昨今、ランサムウェアや情報漏洩といったサイバー攻撃に関するニュースを見かける機会が増えました。サイバー攻撃はインターネットを始めとした、コンピューターに関係するあらゆる攻撃を意味します。
サイバー攻撃の被害に遭わないためにも攻撃手法と対応策を理解することは大変重要です。この記事では、サイバー攻撃の手法とその対応策を解説します。身近に忍び寄るサイバー攻撃に対応するためにも、ぜひこの記事を参考にしてみてください。
サイバー攻撃とは
サイバー攻撃は、悪意のある第三者によって実行される電子的な攻撃です。インターネットを経由した攻撃が一般的ですが、ソーシャルエンジニアリングのように物理的な方法で情報を詐取し、コンピューターに不正アクセスしたり、機密データを盗み出したりする方法もあります。
IPA（独立行政法人 情報処理推進機構）によると、情報セキュリティの脅威（サイバー攻撃）の中で多いのが、インターネット利用時の情報詐取や不正利用によるものです。特にスマホ決済やスマホアプリによる攻撃が現代を象徴しているともいえます。一方、企業に対する攻撃では、ランサムウェア、サプライチェーン攻撃、テレワークに対する攻撃が大きな特徴です。
近年、サイバー攻撃の手法が巧妙化しており、それぞれの攻撃手法を理解し、対策を立てることが非常に重要です。
代表的な攻撃手法
サイバー攻撃が実行される際にはさまざまな手法によって行われます。コンピューターの技術革新とともに、攻撃手法も日々進化し続けているといえるでしょう。その中でも普段私たちが遭遇しやすいサイバー攻撃手法をいくつかご紹介します。
DDoS攻撃
DDoS攻撃は、Webサーバーに大量のリクエストを送信してWebサーバーをダウンさせる攻撃です。あるとき、アクセスしていたウェブサイトが突然「Request Time Out」の表示とともに閲覧できなくなった経験をしたことがあるかもしれません。さまざまな理由がある中で、DDoS攻撃を受けたためにウェブサイトがダウンした可能性があります。
利用者の立場としては何もできませんが、Webサーバーを構築して運用している場合は、DDoS攻撃に対応したサービスを利用した方がよいでしょう。
マルウェア
マルウェアはウイルスソフト全般を指します。ワーム、トロイの木馬、スパイウェアといったものが該当し、この後解説するランサムウェアも広義ではマルウェアの一種です。マルウェアは、コンピューターに感染して別のコンピューターに感染拡大するもの、バックドアから侵入を行い不正アクセスするもの、悪意のあるサイトへ接続させ高額な金銭を支払わせるものなどさまざまです。
近年ではAIを悪用したマルウェアも数多く、その種類の多さからインターネットへアクセスする際には特に注意しなければなりません。
ランサムウェア
ランサムウェアはマルウェアの一種で、感染後パソコンのデータを暗号化して身代金を要求する点が特徴です。メールに添付されたファイルをクリックしたり、リンクをクリックしたりすることで悪意のあるプログラムが実行されます。
身代金要求の画面がカウントダウンとともに表示されますが、身代金を支払っても解決しないことがほとんどです。さらに、ランサムウェア自体に感染力があり、ほかのパソコンも同様に暗号化されてしまう事例もあります。不審なメールは読まずにごみ箱に捨てることが重要です。
フィッシング
フィッシングは悪意のあるサイトのURLが記載されたメールを送信し、サイトへのアクセスを誘導する攻撃手法です。フィッシングの名のとおり、攻撃対象者を釣り上げる意味があります。
リンク先サイトはアダルトサイトであったり、高額商品の購入サイトであったり、あるいは新たな攻撃を行うために作り込まれたサイトの場合もあります。こうしたサイトへ誘導されないように、不審なリンクはクリックしないように気をつけましょう。
クロスサイトスクリプティング
クロスサイトスクリプティングはブラウザでサイトを閲覧した際に悪意のあるスクリプトを実行させる手法です。たとえば、匿名で書き込みのできる掲示板などに悪意のあるスクリプトを埋め込み、ほかの利用者がリンクをクリックすることでスクリプトが実行されます。
匿名掲示板など不特定多数の人がアクセスするサイトへのアクセスに注意し、不審なリンクをクリックしないよう注意する必要があります。
クロスサイトリクエストフォージェリ
クロスサイトリクエストフォージェリは、Web上で意図せぬ動作を引き起こす攻撃です。正規のサイトにログインした状態で別のウィンドウを開き、別のサイトに表示されている悪意のあるサイトのリンクをクリックすることで、正規のサイトに悪影響を及ぼします。
たとえば、Amazonのサイトにアクセスした状態で、別のウィンドウを開き、Amazonとは違ったサイトにアクセスしたとします。そこに悪意のあるサイトのリンクがあり、クリックしてしまうとAmazonのサイトで身に覚えのない商品がカートに追加され、支払いまでされてしまうような事象です。悪意のあるサイトやリンクをクリックしないことが重要です。
Emotet
Emotetはメール添付型のウイルスで、添付ファイルを開くことでコンピューターに感染し、メールアドレス、パスワード、アドレス帳に登録されたアドレスを詐取されます。
添付ファイルはマクロ付きのWord、Excelで大量に送信されることから、ばらまき型の攻撃として2019年に取り上げられ有名になりました。2021年から再びEmotetによる攻撃が増え、さらに被害が拡大しています。不審なメールの開封と添付ファイルのクリックをしないように気をつけましょう。
Mirai
IoT機器の脆弱性を狙ったもので、ランダムなIPアドレスを生成のうえ工場出荷時のパスワードを試行して乗っ取りを行います。乗っ取りに成功したIoT機器に対してC&Cサーバーから遠隔操作を行い、最終的なターゲットに対して攻撃を行います。
Miraiのような遠隔操作を行うウイルスは古くからあるものの、IoT機器への感染が特徴で、今後も被害が拡大するものと予想されている攻撃のひとつです。IoT機器に設定している管理者パスワードをすぐに変更することが重要です。
Blueborne
BlueborneはBluetoothの脆弱性を突いた攻撃です。EmotetやMiraiのようなウイルスではなく、Bluetoothを使用しているだけで乗っ取りの恐れがあります。Bluetooth対応機器はペアリングによって双方向に通信しますが、Blueborneによって乗っ取りが行われると、双方向の通信なしで一方的に悪意のある第3者との通信を可能にしてしまう点が厄介です。
Blueborneに対応するためには、OSのバージョンアップやセキュリティパッチを適用して脆弱性対応をしなければなりません。
攻撃に対する対応
サイバー攻撃への対策のポイントは「怪しいメールやサイトへアクセスしない」「メール添付されたファイルを不用意に開かない」「ウイルスソフトやOSを常に最新の状態に保つ」の3点です。こうした対応は普段からの心がけで対応できるものばかりです。
本章ではサイバー攻撃に対応する方法を解説します。
ウイルス対策ソフトを導入する
マルウェア対策として有効な方法のひとつがウイルス対策ソフトの導入です。以前はパターンファイルと照合してウイルスを除去するものが主流でした。現在ではフィッシング対策、有害サイトへのアクセス制御、クレジットカードの不正利用対策など、さまざまな機能を持ったソフトウェアが登場しています。
WindowsにはWindows Defenderが付属機能として付いています。Windows Defenderもかなり高機能なため、問題なければそのまま利用するのもひとつの方法です。そのうえで、さらに追加でウイルス対策ソフトの導入が必要か状況に応じて検討しましょう。
セキュリティパッチを適用する
アプリケーションやOSに脆弱性が発見された際にはベンダーからセキュリティパッチが提供されます。脆弱性を放置することは新たな攻撃を招くことにつながるため、必ずセキュリティパッチを適用しましょう。セキュリティパッチの適用によって既存のアプリケーションに影響を及ぼす恐れもあるため、事前の検証が非常に重要です。
不審なメールを開かない
サイバーセキュリティの多くは不審なメールを開封するところから始まります。メールに添付されたファイルの開封、あるいはメールに記載されているリンクをクリックすることで、マルウェアの感染やフィッシングサイトへの誘導へつながります。不審なメールは開封せずにごみ箱へ捨てましょう。
不審なWebサイトへアクセスしない
不審なサイトにアクセスしないことはサイバーセキュリティの脅威から自分たちを守るために非常に重要です。インターネット上には興味を引く文言でアクセスを誘うサイトが数多く存在します。しかし、中には悪意のあるサイトもあり、攻撃者は自分のサイトへアクセスすることを待っています。
こうしたサイトは巧妙化しており瞬時に判断することは難しいものの、URLを見て明らかにおかしいと思われるサイトのリンクへアクセスしないように注意が必要です。
セキュリティ設定を行う
OSやブラウザ、アプリケーションにはセキュリティ設定をできる箇所があります。セキュリティ設定をすることで利便性が下がるものの、セキュリティ強度を高めることにつながります。意図せぬ操作でサイバー攻撃を受けないようにセキュリティ設定は推奨値か、可能であれば厳密な値を設定するとよいでしょう。
怪しい話を信用しない
これまで、サイバーセキュリティに特化した対応方法を解説しました。しかし、何より重要なことは、怪しい話や少しでも不信に思った話を鵜呑みにせず信用しないことです。儲け話、決断を急かせる話、取引先や公的機関といった組織を名乗る話はその場で判断せず、一呼吸おいて考える余裕を持ちましょう。
まとめ
今回はサイバー攻撃手法とその対応策について解説しました。サイバー攻撃は多種多様で、手口が巧妙化していることから十分に注意する必要があります。特に、最近では手口が巧妙化し著名人や公的機関を語った攻撃も多いため、最新の注意を払わなければなりません。
こうした攻撃を防ぐためには、不審なサイトやメールに反応せず、OSやウイルスソフトを常に最新化しておくことが重要です。私たちの生活にとって必要不可欠なインターネットやコンピューターを安全に使用するためにも、サイバー攻撃を受けるリスクが常に潜んでいることを認識したうえで対策をとりましょう。
