警察庁によると、令和5年に検挙された不正アクセス行為のうち90％以上が他人のID・パスワードを利用した犯行でした。ID・パスワードの入手方法は「管理の甘さにつけ込んで入手（230件）」が最多となっています。二段階認証を設定していない、簡単な羅列のパスワードを設定している場合に、ブルートフォースアタック（総当たり攻撃）によってパスワードを特定されてしまい、アクセス権保持者になりすまして侵入するといったケースがあります。

出典：警察庁│不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和6年3月14日）

不正アクセス（サイバー攻撃）の手口として、OSやアプリケーションなどのソフトウェア、ネットワーク機器、サーバーなどの脆弱性の利用があげられます。ソフトウェアのアップデートをしていないと、脆弱性を利用して管理者権限を乗っ取り攻撃を仕掛けられるリスクが高いです。当社へご依頼いただくお客様でも「UTMやVPNの脆弱性を悪用されて不正アクセス被害に遭ってしまった」といったケースが非常に多いです。

3つ目の手口は、ウイルス感染から不正アクセスする方法です。Emotetなどがこの手口に当たります。顧客や従業員になりすましたメールを送付し、添付ファイルを実行することで感染するウイルスです。近年ではランサムウェアの手口の一つでもあります。電子メールに添付されたウイルス入りのファイルを開封したことが原因で不正アクセス被害に遭い、数十万件の個人情報が流出してしまったケースもあります。

不正アクセスでは、フィッシング詐欺で窃取した情報を利用するケースもあります。フィッシング詐欺とはメールやSMSで本物に限りなく似せた偽サイトへ誘導し、アカウント情報やカード情報を入力させ、個人情報を窃取する手口の犯罪です。企業を狙ったフィッシング詐欺では以下のようなケースがあります。

「経営幹部を装った人物からの指示、数億円を不正に送金させられた」
「顧客情報を盗み出す目的で、自社のサイトに酷似した偽のサイトを作成された」
「従業員が偽のメールに誘導され、顧客の個人情報を入力してしまった」