サイバー攻撃とは、組織や個人のPCやスマートフォンなどの情報端末、ネットワーク、システム等に対し、攻撃者が個人情報や金銭を目的に、悪意を持っておこなう行為を指す言葉です。

攻撃者は、悪意のあるプログラム（マルウェア）を第三者のPCへ感染させる、あるいは会社の脆弱なシステムを狙って不正に侵入することで、個人や組織の所有する重要データを盗んだり、IDとパスワードを使って不正にアカウントを乗っ取ったり、復旧と引き換えに多額の金銭を要求したりといった悪事を働きます。

昨今のサイバー犯罪の高度化は目覚ましく、2023年に国立研究開発法人情報通信研究機構（NICT）が公表したデータによると、この10年間で観測されたサイバー攻撃関連の通信数は、約28倍に増加しています。

図1. 1 IPアドレス当たりの年間総観測パケット数（過去10年間）

出典：国立研究開発法人情報通信研究機構｜NICTER観測レポート2022の公開（2023年2月14日）

サイバー攻撃には様々な手口がありますが、代表的なものに以下のような攻撃があげられます。

●マルウェア攻撃 マルウェアという、悪意ある不正プログラムを端末に感染させ、情報漏洩やデータ改ざん等、様々な悪事を働く手口。
●フィッシング 偽の詐欺メールやSMS・Webサイトを使って、個人情報や金融情報を騙し取る手口。
●ランサムウェア：マルウェアの一種。メールやVPN等から侵入し、ターゲットのファイルデータを暗号化。復旧と引き換えに身代金を要求する手口。
●DoS/DDoS攻撃： 対象のサーバーに過剰なトラフィックを送り、Webサイトの停止・正規ユーザーがサービスを利用できないようにする攻撃。
●ゼロデイ攻撃: ソフトウェアの未知の脆弱性を悪用する攻撃で、脆弱性が公になる前の僅かな隙をついて攻撃する手口。

サイバー攻撃は日々進化しており、次々と新たな手法が誕生するため、個人や組織も常にセキュリティ対策をアップデートし、最新の脅威の備えなければなりません。

またサイバーセキュリティを扱う「エムオーテックス（MOTEX）」では、誰でも気軽に組織のセキュリティ課題・レベルが確認できる「サイバー攻撃対策チェックシート」をご用意しました。「自社のセキュリティレベルを簡単に確認したい」という方、ぜひご活用ください。

サイバー攻撃と手口とは？

サイバー攻撃とは、主にインターネット等のネットワークを通じて、攻撃対象のサーバーやPC・システムやクラウド環境に、情報漏洩やウイルス感染といった損害を与える、悪意ある攻撃を指します。

サイバー攻撃の「手口」の例としては、次のようなものが挙げられます。

サイバー攻撃手法は様々ですが、攻撃の主な目的としては「金銭」「個人・機密情報の搾取」であるケースが大半です。「いたずら目的」のものも存在します。

サイバー攻撃が世界中で多発。直近10年で約28倍に増加

サイバー攻撃自体は1990年代から観測されていたものの、その件数や被害が増加したのは2015年以降、とりわけ飛躍的に増えたのは2019年頃からのことです。

以下は、国立研究開発法人情報通信研究機構（NICT）が行った、直近10年間のサイバー攻撃関連の通信数をグラフ化したものですが、攻撃数が年々増加していることが伺えます。

図1. 1 IPアドレス当たりの年間総観測パケット数（過去10年間）

出典：国立研究開発法人情報通信研究機構｜NICTER観測レポート2022の公開（2023年2月14日）

上記グラフより「1 IPアドレス当たり」で観測した1年間の「サイバー攻撃関連のパケット数」を比較すると、2013年から2022年の10年間で、約28.78倍に増加しています（2013：63.682パケット、2022年：1,833,012パケット）。

実際、日本国内でも大企業・中小企業などの規模感を問わず、多くの企業や組織がサイバー攻撃の被害を受けており、適切なセキュリティ対策を行うことが近年では必須課題となっています。

企業・組織規模を問わず、サイバー攻撃のターゲットとなる

また、サイバー攻撃における「被害の遭いやすさ」において、企業規模は関係ありません。

令和４年における、警察庁の「被害企業・団体等の規模」に関する報告によると、ランサムウェア攻撃の被害にあった企業・団体等の内訳は、以下の通りです。

▼ランサムウェア攻撃を受けた「企業規模」の内訳

また、ランサムウェア攻撃を受けた企業を「業種別」に見ても、製造業からサービス業、医療・福祉まで、あらゆるジャンルで被害が発生しています。

▼ランサムウェア攻撃を受けた「業種」の内訳

出典：警視庁｜令和４年におけるサイバー空間をめぐる脅威の情勢等について

以上の結果からも、サイバー攻撃は大小様々な規模の組織を対象に行われる可能性があり、また攻撃を受ける業種も幅広いことがわかります。

大企業だけでなく、あらゆる組織がサイバー攻撃を「自分事」としてとらえ、セキュリティ体制の見直しを図ることが必要不可欠と言えるでしょう。

サイバー攻撃が行われる「目的」と「目的の変化」について

前章でもお話しした「そもそも何故、サイバー攻撃が行われるのか？（サイバー攻撃の目的）」について、もう少し細かくご説明します。

サイバー攻撃が発見された当初、2000年頃のサイバー攻撃は「ターゲットへの嫌がらせ」「攻撃者の自己顕示欲を満たす」という目的の犯行が大半でした。他人のPCへ侵入して楽しむ、ハッキング技術を見せつける、といったものです。

しかし2000年以降、年々攻撃の目的は悪質化し、近年では金銭の収奪や個人情報の窃取など「資産」目的の犯行が、主流となりつつあります。また攻撃目的の変化に伴い、サイバー攻撃の手口や被害規模も、より巧妙かつ悪質なものに変化を遂げています。

出典：総務省｜サイバー攻撃の最近の動向等について

また、近年では個人より「組織」をターゲットとした、計画的なサイバー攻撃が横行しています。

例えば、組織の所有データを暗号化し、解除と引き換えに身代金を要求する「ランサムウェア」攻撃は、2020年以降に頭角を現した、金銭を目的とした代表的なサイバー攻撃の1種です。

その他、

なども存在します。

サイバー攻撃を受けると、企業や組織はどんな被害があるのか？

ここまで語ってきた通りですが、サイバー攻撃を受けた企業や個人は、金銭面や信頼損失・業務停止といった、様々な被害を被ることとなります。とりわけ昨今の被害レベルはますます深刻化しており、企業・組織にとって経営問題に関わる損失を受けるケースも少なくありません。

少し古いデータですが、総務省が令和元年に公開した「サイバー攻撃の経済的損失」をまとめたデータによると、日本の１社当たりにおける、サイバー攻撃の平均被害額は「1億～6億円台」にのぼることが、明らかになっています。

▼サイバー攻撃による損失額の一覧

出典：総務省｜情報通信白書令和元年版｜（2）サイバー攻撃等の経済的損失

サイバー攻撃による被害内容は様々ですが、代表的なものに次のような例が挙げられます。

特によく見られるのが、システムへの不正アクセスによる個人情報や機密情報の漏洩被害です。情報漏洩はそれ自体の被害だけでなく、さらなるサイバー攻撃を生む「二次被害」への発展も懸念されるため、企業・組織は厳重に情報漏洩対策を行う必要性があるでしょう。

サイバー攻撃を受けると「金銭面」「信用面」で大きな損失を受け、企業であれば事業の存続にかかわる、重大なリスクを負う懸念もあることを覚えておきましょう。

代表的なサイバー攻撃の種類

代表的なサイバー攻撃の種類としては、次のようなものが挙げられます。

「全て聞いたことがある」という方は、サイバー攻撃に関して、日頃から積極的に情報収集をされている方かもしれません。

６種類のサイバー攻撃について、それぞれ簡単に解説します。

1. ランサムウェア攻撃

ランサムウェア攻撃とは、「ランサムウェア」と呼ばれる不正なプログラムをユーザーへ送り、パソコンやサーバーなどのエンドポイントに感染させて、そのデータを暗号化するサイバー攻撃です。

暗号化したデータの解除と引き換えに、高額な金銭の支払いを要求するのが、ランサムウェア攻撃ならではの特長です。ちなみに「ランサムウェア」は「ウイルス」「ワーム」など同様、「マルウェア」という悪質なプログラムの1種に該当します。

▼マルウェアの種類一覧

近年、このランサムウェア攻撃の被害は拡大しており、大企業や中小企業を問わず、多くの企業が被害を報告しています。

警察庁の令和4年度の報告によると、国内のランサムウェアの被害報告件数が、右肩上がりで上昇していることがわかります。

出典：警視庁｜令和４年におけるサイバー空間をめぐる脅威の情勢等について

「ランサムウェア」のより詳しい内容は、以下のブログへまとめています。

2. 標的型攻撃

標的型攻撃とは、主に企業・組織の個人情報や機密情報の窃取を目的に行われる、主要なサイバー攻撃の手口です。不特定多数を狙った犯行ではなく、特定のターゲット（標的）を絞り、入念な計画に基づいて行われるのが特徴です。

標的型攻撃では、攻撃者は「取引先」や「社内の人物」を装い、あたかも知っている人物かのふりをして、悪質な攻撃メール等を送り付けます。

▼「賞与の振込」を装った標的型攻撃メール

出典：IPA│図4 不正なURLリンクを含む攻撃メールの例（2019年12月）

3. サプライチェーン攻撃

サプライチェーン攻撃とは、実際に攻撃を仕掛けたい企業・組織ではなく、その取引先や協力会社など、関連企業を狙って攻撃を仕掛ける、サイバー攻撃です。

攻撃者は、セキュリティの強固なターゲットを直接狙わず、セキュリティの手薄な「関連企業（サプライチェーン）」を踏み台にすることで、ターゲットへと攻撃を行います。

最終的な標的となりやすい「大手企業」は、自社だけでなく、関連企業全体でセキュリティを強化する必要があります。

4. フィッシング詐欺

フィッシング詐欺とは、大手企業や公的機関のWebサイトにそっくりな「偽サイト」へユーザーを誘導し、クレジットカード情報やID/パスワードを入力させ、個人情報を盗み取る攻撃手法です。オンラインバンキングを装った偽サイトを作り、不正送金を要求するケースもあります。

攻撃者は、企業を装ったメールやSMSを送り、URL経由で詐欺サイトへ誘導します。

近年のフィッシング詐欺は巧妙化し、本物のサイトと全く見分けがつかないケースが増えています。ただし、フィッシング詐欺メールでは、アドレスをよく見ると公式のものではなかったり、メールの本文に違和感があったりするものもあります。

▼宛名表記がおかしいフィッシング詐欺メールの例

出典：警視庁│フィッシング110番

メールやSMSを受信した際は内容をよく確認し、不審なURLはクリックしないことが大切です。

5. 不正アクセス

「不正アクセス」とは、本来はアクセス権がない第三者が、不正な方法でシステムやサービス、ネットワークなどにログインする攻撃手法です。攻撃者は侵入先で機密データを盗み取ったり、悪質なマルウェアに感染させたりします。

不正アクセスの手法は、ウイルス感染を利用したものや、従業員のID・パスワードを不正利用したもの、先述した「フィッシング詐欺」や「標的型攻撃」によるものなど、手口は様々です。

不正アクセス対策としては、ログイン条件の強化を図る「多要素認証」導入や、エンドポイント・ネットワークへの不正アクセスを素早く検知しアラートする、監視機能のあるソリューションの導入が有効です。

6. ゼロデイ攻撃

「ゼロデイ攻撃」とは、システムやアプリケーションの脆弱性（＝欠陥）が発見されたとき、その脆弱性に対応するセキュリティパッチ（＝対策プログラム）が開発される前に、攻撃を仕掛ける犯行手口です。

簡単に言えば、「サービスの提供元がセキュリティ上の弱点を発見し、『やばい、対策が必要だ』と対応しようとしている隙に、先にサイバー攻撃を仕掛る手口」がゼロデイ攻撃です。

脆弱性が見つかってから、セキュリティパッチが提供されるまでの間には「空白期間」が発生するため、その期間に攻撃を受けると、発見が遅れ被害が拡大しやすくなります。

ゼロデイ攻撃の対策としては、システムやアプリケーションを最新の状態に保つのは勿論、サイバー攻撃を受けた場合も早期に以上を検知する、EPP・EDR・NDRなどのセキュリティソリューションが効果的です。

より詳しい「サイバー攻撃の種類」については、以下の記事もぜひご覧ください

サイバー攻撃による被害事例

この章では、サイバー攻撃による具体的な被害事例を3つご紹介します。

サイバー攻撃事例の中でも著名である

の3つの事例について見ていきましょう。

1. 国内の大手ゲーム会社がランサムウェア感染、身代金11.5億円が請求される

企業	国内の大手ゲーム会社
被害時期	2020年11月
攻撃の手口	ランサムウェア（Ragnar Locker）
被害内容	個人情報・企業機密情報の外部流出

上記は、2020年11月に国内大手ゲーム会社が「Ragnar Locker」と呼ばれるランサムウェアに感染した被害事例です。この被害によって、35万件以上の個人情報・機密情報が漏洩した可能性が指摘されています。

感染の原因は、同社の海外法人が所有していた、予備の旧型VPNです。攻撃者は脆弱性のあるVPN機器にサイバー攻撃を仕掛け、同社のネットワークへ不正アクセスし、ランサムウェア攻撃を行いました。

攻撃者は、ランサムウェア攻撃によって暗号化したデータの解除と引き換えに、約1,100万ドル（11.5億円）の身代金を要求しましたが、同社は支払いを拒否。警察への通報と外部企業への復旧支援要請によって、事態の解決をはかりました。

2. 国内大手通信会社が不正アクセスを受け約6万人分の情報漏洩に

企業	国内の大手通信会社
被害時期	2020年5月～7月
攻撃の手口	自社サーバーへの不正アクセス
被害内容	個人情報・企業機密情報の外部流出

国内の大手通信会社にて、不正アクセスによる「情報漏洩被害」が発生した事例です。

同社では2020年5月から7月にかけて、2度にわたる別のサイバー攻撃を受け、最終的に防衛省や海上保安庁、厚生労働省など、国の重要機関を含む 900以上の組織・企業情報が流出しました。

5月：海外拠点の運用サーバーなど自社設備を悪用した、不正アクセス
7月：社員へなりすましをした攻撃者による、IDとパスワードを用いた不正アクセス

今回、攻撃から調査までの時間を要した原因として、攻撃者が社員へなりすまし、そもそもの発見が遅れたことが挙げられます。

同社は「事件の早期発見」を目的に、再発防止に向けて、エンドポイントセキュリティを強化する「EDR」の導入や、ゼロトラストを基本とするセキュリティ対策の導入などを掲げています。

3. ソフトウェアを通じたサプライチェーン攻撃、最大18,000組織が被害

企業	米国のITソフトウェア会社
被害時期	2020年12月
攻撃の手口	サプライチェーン攻撃
被害内容	個人情報・企業機密情報の外部流出

最後にご紹介するのが、アメリカのITソフトウェア企業に、サプライチェーン攻撃が仕掛けられた事例です。同社の扱う「ネットワーク管理ソフト」の更新プログラム自体に「マルウェア」が仕掛けられ、同ソフトウェアの利用者約1万8,000人が、感染被害にあったとみられています。

また、今回攻撃に採用された「ソフトウェアサプライチェーン攻撃」は、IT機器やソフトウェアの製造・保守の工程でサーバーへ侵入し、マルウェアを仕込むという手口です。

提供元の更新プログラム自体に「マルウェア」が仕込まれるため、発見が難しく、ユーザー側の防御も困難というやっかいな特徴があります。

この攻撃は米政府機関などの重要機関にも影響を及ぼしており、日本企業も被害に遭っている可能性が指摘されました。

ソフトウェアサプライチェーン攻撃を阻止するには、まず開発元のソフトウェアに脆弱性がないかを着実にチェックすることが重要です。加えて利用者側の対策としては、マルウェアを即時で検知し、駆除や隔離できる「セキュリティソリューション」の導入が不可欠となります。

この他、より詳しい「サイバー攻撃」の被害事例を知りたい方は、以下のコラムもご覧ください。

サイバー攻撃に有効な、基本のセキュリティ対策5つ

サイバー攻撃への対策は、個人がすぐ始められるものから高度なものまで、種類は様々です。

今回は「必ず実践してほしい、5つの基本的な対策」を厳選してご紹介します。

1. OSやソフトウェアのアップデートや最新のパッチ適用

「Windows」などのOSや、ソフトウェア（アプリケーション）は、常に最新版へアップデートすることを心がけましょう。アップデートを行わず放置すると、PCやアプリの「脆弱性」が補完されず、サイバー攻撃のターゲットにされやすくなってしまうからです。

「脆弱性」とは、システムやソフトウェアに存在する、セキュリティ面での「課題」「弱点」を意味します。

また、公開済みの OS やソフトウェアに脆弱性が発見されると、提供者（ベンダー）より、問題点を修正するためのプログラムが配布されます。これが「セキュリティパッチ」です。

こまめにOS・ソフトウェアのアップデートとセキュリティパッチの適用を行うことは、サイバー攻撃における、基本的な対策の1つです。

2. 多要素認証の導入やパスワード管理など、不正ログイン対策

2つ目に重要なのが、攻撃者の不正アクセスを防ぐための「ログイン」や「認証」周りの対策を行うことです。有効な方法として「多要素認証」の導入や、パスワードの管理・工夫があげられます。

多要素認証とは、2種類以上の認証情報を活用してログインを行う認証方法です。

例えば、通常行う「IDとパスワードによる認証」に加え、固有の電話番号を使った「SMS認証」や、個人の身体機能を使う「指紋認証」「顔認証」を取り入れることで、認証の安全性を高めることができます。

また「パスワードを忘れないように」と紙に書き出したり、覚えやすい「短く単純な文字列」を使うことは、不正アクセスを招く大きな要因となります。

ことを意識しましょう。

3. インシデント時の対応計画の策定

組織であれば、仮にサイバー攻撃を受けた場合を想定して、事前に「インシデント対応計画」を策定しておくと良いでしょう。

「インシデントが起こった時、どのように対応するのか」をあらかじめ取り決めた計画書を用意することで、万が一の事態が起こった時も、冷静に初動対応に移行できます。
また、効果的なインシデント対応計画を作成するためには、以下の4 つのフェーズを設定する必要があります。

インシデント対応の詳しい内容と、対応計画の策定に役立つ無料ダウンロード資料は、下記の記事よりご参照ください。

4. 従業員へのセキュリティ教育の実施

4つ目にあげるのが、従業員に、日頃からのセキュリティ教育を行いリテラシーを高めることです。

従業員のセキュリティ意識が低い場合、以下のようなサイバー攻撃やセキュリティ被害を招く危険性があるためです。

セキュリティリスクの例

これらの被害を防ぐための、具体的な対策として

などがあげられます。

実際、エムオーテックスの社内でも、「攻撃者が社内の事業部長を装い、攻撃メールを仕掛けた」という体で、メール訓練の実施などを行っています。

▼実際に社内で使用された「標的型攻撃メール」の例

また、セキュリティポリシーやガイドラインの策定・周知は、守るべきルールが明確化され、従業員の不正行為を防止する効果を発揮します。

5. 最新のセキュリティソリューションの導入

5つ目にあげるのが、皆さんのエンドポイントやネットワーク・システム等を、ウイルスや外部脅威から守る、優れたセキュリティソリューションの導入です。

昨今、様々なセキュリティソリューションが存在しますが、代表的なものとして、以下のような製品があげられます。

特に、昨今のサイバー攻撃では、常に最新の脅威やマルウェアが使用され、従来のセキュリティソリューションでは、検知できない・侵入を防げない、といった自体が起きてしまいます。

そのため、あらゆる攻撃や新種のマルウェアも、漏らさず検知し対策が行える、最新の高品質なセキュリティソリューションを導入することが、いまのサイバー攻撃対策には欠かせないのです。

サイバー攻撃対策なら、総務省やIPAのサイトも参考にするのがおすすめ

「サイバー攻撃」への理解を深めるため、総務省やIPAの運営サイトを参考にするのもおすすめです。

総務省では「国民のためのサイバーセキュリティサイト」を運営しており、企業や組織のセキュリティ対策についても分かりやすく解説しています。

総務省｜企業・組織の対策｜国民のためのサイバーセキュリティサイト

また、IPAでは「中小企業の情報セキュリティ対策ガイドライン」を公開しています。中小企業がこれからセキュリティ対策を進めるにあたって、指針となる情報が盛り込まれています。

IPA（独立行政法人情報処理推進機構）｜中小企業の情報セキュリティ対策ガイドライン

最新のサイバー攻撃に対策するなら、AIアンチウイルス「LANSCOPE サイバープロテクション」にお任せください

ここまで「サイバー攻撃」に関して説明させていただきましたが、最後にサイバー攻撃対策ソリューション「LANSCOPE サイバープロテクション」について、少しだけお話しさせてください。

LANSCOPE サイバープロテクションは、お客様のPCやスマホ・サーバーを、ランサムウェアなど最新の攻撃や感染から守る、「エンドポイントセキュリティ」製品です。

従来製品では防げない、未知の脅威も着実に検知できる点で優れています。ここでは

「EDR」で多層防御を実現する「CylancePROTECT×OPTICS」

2種類のソリューションにより、PCやサーバー等「エンドポイント」の多層防御を実現するセキュリティソリューションです。

Cylance PROTECT × Cylance OPTICSを導入すれば、 未知のマルウェアの「侵入防御」から、万一侵入した後の「検知」「調査・分析」「封じ込め」「復旧対応」まで、一連のプロセスで行うことが可能です。

また、EDRを導入したものの「使いこなせない」「監視工数を削減したい」という担当者様向けに、 CylancePROTECT×OPTICSの運用を代行する、SOCサービス「CylanceGUARD」も10月よりリリース予定です。

「次世代型」AIでランサムウェア対策も可能な「Deep Instinct」

Deep Instnctは、「次世代型」AIを活用し、未知の脅威に対応できるAIアンチウイルスです。

AIのディープラーニングを活用することで、従来のアンチウイルスソフトでは検知できない「未知のウイルス」も、防御をすることができます。本記事でも扱った「ランサムウェア」をはじめ、様々な最新のサイバー攻撃を、高い検知率でブロックします。

ExcelやPDF、Word、zipなど、多様な形式のマルウェアに幅広く対応している点も強みです。「これまで使っていたウイルス対策ソフトでは、心もとない」「低価格で高性能なアンチウイルスを」というお客様におすすめです。

まとめ

「サイバー攻撃」についてその概要や昨今のサイバー攻撃事情・対策などをまとめました。

サイバー攻撃は個人組織を問わず、ITに係るすべての方が自分事として捉えるべき課題です。

ぜひ本記事も参考に、改めて自身のサイバー攻撃への意識を見直したり、組織のセキュリティ対策が十分であるか等を確認してみてはいかがでしょうか。

またサイバーセキュリティを扱う「エムオーテックス（MOTEX）」では、誰でも気軽に組織のセキュリティ課題・レベルが確認できる「サイバー攻撃対策チェックシート」をご用意しました。「自社のセキュリティレベルを簡単に確認したい」という方、ぜひご活用ください。