一口にサイバー攻撃といっても、その手口は多岐にわたります。

マルウェアによる感染をはじめ、フィッシング詐欺やWebアプリケーションの脆弱性を悪用する手法、認証情報を窃取するものなど、攻撃者はさまざまな手法を組み合わせて企業や組織を狙っています。

さらに近年では、生成AIの普及に伴い、AIを悪用した新たな攻撃手法も登場しています。

こうした脅威から企業・組織の情報資産を守るためには、それぞれの特徴や仕組みを理解し、自社の環境に応じた適切なセキュリティ対策を講じることが重要です。

本記事では、代表的なサイバー攻撃を39種類取り上げ、それぞれの特徴や攻撃手法、想定される被害、対策のポイントを分かりやすく解説します。

「セキュリティ対策を強化したい」「最新のサイバー攻撃について理解を深めたい」という方は、ぜひ最後までご覧ください。

企業が知っておくべきサイバー攻撃とは

企業を狙うサイバー攻撃は、その目的や手法によってさまざまな種類に分類されます。

攻撃者はマルウェアへの感染や認証情報の窃取、Webアプリケーションの脆弱性の悪用など、複数の手法を組み合わせて企業や組織への侵入や情報窃取を試みます。

また、近年では生成AIを悪用した攻撃も登場しており、企業が警戒すべき脅威は年々多様化しています。

そのため、個々の攻撃手法だけでなく、「どのような目的で行われる攻撃なのか」「どの領域を狙った攻撃なのか」を理解することが重要です。

本記事では、代表的なサイバー攻撃を以下の7つのカテゴリに分けて紹介します。

カテゴリ	具体的な攻撃
マルウェアによる攻撃	・マルウェア ・ランサムウェア ・Emotet
初期侵入を目的とした攻撃	・フィッシング ・スミッシング ・ビッシング ・クイッシング ・ビジネスメール詐欺 ・スパムメール ・ClickFix ・水飲み場型攻撃 ・ドライブバイダウンロード
認証情報を狙う攻撃	・ブルートフォース攻撃 ・パスワードリスト攻撃 ・パスワードスプレー攻撃 ・リバースブルートフォース攻撃 ・辞書攻撃
Webアプリケーションへの攻撃	・SQLインジェクション ・XSS ・CSRF ・OSコマンドインジェクション ・バッファオーバーフロー ・ディレクトリトラバーサル ・クリックジャッキング
ネットワーク・通信を狙う攻撃	・DDoS ・F5アタック ・中間者攻撃 ・MiTB ・AiTM ・リプレイ攻撃 ・IPスプーフィング ・スニッフィング ・ポートスキャン
組織を狙う高度なサイバー攻撃	・標的型攻撃 ・APT攻撃 ・サプライチェーン攻撃 ・踏み台攻撃
AIを悪用したサイバー攻撃	・プロンプトインジェクション ・データポイズニング

ここからは、それぞれの攻撃の特徴や手口、対策のポイントについて詳しく解説します。

マルウェアによる攻撃

マルウェアによる攻撃とは、悪意のあるソフトウェアを端末やシステムに侵入させ、情報の窃取やシステムの破壊、遠隔操作などを行うサイバー攻撃です。

ここでは、マルウェアの概要に加え、代表的なマルウェアである「ランサムウェア」と「Emotet」について解説します。

マルウェア

マルウェア（malware）とは、コンピューターやネットワークに対して不正な動作を行う悪意のあるソフトウェアの総称です。

攻撃者はメールの添付ファイルや不正なWebサイト、ソフトウェアの脆弱性などを悪用してマルウェアを端末へ侵入させ、機密情報の窃取やシステムの破壊、端末の乗っ取りなどを行います。

マルウェアにはさまざまな種類があり、ウイルスやトロイの木馬、ランサムウェア、スパイウェアなどもマルウェアに分類されます。

ランサムウェア攻撃

ランサムウェアは、マルウェアの一種で、端末やサーバーに保存されたファイルを暗号化したり、システムをロックしたりすることで利用できない状態にし、復旧と引き換えに身代金（ランサム）を要求するサイバー攻撃です。

近年では、「暗号化を解除してほしければ身代金を支払え」と脅迫するだけでなく、「支払いに応じなければ窃取したデータを公開する」と脅す「二重恐喝（ダブルエクストーション）」も登場しています。

Emotet

Emotet（エモテット）は、主にメールの添付ファイルやURLを介して感染を広げるマルウェアです。

過去のメールのやり取りを引用したり、取引先や知人になりすましたりするなど巧妙な手口を用いるため、受信者が不審に思わず添付ファイルを開いてしまうケースが少なくありません。

Emotetに感染すると、認証情報やアドレス帳などの情報が窃取されるほか、ほかのマルウェアをダウンロードする「踏み台」として悪用されることもあり、被害が拡大する恐れがあります。

初期侵入を目的とした攻撃

サイバー攻撃の中には、メールやSMS、電話、Webサイトなどを利用して利用者をだまし、企業の端末やシステムへの初期侵入を試みるものがあります。

こうした攻撃は、認証情報の窃取やマルウェア感染をはじめ、その後のさまざまなサイバー攻撃の足掛かりとして悪用されます。

ここでは、「フィッシング」に加え、初期侵入を目的とした代表的な攻撃手法について解説します。

フィッシング

フィッシングとは、実在する企業やサービスを装ったメールなどを送りつけ、偽のWebサイト（フィッシングサイト）へ誘導し、認証情報やクレジットカード情報などを入力させて盗み取る手口です。

生成AIが普及した昨今では、違和感が少ない自然で説得力のあるメールを作成したり、正規サイトと見分けがつかないほど精巧なフィッシングサイトを構築したりなど、手口がますます巧妙化しています。

なお、窃取された認証情報は、不正ログインや不正送金に悪用されるだけでなく、ランサムウェア攻撃などのさらなるサイバー攻撃の足掛かりとして悪用されるケースもあり、危険性は年々高まっています。

スミッシング

スミッシングとは、SMS（ショートメッセージサービス）を悪用したフィッシングの一種です。

手口はフィッシングとほぼ同様で、金融機関や通信事業者、配送事業者などを装ったSMSを送りつけ、メッセージ内のリンクからフィッシングサイトへ誘導し、認証情報などを窃取します。

SMSは、メールと比較すると迷惑メッセージが届く機会が少なく、開封率が高い傾向にあります。

攻撃者は、この利用者のSMSに対する警戒心の低さを悪用して攻撃を仕掛けます。

ビッシング（ボイスフィッシング）

ビッシング（ボイスフィッシング）とは、電話を悪用したフィッシングの一種です。

攻撃者は銀行やサポート窓口などを装って電話をかけ、認証情報やワンタイムパスワードなどの重要な情報を聞き出します。

例えば、銀行を装った自動音声で「ログインIDの更新が必要です」などと案内した後、担当者を名乗る人物へ通話を転送し、認証情報を聞き出す手口があります。

近年では、企業を標的としたビッシングも増加しており、窃取した認証情報を悪用して法人口座から不正送金が行われる被害も報告されています。

クイッシング

クイッシングとは、QRコードを悪用したフィッシングの一種です。

攻撃者は、作成したQRコードを読み取らせることで利用者をフィッシングサイトへ誘導し、認証情報やクレジットカード情報などを窃取します。

メールやSMSによるフィッシングでは、URLから不審な点に気付ける場合がありますが、QRコードは読み取るまで遷移先を確認しづらく、不審なサイトへ誘導されても気付きにくいという特徴があります。

ビジネスメール詐欺

​ビジネスメール詐欺（BEC）とは、取引先企業や自社の経営陣などになりすまし、偽のビジネスメールを送信して不正な送金や機密情報の提供を促す攻撃手法です。

例えば、取引先になりすまして「弊社の利用銀行変更に伴い、今後の振込先口座を下記の通り変更させていただきます。」などのメールを送り、偽の口座へ送金させようとします。

ビジネスメール詐欺は企業・組織を標的とするため、個人向けの詐欺と比較して被害額が高額になりやすい傾向があります。

スパムメール

​スパムメールとは、不特定多数に対して大量に送信される迷惑メールのことです。

多くは広告や宣伝を目的としていますが、中にはフィッシングサイトへ誘導するURLやマルウェアを仕込んだ添付ファイルを含み、認証情報の窃取やマルウェア感染を狙うものもあります。

また、不安や緊急性をあおる内容で利用者の判断力を鈍らせ、不正なリンクのクリックや添付ファイルの開封を促すケースも少なくありません。

ClickFix

ClickFixとは、偽のエラーメッセージや偽のCAPTCHA認証画面を表示し、利用者自身に悪意のあるコマンドを実行させるソーシャルエンジニアリング攻撃です。

例えば、偽のCAPTCHA認証画面では、「ロボットではないことを証明するために、次の手順を実行してください」と表示し、「Windowsキー + Rキー」を押した後、「Ctrlキー + Vキー」でコマンドを貼り付けるよう指示します。

利用者が指示どおりに操作すると、マルウェアに感染したり、認証情報などの重要な情報が窃取されたりする恐れがあります。

水飲み場型攻撃

水飲み場型攻撃とは、攻撃対象となる企業や個人が日常的に利用するWebサイトをまず特定し、そのサイトを改ざんすることで、マルウェアへ感染させる攻撃手法です。

利用者は正規のWebサイトにアクセスしたつもりでも、不正なスクリプトなどによってマルウェアへ感染してしまう恐れがあります。

Webサイトを悪用する点は後述するドライブバイダウンロードと共通していますが、水飲み場型攻撃は特定の企業や組織、個人を標的として実施される点が特徴です。

ドライブバイダウンロード

ドライブバイダウンロードとは、不正なWebサイトや改ざんされたWebサイトへアクセスした利用者を、マルウェアへ感染させる攻撃手法です。

利用者がサイトにアクセスすると、不正なスクリプトが自動的に実行され、利用者が気付かないうちにマルウェアがダウンロード・実行されることがあります。

水飲み場型攻撃と同様にWebサイトを悪用する攻撃ですが、ドライブバイダウンロードは不特定多数を対象とするケースが多い点が特徴です。

認証情報を狙う攻撃

認証情報を狙う攻撃とは、IDやパスワードなどの認証情報を窃取したり推測したりすることで、企業のシステムやサービスへの不正ログインを試みるサイバー攻撃です。

認証情報が漏洩すると、不正アクセスや情報漏洩だけでなく、ランサムウェア攻撃などのさらなるサイバー攻撃につながる恐れがあります。

ここでは、認証情報を狙う代表的な攻撃手法について解説します。

ブルートフォース攻撃

ブルートフォース攻撃（総当たり攻撃）とは、IDを固定し、そのIDに対して考えられるすべてのパスワードの組み合わせを順番に試すことで、不正ログインを試みるサイバー攻撃です。

攻撃者は専用のツールを用いてログイン試行を自動化するため、短時間で大量のパスワードを試行します。

そのため、桁数が少ないパスワードや単純な英数字の組み合わせを設定している場合は、短時間でパスワードを特定され、不正ログインを許してしまう恐れがあります。

パスワードリスト攻撃

パスワードリスト攻撃とは、攻撃者がどこかで不正に入手したIDとパスワードの組み合わせ（認証情報リスト）を利用して、複数のサービスへの不正ログインを試みる攻撃手法です。

攻撃者は、他のサービスやWebサイトから流出した認証情報をさまざまなサービスで試行します。

そのため、複数のサービスで同じID・パスワードを使い回している場合、一度認証情報が漏洩すると、複数のアカウントが不正ログインの被害に遭う恐れがあります。

パスワードスプレー攻撃

パスワードスプレー攻撃とは、多数のアカウントに対して、同じパスワードを用いて不正ログインを試みる攻撃手法です。

例えば、「password000」や「Password123」など、推測されやすいパスワードを多数のIDに対して順番に試行します。

なお、短時間に大量のログイン試行を行うと不正アクセスとして検知される可能性があるため、一定の時間を空けながら攻撃を繰り返し、検知を回避しようとするケースが一般的です。

リバースブルートフォース攻撃

リバースブルートフォース攻撃とは、パスワードを固定し、そのパスワードに対して複数のIDを順番に試すことで、不正ログインを試みる攻撃手法です。

ブルートフォース攻撃がひとつのIDに対して複数のパスワードを試すのに対し、リバースブルートフォース攻撃は1つのパスワードに対して複数のIDを試すことから、「リバース（逆）」ブルートフォース攻撃と呼ばれています。

攻撃者はIDを変更しながらログインを試行するため、IDごとのログイン失敗回数を基準としたアカウントロックなどの対策を回避しやすいという特徴があります。

辞書攻撃

辞書攻撃とは、人間がパスワードとして設定しやすい単語や人名、よく使われるパスワードなどをまとめたリスト（辞書）を用いて、不正ログインを試みる攻撃手法です。

ブルートフォース攻撃が考えられるすべてのパスワードを総当たりで試すのに対し、辞書攻撃ではパスワードとして利用されやすい文字列に絞ってログインを試行します。

そのため、「password」や「123456」、「名前＋誕生日」などの推測されやすいパスワードを設定している場合は、ブルートフォース攻撃よりも効率的に認証を突破される恐れがあります。

Webアプリケーションへの攻撃

Webアプリケーションへの攻撃とは、WebサイトやWebアプリケーションの脆弱性を悪用し、不正な処理を実行させたり、情報を窃取したりするサイバー攻撃です。

企業のWebサイトやWebアプリケーションは、顧客情報や個人情報などの重要なデータを扱っています。

そのため、攻撃が成功すると情報漏洩やWebサイトの改ざん、不正アクセスなどの重大な被害につながる恐れがあります。

ここでは、Webアプリケーションを標的とする代表的な攻撃手法について解説します。

SQLインジェクション攻撃

SQLインジェクション攻撃とは、WebサイトやWebアプリケーションの脆弱性を悪用し、不正なSQL文を実行させるサイバー攻撃です。

SQLとは、データベースを操作するための言語です。

攻撃者は入力フォームなどに不正なSQL文を送り込み、本来は実行されるはずのないデータベース操作を実行させます。

その結果、データベースに保存された個人情報や機密情報が窃取されたり、データの改ざん・削除が行われたりする恐れがあります。

クロスサイトスクリプティング（XSS）

クロスサイトスクリプティング（XSS）攻撃とは、攻撃者が悪意のあるスクリプトをWebページに埋め込み、そのページを閲覧した利用者のブラウザ上でスクリプトを実行させる攻撃手法です。

悪意のあるスクリプトは正規のWebサイト上で実行されるため、利用者はもちろん、場合によってはサイト管理者であっても不正な動作に気付きにくいという特徴があります。

その結果、Cookie情報の窃取やセッションハイジャック、利用者へのなりすましによる不正操作などの被害につながる恐れがあります。

クロスサイトリクエストフォージェリ（CSRF）

クロスサイトリクエストフォージェリ（CSRF）攻撃とは、Webアプリケーションへのリクエストを偽装することで、利用者に意図しない操作を実行させる攻撃手法です。

例えば、銀行のWebアプリケーションにログインした状態で不審なメールを開き、攻撃者が用意した不正なWebサイトへアクセスすると、銀行のWebアプリケーションに不正なリクエストが自動的に送信され、利用者の口座から攻撃者の口座へ不正送金が行われることがあります。

CSRF対策が実装されていないWebアプリケーションでは、正規の利用者によるリクエストと攻撃者が偽装したリクエストを区別できないため、このような攻撃が成立する恐れがあります。

OSコマンドインジェクション

OSコマンドインジェクション攻撃とは、Webサーバーへのリクエストに不正なOSコマンドを注入し、Webサーバー上で意図しない命令を実行させる攻撃手法です。

攻撃者は、例えば、Webサイトのお問い合わせフォームなどに、「ファイルを削除する」「ファイル一覧を表示する」といった不正なOSコマンドを紛れ込ませて送信します。

Webアプリケーションが入力内容を適切に検証せず、そのままOSコマンドとして実行してしまうと、開発者が意図しない処理がWebサーバー上で実行されます。

その結果、情報漏洩やファイル・データベースの改ざん、マルウェア感染などの被害につながる恐れがあります。

バッファオーバーフロー

バッファオーバーフロー攻撃とは、一時的にデータを保存するための領域（バッファ）の許容量を超えるデータを送りつけ、プログラムやシステムに意図しない動作を引き起こすサイバー攻撃です。

古くから知られる攻撃手法ですが、現在でも脆弱性を持つシステムでは被害が発生する恐れがあります。

攻撃に成功すると、システムの停止や任意のプログラムの実行、管理者権限の奪取など、深刻な被害につながる可能性があります。

ディレクトリトラバーサル

ディレクトリトラバーサル攻撃とは、本来アクセスできないディレクトリへ不正に移動し、非公開のファイルやディレクトリへアクセスするサイバー攻撃手法です。

攻撃者は「../」などの特殊な文字列を悪用してディレクトリを移動し、アクセスが制限されているファイルの閲覧や取得を試みます。

攻撃に成功すると、顧客情報やデータベースの設定ファイルなどの機密情報が漏洩したり、設定ファイルやシステムデータが改ざん・削除されたりする恐れがあります。

クリックジャッキング

クリックジャッキング攻撃とは、Webサイト上に透明なボタンや偽装したリンクなどを重ねて表示し、利用者をだまして意図しない操作を実行させるサイバー攻撃です。

例えば、「続きを見る」ボタンをクリックしたつもりでも、実際には透明なボタンや別のリンクが重ねられており、意図しない設定変更やマルウェアのダウンロード、情報の送信などが実行されることがあります。

その結果、不正な設定変更や情報漏洩、マルウェア感染などの被害につながる恐れがあります。

ネットワーク・通信を狙う攻撃

ネットワーク・通信を狙う攻撃とは、ネットワーク機器や通信経路の脆弱性を悪用し、サービスの停止や通信内容の盗聴・改ざん、不正アクセスなどを行うサイバー攻撃です。

従来は、社内ネットワークとインターネットの境界を保護し、外部からの不正アクセスを防ぐ「境界防御」がセキュリティ対策の中心でした。

しかし、クラウドサービスの普及やリモートワークの拡大により、社内外を問わずネットワークを介して業務システムへアクセスすることが一般的となり、境界防御だけでは十分なセキュリティを確保することが難しくなっています。

そのため、ネットワークや通信経路が攻撃を受けると、業務停止や情報漏洩、不正アクセスなどの重大な被害につながる恐れがあります。

ここでは、ネットワークや通信を狙う代表的な攻撃手法について解説します。

DDoS攻撃・DoS攻撃

DDoS攻撃とは、複数のデバイスから攻撃対象のサーバーやWebサイトに対して大量の通信を送り付け、サーバーやネットワークに過剰な負荷をかけることで、サービスの遅延や停止を引き起こすサイバー攻撃です。

従来はネットワーク層やトランスポート層を標的とする攻撃が主流でしたが、近年ではこれらに加え、Webアプリケーションが動作するアプリケーション層も狙う「混成型」の攻撃が増えています。

なお、複数のデバイスから攻撃を行うものをDDoS攻撃、単一のデバイスから攻撃を行うものをDoS攻撃と呼びます。

F5アタック

F5アタックとは、Webサイトを繰り返しリロード（再読み込み）することで、大量のリクエストをサーバーへ送り付け、サービスの遅延や停止を引き起こす攻撃手法です。

「F5アタック」という名称は、Windows環境でF5キーがWebページのリロード（更新）に割り当てられていることに由来しています。

リロードが短時間に繰り返されると、サーバーに大きな負荷がかかり、サービスが利用しづらくなったり停止したりする恐れがあります。

中間者攻撃（MiTM攻撃）

中間者攻撃（MiTM攻撃）とは、通信を行う二者の間に攻撃者が不正に介入し、通信内容の盗聴や改ざんを行うサイバー攻撃です。

攻撃者が送信者と受信者の間に割り込み、それぞれと別々に通信を行うことで、双方は正規の相手と通信していると思い込んだまま、攻撃者を経由してデータのやり取りを行ってしまいます。

その結果、認証情報や機密情報が盗み見られたり、通信内容が改ざんされたりする恐れがあります。

MiTB攻撃

MiTB攻撃（Man-in-the-Browser攻撃）とは、マルウェアによってWebブラウザを乗っ取り、利用者とWebサーバーとの通信や入力内容を盗聴・改ざんする攻撃手法です。

攻撃者は利用者の端末をマルウェアに感染させることで、ブラウザ上で行われる通信や操作を密かに監視し、認証情報や個人情報を窃取したり、不正なリクエストを送信したりします。

その結果、不正送金や情報漏洩、アカウントの乗っ取りなどの被害につながる恐れがあります。

AiTM攻撃

AiTM（Adversary in the Middle）攻撃とは、「利用者」と「WebサイトやWebサービス」の間に攻撃者が割り込み、認証情報や認証後に発行されるセッションCookieを窃取する攻撃手法です。

一般的には、攻撃者はフィッシングメールなどで利用者を偽のログインページへ誘導し、入力された認証情報をリアルタイムで正規のWebサイトへ中継します。

その結果、正規サイトから発行されたセッションCookieを攻撃者が取得することで、多要素認証（MFA）が設定されている場合でも、利用者になりすましてサービスへアクセスされる恐れがあります。

リプレイ攻撃

リプレイ攻撃とは、正規の利用者とサーバー間でやり取りされた認証時のデータを盗聴し、そのデータをそのままサーバーへ再送信（リプレイ）することで、不正に認証を突破する攻撃手法です。

リプレイ攻撃では、攻撃者は認証時のデータをそのまま再利用するため、IDやパスワードそのものを盗み出す必要はありません。

また、認証データが暗号化されていても、そのデータ自体をコピーして再送信できれば、サーバーが正規の通信と判断してしまう場合があります。

そのため、暗号化だけでは防ぐことが難しいという特徴があります。

IPスプーフィング

IPスプーフィングとは、IPアドレスを偽装して送信元を装い、不正な通信を行う攻撃手法です。

攻撃者は、通信パケットのヘッダーに含まれる送信元IPアドレスを改ざんし、正規の通信を装って接続を試みます。

その結果、IPアドレスによるアクセス制御を回避したり、DoS・DDoS攻撃の送信元を偽装したりするなど、さまざまなサイバー攻撃に悪用される恐れがあります。

スニッフィング

スニッフィングとは、ネットワーク上を流れるパケット（データの単位）を傍受し、通信内容を不正に収集する攻撃手法です。

データは複数のパケットに分割されて送受信されます。

攻撃者はスニッフィングによってこれらのパケットを継続的に取得し、元のデータへ再構築することで通信内容を読み取ります。

その結果、ID・パスワードや個人情報、機密情報などの重要な情報が盗まれる恐れがあります。

ポートスキャン

ポートスキャンとは、ネットワークに接続されたコンピューターやサーバーの各ポート（通信口）へデータを送信し、開いているポートや稼働しているサービスを調査する手法です。

ポートスキャンによって、開放されているポート番号や稼働中のサービス、OSに関する情報などを把握できるため、攻撃者は脆弱性の有無を調査し、その後のサイバー攻撃に向けた偵察や侵入準備に悪用することがあります。

組織を狙う高度なサイバー攻撃

組織を狙う高度なサイバー攻撃とは、特定の企業や組織を標的とし、複数の攻撃手法を組み合わせながら長期間にわたって侵入や情報窃取を試みるサイバー攻撃です。

こうした攻撃では、フィッシングやマルウェア感染、認証情報の窃取など、これまで紹介した攻撃手法が組み合わせて利用されることが少なくありません。

そのため、単一の対策だけで防ぐことは難しく、多層的なセキュリティ対策が求められます。

ここでは、企業や組織を標的とする代表的なサイバー攻撃について解説します。

標的型攻撃

​標的型攻撃とは、特定の企業や組織、個人を標的として行われるサイバー攻撃です。

事前にターゲットに関する情報を綿密に収集し、計画的に攻撃が実施されるため、攻撃の成功率が高い傾向にあります。

代表的な手口の一つが「標的型攻撃メール」です。

攻撃者は取引先などを装ってマルウェアを添付したメールを送り、受信者に添付ファイルを開かせることで端末をマルウェアに感染させます。

その後、感染した端末を踏み台として組織内ネットワークへ侵入し、PCやサーバーから機密情報を窃取します。

APT攻撃

APT（Advanced Persistent Threat）攻撃は、「持続的標的型攻撃」とも呼ばれ、特定の企業や組織を標的として長期間にわたり継続的に攻撃を行うサイバー攻撃です。

APT攻撃では、機密情報や知的財産などを狙い、一度侵入した後も長期間にわたって組織内に潜伏しながら、継続的に情報の窃取や攻撃を行うことが特徴です。

サプライチェーン攻撃

サプライチェーン攻撃とは、セキュリティが強固なターゲット企業を直接狙うのではなく、取引先や委託先など、サプライチェーンの中でも比較的セキュリティが手薄な企業を経由して侵入を図るサイバー攻撃です。

攻撃者は、顧客情報や機密情報などを多く保有する企業への侵入を目的として、まずは踏み台となる関連企業のネットワークへの侵入を試みます。

そこから本来の標的へとアクセスを広げ、被害を拡大させていきます。

この攻撃は、外部からの直接的な攻撃ではなく、信頼関係にあるサプライチェーン企業を経由して行われるため、挙動が検知されにくく、発覚が遅れやすいという特徴があります。

踏み台攻撃

踏み台攻撃とは、攻撃者が第三者のPCやサーバーなどを乗っ取り、それを経由して別のターゲットへ攻撃を仕掛ける手法です。

攻撃は乗っ取られたPCやサーバーを経由して行われるため、真の攻撃者を特定することが難しいという特徴があります。

また、企業・組織のシステムが踏み台として悪用されると、自社が攻撃の加害者となってしまい、社会的信用の失墜や取引先への被害拡大につながる恐れがあります。

AIを悪用したサイバー攻撃

AIを悪用したサイバー攻撃とは、生成AIや機械学習システムを悪用したり、その仕組みを標的にしたりするサイバー攻撃です。

近年では、生成AIの普及に伴い、AIを悪用してフィッシングメールやマルウェアを作成するだけでなく、AIシステムそのものを狙う攻撃も確認されています。

そのため、従来のサイバー攻撃への対策に加え、AIを安全に利用するためのセキュリティ対策も重要になっています。

ここでは、AIに関連する代表的なサイバー攻撃について解説します。

プロンプトインジェクション

プロンプトインジェクションとは、生成AIに対して巧妙に設計されたプロンプトを入力し、システムの設定や制約を回避して、不正なコンテンツを生成させたり、本来公開されるべきでない情報を引き出したりする攻撃手法です。

例えば、業務で利用している生成AIが社内データベースや外部APIと連携している場合、プロンプトインジェクションによって、顧客情報や過去のチャット履歴などの非公開情報が引き出される恐れがあります。

データポイズニング

データポイズニングとは、AIや機械学習モデルの学習データに不正なデータを混入させ、AIの判断を意図的に誤らせるサイバー攻撃です。

攻撃者は学習データを改ざんすることで、AIに誤った判断基準を学習させます。

その結果、本来とは異なる不適切な回答を生成したり、不正検知AIが攻撃を見逃したりするなど、AIの信頼性や安全性を損なう恐れがあります

サイバー攻撃が増加・高度化している理由

近年、サイバー攻撃は件数だけでなく、手口も高度化しています。その背景には、主に次の2つの要因が考えられます。

これらの変化は今後も続くと考えられており、企業には従来以上のセキュリティ対策が求められています。

サイバー攻撃のビジネス化

従来のサイバー攻撃は、一人または少人数の攻撃者が、偵察からマルウェアの開発、侵入、情報の窃取、金銭化までを行うケースが多く、高度な知識や技術が必要でした。

しかし近年では、ランサムウェアを提供する「RaaS」や、マルウェアを提供する「MaaS」など、サイバー犯罪をサービスとして提供する「Cybercrime as a Service（CaaS）」が広がっています。

また、攻撃ツールやマルウェアを提供する組織では、マルウェアの開発や脆弱性の探索、攻撃の実行などが分業化されており、攻撃の専門性や成功率も高まっています。

その結果、サイバー攻撃は増加するとともに、より巧妙化・高度化が進んでいます。

AIの普及

生成AIの普及により、専門知識がなくても短時間でサイバー攻撃に利用できる情報やコンテンツを作成できる環境が整いつつあります。

一般的な生成AIサービスでは、「マルウェアの作成方法を教えて」「詐欺メールを作成して」といった指示に対して、安全対策により回答が制限されています。

しかし、制約を回避するプロンプトを用いたり、安全対策が十分でないAIサービスや犯罪目的で開発されたAIツールを利用したりすることで、攻撃に悪用できる情報が生成されるケースがあります。

その結果、自然で説得力のあるフィッシングメールを大量に作成したり、プログラムの脆弱性の調査を効率化したりするなど、サイバー攻撃の高度化や効率化につながっています。

サイバー攻撃への対策

増加・高度化するサイバー攻撃に対抗するためには、ひとつの対策だけに依存するのではなく、複数の防御層を組み合わせる「多層防御」の考え方が重要です。

企業・組織では、脅威の侵入を防ぐ「入口対策」、侵入後の被害拡大を防ぐ「内部対策」、情報漏洩を防ぐ「出口対策」の3つの領域それぞれに応じた対策を講じる必要があります。

企業・組織が実施すべき代表的なセキュリティ対策は以下のとおりです。

領域	具体的な対策例
入口対策	・脅威の侵入を防ぐセキュリティ対策の導入 ・OS・ソフトウェアの最新化 ・多要素認証の導入
内部対策	・侵入後の脅威を検知し、被害拡大を防ぐセキュリティ対策の導入 ・セキュリティポリシーの策定・運用
出口対策	・情報の持ち出しを防ぐセキュリティ対策の導入 ・従業員への情報セキュリティ教育の実施

これらの対策は、それぞれ役割や目的が異なります。

そのため、ひとつのツールや対策に依存するのではなく、各領域の対策を組み合わせ、多層的にセキュリティを強化することが重要です。

サイバー攻撃対策を支援する「LANSCOPEソリューション」

サイバー攻撃は日々巧妙化しており、単一の対策だけでは十分とはいえません。

企業・組織には、エンドポイントや認証基盤、Webアプリケーションなど、それぞれの領域に応じた多層的なセキュリティ対策が求められます。

ここでは、サイバー攻撃対策に役立つLANSCOPEソリューションをご紹介します。

エンドポイントのセキュリティ強化に「LANSCOPE サイバープロテクション」

マルウェアやランサムウェアなどの脅威からエンドポイントを守るには、未知の脅威にも対応できるセキュリティ対策が重要です。

「LANSCOPE サイバープロテクション」では、未知・亜種のマルウェアであっても高い精度で検知するAIアンチウイルスを提供しています。

お客様の運用体制や課題に応じて、24時間365日の監視・運用まで対応するMDRサービス「Aurora Managed Endpoint Defense」と、AI（ディープラーニング）を活用した次世代アンチウイルス「Deep Instinct」の2つのソリューションから選択できます。

未知のマルウェア対策やエンドポイントセキュリティの強化をご検討中の方は、ぜひ詳細をご覧ください。

パスワード攻撃対策に「LANSCOPE ID アクセスマネージャー」

パスワードリスト攻撃やパスワードスプレー攻撃などの認証情報を狙うサイバー攻撃への対策には、多要素認証やアクセス制御など、認証基盤の強化が欠かせません。

「LANSCOPE IDアクセスマネージャー」は、シングルサインオン（SSO）や多要素認証、パスキー（FIDO2）によるパスワードレス認証に対応したIDaaSです。

さらに、IPアドレス制限やデバイス証明書を利用したアクセス制御にも対応しており、認証情報が漏洩した場合でも不正アクセスのリスクを低減します。

認証のセキュリティ強化とID管理の効率化を実現したい方は、ぜひ詳細をご覧ください。

Webアプリケーションの脆弱性対策に「LANSCOPE プロフェッショナルサービス」

SQLインジェクションやクロスサイトスクリプティング（XSS）など、Webアプリケーションの脆弱性を狙う攻撃を防ぐには、定期的な脆弱性診断が重要です。

「LANSCOPE プロフェッショナルサービス」では、Webアプリケーション脆弱性診断を提供しています。

診断結果では、Webアプリケーションのリスクを可視化するとともに、発見された脆弱性や具体的な対策方法まで分かりやすくご報告します。また、お客様の環境や予算に応じて選べる複数の診断メニューも用意しています。

Webアプリケーションの安全性を高めたい方は、ぜひ詳細をご覧ください。

まとめ

本記事では、代表的な39種類のサイバー攻撃について、それぞれの特徴や手口、対策のポイントを解説しました。

近年は、サイバー攻撃のビジネス化やAIの普及により、高度な知識や技術がなくても攻撃を実行しやすい環境が整いつつあります。

その結果、サイバー攻撃は増加・高度化しており、業種や企業規模を問わず、あらゆる企業・組織が攻撃対象となる可能性があります。

サイバー攻撃による被害を防ぐためには、攻撃ごとの特徴や手口を理解するとともに、多層防御の考え方に基づいたセキュリティ対策を継続的に実施することが重要です。

本記事を参考に、自社のセキュリティ対策を見直し、サイバー攻撃に強い環境づくりにお役立てください。