年明けの１月１０日に、日本気象協会は、天気予報メディア「tenki.jp」Web版にアクセスしづらい状態であり、１月9日午後8時過ぎから「DDoS攻撃」を受けているとの発表がありました。
そこで、企業レベルではなく個人で出来る対策からサイバー攻撃には、どんな種類があり、最新の対策は何を行っているのか知り、事前予防を進めましょう。
効果的な対策方法
個人ですべき対策は、やはりセキュリティソフトの導入や定期的なバックアップに尽きるでしょう。
おススメのセキュリティソフト紹介
2025年の主な、おすすめのセキュリティソフトです。
- ノートン360
総合的な保護を提供し、使いやすいインターフェースが特徴です。
リアルタイムの脅威検出やVPN機能も搭載されています。 - ビットディフェンダー（BitDefender）
高い検出率を誇り、マルウェアやフィッシング攻撃からの保護が強化されています。
特に、パフォーマンスに優れた軽量なソフトウェアです。 - ESETインターネットセキュリティ
ユーザーフレンドリーで、特にスパイウェアやウイルスに対する防御が強力です。
多様なデバイスに対応しており、家庭用にもビジネス用にも適しています。
ソフトの選定基準
セキュリティソフトを選定する際の重要ポイント5項目です。
- ニーズの明確化
どのような脅威から保護したいのかを明確にしましょう。
例えば、ウイルス、マルウェア、フィッシングなど、具体的なリスクを洗い出します。 - 機能の比較
各ソフトウェアの機能を比較し、必要な機能が含まれているか確認しましょう。
例えば、リアルタイム保護、ファイアウォール、VPN、パスワード管理機能などが考えられます。 - 価格とコストパフォーマンス
ソフトウェアの価格を比較し、コストパフォーマンスを評価しましょう。
特に、複数デバイスのカバーや更新費用を考慮するようにしましょう。 - 評判とレビュー
他のユーザーや専門家のレビューを参考にし、信頼性やサポート体制を確認しましょう。
特に、セキュリティソフトの評価は第三者機関のテスト結果や高度な専門家の評価を基にすることは有効です。 - 試用版の利用
可能であれば、試用版を利用して実際の使用感を確認しましょう。
これにより、インターフェースや操作性が合っているかを判断できます。
サイバー攻撃の種類と解説
サイバー攻撃の方法は、常に新たなものが出現します。
主な種類を解説します。
ランサムウェア攻撃
データを暗号化し、復号のために身代金を要求する悪意のあるソフトウェアです。
感染したコンピュータは、利用者がデータにアクセスできなくなります。
手口
- フィッシングメール: 不審なメールのリンクや添付ファイルを介して感染します。
- 脆弱性の悪用: 特にWindowsの脆弱性を狙い、ネットワークを通じて自動的に拡散します（例: WannaCryのEternalBlue攻撃）。
- 二重脅迫: データを暗号化するだけでなく、盗んだ情報を公開すると脅迫する手法です
国内事例
KADOKAWAグループ（2024年6月）
KADOKAWAグループとその関連サービスであるニコニコ動画がランサムウェア攻撃を受け、個人情報や社内情報が漏洩しました。
この攻撃により、取引先のクリエイターの情報も流出し、業務に大きな影響を与えました。
岡山県精神科医療センター（2024年5月）
電子カルテを含む情報システムが攻撃され、患者の個人情報が流出しました。
攻撃者は「暗号化されている。連絡することで解決できる」とのメッセージを残し、身代金を要求しました。
この事件は、機器の更新が行われていなかったことが原因とされています。
フィッシング詐欺
インターネットを利用する人々から個人情報や金融情報を不正に取得するための詐欺行為です。
主に、偽のウェブサイトやメールを通じて、ユーザーを騙して情報を入力させる手口が用いられます。
手口
- メールやSMSを利用: 銀行やクレジットカード会社、または有名な企業を装ったメールやSMSを送ってきます。
これらのメッセージには、偽のウェブサイトへのリンクが含まれており、ユーザーがそのリンクをクリックすると、見た目が本物そっくりの偽サイトに誘導されます。 - 情報の入力を促す: 偽サイトにアクセスしたユーザーは、アカウント情報やパスワード、クレジットカード番号などの個人情報を入力するよう求められます。
これにより、攻撃者はその情報を盗むことができます。 - 巧妙な手口: 最近のフィッシング詐欺は、より巧妙になっており、送信者名や文面が本物に似せられています。
また、短縮URLを使用して、実際のリンク先を隠す手法も一般的となってきています。
国内事例
銀行やクレジットカード会社を装った詐欺
銀行からの「アカウント更新のための確認」や、クレジットカード会社からの「不正利用の疑いがあるため確認が必要」といった内容のメールが多く見られます。
これらのメールには、偽のログインページへのリンクが含まれています。
ECサイトを狙った詐欺
オンラインショッピングの普及に伴い、通販サイトを装ったフィッシングも増加しています。
例えば、「注文が確認できなかった」といったメールが送られ、ユーザーがリンクをクリックしてしまうケースが多発しています。
影響
フィッシング詐欺による被害は、金銭的な損失だけでなく、個人情報の漏洩や信用の失墜など、広範な影響を及ぼします。
特に、個人の資産が多い日本人は、サイバー犯罪者にとって魅力的なターゲットとなっていますなかった」といったメールが送られ、ユーザーがリンクをクリックしてしまうケースが多発しています。
標的型攻撃
特定の企業や組織を狙ったサイバー攻撃の一種であり、攻撃者が明確な目的を持って行動する点が特徴です。
これらの攻撃は、特定のターゲットに対して計画的かつ持続的に実施され、情報の窃取や経済的利益を追求することが主な目的です。
日本では、これらの攻撃は「高度サイバー攻撃」として認識され、特にAPT（Advanced Persistent Threat）として知られています。
手口
- 標的型メール攻撃: 攻撃者は、ターゲットとなる企業の従業員に対して、取引先や顧客を装ったメールを送り、マルウェアが添付されたファイルを開かせることで感染を狙います。
この手法は、従業員が信頼する相手からのメールに見せかけるため、非常に巧妙です。 - ゼロデイ攻撃: セキュリティホールが発見される前にその脆弱性を狙った攻撃で、事前に対策が講じられないため、発見が難しいのが特徴です。
- ソーシャルエンジニアリング: 攻撃者は、ターゲットの組織に関する情報を収集し、心理的なトリックを用いて従業員を騙す手法です。
これにより、機密情報へのアクセスを得ることを目的とします.
国内事例
- 日本年金機構の情報漏洩（2015年）
この事件では、標的型メール攻撃により、年金情報が漏洩しました。
この攻撃は、攻撃者が従業員を狙い、マルウェアを仕込んだメールを送信する形で行われました。 - 大手旅行会社の顧客情報流出（2016年）
旅行会社が標的型攻撃を受け、顧客情報が流出する事態が発生しました。
この攻撃も、従業員を狙ったメールを介して行われました。
サプライチェーン攻撃
企業のサプライチェーン内の脆弱な部分を悪用して、標的企業のシステムに侵入するサイバー攻撃の一種です。
攻撃者は、直接的に標的企業を攻撃するのではなく、取引先や委託先など、セキュリティ対策が不十分な企業を経由して侵入します。
この手法により、通常は高いセキュリティを持つ企業でも、間接的に攻撃を受ける可能性があります。
手口
- ソフトウェアサプライチェーン攻撃: 攻撃者は、ソフトウェアの製造や配布過程に介入し、正規のソフトウェアやアップデートに不正なコードを混入させます。
これにより、標的企業がそのソフトウェアを導入した際に、マルウェアが感染することになります。 - サービスサプライチェーン攻撃: マネージドサービスプロバイダー（MSP）など、企業のシステム運用を請け負う事業者を攻撃し、そのアクセス権を利用して標的企業に侵入します。
- ビジネスサプライチェーン攻撃: 取引先や子会社など、業務上のつながりを利用して、標的企業への侵入を試みる手法です。
これにより、攻撃者は通常の業務の流れを利用して侵入するため、発見が難しくなります。
国内事例
GOM Playerのアップデート攻撃（2014年）
GOM Playerのアップデートサービスが不正アクセスを受け、マルウェアがダウンロードされる事例が発生しました。
トヨタ自動車の攻撃（2022年3月）
トヨタ自動車はサプライチェーン攻撃を受け、国内全工場の稼働を停止する事態に至りました。
この攻撃は、取引先のセキュリティが脆弱であったことが原因とされています。
DDoS攻撃
**DDoS攻撃（Distributed Denial of Service攻撃）**は、複数のコンピュータやデバイスを利用して、ターゲットとなるウェブサイトやオンラインサービスに大量のトラフィックを送り込むことで、正常なサービス提供を妨害するサイバー攻撃の一種です。
この攻撃は、攻撃者が感染させたコンピュータ（ボット）を用いて行われ、これによりターゲットのサーバーやネットワークに過大な負荷をかけ、サービスを停止させることを目的としています。
手口
- ボリューム型攻撃: 大量のトラフィックを送信して、帯域幅を消費させます。
- プロトコル攻撃: サーバーやネットワーク機器のリソースを消費させるために、特定のプロトコルを悪用する。
- アプリケーション層攻撃: 特定のアプリケーションやサービスに対して、リクエストを集中させることで、サービスをダウンさせます。
国内事例
「tenk.jp」への攻撃（2025年1月10日）
tenk.jpがDDoS攻撃を受け、システム障害が発生しました。
この攻撃により同サイトの社内外のネットワークが影響を受け、ユーザーが情報にアクセスできない状況が続きました。
日本航空（JAL）への攻撃（2024年12月26日）
日本航空がDDoS攻撃を受け、システム障害が発生しました。
この攻撃により、社内外のネットワークが影響を受け、業務に支障をきたしました
東京五輪組織委員会への攻撃（2015年）
東京五輪・パラリンピック大会組織委員会のウェブサイトがDDoS攻撃を受け、約12時間にわたりアクセス不能となりました。
この攻撃は、オリンピック開催に向けた重要な時期に発生し、組織の信頼性に影響を与えました。
米国のDNSサービス業者への攻撃（2016年）
米国のDNSサービス業者がDDoS攻撃を受け、約6時間にわたりサービスが停止しました。
この攻撃は、IoT機器を利用したもので、攻撃を受けた企業の顧客も影響を受けました。
主なサイバーセキュリティー機関
日本には、サイバー攻撃やネット上の犯罪を取り締まるための複数の機関が存在します。
これらの機関や企業は、サイバー犯罪の予防や対応において重要な役割を果たし、特に民間企業は技術的な支援やコンサルティングを通じて、企業や個人のセキュリティを強化しています。
主な機関とその役割を説明します。
主な公的機関と役割
- 警視庁
警視庁は、東京都内の治安を維持するための主要な警察機関であり、サイバー犯罪に対する専門の部門を持っています。
サイバー犯罪に関する通報や相談を受け付ける窓口を設けており、ネット上の違法行為や犯罪に対して積極的に取り締まりを行っています。
サイバー犯罪対策課: サイバー犯罪の捜査や予防活動を行い、ネット上の違法行為に対する相談窓口を設置しています。
ハイテク犯罪対策総合センター: サイバー犯罪に関する情報の収集・分析を行い、被害防止のための広報活動を実施
- 内閣サイバーセキュリティセンター（NISC）
NISCは、日本のサイバーセキュリティ政策を推進するための機関で、サイバー攻撃に対する防御策や対策を策定しています。
NISCは、政府機関や公共サービスを狙ったサイバー攻撃の増加に対応するため、情報共有や対策の強化を図っています。
サイバーセキュリティ戦略の立案: 政府機関や民間企業に対してサイバーセキュリティの確保に関する指導や助言を行う。
情報の監視・分析: 行政各部の情報システムに対する不正な活動を監視し、分析を行うことで、サイバー攻撃への対策を強化しています。
民間企業への監査: インフラ事業者や金融機関などに対してセキュリティ対策の実施状況を監査し、必要に応じて勧告を行います。
- 全国警察庁（NPA）
NPAは、全国の警察を統括する機関であり、サイバー犯罪に対する「サイバー部隊」を設置しています。
これらの部隊は、サイバー攻撃の監視、情報収集、被害の評価、証拠の保全などを行い、迅速な対応を可能にしています。
サイバー犯罪対策の統括: 全国の警察を統括し、サイバー犯罪に対する捜査支援や情報共有を行います。
サイバー特別捜査隊の設置: 重大なサイバー犯罪に対して特別な捜査チームを編成し、迅速な対応を図ります。
主な民間機関と役割
日本には、サイバー攻撃やネット上の犯罪に対処するための民間機関や企業が多数存在します。
主な機関や企業の役割です。
民間機関・企業の役割
- 日本サイバー犯罪対策センター（JC3）
産業界、学術機関、法執行機関が連携し、サイバー犯罪の情報共有や手口分析を行います。
サイバー空間の脅威を特定・軽減・無効化するための活動を推進してます。 - インターネット・ホットラインセンター
インターネット上の違法情報や有害情報の通報を受け付け、適切な対応を行います。
サイバー犯罪の被害を未然に防ぐための啓発活動も実施します。 - サイバーセキュリティ企業:
トレンドマイクロ: ウイルス対策ソフトやセキュリティソリューションを提供し、企業や個人のサイバーセキュリティを強化します。
NEC: サイバーセキュリティの技術開発やサービス提供を行い、企業のセキュリティ対策を支援します。 - セキュリティコンサルティング企業:
- サイバーセキュリティお助け隊サービス:
中小企業向けに、手頃な価格でサイバーセキュリティ対策を提供するサービスです。
経済産業省とIPAが連携して、中小企業のセキュリティ強化を支援します。
まとめ
サイバー攻撃の脅威は日々増しています。企業や個人は、これらの攻撃に対する意識を高め、適切な対策を講じることが求められてます。
