サイバー犯罪の脅威に対するクライシスマネジメント第1回「標的型攻撃の増加」

ソニー米国子会社へのサイバー攻撃による史上最大規模の情報漏えいや、イランの原子力施設を対象としたサイバー攻撃にみられるように、昨今では、特定の団体、組織を標的とし、高度な技術を用いて徹底的な攻撃を仕掛けるケースが増加しており、経営に対してより深刻な影響を与える脅威となっています。一方で、管理対象としての情報システムは、クラウドコンピューティングやスマートフォンの普及などにより、複雑さを増しており、サイバー攻撃への対処がより困難な状況になりつつあります。

本稿では、昨今のサイバー犯罪の傾向とグローバルの動向を踏まえ、経営者がどのように深刻化するサイバー犯罪の脅威に対して向き合い、対応すべきかについて考察します。

1．急速に拡大するサイバー犯罪の脅威

ソニー米国子会社の大規模情報漏えいや、国家機関へのサイバー攻撃などが連日報道されているように、情報セキュリティに係る脅威はますます大規模化・高度化・複雑化しています。最近注目された新しいタイプの攻撃として、「Operation Aurora」と呼ばれるInternet Explorerの脆弱性を利用した攻撃や、「Stuxnet」と呼ばれる原子力発電所の制御システムを対象とした攻撃を代表例として挙げることができます。これらは、一般的な防護システムを回避するように、既存の攻撃手法を巧みに組み合わせ、さらには攻撃目標に合わせて設計されていることから、「APT(Advanced Persistent Threats)」と呼ばれ、新たな脅威として認識されています。また、普及が目覚ましいスマートフォンやソーシャルネットワークを狙った攻撃の増加や、クラウドコンピューティングの利用に伴う課題なども新しい傾向です。サイバー犯罪は、テクノロジーの発展と普及に伴い、攻撃側の優位性が加速し、常に防御側が後手に回ることとなるため、時を経るごとにその脅威がますます深刻化する傾向にあります。

（1）標的型攻撃の増加

標的型攻撃は、特定の個人や組織に対して、社内の人間や取引先企業、知人などになりすまし、ウイルスを添付したメールを送付したり、メール本文に記載されているリンクから悪意あるサイトへ誘導するなどの手口で、PCをウイルスに感染させます。

感染したウイルスは、PC内に潜伏してインターネット経由で攻撃用サーバから別のウイルスを呼び込んだり、情報窃取やシステムへの破壊活動などを行います。

標的型攻撃は、2005年に確認されてから既に数年が経っていますが、人間の心理面につけ込んだソーシャルエンジニアリングが使用されているため、技術的な対策のみでは防御しきれないという実情があります。例えば、業務上いかにも有りそうな内容のメールが取引先の実在する人物から送られて来た場合、多くの人は、大事な取引先からの情報ということもあり、添付ファイルを開く可能性が高いのではないでしょうか。このように、送られてきたメールが本物か偽物かの区別が困難で、攻撃を受けていることに気付かないのが標的型攻撃の特徴です。

また、標的型攻撃は特定の個人や組織のみが対象とされるため、ウイルス情報が出回らず、ウイルスパターンファイルの提供が遅れることで、ウイルス対策ソフトウェアによる検知が難しいという傾向があります。

国内の事例としては、2010年の経済産業省を狙った攻撃や、2011年の衆議院と参議院のウイルス感染による情報流出などがあります。経済産業省のケースでは、職員宛に一斉に標的型メールが送付され、実際にあった大臣と外国要人の会談を伝える内容であり、送信元の会談担当職員のメールアドレスと似ていたことから、その内の約20人がメールを開いてしまったようです。当事者間で共有されている情報が使用されるなど、偽メールと疑う事が困難な手の込んだ攻撃といえます。　

国家機関のみでなく、一般企業も標的となります。ウイルス対策ソフトベンダーのシマンテック社によると、標的型攻撃の確認例は、世界中で年々増加しており、2005年は1週間に1件程度だったのが、2011年11月の平均では、大企業（従業員数2500人以上）に対して1日当たり36.7件、中小企業（従業員数250人以下）に対しても1日当たり11.6件の標的型攻撃を確認したとのことです。海外では、石油会社が標的型攻撃によって採掘場所の情報を窃取されたという事例があります。このような重要な機密情報が盗まれたことで、企業活動に大きな影響を及ぼす可能性があります。また、国内でも2011年9月、震災関連情報を装った標的型メールによって、三菱重工が不正侵入を受けたと報道されました。このように標的型メールは、サイバー攻撃におけるシステム侵入の常套手段として使われるようになっています。

（堀田知行）

著者略歴：株式会社KPMG FAS　フォレンジックサービス部門　ディレクター
2005年、KPMG FAS入社。デジタルフォレンジックの技術を用い、情報漏えい、インサイダー取引、資金横領・粉飾などの不正調査および危機対応支援を担当。また、インテリジェンス（情報分析技術）、データ分析技術、IT知識を活かし、M&Aにおける戦略評価、競合分析、ITデューデリジェンス、企業分割・統合支援などにも従事。KPMG入社前は、株式会社電通国際情報サービスにて、製造業向けコンサルティングおよび戦略企画立案に従事。慶応義塾大学環境情報学部卒業