サイバー攻撃という言葉を目にして思い浮かべるのはどのような攻撃方法でしょうか。今やサイバー攻撃には非常に多くの種類が存在し、日々新たな攻撃方法も考え出されています。代表的なサイバー攻撃の種類と概要、必要とされる対策について解説します。

サイバー攻撃の種類

サイバー攻撃にはさまざまな種類があります。以下、代表的なものについて概要を説明します。ただし、これらはほんの一部であり、他にも多くの攻撃があることを覚えておく必要があります。

マルウェア

マルウェアは悪意あるソフトウェアを指す言葉です。よく知られているウイルス（既存のプログラムの一部を改ざんし、分身を作って増殖する）もマルウェアの一種です。他に、ワーム（単独で活動し、自己増殖する）やトロイの木馬（増殖はせず、通常のファイルに偽装して外部からの司令で活動する）、スパイウェア（ユーザーに関する情報を密かに収集して外部に自動送信する）なども同様です。

標的型攻撃

特定の個人や組織をターゲットとして業務関連を装ったメールなどを送付し、マルウェアに感染させるなどして機密情報など重要な情報を盗み出そうとする攻撃手法です。不特定多数を狙うスパムメールなどと違って、何らかの手段で得た情報をもとにした、非常に巧妙な内容のメールが送付されることが多いのが最近の特徴です。

サプライチェーン攻撃

セキュリティ対策が手薄なサプライチェーン（取引先や関連企業）を攻撃し、それを足がかりにしてターゲットとする企業のシステムに侵入する攻撃方法です。また、ターゲットである企業が使っているソフトウェアやハードウェアの更新プログラムなどに不正なプログラムを仕込んで行う攻撃を指すこともあります。

ビジネスメール詐欺

社内の社長や重役、取引先などになりすましたメールを送り、指定した口座に金銭を振り込ませる詐欺です。標的型攻撃が機密情報を盗み出すのが目的であるのに対し、ビジネスメール詐欺は明確に金銭を騙し取ることを主な目的としています。

ゼロデイ攻撃

OSやアプリケーションの脆弱性に対する修正プログラムが提供される前に、その脆弱性を突いて行われる攻撃です。ベンダーやユーザー企業がまだ知らない脆弱性が狙われるため、被害が発覚して対策が実施されるまで攻撃を受け続けることになります。

DoS・DDoS攻撃

DoS攻撃は攻撃目標となるWebサイトやサーバーに対し、大量のデータを送りつけて負荷をかける、あるいは脆弱性を突いて不正な処理を行わせるなどして機能を停止させる攻撃です。これに対し、DDoS攻撃はトロイの木馬などのマルウェアを感染させた複数のマシンを乗っ取り、それらのマシンパワーを使ってDoS攻撃を仕掛ける攻撃です。

フィッシング

メールやSMSを使ってインターネットサービスや宅配業者を装った内容のメッセージを送り、偽のWebページに誘導してクレジットカード情報やアカウント情報を入力させ、それらの情報を盗み出すという手法です。

SQLインジェクション

データベースを操作するためのSQL言語を用いて不正な命令を注入することで、アプリケーションに本来とは異なる動作を行わせる攻撃です。対象となるのはWebサイト内の検索フォームやメールフォームです。データベースが誤作動してエラーを起こすと、個人情報を抜き取ることなどが可能になります。

ブルートフォースアタック

パスワードなどを入手するために、考えられる組み合わせを総当り方式ですべて試して解読する手法です。手動でやろうとすれば気の遠くなるような時間がかかりますが、コンピュータを使えばたやすく解読されてしまう可能性があります。

パスワードリスト攻撃

ダークウェブなどには漏えいしたIDとパスワードがセットになって公開されていることがあります。そのリストを使ってさまざまなWebサービスなどにアクセスを試みるという手法の攻撃です。同じパスワードが流用されていた場合にはいともたやすくアカウントを乗っ取られてしまう可能性があります。

セッションハイジャック

Webアプリケーションとブラウザ間で行われるセッションIDやCookieを使った個人認証のための手続きを、何らかの方法で不正に取得してセッションを乗っ取る攻撃です。直接パスワードを窃取するわけではなく、Webサイトのセキュリティ設定に不備のある場合にその脆弱性を突いてセッションIDを奪取する方法などが知られています。

バッファオーバーフロー攻撃

攻撃対象のコンピュータに対して許容量を超えたデータを送りつけて誤作動を誘発し、同時にコンピュータの乗っ取りなどを行う攻撃です。オーバーフローを起こして攻撃者が侵入に成功すると、マルウェアを使って他のサイバー攻撃の踏み台にする、管理者権限を乗っ取るといったことが可能になります。

サイバー攻撃による被害を抑えるための対策

これらのサイバー攻撃による被害を抑えるには、セキュリティに関する社員教育を十分に行ってセキュリティに対する意識を高めることが不可欠です。とくに標的型攻撃やビジネスメール詐欺、フィッシングなどは、ターゲットにされた本人のリテラシーが被害を食い止めるカギとなります。

また、OSやアプリケーションのアップデートを欠かさないことも重要です。これらのソフトウェアの脆弱性を放置していることはとても危険だといえます。最近では利用しているすべての端末のOSやアプリケーションの脆弱性を連続的に解消して最新状態を保つ、サイバーハイジーンと呼ばれるセキュリティ対策サービスも提供されています。

他にはマルウェア感染を検知して隔離する機能を持つ従来型のセキュリティ対策ソフトや、マルウェア特有の振る舞いを感知して知らせるような機能を持つ新しいタイプのセキュリティ対策ソフトの導入も求められます。

サイバー攻撃の種類は多様化しており、攻撃方法も高度化・巧妙化しています。企業ごとにどのような攻撃を受けやすいかを分析し、適した対策を講じる必要があります。サイバー攻撃を防ぎ、たとえ攻撃を受けたとしてもすみやかに対応して被害を最小限に抑えられるような備えを心掛けましょう。

特にモバイルデバイスへのサイバー攻撃への被害を防ぐための対策としてはMTD（モバイル脅威対策）の導入もお勧めです。