きなギャップが見つかったものの、何年にもわたる継続的な毎月のシミュレーションによって、組織全体で測定可能な改善がもたらされたと指摘した。
よくある質問
フィッシング・シミュレーションに失敗した場合、Binanceの従業員にはどんな結果が待っているのですか？
バイナンスのシミュレーションで提示されるフィッシングの「疑似餌」に引っかかった従業員は、対象を絞ったリメディエーション（再教育）トレーニングを受けることが求められる。繰り返し失敗した場合は、テストの成績が社内の従業員パフォーマンス評価に直結するため、深刻な管理上の影響が伴い、スコアが下限に落ち込めば最終的に解雇につながる可能性がある。
フィッシング・シミュレーションでは、Binanceのレッドチームはどんな手口を使いますか？
バイナンスの社内レッドチームは、高度な餌として、偽のリクルーターからの問い合わせ、偽のイベント招待、悪意のあるビデオ会議の更新情報、偽のZoom会議攻撃、偽の求人機会、偽のパートナー提案、そして個人情報または企業情報を不適切に開示してしまうかどうかを検証するための業界カンファレンスへの招待を投入している。
なぜBinanceは毎月フィッシング・シミュレーションを実施するのですか？
バイナンスは、ますます巧妙化するソーシャルエンジニアリングの脅威に対応するため、運用上のセキュリティ衛生を継続的に測定し改善する目的で、毎月のフィッシング・シミュレーションを義務として実施している。会社は、ユーザーの資産として1000億ドル超（$100 billion）を保有する世界最大級の暗号資産取引所の運営者として、人間に起因するリスク管理を、防御用セキュリティ基盤の重要な構成要素だと位置付けている。
