加害者にならないためのサイバー攻撃防止法（第1回）「ついうっかり」が命取り。今こそ社員の意識改革

　インターネット上のサイバー攻撃はもともと、不特定多数に向けて行われるものが多かった。ところが、最近では、特定の企業や組織の機密情報や個人情報の窃取やシステムの破壊を目的とする「標的型攻撃」が増えている。標的型攻撃は不特定多数を狙った攻撃と異なり、目的を達成するまで執拗かつ巧妙に狙ってくる傾向がある。

　この標的型攻撃に使われる主な手段が電子メールだ。マルウエアを添付したメールを送り付ける。それを開封した結果、マルウエアが作動し機密情報を盗み出す。メールはターゲットに定めた組織の社員などを狙い、送信者として信頼できそうな組織や人物を装い、タイトルや内容ももっともらしく、気を引くように作成する巧妙な「だましのテクニック」を駆使している。

　最近の標的型攻撃では、開いたマルウエアは潜伏して攻撃者からのアクセスがない限りは何の挙動も示さないような仕組みとなっている。それゆえ情報が漏えいするまで侵入に気づかないケースも多い。

　注目すべきは、これら標的型の攻撃が、前述の日本年金機構のような大規模な団体・企業だけでなく、より小規模な企業や組織を狙うケースが増えているという点だ。ITの専任者がいない、専門部署がない、セキュリティ対策が不十分な可能性が高いといった弱点を持っている侵入しやすい企業を足掛かりに、そこと取引がある大規模な企業の機密情報を狙うケースも増えている。「うちのような規模の企業には、大した機密情報などないから、わざわざ対策を取る必要はない」などと甘くみている場合ではない。

誤るのも人、守るのも人。対策は今すぐ

　巧妙化した標的型攻撃に、「狙われたら最後じゃないか」と頭を抱えてしまうかもしれない。標的型攻撃は、物理的なハードウエアや技術的な安全管理の「穴」を狙ってくるわけではない。専門知識を持つシステム担当者などだけが対策するのではなく、社内や組織内でメールを扱う全員が、標的型攻撃メールを見分け、誤操作を行う前のタイミングで気づいて対処する必要がある。人間の信じやすい心理やうっかりミスを狙う攻撃だからこそ、「人」で防ぐのがポイントだ。

　標的型攻撃への対策は、社員一人ひとりが情報セキュリティに関する正しい知識を身に付け、保有する情報を守る義務感と責任感を持って慎重に仕事に臨むことに尽きる。それとともに、一人ひとりが攻撃の「だまし」を見破る高い見識力を身に付け、事故を未然に防ぐのだ。

　具体的には、学習会やセミナー、研修などで情報セキュリティに関する基礎知識や、最近のサイバー攻撃の傾向と対策などを学ぶ。さらに、最近は会社で行う避難訓練のように、実地にダミーの標的型攻撃を実施して、誤った対処をしないように身をもって訓練する方法もある。

　いろいろ対策を考えている間にも、社員が標的型攻撃メールの添付ファイルを誤って開いてしまう可能性もある。一刻も早い対処が望まれる。誤るのも人、守るのも人。今すぐ対策を始めよう。