進化する攻撃方法 1

時代により遷移する攻撃目標と目的

パソコン、サーバが広く普及して以来、サイバー攻撃の手法は常に進化を続け、企業活動、市民生活をも脅かしています。

2000年以降の情報セキュリティにおける脅威の変遷を見てみると、マルウェアや攻撃手法、事例については、毎年、新しい形態が出現しています。

標的・目的についても、以前は個人を標的とした愉快犯的なものが多数を占めていましたが、近年は、組織や重要インフラ、さらには国家までをも標的とした経済犯・組織犯的なものに移行しつつあります。

攻撃手法も格段に高度化・複雑化してきています。

具体的に、一般財団法人日本データ通信協会 テレコム・アイザック推進会議(Telecom-ISAC Japan)のデータを見てみましょう。

出典 Telecom-ISAC Japan

2000年から2003年頃までは、個人をターゲットにしていた攻撃が、2004年頃からは、組織、2009年頃からは重要インフラ、2012年頃からは国家をターゲットにすることが多くなっています。

ここで言う重要インフラとは、原子力発電所や電気、ガス、水道などを指します。2010年7月には、イランの原子力発電所へ、スタックスネットによる攻撃が判明しました。スタクスネットとは、特定の標的を狙う巧妙なワームのことで、核開発を妨害するために使用され、イラン国内の核燃料施設でウラン濃縮用遠心分離機を破壊されるという実被害も発生しました。アメリカでは、ガスや水道も攻撃の対象になっていると米国土安全保障省(DHS)より発表されています。

攻撃の目的からも顕著な遷移をみてとれます。2000年以前は愉快犯が主だったのに対し、2001年頃からは金銭目的、2006年頃からは機密情報搾取、2009年頃からは組織活動妨害、2011年頃からはサイバーテロ、ハクティビズム(政治的、社会的な主張のもとにハッキング活動を行うこと)、2013年頃からは不正送金と遷移しております。攻撃の目的が遷移しているからと言って、以前目的とされた動機が、最近はなくなっているかといえば、そんなことはありません。今でも愉快犯的な攻撃もあれば、機密情報搾取、サイバーテロ目的で攻撃されることも多数報告されています。

現在のセキュリティ脅威

IPAでは、毎年、「情報セキュリティ10大脅威」というデータを発表して個人、組織に注意喚起を促しています。毎年のデータを見比べてみると、現在、インターネットユーザーは、何にもっと注意をするべきかが簡単に把握できます。たとえば、個人では「インターネットバンキングやクレジットカード情報の不正利用」が2016年、2017年に1位となっており、組織では、「標的型攻撃による情報流出」が2016年、2017年ともに1位となっております。これらの項目を気に留めておき、普段のインターネット利用時に注意するだけでもサイバー犯罪にあう危険性を排除できます。

情報セキュリティ10大脅威 2017

その他のランキングは下記のようになっており、テレビや新聞で度々耳にするフレーズが多数並んでおり、馴染み深い項目となっております。

●情報セキュリティ10大脅威 2017

<個人にとっての脅威>
1位(1位) インターネットバンキングやクレジットカード情報の不正利用
2位(2位) ランサムウェアによる被害
3位(3位) スマートフォンやスマートフォンアプリを狙った攻撃
4位(5位) ウェブサービスへの不正ログイン
5位(4位) ワンクリック請求等の不当請求
6位(7位) ウェブサービスからの個人情報の窃取
7位(6位) ネット上の誹謗・中傷
8位(8位) 情報モラル欠如に伴う犯罪の低年齢化
9位(10位) インターネット上のサービスを悪用した攻撃
10位(ランク外) インターネットバンキングやクレジットカード情報の不正利用

<組織にとっての脅威>
1位(1位) 標的型攻撃による情報流出
2位(7位) ランサムウェアによる被害
3位(3位) ウェブサービスからの個人情報の窃取
4位(4位) サービス妨害攻撃によるサービスの停止
5位(2位) 内部不正による情報漏えいとそれに伴う業務停止
6位(5位) ウェブサイトの改ざん
7位(9位) ウェブサービスへの不正ログイン
8位(ランク外) IoT機器の脆弱性の顕在化
9位(ランク外) 攻撃のビジネス化(アンダーグラウンドサービス)
10位(8位) インターネットバンキングやクレジットカード情報の不正利用