サイバー攻撃とは～その種類や方法から国内事例・対策方法まで～
上のグラフは警察庁が発表している不正アクセス・コンピュータ・ウイルスに関する平成24年から平成29年上半期の相談件数の推移です。
平成29年上半期のサイバー犯罪の検挙件数は4,209件、相談件数は6万9977件、相談件数は過去最多でした。
ここ数年で「サイバー攻撃」「不正アクセス」というワードを聞くことが多くなりその規模は個人や企業レベルにとどまらず、国家レベルにまで広がっています。
サイバー攻撃って具体的にどういうこと？
サイバー攻撃とは…
インターネットなどを通して、外部から特定のコンピューターやネットワークに侵入し、ウイルスなどの不正プログラムの実行や保存されているデータの取得・改ざんや、システムを攻撃し、破壊することであるが、現時点ではサイバー攻撃に正確な定義はありません。
攻撃者の目的とは…
サイバー攻撃が行われた当初は、単に世間を騒がせたい、いたずらや腕自慢がしたいなど自己顕示欲が目的で、個人に対する攻撃が多かった。しかし、現在は…
- 金銭の搾取が増加…情報を盗みだし、最終的に金銭化すること
- 他国の政府機関や企業に対して諜報目的…思想や主義・主張による違いからサイバー攻撃による制裁を実施
サイバー攻撃を行う集団としては、国際的ハッカー集団「アノニマス」が有名。アノニマスの手にかかればメール、金融取引、クレジットカード情報、国家機密など何もかもが筒抜けだといわれています。
サイバー攻撃の方法
サイバー攻撃は大きく分けると「標的型攻撃」「無差別型攻撃」の２つがあります。
標的型攻撃
特定のターゲットに狙いを定めたシステムへの攻撃やマルウェア感染。特定の方法に固執せず「標的」への攻撃を成功させるのが目的。標的型攻撃は、外部からの指摘で初めて気づく人が多い。
無差別型攻撃
一斉送信メールやWEBサイトを介した不特定多数のユーザーに対する攻撃。2017年大流行した『WannaCry』も無差別型攻撃といわれている。
下記は主なサイバー攻撃の種類です。
APT攻撃（Advanced Persistent Threat）
標的型攻撃の一種に分類されるサイバー攻撃。特定のターゲットに対し、持続的に攻撃。持続的標的型攻撃とも呼ばれている。密かに行われること、長期的で攻撃力が高いところが特徴。
リスト型攻撃
他社のWebサイトから入手したIDとパスワードのリストを使って不正ログインを行う攻撃。パスワードなどのアカウント情報の使いまわしを狙った攻撃方法。
総当たり攻撃（ブルートフォースアタック）
Blue-forceは『力づくで』という意味。不正なツールを使用し、ID・パスワードの組み合わせが当たるまで片っ端からログインする攻撃。コンピューターを使えば簡単に解読が可能。
ゼロデイ攻撃
ソフトウェアにある脆弱性を修正するためのセキュリティ更新プログラムが提供される前に、脆弱性を利用した攻撃。パッチが適用されるまでを狙うため、攻撃を防ぐ手立てがないといわれている。
DoS攻撃（Denial of Service attack）『サービス拒否攻撃』
標的に対して1台のマシンで攻撃をする。
DoS攻撃には２つの方法がある。
- 大量のデータを送りつけて通信容量や処理能力を飽和状態にしてサービスに応対できないようにする。
- サーバやアプリケーションなどの脆弱性を利用し攻撃。不正処理を行わせてサービス機能を停止、異常終了させる。
DoS攻撃を進化させたものがDDoS攻撃（Distributed Denial of Service attack）
DoS攻撃では1台のマシンで1台の標的を攻撃するが、DDoS攻撃は攻撃元がトロイの木馬やマルウェアを使って複数のマシンを乗っ取り、標的に一斉に攻撃を行う。複数のマシンから攻撃が行われるため、本当の攻撃元を発見することが難しいといわれている。
マルウェア
前回紹介したマルウェアもサイバー攻撃の１つ。ウイルス・ワーム・トロイの木馬・ランサムウェアなど…
マルウェア感染を目的とした攻撃は、「標準型メール攻撃」と「水飲み場攻撃」の2種類がある。
標的型メール攻撃は、マルウェアの実行ファイルが添付されていて、自分に関係するメールであるかのように偽装されて、送られてくる。
水飲み場攻撃は、標的がよく利用すると思われるWEBサイトを改ざんし、アクセスした利用者にウイルスなどマルウェアを仕込み感染させる。
クロスサイトスクリプティング（XSS)攻撃
入力フォームがあるWEBサイトの脆弱性を利用した攻撃。偽サイトに誘導するURLをクリックすると攻撃者が用意した偽サイトが表示され、閲覧者が入力した情報が攻撃者へ送信される。
SQLインゼクション攻撃
SQLとは、データベースを操作するための言語。WEBサイトの大切な情報が保存されている場所（データベース）に攻撃を行うと攻撃者が意図する処理が実行され、データが改ざん・窃取等される。
セッションハイジャック
ネットワーク上で一対の機器間で交わされる通信を途中で乗っ取り、片方になりすまし、もう一方から不正にデータを窃取または操作をする。
日本でのサイバー攻撃の事例
これまでに、たくさんのサイバー攻撃による被害がありますが、過去にあったサイバー攻撃についてご紹介します。
2017年1月27日
京都の大学にて、不正アクセスを受けメールアカウントが乗っ取り被害。同大にて不正アクセスを受け、職員のユーザー名およびパスワードが盗取。盗取された職員のアカウントを踏み台にして、約4,000通の迷惑メールが送信された。
2017年11月11日
フジテレビダイレクトにて、リスト型攻撃による不正ログインがあり顧客情報269件が流出。個人情報の改ざんやチケットの不正購入が確認された。
2016年6月1日
日本年金機構にて度重なる標的型攻撃メールにより125万件の顧客情報が流出。「厚生年金基金制度の見直しについて（試案）に関する意見」というタイトルのメールでURLをクリックしファイルを開いたことによりマルウェアに感染。
2016年6月
JTBで標的型メール攻撃により約680万件の個人情報が流出。実際取引のある会社名・部署担当者名になりすましてメールが送信されていた。
2018年1月26日
仮想通貨取引所大手のコインチェックで、不正アクセスにより仮想通貨「ＮＥＭ」が不正に外部に流出。流出額は５８０億円。26万人が被害を受けた。
サイバー攻撃をされると…
- データ改ざん
- 個人情報が外部に流出
- システムの破壊
- サービスの停止
- 他のサイバー攻撃の踏み台にされる
- バッグドアをしかけられいつでも外部から侵入可能になる
等の被害があり、サイバー攻撃の被害は全て経済的損失に繋がっています。
また、情報流出により企業の信用問題に発展し、その企業の信用も損失してしまいます。
サイバー攻撃を防ぐには
では、これらのサイバー攻撃に対してどう対処すればいいのでしょうか。
サイバー攻撃の被害にあわないためにサーバーやパソコンにセキュリティ対策を行うことが必要です。
WEBサイト・アプリケーションの攻撃を防ぐには脆弱性をそのままにしないことが重要となります。
標的型メール攻撃を防ぐには…
- ソフトウェアを最新の状態にする
- バージョンの移行
- セキュリティ・ウイルス対策ソフトを導入、定義ファイルも常に最新の状態に
- 安易に添付ファイルを開かない
- パスワードの使いまわしは避ける、定期的に変更する
- ファイアウォールを導入する
それでもサイバー攻撃を受けてしまったら…
なるべくはやく気づくことが大切です。
企業であれば各所属組織で決められた連絡先へ連絡を行い、事後対処をする。個人であれば、カード会社や銀行などに連絡し、「パスワードの変更・不正利用がないか確認」「迷惑メールの設定の見直し」などを実施してください。
サイバー攻撃は日々進化しておりこれからさらに被害があると考えられ、個人情報の紛失や盗難はセキュリティ対策をしていても100％防ぐことは難しいと言われていています。
ただ、被害にあわないために、日頃から出来ることはしておくことが大切です。
