この報道を受け、｢自分も被害を受けているのではないか｣「自分も知らず知らずのうちに、サイバー犯罪に加担してしまっているのではないか」という不安を感じた方々も多いだろう。
■なぜサイバー攻撃を防ぐことは難しいのか
『CxO(経営層)のための情報セキュリティ 経営判断に必要な知識と心得』(三宅功著、ダイヤモンド社刊)の中で紹介されている調査報告(※1)によれば、個人情報漏えいにおける原因の約65％は、誤操作、管理ミス、紛失・置き忘れなどの過失によるものだという。
ではなぜ、少しのミスがこれほど甚大な被害をもたらす事故へとつながってしまうのだろうか。その背景には、近年の情報セキュリティ対策そのものの難しさが挙げられる。
著者によれば情報セキュリティ対策のレベルがどんどん上がっている原因は｢企業活動が拡大｣することによって「ITシステムへの依存率が高ま｣り、「守るべき情報資産(情報システムや情報そのもののこと)が増えている｣ためだという。
|
|
|
|
■日本年金機構の例に見る、サイバー攻撃の手口
コンピュータシステムの脆弱性とは、どのような形で表面化するものなのだろうか。日本年金機構のケースを例に説明しよう。
まず事件の概要についてまとめておくと、2015年5月21日から23日までの3日間で、日本年金機構が管理していた基礎年金番号、個人の氏名、住所などの情報が流出した。
本書によれば、このケースは典型的な｢標的型攻撃｣と言われるものだそう。攻撃者は手っ取り早く取れる情報から窃取を始め、そこで得た情報を手がかりにして、さらなる攻撃を仕掛けていく。
このケースでいえば、5月8日、ホームページで公開されているアドレス宛に送られた1件目のメールにマルウェア(※2)が埋め込まれていた。このマルウェアが、感染したPC内のメールソフトからアドレス帳を探し出し、攻撃者は非公開の個人メールアドレスを入手したのだ。
|
|
|
|
このケースにおいては、段階的に情報を窃取していく中で、非公開の個人メールアドレス宛にかなり業務に関係の深い件名をつけたメールが送られるようになる。このため、メールの受け手が「疑わしいメール」であることを判断するのは難しかった、という点に注目したい。「メールを開封してしまった」という脆弱性については、攻撃の対象となる組織の業務や特定の個人に関連した巧妙なメールが送られてくるため、いくら受け手に厳しく注意を喚起しても、開封率をゼロにするのはかなり難しかったはずだ。
一方、もう一つの脆弱性については、事前に対応可能なものであった。年金の個人情報は普段、インターネットに接続していない基幹システムに厳重に保管されていた。従って実際の事務作業担当者は、作業をするたびに、基幹システムから日常的に使用している業務システムへと情報を移動する必要があった。
そして、事務処理をするために、CD-ROMを使って基幹システムから情報を持ち出し、暗号化しないまま、その情報をファイルサーバーに置いてしまっていたのである。攻撃者はここを突いてきたのだ。
本書では年金機構の例だけでなく、ベネッセの内部犯行による名簿流出、中国のネット検閲、多国間のサイバー戦争など、近年のサイバー攻撃がどのような背景、どのような技術によって行なわれているのかが詳細に解説されている。
|
|
|
|
※1…JNSA「2013年 情報セキュリティインシデントに関する調査報告書」
※2…コンピュータシステムを脅かすソフトウェアの総称。代表的なものとしては｢トロイの木馬｣と呼ばれるものがある。
※3…コンピュータに設けられた通信経路のうち、正規の経路や手段を経ずにシステムへ侵入するために設けられる接続経路のこと
(新刊JP編集部)
|
|
|
|
|
|
|
|
Copyright(C) 2024 OTOBANK Inc., All rights reserved. 記事・写真の無断転載を禁じます。
掲載情報の著作権は提供元企業に帰属します。
コラム
ランキング
コラム
アクセス数ランキング
- 1
愛子さま 園遊会での太った猫への“一言”にネット歓喜「大好きになった」「この言い回し凄くいい」（写真：web女性自身）4
話題数ランキング
- 1
「花見は廃止しました」「歓迎会は行きません」令和の新入社員の行動に思わずア然（写真：日刊SPA！）12
