社会全体のデジタル化に伴いサイバー攻撃が急増しています。 デジタル・インフォメーション・テクノロジー株式会社が2021年4月発表した「中小企業のサイバー攻撃対策」に関する実態調査」では 、中小企業の約7割が「サイバー攻撃を受けたことがある」と答えています。
企業は一度でも情報の漏洩や改ざんなどを許してしまえば、取引先や顧客、社会からの信頼は著しく損なわれます。業種や事業規模かかわらず、企業にとってサイバーセキュリティは最優先課題と言えるでしょう。
日本損害保険協会が2020年2月に発表した「中小企業の経営者のサイバーリスク意識調査2019」 によると、中小企業の4社に1社はサイバー攻撃への対策をしておらず、自社がサイバー攻撃の対象となると考えている企業も1割未満となっています。
本記事ではサイバー攻撃の種類と最新動向を紹介し、サイバーセキュリティについて説明します。
例えばランサムウェアのWannacryに感染すると、ファイルが次々に暗号化され、ブラウザに身代金を要求する表示が出ます。
マルウェアについては以下の記事でも詳しく解説しています。ご興味のある方はぜひご覧ください。
マルウェアとは？会社のPCやスマホが感染した際の対処法を解説
不正アクセスとは、アクセス権限を持たない第三者が、サーバーやシステム内部へ侵入することです。
警察庁の発表によれば、不正アクセスした後、攻撃者の約65.8％がインターネットバンキングで不正送金を行っています。金銭目的のほかに、なりすましやWebサイトの改ざんを目的とする場合もあります。
不正アクセスの手口を内訳で見ると、「識別符号窃用型」（パスワードを窃取し悪用する手口）が全体の90％を占めています。
不正アクセス行為の手口別検挙状況 (2021年) ｜警察庁
パスワードの窃取に比べて割合は少ないものの、セキュリティ・ホールの脆弱性を突き、不正アクセスを行うケースも見受けられます。
フィッシング詐欺とは有名企業を装ったメールやSMSで、IDやパスワード、クレジットカード番号などを窃取しようとするものです。
フィッシング対策協議会 の報告によると、フィッシング詐欺の被害は年々増えており、2021年8月は過去最高の53,177件、またフィッシングサイトも過去最高の9,024件となりました。以下がフィッシング対策協議会に寄せられた2020年10月から本年9月までの報告件数のグラフです。
2021年10月フィッシング報告件数 ｜フィッシング対策協議会
フィッシングメールに悪用されたブランドはAmazonが最も多く、全体の30.6％を占めました。その他、金融系のカード各社が続きます。スマホのSMS経由では、携帯キャリアを装うものも多く出回りました。
WebサイトやサーバーがDoS攻撃やDDoS攻撃を受けると、Webサイトの閲覧ができなくなったり、動きが遅くなったりして、ユーザーにも負担をかけます。
DoS攻撃とはDenial Of Service Attack（サービス拒否攻撃）の略で、 Webサイトやサーバーへさまざまな方法でネットワークパケットを送付し、サーバーのリソースを消費させてサービスの妨害を目的とするものを指します。
DDoSはDistributed Denial of Service attack（分散型サービス拒否攻撃）の略で、攻撃者が複数の一般のコンピューターを乗っ取り、一斉にDoS攻撃を行います。そのためDDoS攻撃の場合攻撃者を割り出すのが難しく、また通常のアクセスと切り離して攻撃者のアクセスだけを排除することも難しいのが特徴です。
アドウェアはフリーソフトをインストールした時に、一緒にインストールされ、Webブラウザのポップアップ機能やホーム画面に広告表示を行うソフトウェアです。
アドウェアの中でも悪質なものは、単に広告を表示するだけでなく、インストールされたPCの内部情報を収集して外部に送信します。
その他にもブラウザの拡張機能としてダウンロードされるものや、セキュリティ上の問題が存在するように見せかけて悪質なマルウェアをダウンロードさせるものなどがあります。
総務省が2020年12月に発表した「 サイバー攻撃の最近の動向等について 」によると、サイバー攻撃の目的や手法が変化して、より組織的かつ大規模になり、手口も巧妙化しています。
サイバーセキュリティ上の脅威の増大 ｜総務省
近年目立つのが、以下の2つの傾向です。
標的型攻撃とは、標的とする個人や標的組織に属する人に向け、ターゲットが信頼する組織や人を偽装して、不正プログラムを感染させたり、不正サイトへアクセスさせたりする手法です。
警察庁の発表 によると、2020年の標的型メール攻撃の件数は、全体の5％に過ぎません。しかし、標的型のメールは以下の特徴があります。
標的型攻撃の代表的なEmotetは、以下のような手口で偽装メールが作成されます。
①攻撃者はA社に向け、実在する企業を装い、添付ファイル付きのメールを送信
②A社が添付ファイルを開くと、プログラムが実行される
③A社がB社と通常のやりとりをする
④攻撃者はその内容を引用した添付ファイル付きの偽装メールを作成し、A社名でB社に送信
⑤B社はA社からのメールと思いこみ、添付ファイルを開いて感染が拡大する
入念に偽装されているため見分けがつきにくいのです。
添付されたファイル形式は、さまざまなものがあります。2019年には圧縮ファイルが9割近くを占めていたのに対し、2020年にはWord文書が増加しています。
令和２年におけるサイバー空間をめぐる脅威の情勢等について ｜警察庁
標的型攻撃にはメールを利用したもののほかに、標的とする個人や標的組織に属する人が利用するWebサイトやSNSで、不正プログラムなどをダウンロードさせる水飲み場攻撃もあります。
IPAの2020年の統計 によると、個人へは金銭目的が目立ち、法人へは金銭目的以外のサイバー攻撃が増加しています。
|
順位 |
個人 |
組織 |
|
1 |
スマホ決済の不正利用 |
標的型攻撃による機密情報の窃取 |
|
2 |
フィッシングによる個人情報の詐取 |
内部不正による情報漏洩 |
|
3 |
クレジットカード情報の不正利用 |
ビジネスメール詐取による金銭被害 |
情報セキュリティ10大脅威 2020 を元に作成
総務省の「 サイバー攻撃の最近の動向等について 」では、近年のサイバー攻撃の動向について紹介されています。
実際に組織や企業に仕掛けられ、大きな影響を与えた事例を紹介します。
2015年5月、日本年金機構に対する標的型攻撃によって、年金加入者の個人情報125万件が流出しました。
これは職員がフリーアドレスから送られたメールを開封し、ファイルをダウンロードすることから端末が感染したケースです。最初のメールが開封されてから機構内で全端末の接続を遮断する約3週間の間に、125万件の情報が流出しました。
仮想通貨取引所のコインチェックに不正アクセスがあり、2018年1月、約580億円にも上る顧客の資産が流出しました。これは従業員の端末がマルウェアに感染し、仮想通貨を管理する秘密鍵が悪用されたことが原因でした。
カプコンは2020年11月、ランサムウェアによる不正アクセス攻撃を受けました。この攻撃でカプコンはシステム障がいが発生、1TBともいわれる顧客情報が流出しました。身代金として仮想通貨で1,100万ドルを支払うことを要求され、カプコン側は支払いを拒否しました。
基本的なサイバーセキュリティを説明します。
サイバー攻撃は脆弱性を狙います。そのため以下の徹底が必要です。
自社でサーバーを運用する場合は、以下のことを徹底します。
進化し続けるサイバー攻撃は、完全には防御できません。基本的な対策を徹底した上で、危険な徴候を見つけたらすぐにネットワークを切断し、状況を整理確認します。
セキュリティソフトは既存のマルウェアに一致するものを検知して対処します。新種のマルウェアに対しては対処できませんが、サイバー攻撃の多くは過去の脆弱性を利用しているため、セキュリティソフトの導入やOS、アプリの更新は欠かせません。
不審なファイルは開かない、危険のあるWebサイトは行かない、送り主のわからないメールは開封しないなどの基本的な対策を徹底し、従業員の意識を高めることが重要です。
経産省は「 サイバーセキュリティ経営ガイドライン ver.2.0 」を発表しています。
ガイドラインでは「サイバーセキュリティは経営問題」と定義し、経営者のリーダーシップの下、経営戦略の一環としてサイバーセキュリティを実施することを求めています。
「サイバーセキュリティ経営」として、経営者が認識すべき「3原則」や、経営者が情報セキュリティ対策を実施する責任者であるCISO（Chief Information Security Officer＝情報セキュリティ責任者）に指示すべき「重要10項目」がまとめられています。
クラウドやスマートフォン、IoTの普及によって、サイバーセキュリティの重要性は今後ますます高まっていくでしょう。
企業が取り組むべきサイバーセキュリティは、顧客情報や企業の機密情報の窃取や、大企業の内部に侵入するための踏み台など、多岐に渡ります。
サイバーセキュリティは、自社を守るだけでなく、自社の製品やサービスを利用する顧客や潜在的な見込み客に「安全・安心」という価値を提供することにもつながります。