情報セキュリティ突破、サイバー攻撃の全手口

サイバー攻撃といっても、最近注目されている身代金要求型の不正プログラム「ランサムウェア」から、ネットワークコンピューター社会の興隆当初から存在する「DDoS攻撃」（標的企業の複数のクライアントから大量のパケットを送信するように仕掛けサーバ機能を麻痺させる）まで、さまざまです。サイバー攻撃の手法について整理して俯瞰してみることが大切です。

サイバー攻撃の全容

サイバー攻撃の手口について、攻撃の種類とその目的、犯人像について考察してみましょう。

深刻な被害が予想される「標的型攻撃」

標的型攻撃はまず、ターゲットにした企業のシステムについて事前調査をし、取引先や関連団体（協会や管轄省庁）の名前の偽装メールを送ります。そして、添付した不正プログラムから目的のデータまで段階的にたどり着き、必要な情報を入手します。転売で金銭が得られる個人情報の入手が主な目的で、計画的で巧妙であるため発覚に時間を要することも少なくありません。ターゲット企業とパートナー関係にある協力会社のセキュリティの脆弱さを利用し、「踏み台（不正プログラム等の最初の感染経路）」にして、侵入することもあるので厄介です。

• 参照
  （独）情報処理推進機構の資料をもとに作成

フィッシングメールやランサムウェア

このように不正プログラムを仕込んだメールを不特定多数に送ったり、偽のWebサイトに誘導したりして不正プログラムに感染させたりするなどのサイバー攻撃の被害件数は増加中です。昨年から被害が報告されている不正プログラム「ランサムウェア」（感染した機器をロックし解除に金銭＜身代金＞を要求する）も、不特定多数を攻撃目標としています。データを暗号化させてしまうといったランサムウェアも見られ、企業のサーバ上のデータが被害に遭うと、個人のようにデータを消去して回復させるというわけにはいかないので深刻です。

• 引用
  警視庁「平成28年上半期におけるサイバー空間をめぐる脅威情勢等について」

今も猛威をふるうDDoS攻撃

DDoS攻撃は、複数のコンピューターから特定のネットワークへアクセスを集中させ、通信容量を超えさせることでシステムをダウンさせます。これまではある主義主張のためや、腕前を誇示するための目的などが中心でした。近年は、オンライン・システムの障害によって大きな被害を受ける金融機関などを対象に、攻撃停止を条件に金銭を要求する例も見られます。その背景にはDDoSの技術がそのような目的をもった人たちの間で一般化していることがあります。腕前を誇示するかのように公共の団体や有名企業を襲う例が後を絶ちません。

攻撃の変化と予測

サイバー攻撃の技術や手口、犯人の目的は常に変化していることを念頭に置きましょう。

標的型サイバー攻撃の増加と高度化

「標的型サイバー攻撃」は、APT（Advanced Persistent Threat）という英訳のとおり、Advanced（進歩的）でPersistent（執拗）な攻撃になってきます。目的は、金銭目当ての個人情報の入手ですが、特定の企業を狙って事前の調査を経て、目的が達せられるまで何度も行われます。犯人も、組織力を活かしたプロフェッショナルであるため、セキュリティの突破力も隠ぺい策も巧妙です。犯行後に発覚を遅らせ、足跡を消す手法も確立されており、一度侵入を許すと損害は未曾有の規模になる危険があります。

金銭以外の目的も

また、目的を個人情報の不正入手とせず、データを改ざんするにとどめる攻撃もあります。その結果、企業が業務に大きな混乱をきたしてから、ようやく気づくといったケースが起こりうるとされます。例えば、もし顧客情報の購入金額などがそれぞれ微妙に書き換えられていたら、発覚が遅れるだけでなく、被害の範囲を把握するのも難航します。情報を盗まれることによって膨大な検査・修復コストがかかるリスクがあるのです。そのほか、企業の機密情報や顧客情報などを公表するかたちで被害を与える犯罪も増えてくると見られています。
サイバー攻撃の目的はこのように、金銭目当ての個人情報入手から、その企業の存在自体を危うくさせることにまで広がると想定されます。個人情報を保有している・していないにかかわらず、どの業種・業態の企業であってもターゲットにされる危険があると考えるべきでしょう。