「脅威の可視化」こそ標的型メール攻撃対策の第一歩：あなたの会社は大丈夫？

標的型攻撃の主要な手段の1つである「標的型メール攻撃」。手口が巧妙化する中、対策は一刻を争う。だが、ツールへの投資以前に、まず何とかしなくてはいけない問題があるはずだ。

[TechTargetジャパン]

　「件名：2014上期の資産棚卸について／差出人：総務部長　鈴木」

　ある日、いつもと同じように仕事に勤しんでいるとき、ごくありふれた業務連絡メールが届いた。開いてみるとファイルが添付されており、それをクリックするよう指示が記載されていた。そんなとき、あなたならどうするだろうか――。

　標的とする企業や組織から機密情報を盗み出したりシステムを破壊することを目的に行われる「標的型攻撃」。不正アクセスやUSBメモリ経由でのウイルス感染など、攻撃の方法はさまざまだが、メールを利用した「標的型メール攻撃」は特に多く見られる。

　攻撃者は標的となったユーザーに対し、添付ファイルを開かせてウイルスに感染させようとしたり、閲覧するとウイルスに感染するWebサイトへ誘導する目的でメールを送ってくる。怪しげなメールは開かなければよいと単純に考えるかもしれないが、実際には手口は巧妙だ。上述のように社内連絡を装ったり、緊急性の高い告知事項のフリをしてユーザーの関心を引き、指示に従うようにし向けてくるのだ。

　「いつものメールと書式が違う」「総務部長の名前が違う」など、怪しむべき明確な理由があるならまだしも、取引先を偽装したメールや攻撃者が社内の事情に通じていて巧妙に偽装工作を施しているメールの場合、「ついうっかり」「何となく」指示に従ってしまい、被害を受ける人も少なくないはずだ。

　サイバー攻撃の厄介な点は、被害を受けるのが攻撃された本人だけにとどまらないところだ。あなたの会社に100人の社員がいたとして、99人が注意していても、たった1人の社員が標的型メール攻撃に引っ掛かってしまえば、それをきっかけに、機密情報の漏えいなど重大な事案につながりかねない。

　防御のために統合脅威管理（UTM）製品などツール導入を検討するのも大事なことだが、それ以前にまず求められるのは社員のセキュリティ意識向上と現状のセキュリティ意識レベル（リスク）の確認だ。標的型メール攻撃を1人ひとりの社員が「人ごと」でない脅威として捉えてもらえるようにするため、そして効果的な対策を打つために、企業は何をするべきか。次のページで探っていこう。