【事例あり】不正アクセスとは？手口や被害・対策を紹介

パスワードの適切な設定・管理

利用者側・管理者側ともにもっとも重要となる対策が「パスワードの適切な設定・管理」です。
利用者側としては、IDと同じパスワード、電話番号など推測されやすいパスワードなどは避けるべきです。また、他人に不用意にパスワードを教えたり、複数のウェブサイトで同一のパスワードを使いまわしたりすることも危険ですので避けた方が良いでしょう。
管理者側としては、退職などで必要のなくなった場合には迅速にIDを削除したり、パスワードを変更したりするなど、不正アクセスの危険性を可能な限り減少させるような対策を実施しましょう。

不正なプログラムのインストール防止

SMSやメールの添付ファイルなどを通じ、特にスマートフォンなどのモバイル端末に不正なプログラムをインストールさせ、IDやパスワードを抜き取る被害も増えています。実際に、プログラムにより警告メッセージを表示してフィッシングサイトに誘導する手口などが確認されています。金融機関や配送業者を騙るSMSやメールを受信しても、すぐに記載されたURLをクリックせず、送信元やURLを確認する習慣を付けましょう。
また、業務に使用する端末には不用意にアプリをインストールしないことも徹底しましょう。

サーバー関連機器の適切な設定・管理

管理者側での対策も必要です。サーバ―の必要のないサービスは停止する、ディレクトリやファイルなどへのアクセス権限を適切に設定する、WebシステムやVPNサーバ―に脆弱性が発見されたら迅速に更新プログラムを適用する、などを徹底し、常にセキュリティを強化しておきましょう。併せてログの取得、不正アクセス発生時の対処方法をあらかじめ設定しておけばセキュリティはさらに盤石となるでしょう。
また、Webサーバ―を攻撃から守るファイアウォールや侵入防止システム(IPS)などのセキュリティ製品の導入も有効です。

コンピュータウイルスやマルウェア感染の被害

ランサムウェア以外のコンピュータウイルスやマルウェアの感染被害です。うち44件を「Emotet」と呼ばれるメール経由のコンピュータウイルスが占めています。

身代金を要求するサイバー攻撃の被害

近年増加している、「ランサムウェア」と呼ばれる身代金要求型のウイルスです。中には侵入の経路等、不正アクセスの手口が解明できなかったものもあったようです。

脆弱性を悪用された不正アクセス

ソフトウェアの不具合やセキュリティ設定の不備などの脆弱性を悪用されたケースです。IPAではテレワーク導入時のセキュリティが不完全だったことが一因と分析しています。

IDとパスワードによる認証を突破された不正アクセス

IDおよびパスワードの管理の不備による不正アクセスです。複数人で利用するIDに単純なパスワードを設定していた、現在は使われていないIDがそのまま残っていたなどのケースなどです。

参考：不正アクセスによる被害と対策｜情報管理担当者の情報セキュリティ対策｜企業・組織の対策｜国民のための情報セキュリティサイト

参考：コンピュータウイルス・不正アクセスの届出事例［2020年下半期（7月～12月）］

事例① テレワーク対応時の脆弱性対策不備による不正アクセス

従業員のテレワークを実現するために設置したVPN装置の設定情報が窃取され、認証時にIDと使用していたメールアドレスなどが漏洩しました。
原因は、使用しているVPN装置に装置内部のファイルが外部から、読み取り可能になるという脆弱性が存在していたことでした。

事例② ランサムウェアによる攻撃

社内システムにアクセスできなくなったため調査したところ、350台以上のサーバーやパソコンがランサムウェアに感染し、ファイルが暗号化されていることが分かりました。
感染の原因はウイルスが添付されたメールをある従業員が開いたこと。それによりまず1台のパソコンがウイルスに感染、その後そのパソコンを足掛かりとして攻撃者により感染が拡大したとのことです。

事例③ クラウド上の開発環境からの認証情報窃取による不正アクセス

クラウド上のソフトウェア開発環境に不正アクセスされ、登録していたソースコードが漏えいしたケースです。また、ソースコードに含まれていた認証キーを悪用され、稼働中のサービスサイトにも不正アクセスされるという被害も受けました。
開発環境には多要素認証が設定されていましたが、攻撃者は通常のログイン方法とは別の「抜け道」を通じてアクセスを突破したと推測されています。