最高峰のAIアンチウイルスをカンタンに

CPMS Cyber Protection Managed Service

CPMSブログ

セキュリティ

2021.12.24

更新2022.01.26

セキュリティ

サイバーセキュリティとは?リスクや対策についてわかりやすく解説

目次

2021年のサイバー攻撃「10の事例」を振り返る


2021年の国内外のサイバー攻撃事例を振り返り、どんな特徴や傾向が見られたか、新たなリスクとして認識される脅威は何かについて紹介していきます。

資料をダウンロードする

資料をダウンロードする

インターネットが発展し続ける中で、企業活動にもWebサービスやシステムが積極的に活用されるようになりました。これに伴って、企業や組織を狙ったサイバー攻撃もますます深刻になり、被害を防止するためのサイバーセキュリティ対策が求められています。そこで今回は、サイバーセキュリティの考え方やサイバー攻撃の種類についてわかりやすく解説します。

サイバーセキュリティの概要

近年注目を集める「サイバーセキュリティ」ですが、具体的にはどのようなものを指すのでしょうか。ここでは、サイバーセキュリティの概要や混同しやすい情報セキュリティとの違いについて解説します。

サイバーセキュリティとは

サイバーセキュリティとは、電子空間上における不正アクセスそのものや、不正アクセスによって引き起こされた情報漏えい、改ざんをはじめとする「サイバー攻撃」全般を防止するためのセキュリティ対策のことを指します。
企業を標的としたサイバー攻撃が行われると、顧客情報や社内の機密情報が流出するなど、企業には甚大な被害が及びます。特にクレジットカードをはじめとした金銭に関連する情報は違法な市場で高額で取引されている背景もあり、サイバー攻撃の対象となるケースが散見されます。企業にとって、情報は必ず守らなければならない大切な資産です。そのためにも、サイバーセキュリティを意識した企業運営が全国の企業や組織で重要視されています。

情報セキュリティとの違い

サイバーセキュリティとよく似た言葉に「情報セキュリティ」がありますが、両者は似ているようで異なる意味をもつ言葉です。 情報の信頼性を向上させるためには「機密性」「完全性」「可用性」の3つの要素を維持する必要があるといわれています。これら3つの要素を維持するための対策のことを「情報セキュリティ」と呼びます。企業の情報漏えいを防止したり、第三者からの攻撃によるデータ破損を回避したりするための対策や、いつでも情報を活用できる体制を構築することも情報セキュリティに含まれます。

一方、サイバーセキュリティは「機密性」「完全性」「可用性」の3つの要素に対する脅威に対処するための考え方を指しています。これには第三者がネットワーク上から侵入して企業や組織を攻撃する類のデジタルな脅威以外に、内部の従業員が情報を持ち出すことによる情報流出などのアナログな脅威も含んでいます。
広義にいえば、サイバーセキュリティは情報セキュリティのなかに含まれており、情報セキュリティの一種であるとも言えます。

サイバー攻撃の種類

一口にサイバー攻撃といっても、その手法によってさまざまな種類があります。ここでは、代表的なサイバー攻撃の種類を解説します。

標的型攻撃

標的型攻撃とは、企業や組織の機密情報を不正に手に入れることを目的としたサイバー攻撃のことです。機密情報を入手するための手口は多種多様であり、メディアからの取材依頼を装ったり、採用活動への問い合わせメールを偽装したりと巧妙なものが多くなっています。
標的となる企業の担当者が何気なく開封してしまうような内容のメールにウイルスを添付して送りつけ、受信者のパソコンに侵入できるようになったことを確認した状態で不正アクセスを行い、機密情報を盗み取るのが一般的な手口です。メールの受信者のパソコンに感染した後はそこから企業のネットワークに入り込み、他のパソコンにまで不正アクセスを広げて社内の重要な機密情報を奪う可能性もあります。

ランサムウェア

ランサムウェアとは、感染者のパソコンに不正アクセスしてデータを強制的に暗号化したり操作をロックしたりした後で、暗号化や機能制御を解除するための身代金を要求するサイバー攻撃です。その特性から「身代金要求型不正プログラム(ウイルス)」と呼ばれるケースもあります。
ランサムウェアに感染すると、パソコンやシステムの機能がロックされて業務を継続できなくなり、企業や組織に甚大なダメージを与えます。近年では国内や国外の大手企業がこのランサムウェアの被害に遭うケースが多発しており、サイバー攻撃の中でも特に注目を集める機会が増えている種類だといえるでしょう。

DoS攻撃/ DDoS攻撃

DoS攻撃またはDDoS攻撃とは、一度に大量のリクエストをサーバーに向けて意図的に送信し、サーバーに過剰な負荷をかけてダウンさせることを目的としたサイバー攻撃です。 一般的に、Webサイトを稼働させているサーバーはそのスペック内で処理できる常識的なアクセス数の範囲内で訪問者を迎えています。しかし、短時間の間に数十万件などの異常なリクエストが送信されると、サーバーが処理できるアクセス数の限界を超えてダウンしてしまうのです。
DoS攻撃/DDos攻撃のねらいは情報の奪取ではなく、企業・組織のWebサイトやシステムをダウンさせることそのものにあるケースが主流です。標的となったページがECサイトなどであれば、商品の販売を継続できなくなるなどの深刻な被害に見舞われる可能性もあります。

ゼロデイ攻撃

ゼロデイ攻撃とは、OSやアプリケーションなどのセキュリティアップデートが行われていないうちにソフトウェアの脆弱性を利用して実施されるサイバー攻撃です。
OSやアプリケーションなどにセキュリティ上の脆弱性が見つかると、ソフトウェアを提供している企業は脆弱性を修正するために利用者へアップデート版の配信を行うのが一般的です。そのアップデート版が提供開始される日を「1日目(ワンデイ)」と定義した場合、まだアップデート版が提供されていない「0日目(ゼロデイ)」に攻撃が行われることから「ゼロデイ攻撃」と呼ばれています。
ゼロデイ攻撃では、ソフトウェアの脆弱性を突くためのマルウェアと呼ばれる悪質なプログラムをメールに添付して送りつけ、対象のパソコンをマルウェアへ感染させます。もしくは、あるWebサイトに悪質なプログラムを勝手に組み込んで不特定多数の訪問者を感染させる手法がとられることもあります。
マルウェアに感染したパソコンは第三者に操作を乗っ取られたり、機密情報を盗み取られたりする被害に遭う可能性があります。

パスワードの窃取・解析

WebサービスやシステムのユーザーIDやパスワードを窃取・解析し、不正ログインして機密情報を盗み取ったりデータの改ざんを行ったりするサイバー攻撃もあります。
パスワードの取得方法はさまざまですが、パスワード推測ツールを使って複数の単語をランダムに組み合わせてログインを試みることによって、物理的にパスワードを突破しようとする方法や、あらかじめ何らかの方法で対象者のログインIDとパスワードを取得して複数のWebサービスやシステムにアクセスを試みる「パスワードリスト攻撃」などが代表的です。
パスワードを窃取して不正ログインを行うサイバー攻撃は、利用者になりすました状態でアクセスすることから不正アクセスであることを判別しにくいという特徴があります。
さらに、Webサービスやシステムは共通のユーザーIDとパスワードを利用する人が多く、一度流出してしまうと簡単に複数サイトに不正アクセスが可能になりやすいのです。

<TOPICS>「情報セキュリティ10大脅威 2021」

IPA(情報処理推進機構)では、その年に特に影響が大きかった情報セキュリティを10項目挙げる「情報セキュリティ10大脅威」を毎年発表しています。
IPAが脅威となる候補を選出し、その驚異の中から情報セキュリティ分野の研究者や企業の実務担当者などで構成される約160人のメンバーが審議した上で、その年の10大脅威が決定されます。10大脅威は「個人」と「組織」の2つの項目に分かれており、個人の関心と組織の関心は大抵大きく異なっています。

2021年のトレンドを紹介

2021年の情報セキュリティ10大脅威では、個人の1~3位が「スマホ決済の不正利用」「フィッシングによる個人情報等の詐取」「ネット上の誹謗・中傷・デマ」、組織の1~3位が「ランサムウェアによる被害」「標的型攻撃による機密情報の窃取」「テレワーク等のニューノーマルな働き方を狙った攻撃」となっています。

個人の分野では、スマートフォンによる決済が一般的になってきたことからスマホ決済を不正利用される脅威に対して関心が高まっています。知らない間にクレジットカードを不正利用されていた、記憶にない取引が記録されていた、などの不正利用が身近になりつつあり、個人でも十分にサイバーセキュリティを意識する必要が出てきているといえるでしょう。加えて、フィッシングによる個人情報の詐取や、ネット上の誹謗中傷・デマなども注目されています。大手企業などの公式サイトに似せたWebページに誘導して商品の購入やサービスの契約、会員情報変更などを促し、個人情報を盗み取るフィッシング被害も、個人にとって身近なものとなっています。SNSが発達したことによって誰もが気軽に情報を発信できるようになり、ネット上で不用意に誹謗中傷したりデマを発信したりする人が増えたことによってこのような脅威が注目されてきているといえるでしょう。

組織の分野では、機能のロックやデータの暗号化を解除する代わりに身代金を要求するランサムウェアによる被害に関心が高まっています。近年では国内外を代表する大手企業も被害に遭う事例が少なくないため、インパクトの強さから関心が高まっているとみられます。
また、標的型攻撃によってパソコンがウイルスに感染させられて機密情報を抜き取られるリスクや、テレワークが普及したことによる新しい働き方を標的としたサイバー攻撃にも注目が集まっています。特に「テレワーク等のニューノーマルな働き方を狙った攻撃」は2021年の調査で初めてランクインした脅威であり、働き方の変化に伴って注目される脅威も変化していることをあらわしています。

サイバーセキュリティの被害にあうとどうなるか

サイバーセキュリティの被害に遭うと、社内の重要機密が外部に流出したり、顧客情報を窃取されて顧客からの信頼が大きく低下したりする可能性があります。ここでは、過去にあった被害の事例をご紹介します。

被害事例

企業がサイバー攻撃の被害に遭った事例は年々増え続けています。中でも大きな注目を集めた事例のひとつが「不正アクセスによる仮想通貨の流出被害」です。この事例では仮想通貨を保有する企業に不正アクセスが行われた結果、仮想通貨のデータが悪意ある第三者によって不正に外部へ送信され、企業が管理していた顧客の暗号資産が流出する結果となりました。
他にも、国家の防衛関連情報が含まれた重要機密が不正アクセスによって外部流出した可能性が指摘されている事例や、ランサムウェアによる攻撃を受けて社内で管理していた個人情報が外部流出した可能性が指摘されている事例なども代表的な被害といえます。

サイバーセキュリティの対策とは

サイバー攻撃から身を守るためのサイバーセキュリティ対策には、具体的にどのようなものがあるのでしょうか。サイバーセキュリティの対策について解説します。

総務省セキュリティガイドラインに沿った対策

総務省では、企業や地方自治体が守るべきセキュリティの指針を示したセキュリティガイドラインをいくつか公開しています。中でも代表的なのは「テレワークセキュリティガイドライン」や「地方公共団体における情報セキュリティポリシーに関するガイドライン」です。
テレワークセキュリティガイドラインでは、働き方改革などによってテレワークが広がる現状を受けて、企業がテレワークを実施する際にセキュリティ上の不安なくテレワークを導入するための指針としてセキュリティ対策の考え方や対策例が提示されています。
地方公共団体における情報セキュリティポリシーに関するガイドラインでは、各地方自治体が組織内の情報セキュリティを確保するための方針や体制、セキュリティ対策等を包括的に定めた内容を提示しています。地方公共団体における情報セキュリティとその対策や情報セキュリティの管理プロセス、対策レベルの設定などの項目も用意されています。

OS・ソフトウェアのアップデート

OSやソフトウェアを定期的にアップデートして最新の状態に保つことも、サイバーセキュリティ対策には重要です。前述のようにOSやソフトウェアは脆弱性が見つかると都度アップデートされるのが一般的であり、アップデートを適用しないまま放置すると脆弱性を狙われる危険が増大することになります。定期的に最新のアップデート情報を確認して、アップデートがあればできるだけこまめに適用しておくことが大切です。

パスワードの管理

パスワードの管理を適切に行うことは、流出を防いで不正アクセスを防止することにもつながります。各Webサービスやシステムに使用しているパスワードは定期的に変更したり、複数のサービスで同じパスワードを使い回さないようにしたりするだけでも、セキュリティは大幅に向上します。

ツールの導入

セキュリティ対策を専門としたツールやアンチウイルスソフトの導入も、サイバーセキュリティ対策には効果的です。 セキュリティ対策ツールを使うと、社内に存在するIT資産の管理やアクセスログの取得、ソフトウェアアップデートの一元管理など、セキュリティを維持・向上するためのさまざまな対策をツール上でまとめて行えます。そのため、セキュリティの向上だけでなく、情報システム部門の業務効率を高める効果も期待できます。
さらに、アンチウイルスソフトを導入することによって不正アクセスを試みるウイルスを速やかに検知して駆除できるため、サイバー攻撃による被害を未然に防ぐことができます。

Cyber Protection Managed Serviceのサービス紹介

エムオーテックスが提供するCPMS(Cyber Protection Managed Service powered by Deep Instinct)は、アンチウイルスとEDRの両方の機能を提供し、高精度で非常に高い防御力をもったマルウェア対策を実現できます。
Deep Instinct はディープラーニングを活用したAI型ウイルス対策ソフトで、AIがファイルの特徴を見てウイルス検知する仕組みのため、従来型のパターンマッチングの技術は使っていません。 攻撃者側も、より巧妙な攻撃手段を手にいれるため、機械学習アプローチを欺くような攻撃を取り入れてきています。そのような中においても、ディープラーニング技術によるモデルを用いることで、DarkSideのランサムウェア、Emotet亜種やMaze、RagnerLockerなどを検知することができています。
Deep Instinctでは、マルウェア、ランサムウェアに対して検知を行うだけでなく、スクリプトファイルの検知、さらにWordやExcel、PDFなどのファイルも検知対象とすることができます。このように様々なファイルを検知対象にできるのは、ファイルの種類ごとに異なる学習を、ディープラーニングによって自動で行うことができるからです。

最新AIを活用した新技術で超高精度の検知率を誇る「Deep Instinct」を無料で体験できるキャンペーンです。実際に自社のPCにDeep Instinctをインストールし、コンソールの操作方法や検知力の高さを体験いただけます。

まとめ

巧妙になり続けるサイバー攻撃から身を守るためのサイバーセキュリティ対策は、企業や組織にとって重要な課題となっています。まずはサイバーセキュリティとは何かを知り、具体的なサイバー攻撃の性質を知ることが、被害を回避するための一歩です。
サイバーセキュリティ対策の方法にはさまざまなものがありますが、セキュリティガイドラインの活用やこまめなソフトウェアアップデートなどの他にも、ツールの導入も効果的です。複数の対策を組み合わせて、万全なセキュリティ体制を構築しましょう。
業界最高峰のAIアンチウイルスサービス「CPMS」について、詳しくはこちらをご覧ください。

2021年のサイバー攻撃「10の事例」を振り返る


2021年の国内外のサイバー攻撃事例を振り返り、どんな特徴や傾向が見られたか、新たなリスクとして認識される脅威は何かについて紹介していきます。

資料をダウンロードする

資料をダウンロードする

Written by 田村 彩乃

ITコンサルタントとして7年間システム提案に携わった後、フリーライターとして独立。IT、マーケティングに関するコラムを中心として、人材、ECなどにまつわる記事をWebをはじめとした多くのメディアで執筆。

サイバーセキュリティとは?リスクや対策についてわかりやすく解説

関連記事

2022.08.29

セキュリティ

50項目を厳選!サイバー攻撃対策チェックシートで自社の現状を確認してみませんか?

2022.08.19

セキュリティ

病院など医療機関が抑えておくべきサイバーセキュリティ対策をわかりやすく解説

2022.08.09

セキュリティ

サイバーセキュリティ基本法とは?概要や制度改正、企業が行うべき対策をご紹介

2022.08.05

セキュリティ

その稟議書、ちょっと待って下さい!
セキュリティツール導入の決裁を勝ち取る3つの極意

2022.07.22

セキュリティ

エンドポイントセキュリティの重要性や対策ポイントについて解説

2022.07.14

セキュリティ

医療機関が2ヶ月診療を制限…。ランサムウェア「Lockbit」の被害が拡大する理由とは

詳しい資料をご用意しています。

導入時にご検討いただく際の各種資料を
ダウンロードいただけます。

ダウンロードする

全国でセミナーを開催しています。

製品の基本操作から活用方法まで
詳しくご説明いたします。

セミナー情報を見る