サイバーセキュリティーサービスの比較・資料請求サイト|中小企業向けのセキュリティ対策を考える「サイバーセキュリティ」に関する情報メディア。日本の中小企業の情報を守るため、最新のセミナー・人材育成・製品・中小企業向けのセキュリティ対策を考えるサイバーセキュリティ情報サイトです。

サイバー攻撃とは?その種類・事例・対策を把握しよう



サイバー攻撃とは、サーバやパソコンなどのコンピューターシステムに対し、ネットワークを通じて破壊活動やデータの窃取、改ざんなどを行うことです。

特定の組織や企業、個人を標的にする場合や、不特定多数を無差別に攻撃する場合があり、その目的も様々で、金銭目的のものもあれば、ただの愉快犯的な犯行も多くあります。

それでは、その攻撃の種類にはどのようなものがあるのでしょうか?外部からのサイバー攻撃に使われる攻撃の種類を下記に整理しました。

サイバー攻撃とは?

サイバー攻撃とは、サーバやパソコンやスマホなどのコンピューターシステムに対し、ネットワークを通じて破壊活動やデータの窃取、改ざんなどを行うことです。

特定の組織や企業、個人を標的にする場合や、不特定多数を無差別に攻撃する場合があり、その目的も様々で、金銭目的のものもあれば、ただの愉快犯的な犯行も多くあります。

サイバー攻撃は、IT技術の発展とともに高度化しています。巧妙な手口により、犯行の発覚を遅らせたり、犯行の痕跡を消したりすることも可能です。コンピュータを利用する以上、どのような業態・業種の企業でも、サイバー攻撃対策は必須となるでしょう。

サイバー攻撃の目的と攻撃者の傾向・予測

このように近年多発するサイバー攻撃の目的は様々です。

最も多いのが、金銭目的が多いと考えられます。金銭目的のサイバー攻撃の一例が、インターネットバンキングを利用した不正送金被害です。警察庁の「令和2年におけるサイバー空間をめぐる脅威の情勢等について」によれば、令和2年(2020年)の発生件数は1,734件、被害額は11億3,300万円にのぼります。

その他にも単に世間を騒がせて自己満足する愉快犯的な犯行や、国家や企業などの組織体の戦略変更やイメージダウン・株価操作などを狙う組織犯罪、産業スパイ活動など。更には、ハクティビストによる政治的・社会的な主張などがあります。

こうした様々な事例からわかる通り、サイバー攻撃の目的は多様です。そのため、資産や機密情報の規模にかかわらず、どんな企業でもサイバー攻撃のターゲットになるリスクはゼロではありません。

サイバー攻撃を仕掛ける攻撃者は、主に犯罪者、犯罪グループ、諜報員、産業スパイ、ハッカー集団、悪意ある組織の職員(退職者を含む)などが多いと言われています。
最近では、サイバー攻撃ができるツールがダークウェブ上で簡単に購入することができるようになっていることもあり、攻撃者の低年齢化が顕著な傾向といわれています。

このような攻撃者の目的を理解し狙われやすいターゲットをあらかじめ予測することが、効果的かつ効率的なセキュリティ対策を講じるうえで重要だといえるでしょう。

近年のサイバー攻撃の動向

総務省の「サイバー攻撃の最近の動向等について」を見てみると、サイバー攻撃の動向が時代ごとに変化しているのがわかります。

サイバー攻撃が一般的に認知され始めた2000年ごろは、愉快犯による嫌がらせが目立ちました。たとえば、無差別に送信したメールでコンピュータをウイルス感染させ、データの破壊や改ざんをするといったもの。このような脅威は、ウイルス対策ソフトによるスキャニングで充分予防できるレベルでした。言い換えれば、2005年ごろまでは仮に攻撃を受けてもすぐに発覚し、対策可能な「目立つ攻撃」が主流だったと言えます。

しかし、次第に攻撃手段は巧妙化し、2020年ごろまでには「目立たない攻撃」が主流となりました。身代金要求型ウイルスと呼ばれるランサムウェアや、不正アクセスによる不正送金被害などです。これらの攻撃は発覚するのが遅く、気づいた頃にはすでに被害を受けていることが多くあります。

こうした攻撃手段が広がった背景には、個人のWi-Fiやスマートフォンの普及、クラウドやIoTの登場といった、ITインフラの多様化があります。システム環境の変化に合わせ、攻撃の手口も進化していきました。

IPAの発表から見るサイバー攻撃の変化

IPAが発表している「情報セキュリティ10大脅威」でも、近年のサイバー攻撃の変化傾向が見られます。これは、前年のセキュリティ上の脅威をランキング形式にまとめたものです。以下に、2013年版と2021年版の3位までを抜粋して表にしました。

2013年 2021年(個人向け) 2021年(組織向け)
1位 クライアントソフトの脆弱性を突いた攻撃 スマホ決済の不正利用 ランサムウェアによる被害
2位 標的型諜報攻撃の脅威 フィッシングによる個人情報等の詐取 標的型攻撃による機密情報の窃取
3位 スマートデバイスを狙った悪意あるアプリの横行 ネット上の誹謗・中傷・デマ テレワーク等の

ニューノーマルな働き方を狙った攻撃

出典IPA(情報処理推進機構)「情報セキュリティ10大脅威2013」及び「2021

2013年版の脅威1位は、「クライアントソフトの脆弱性を突いた攻撃」でした。ソフトを最新に保ったり、セキュリティソフトを常駐させたりなどの対策で、比較的対処しやすいのが特徴です。

一方、2021年版の脅威1位は、個人向けが「スマホ決済の不正利用」、組織向けが「ランサムウェアによる被害」でした。これらは発覚するまでが遅く、その分被害が拡大しやすい傾向があります。また、組織向けの3位にランクインしたのは、「テレワーク等のニューノーマルな働き方を狙った攻撃」です。攻撃者側も、新型コロナウイルスの影響で変化した環境に対応し、手口を日々進化させています。

さらに、近年のサイバー攻撃の問題点として挙げられるのが、攻撃者の匿名化です。ダークウェブの利用や、複数の国のサーバーを介した接続といった技術を攻撃者側が身につけたため、特定がより困難になりました。サイバー攻撃の現状は、攻撃者側が圧倒的に有利だと言えるでしょう。

サイバー攻撃の種類・手口

サイバー攻撃には、様々な種類があります。具体的にそれぞれの方法について紹介させていただきます。
(サイバー攻撃は日々進歩しています。新しい攻撃が出てくるので、随時追加・更新させていただきます。)



特定のターゲットを狙った攻撃(標的型攻撃)

標的型攻撃

標的型攻撃とは、ターゲットを特定の組織やユーザー層に絞って行うサイバー攻撃です。

そのターゲットの関連団体、取引先のふりをして悪意のあるファイルを添付したり、悪意のあるサイトに誘導するためのURLリンクを貼り付けたメールを送信し、パソコンやスマートフォンなどの端末をマルウェアに感染させようとする攻撃です。

信頼関係のある相手の名前を騙るため、疑わずにURLリンクを開いてしまう人もいるでしょう。さらに、特定のターゲットを狙う性質上、長期にわたって追跡する傾向があります。

また、ターゲットのセキュリティが万全である場合、ターゲットの関連会社を利用するケースもあります。セキュリティに脆弱性のある関連会社を踏み台にして、ターゲットに侵入する手口です。踏み台とは、第三者のパソコンやサーバーを乗っ取り、サイバー攻撃の発信源や中継地点として利用すること。

詳細は下記の記事をご覧ください。

ランサムウェア

ランサムウェアとは、マルウェアの一種で、ユーザのデータを「人質」にとり、データの回復のために「身代金(ransom)」を要求するソフトウェアのことです。こうした特徴から、身代金要求型ウイルスとも言われます。

ランサムウェアの多くはトロイの木馬としてパソコン内部に侵入し、勝手にファイルを暗号化したり、パスワードを設定したりし
正常にデータにアクセス出来なくなってしまいます。

ユーザがデータにアクセスしようとすると、アクセスが不可能になったことを警告し、復元するための対価としてユーザに金銭の支払いを要求するものです。

また、近年のランサムウェアはさらに悪質化が進み、二重恐喝(ダブルエクストーション)被害の報告もされています。データの暗号化に加え、データそのものを盗み取るのが特徴です。身代金の要求と同時に「要求に従わなければデータを公開する」と脅す手法が取られます。

詳細は下記の記事をご覧ください。

水飲み場型攻撃

ターゲットがよく訪れるサイトを改ざんし、そこに不正なプログラムをしかけておき、これによって、ターゲットとなる攻撃対象者が改ざんされたサイトを訪れた際に、不正なプログラムが作動し、対象者の端末にウィルスなどを入れ込む待つタイプの攻撃です。

これは、自然界でライオンなど肉食の動物が獲物を捕らえる際に、水飲み場の近くで水を飲みに来る動物を待ち伏せしていることから名付けられたものです。

詳細は下記の記事をご覧ください。

クリックジャッキング

クリックジャッキングとは、Webブラウザを悪用して、ユーザーに不利益をもたらすセキュリティ上の攻撃手法の一つです。

具体的な特徴としては、ボタンやリンクなどを透明で見えない状態にして、通常のWebページの上にかぶせてしまい、クリックを促すというものです。

詳細は下記の記事をご覧ください。

ドライブ バイ ダウンロード

利用者が特定のWebサイトを訪問した際に自動的に悪意のある不正プログラムをダウンロードさせるようにしくむもの。「水飲み場型攻撃」と似ていますが、水飲み場型攻撃よりもターゲットを絞らずに、広い範囲での感染を促すもののことになります。

詳細は下記の記事をご覧ください。

サプライチェーン攻撃

大手企業や政府機関など大きな組織への正面突破が難しい場合、比較的セキュリティ対策が手薄な取引先や子会社を経由しサイバー攻撃を仕掛けます。取引先のメールを偽装しターゲット企業に送付したり、ターゲットである企業で利用されているソフトウェア製品の更新プログラムを不正に仕掛けるなどの攻撃手法があります。

詳細は下記の記事をご覧ください。

ビジネスメール詐欺(BEC)

ビジネスメール詐欺とは、業務用メールを盗み見して経営幹部や取引先になりすまし、従業員をだまして送金取引などに係る資金を詐取するなどの金銭的な被害をもたらすサイバー攻撃です。実際に詐欺行為に及ぶ前に、企業内の従業員などの情報を窃取したりするために、マルウェアが使われることもあります。

詳細は下記の記事をご覧ください。

キーロガー

キーロガーとは、パソコンやキーボードの操作の内容を記録するためのソフトウェア等の総称で、悪意のあるものに個人情報などを盗み取られるなどの悪用されることがあるものです。キーの入力などを記録できることで、端末でどういった情報が取り扱われたか、入力されたのかといった情報を取得することが出来るため、悪意のある第三者によって不正に情報を取得する目的で使われるようになりました。

詳細は下記の記事をご覧ください。

ガンブラー攻撃

既存のWEBサイトを改ざんし、サイト訪問者をウイルス感染させるサイバー攻撃です。見た目は通常のサイトと変わらないため、訪問者は感染に気づきにくいという特徴があります。

詳細は下記の記事をご覧ください。

不特定多数のターゲットを狙った攻撃

フィッシング詐欺

フィッシング詐欺とはインターネット上で行われる詐欺行為です。クレジットカードやネットバンクなどの正規のサービスになりすまして、ユーザーからログイン情報などを盗み出します。

フィッシングは英語では「phishing」と綴ります。よく「fishing」と間違われるのですが、フィッシング詐欺では「魚釣り(fishing)」と洗練された「sophisticated」の2つを組み合わせて作られた造語であると言われています。

IPAの「情報セキュリティ10大脅威」でも2019年から2021年まで、3年連続で2位以上に位置しています。それだけ身近な脅威であり、被害が絶えない手口ということです。

フィッシング詐欺の被害にあうことで、クレジットカードを不正に利用されて買い物されたり、ログインが必要なサービスも悪用されたりします。さらにユーザーが気づかないうちにパスワードを変更されてしまうと、サービスの解約もできなくなります。

詳細は下記の記事をご覧ください。

スミッシング

スミッシングとはスマートフォンなどのモバイル機器のメッセージ機能であるSMS(ショートメッセージサービス)を利用して、メッセージの受信者をフィッシングサイトへと誘導する手口のサイバー攻撃のことです。

最近ではSNSなどのオンラインサービスの認証として、SMS認証を使用した二段階認証を導入するケースが増えてきています。TwitterやfacebookなどのSNSにログインする際に、スマートフォンに認証用を確認コードが送信されたことがある人もいるでしょう。

スミッシングを仕掛ける攻撃者は、これらのSNSなどのアカウントに成りすましてメッセージを送信してくることがあります。そのメッセージの中には、正規サイトに良く似せて作られたフィッシングサイトや、不正なスマホアプリをダウンロードさせるページなどに誘導させるURLが記載されています。つまりこれらはフィッシングサイトです。

「SMS」と「フィッシング」この2つを結び付けた言葉が「スミッシング」なのです。

詳細は下記の記事をご覧ください。

ビッシング・リバースビッシング

ビッシングとは、電話を使ってクレジットカード会社や銀行などの関係者を名乗り、クレジットカードの番号や銀行口座情報、パスワード、生年月日などの情報を巧みに聞き出し、不正使用しようとする詐欺行為のことです。被害者の情報を不正に盗み出す詐欺行為として、フィッシング詐欺が知られていますが、電話を使って仕掛けるフィッシングがビッシングであると言えるでしょう。

この「ビッシング」という言葉は、電話の声「Voice」の頭文字「V」をフィッシングの「Phishing」の先頭につけて「Vishing」という造語が作られたことが由来とされています。ビッシングが初めて出現したのは2006年6月ごろと言われています。当時の手口としては、PayPalや米国の銀行を名乗るなどビッシング詐欺が主流でした。

「リバースビッシング」はビッシングを変形したような詐欺行為です。リバースビッシングでは攻撃者が用意した電話番号に対して、被害者に電話をかけさせて、個人情報などを盗み出そうとする手口のことです。ビッシングでは攻撃者から被害者に電話を対して、リバースビッシングでは被害者の方から攻撃者に電話をかけさせることが特徴です。

詳細は下記の記事をご覧ください。

ゼロクリック詐欺

ゼロクリック詐欺とは、スマートフォンでアダルトサイトなどを見ているとき、Webページが1秒ほど表示された後に、突然「料金をお振込みください」や「登録が完了しました」などのメッセージが表示され、訪問者に金銭を要求する詐欺行為です。

これらのメッセージには電話番号が記載されていることもあり、もしその番号に電話をかけてしまうと、電話先にこちらの電話番号を知られてしまうだけでなく、相手から電話を通じて、しつこく金銭の支払いを強制されることもあります。

詳細は下記の記事をご覧ください。

ジュースジャッキング攻撃

ジュースジャッキング(Juice Jacking)攻撃とは、USBポートに悪意のある第三者がマルウェアを仕込んだり、データを盗み出すための細工をしたりする攻撃のことを表します。

ジュースジャッキング攻撃は、公共の場に設置されているUSBポートに細工を行います。見た目には通常の充電用USBポートにしか見えませんが、接続することでマルウェアを仕込んだり、データを盗んだりすることが可能です。また、USBポートだけでなく、USBケーブルを始めとする充電ケーブルに細工をする手口も発見されています。

詳細は下記の記事をご覧ください。

ディープフェイク(フェイクビデオ攻撃)

ディープフェイクとはAIの技術を応用して作られた、偽の動画や音声のことです。政治家や芸能人が実際には行っていない行動や発言を、あたかも真実であるかのような動画や音声がインターネット上で公開されて話題となったことがあります。

特に動画はディープフェイクビデオ(フェイクビデオ)とも呼ばれ、特定の人物の顔の形やしわ、目や鼻などの動きをAIの技術を応用して、別の人物にかぶせ、異なる部分を精巧に修正して再現されています。これはフェイススワップ(顔交換)と呼ばれ、自然な動画を合成する技術として使われています。

詳細は下記の記事をご覧ください。

タイポスクワッティング

タイポスクワッティングは、ユーザーのURLの入力ミスや打ち間違いを利用し、攻撃者が用意したWebサイトへと不正に誘導する手法です。タイポスクワッティングの語源は、入力ミス・打ち間違いを意味する「タイポ(Typo)」と「占有する(Squatting)」から名付けられました。他にも「URLハイジャック」と呼ばれることもあります。

詳細は下記の記事をご覧ください。

中間者攻撃

中間者攻撃とは二者間の通信を特別なソフトウェアなどの不正な手段を用いて傍受、盗聴して内容を取得するといったものです。この攻撃には以下のような特徴があります。

  • 通信が暗号化されていない(平文通信)の場合に、被害を受けやすい
  • 十分なセキュリティ対策が行われていない通信機器を使うことで攻撃を受けやすい
  • 攻撃の検知が難しい

詳細は下記の記事をご覧ください。

負荷をかける攻撃

DoS攻撃/ DDoS攻撃

DoS攻撃/ DDoS攻撃DoS攻撃は、攻撃側と相手側の1対1で行われますが、 DDoS攻撃とは、複数に分散(Distribute)した攻撃用マシンからの一斉に攻撃を行います。

DDoS攻撃の防御が難しい点は、この複数台の攻撃用マシンがどこにあるのか攻撃が始まるまで分からないことです。そのため、攻撃箇所すべてから守りきることが困難なことが挙げられます。

DDoS攻撃は、他人のコンピュータを踏み台にする場合が少なくありません。踏み台にされたコンピュータは、攻撃の発信源や中継地点として悪用されます。つまり、他人のコンピュータを利用することで、攻撃元の偽装が可能になるわけです。踏み台となった被害者は、サイバー犯罪の犯人として嫌疑をかけられる可能性があるため、非常に悪質な手法と言えるでしょう。

詳細は下記の記事をご覧ください。

F5アタック

「F5アタック」とは、「F5攻撃」、「F5連続攻撃」などとも呼ばれる攻撃で、キーボードの「F5」キーを押してリロードするだけの簡単でアナログな攻撃手法です。

ターゲットとなるWEBサイトなどにアクセスし、繰り返しF5キーを押すことで、Webサーバを過負荷の状態にして停止・ダウンさせるものです。

詳細は下記の記事をご覧ください。

OS・ソフト・WEBサイトなどの脆弱性を狙った攻撃

ゼロデイ攻撃

修正プログラム(セキュリティ更新プログラム)などが未公表の脆弱(ぜいじゃく)性を悪用する攻撃のことです。

従来は、攻撃者以外は知らない脆弱性を狙う攻撃をゼロデイ攻撃と呼ぶことが多かったのですが、最近では脆弱性自体はメーカーや研究者などによって公表されていても、修正プログラムが未公表な場合にはゼロデイ攻撃と呼ぶことが多いです。

詳細は下記の記事をご覧ください。

SQLインジェクション

DBサーバと連携したWEBシステムの場合、WEBサーバではユーザが入力した情報を基にSQL文を組み立てるものがあります。そのSQL文によってデータベースへのデータ追加・更新など行います。

このとき、WEBサーバがセキュリティ的に無防備な状態であると、ブラウザから入力された「悪意のあるSQL文」をそのままデータベース操作の一部に注入(Injection)される可能性があります。

詳細は下記の記事をご覧ください。

OSコマンド・インジェクション

独自開発のWEBアプリケーションの脆弱性を突いた攻撃の一種です。
不正な入力データによってOSコマンドを呼び出し、任意のファイルの読み出しや変更・削除などを不正にOSを操作する攻撃をいます。

詳細は下記の記事をご覧ください。

クロスサイトスクリプティング

掲示板やブログなどユーザが入力した内容をWEBページとして出力するWEBアプリケーションに対して多く行われる攻撃です。

例えば、掲示板に悪意のあるスクリプト(簡易的なプログラミング言語のこと)を埋め込んだリンクを貼り付け、そのページを閲覧したユーザのブラウザ上でスクリプト(プログラム)を実行させるという攻撃を行います。

詳細は下記の記事をご覧ください。

バッファオーバーフロー攻撃

バッファオーバーフロー攻撃とは、OSやアプリケーションプログラムの入力データ処理に関するバグを突いてコンピュータを不正に操作する攻撃をいいます。

BOF攻撃は、主にメモリのスタック領域で行われる攻撃をいいますが、その他にもヒープ領域で行われるヒープBOFやUNIX環境下でrootのSUID属性をもつコマンドを悪用して管理者権限を奪取するローカルBOF攻撃などがあります。

詳細は下記の記事をご覧ください。

セッションハイジャック

セッションハイジャックはなりすましの一種でクライアントとサーバの正規セッションに割り込んで、セッションを奪い取る行為をいいます。
セッションハイジャックにより行われる行為として以下のようなことが考えられます。

  • 正規サーバになりますてクライアントの機密情報を盗む
  • 正規クライアントになりすまして、サーバに侵入する

セッションハイジャックの種類にはTCPセッションハイジャック、UDPセッションハイジャック、WEBセッションハイジャックなどがあります。

詳細は下記の記事をご覧ください。

セッションID固定化攻撃

セッションID固定化攻撃は、正規ユーザー(あなた)のセッションIDを乗っ取り、正規ユーザーになりすます攻撃手法です。「セッションフィクセーション」や「セッションIDの強制」とも呼ばれます。

正規ユーザーは、Webサービスにログインする際にセッションIDを発行しますが、そのセッションIDを事前に用意して、正規ユーザーに使わせることによってセッションの乗っ取りが行われます。セッションの乗っ取りによってあなたになりすますことで、次に挙げるような被害を受ける可能性があるのです。

  • クレジットカード番号の盗み出し
  • ネットショッピングサイトなどで無断の買い物をする
  • 他ユーザーへの迷惑行為
  • 犯罪行為

ネットショッピングサイトを利用するなかで、クレジットカード番号などを登録している人も多いのではないでしょうか。あなたになりすますことで、それらの情報が盗み出せるようになり、無断で買い物することも可能となります。
詳細は下記の記事をご覧ください。

バックドア

バックドアとは、英語で直訳すると「勝手口」「裏口」のことで、セキュリティの分野では「コンピューターへ不正に侵入するための入り口」のことです。

悪意を持った攻撃者が、ターゲットとなるコンピューターに侵入するための入り口を作るケースや、プログラムにあらかじめ入り口が作られており、侵入できるようになっているケースなどいくつかの種類があります。

詳細は下記の記事をご覧ください。

ルートキット攻撃

他人のコンピュータに不正侵入した攻撃者は、

  • 侵入を隠ぺいするためのログの改ざんツール
  • 侵入口が防がれても再び侵入できるようにする裏口(バックドア)ツール
  • 侵入に気づかれないための改ざんされたシステムコマンド群

などをインストールします。これらを素早く導入するための、パッケージにまとめたものがルートキットと呼ばれています。

詳細は下記の記事をご覧ください。

フォームジャッキング攻撃

ECサイトや購入ページに設定されている入力フォームを改ざんし、クレジットカード情報などの個人情報を窃取する攻撃です。正規サイトの入力フォームに悪意のあるスクリプトを埋め込み、フォームの送信内容を第三者に不正に送信します。

詳細は下記の記事をご覧ください。

ドメイン名ハイジャック攻撃

ドメイン名ハイジャックとは既存のドメイン名を何らかの方法で乗っ取る行為のことを言います。

ブラウザでWebサイトを閲覧する時、アドレスバーにドメインを入力します。入力されたドメインはコンピュータ内部で対応するIPアドレスへと変換されます。このIPアドレスとドメイン名の対応を行っているのが「DNSサーバー」です。DNSサーバーに登録されているWebサイトに関する情報を不正に書き換えることで、特定のドメイン名にアクセスした時に、正規のWebサイトではなく偽のWebサイトへと誘導する手口が「ドメイン名ハイジャック」です。

詳細は下記の記事をご覧ください。

パスワード関連のサイバー攻撃

ブルートフォースアタック

ブルートフォースアタック(総当たり攻撃)とは、暗号解読方法のひとつであり、可能な組み合わせを全て試す方法です。

人間の操作では手間がかかりすぎる方法ではありますが、手軽に実行できるツールが普及しており、時間的制約がない限りは確実にパスワードを割り出して侵入することができる方法です。

詳細は下記の記事をご覧ください。

パスワードリスト攻撃

同一のパスワードを、複数のWEBサービスで使い回す利用者が多いという傾向を利用したもので、さまざまなWEBサービスでログインの試行を繰り返すものです。そして、ログインが成功したサイトから、最終的には利用者の個人情報や金銭などを詐取しようとします。

警察庁の発表資料によれば、2020年の不正アクセスの手口で最も多かったのが、識別符号窃用型(IDやパスワードの盗用)でした。全体の90%以上を占めており、パスワード管理が甘い人の多さがわかります。

詳細は下記の記事をご覧ください。

パスワードスプレー攻撃

パスワードスプレー攻撃とはIDやパスワードを組み合わせて連続的に攻撃するブルートフォース攻撃の一種です。ログイン制御を持つシステムでは、一定期間に一定の回数のログインエラーが起こると、アカウントが一定時間ロックされる仕組みを持つものがありますが、パスワードスプレーは、このアカウントロックを回避する手法を持つパスワード攻撃です。

アカウントロックを回避することで、不正なログイン試行を検知されないという特徴があります。パスワードスプレー攻撃は「low-and-slow」攻撃とも呼ばれます。

詳細は下記の記事をご覧ください。

クレデンシャルスタッフィング攻撃

クレデンシャルスタッフィング攻撃とは、インターネット上に流出したIDとパスワードの組み合わせを使って、他のWebサイトへのログインを自動的に試みる攻撃手法のことです。この攻撃の特徴として、流出したIDとパスワードの組み合わせは、流出元以外の他のWebサイトでも使われていることを前提としている点があげられます。ユーザーは同一のIDとパスワードの組み合わせを使いまわしていることが多いという習慣を悪用した攻撃が、クレデンシャルスタッフィング攻撃です。

IDとパスワードの組み合わせを用いて、標的のWebサイトに不正ログインを試みる攻撃として「パスワードリスト攻撃」が知られています。パスワードリスト攻撃は手動で行う攻撃ですが、bot(不正なプログラム)を使って大量かつ自動的に試行する攻撃がクレデンシャルスタッフィング攻撃と言われています。

詳細は下記の記事をご覧ください。

攻撃にはマルウェアを伴います。
上記のように数あるサイバー攻撃のほとんどで、情報を漏洩させるために攻撃ののちにマルウェアをしかけます。
マルウェアに感染することにより、情報が抜き取られるなどの被害を拡大させようとしますので、その攻撃の流れも把握しておきましょう。マルウェアの分類には大きく分けて3種類あります。また、感染してしまった場合のチェックや駆除方法も下記に整理していますので、参考にしてください。

サイバー攻撃による被害事例

サイバー攻撃をする際に、マルウェア(ウイルス・ワーム・トロイの木馬)などに感染させる手口を使うものが多くあり、ターゲットとしては、特定の組織や集団、個人を狙ったものと、不特定多数を無差別に攻撃するものがあります。

近年のサイバー攻撃での不正アクセスで最も影響があったと言えるのは「日本年金機構」の情報漏洩事件ではないでしょうか?
下記にその事件の概要を整理いたします。

被害事例:日本年金機構(2015年6月)

日本年金機構の年金情報管理システムサーバが外部の不正アクセスにより情報漏洩。年金加入者の個人情報が約125万件流出しました。

流出した個人情報項目内訳は

  • 基礎年金番号、氏名(流出件数 約3.1万件)
  • 基礎年金番号、氏名、生年月日(流出件数 約116.7万件)
  • 基礎年金番号、氏名、生年月日、住所(流出件数 約5.2万件)

日本年金機構の福岡市内オフィスで職員がメールに添付されているファイルを開封した際にPCがマルウェアに感染。このPCから機構LANに接続され、細分化された複数のフォルダから情報を抜き取られたとされています。

被害事例:GMOペパボ(2018年1月)

また、ECサイトでの大きな事例として「カラーミーショップ」を運営するGMOペパボの不正アクセス事件も、大きな影響があったと言えます。こちらも概要を整理しました。

事件が起きたのは2018年1月7日。GMOペパボが独自で使用しているアプリケーション機能を狙ったサイバー攻撃が行われました。GMOペパボが運営する「カラーミーショップ」が不正アクセスを受け、同サービスを利用しECサイトを運営しているオーナー及び利用者の個人情報が漏洩。発表によると流出した情報は合計約9万件。内訳などは下記ページに整理されております。なお、同社発表によると、カード情報の不正利用被害は現在のところ確認されていないとのことでした。

相当数のショッピングサイトを運営している、その元になるショッピングカートサービスが攻撃されることで、甚大な被害となりました。カラーミーショップを利用している人は多いかと思います。その利用料金が安いことからも個人運営のショッピングサイトもあります。

このような事件が起こると、いつ自分が被害に遭ってもおかしくないことを実感してしまいますね。

2021年上期の不正アクセス事件まとめ

毎日のようにニュースとなっている不正アクセスによる情報漏洩事件ですが、2021年5月までの被害1千件以上の事件だけでも下記のようなニュースが世間をにぎわせました。

 

日付 法人・団体名 件数・人数 漏洩原因 漏洩内容・詳細・二次被害(悪用)など
2021/5/27 日本サブウェイ合同会社 約30万件 不正アクセス 4月に公表している、不正アクセスを受けていた問題で、新たにサブクラブカード会員番号約30万件、会員情報8万件、従業員やFCオーナー情報が外部流出した可能性があるとのこと。しかし会員番号は顧客情報と紐づいていないとのこと。
2021/5/27 学校法人尚絅学院 1,634件 不正アクセス 職員1名のメールアカウントが不正アクセスを受け、1,639件のスパムメールが発信され、学内外宛のメール1,634件やアドレス情報の不正閲覧行為が発生した可能性があると明らかにした。
2021/5/27 株式会社黎明 2,032件 不正アクセス オンラインショッピングサイト「Rモール」がサイバー攻撃を受け、過去利用したユーザーのクレジットカード情報2,032件が外部流出および不正利用の可能性があると明らかにした。原因は内在していたシステム上の脆弱性とのこと
2021/5/24 株式会社ブルークレール 1,863件 不正アクセス オンラインショップ「ブルークレールWebサイト」がサイバー攻撃を受け、顧客1,863名のクレジットカード情報が、流出および不正利用の可能性があると明らかにした。
2021/5/21 株式会社メルカリ 2万7,889件 不正アクセス フリマアプリ「mercari(メルカリ)」のメルカリ社が利用しているコードカバレッジツール「Codecov」が外部からのサイバー攻撃を受け、同社サービス利用者の銀行口座情報や問い合わせ情報など合計2万7,889件が流出した。
2021/5/21 株式会社ネットマーケティング 171万1,756件 不正アクセス 恋活・婚活マッチングアプリ「Omiai」の管理サーバーがサイバー攻撃を受け、アプリ会員登録者から提供を受けた年齢確認書類データ(免許証や保険証、マイナンバーデータ)171万1,756件が外部流出した可能性があると明らかにした。
2021/5/19 有限会社プラネット 2,821件 不正アクセス 通販サイト「香水学園」にてサイバー攻撃が発生し、過去に香水学園を利用したユーザー2,821名のクレジットカード情報が外部流出した。
2021/5/15 株式会社インターメスティック 9万6,911件 不正アクセス サーバーにサイバー攻撃が発生し、提供しているメガネブランド「Zoff(ゾフ)」や「GLASSAGE(グラッサージュ)」の会員情報および従業員情報(氏名や住所、メールアドレスなど)が外部流出した。
2021/5/8 株式会社神奈川銀行 1万1,941件 メール誤送信 業務提携先の企業に発信した電子メールで誤送信が発生し、同行の利用者1万1,941先の個人情報や融資情報などが流出した。
2021/5/7 慶応義塾大学 6,507件 不正アクセス 湘南藤沢キャンパスにて運用する一部システムがサイバー攻撃を受け、一部学生や教職員らの氏名や電話番号などの情報6,507 件が外部流出した可能性があると明らかにした。
2021/4/28 鹿島建設 130万件 不正アクセス 鹿島建設の海外グループ会社が、ランサムウェアに感染し、請求書などの内部情報流出が明らかになった。攻撃者はハッカー集団「REvil(レビル)」で金銭目的の犯行とのこと。
2021/4/21 株式会社ゆとりの空間 4,509件 不正アクセス(サイト改ざん) 「ゆとりの空間オンラインショップ」がサイバー攻撃を受けた問題について、新たに顧客クレジットカード情報4,509件が流出した可能性があると明らかにした。
2021/4/15 株式会社横浜銀行 4万1,729件 誤送信 広告発注先1社に向けて発信したメールを誤送信し、顧客4万1,729件のカナ氏名や口座番号情報などが外部流出したと明らかにした。情報を悪用したと満たれる被害は確認されていない。
2021/4/9 株式会社みらいワークス 2,456件 不正アクセス 運営する副業関連サービス「Skill Shift」の一部登録会員2,456人の個人情報やパートナー企業の情報が流出したと明らかにした。
2021/4/5 ホテルサンルート台北 3,093件 不正アクセス 携している外部予約サイトの情報中継サーバーが不正アクセスを受け、ホテルの宿泊予約者の個人情報3,093件が外部流出した。
2021/4/5 株式会社イシグロ 4,026件 不正アクセス オンラインショップ「イシグロオンラインショップ」がサイバー攻撃を受け、過去カード決済した一部ユーザーのクレジットカード情報4,026件(3,171名)が流出した可能性があると明らかにした。
2021/4/5 株式会社ヨシハラ 5万8,813件 不正アクセス オンラインクリーニングサービスサイト「せんたく便」がサイバー攻撃を受け、新規登録や情報変更等を行ったユーザーのクレジットカード情報5万8,813件が、流出の可能性が生じていると明らかにした。
2021/4/2 TECRA株式会社 1,204件 誤送信 メール誤送信により、登録者1,204名分のアドレスが外部に流出。今後は複数の職員によるチェックを徹底するとしている。
2021/3/31 株式会社ゆとりの空間 5,009件 不正アクセス(サイト改ざん) 運営する「ゆとりの空間オンラインショップ」の脆弱性を悪用したサイト改ざんが発生し、新規登録を行った顧客の個人情報5,009件が外部に流出した可能性。改ざんが行われたページを修正するとともにカード決済の停止、不正利用の監視強化を実施した。
2021/3/29 株式会社東急コミュニティー 5,000件 不正持ち出し 元従業員が、業務管理システムにアクセスし、顧客約5,000名分の氏名やマンション名等の個人情報を不正に持ち出し、外部流出させたと明らかにした。
2021/3/24 イニシオフーズ株式会社 6万5,000件 不正アクセス サーバーに対する不正アクセスが発生し、過去に同社商品を購入したユーザーや社内関係者等合計約6万5,000件の個人情報が流出した可能性があると明らかにした。原因は、ネットワーク機器に内在していた脆弱性によるものとのこと
2021/3/24 株式会社はせがわ酒店 2,865件 不正アクセス オンラインショップ「はせがわ酒店 オンライン店」より、同社で商品を購入した顧客のクレジットカード情報最大2,865件が外部流出し、一部で不正利用の可能性が生じたと明らかにした。原因は、サイトに内在する脆弱性を利用したサイバー攻撃によるもの
2021/3/23 株式会社つゆき 1万9,197件 不正アクセス オンラインショップ「ふとんのつゆきオンラインショップ」に不正アクセスが発生し、過去カード決済したユーザーのクレジットカード情報最大1万9,197件に流出の可能性があり、一部で不正利用の可能性が生じていると明らかにした。
2021/3/23 九州大学 2,235件 アクセス制限ミス 元九州大学職員が機密情報を持ち出し、転職先の九州産業大学のウェブサーバーに保存。外部からのアクセス制限がされていなかった為、流出した。
2021/3/19 株式会社洋菓子のヒロタ 1,283件 誤送信 メールマガジンについて誤送信が発生し、メルマガ購読者1,283名のメールアドレスが流出したと明らかにした。原因は宛先設定の入力ミスによるもの。
2021/3/19 宝ホールディングス株式会社 4,167件 誤送信 給与システムの移行過程で、ダミーデータ送信の際に、同社及び関連会社に所属する従業員のマイナンバーなどの個人情報を削除し忘れ、外部のシステム開発会社に誤送信し、流出したと明らかにした。
2021/3/18 国立研究開発法人・海洋研究開発機構 1,947件 不正アクセス 職員になりすました外部からの不正アクセスで、保有している職員らの個人情報、氏名やメールアドレス、組織内で使用しているパスワード(ハッシュ化されたもの)など1,947件が流出したと明らかにした。
2021/3/18 株式会社コダマ 1万219件 不正アクセス オンラインショップの運営システムに内在していた脆弱性が原因で、「コダマオンラインショップ」にサイバー攻撃が発生し、保有する顧客クレジットカード情報1万219件が流出し、一部にカード情報が不正利用された可能性があると明らかにした。
2021/3/16 CROCO株式会社 2,752件 誤送信 配信したメールマガジンで誤送信が発生し、メルマガ登録者2,752人のメールアドレスが配信先2万1,757通のメールの宛先に送られてしまい、情報流出したと明らかにした。
2021/3/10 株式会社生物技研 2,500件 不正アクセス 社員のメールアカウントが何者かの不正アクセスを受け、メールを引用した迷惑メールが発生したと明らかにした。被害アカウントにはメールサーバーに記録されていたメールアドレスおよび2,500件のメール内容が記録されていた。
2021/3/10 株式会社アーバンリサーチ 31万7,326件 不正アクセス アーバンリサーチ公式オンラインストアに対する不正アクセス(期間:2021年3月7日~2021年3月8日)が発生し、住所や氏名、電話番号などの情報流出の可能性があると明らかにした。クレジットカード情報の流出は否定している。
2021/3/8 千葉県芝山町 4,000件 不正アクセス 支援事業を委託しているランドブレイン社のサーバーがランサムウェアに感染し「第5次総合計画」のために収集した意識調査票に記載されている氏名や住所など町民の個人情報4,000件が流出した。
2021/3/6 全日本空輸株式会社 約100万件 不正アクセス 「ANAマイレージクラブ」のプレミアムメンバー会員情報(アルファベット表記の氏名、会員番号、会員ステータス)の流出が確認されたと明らかにした。原因は、スイスのSITA社が提供している、世界の航空会社が顧客情報を共有しているデータベースが、不正アクセスを受けた事によるもの。
2021/3/5 日本航空株式会社 約92万件 不正アクセス 「JALマイレージバンク」の一部会員情報(英文字の氏名、マイル会員番号、ワンワールドの会員ランク)について、外部流出の可能性があると明らかにした。流出の原因はスイスのSITA社で確認された不正アクセスによるもの。
2021/3/2 埼玉県 1,000件 メール誤送信 メール誤送信が原因で医療従事者向けワクチン接種予定者1,000名の個人情報(氏名、性別、生年月日、所属医療機関等、住所)が記録された一覧リストが外部流出したと明らかにした。
2021/2/26 株式会社関西テレビハッズ 1万9,297件 不正アクセス オンラインショップ「カンテレショッピング」が何者かのサイバー攻撃を受けたことにより、顧客の氏名およびメールアドレス1万9,297件について流出の可能性があると明らかにした。他の情報については引き出された形跡が見つかっていないとのこと。
2021/2/26 株式会社NTTデータ数理システム 1万件 メール誤送信 同社が主催するイベントに関するメールを送信した際に誤送信が発生し、保有していた名刺交換や連絡先登録で得た1万名分個人情報を記録したリストが外部流出したと明らかにした。
2021/2/25 松下記念病院 1,971件 ノートパソコン紛失 ノートパソコン1台を紛失し、内部に記録されていた患者1,971名の個人情報の流出の可能性があると明らかにした。情報の内訳は、氏名や性別、年齢および生年月日のほかに、患者の特定部位についての撮影画像データが含まれていたとのこと。
2021/2/22 イオン銀行 2,062件 不正アクセス 「来店予約・オンライン相談サービス」で使用しているクラウド型システムに不正アクセスが発生し、同社が保有していたサービス利用者2,062名の氏名などの情報が流出した可能性があると明らかにした。
2021/2/12 株式会社マイナビ 21万2,816件 不正アクセス 総合転職情報サイト「マイナビ転職」に対する不正ログインが発生し、サービス利用者21万2,816名分の履歴書情報が流出した可能性があると明らかにした。パスワードをリセットする措置を講じた。
2021/2/10 株式会社アドバンテッジリスクマネジメント 1万4,384件 設定ミス 東京海上日動メディカルサービス株式会社、ネオス株式会社とともに提供するサービス「アドバンテッジEAP」の「お問い合わせフォーム」についてシステム設定上のミスがあり、同システムを通して顧客から受け取ったデータ1万4,384件について、外部閲覧可能な状態にあったと明らかにした。
2021/2/1 東京ガス株式会社 1万365件 不正アクセス 恋愛ゲームアプリ『ふろ恋 私だけの入浴執事』について不正アクセスが確認され、登録ユーザーのメールアドレス、ニックネーム1万365件が流出したと明らかにした。
2021/1/29 九州電力送配電株式会社 7,300件 メール誤送信 同社が行う託送供給等契約の更新受付業務において誤送信が発生し、発電契約者名、発電所名、受電地点特定番号、受電地点住所などの発電契約者109社の発電所情報、約7,300件について外部流出したと明らかにした。
2021/1/29 北陸先端科学技術大学院大学 1,725件 操作ミス 学生や教職員など構成員の情報を記録したファイルが職員の操作ミスにより外部サイトにアップロードされ、氏名やメールアドレスなど1,725件の個人情報が流出したと明らかにした。
2021/1/26 サンフロンティアホテルマネジメント株式会社 3,775件 メール誤送信 『日和ホテルズ&リゾーツ』が配信しているメールマガジンについて、個人氏名の流出につながる誤送信が発生したと明らかにした。送信データ編集時に起きた人為的なミスによるもので、担当者がメールアドレスの一覧と対応する宛先氏名の一覧が一致しないままメールを送信したとのこと。
2021/1/19 株式会社柿安本店 1,293件 不正アクセス 「柿安オンラインショップ」に対するサイバー攻撃が発生し、ペイメントアプリケーションが改ざんされ、同社サイトにてカード決済を行ったユーザーのカード情報1,293件について流出の可能性があると明らかにした。
2021/1/12 ゴールデンウェイ・ジャパン株式会社 2,873件 メール誤送信 顧客から寄せられた問い合わせに社員が電子メールで返信する際、顧客の情報をまとめたファイルを誤って送信し、流出させたと明らかにした。
2021/1/12 株式会社カプコン 1万6,406件 オーダーメイド型ランサムウェア 2020年11月サイバー攻撃が発生し、財務情報のほかに、9名の個人情報や社外約35万人の情報について、流出の可能性があるとしていたが、新たに1万6,406人の個人情報流出や、社外約4万人の個人情報について流出可能性があると明らかにした。
2021/1/8 トクモ株式会社 1,948件 システム不具合 メール送信サービス「kMailer」について認証システムの不具合がおき、メール送信時の利用者情報最大1,948件が、一部の別の事業者に流出した可能性があると明らかにした。
2021/1/6 福岡県 9,500件 誤送信・設定ミス 福岡県が管理し医療従事者と情報共有していた新型コロナウイルス感染者9,500人分の個人情報(氏名、居住地、年齢、性別、症状)について、特定のURLを入力することで第三者が自由に閲覧できる状態にあったと明らかにした。
2021/1/4 あいちトリエンナーレ実行委員会 3,500件 不正アクセス 委員会が使用するメール配信システムに不正アクセスが発生、登録者のアドレスになりすまし、不正メールが発信されていたことが確認された。登録者3,500件のメールアドレス・氏名等が流出の可能性。

2021年上期だけでもこれだけのニュースがあります。
企業規模の大小に関わらず被害が多発しているのがわかります。

これらの情報を見て「明日は我が身」という気持ちで、セキュリティ対策を行って頂くきっかけになれば幸いです。

最新の漏洩事件はこちらにも整理してますのでご確認ください。
参考個人情報漏洩事件・被害事例一覧

サイバー攻撃の件数など統計情報

前述したような、実際の事例を見ると日々サイバー攻撃が怒っていることがわかりますね。
実際に被害がニュースとなっているもので上記の数があるのですが、ニュースにもなっていないようなサイバー攻撃は日本に対してどの程度行われているのでしょう?

その統計情報から、個人情報が漏洩した際の損害賠償額など、試算されている情報を整理しました。
企業としてサイバー攻撃の被害を受けることがどのくらい大変なことか、ご理解いただければ幸いです。

Iot機器への攻撃の増加

2017年に観測されたサイバー攻撃関連通信は、合計1,504億パケットとの数値が「国立研究開発法人情報通信研究機構」より「NICTER観測レポート」として発表されています。
想像の範囲を大きく超える数値かと思いますが、この数値は、2016年から急激に増えた数値となっております。
これは近年のIot機器への攻撃の大幅な増加が要因となっていることもわかっており、パソコンやスマートフォンだけでなく、普段使っている家電製品等のセキュリティも意識しないといけない時代となってきています。

家庭や職場で使用しているIoT機器の所在を正確に把握し、それらを適切に設定・アップデートするなど、IoT機器にもセキュリティ対策が必要であるという認識を高めていくことが重要です。


NICTERダークネット観測統計

日本国内企業の個人情報漏洩による損害賠償額

個人情報漏洩による影響を表す損害賠償額は、1人あたり平均想定損害賠償額が「2万3,601円」になっています。

漏えい人数 519万8,142人
インシデント件数 386件
想定損害賠償額 1,914億2,742万円
1件あたりの漏えい人数 1万4,894人
1件あたり想定平均損害賠償額 5億4,850万円
1人あたり平均想定損害賠償額 2万3,601円

さらに「高度なサイバー攻撃の発生頻度は3分に1回」「日本でも10秒に1人の割合でサイバー攻撃の被害者」や「業種別のインシデント件数」など、様々の統計情報がありますので、さらに興味のある方は下記ページをご覧ください。

サイバー攻撃を可視化できるサイト紹介

サイバー攻撃が実際どの程度行われているのか?を数値で見てもなかなかイメージがつきにく方は、リアルタイムの可視化ツールをご覧いただくと、良いかと思います。
ビジュアル化されることで、とてもイメージがつきやすくなりますね。

その可視化のツールとして有名なのが、「Atlas」です。
日本の「情報通信研究機構」が公開している、純日本製の可視化ツールで、ダークネットトラフィックを可視化してリアルタイム表示しています。

img_free-tool01-02
URLhttp://www.nicter.jp/atlas

ダークネットとは?
インターネット上の未使用IPのこと。
このダークネットにはパケットを送っても届かないはずですが、マルウェアによる感染活動や何らかのネットの不正な活動によってパケットが到達することがあり、これを観測することにより不正活動の傾向が把握できるので、その情報を可視化しています。

さらに多くのツールを見て見たい方は、下記にて日本国内にかかわらず世界中に公開されている6つのツールを紹介してますので、ぜひご覧ください。

サイバー攻撃被害の調査方法

サイバー攻撃を受けた場合、その被害実態を正確に突き止めたい方には「フォレンジック調査」をおすすめします。

フォレンジックとは、デジタル機器(PCやサーバー、スマートフォン)の通信ログや操作履歴を調査・解析する手法で、主にサイバー攻撃による被害状況などを解明し、法的証拠を収集することに使用されます。なお、サイバー攻撃にまつわるフォレンジック調査は、すでに世界中で行われており、様々なインシデントの解明に大きく貢献しています。

フォレンジック調査については下記のページで詳しく説明しています。

セキュリティソフトには限界がある

サイバー攻撃で使用されるマルウェアは、1日に100万種超の勢いで増殖を続けており、セキュリティソフトによるウイルス対策は最早限界を迎えつつあるといわれています。

また、近年のサイバー攻撃はマルウェアを用いないものも増えてきており、たとえば、窃取した情報を使用して第三者が本人になりかわる「なりすましログイン」や、正規ツールを悪用する不正スクリプトなど、その手口はますます巧妙化しています。

セキュリティソフトが完全でない以上、企業はセキュリティソフトを過信してはいけません。万が一、サイバー攻撃による被害を受けた場合は、早急な状況把握(事後対応)を行なわなくてはなりません。

サイバー攻撃による被害が発生した場合は、まずサイバー攻撃を受けたとみられる端末をネットワークからを切断し、不審なデータをバックアップに隔離してから、なるべく早い段階でフォレンジック調査を実施することがポイントとなります。

サイバー攻撃を受けたと思われるデジタル機器には「攻撃者が残した重要な証拠」が残されています。もしセキュリティソフトによるスキャンや、OSの再インストール、内部調査などの不用意な操作を行うと、正確な被害状況、侵入経路の把握ができなくなる恐れがあるため、注意が必要です。

おすすめのフォレンジック調査会社

おすすめの「フォレンジック調査会社」として「デジタルデータフォレンジック」を紹介します。

サイバー攻撃やマルウェア感染のフォレンジック調査には、非常に高度な技術や専門知識が要求されるので、自社で調査を行うことが難しい場合は、フォレンジックの専門業者へ相談してみるのも一つの手といえるでしょう。自社で行うよりも適切かつ正確な調査を行えます。

デジタルデータフォレンジック

サイトデジタルデータフォレンジック

デジタルデータフォレンジックは国内売上No.1のデータ復旧業者が提供しているフォレンジックサービスです。

  • 端末、ネットワーク解析
  • 損害保険の鑑定業務
  • 各種インシデント対応
  • 警察への捜査協力
  • パスワード解除

サイバー攻撃調査マルウェア感染、不正アクセス、ハッキング)など法人を対象とした社内インシデントに対応している専門性の高い業者であり、年中無休で無料相談も受け付けているため、突然のトラブルにもスムーズに対応することが出来ます。また警視庁からの捜査依頼実績も多数あることから実績面でも信頼ができ、費用面でも安心といえるでしょう。

費用 電話かメールにてお見積り
調査対象 パソコン、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など
サービス 退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、ハッキング・不正アクセス調査、データ改竄調査、マルウェア・ランサムウェア感染調査など
特長 年中無休で無料相談が可能
11年連続国内売上No.1のデータ復元サービス
警視庁からの捜査協力依頼実績が多数あり

サイバー攻撃への対策方法

これまで整理したように、サイバー攻撃は日々進化をしており、毎日のようにインターネットを通じてパソコン、サーバを狙って攻撃をしてきています。サイバー犯罪の検挙件数は年々増加傾向で推移しおり、手口の多様化も進んでいます。
そのような中でどのような対策をすれば良いのでしょう?

パソコンへの対策

まずお使いのパソコンに対してのセキュリティは、下記の点が挙げられます。

  • WindowsやmacなどOSを最新版にアップデート
  • その他利用しているソフトウェアを最新版にアップデート
  • 怪しいメールは開かない、怪しいサイト・URLはクリックしない
  • マルウェアの検知が可能なセキュリティソフトの導入

サーバへの対策

さらに自社でサーバを運用している企業にとっては、サーバに対しても下記のような対策が必要になります。

  • WEBサーバで利用しているOSやソフトウェアの脆弱性対策の徹底
  • OSシステムファイルやアプリケーション構成ファイルに対する変更監視
  • WEBサーバに対する不正な通信の検知・遮断
  • 運用アカウント管理の徹底、各種システムログ、セキュリティログの取得
  • ログ監視の強化

上記の対策のうち、可能なところから実施を進めていく必要があります。

中小企業に必要な対策

ウイルス対策に適したセキュリティ製品を導入する

ウイルスは1日に100万種超の勢いで増殖し続けており、セキュリティソフトによるウイルス対策も限界を迎えつつあります。従来のセキュリティソフトで防御できるウイルスは全体の約45%と言われており、ウイルスの侵入を防ぐセキュリティ対策で、ウイルスに対処することは不可能といっても過言ではありません。

しかし、現代のウイルスに対応したセキュリティ製品は一定数存在しています。たとえば、ウイルス感染後の監視型駆除や、外部との不正通信を遮断する新しい機能を持ったセキュリティ製品であれば、ウイルスへの対策が可能です。おすすめ製品については、下記の記事で紹介しています。

社内のセキュリティ意識を向上する

セキュリティ製品の導入以外にも、従業員のセキュリティ意識をあげることが重要です。システムによる対策強化と並行して、従業員の訓練が必要となります。従来の訓練は、データの紛失や漏えい対策が中心でした。しかし、これからはサイバー攻撃に備えた情報共有や、攻撃を受けた際の対応指導も必須となるでしょう。

セキュリティを他人事ではなく、「明日は我が身」と考えて、普段から意識をしておくことが重要です。
サイバー攻撃だけでなく、「情報漏洩させない」ことが重要です。
セキュリティ対策のはじめの第一歩として、下記の5つの点をしっかりと踏まえておきましょう。

  • 会社パソコンのセキュリティ対策
  • 会社スマホのセキュリティ対策
  • 会社のパソコン、USBの感染・紛失防止
  • 私用パソコンの持ち込み・紛失防止対策
  • 情報セキュリティポリシー策定で意識の向上

上記の5つのセキュリティ対策については、下記の記事で詳細を紹介しているので、ぜひご確認ください。

まとめ

サイバー攻撃の概要から、事例、統計、対策方法まで、幅広く整理させていただきました。さらに知りたい方は、各項目につけてあるリンク先の記事をご確認いただけると、詳細の情報までご確認いただけますので、ぜひご覧いただければと思います。

パソコンが使えなくなったり、会社のホームページが見れない、メールが使えないという状況になったら、業務もストップしてしまい大きな影響を受けます。そのような状況になりかねないサイバー攻撃が日々起きています。何度も言いますが「明日は我が身」という意識を持って、セキュリティ対策を進めていきましょう。

Sophos資料ダウンロードはこちらから

よくある質問

サイバー攻撃への対策方法は?

サイバー攻撃への対策方法は、パソコンやサーバへの対策が必要で、ウイルス対策ソフトを導入したり、社内のセキュリティ意識を向上させる必要があります。詳細はこちら

サイバー攻撃の種類・手口は?

サイバー攻撃には、様々な種類があります。また、サイバー攻撃は日々進歩しています。34のサイバー攻撃について説明しています。詳細はこちら



  • LINEで送る

書籍「情報漏洩対策のキホン」プレゼント


当サイトへの会員登録で、下記内容の書籍「情報漏洩対策のキホン」3000円相当PDFプレゼント
(実際にAmazonで売られている書籍のPDF版を無料プレゼント:中小企業向け大企業向け

下記は中小企業向けの目次になります。

  1. 1.はじめに

  2. 2.あなたの会社の情報が漏洩したら?

  3. 3.正しく恐れるべき脅威トップ5を事例付きで
    •  3-1.ランサムウェアによる被害
    •  3-2.標的型攻撃による機密情報の窃取
    •  3-3.テレワーク等のニューノーマルな働き方を狙った攻撃
    •  3-4.サプライチェーンの弱点を悪用した攻撃
    •  3-5.ビジネスメール詐欺による金銭被害
    •  3-6.内部不正による情報漏洩

  4. 4.情報漏洩事件・被害事例一覧

  5. 5.高度化するサイバー犯罪
    •  5-1.ランサムウェア✕標的型攻撃のあわせ技
    •  5-2.大人数で・じっくりと・大規模に攻める
    •  5-3.境界の曖昧化 内と外の概念が崩壊

  6. 6.中小企業がITセキュリティ対策としてできること
    •  6-1.経営層必読!まず行うべき組織的対策
    •  6-2.構想を具体化する技術的対策
    •  6-3.人的対策およびノウハウ・知的対策

  7. 7.サイバーセキュリティ知っ得用語集

無料でここまでわかります!
ぜひ下記より会員登録をして無料ダウンロードしてみてはいかがでしょうか?

無料会員登録はこちら

SNSでもご購読できます。