お問い合わせ
サイバー攻撃は年々手口が巧妙化し、攻撃の種類も増加しています。一概にサーバー攻撃といっても、攻撃の目的や手法によって様々な種類に分類できることを知っていますか？
サイバー攻撃の種類の各特徴ごとにセキュリティ対策を実施しなければ、情報漏えいや金銭被害が発生する可能性があります。また、特徴を抑えておかなければ、もし被害が発生した時に、何が起きていいるか、どう対処していいか判断できません。
本記事では、11種類の代表的なサイバー攻撃や被害事例を紹介します。万が一サイバー攻撃を受けた場合は、早急に状況を調査し被害を把握しましょう。
＼法人様・個人様問わず対応 24時間365日無料相談OK！／
目次
サイバー攻撃とは
サイバー攻撃とは、コンピューターシステム、ネットワーク、サービス、デバイスなどに対しての意図的な攻撃行為を指します。サイバー攻撃を受けると、以下のような被害が発生する恐れがあります。
- 知的財産、個人情報が漏えいする
- サイトが改ざんされる
- データを暗号化され、それと引き換えに金銭を要求される
- 遠隔操作される
サイバー攻撃には無差別に攻撃するものから、標的を定めて攻撃するものまで多岐にわたります。仮に企業が保有する個人情報が漏えいした場合、被害の状況を詳しく調査して個人情報保護委員会に報告と被害を受ける可能性がある個人に通知する義務があります。報告を怠ると罰金刑が科されたり、ブランドイメージが低下する可能性があります。個人情報保護委員会に報告するための報告資料の作成は、自社調査ではなく、第三者機関にて信頼性の高い報告書類を作成する必要があります。第三者機関の客観的な調査でなければ、調査結果の正当性が認められない可能性があります。
デジタルデータフォレンジックでは、サイバー攻撃被害が発生したパソコンやスマホを調査して、攻撃事実の確認・被害範囲の特定・報告用レポートの作成が可能です。是非お気軽にご相談ください。
近年の動向
サイバー攻撃は、高いIT技術をもつ個人の攻撃者によって愉快犯的に行われるものでしたが、近年では集団で攻撃を実施するケースが増加しています。また、サイバー攻撃の被害件数は年々増加しており、その原因は以下のような背景があります。
- マニュアルの流通により専門知識が必要なくなった
- 情報の高額な売買が行われるダークウェブサイトの利用が比較的容易になった
- テレワークの普及などでセキュリティの脆弱性を突かれやすくなった
サイバー攻撃の対象は大企業だけでなく、中小企業も十分にターゲットになります。中小企業は大企業に比べてセキュリティ対策が甘く、攻撃者にとって容易に攻撃することが可能です。また、セキュリティ対策が手薄な中小企業を踏み台にして、その親会社や取引先を攻撃することがあります。
サイバー攻撃の種類
サイバー攻撃の代表的な種類は以下のとおりです。
マルウェア攻撃
マルウェア攻撃とは、悪意のあるソフトウェア(マルウェア)を利用してコンピューターシステムやネットワークに侵入し、悪意のある目的を達成する試みを指します。マルウェアに感染すると、ファイルの破損や個人情報の漏えい、金銭的被害が発生する可能性があります。マルウェアは一種類だけでなく、ランサムウェア・Emotet（エモテット）・トロイの木馬など様々な種類があります。
マルウェアに関しては下記の記事でも詳しく解説しています。
ランサムウェア
ランサムウェアは、コンピューター上のファイルを暗号化し、身代金の支払いを要求するマルウェアの一種です。感染後はファイルを復号化するために、指示に従って身代金を支払うよう要求されます。
以前は不特定多数に対する「ばらまき型」が主流でしたが、近年では、特定の企業や組織を標的に身代金を要求するケースが増加しています。また、身代金の支払いを拒否すれば盗んだデータを公開すると脅迫する「二重恐喝」が主流になっています。
ランサムウェアの詳しい対処法については、下記の記事で解説しています。
Emotet（エモテット）
Emotet（エモテット）とは、トロイの木馬型のマルウェアであり、特にランサムウェアの配信手段として知られています。スパムメールを介して感染する方法が主流になりつつあります。
Emotetに感染すると、メールアドレスなどの情報をもとにばらまき攻撃の踏み台にされます。顧客や取引先にマルウェアが添付された不正メールが送信され、さらなる被害の拡大につながる恐れがあるため注意が必要です。
Emotet（エモテット）については下記の記事でも詳しく解説しています。
トロイの木馬
トロイの木馬とは、無害なソフトウェアやファイルに偽装して、コンピュータ内に不正に侵入するマルウェアです。不正なwebサイトにアクセスしたり、不正なファイル・ソフトウェアをインストールすることで感染します。
トロイの木馬は無害なソフトウェアやファイルに偽装するため、感染を発見し難いため、知らない内にコンピュータを乗っ取られる可能性があります。
トロイの木馬に感染したときの対処法は下記の記事で解説しています。
標的型攻撃
標的型攻撃とは、機密情報の窃取などを目的に特定のターゲットを狙って行うサイバー攻撃です。特定分野の企業や組織の従業員に対し、webメールや脆弱性を利用して攻撃を仕掛けます。不特定多数を対象にしたサイバー攻撃と異なり、標的に合わせて手法を変化させるため、異変に気付きにくく被害が拡大しやすいという特徴があります。
標的型攻撃については下記の記事でも詳しく解説しています。
ゼロデイ攻撃
ゼロデイ攻撃とは、OSやソフトウェアなどの脆弱性が発覚してから対策が講じられるまでの空白期間を狙うサイバー攻撃です。セキュリティ上の欠陥を修正できるプログラムが公開される前の状態を「0日（ゼロデイ）」としたことが由来となっています。
ゼロデイ攻撃では、攻撃者が最初に脆弱性に気づき、それを利用した不正プログラムを開発・拡散します。この一連の動きは、企業が脆弱性に気づく前、または対策が完了する前に行われるため、無防備の状態で多くのコンピュータが攻撃されてしまいます。攻撃を受けると、機密情報が漏えいしたり金銭を要求されたりする恐れがあるため注意が必要です。
ゼロデイ攻撃については下記の記事でも詳しく解説しています。
SQLインジェクション攻撃
SQLインジェクションとは、データベースを操作するときに用いられるSQLを利用したサイバー攻撃です。攻撃者は脆弱性のあるwebサイトの入力フォームや検索ボックスなどに不正なSQL文を入力します。セキュリティ対策が不十分である場合、悪意あるSQL文を不正なものと判断できずに実行してしまい、データベース内の情報の閲覧や抽出・改ざんなどの被害が発生する恐れがあります。
SQLインジェクション攻撃については下記の記事でも詳しく解説しています。
DoS/DDoS攻撃
DoS/DDoS攻撃は、コンピュータシステムやネットワークに対する攻撃の一種です。ターゲットとなるwebサイトに大量のリクエストを送り過度な負荷をかけることで、サーバー機能を停止させます。DDoS攻撃では一台のコンピュータを使用して攻撃を行い、DDoS攻撃では複数のコンピュータを使用して攻撃を行います。
フィッシング攻撃
フィッシング攻撃とは、偽のwebサイトにアクセスさせて個人情報を盗む詐欺です。手口の巧妙化により、リンクや接続先のwebサイトを見ても偽サイトだと見極めることが難しくなっています。フィッシング攻撃を受けると、個人情報が漏えいしたりあらゆるマルウェアに感染する恐れがあるため注意しましょう。
フィッシングメールを開いてしまった場合の対処法については下記の記事で解説しています。
ブルートフォース攻撃
ブルートフォース攻撃とは、パソコンやスマホなどやアカウントのパスワードシステムのパスワードを総当たりで試す方法です。例えば4桁のパスワードが設定されている場合、攻撃者は「0000」から「9999」まで何千といったパターンを順番に試して正しい組み合わせを見つけ出します。パスワードを打破されると、データの窃取や改ざんが行われる可能性があります。
パスワードリスト攻撃
パスワードリスト攻撃とは、よく使われる単語や一般的なパスワードをリストアップして不正アクセスを試みることです。キーボードを左から順に打っただけの「qwerty」や「123456」などが含まれます。コンピュータプログラムを使用して数千から数百万の一般的なパスワードを順番に試すため、簡単なパスワードを設定している場合は見破られる可能性が高くなります。
セッションハイジャック
セッションとは、ユーザーがサーバーへ接続を開始してから通信が終了するまでの一連の流れのことです。セッションハイジャックが起こるとセッションを不正に奪取され、サーバーに不正にアクセスされたり、個人情報を盗まれたりします。
バッファオーバーフロー攻撃
意図的にメモリの容量以上の情報を入力し、不具合を発生させる攻撃です。バッファオーバーフロー攻撃を受けると、DoS/DDoS攻撃の踏み台にされたり、プログラムの権限を奪われ機密情報が流出したりします。
サプライチェーン攻撃
サプライチェーンとは、原材料の調達、製品の製造、流通、販売など、製品やサービスを提供するために必要な一連のプロセスのことです。サプライチェーン攻撃では、サプライチェーン内に組み込まれた脆弱なネットワークやサービスに侵入します。侵入が難しいセキュリティレベルの高い標的を直接狙うのではなく、比較的セキュリティレベルの低い取引先や子会社を経由することで、本来のターゲットへの侵入が可能になります。
サイバー攻撃の被害事例
サイバー攻撃の主な被害事例は以下のとおりです。
日本年金機構の個人情報流出
日本年金機構がサイバー攻撃に遭い、約125万件の年金情報が外部に流出したと発表しました。被害は基礎年金番号と氏名を含むもので、一部には生年月日や住所も含まれています。これは国内の公的機関としては過去最大規模の情報流出であり、被害は拡大する可能性があります。警視庁は不正アクセス禁止法違反容疑を視野に捜査を行っています。
年金機構は情報流出が確認された人々の基礎年金番号を変更する方針で、現時点では基幹システムである「社会保険オンラインシステム」への不正アクセスは確認されていません。首相は被害者の安全を最優先に考えるよう指示し、政府はサイバーセキュリティ対策を強化する方針です。
サイバー攻撃は学術機関の職員を装った電子メールによって行われ、ウイルス付きの文書ファイルが添付され、これを開封した機構職員の端末が感染しました。情報はLANシステム内のファイル共有サーバーに保存されていたものでした。
年金機構は情報流出した加入者に対して個別に連絡し、謝罪とともに対応策を取る予定であり、サイバー攻撃による情報流出は他の公的機関でも後を絶たない状況となっています。政府はサイバー犯罪対策を強化し、サイバーセキュリティ基本法を全面施行しています。
自動車部品メーカーを狙ったランサムウェア攻撃
トヨタのサプライヤーである小島プレス工業がランサムウェア攻撃に遭い、ウイルスが給与支払いなどの総務部門だけでなく、生産に関わる受発注システムにも侵入した。
攻撃者は「ロビンフッド」として知られ、トヨタの全工場が停止する危機に直面。従業員約1650人の小島プレスはトヨタとの長い取引関係を有し、部品供給が途絶えるとトヨタの工場も停止する可能性があった。調査で攻撃者の名前が浮かび、受発注システムを仮復旧したが、不安定な状況が続き、システム再起動による感染拡大のリスクがあり、全工場の稼働停止が決まった。
トヨタは支援に乗り出し、工場は後に再開。攻撃の侵入口は子会社の通信用機器であり、脆弱性があったことが判明。サイバー攻撃の脅威が高まる中、企業は対策の重要性を認識し、業界団体がガイドライン策定を進めた。
中学受験塾 日能研に対するSQLインジェクション攻撃
大手中学受験塾の日能研はホームページを運営するwebサーバーに対し、SQLインジェクション攻撃を利用した外部からの不正アクセスを受け、情報漏えいが発生した可能性があることを報告しました。具体的に情報漏えいの可能性が確認された情報は、メールアドレスに限定され、その件数は280,206件にも上ります。流出したメールアドレスが悪用される可能性にも言及しており、スパムメール、フィッシングメールなどの受信について注意を呼びかけました。
出典：日能研ホームページ「不正アクセスによるメールアドレス流出の可能性に関するお詫びとお知らせ」
株式会社エイチ・アイ・エスのマルウェア感染
株式会社エイチ・アイ・エスPCが攻撃メールを受信し、マルウェアの一種であるEmotet（エモテット）に感染した可能性があることを公表しました。2022年3月7日に感染した後、社員を装った第三者から不審なメールが多数発信されました。エイチ・アイ・エスは、マルウェア感染によって社内外関係者のデータが外部に流出したものとして認識し、メール連絡をした顧客や関係者に対し不審なメールが送信される可能性を示しました。
サイバー攻撃によって企業が保有する個人情報の漏えいが発覚した場合、個人情報保護委員会に報告することが法律によって定められています。これに違反すると罰金刑が科される可能性があるため注意しましょう。専門の調査会社に依頼することで、自社では調査が困難な領域まで詳しく調査することが可能です。
出典：株式会社エイチ・アイ・エス「弊社を装った不審メールに関するお詫びとお知らせ」
企業の情報漏えいインシデント対応が義務化されています
2022年4月から改正個人情報保護法が施行されました
2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。
もし、マルウェア・ランサムウェア感染、不正アクセス、社内不正、情報持ち出しのような情報セキュリティ上の問題が発生した場合、まずは感染経路や漏えいしたデータの有無などを確認することが重要です。
ただ、調査を行うには、デジタルデータの収集・解析などの専門技術が必要です。これは自社のみで対応するのが困難なため、個人情報の漏えいが発生した、もしくは疑われる場合は、速やかにフォレンジック専門家に相談し、調査を実施することをおすすめします。
＼相談から最短30分でWeb打ち合わせを開催／
サイバー攻撃の被害調査をしたい場合は専門業者に相談する
フォレンジックサービスの流れや料金については下記からご確認ください。
【初めての方へ】フォレンジックサービスについて詳しくご紹介
【サービスの流れ】どこまで無料？ 調査にかかる期間は？ サービスの流れをご紹介
【料金について】調査にかかる費用やお支払方法について
【会社概要】当社へのアクセス情報や機器のお預かりについて
多くのお客様にご利用いただいております
調査会社への相談方法
インシデントが発生した際、フォレンジック調査を行うか決定していない段階でも、今後のプロセス整理のために、まずは実績のある専門会社へ相談することを推奨しています。
取引先や行政に報告する際、自社での調査だけでは、正確な情報は得られません。むしろ意図的にデータ改ざん・削除されている場合は、情報の信頼性が問われることもあります。
インシデント時は、第三者機関に調査を依頼し、情報収集を行うことを検討しましょう。
DDF（デジタルデータフォレンジック）では、フォレンジックの技術を駆使して、法人/個人を問わず、お客様の問題解決をいたします。
当社では作業内容のご提案とお見積りのご提示まで無料でご案内しております。
解析した結果は、調査報告書としてレポートを作成しています。作成した報告書には、調査で行った手順やインシデントの全容などが詳細に記載され、法執行機関にも提出可能です。
＼累計3.2万件の相談実績 まずはご相談ください／
調査の料金・目安について
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
機器を来社お持込み、またはご発送頂ければ、無料で正確な見積りのご提出が可能です。
まずはお気軽にお電話下さい。
【法人様限定】初動対応無料（Web打ち合わせ・電話ヒアリング・現地保全）
❶無料で迅速初動対応
お電話でのご相談、Web打ち合わせ、現地への駆け付け対応を無料で行います（保全は最短2時間で対応可能です。）。
❷いつでも相談できる
365日相談・調査対応しており、危機対応の経験豊富なコンサルタントが常駐しています。
❸お電話一本で駆け付け可能
緊急の現地調査が必要な場合も、調査専門の技術員が迅速に駆け付けます。（駆け付け場所によっては出張費をいただく場合があります）
よくある質問
対応内容・期間などにより変動いたします。
詳細なお見積もりについてはお気軽にお問い合わせください。
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
可能です。当社は特定の休業日はございません。緊急度の高い場合も迅速に対応できるように、365日年中無休で対応いたしますので、土日祝日でもご相談下さい。
もちろん可能です。お客様の重要なデータをお取り扱いするにあたり、当社では機密保持誓約書ををお渡しし、機器やデータの取り扱いについても徹底管理を行っております。また当社では、プライバシーの保護を最優先に考えており、情報セキュリティの国際規格（ISO24001）およびPマークも取得しています。法人様、個人様に関わらず、匿名での相談も受け付けておりますので、安心してご相談ください。
この記事を書いた人
デジタルデータフォレンジック
エンジニア
