Article square balloon green
2017-12-14

サイバーテロとは何か?事例と対策、東京五輪までに注意すべき企業のリスク

現在、日本企業が晒されているサイバー攻撃についての基本的な解説と、国内外のサイバーテロの現状や事例について説明します。さらに代表的なマルウェアを使った攻撃やDos攻撃などの解説もしていきますから、企業のセキュリティ担当者の方はぜひご一読ください。
セキュリティWAF
Large

現在、日本では2020年の東京オリンピックを前にサイバーテロの急増が懸念されており、政府やオリンピック組織委員会を中心にさまざまな対策が練られています。

ここ数年で実際に日本企業や公の組織がさまざまなサイバー攻撃に晒されているケースが多くあります。

そこで今回は、サイバーテロに関する基本的な説明から、国内外を取り巻く状況について解説していきます。代表的なサイバー攻撃についても説明していくので、企業のシステム管理者やセキュリティ担当者は、ぜひ目を通してみてください。

サイバーテロとは

サイバーテロとは、簡単にいえばネットワークを対象として行われるテロリズムのことをいいます。

主に社会の混乱を目的として、政府や社会的インフラを担う組織を支える重要な情報システムへの侵入と破壊工作を行うことを指しますが、最近では一般企業もサイバーテロのターゲットとなる事件も増えています。

サイバーとはコンピュータネットワークに関することを示す概念であり、暴力行為や破壊行為などの有形力を伴うテロリズムではなく、ターゲットのサイト上のデータの破壊や書き換え、ウイルスの大量配布といった行為を総称してサイバーテロと呼ぶのが一般的になっています。

世界のサイバーテロの現状

近年の国外のサイバーテロの現状についてですが、攻撃元もターゲットとなる企業や組織に関しても、どちらもアメリカがトップになっています。

特に重要データの漏えいといったリスクをもたらすWEBアプリケーション攻撃の増加が顕著であり、2017年の時点で、昨年同時期比で35%もの増加をみせています。

攻撃元となっている国を上から順番にみていくと、1位はアメリカ、次いでオランダ、ブラジル、中国、ドイツの順となっています。

逆に、攻撃のターゲットとなっている国は、1位は同様にアメリカ、次いでブラジル、イギリス、日本、ドイツの順になっています。
どちらもアメリカが2位以下の国に圧倒的な差をつけているのが特徴です。

日本におけるサイバーテロの現状

一方、日本におけるサイバーテロの現状ですが、上述のように、世界的にみればサイバーテロのターゲットとされるケースが多く、さらには日本政府や企業を狙うサイバー攻撃の8割以上が日本国内から仕掛けられているといわれています。

これは、主にサイバーテロの手段として使われるマルウェアの通信先であるコントロールサーバのホストの所在を追跡した結果判明したものです。

このように、我が国は国内外からさまざまなサイバーテロを仕掛けられているのが現状であり、そのため現在は経済産業省や防衛省をはじめとした各省庁、内閣府でサイバーテロ対策とそのための環境整備に力を入れています。

以下の記事では、マルウェア対策について詳しく解説しています。

マルウェア対策を徹底解説!スマートフォン・対策ソフトなど | ボクシルマガジン
今や誰もが持っていると言っても過言ではないパソコン。ネットショッピング、ネットバンキングなど様々な利用法があります...

サイバーテロの具体的事例

次に、サイバーテロの具体的事件について、海外と国内それぞれの事例を簡単に紹介していきます。

海外の事例

イランの核関連施設

2009年~2010年にかけて、Windows上で動作するコンピュータワーム「スタクスネット(Stuxnet)」がイランの核開発を妨害するために同国の核燃料施設の攻撃に利用され、世界的に問題となりました。

同施設の制御システムはインターネット環境に接続しておらず、外部からUSBメモリーを介して感染したとされており、これがきっかけとなって国家間でのサイバー戦争ともいうべき事態にまで発展しました。

それ以前からも、マルウェアを利用して国の重要施設にサイバー攻撃が仕掛けられる懸念はありました。
しかし、実際の産業用システムに感染し、監視の目を潜り抜けて破壊活動に成功したマルウェアが報告されたのは初めてのことであり、実質的に国家間のサイバー戦争の先駆けになったといわれています。

韓国の金融機関・放送局

2013年3月に、韓国のテレビ放送局3社と、銀行などの金融機関3組織のコンピュータシステムがマルウェアというウイルスを使ったサイバー攻撃を受けて利用できなくなり、銀行のATMやモバイル決済などが影響を受ける事件が発生しました。

韓国インターネット振興院によると、このウイルスはパッチ管理システムと呼ばれるセキュリティ更新情報などをパソコンに自動的に配布するシステムを経由して、それぞれの企業のサーバーに配布されたとしています。

ウイルスは時限式で、同月20日の14時に一斉に起動するようにプログラムされており、これによって合計で3万2000台以上ものコンピュータに被害が出たと報告されています。

アメリカの原子力発電所の事例

2017年7月、アメリカの国土安全保障省とFBIが緊急共同報告書を発表し、そのなかでカンザス州バーリントン近郊にある原子力発電所にサイバー攻撃が仕掛けられていたことが明らかになりました。

同レポートでは、そのサイバー攻撃が原子力発電所の機密情報を盗む目的だったのか、あるいは同施設のシステムを破壊して甚大な被害をもたらすための工作だったのかは明らかにされていません。

しかし一部専門家の指摘によると、この手のサイバー攻撃は主に施設のシステムに直接的なアクセス権をもつ技術者をターゲットにしているようです。

施設の中核を担う技術者に対して、悪意のあるプログラムコードを埋め込んだテキストファイルなどを履歴書などの名目で送りつけ、技術者自身のPCからネットワークに侵入する手口が多いといわれています。

国内の事例

日本年金機構

2015年の5月~6月に、日本年金機構に対して外部から標的型攻撃メールが送付され、職員1名がメール内のURLをクリックしてマルウェアに感染してしまい、結果的に125万人分の個人情報がシステムサーバから漏えいしてしまうという事件が起こりました。

同機構および厚生労働省の説明によれば、この攻撃メールは5月8日~18日にかけてYahooのフリーアドレスから大量に送付され、少なくとも2人の職員が開封していました。

「厚生年金制度見直しについて(試案)の意見」といった件名だったため、当該職員は業務関連のメールだと思い込み、そのままマルウェアが仕込まれた添付ファイルをダウンロードしてしまったといわれています。

東京大学

こちらも2015年の7月、東京大学の業務用パソコンがマルウェアに感染してしまい、不正アクセスによって合計で約3万6300件にわたる個人情報が流出したことが明らかになりました。

6月30日の時点で、大学職員と一部の学生のメールを管理するメールサーバの管理画面設定が変更されており、これを調査した結果、同サーバに保存されていた学内向けの業務用アカウントの流出が判明したようです。

さらにアカウントのみならず、サーバに保存されていた個人情報の流出の可能性も明らかになりました。

同様の攻撃は東京大学だけではなく、早稲田大学などでも報告されており、日本の教育機関がサイバーテロの標的になっている事実を強く認識させる事件として知られることになりました。

法務省の事例

法務省は2014年9月、地方法務局内の端末と外部との不審な通信が確認されたため、調査を行ったところ、一部のサーバーや局内のパソコンへの不正アクセスが発生していたことを確認しました。

攻撃元となったのは国内のサーバーであり、30代の中国籍の男が偽名を用いて契約したうちの一つだったことが明らかになりました。
そのため警視庁公安部は同月13日、私電磁的記録不正作出・同供用の疑いでこの男を逮捕。容疑者は他にも約1,000台ものサーバーを不正契約し、転売していた容疑もかけられています。

不正アクセス禁止法とは | 問題点・逮捕の事例を解説、WAFによる効果的な対策を紹介 | ボクシルマガジン
不正アクセス禁止法とはその名の通り、不正アクセス行為の禁止に関する法律です。この記事では、ネットワーク犯罪に巻き込...

東京五輪組織委員会の事例

2015年11月、2020年に開催される東京五輪およびパラリンピック大会組織委員会の公式ホームページがサイバー攻撃を受け、その後12時間以上にもわたり閲覧できなくなる事件が起こりました。

サーバーに対して一時的に大量のアクセスを集中することで活動を停止させる「DoS攻撃」によるもので、サーバの運営会社が自ら通信を遮断して被害の拡大を阻止することになりました。

これによってサーバ内の情報が盗まれたり、サイト情報を書き換えられたりするといった被害はなかったようですが、ロンドン五輪でも同様に大会組織委員会のホームページが狙われた経緯もあり、2020年の開催に向けて、さらなる対策の強化が求められるようになりました。

以下の記事では、近年注目されているサイバー攻撃可視化法について詳しく解説しています。

サイバー攻撃可視化方法 | 攻撃の複雑化への対策とポイント、サービス紹介4選 | ボクシルマガジン
サイバー攻撃はDoSが発展したDDoS攻撃が盛んになるなど、複雑化を増しています。それを可視化するメリットは計り知...

サイバー攻撃の種類と対策

続いて、サイバー攻撃の種類と対策について、解説していきます。

Dos攻撃/ DDoS攻撃

Dos攻撃は、上述のオリンピック組織委員会のホームページへの攻撃に使われたように、ターゲットのWEBサイトやサーバーに対し、短時間に大量のデータを一方的に送りつけることで、ターゲットのサーバー機能を利用不能に追い込む攻撃をいいます。

そしてDDoS攻撃は、複数台の攻撃用マシンから一斉にDos攻撃を行うことを指します。事前にマルウェアなどを使って複数のマシンを乗っ取ったうえで、ターゲットに対して同時多発的に攻撃を仕掛けるケースが多いです。

Dos攻撃/ DDoS攻撃への対策としては、攻撃元のマシンと考えられるIPからのアクセスを制限・遮断するといった方法や、WAF(Web Application Firewall)を導入して解析を行い、悪意をもったアクセスから守るといった対策が考えられます。

以下の記事では、DDoS攻撃対策について詳しく解説しています。

DDos攻撃とは | Dos攻撃との違い・対策・サービス【図解】 | ボクシルマガジン
「DDos攻撃」と「Dos攻撃」の違いとは?サーバーダウンを招く両者の攻撃パターンの概要や違い、対策や対処法までを...

標的型攻撃

標的型攻撃とは、ターゲットの組織から個人情報や機密情報を盗み出すことを目的として送付されるウイルスつきメールのことをいいます。上述の日本年金機構の情報漏えい事件を引き起こしたのが、この標準型攻撃です。

近年はこういった公的機関だけでなく、一般企業や中小零細企業も狙われるケースが多くなっているので、企業のシステム管理者は特に注意が必要です。

スタッフに対して不自然なメールを開かないように指導したり、不審なメールを排除するセキュリティソフトを導入したりするなどして、常に安全な環境を整えるよう努力する必要があります。

以下の記事では、標的型攻撃について詳しく解説しています。

標的型攻撃とは|手法と最近の動向・セキュリティ対策を解説 | ボクシルマガジン
近年のサイバー攻撃の中で、最も脅威とされているのが標的型攻撃です。その攻撃手法を知ることで、あらためて強固なセキュ...

ゼロデイ攻撃

修正プログラムがカバーしていない部分を狙って攻撃する手法をゼロデイ攻撃といいます。

各種ソフトウェアのぜい弱性が発見されてから、その部分をカバーするための修正プログラムが配布されるまでの時間的なラグを利用して行われる攻撃ですが、当初は攻撃者のみが知るぜい弱性を突いた攻撃を意味していました。

これまでMicrosoft Office製品やAdobe Readerなどを狙った攻撃が頻発しており、世界中でさまざまな被害が出ています。

対策としては、必ずウイルス対策ソフトの導入をすることや、更新プログラムを最速で導入するように心がけたり、不審なファイルは一切開かないといった基本的な対策を徹底させることが挙げられます。

以下の記事では、サイバー攻撃に対処する手段の一つとしての「ぜい弱性診断」について詳しく解説しています。

脆弱性診断はなぜ必要?|方法の選び方・種類・ポイント | ボクシルマガジン
世界各地で広がるサイバー攻撃に対処するために脆弱性診断がなぜ必要なのかを解説しています。脆弱性診断の種類や選ぶ時の...

ルートキット攻撃

ルートキットとは、攻撃者がターゲットのパソコンのコントロールを奪うための不正プログラムのパッケージのことをいいます。

複数のプログラムを連携させてネットワークへの侵入を隠蔽したり、バッグドアの作成、あるいは侵入の痕跡を消すなどして攻撃しやすい環境を整え、最終的にターゲットとなるパソコンの管理者権限を奪うことを目的としています。

それによってパソコン上にあるパスワード情報が盗まれたり、WEBサイトの改ざん、もしくは他のパソコンを攻撃するための踏み台にされたりする危険もあります。

プログラム同士が複雑に連携しているため、感染してしまうと発見が難しいのが特徴なので、ルートキットの侵入を防ぐソフトウェアをインストールするなどして、まずは侵入予防に努める必要があるでしょう。
事前にシステムのバックアップをとっておくことも有効です。

ブルートフォースアタック

ブルートフォースアタックは別名「総当り攻撃」などと呼ばれ、パスワード解析方法のひとつです。

理論的に考えられるパスワードや暗証番号のパターンをすべて入力して解読を試みる方法であり、これによってターゲットのネットワークに潜り込んで内部情報の改ざんをしたり、機密情報を盗み出したりします。

人間が一つひとつ試していく方法では手間が掛かりすぎて現実的ではありませんが、現在は比較的短時間で簡単に実行できるツールが多く存在しますから、けっして侮ることはできません。

対策としては、暗証番号やパスワードなどを複雑で推測されにくいものに変更したり、重要ファイルのパーミッションを変更したりするといった方法が考えられます。

SQLインジェクション

SQLインジェクションとは、外部データベースと連携しているWEBサイトのデータベースへの操作を行うプログラムに対して、攻撃者がサイトの入力画面からSQLの断片を与えることによって、データベース内の情報を改ざんや盗難を行います。

マルウェアなどのように、事前に攻撃ターゲットに不正ファイルやアプリケーションを仕込むことなく実行できるため、SQLインジェクションにぜい弱性を持つサイトは、突然攻撃を受けて重要情報を盗み出されてしまう可能性もあるので要注意です。

対策としては、定期的にサイト全体のぜい弱性検査を実行しつつ、不正な入力値による処理を拒否する設定にしたり、データベースアカウントの権限を最小限にしたりするといった方法が考えられるでしょう。

クロスサイトスクリプティング

ブログや掲示板、あるいはECサイトなどはユーザーが自ら入力した情報をそのまま出力することになりますが、そういったWEB上のアプリケーションに対してまずは悪意のあるスクリプトが紛れ込ませます。
そして、それをユーザー環境で実行させることによってIDやパスワードを含む個人情報を盗み出すような攻撃をクロスサイトスクリプティング(XSS)といいます。

たとえば、ユーザーに悪意のあるスクリプトを埋め込んだリンクをクリックするように誘導し、リンク先を閲覧したブラウザでそのプログラムを実行させるといった方法がとられるケースが多いです。

対策としては、サーバ環境やWEBアプリケーションを最新の状態にして、ぜい弱性が生まれにくい環境を整えることが挙げられます。

東京五輪とサイバーテロ

東京五輪の開幕に伴って高まるリスク

近年はさまざまなサイバー攻撃が世界各地で報告されており、その被害も増え続けています。特に日本はサイバー攻撃の標的にされることが多く、国内外から常に何らかの攻撃を受けているといっても過言ではない状態です。

さらに2020年に東京五輪が近づいていることもあって、今後ますます大規模なサイバー攻撃を受ける可能性が指摘されています。上述の東京オリンピック組織委員会の公式ホームページへの攻撃はその一環といっていいでしょう。

これに対して、日本政府はオリンピック開催に向けて、サイバーセキュリティに関するリスク評価を開始したり、運営上重要となるインフラの保護を強化する措置を講じたりしているほか、競技大会組織委員会の方でも「サイバーコロッセオ」と銘打ったサイバーセキュリティの演習を実施しているようです。

政府と民間が一丸となって現実的な攻撃を想定した対策を行っているわけです。

一般企業でも必要となるセキュリティ意識

サイバーテロへの対策はオリンピックに関わる組織だけの問題ではなく、日本の一般企業でも考えなくてはならない重要なトピックです。

特に電力やガス、金融などの社会的インフラを支えている企業は、常にサイバーテロのリスク晒されているという自覚をもつ必要があるでしょう。ひとたび攻撃を受ければ、日本社会に甚大な被害をもたらすことが目に見えており、攻撃者もそういった企業を重点的に狙ってくる可能性が高いからです。

そして重要なことは、日本で実際に起こっているサイバー攻撃の9割以上が、ソフトウェアのアップデートや日常的なログ監視、IDやパスワード管理の徹底といった基本的な対策で防ぐことができるといわれていることです。

逆に言えば、セキュリティ意識の甘い企業から被害が出ているということなので、ビジネス規模の大小に関わらず、まずはセキュリティに関する基本的な知識をもつことから始める必要があるでしょう。

以下の記事では、サイバーセキュリティ対策についてより詳しく解説しています。

サイバーセキュリティ対策まとめ | 一般的な対策・経営ガイドラインを解説 | ボクシルマガジン
ここでは、サイバーセキュリティの対策についての基礎知識を紹介し、経済産業省が出しているサイバーセキュリティ経営ガイ...

サイバー攻撃対策サービス4選

最後に、これまで説明してきたようなサイバー攻撃を防ぐためのセキュリティサービスについて、代表的なものを紹介します。

また、今回紹介するWAF製品や紹介しきれなかったものについてはこちらからご覧になれます。

資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。
利用規約とご案内の連絡に同意の上
WAFの資料を無料DL

攻撃遮断くん

  • 国内導入実績・導入サイト数No.1
  • あらゆる規模のWEBサービスに導入可能
  • 充実したサポート付き

攻撃遮断くんは、国内での導入実績・導入サイト数No.1のクラウド型WAFです。

サーバやサイトへのさまざまな攻撃を遮断し、重要な情報の漏えいや改ざん、DDoS攻撃などの脅威からユーザーを守ってくれます。サイト数やトラフィック量に関わらず一定額で利用でき、24時間365日の手厚いサポート体制が敷かれているのが魅力です。

WAFサービスのなかでも、もっとも有名なサービスといっても過言ではないでしょう。

資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。
利用規約とご案内の連絡に同意の上
攻撃遮断くんの資料を無料DL

以下の記事では、攻撃遮断くんの仕組みや使い方についてより詳しく解説しています。

攻撃遮断くんの使い方・仕組み・導入事例 | 注目クラウドWAFの機能を解説 | ボクシルマガジン
国内導入実績ナンバーワンを誇るサイバーセキュリティクラウドのクラウドWAF「攻撃遮断くん」について、その仕組みや使...

Cloudbric

  • サイトをターゲットとして攻撃を正確に検知し、遮断する
  • DDoS攻撃からシステムを保護
  • 無償SSL証明書

Cloudbricは、さまざまなサイバー攻撃から自社のWEBサイトを守るためのセキュリティ対策統合サービスであり、クラウド型のWAF(Web Application Firewall)です。
DDoS攻撃をはじめとした脅威から自社サイトを防御し、その履歴は詳細な分析レポートによって確認することが可能です。365日の監視体制と専門家による手厚いサポートも受けられるので、迷ったらまず導入してみることをおすすめします。

資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。
利用規約とご案内の連絡に同意の上
Cloudbricの資料を無料DL

サイト専用型WAF:WAF BENKEI

  • サイト別に専用WAF環境を構築できる
  • 低帯域・高帯域の両面で導入可能
  • 無料トライアルあり

WAF BENKEIは、サイトごとに占有型のWAFサーバー環境を構築できるWAFソリューションです。

一般的なWAFは複数のユーザーが共有する形態で提供されていますが、WAF BENKEIでは1サイト占有型のWAFサーバーを構築することで保守性に優れたサービスの提供を実現しています。無料トライアルもあるので、実際に導入してみて、その違いを確かめるのもよいでしょう。

資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。
利用規約とご案内の連絡に同意の上
WAF BENKEIの資料を無料DL

SCT SECURE クラウドWAF EXP

  • 世界中で200万IP以上を診断
  • WEBサイトを構成するさまざまな要素のぜい弱性を診断
  • 充実したサポート体制

SCT SECURE クラウドWAF EXPは、200万IP以上の診断に利用されているエンジンを使用した実績のあるセキュリティマーク配信サービスです。

自社のWEBサイトのさまざまなぜい弱性を診断でき、さまざまな不正アクセスからWEBサイトを守ります。ぜい弱性の危険度レベルや解決方法、修正パッチのダウンロードサイトへのリンク情報などを知らせてくれるので、自社で最適な対策をとることができるようになります。


WAF製品の比較20選|選び方や導入のポイントも解説 | ボクシルマガジン
近年急速に需要が高まり、セキュリティ対策の主幹を担うようになった「WAF」。厳選された20製品を比較するとともに、...

資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。
利用規約とご案内の連絡に同意の上
WAFの資料を無料DL

サイバーテロの危険性を理解し、企業として適切な対策を講じる

近年、世界的に被害が増え続けているサイバーテロについて、国内外の状況から東京五輪の開催に伴うリスクの高まりについて解説してきました。
残念ながら、日本企業のセキュリティ意識は諸外国に比べてまだまだ低いと言わざるを得ないのが現状です。

しかし、繰り返しになりますが、サイバーテロの被害の9割以上は基本的な対策をしておけば十分防ぐことのできるものです。企業のセキュリティ担当者やシステム管理者は、ぜひこの事実を真剣に受け止め、自社のセキュリティ意識を高めるための方法を考えてみてください。

以下の記事では、おすすめのWAF製品や、WAFを選ぶ際に見るべきポイントを解説しています。
ぜひご覧ください。

WAF製品の比較20選|選び方や導入のポイントも解説 | ボクシルマガジン
近年急速に需要が高まり、セキュリティ対策の主幹を担うようになった「WAF」。厳選された20製品を比較するとともに、...

資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。
利用規約とご案内の連絡に同意の上
WAFの資料を無料DL

ボクシルとは

ボクシルとは、「コスト削減」「売上向上」につながる法人向けクラウドサービスを中心に、さまざまなサービスを掲載する日本最大級の法人向けサービス口コミ・比較サイトです。

「何かサービスを導入したいけど、どんなサービスがあるのかわからない。」
「同じようなサービスがあり、どのサービスが優れているのかわからない。」

そんな悩みを解消するのがボクシルです。

マーケティングに問題を抱えている法人企業は、ボクシルを活用することで効率的に見込み顧客を獲得できます!また、リード獲得支援だけでなくタイアップ記事広告の作成などさまざまなニーズにお答えします。

ボクシルボクシルマガジンの2軸を利用することで、掲載企業はリードジェネレーションやリードナーチャリングにおける手間を一挙に解消し、低コスト高効率最小限のリスクでリード獲得ができるようになります。ぜひご登録ください。

Article whitepaper bgS3 0
WAF
選び方ガイド
資料請求後に下記のサービス提供会社、弊社よりご案内を差し上げる場合があります。
株式会社オロ
利用規約とご案内の連絡に同意の上
Article like finger
この記事が良かったら、いいね!をしてください!最新情報をお届けします!
御社のサービスを
ボクシルに掲載しませんか?
月間100万PV
掲載社数1,000
商談発生10,000件以上
この記事とあわせて読まれている記事