企業・組織において業務のデジタル化が進む中、不正アクセスやアカウントの乗っ取りをはじめとするサイバー攻撃への対策がますます重要になっています。

こうしたサイバー攻撃に関連して、「ハッキング」という言葉を耳にしたことがある方も多いでしょう。

「ハッキング」とは、本来、コンピューターやシステムに関する技術を研究・改良する行為を指す言葉です。一方、現在では、コンピューターやシステムへ不正に侵入するなど、悪意のある行為を指して使われることも多くあります。

本記事では、企業・組織に被害を及ぼすハッキングについて、代表的な手口や被害の兆候、被害に遭った場合の対処法、事前にできる対策をわかりやすく解説します。

ハッキングの手口やリスクについて理解し、自社・自組織のセキュリティ強化に役立てたい方は、ぜひご一読ください。

ハッキングとは​

「ハッキング」とは、コンピューターやネットワークなどに関する高度な知識や技術を用いて、システムやプログラムを解析・検証したり、改良したりする行為を指す言葉です。

本来、ハッキングという言葉自体に悪意の有無は含まれていません。

しかし現在では、コンピューターやシステムへの不正侵入をはじめ、悪意のある行為を指す意味で「ハッキング」という言葉が使われることも多くあります。

なお、悪意をもってコンピューターやネットワークへ不正に侵入し、データの窃取・改ざん・破壊などを行う行為を「クラッキング」と呼び、ハッキングと区別する場合もあります。

本記事では、一般的な使われ方に合わせ、不正侵入や情報の窃取・改ざんなど、悪意のある行為を含めて「ハッキング」と表記します。

ハッキングの主な手口

ハッキングには、システムの脆弱性を悪用する技術的な手口だけでなく、人の心理や行動につけ込んで認証情報などを盗み取る手口もあります。

ここでは、ハッキングに用いられる代表的な手口を4つ紹介します。

詳しく確認していきましょう。

認証を不正に突破する

ハッキングの代表的な手口のひとつして、ID・パスワードなどを悪用して認証を不正に突破する攻撃が挙げられます。

攻撃者は、パスワードの組み合わせを繰り返し試すなどの方法で認証を突破し、他人のアカウントへの不正ログインを試みます。

不正ログインに成功すると、アカウントに保存されている情報を閲覧・窃取されたり、アカウントを乗っ取られたりする恐れがあります。

認証を不正に突破する代表的な攻撃には、以下のようなものがあります。

ブルートフォース攻撃 （総当たり攻撃）	・想定される全てのパスワードのパターンを総当たりで入力し、不正に認証の突破を試みるサイバー攻撃
辞書攻撃	・パスワードに使われやすい単語や文字列などをあらかじめリスト化し、それらを順番に試して認証の突破を試みる攻撃

人の心理や行動の隙につけ込む

ハッキングには、システムの脆弱性を突く技術的な手口だけでなく、人の心理や行動につけ込んで情報を盗み取る手口もあります。

例えば、攻撃者が関係者になりすまして電話をかけ、パスワードなどの重要な情報を聞き出したり、PCの画面やキーボード操作を盗み見して認証情報を入手したりする手口があります。

このように、人をだましたり、人の心理や行動の隙につけ込んだりして、機密情報や認証情報などを不正に入手する手法は「ソーシャルエンジニアリング」と呼ばれます。

ソーシャルエンジニアリングには、対面や電話、盗み見などの手口だけでなく、偽のメールやWebサイトを使って認証情報などを入力させるフィッシングなど、インターネットを利用した手口も含まれます。

脆弱性を悪用する

OSやソフトウェア、ネットワーク機器などに存在する脆弱性（セキュリティ上の弱点）を悪用し、システムへの不正侵入や情報の窃取などを行う手口があります。

脆弱性を悪用する攻撃のひとつとして、「ゼロデイ攻撃」が挙げられます。

ゼロデイ攻撃とは、脆弱性が発見されてから、開発元などによる修正プログラムの提供や対策が行われるまでの期間に、その脆弱性を悪用する攻撃を指します。

修正プログラムが提供されていない段階では脆弱性そのものを解消することが難しいため、特に注意が必要です。

また、Webサイトや業務システムなどのWebアプリケーションに存在する脆弱性を悪用し、情報の窃取やデータの改ざんなどを試みる攻撃もあります。

Webアプリケーションの脆弱性を狙った代表的な攻撃として、SQLインジェクションやクロスサイトスクリプティング（XSS）が挙げられます。

SQLインジェクション	・ Webアプリケーションに不正なSQL文を含む入力を与えることで、データベースを不正に操作し、情報の窃取やデータの改ざんなどを行う攻撃
クロスサイトスクリプティング	・ Webサイトの脆弱性を悪用して悪意のあるスクリプトを実行させ、利用者のブラウザ上で不正な処理を行う攻撃

マルウェアに感染させる

攻撃者が標的の端末をマルウェアに感染させ、情報の窃取や遠隔操作などを行う手口があります。

マルウェアとは、コンピューターやシステムに不正な動作をさせたり、情報を盗み取ったりする目的で作られた悪意のあるソフトウェアの総称です。ランサムウェアやトロイの木馬など、さまざまな種類があります。

攻撃者は、不正なメールの添付ファイルやリンク、改ざんされたWebサイトなどを悪用して、標的の端末をマルウェアに感染させます。

感染するマルウェアの種類によって被害は異なり、例えば端末内の認証情報を盗まれたり、端末を遠隔操作されたりする恐れがあります。

ハッキングによる被害

企業・組織がハッキングの被害を受けると、情報漏洩や金銭的な損失だけでなく、顧客・取引先からの信用低下など、事業活動にさまざまな影響が及ぶ恐れがあります。

ハッキングによって生じる主な被害として、以下が挙げられます。

以下では、それぞれの被害について詳しく解説します。

情報漏洩

ハッキングによってシステムへ不正に侵入されると、顧客情報や従業員の個人情報、社外秘の情報など、企業・組織が保有する重要な情報を不正に閲覧・窃取される恐れがあります。

顧客や取引先に関する情報が漏洩した場合、企業の信用が低下し、顧客離れや取引の停止などにつながる可能性があります。

また、漏洩した情報の内容によっては、被害状況の調査や関係者への対応なども必要になります。

金銭的な損失

ハッキングは、企業・組織に金銭的な損失をもたらすこともあります。

例えば、オンラインバンキングの認証情報などが盗まれると、攻撃者による不正送金などの被害につながる恐れがあります。

また、ランサムウェアによってファイルやシステムが暗号化され、復旧などと引き換えに身代金を要求されるケースもあります。

さらに、ハッキングによってシステム障害や業務停止が発生すると、売上機会の損失に加えて、原因調査やシステムの復旧、セキュリティ対策などに費用がかかる可能性もあります。

アカウントの乗っ取り・なりすまし

ハッキングによって企業・組織が利用するメールやSNSなどのアカウントを乗っ取られると、攻撃者が企業・組織になりすまし、顧客や取引先へフィッシングメールや不正なメッセージを送信することがあります。

正規のアカウントから送られたメールやメッセージは、受信者が不正なものだと見抜くことが難しく、顧客や取引先にまで被害が広がりかねません。

また、アカウントの乗っ取りによって顧客や取引先に被害が及んだ場合、企業・組織には事実関係の調査や関係者への説明などの対応が求められます。

被害の状況や企業・組織のセキュリティ対策などによっては、法的責任が問題となるケースも考えられるでしょう。

Webサイトやシステムの改ざん

ハッキングによって、企業・組織のWebサイトやシステムに保存されている情報を不正に書き換えられることもあります。

例えば、企業の公式サイトが不正に改ざんされると、攻撃者によって虚偽の情報を掲載されたり、閲覧者がフィッシングサイトなどの不正なWebサイトへ誘導されたりする危険性があります。

こうした改ざんによって、Webサイトやシステムの利用者にまで被害が拡大するケースも考えられます。さらに、企業・組織が攻撃の被害者であっても、顧客や取引先からの信用を失い、ブランドイメージの悪化につながりかねません。

ハッキングの兆候

ハッキングの被害を受けた場合、アカウントや端末などに、通常とは異なる挙動が見られることがあります。

例えば、以下のような兆候が見られた場合は、ハッキングが疑われます。

ハッキングによる被害を最小限に抑えるためには、こうした兆候を早期に発見し、適切に対処することが重要です。

以下では、それぞれの兆候について詳しく解説します。

身に覚えのない利用履歴がある

アカウントやサービスに身に覚えのない利用履歴が残っている場合、不正アクセスやアカウントの乗っ取りが発生している可能性があります。

例えば、銀行口座やクレジットカードの利用履歴に心当たりのない取引が記録されている、自身のメールアカウントから送った覚えのないメールが送信されているといったケースです。

このような不審な利用履歴が確認された場合は、第三者にアカウントを不正利用されている可能性を考え、速やかに状況を確認する必要があります。

見知らぬアプリ・ソフトウェアがインストールされている

不審なメールの添付ファイルを開いたり、信頼できないWebサイトからソフトウェアをダウンロードしたりしたことをきっかけに、マルウェアなどが端末へ侵入するケースがあります。

その結果、利用者がインストールした覚えのないアプリやソフトウェアが端末上で見つかることもあります。

見知らぬアプリやソフトウェアがインストールされている場合は、マルウェアへの感染などが疑われるため、注意が必要です。

心当たりのない通知が届く

利用した覚えのない端末や場所からのログイン通知、心当たりのないパスワード変更通知などが届いた場合は、第三者による不正アクセスが発生している可能性があります。

特に、自分で操作していないにもかかわらず、パスワードやメールアドレスなどの認証に関わる情報が変更されている場合は、アカウントの乗っ取りが疑われます。

アカウントを乗っ取られると、正規の利用者がログインできなくなったり、攻撃者にアカウントを不正利用されたりする恐れがあるため、速やかな対処が必要です。

ハッキングが疑われる場合の対処法

前述したようなハッキングの兆候が見られた場合は、被害の拡大を防ぐため、速やかに状況を確認し、適切に対処することが重要です。

また、原因や被害範囲を正確に把握するため、端末やログなどに残された証拠の保全も必要になります。

ここではハッキングが疑われる場合に取るべき5つの対応を紹介します。

それぞれの対応について詳しく解説します。

ネットワークからの隔離

ハッキングの被害を受けている可能性がある端末は、必要に応じてネットワークから隔離します。

例えば、有線接続の場合はLANケーブルを抜き、無線接続の場合はWi-Fiをオフにするなどの方法があります。VPNで社内ネットワークなどに接続している場合は、VPNの切断も検討します。

ネットワークから隔離することで、攻撃者との不正な通信や情報の外部送信、ほかの端末への被害拡大などを抑えられる可能性があります。

ただし、端末の電源を切ったり再起動したりする方法では、メモリ上に残された情報など、原因調査に必要な証拠が失われる可能性があります。

そのため、自己判断で実施せず、企業・組織で定められたインシデント対応手順に従い、判断に迷う場合は情シスやCSIRT、セキュリティ担当者などに確認しましょう。

セッションの切断とパスワード変更

アカウントの乗っ取りが疑われる場合は、安全性が確認されている別の端末から対象のサービスへアクセスし、ログイン中のセッションを切断しましょう。

セッションを切断することで、攻撃者がログイン状態を維持したままアカウントを操作し続けることを防げます。そのうえでパスワードを変更し、攻撃者が古いパスワードを使って再びログインできないようにすることが重要です。

また、同じパスワードを別のサービスでも使用している場合は、それらのアカウントについても速やかにパスワードを変更する必要があります。

例えば、メールとビジネスチャットなど、用途や提供元が異なるサービスであっても、同じ認証情報を使い回している場合は注意が必要です。

攻撃者は、窃取した認証情報を使って、ほかのサービスへのログインを試みる可能性もあるため、「別のサービスだから」と対応を後回しにしないようにしましょう。

他にも、多要素認証を利用できるサービスでは、多要素認証を有効にすることで、パスワードが漏洩した場合の不正ログイン対策を強化できます。

関係者への報告・情報共有

ハッキングが疑われる兆候を発見した場合は、自分だけで判断・対処せず、組織内で定められたルールに従って速やかに報告することが重要です。

例えば、上長や情報システム部門、セキュリティ担当者、CSIRTなどに状況を共有します。

早い段階で情報を共有することで、被害範囲の確認やほかの端末への影響調査など、組織として必要な対応を進めやすくなります。

また、個人データの漏洩などが発生した場合、事案の内容によっては、個人情報保護法に基づき個人情報保護委員会への報告や本人への通知が必要です。報告・通知の要否を確認し、必要に応じて適切に対応しましょう。

証拠の保全

企業・組織でハッキングの被害が発生した場合、原因や被害範囲の調査、再発防止策の検討などに備えて、証拠を保全することが重要です。

例えば、以下のようなログは、攻撃経路や影響範囲を調査するための重要な情報となります。

ログだけでなく、不審なメールやファイル、発生した日時、発見時の端末の状態なども調査に役立つ場合があります。

証拠となる情報を不用意に削除・変更せず、組織のインシデント対応手順に従って保全しましょう。

専門機関への相談

ハッキングによって不正送金やクレジットカードの不正利用などが発生した場合は、利用している金融機関やクレジットカード会社へ速やかに連絡します。

被害の内容に応じて、警察などの関係機関への相談も検討しましょう。

また、自社だけで原因や被害範囲を特定することが難しい場合は、セキュリティベンダーなどの専門家に相談し、インシデント調査や復旧の支援を受けることも有効です。

ハッキングへの対策

前述の通り、ハッキングには、システムの脆弱性を悪用するなどの技術的な手口だけでなく、人の心理や行動につけ込む手口もあります。

そのため、ハッキングによる被害を防ぐには、セキュリティ製品の導入やシステムの設定といった技術面での対策に加えて、従業員への教育や社内ルールの整備など、組織面での取り組みも欠かせません。

さらに、技術面では単一の対策だけに頼るのではなく、複数の対策を組み合わせて防御する「多層防御」の考え方が重要です。

以下では、ハッキングのリスクを低減するための具体的な対策について解説します。

多要素認証の導入

多要素認証（MFA）とは、本人確認を強化するために、「知識情報」「所持情報」「生体情報」のうち、異なる2つ以上の要素を組み合わせて認証する仕組みです。

知識情報	パスワードなどの特定のユーザーのみが知っている情報
所持情報	スマートフォンやICカードなど利用者本人が所持している情報
生体情報	指紋や静脈、顔、虹彩など、本人固有の身体情報

多要素認証を導入することで、仮にパスワードが漏洩したとしても、認証を完了するには別の要素が必要になるため、不正アクセスのリスクを低減できます。

認証情報を狙う攻撃の手口が巧妙化する中、多要素認証は不正アクセスを防ぐための重要な対策のひとつとなっています。

利用しているサービスが多要素認証に対応している場合は積極的に有効化し、不正アクセスのリスク低減につなげましょう。

エンドポイントセキュリティの強化

エンドポイントとは、パソコンやスマートフォン、サーバーなど、ネットワークに接続して利用する端末や機器を指します。

エンドポイントは、従業員が日常的に利用し、インターネットやメールなどを通じて外部と接する機会も多いため、サイバー攻撃の侵入口になりやすい傾向があります。

このエンドポイントを保護する代表的な対策のひとつが、アンチウイルスの導入です。

アンチウイルスとは、端末に侵入したマルウェアなどを検知し、隔離・駆除するためのセキュリティソリューションです。

一方、サイバー攻撃の手口は高度化・巧妙化しており、既知のマルウェアを検知するだけでは防ぎきれない攻撃も存在します。

そのため、企業・組織にはマルウェアの侵入や実行を防ぐ対策だけでなく、エンドポイント上の不審な挙動を早期に検知し、被害の拡大を抑える対策も求められます。

こうした侵入後の検知や対応を支援するのが、EDRです。

EDRは、エンドポイント上の挙動を監視・記録し、不審な活動の検知や調査、対応につなげます。

アンチウイルスやEDRなど、それぞれ役割の異なる対策を組み合わせ、エンドポイントを多層的に保護することが重要です。

セキュリティパッチの迅速な適用

OSやアプリケーションの開発元は、脆弱性の修正などを目的としたセキュリティパッチを提供しています。

このセキュリティパッチを適用せずに放置してしまうと、修正されていない脆弱性を攻撃者に悪用される恐れがあります。

そのため、公開されたセキュリティパッチは、業務への影響などを確認したうえで速やかに適用することが重要です。

特に業務で使用しているOSやソフトウェアは、更新の有無を定期的に確認しましょう。

自動更新機能を利用できる場合は活用するなど、セキュリティパッチを適切に適用し、最新の状態を維持することが重要です。

脆弱性診断の実施

脆弱性診断とは、システムやネットワーク、アプリケーションなどに存在する脆弱性（セキュリティ上の弱点）を検出し、そのリスクを評価する取り組みです。

サイバー攻撃では、システムやアプリケーションなどに残された脆弱性が悪用され、不正アクセスなどにつながることがあります。

そのため、定期的に脆弱性診断を実施して潜在的な脆弱性を把握し、必要な修正や対策を講じることで、脆弱性を悪用されるリスクを低減することが重要です。

不正アクセス検知システムの導入

ネットワーク上の不審な通信や攻撃の兆候を検知する仕組みを導入することで、ハッキングによる被害の早期発見や拡大防止が期待できます。

不正アクセス検知システムの代表例として、IDSやIPSが挙げられます。

IDSはネットワークなどを監視し、不正アクセスや攻撃とみられる通信を検知すると、管理者へ通知するシステムです。管理者が早期に異常を把握できるため、原因調査や対処を迅速に進めやすくなります。

一方、IPSは不正な通信を検知するだけでなく、通信の遮断などを自動的に行い、攻撃を防御する役割も担います。

IDSやIPSを活用して不審な通信を早期に検知し、必要に応じて遮断することで、ハッキングによる被害の拡大を抑えることが可能です。

従業員への情報セキュリティ教育の実施

従業員のセキュリティ意識を高めることも、ハッキングによる被害を防ぐうえで欠かせない取り組みです。

従業員がサイバー攻撃の手口やリスクを十分に理解していないと、不審なメールの添付ファイルやリンクを開いたり、推測されやすいパスワードを設定したりするなど、ハッキングにつながる行動を取ってしまう可能性があります。

こうした人的な要因によるリスクを低減するため、企業・組織では従業員への情報セキュリティ教育を定期的に実施することが重要です。

例えば、以下のような内容を取り入れることが推奨されます。

さらに、教育で得た知識を実際の行動につなげるため、攻撃メールを模した訓練を実施することも有効です。

訓練を通じて従業員が適切に対応できるかを確認することで、教育が不十分な点や社内の対応体制における課題を把握し、その後の改善につなげられるでしょう。

ハッキング対策に有効な「LANSCOPE プロフェッショナルサービス」

ここまで紹介したように、ハッキングによる被害を防ぐためには、複数のセキュリティ対策を組み合わせて実施することが重要です。

一方で、自社のシステムにどのような脆弱性が潜んでいるのか、現在のセキュリティ対策でサイバー攻撃をどこまで防げるのかを、自社だけで正確に把握することは容易ではありません。

そこで有効なのが、セキュリティの専門家による脆弱性診断やペネトレーションテストです。第三者の視点から自社の弱点や攻撃への耐性を確認することで、優先的に取り組むべき対策を明確にできます。

「LANSCOPE プロフェッショナルサービス」では、さまざまなサイバー攻撃への対策に役立つセキュリティサービスを提供しています。

ここでは、自社のセキュリティリスクを把握し、対策の強化につなげるための2つのサービスをご紹介します。

自社のセキュリティ対策の状況や目的に応じて、実施をご検討ください。

脆弱性診断

LANSCOPE プロフェッショナルサービスの「脆弱性診断・セキュリティ診断」は、システムやネットワークなどを調査し、脆弱性や設定不備などのセキュリティリスクを洗い出すサービスです。

経験豊富なセキュリティエンジニアが、攻撃者の視点から疑似攻撃などを行い、システムに潜む脆弱性や攻撃への耐性を診断します。

診断後は、セキュリティレベルや注意点をわかりやすくまとめた報告書を提供します。発見された脆弱性に対する具体的な対策も提示するため、自社のセキュリティ上の弱点を把握するだけでなく、その後の改善にもつなげられます。

LANSCOPE プロフェッショナルサービスは、20年の実績と12,000件以上の診断経験を持ち、国家資格を保有するセキュリティの専門家も多数在籍しています。

豊富な経験と専門的な知見をもとに、自社のセキュリティリスクの把握から対策の検討までを支援します。

ペネトレーションテスト

LANSCOPE プロフェッショナルサービスでは、実際のサイバー攻撃を想定した「ペネトレーションテスト」も提供しています。

ペネトレーションテストでは、「情報の窃取」や「サービス停止」など、実際に起こり得る被害を想定した攻撃シナリオを作成し、専門の技術者が疑似攻撃を実施します。

ランサムウェアやAPT攻撃などを想定した一連の攻撃を再現することで、現在導入しているセキュリティ対策が有効に機能するか、攻撃を受けた場合にどこまで被害が及ぶ可能性があるかを検証できます。

テスト後は、シナリオごとの結果に加えて、想定される被害や適切な対策方法をまとめた報告書を提供します。

そのため、自社のセキュリティ対策における課題を把握し、今後優先すべき対策を検討する際にも役立ちます。

「現在のセキュリティ対策で実際のサイバー攻撃に対応できるのか確認したい」「攻撃を受けた場合にどこまで被害が広がるのか把握したい」といった企業・組織は、ペネトレーションテストの実施をご検討ください。

まとめ

本記事では「ハッキング」をテーマに、主な手口や被害、ハッキングが疑われる兆候、対処法、企業・組織が取り組むべき対策について解説しました。

ハッキングによる被害は、情報漏洩や金銭的な損失、アカウントの乗っ取り、Webサイトやシステムの改ざんなど、企業・組織の事業活動にさまざまな影響を及ぼす可能性があります。

こうした被害を防ぐためには、単一の対策だけに頼るのではなく、複数の対策を組み合わせてセキュリティを強化することが重要です。

まずは多要素認証の有効化やパスワードの使い回しの見直し、OS・ソフトウェアの更新など、身近な対策から着実に取り組みましょう。

また、自社のシステムに潜む弱点や現在のセキュリティ対策における課題を客観的に把握したい場合は、専門家による脆弱性診断やペネトレーションテストを活用することも有効です。

LANSCOPE プロフェッショナルサービスでは、脆弱性診断・セキュリティ診断やペネトレーションテストを提供しています。

自社のセキュリティリスクを把握し、必要な対策を明確にしたい企業・組織は、ぜひ実施をご検討ください。