事例で分かる、中堅・中小企業のセキュリティ対策【第1回】

どう防ぐ？　標的型攻撃：「メールの添付ファイルを開いたあと、PCが重い気がする」（2/3 ページ）

公開 2016年06月13日 09時00分

更新 2016年06月22日 13時00分

著者

那須慎二

[船井総合研究所]

印刷する連載新着通知を受け取る

併せて読みたいお勧め記事

中堅・中小企業のセキュリティ対策の課題

一人一人ができるセキュリティ対策

参考事例：中堅・中小企業を狙う標的型攻撃「スピアフィッシング」

　中堅・中小企業をターゲットとした「標的型攻撃」が増えているのをご存じでしょうか。

　標的型攻撃とは、特定の企業や法人、団体などの組織をターゲットとし、ターゲットとなる組織内の情報を狙う攻撃の総称です。その組織の業務習慣など、内部の情報について事前に入念な調査をしたうえで、さまざまな攻撃手法を組み合わせて内部侵入を試みます。侵入後は侵入範囲を拡大し、重要情報や機密情報を抜き取ったり、データを削除したりします。

　事実、標的型攻撃の1つである「スピアフィッシング」（特定ユーザーを狙ったフィッシング詐欺）による企業を狙った攻撃では、攻撃のターゲットの65％は中堅・中小企業であることがシマンテックの調査で明らかになっています（シマンテックの「2016年インターネットセキュリティ脅威レポート」より）。特に、従業員数が1～250人までの企業に対する攻撃が過去5年間で増加傾向にあり、2015年は攻撃全体の43％が1～250人までの企業を標的にしていました。攻撃者が攻撃対象を中堅・中小企業に向けていることがよく分かります。筆者はこれを「攻撃のダウンサイジング化」と呼んでいます。

参考

2016年インターネットセキュリティ脅威レポート（シマンテック）

　スピアフィッシングは、メールを使った標的型攻撃です。攻撃者は取引先を装い、業務に関連しそうなメールタイトルで、業務に関係するようなメール本文を構成します。メールに添付したMicrosoftのワープロソフト「Microsoft Word」やAdobe SystemsのPDFビュワー「Adobe Acrobat Reader」などを偽装したウイルスファイルを開封させようとしたり、「Dropbox」「Box」などのオンラインストレージのURLを添付し、ウイルスファイルをダウンロードさせようとしたりします。対象企業に応じた個別具体的な情報を付加した内容でメールを送付してくる点が厄介です。

　例えば、あなたが以下のようなスピアフィッシングを受けた場合、回避できる自信はあるでしょうか。

事例

　従業員40人の製造業。大手企業から製造業務の仕事を請けている。

　取引先である購買部の佐藤さんからメールが届いた。佐藤さんという人は知らないが、いつもの取引先からのメールだと思い、疑問を抱くことなく受信フォルダに入ってきたメールのタイトルを見た。

図1　取引先からのメール画面（架空のサンプル事例です）

　疑問に思うことなく添付ファイルを開封した。　実はこの添付ファイルは、Wordファイルに偽装した遠隔操作プログラムだった。

　こうして、PCには遠隔操作プログラムが埋め込まれ、攻撃者に乗っ取られてしまった。だが当の本人は「PCが少し重たくなったかな……」くらいにしか思わず、通常通り業務を遂行した。攻撃者にはPCの中にある情報を閲覧されているものの、本人は重要情報を持ち出されているとはいまだに気付いていない。

　これが典型的なスピアフィッシングの攻撃例ですが、いかがでしょうか。業務に関係する内容で、しかも取引先を詐称した偽装メールの場合、それと気付かずにメールを開封し、偽装ファイルをクリックしてしまう可能性は十分にあり得ることです。

　標的型攻撃への対策は多岐にわたります。IPA（情報処理推進機構）も推奨している通り複数のセキュリティ対策を組み合わせる「多層防御」で社内の環境を守らなくてはいけません。社員教育の充実や組織としてのルール決めなど、人に対しての対策はもちろんですが、物理的対策として推奨するのはインターネットとLANの間に安全策を施すことです。具体的にはUTM（Unified Threat Management：統合脅威管理）や次世代ファイアウォール（NGFW： Next Gereration Firewall）などを導入することです。UTMや次世代ファイアウォールはアプライアンスとして販売されていることが多く、インターネットとLANの間に設置するルーターを置き換えて利用します。

次ページへ UTMや次世代ファイアウォールの特徴

印刷する

事例で分かる、中堅・中小企業のセキュリティ対策

情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

連載新着通知を受け取る

この連載の記事をもっと見る