【事例あり】サイバー攻撃とは？具体的な対策方法・攻撃の種類をわかりやすく紹介
サイバー攻撃にはさまざまな種類が存在し、またその対策もさまざまです。今回は幅広いサイバー攻撃の中から、特に皆様がご利用されている端末に関係するものを取り上げ、それぞれへの対策方法や有効なセキュリティソリューションなどについて紹介します。
- 目次
サイバー攻撃とは？
サイバー攻撃とは、サーバー、パソコン、スマホなどの情報端末に対して、ネットワークを通じシステムの破壊やデータの窃取、改ざんなどを行う行為のことを指します。
サイバー攻撃の中には攻撃対象が企業または個人の場合のほか、不特定多数を無差別に攻撃する場合など、その目的や手段も様々ですが、今回は皆様がご利用されている端末に対する攻撃に絞って紹介します。
サイバー攻撃の目的
サイバー攻撃の目的は単純な金銭詐取をはじめ、企業、団体、国家の経済力の弱体化を狙う場合や個人情報、機密情報の売買を目的とするものなど多岐にわたります。その他にも営業妨害や企業、団体のイメージダウンを狙ったもの、個人的な復讐、社会への政治的主張、自己顕示の充足などを目的としたものもあります。また目的に応じ、攻撃者も犯罪者や犯罪集団・諜報員・産業スパイ・ハッカー、または特定の会社や企業に私恨がある人や集団などさまざまです。
サイバー攻撃に有効な対策方法
では、サイバー攻撃に有効な対策方法としてはどんなものがあるのでしょうか。
メールセキュリティの強化
マルウェア感染やフィッシング詐欺などのサイバー攻撃の手段として、メールがよく使用されます。サーバー攻撃を防止するため、怪しいURLはクリックしない、怪しい添付書類は開かない、などの社員教育が必要となるでしょう。
また、迷惑メールの受信防止、添付書類や記載URLなどのスキャン等が可能なメールセキュリティセキュリティサービスの導入も有効です。
Webブラウザセキュリティの強化
Webブラウザを使用中にサイバー攻撃を受けるケースも多々あります。こちらも怪しいサイトには接続しない、安易に情報を入力したりボタンをクリックしたりしない、などの対策が必要です。
また、あらかじめ指定して置いた危険なサイトへのアクセスを防止する「URLフィルタリング」、Webサイトからのウィルス感染を防止する「ゲートウェイ装置」などの導入も有効です。
マルウェア対策の強化
一時記憶媒体の使用時や、アプリケーションのインストール時などにマルウェアに感染するケースもあります。共用、私用のUSBメモリの使用には一定のルールを設ける、業務用PCへのアプリケーションのインストールには制限を設ける、OSの自動再生機能を停止する、などの対策が必要です。
また、アンチウィルスソフトやアンチスパイウェアソフトの導入、適切な運用管理も重要です。
複合的に防げるゼロトラストセキュリティサービスを導入する
従来のセキュリティ対策は、境界内の人やデバイスを基本的に信頼できるものとする「境界防御モデル」を採用していました。しかし、近年はサイバー攻撃が巧妙化したこともあり、容易に内部に侵入され、より大きな被害へと繋がるケースも増加しています。
上記3点は「境界防御モデル」に基づいた防御方法ですが、今後は内部ネットワークすら信用しない「ゼロトラストモデル」に基づいたセキュリティも必要となるでしょう。
サイバー攻撃対策なら500円（税込500円）から始められる
セキュアアクセスゲートウェイがおすすめ
NTTPCの「セキュアアクセスゲートウェイ」は、「ちょうどいい機能」「ちょうどいい操作性」「ちょうどいい価格」の3つの特長により、安全で快適なネットワークをすぐに構築できるサービスです。
Gartner社によって定義されたネットワークセキュリティモデル「SASE（Secure Access Service Edge）」のコンセプトに基づき、ネットワーク機能とセキュリティ機能を統合し、「ゼロトラスト」セキュリティをクラウド上で提供します。
インターネットアクセスを監視し、インターネット上の脅威からユーザーを最前線で守る「DNSセキュリティ」機能により、社員をサイバー攻撃から保護します。
サイバー攻撃の種類と手口
では次に、サイバー攻撃の種類と手口について詳しく見てみましょう。
特定のターゲットを狙ったサイバー攻撃
特定の組織や個人を狙ったサーバー攻撃には、次のようなものがあります。
ランサムウェア
「ランサムウェア」はマルウェアの一種で、端末をロックしたりファイルを暗号化したりして使用不能にしたうえで、身代金（ランサム）を要求するものです。
標的型攻撃による機密情報の窃取
特定の組織や個人の機密情報等を狙い、PCをウィルスに感染させて組織内部に潜入するものです。手段としてメールの添付ファイル、不正アクセスなどが使われます。
詐欺メールによる金銭の窃取
虚偽の内容のメールを使用して金銭を騙し取るものです。組織では取引先を装ったビジネスメール詐欺、個人では架空請求や知り合いを装った寸借詐欺などがあります。
不特定多数を狙ったサイバー攻撃
一方、不特定多数を狙ったサイバー攻撃としては次のようなものがあります。
フィッシング詐欺
官公庁や金融機関など、実在の組織を騙ったサイトを設け、入力フォームから氏名や生年月日、クレジットカード番号、ログイン情報などを抜き取るものです。
SMSを通じたマルウェア感染
宅配業者などの名を騙ったSMSをスマートフォン宛に送信する手口です。SMSに記載されたURLをクリックすると、自動的にマルウェアがインストールされてしまいます。
偽の警告画面による金銭の窃取
「このPCはウィルスに感染しています」などのメッセージを画面に表示し、電話等で連絡を取らせて金銭を騙し取るものです。
サーバーに負荷をかけるサイバー攻撃
サーバーに負荷をかける攻撃には、1台のPCで攻撃を行うDoS攻撃、多数のPCを踏み台として攻撃を行うDDoS攻撃があります。
SYNフラッド攻撃
ウェブサーバーに接続要求（SYN）を大量に送り付け、サービス停止に追い込むものです。切断要求（FIN）を用いたFINフラッド攻撃もあります。
UDPフラッド攻撃
IPアドレスを偽って攻撃を行います。UDPという通信方式の「通信相手の応答を待たずにデータを送り続ける」という特性を利用して大量のデータを一方的に送信し、標的サーバーを停止させます。
ブラウザの再読み込みによる攻撃
ウェブブラウザの再読み込み機能を利用してWebサーバーに大量の要求を送り付けるものです。更新には主にF5ボタンを使うことから、俗に「F5アタック」とも呼ばれます。
OS/Webサイトなど脆弱性を狙ったサイバー攻撃
OS/Webサイトなどの脆弱性を標的としたサイバー攻撃
SQLインジェクション
データベースへの命令文である「SQL」を使用し、Webアプリケーションの脆弱性を突いてデータの消去や改ざん、情報漏えい狙うものです。
OSコマンドインジェクション
ウェブサーバーへのリクエストにOSへの命令文を紛れ込ませ、不正に実行させるものです。サーバー内ファイルを改ざん、削除、流出される恐れがあります。
クロスサイトスクリプティング
Webページを動的に生成するWebアプリケーションの脆弱性を突いて任意のスクリプトを実行するものです。クッキーの漏出や個人情報の漏えいの恐れがあります。
サイバー攻撃の被害件数と被害額
インターネットを介して発生する侵入やサービス妨害等のコンピュータセキュリティインシデントについて、日本国内に関するインシデント等の報告の受け付け、対応の支援、発生状況の把握、手口の分析、再発防止のための対策の検討や助言などを技術的な立場から行なっているJPCERTコーディネーションセンター（JPCERT/CC）の「JPCERT/CC インシデント報告対応レポート」によると、同センターに対して2020年度に寄せられた報告件数は実に46,942件と、前年度の20,147 件から133%増加した数字となったそうです。
この統計からも、わずか1年の間に攻撃が急速に増加していること、サイバーセキュリティへの対策が喫緊の課題であることがお分かりになると思います。
図 セキュリティインシデント年間報告件数の推移
サイバー攻撃の被害事例
実際にはどのような被害が報告されているのでしょうか。情報処理推進機構（IPA）の「情報セキュリティ白書2020」で報告されている2019年度のケースを3件紹介します。
事例① 2019年5月 株式会社ファーストリテイリング
運営するアパレルブランド「ユニクロ」及び「ジーユー」の通販サイトに対し、他サイトから流出したログインIDおよびパスワードを使ってログインを試みる「パスワード攻撃」が発覚。クレジットカード情報を含む顧客情報46 万1,091 件が流出した可能性が指摘されました。
事例② 2019年9月 株式会社みずほ銀行
みずほ銀行が提供するスマホ決済アプリケーション「J-Coin Pay」の加盟店管理に関わるテスト用システムが不正アクセスを受け、加盟店の法人および窓口担当者の個人情報等の流出が疑われました。幸いJコインのユーザー情報は含まれていませんでしたが、一歩間違えば大変な事態となっていたことでしょう。
事例③ 2019年12月 象印マホービン株式会社
象印マホービンが運営する「象印でショッピング」において、サイト内の脆弱性を突いたとみられる不正アクセスが発生。最大28万件以上の顧客情報が流出した可能性があったため、同社はセキュリティ対策が整うまでの間、該当のショッピングサイトの公開を停止する事態となりました。
まとめ
今回はサイバー攻撃とは何か、を解説するとともに、攻撃の種類および各攻撃に対する具体的な対策方法を紹介しました。
サイバー攻撃と攻撃に対する対策は今後もイタチごっこの状態が続くと思われますが、現在では優れたセキュリティ対策サービスも多数登場しています。
この機会に自社のセキュリティ対策を見直してみてはいかがでしょうか。
※ICT Digital Columnに記載された情報は、リリース時点のものです。
商品・サービスの内容、お問い合わせ先などの情報は予告なしに変更されることがありますので、あらかじめご了承ください。
