サイバー攻撃とは？
目的や事例、種類から対策までわかりやすく解説

サイバー攻撃の目的は多岐にわたります。代表的なのは金銭目的で、ランサムウェアによる身代金要求や詐欺が挙げられます。また、企業や組織の機密情報を盗む情報窃取、サービスを妨害して業務を停止させる攻撃もあります。さらに、政治的・社会的な意図を持つハクティビズムや国家レベルのサイバー戦も増加しており、目的に応じて攻撃手法も高度化している傾向です。

企業の急速なデジタル化に伴いサイバー攻撃は急増しています。警察庁の資料 (注1) によると、令和6年上半期のランサムウェア被害報告は114件と高水準で推移。脆弱性探索行為などの不審なアクセスも9,825件検知され、その大半が海外からでした。さらに、対策が手薄な外部委託先を攻撃し、ターゲットとする大手企業に被害を与えることを目的したサプライチェーン攻撃が増加し、取引先のセキュリティ確認が重要な課題となっています。

企業の急速なデジタル化とクラウド利用の拡大は、サイバー攻撃増加の主要な要因です。業務のオンライン化によりネットワーク接続機器が急増し、攻撃対象が広がっています。さらにIoT機器やリモートワーク環境の普及でセキュリティ管理が複雑化し、侵入経路が増加。こうした状況は攻撃者にとって格好の機会となっています。

攻撃者は技術革新を利用し、より巧妙な手法を開発しています。AIを悪用したフィッシングやゼロデイ攻撃、クラウドやIoTを狙う新しい攻撃が増加傾向です。従来の防御策では対応が難しく、企業は常に最新の脅威にさらされています。攻撃の自動化や高度化により、被害規模も拡大しています。

急速な技術進化に対し、企業のセキュリティ対策は追いついていません。パッチ適用の遅れや設定不備が脆弱性を生み、攻撃成功の要因となります。さらに、従業員の誤操作や不注意による情報漏えいも深刻なリスクです。こうした人的要因と対策の遅れが、攻撃増加を後押ししています。

マルウェアは、悪意のあるプログラムやソフトウェアの総称で、「ランサムウェア」と「Emotet」がその代表例です。

4章で説明するランサムウェアはマルウェアの一種で、主に「身代金」を要求するプログラムです。情報機器に入り込んだランサムウェアは、内部のデータを使えない状態にしたうえで、画面上に要求内容を記載したメッセージを表示します。大半のメッセージは「データを再び使えるようにしたい、あるいは機密情報の外部公開を防ぎたければ、指定の口座に暗号通貨を振り込め」といった内容です。近年、世界中で多くの企業が被害を受けています。

サプライチェーン攻撃は、セキュリティが万全ではない外部委託先や関連企業を経由してサイバー攻撃を行う手法です。
セキュリティが強固な大手企業や官公庁を標的とする場合、直接攻撃するよりも関連企業経由のほうが侵入しやすいため、攻撃者はその弱点を突こうとします。

大手企業がサプライチェーン攻撃に備えるには、自社のみならず取引先や海外拠点のセキュリティにもできる限り目を配ることが不可欠です。そうした対策により、攻撃者が防御の甘い企業を足がかりにしてネットワークに侵入するリスクを抑えられます。

フィッシングは、信頼できる大手企業や公的機関になりすまして、個人情報を盗み出す手法です。
メールから本物そっくりの偽のWebサイトに誘導して、ログイン情報やクレジットカード情報などを入力させます。知らずにアクセスすると高額な被害につながる危険性があります。

昨今はフィッシングなどによるログイン情報の漏えいを未然に防ぐ手段として、パスワードレスセキュリティ「FIDO認証」に注目が集まっています。詳しくはこちらの記事をお読みください。

KDDIではDDoS対策サービスを提供しており、月額の固定課金プランに加え、DDoS攻撃の防御時間実績に応じた従量料金プランを用意しています。詳細についてはこちらのページをご覧ください。

SQLインジェクションは、データベースを操作する言語である「SQL」を用いて、データに不正アクセスする手法です。
例えばショッピングサイトには、会員情報やクレジットカード番号などの重要な情報がデータベースに保存されており、それらにアクセスするためにSQLが使用されています。

攻撃者はWebサイトの入力フォームなどにSQL文を埋め込み、「データベースの内容をすべて表示する」「データを削除する」といった不正な命令を実行させます。その結果、個人情報の漏えいやデータの改ざん・削除などの被害が発生する可能性があります。

クロスサイトスクリプティングは、Webサイトに「罠」を仕掛けておき、アクセスした人を攻撃する手法です。攻撃者は掲示板やお問い合わせフォームなどの入力欄に「罠」となる不正なスクリプトを仕込み、そのページを訪れたユーザーがスクリプトを実行してしまうように仕向けます。

これを起因として、Cookie (注3) から個人情報漏えいや、マルウェア感染、あるいは不正送金や悪意ある情報発信などの意図しない操作を実行させられるといった被害が発生します。Cookieを利用してログインの管理を行っているサイトなどは注意が必要です。

現在、最も警戒を要する脅威のひとつがEmotetです。一見すると通常の業務連絡に見えるメールに、悪意のあるリンクが添付されており、そのリンクを入口にして、感染が拡大していきます。特徴的なのは、実在する業務上のやり取りを模倣した精巧な偽装手法です。受信者は日常的なビジネスメールと判断してリンクを開き、その瞬間に不正なプログラムを介して感染する仕組みになっています。

Emotetの厄介な点は、これが被害の始まりに過ぎない点です。最初の感染を足がかりにより深刻な被害をもたらす別種のマルウェアの侵入を許してしまいます。その結果、企業の機密情報が流出したり、さらなる攻撃の発信地として悪用されるといったケースが後を絶ちません。

サイバー攻撃でひとたび被害を受ければ、深刻な影響が生じかねません。被害を未然に防ぐための対策方法を具体的に紹介します。

サイバー攻撃に対応するためのセキュリティソフトは、さまざまな製品が提供されています。マルウェアの感染や不正アクセスがないかをリアルタイムで監視します。信頼できるセキュリティソフトを選んで情報機器にインストールすることで、多くの種類のサイバー攻撃から、ある程度保護することが可能です。

ただし、サイバー攻撃の手法は日々進化しており、新しいマルウェアも次々に生まれているため、インストールしただけでは安心できません。変化していく状況に対応するために、セキュリティソフトは頻繁にアップデートして、最新の状態を保ちましょう。

社内研修を行い、従業員がサイバーセキュリティについて理解を深めることも、サイバー攻撃への対策として有効です。
特に従業員のうっかりミスによるウィルス感染などを防ぐには効果的です。

研修では、不審なメールの添付ファイルを開くことでウィルスに感染する、といった基本的な事例を共有します。
同時に、感染により、企業がどれだけ深刻な被害を受ける可能性があるかも伝えるのがポイントです。セキュリティ対策の意味と目的を理解させ、日頃の業務において意識を持った行動を心掛けるよう教育を行うことが重要になっています。

サイバー攻撃は年々巧妙化し、種類も多様化しています。近年ではランサムウェアやサプライチェーン攻撃が急増し、企業のシステムだけでなく、社員がリモートワークで使用する端末や取引先のセキュリティ対策などにも注意が必要です。攻撃事例を見ると、情報漏えいや業務停止など深刻な被害が発生しており、予防策として多層防御や定期的なアップデート、社員教育が欠かせません。常に最新の脅威動向を把握し、組織全体で対策を強化することが求められます。