年々攻撃の手口が多様化、巧妙化しているサイバー攻撃。DXを進める企業が増えていることを背景に、多くの企業で被害を受けるリスクが高まっています。

サイバー攻撃を防ぐためには、サイバー攻撃の手口やリスク、対策などの正しい理解が必要です。今回は、サイバー攻撃の概要や手口、実際の被害例と対策を紹介します。この記事を参考に、サイバーセキュリティの強化に取り組みましょう。

サイバー攻撃とはどんな攻撃か

サイバー攻撃とは、パソコンやスマートフォン、サーバー、ネットワーク機器などさまざまなIT機器に対して、機能停止や情報窃取、改ざんなどを行おうとする行為です。サイバー攻撃には、マルウェア・ウイルスに感染させる手法やアカウント情報を窃取し不正アクセスを行う手法、不正なコマンドを送りつけて実行させる手法などがあります。

サイバー攻撃を行う目的

サイバー攻撃を行う目的は攻撃者によってさまざまですが、主に以下の4つに分類されます。

• • 宗教的、国家的、民族的な利害関係

自ら、または自らが所属する組織等の宗教的、国家的、民族的な主張を通すことを目的として行われるサイバー攻撃です。特に政治的主張を通すためにサイバー攻撃を行う集団はハクティビストとも呼ばれます。

• • 怨恨

攻撃者が相手に対し恨みを持っており、相手を困らせることを目的に行われるサイバー攻撃です。

• • 金銭

不正にデータを暗号化してデータを利用できない状態にした後、解除の代わりに金銭を要求したり、不正に取得した情報をダークウェブや特定組織に売ったりするなど、金銭を目的に行われるサイバー攻撃です。

• • 享楽

自身の技術力をアピールしたい、サイバー攻撃をゲーム感覚で楽しみたいなど、自身の欲求を満たすために行われるサイバー攻撃です。

サイバー攻撃の歴史

サイバー攻撃はインターネット黎明期にあたる1990年代から発生し、年々手口が巧妙化してきました。各時期におけるサイバー攻撃の歴史や攻撃手法を紹介します。

インターネット黎明期（90年～2000年代）

インターネット黎明期にあたる1990年代～2000年代には、計画的なサイバー攻撃よりも愉快犯的なサイバー攻撃が主流でした。モリスワームと呼ばれる初期のワームから始まったウイルスや、F5攻撃などのDoS攻撃、公式になりすましたフィッシングサイトなどが多く発生していた時代です。

スマートフォン普及期（2010年代）

スマートフォンが急速に普及した2010年代には、メールに加えてSNSやアプリに不正プログラムを仕込みマルウェアに感染させるサイバー攻撃が増加しました。この時代になると、ビジネスとしてのサイバー攻撃の割合が増え、企業への標的型攻撃メール、WannaCryなどのようなランサムウェア、大手企業のWebメディアへの不正アクセスなど、企業への攻撃が増加しています。

リモートワーク普及期（2020年代）

リモートワークが普及してきた2020年代になってからは、一般家庭の脆弱な端末やネットワークに対する攻撃が増加しています。また、標的である企業ではなく関連会社にサイバー攻撃を行い、関連会社を経由して標的に攻撃を仕掛ける「サプライチェーン攻撃」と呼ばれる手口も増えてきました。強固なセキュリティを敷く大手企業を直接狙うのではなく、従業員のホームネットワークや関連会社のネットワークなど守りの薄い部分を攻撃するという手口の巧妙化が見受けられます。

サイバー攻撃の種類や手口

サイバー攻撃から身を守るためには、まずサイバー攻撃の種類や手口を知る必要があります。ここでは現在主流のサイバー攻撃を3つ解説します。

マルウェア（ランサムウェア）

マルウェアは不正かつ有害な動作を行う悪意あるソフトウェアやコードの総称を指します。ウイルスやワームなどもマルウェアの一種です。昨今ではさまざまな手口でマルウェアに感染させるサイバー攻撃が特に増加しています。勝手にデータが暗号化され、暗号化を解除するコードと引き換えに身代金を要求されるランサムウェアによって、大手企業のシステムが停止する事例も発生しています。

不正アクセス

不正アクセスは、ネットワークを介して不正なアクセスを行い、情報窃取や改ざんなどを行う攻撃の総称です。不正アクセスは、多様なパスワードを総当たり的に試し、不正ログインを行う「総当たり攻撃」やシステムが想定していない不正なコマンドを送り付け機能停止や情報窃取を行う攻撃など、さまざまな手段があります。

標的型メール

標的型攻撃メールは、企業の組織や従業員を対象に、その組織・従業員が違和感を持ちにくい文言や見た目のメールを送信し、添付ファイルの開封や記載URLへのアクセスに誘導する攻撃です。誘導先にはマルウェアやフィッシングサイトが仕込まれており、情報が窃取されます。近年特に流行しているEmotetも標的型メールの一種で、一度感染すると同じネットワーク内のさまざまな端末から情報を窃取する仕組みが盛り込まれています。

サイバー攻撃の被害例

サイバー攻撃は、一度侵入を許すとその被害は甚大です。対策を怠らないためにも、サイバー攻撃を受けるとどのような被害が発生するのかを認識しておきましょう。

基幹システムを暗号化し金銭を要求される

2021年10月、日本国内の公立病院がランサムウェアの被害を受け、電子カルテの閲覧不可や基幹システムが使用不可となる事案が発生しました。データの復旧と引き換えに身代金を要求されましたが、病院は要求に応じず自力でデータの復旧を行っています。しかし、復旧には成功したものの、数日間は新規患者の受け入れを停止せざるを得ない状況となってしまいました。

感染しマルウェアが侵入しやすい状態になった

標的型メールの添付ファイルを開いてしまい、マルウェアに感染する事例は多数発生しています。特にEmotetに感染すると、パソコンの中に潜伏しユーザーに気付かれないよう巧妙に外部のサーバーと通信し、さまざまなマルウェアをダウンロード・インストールします。一度感染するとマルウェアが侵入しやすい状態になってしまい、情報が窃取されると共に、他の機器にも感染が拡大する状況になってしまいます。

知らず知らずのうちに攻撃者に加担してしまった

ルーターやWebカメラなどIPアドレスを持った機器はIoTデバイスと呼ばれ、昨今では遠隔で操作ができる冷蔵庫やエアコンなどのIoTデバイスも登場しています。そのIoTデバイスを標的にするマルウェアであるMiraiは、感染した機器をDDoS攻撃などに悪用します。機器を使っている本人には自覚がなくても、マルウェアに感染した機器を操作することで攻撃者に加担する状況になる恐れがあります。

サイバー攻撃を防ぐ方法

ここまで紹介したサイバー攻撃を防ぐためにはどのような対策を取れば良いのでしょうか。サイバーセキュリティ対策における4つの基本を解説します。

最新鋭のセキュリティソフトを導入する

マルウェアは日々新しいものが誕生していますが、同時に世界中の研究者がその対策を生み出しています。セキュリティソフトを導入し常に最新バージョンに保つことで、セキュリティソフトがマルウェアへの感染を防いでくれます。セキュリティソフトを導入しているからといって不用意にマルウェアに感染する状態を招くのは良くありませんが、セキュリティソフトの導入はサイバー攻撃を防ぐ方法として非常に有効です。

セキュアなネットワークを構築する

不正アクセスを防ぐ手段としては、IDS・IPSやファイアウォールなどのUTM装置を導入し、信頼できる通信のみを許可するセキュアなネットワークの構築が効果的です。また、外部と社内ネットワークとの間にDMZを設け、DNSサーバーやプロキシサーバーなど外部と通信を行う機器はDMZ上に配置する構成にするのが良いでしょう。

社内のリテラシーの教育・強化をする

標的型メールやフィッシングサイトへのアクセスなどを防ぐためには、従業員のITリテラシー向上が重要です。ITリテラシー向上のためには、情報共有ツールを活用して組織全体に周知や教育を行う、セキュリティ研修や標的型メール訓練などの外部サービスを利用するなどの方法があります。

日ごろから組織内で情報を共有・認知する

利用しているソフトウェアやウイルス対策ソフトの定義ファイルなどが古いままだと、マルウェアの感染リスクが増加します。また、標的型メールが届いた際にその情報が組織内に共有がされていないと、従業員の誰かが開封してしまうリスクが増大します。これらのリスクを防ぐためには、情報共有ツールを活用し日頃からセキュリティに関する情報共有ができる環境をつくるのが有効です。

例えば、ナレッジ経営クラウド「Qast」であれば誰でも簡単に情報が共有できるため、標的型メールが届いた際の情報共有もスムーズに行えるでしょう。また、社内のセキュリティ関連のニュースをQastでフォルダ分けして管理すれば従業員が情報を参照しやすくなるため、ソフトウェアやウイルス対策ソフトの定義ファイルを最新の状態に保ちやすくなります。

まとめ

今回は、サイバー攻撃の概要や手口、実際の被害例と対策を紹介しました。昨今のサイバー攻撃はネットワーク環境の普及と共に巧妙化かつ多様化しています。サイバー攻撃を防ぐためには、サイバー攻撃の手法や被害を受けた場合のリスク、サイバー攻撃を防ぐ対策を正しく把握しておく必要があります。

被害を防ぐための対策としては、最新のセキュリティソフトを導入すると共に、セキュアなネットワークを構築することが効果的です。また、従業員のITリテラシー強化や情報共有のために、組織内でセキュリティ関連のやり取りができる環境を整備する必要があります。

ナレッジ経営クラウド「Qast」なら、誰でも簡単に情報共有が行えるシンプルなツールのため、ITリテラシー強化のための社内教育や日々のセキュリティ情報の共有の場として活用できます。社内のサイバーセキュリティ対策強化の際には、ぜひQastの導入をご検討ください。

Qastラボ編集部

Qastラボ編集部では、これからの働き方において必要な"未来のナレッジマネジメント"について研究しています。 ナレッジ共有、業務効率化、経営戦略、コミュニケーションツールなどテーマ別に役立つ記事をご紹介します。