サイバー攻撃とは、サーバーやPCなどのコンピューターシステムに対し、ネットワークを経由して行われる破壊活動やデータの窃取、改ざんなどのことを指します。
サイバー攻撃はますます巧妙化しており、企業も個人も十分な対策が欠かせません。
そこで、本記事では下記の内容を解説します。
- 従業員・企業別のサイバー攻撃への対策一覧
- サイバー攻撃の種類と被害事例
- サイバー攻撃の被害に遭ってしまった時の対処法
まず、サイバー攻撃への理解を深めたい方は、下記の記事をご覧ください。
目次
【一覧】サイバー攻撃の対策を従業員・企業別に紹介
はじめに、サイバー攻撃への対策を「従業員」と「企業」に分けて紹介します。
【従業員ができる対策】
- サイバー攻撃の手口や対策への理解を深める
- OSやソフトウェアのアップデートをする
- 不審なメールや怪しいサイトを開かない
- 推測されにくいパスワードを設定する
- ウイルス対策ソフトを導入する
【企業ができる対策】
- 会社で使用している端末や、USBメモリの持ち出しを制限する
- 重要情報を取り扱う部屋には個人の端末は持ち込まないようにする
- 重要情報へのアクセス権限は職位や業務内容に合わせて付与する
- 従業員へのセキュリティ教育を行う
- 重要な情報へのアクセスは二段階認証を導入する
- セキュリティポリシーを定め、適合するセキュリティサービスを導入する
サイバー攻撃への対策には、個人ができるものと企業全体で行うものなど、さまざまな種類があります。
次の章で、サイバー攻撃対策として代表的なものを解説しますので、ぜひ参考にご覧ください。
サイバー攻撃への対策5選
本章では、サイバー攻撃への対策を5つ紹介します。
- 定期的にソフトウェアをアップデートする
- 定期的なバックアップをする
- パスワードを徹底管理する
- 二要素認証を活用する
- 不正注文検知システムなどのセキュリティサービスを導入する
できる対策から実行し、サイバー攻撃に備えましょう。
【対策1】定期的にソフトウェアをアップデートする
ソフトウェアのアップデート通知が来たら、早めにアップデートするよう心がけましょう。
アップデートの通知は、システムに生じた不具合を修正したことなどをユーザーに知らせ、端末を常に最新の状態に保つために送られてきます。
アップデートの内容はさまざまですが、中にはセキュリティの強化が含まれてることがあります。アップデートによってセキュリティが強化されると、サイバー攻撃による被害を軽減することが可能です。
定期的なソフトウェアのアップデートを、必ず行いましょう。
【対策2】定期的なバックアップをする
定期的なバックアップはサイバー攻撃に対する重要な対策です。
なぜなら、サイバー攻撃によってシステムやデータに不具合が発生した場合、バックアップがあればシステムを以前の状態に復元できる可能性があるからです。
正常に稼働していた時点のシステムに戻すことができれば、その後の業務への影響を最小限に抑えることができます。
自社に合ったバックアップツールやサービスを選択し、データの保護につとめましょう。
【対策3】パスワードを徹底管理する
パスワードの徹底管理も重要です。
パスワードを目に見えるところに貼り付けたり、使い回したりすることは、サイバー攻撃の被害に遭うリスクを高めます。
総務省は、パスワードを次のとおりに保管することを推奨しています。
【パスワードの保管方法】
- パスワードを複数のサービスで使い回さない（定期的な変更は不要）
- 他人に知られないよう、かつ自分でも忘れないように管理する
- IDやパスワードをメモした場合は、他人に見られないように厳重に保管する
※参考：総務省
パスワードが記載されたメモやアカウント情報が保存されたUSBを持ち歩く時は、紛失や盗難に十分に気をつけましょう。
【対策4】二要素認証を活用する
パスワードの徹底管理も重要ですが、事前の対策として二要素認証の活用も有効です。
二要素認証とは、「ID・パスワード」と「ワンタイムパスワード」のように、異なる2つの要素を用いた認証方法です。
二要素認証で使用される要素には、次のようなものがあります。
| 認証方法 | 特徴 | 認証方法の一例 |
|---|---|---|
| 知識認証 | 本人のみが知る情報で認証する |
|
| 所有認証 | 本人のみが所有している物で認証する |
|
| 生体認証 | 本人のみが持つ身体的な特徴・行動パターンにより認証する |
|
もし、IDやパスワードが漏洩したとしても、二要素認証によって不正なログインを防止できるため、アカウント情報を守れる可能性が高くなります。
二要素認証がどのようにセキュリティ強化に有効なのか詳しく知りたい方は、下記の記事もあわせてご覧ください。
【対策5】不正注文検知システムなどのセキュリティサービスを導入する
不正注文検知システムのようなセキュリティサービスの導入も、サイバー攻撃への重要な対策の一つです。
不正注文検知システムは「不正検知サービス」「不正検知ソリューション」とも呼ばれ、導入すると、取引データや統計分析など検知サービスそれぞれのノウハウから危険性を判別できます。
セキュリティサービスでできることはそれぞれ異なりますが、マルウェアを検知できるセキュリティサービスは、より強力なサイバー攻撃対策としておすすめです。
セキュリティサービスの導入は単に不正を検知するだけでなく、不正者を遠ざける効果もあるため、サイバー攻撃の抑制にも繋がります。
なお、マルウェアについての詳しい説明は、次の記事をご確認ください。
企業は専門的なサイバー攻撃対策が必要
企業を狙うサイバー攻撃はますます巧妙化しており、将来的にも新たな手法が現れると予想されます。
最新の手法に対応するためには高度な対策が求められますが、社内だけで行おうとすると多くの時間と労力が必要になります。
そこでおすすめなのが、不正注文検知システムの導入です。
たとえば、かっこ株式会社が提供する「O-MOTION」は、独自の端末特定技術と操作情報を活用した審査で、高精度に不正ログインを検知します。
さらに、精度の高い不正検知を自動化できるため、時間や労力の削減も可能です。O-MOTIONのおすすめポイントを下表にまとめました。
【O-MOTIONがおすすめな理由】
- 不正アクセスをリアルタイムで検知可能
特許取得の独自技術により、なりすましログインやBOTアタック、同一人物による不正多重登録をリアルタイムに検知可能 - 金融機関、大手企業での利用実績
O-MOTIONは大手銀行・ネット証券等をはじめ、EC、オンラインチケット等様々な業界で利用されている - 認証機能の組み合わせによるリアルタイムブロック
O-MOTIONに多要素認証やアクセス遮断を組み合わせると、ユーザビリティを損なうことなく不正アクセス対策を実施することが可能
精度の高いセキュリティ対策でサイバー攻撃から自社サイトを守りたいとお考えの方は、ぜひ「O-MOTION」の資料をダウンロードしてみてください。
自社の不正アクセス状況が分かるトライアル利用受付中！
O-MOTIONの資料DLはこちら
サイバー攻撃を受けてしまった場合の対処法4選
もし、サイバー攻撃を受けてしまった場合は、次のようにすみやかに対処しましょう。
- 被害に遭ったデバイスを特定する
- 該当するデバイスをネットワークから遮断する
- セキュリティソフトでマルウェアに感染していないかチェックする
- 警察や専門業者に相談する
サイバー攻撃の被害に遭ったと考えられる場合には、被害を最小限に留めるのが重要な課題です。
いざという時のためにも、対処法は事前に押さえておきましょう。
【対処法1】被害に遭ったデバイスを特定する
サイバー攻撃を受けた疑いがある場合には、該当するデバイスを迅速に特定することが重要です。
サイバー攻撃の種類によっては、デバイスを特定できないと被害がさらに拡大することもあります。
「サイバー攻撃を受けたかもしれない」と思ったら、すぐに対応しましょう。
【対処法2】該当するデバイスをネットワークから切断する
該当するデバイスが見つかったら、すぐにネットワークから切断しましょう。
デバイスがマルウェアに感染していた場合、ネットワークを介して感染が広がるおそれがあります。
デバイスを切り離し、次の項目で説明する対処法をオフライン上で実行しましょう。
【対処法3】セキュリティソフトでマルウェアに感染していないかチェックする
該当するデバイスをネットワークから切り離したら、セキュリティソフトを使用してマルウェアに感染していないかチェックします。
できれば、ネットワーク上にあるすべてのデバイスをチェックしましょう。
感染していた場合は、セキュリティソフトを使用して駆除できるか試してみてください。
マルウェアを駆除した後は、システムに問題が残っていないかを確認します。
状況にもよりますが、可能であればバックアップを使用して、システムが正常に稼働していた時点に復旧させましょう。
ただし、バックアップデータも感染している場合もあるので、注意が必要です。
【対処法4】警察や専門業者に相談する
サイバー攻撃の被害に遭ったら、自ら対処できた場合でも警察に相談しましょう。
警察に報告することでサイバー攻撃の事実が公になり、注意喚起しやすくなります。
また、自ら対処が難しい場合には、専門業者が対応可能なケースもあるので相談するようにしましょう。
サイバー攻撃の種類
本章では、サイバー攻撃の種類を紹介します。サイバー攻撃は主に、下記のような不正行為をベースに行われています。
- 脆弱性をつく・他人になりすますなどして不正にシステムに侵入する
- 不正に個人情報や機密情報を搾取する
- 不特定多数を狙って詐欺行為をする
- 特定の組織や企業、個人を狙って攻撃する
このような方法を元に、さまざまな種類のサイバー攻撃が発生しているのです。
【主なサイバー攻撃の種類】
- マルウェア
スマホやPCなどのデバイスに不具合を起こすプログラムやソフトウェアの総称 - 標的型攻撃
特定の個人や組織を狙った、機密情報や個人常用の搾取、嫌がらせなどが目的の攻撃 - ランサムウェア
デバイス内のシステムやデータなどに勝手にロックをかけ使用不可能にし、復旧する代わりに金銭を要求するマルウェア - フィッシング
官公庁や金融機関などになりすましてメールを送りつけ、偽サイトに誘導した後に個人情報を搾取する詐欺行為 - リスト型攻撃
不正な方法で取得したアカウント情報を利用し、他人になりすましてサイトにログインしようとする攻撃 - DoS（DDoS）攻撃
データを大量に送信したり、脆弱性をついて不正な処理をさせたりしてシステムを正常に稼働できない状態に追い込む攻撃 - フォームジャッキング攻撃
Webサイトの入力フォームに不正なスクリプト（簡易的なプログラム）を埋め込み、フォームに入力した内容を不正に入手する攻撃
なお、次の記事ではサイバー攻撃の種類をさらに細かく説明しているので、あわせてご覧ください。
サイバー攻撃の被害事例2選
ここからは、サイバー攻撃による2つの事例を紹介します。
- ランサムウェア攻撃による顧客情報の流出と情報の暗号化
- パスワードリスト攻撃による不正アクセス
さっそく、みていきましょう。
【事例1：ランサムウェア攻撃による顧客情報の流出と情報の暗号化】
とある大手ゲーム会社は、2020年10月にオーダーメイド型ランサムウェアの攻撃によって、約35万人の個人情報が流出したおそれがあると発表しました。
この攻撃による経緯は次のとおりです。
- 2020年11月2日
社内システムへの接続障害があったため、システムを遮断し、状況を確認
障害の原因が、ネットワーク上の機器に対するランサムウェアの攻撃によるもので、ファイルが暗号化されていることが判明。脅迫メッセージも届いたため、警察に通報し外部企業に復旧支援を要請した - 2020年11月4日
不正アクセスによるシステム障害が発生し、最大で約35万人の情報が漏洩したおそれがあると公表
そのため、企業側は次のような対策を実施しました。
- セキュリティ監督委員会の発足
- セキュリティ対策室を新設
- 業務用アカウントの管理ツール導入や定期的な確認をする仕組みを強化
- グループ全体のセキュリティおよび個人情報管理のさらなる啓発体制を構築
この企業は、従来より不正アクセス対策として社内と社外ネットワークとの間に不正アクセス対策を行い、境界線のセキュリティ措置を施していました。
さらに強固なセキュリティ対策を実施しようとしていましたが、新型コロナウイルスの影響によってインフラの整備が必要になり、セキュリティ面の対策が後回しになっていたところを狙われてしまいました。
【事例2：パスワードリスト攻撃による不正アクセス】
とある大手アパレルショップが運営するサイトに、パスワードリスト攻撃によるものと見られる不正アクセスが発生しました。
それにより、約46万件の顧客情報が不正に閲覧されたおそれがあると公表しています。
この攻撃による経緯は次のとおりです。
- 2019年4月23日〜5月10日
「リスト型アカウントハッキング（リスト型攻撃）」の手法でシステムに不正アクセスされる - 2019年5月13日
461,091件にのぼる不正ログインを確認
この攻撃は2週間以上も続き、オンラインショップを利用している顧客情報が閲覧されてしまったようです。
不正に閲覧されたおそれのある内容は、次のように発表されています。
- 氏名・フリガナ
- 住所
- 電話番号、携帯電話番号、メールアドレス、生年月日、購入履歴
- 配送先の氏名およびフリガナ・住所・電話番号
- クレジットカード情報の一部（カード名義人・有効期限・クレジットカード番号の一部）
※クレジットカード番号は上4桁および下4桁は非表示。また、CVV（クレジットカードセキュリティコード）は表示や保存されていないため漏洩のおそれはなし
この被害を受けて、企業側は次のような対策を取りました。
- 不正ログインが施行された通信元を特定し、アクセス遮断
- アクセス管理の強化
- 個人情報が閲覧されたおそれのあるユーザーのIDやパスワードを無効化、顧客にパスワードを再設定するように促す
このように、サイバー攻撃を受けると、企業のみならず個人も大きな損害を被るおそれがあります。そのため、普段からサイバー攻撃への対策を十分にしておかなければなりません。
サイバー攻撃による炎上に備えて、事業者さまは以下からお役立ち資料をぜひダウンロードして参考にしてください。
サイバー攻撃は被害発生前に対策を
サイバー攻撃による被害を最小限に防ぐには、普段から下記のような対策をすることが重要です。
- 不正注文検知システムなどのセキュリティソフトを導入する
- 定期的にソフトウェアをアップデートする
- 定期的なバックアップをする
- パスワードを徹底管理する
- 二要素認証を活用する
しかし、十分に対策を行っていたとしても、被害を完全に防げるわけではありません。
サイバー攻撃の被害にあってしまった場合でも、二次被害を増やさないような対応が必要です。
当サイトでは、不正アクセスを受けた場合の対応手順マニュアルを無料で配布しています。いざという時にスムーズに対応できますので、ぜひダウンロードしてお手元に準備しておいてください。
＼不正発覚した時に企業としてどう対応しますか？／ 
