進化するサイバー攻撃の手口とその影響の大きさ

サーバやパソコン、スマホなどに、ネットワークを通じてデータの破壊や改ざん、情報・金銭の窃取などを行うサイバー攻撃が増加しています。万全なセキュリティ体制を構築することはもちろんですが、デジタル社会で活動するビジネスパーソンは、サイバー攻撃の手口や、攻撃されたときの影響も把握しておく必要があります。

2020年のサイバー攻撃発生件数は1,734件

サイバー攻撃はIT技術の発展とともに変化し、攻撃の発覚を遅らせたり痕跡を消去するなど高度化・巧妙化が進んでいます。

昨今では、攻撃の多くが特定の組織や企業、個人に狙いを絞った標的型攻撃と、不特定多数のユーザーを攻撃する無差別型攻撃に大別されます。

また、国家や企業などのイメージダウンや株価操作などを狙う組織犯罪、金銭盗取、個人的な復讐、さらに世間を騒がせたいという自分勝手な欲望のために行う愉快犯的なものなど、その目的はさまざまです。

中でも最も多いのが金銭目的で、その一例がインターネットバンキングを利用した不正送金被害です。警察庁の「令和2年（2020）におけるサイバー空間をめぐる脅威の情勢等について」によれば、2020年の発生件数は1,734件、被害額は11億3,300万円にも上ります。

ITを利用する以上、どのような業態・業種の企業でも、サイバー攻撃のリスクを抱えていますが、株式会社ニップンが前例のない大規模攻撃を受け、「システムの起動そのものが不可能で、データ復旧の手段はない」と8月16日に公表したことは衝撃的でした。

復旧困難な「前例のない規模」のサイバー攻撃を受けた日本製粉

ニップンのグループ会社を含む情報ネットワークのサーバや端末が同時攻撃を受けたのは7月7日の未明でした。バックアップを含む大量のファイルが暗号化され、外部専門家に調査を依頼した結果は、復旧が困難な「前例のない規模」ということでした。

このサイバー攻撃により、8月5日に発表予定だった2021年4～6月期の決算は約3か月延期となり、8月16日が提出期限だった四半期報告書の提出も11月15日に延期せざるをえない状態となっています。

同社は対策本部を設置し、原因究明や二次被害の抑止策、情報システムの復旧、再発防止策を検討していますが、システムの復旧には、サーバの再構築やネットワーク環境の見直し、会計データの再取得など、相当な期間が必要となるようです。

主流になりつつある“目立たない”サイバー攻撃

総務省の「サイバー攻撃の最近の動向等について」によると、サイバー攻撃が一般的に認知されるようになったのは2000年以降です。当初は、無差別に送付されたメールによってコンピュータがウイルス感染し、データが破壊されたり改ざんされたりする被害が目立っていました。この時代のサイバー攻撃はウイルス対策ソフトで予防できるレベルで、攻撃を受けても対処可能ないわゆる“目立つ攻撃”でした。しかし、次第に攻撃の手口が巧妙化し、今では“目立たない攻撃”が主流となりました。気づいたときにはすでに被害が広がっていることも多いようです。

“目立たない攻撃”が増えた背景には、Wi-Fiやスマートフォンの普及、クラウドやIoT機器の急増といった、システム環境の多様化があると言えるでしょう。インターネットに接続できるシステム環境が増えることにより不正アクセスが増え、またシステムの変化にともない攻撃手口も巧妙になっていったのです。

その結果、身代金要求型ウイルスと呼ばれるランサムウェアや、不正アクセスによる不正送金など、“目立たない攻撃”による被害が増加し、危険度も高まっていきました。

コロナ禍で変化した環境もサイバー攻撃増加の要因

サイバー攻撃の手口が、時代とともに進化していることは、「情報セキュリティ10大脅威」（IPA＝情報処理推進機構）にも示されています。2013年版の脅威1位は、「クライアントソフトの脆弱性を突いた攻撃」で、ソフトを最新に保つことで、比較的対処しやすい特徴でした。しかし、2021年版の脅威1位は、個人向けが「スマホ決済の不正利用」、組織向けが「ランサムウェアによる被害」となっています。また、組織向けの3位にランクインしたのは、「テレワーク等のニューノーマルな働き方を狙った攻撃」で、新型コロナウイルスの感染拡大により変化した環境にも対応するべく、手口を進化させていることがわかります。

また、最近のサイバー攻撃で問題となっているのが、ダークウェブの悪用などによる攻撃者の匿名化です。ダークウェブは通常の検索エンジンでは見つけることができない、閲覧に専用ツールを必要とするWebサイトのことです。その匿名性の高さゆえに、アクセス元を特定することが困難なため、違法な取引やサイバー攻撃など犯罪の温床となっているのが現状です。

まとめ

サイバー攻撃によって被害を受けることは、決して他人事ではありません。「明日は我が身」と、普段から強く意識してセキュリティ対策を講じておくことが大切ではないでしょうか。

セキュリティ担当者は、時代とともに進化するサイバー攻撃に備えた対応の構築が、強く求められることになりそうです。