サイバーテロとは？6種類の攻撃手法と効果的な対策を徹底解説

サイバーテロの被害状況

警察庁が発表した「令和４年におけるサイバー空間をめぐる脅威の情勢等について」によれば、令和4年における報告があったランサムウェアの被害件数は230件でした。令和2年下半期が21件、令和3年上半期が61件だったので、右肩上がりで増加していることがわかります。

復旧に要した期間については131件の有効な回答があり、1ヶ月以上を要したものが35件ありました。調査・復旧費用の総額に関しては121件の有効な回答があり、このうち1,000万円以上の費用を要したものが56件と46％を占めました。

また、コンピュータ・電磁的記録対象犯罪においても、令和4年は948件に対して令和2年は563件、令和3年は729件と、これまでと比べて被害件数が増加しています。

サイバーテロの被害は年々増加の一途をたどっており、社会活動に直接影響を及ぼす可能性があるため、効果的な対策を講じることが求められています。

標的型攻撃

標的型攻撃とは、特定の組織や個人を対象にした攻撃のことです。具体的には、企業のシステムやネットワークに侵入し、機密情報を盗んだりシステムを破壊したりします。

主な攻撃手法は、マルウェアを仕込んだメールを企業に送り、そのリンクを開かせることで、ネットワークを通じて企業全体にマルウェアを感染させるというものです。

【関連記事】標的型攻撃メールの被害事例｜手口の種類や最新事例・文面・見分け方を紹介

マルウェア

マルウェアは、悪意を持って作られたソフトウェアや悪質なコードの総称です。スマートフォンやパソコンなどのデバイスに感染し、情報の書き換えや外部流出などの被害をもたらします。

▼マルウェアの具体例

• ワーム
• トロイの木馬
• スパイウェア
• ランサムウェア
• スケアウェア

【関連記事】マルウェアとは｜ウイルスとの違いや種類・感染経路・感染したときの対処法

フィッシング

フィッシングとは、大手企業や公的機関の名前を偽り、個人情報やパスワードを騙し取る攻撃手法のことです。正規のWebサイトに偽装したフィッシングサイトへ誘導し、ユーザーに重要な情報を入力させます。

なお、IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威 2023（個人）」では、2022年に発生した社会的に影響が大きかったと考えられる脅威は「フィッシングによる個人情報等の詐取」が第1位です。

ランサムウェア

ランサムウェアは、デバイスのシステムに侵入してデータを暗号化し、その解除を求める代わりに身代金を要求するマルウェアです。被害者はデータを取り戻すために、身代金を支払うしかありません。しかし、支払いに応じたからといって、必ずしもデータが戻るとは限りません。

「情報セキュリティ10大脅威 2023（組織）」では、この「ランサムウェアによる被害」が第1位で、組織に対して多くの被害をもたらしています。

【関連記事】ランサムウェアとは？感染経路や被害例、被害防止策や感染時の対処法を徹底解説

サプライチェーン攻撃

目的の組織や個人に直接攻撃するのではなく、取引のあるパートナー企業や供給者などをターゲットにする手法が​​サプライチェーン攻撃です。セキュリティ対策が不十分な組織を攻撃し、それを踏み台として本命の組織に攻撃を移します。この攻撃手法は、既存のセキュリティ対策を回避するために用いられます。

Emotet（エモテット）

Emotet（エモテット）は、悪意のある攻撃者によって送信された不正なメールから感染するマルウェアです。正規のメールへの返信を装う手口が使用される場合もあり、実在する氏名やメールアドレスの一部が流用されるため、Emotetと正規のメールを見分けるのは困難が強いられます。

トヨタの工場がサイバー攻撃によって停止

2022年3月1日、トヨタ自動車のサプライチェーンに連なる小島プレス工業がマルウェア被害に遭ったことを公表しました。この影響に伴い、トヨタ自動車に加えてそのグループの日野自動車、ダイハツ工業が一部生産を見合わせています。

同社は影響範囲の特定などのため社内サーバーを一時停止し、3月8日午後4時時点でも全面復旧に至りませんでした。当時は、仮説サイトの用意などで対処を検討しています。

結果、1社のシステム障害の影響で14ヶ所の工場の28ラインが止まり、約1万3,000台の生産を見送ることとなりました。サイバー攻撃がサプライチェーン全体に影響を及ぼし、企業活動全体が麻痺する可能性を示す事例です。

マイナビ転職で21万人のWeb履歴書に不正アクセス

2021年2月9日にマイナビ転職に不正アクセスがあり、約21万人のWeb履歴書が流出するという事態が発生しました。Web履歴書には、顔写真、メールアドレス、連絡先、住所、学歴など、重要な個人情報が記載されているため、これらの情報が悪意のある第三者の手に渡った可能性があります。

このサイバーテロは、外部で不正に取得された可能性があるパスワードを第三者が使い、なりすましによる不正アクセスによって引き起こされました。このトラブルに対し、マイナビ転職は不正ログインを試行していたIPアドレス群からの通信をブロックしたほか、セキュリティ対策の強化を行っています。

エーザイで不正アクセスにより個人情報を流出

製薬大手のエーザイは、2023年4月28日に海外法人の社員アカウントが不正に使用され、社内ネットワークに不正アクセスがあったと発表しました。この不正アクセスにより、一部取引先の氏名及びメールアドレスが漏洩した可能性があると判明しました。

海外関連会社を含むエーザイグループ全体で、約11,000件の取引先関係者の情報が漏洩した可能性があるとのことです。このサイバーテロを受け、エーザイは不正アクセスの遮断と対処、グループ全体のネットワークに対する監視強化を実施しています。

この一例は、サイバーセキュリティへの対策を怠ると、大きな被害に発展する可能性があるという警鐘を鳴らす事例です。

社内で情報セキュリティポリシーを策定する

社内で情報セキュリティポリシーを策定し、全従業員がサイバーテロに対する意識を高めることが大切です。情報セキュリティポリシーとは、企業が情報を管理し、保護するためのルールや方針のことを指します。

例えば、個人情報・他社情報の取り扱い、パスワードの管理、メールの使用方法などを定め、これらのルールを全社員が理解して守ることで、サイバーテロによる情報漏洩のリスクを軽減できます。

【関連記事】企業が取り組むべきセキュリティ対策とは？重要性や対策内容を解説

セキュリティ人材を教育する

セキュリティ人材を教育し、サイバーテロに対する対応力を高めることも重要な対策の一つです。主な教育方法として、以下のようなものが挙げられます。

▼セキュリティ人材の主な教育方法

• 専門家による研修やセミナーを開催する
• 最新の脅威情報を定期的に共有する
• シミュレーションを通じて実践的なスキルを身につける

セキュリティ人材を育成する際は、成長までに時間がかかるため、長期視点を持って取り組む必要があります。人材を育成する以外にも、セキュリティの専門知識を持つ人材を採用する、もしくは外部の専門家と協力するなどの方法も有効です。

サイバーテロ対策セミナーに参加する

政府や警察庁は、サイバーテロ対策のためのセミナーを定期的に開催しています。これらのセミナーに参加し、サイバーテロに対する知識を高めるのも対策として効果的です。

政府や警察庁によるセミナーでは、最新のサイバー脅威や攻撃手法、対処方法などが専門家から紹介され、初心者から経験者までが深い理解を得ることが可能です。また、サイバー攻撃のデモンストレーションや事案対処シミュレーションが行われることもあり、具体的な対応力の取得にも繋がります。

セキュリティサービスで対策を強化する

社内の人材だけでセキュリティ対策を行うのではなく、外部のセキュリティサービスを利用して対策を強化するのも一つの手です。セキュリティサービスでは、24時間365日の監視、最新の脅威情報の提供、即時の対応、コンサルティングや教育など、包括的なセキュリティ対策を提供しています。

これらのサービスを受けることで、専門的な知識を持つ人材を社内で確保するコストや時間を大幅に抑えることが可能です。サイバーテロの脅威を効果的に対策したいなら、信頼性の高いセキュリティサービスを選びましょう。