サービス
サービスを探す
プロ人材を探す
仕事を探す
ブログを探す
今さら聞けない情報セキュリティ講座① 考え方と脅威編
記事IT・テクノロジー
「情報セキュリティ」と聞くと、なんとなく「エンジニアや専門家が気をつけるもの」というイメージを持っていませんか。
でも実際には、パスワードを設定する、メールの添付ファイルを開く、Wi-Fiにつなぐ、SNSに写真を投稿する――そんな毎日の何気ない行動すべてが、情報セキュリティと直結しています。そしてIT業界を目指す方であれば、なおさら「知らなかった」では済まされない基礎知識です。
この講座は2回に分けてお届けします。①では「情報セキュリティとはそもそも何なのか」という考え方の土台と、「どんな脅威が存在するのか」を扱います。②では、その脅威から情報を守るための暗号技術や、具体的な防御の仕組みを扱う予定です。
専門用語が多く登場しますが、一つひとつ丁寧に噛み砕いて説明していきますので、初めての方でも安心して読み進めてください。
第1章 情報セキュリティとは何か
「情報セキュリティが保たれている」とはどんな状態か
情報セキュリティマネジメントシステムの国際規格であるISO/IEC27002では、情報セキュリティは次のように定義されています。
正当な権利を持つ個人や組織が、情報や情報システムを意図通りに扱えること
言い換えると、「情報の機密性・完全性・可用性を維持すること」です。この3つの言葉、初めて見ると難しく感じるかもしれませんが、実はとてもシンプルな考え方です。
逆に、情報セキュリティが「保たれていない」状態とは、次の2つのケースを指します。
*権利を持たない人が、不正な方法で本来扱えないはずの情報やシステムを扱えてしまっている状態（＝機密性が失われている）
*正当な権利を持つ人でも、情報やシステムを思った通りに扱えない状態（＝完全性や可用性が失われている）
このどちらかが起きたとき、情報漏洩や改ざんといった被害が発生します。
情報セキュリティの3要素「CIA」
先ほど出てきた「機密性・完全性・可用性」の3つは、英語の頭文字を取ってCIAと呼ばれます（アメリカの諜報機関とは無関係です）。それぞれの意味と、具体的な対策の例を見ていきましょう。
たとえば、あなたが使っているネットバンキングを例に考えてみましょう
機密性が守られていないと → 他人があなたの口座情報を覗き見できてしまう
完全性が守られていないと → 送金額が知らないうちに書き換えられてしまう
可用性が守られていないと → いざお金が必要なときにサービスがダウンしていて使えない
この3つがバランスよく保たれて、初めて「安全なサービス」と言えるわけです。
【参考】さらに広がる4つの要素
近年では、CIAに加えて次の4つの要素を含めて情報セキュリティを考えることもあります。余裕があれば覚えておくと、より深い理解につながります。
責任追跡性（Accountability）：ユーザーやサービスの行動が、誰の行動か一意に追跡できること
否認防止性（Non-repudiation）：行った操作や行動を、後から「やっていない」と否認されないようにすること
真正性（Authenticity）：なりすましや偽の情報でないことが証明されること（認証によって維持される）
信頼性（Reliability）：システムやプロセスが矛盾なく、一貫して動作すること
情報セキュリティは何のためにあるのか
情報セキュリティ対策は、単に「攻撃を防ぐこと」自体が目的ではありません。その先にある、次の3つを実現するための手段です。
１．事業継続を確実にすること
２．事業リスクを最小限にすること
３．投資に対する見返り及び事業機会を最大限にすること
情報は組織にとって大切な「資産」です。組織を運営し、守り、価値を高めるために重要だからこそ、情報を保護する必要がある――この視点を持っておくと、これから学ぶ様々な対策の「なぜそれをやるのか」が腑に落ちやすくなります。
第2章 「他人事」ではない情報漏洩の現実
情報セキュリティの話は抽象的になりがちですが、実際にどれくらいの情報漏洩事件が起きてきたのかを知ると、一気に「自分ごと」として実感できるはずです。
2009年までの主な個人情報漏洩・流出事件
日本経済新聞（2009年9月8日付朝刊）で報じられた事例をもとにした一覧です。
このほかにも、2002年や2004年に発生した大規模な漏洩事件など、数多くの事例が存在します。表を見て気づいてほしいのは、原因の多くが「外部からのハッキング」ではなく「内部犯行」だという点です。情報セキュリティは、外の敵だけでなく内側への備えも同じくらい重要だということが分かります。
2010年代以降も、大規模な漏洩事件は絶えない
SQLインジェクション攻撃により、あるグローバル企業グループで計1億261万3000件が漏洩
内部犯行により、ある教育関連企業で約3,504万件が漏洩（2014年）
標的型攻撃による不正アクセスにより、ある公的機関で約125万件が漏洩（2015年）
このほかにも、自治体でのHDD転売による情報流出（2019年）や、業務委託先でのUSBメモリ紛失事件（2022年）など、原因は多岐にわたります
[Tips] 情報漏洩は「攻撃を受けたから起きる」だけではありません。データを記録した記憶媒体（HDD、USBメモリなど）の紛失や誤った廃棄方法によっても起こります。「サイバー攻撃対策さえしていれば安心」というわけではないのです。
第3章 情報資産・脅威・脆弱性・リスクの関係を理解する
ここから、情報セキュリティを考えるうえで欠かせない基本用語を整理していきます。この4つの言葉の関係性を理解すると、以降の章がぐっと分かりやすくなります。
情報資産：財務情報、顧客情報、技術情報などの情報そのものに加え、それを扱うシステム（ハードウェア・ソフトウェア）、ネットワーク、データ、ノウハウなど、守るべき対象すべてを指します
脅威：システムや組織に危害を与える事故の「潜在的な原因」。破壊、盗難、不正アクセス、紛失、操作ミス、故障、地震、火災、洪水など、種類は多岐にわたります
脆弱性：脅威によって影響を受けてしまう、内在する「弱さ」のことです
リスク：ある脅威が脆弱性を利用して、情報資産に損害を与える「可能性」のことです
インシデント：実際に情報資産が損なわれてしまった状態、つまりリスクが現実になってしまった結果です
これらの関係を整理すると、こうなります。
情報資産に「脆弱性」があり、そこに「脅威」が組み合わさることで「リスク」が生まれる。そのリスクが現実になったものが「インシデント」
たとえば「鍵をかけ忘れた家（脆弱性）」に「空き巣（脅威）」が来れば「侵入されるリスク」が生まれ、実際に侵入されてしまえば「インシデント」が発生した、という状態です。
リスクの大きさは、次の式で評価されます。
リスクの大きさ ＝ 発生確率 × 損害の大きさ
守るべき情報資産の価値が高いほど、そして脅威と脆弱性が結びつきやすいほど、リスクは大きくなります。
第4章 脅威にどう向き合うか：リスクマネジメントの考え方
すべての脅威を100%排除することは、現実的には不可能です。だからこそ「リスクをどう管理するか」という発想が重要になります。これをリスクマネジメントと呼びます。
リスクマネジメントには、大きく分けて4つの対応方針があります。
回避：脅威が発生する原因そのものを停止する、あるいは全く別の方法に変更することで、リスクが発生する可能性を根本から取り除くこと
低減：対策を行うことで、リスクの発生頻度や損害額を小さくすること（最適化・防止・軽減といった言い方もされます）
移転（転嫁）：外部委託や保険への加入などによって、自社が負うリスクを他社に負わせること。特に保険のような金銭面での移転は「リスクファイナンス」と呼ばれます
許容（保有）：発生頻度や損害額が低いと判断できるリスクについては、特に対策を行わず、発生時の被害を受け入れること。あわせて、いざというときのために予め金銭を積み立てておくこともあります
どの方針を選ぶかは、「そのリスクにどれだけのコストをかけて対応する価値があるか」という費用対効果の判断がベースになります。すべてのリスクに万全の対策を取ろうとすると、コストが際限なく膨らんでしまうためです。
【参考】さまざまな切り口からの考え方
リスクへの向き合い方には、他にもいくつかの切り口があります。
時系列で見た考え方：事前対策、発生時の対策、発生後の対応・見直し、日常の運用という時間軸で整理する
管理方法で見た考え方：技術・組織・物理・人という主体別、あるいは技術面・運用面・セキュリティポリシー面・外部委託といった側面別に整理する
リスクコントロールから見た考え方：抑止、予防、検知（検出）、回復という機能別に整理する
第5章 なぜ人は不正を行うのか：不正のトライアングル理論
内部犯行がなぜ起きるのかを説明する有名な理論に、「不正のトライアングル理論」があります。これは、不正行為が発生する条件を3つの要素で説明するものです。
機会：不正行為の実行が可能、もしくは容易だと感じられる環境（チェックが甘い、誰も見ていない、など）
動機：不正行為を行うための事情（金銭的な困窮、会社への不満など）
正当化：良心の呵責を乗り越えるための、都合の良い解釈や他人への責任転嫁（「これくらいなら許される」「会社が悪い」など）
この3つが揃ったときに、不正行為が発生しやすくなるとされています。
これを防ぐための考え方として、「状況的犯罪予防」の5原則も紹介されています。
1.犯行を難しくする（物理的にやりにくい状況を作る）
2.捕まるリスクを高める（やると見つかる状況を作る）
3.犯行の見返りを減らす（やっても割に合わない状況を作る）
4.犯行の挑発を減らす（その気にさせない状況を作る）
5.犯罪を容認する言い訳を許さない（言い訳を許さない状況を作る）
これは組織のセキュリティ対策だけでなく、日常のあらゆる防犯対策にも通じる普遍的な考え方です。
第6章 「今」を知る：情報セキュリティ10大脅威
IPA（情報処理推進機構）は毎年、その年に発生した社会的影響の大きいセキュリティの事故や攻撃をもとに、研究者や実務担当者による選考会を経て「情報セキュリティ10大脅威」を発表しています。組織向けの最新版では、次のような脅威がランクインしています（IPA公式サイトより）。
注目したいのは、ランサム攻撃やサプライチェーン攻撃、標的型攻撃などが何年も連続でランクインし続けている点です。「一度対策すれば終わり」ではなく、継続的に見直していく必要がある分野だということがよく分かります。
ここから先は、これらの脅威を実現している具体的な攻撃手口を、一つずつ見ていきましょう。
第7章 不正アクセスの手口を知る：侵入までの4ステップ
インターネット上の不正アクセスは、攻撃用ツールやマルウェアによって行われるのが一般的です。代表的な攻撃用ツールには次のようなものがあります。
スニファツール（ネットワークを流れる通信を盗聴する）
ポートスキャンツール（相手のコンピュータのポートの状態を調査する）
パスワードクラッキングツール（パスワードを強引に割り出す）
そして、不正アクセスによる侵入は、次の4段階で行われると整理されています。空き巣による住居侵入に例えると、とても分かりやすくなります。
①事前調査で行われること
事前調査では、IPアドレス、サーバー名、サーバーソフトウェア、OSの種類・バージョン、提供されているサービス、侵入検知システムの有無など、ネットワーク上にある情報が集められます。これは「フットプリンティング」とも呼ばれます。
具体的には、Webサイトの調査に加えて「ポートスキャン」が実行されます。ポートスキャンとは、標的のコンピュータが各ポート（データの出入り口のようなもの）でどんなサービスを提供しているかを調べる行為です。ポートが開いていると、そこで提供されているサービスの種類が分かってしまい、悪用されると侵入や攻撃の糸口にされてしまいます。
②権限取得で行われること
事前調査で分かった脆弱性をもとに、多種多様な攻撃が試みられます。たとえば「Webサーバーの80番ポートが開いていればバッファオーバーフローを試す」「23番ポート（telnet）が開いていればパスワードクラックを試す」といった具合に、サービスの種類に応じた攻撃が仕掛けられます。目指すゴールは、管理者権限の取得、あるいは直接的な不正行為の実行です。
第8章 パスワードを狙う攻撃と、その対策
権限取得の代表的な手段が「パスワードクラッキング」です。ツールなどを使ってパスワードを強引に解読し、権限を奪う行為を指します。
古くから知られる代表的なクラッキング手法
ブルートフォース（総当たり）攻撃：考えられる文字の組み合わせを、片っ端から総当たりで試す手法。特定のIDに対して大量のパスワードを試す通常の方法のほか、逆に1つのパスワードを大量のIDに対して試す「リバースブルートフォース攻撃」という手法もあります
辞書攻撃：ユーザーがパスワードとして登録しがちな文字列を集めた特殊な辞書を使って、機械的に照合していく手法
その他、パスワードを知るための手法
パスワードポリシー（有効期限や複雑性のルール）の徹底自体が、かえって「覚えやすい単純なパスワードの使い回し」を招いてしまう問題
パスワードリマインダ（パスワードを忘れた際の再設定機能）の悪用
盗聴（スニッフィング）による取得
リプレイ攻撃（再送攻撃）：通信を盗聴して得たデータをそのまま再送し、正規のユーザーになりすます手法
パスワードリスト攻撃：どこかのサービスから流出したID・パスワードの組み合わせを使って、別のサービスへの不正ログインを試す手法（同じパスワードを使い回している人が狙われます）
[Tips] 自分のメールアドレスやパスワードが過去の漏洩事件で流出していないかを確認できる「Have I Been Pwned（HIBP）」というサービスもあります。気になる方は調べてみるとよいでしょう（利用は自己責任で）。
盗聴による権限取得
盗聴には、社内LAN内で行われるものと、社外（リモート）から行われるものがあります。
LAN内での盗聴は、「スニファツール」（パケットキャプチャ、パケットスニファとも呼ばれる）と呼ばれるネットワーク解析ツールで行われます
社外からは、通信経路の途中に割り込んで盗み見る「Man in the Middle攻撃（中間者攻撃）」などが使われます
また、キーボードの入力内容を記録する「キーロガー」というプログラムによる盗聴もあります
ネットワークに流れている通信を解析ツールで覗くと、暗号化されていない通信の場合、ユーザーIDやパスワードがそのまま読み取れてしまうことがあります。
安全なパスワードを作るには
安全なパスワードの条件として、次のようなポイントが挙げられます。
最低でも8文字以上で構成する
数字や「@」「%」などの記号を混ぜる
大文字と小文字の両方を含める
誰であっても教えない
サービスごとに異なるパスワードを設定する
とはいえ「サービスごとに全く違う複雑なパスワードを覚える」のは現実的ではありません。そこでおすすめなのが、次のような「使い回しを回避しつつ、覚えやすいパスワード生成法」です。
１．すべてのパスワードに共通する「コアパスワード」を、覚えやすいフレーズや言葉遊びから作る（例：「テレビが好き」→ローマ字化→一部を大文字や記号に変換）
２．サービスごとの識別子（サービス名の頭文字など）をコアパスワードに追加し、サービスごとに異なるパスワードにする
３．識別子は紙やメモに残してもよいが、コアパスワード自体は暗記する
こうすることで、「覚えるのは1つのコアパスワードだけ」で、かつ「サービスごとに違うパスワード」を両立できます。
パスワードそのものの管理方法
パスワードのリストを保持する場合は、次のような方法が紹介されています。
表計算ソフトでIDとパスワードのリストを作り、ファイル自体にパスワードを設定して保存する
リストのファイルを、パスワード付きの圧縮ファイル（zipなど）に変換する
サービスの重要度によって、IDとパスワードのリストを別々のファイルに分けて保管する
市販のパスワード管理ソフトを利用する
なお、表計算ソフトやZIPファイルの簡易的なパスワード保護は手軽な一方、専用の解析ツールで突破されてしまうリスクもゼロではありません。特に重要な情報を管理する場合は、より強固な暗号化に対応した市販のパスワード管理ソフトを使う方が安心です。
第9章 システムの弱点を突く攻撃たち
ここからは、権限取得やサービス妨害のために使われる、代表的なサイバー攻撃の手口を紹介します。「何を狙って、どう防ぐか」をセットで押さえていきましょう。
バッファオーバーフロー（BOF）攻撃
「バッファ」とは、プログラムが一時的な情報を記憶しておくメモリ領域のことです。バッファオーバーフロー攻撃は、想定を超える大量のデータを送り込んでバッファをあふれさせ、プログラムの誤作動を引き起こす攻撃です。これにより、不正なプログラムを実行させたり、権限を不正に取得したりします。
対策：入力される文字列の長さをきちんとチェックすること、脆弱性を作り込みやすい特定のプログラム言語の使用を避けることなどが挙げられます。
SQLインジェクション攻撃
データベースへ問い合わせを行うSQL文の中に、管理者が想定していない不正なSQL文を紛れ込ませることで、データベース内のレコードを不正に操作する攻撃です。情報の改ざん・消去・漏洩につながるほか、正規のWebサイトにウイルスなどが仕込まれてしまうケースもあります。
実際に、あるグローバル企業グループで2011年に発生した情報漏洩事件はSQLインジェクション攻撃によるもので、関連会社からの漏洩も含めると計1億261万3000件もの情報が流出したとされています。
対策：エスケープ処理（危険な意味を持つ制御文字を無害な形に置き換える処理）、あらかじめSQL文の骨格を組み立てておく「バインド機構」の利用などが挙げられます。
クロスサイトスクリプティング（XSS）攻撃
罠を仕掛けたサイトへのリンクをユーザーがクリックすると、脆弱性のあるサイトへ誘導され、そこに仕込まれたスクリプト（プログラム）がユーザーのパソコン上で実行されてしまう攻撃です。結果として、フィッシング詐欺に利用されたり、個人情報が漏洩したり、不正な買い物をさせられたりする被害につながります。
対策：制御文字をエスケープ処理する（サニタイズする）ことです。
DNSキャッシュポイズニング攻撃
DNS（ドメイン名をIPアドレスに変換するサービス）サーバーのキャッシュ（一時保存領域）を不正に書き換え、ドメイン名とIPアドレスの対応を誤ったものにしてしまう攻撃です。これにより、ユーザーが本来とは別の送信先にメールを送ってしまったり、偽のWebページに誘導されて個人情報や機密情報を盗まれたりします。この手口は「ファーミング」とも呼ばれます。
対策：DNSサーバーのうち、キャッシュを扱う部分を別のサーバーで管理し、そのキャッシュサーバーには外部からのアクセスを受け付けないようにすることです。
ゼロデイ攻撃
ソフトウェアに脆弱性が発見されてから、修正プログラム（パッチ）が提供されるまでの「隙間の期間」を狙って行われる攻撃です。対処法がまだ存在しない段階を突かれるため、通常のセキュリティ対策では防ぐことができない点が特に厄介です。
【参考】その他の有名な攻撃手法
ディレクトリ・トラバーサル：Webサイトのパス名に上位ディレクトリを示す記号（「../」など）を紛れ込ませ、本来公開されていないファイルにアクセスする攻撃。対策はパス名を直接指定させないこと、アクセス権を必要最小限にすることです
OSコマンド・インジェクション：外部からOSに対するコマンドを送り込み、実行させてしまう攻撃。対策はシェルを起動できる言語機能を避けること、外部からの文字列をコマンドラインのパラメータに直接渡さないことです
セッションハイジャック：他のユーザーのセッションID（ログイン状態を維持するための識別情報）を不正に利用し、そのユーザーになりすましてアクセスする攻撃。対策はセッションIDを推測されにくくすること、URLのパラメータにセッションIDを含めないこと、ログイン成功時には新しくセッションを開始することです
DDoS攻撃：大量アクセスでサービスを止める
サーバーに大量のデータを送りつけて過大な負荷をかけ、サービスのパフォーマンスを低下させたり、機能停止に追い込んだりする攻撃を「DoS攻撃（サービス妨害攻撃）」と呼びます。そして、これを多数のコンピュータから一斉に行うものが「DDoS攻撃（分散DoS攻撃）」です。
DDoS攻撃の恐ろしいところは、加担させられるコンピュータの持ち主が、自分が攻撃に使われていることに気づいていないケースが多い点です。攻撃者は事前に多数のコンピュータへ攻撃プログラムを埋め込んでおき（これらは「踏み台」と呼ばれます）、それらのコンピュータから標的に向けて一斉にパケットを送信させます。また、これらの攻撃では、攻撃者が自分のIPアドレスを偽装して、別のサーバーになりすましているケースも多く見られます（IPスプーフィング）。
第10章 マルウェアの世界を整理する
コンピュータウイルス、スパイウェア、ボットなどの「不正プログラム」を総称してマルウェア（malware, malicious code）と呼びます。似たような名前がたくさん登場するので、ここで一度きちんと整理しておきましょう。
なお、ウイルスは「自己伝染機能」「潜伏機能」「発病機能」のいずれか1つ以上を持つものと定義されています。
マルウェアに感染するとどうなるのか
情報漏洩
悪意のあるサイトへの誘導や、さらなるマルウェアのダウンロード
DDoS攻撃への加担
ウイルスメールの大量送信や、差出人アドレスの詐称
ウイルス対策ソフトの停止や、Webサイトへのアクセス妨害
パソコンが再起動を繰り返す、インターネットが使えなくなる、データが破壊されるなど、症状は多岐にわたる
主な感染経路
USBメモリなどのメディアの接続
ファイルのオープン（興味を引くファイル名や、拡張子・アイコンを偽装するなど、開かせるための巧妙な手口が使われます）
Webページの閲覧
メールの開封やプレビュー
ネットワークへの接続（脆弱性のあるコンピュータに対し、ネットワーク経由でウイルスファイルが送り込まれるケースもあります）
外部から持ち込まれたPCによる感染
「あの手この手で人をだましてくる」という点は、マルウェア対策を考えるうえで常に意識しておきたいポイントです。実在するセキュリティ企業を装って偽の警告を表示し、サポート料金をだまし取る「サポート詐欺」も、この延長線上にあります。
偽セキュリティソフトにご用心
ウイルスが存在しないにもかかわらず「ウイルスが見つかりました」という偽の警告を表示し、ユーザーの不安をあおって、駆除のための「購入」を迫ってくるソフトも存在します。購入してもウイルスを駆除する機能はなく、まったく意味がありません。フリーソフトのアドウェアとして、気づかないうちに一緒にインストールされてしまう場合があるため注意が必要です。
感染しないために、利用者ができること
セキュリティパッチを適用し、脆弱性をなくす（OSやアプリの更新をこまめに行う）
htmlメールをブラウザで安易に開かない
ウイルス対策ソフトを常駐させ、パターンファイルを最新に保つ（ただし「入れているから絶対安全」と過信しないことも大切です）
日本語のメールだからといって安心しない、差出人だからといって安心しない
P2Pファイル交換ネットワークのような、管理が行き届いていないネットワークを使わない（著作権侵害のリスクも伴います）
第11章 「人の心のスキ」を狙う攻撃
最後に紹介するのは、技術的な脆弱性ではなく「人間の心理的な隙」を突いてくるタイプの攻撃です。技術対策だけでは防ぎきれないからこそ、一人ひとりが知っておく必要があります。
フィッシング詐欺
金融機関（銀行やクレジットカード会社など）を装った電子メールを送りつけ、住所、氏名、銀行口座番号、クレジットカード番号などの個人情報をだまし取る行為です。「phishing」という綴りで、魚釣り（fishing）にかけた造語だとされています。
巧妙な手口としては、次のような特徴があります。
実在する企業のアドレスによく似た送信元アドレスを使う
本文がいかにも本物らしい内容になっている
実在の企業名やロゴを使い、本物と見分けがつかないほど精巧な偽サイトを用意する
クレジットカード番号や銀行口座番号、ユーザーID・パスワードなどの入力を求めてくる
最近では、不特定多数ではなく特定の組織や個人を狙う「標的型」のフィッシングや、SMSを悪用した「スミッシング（SMS phishing）」も増えています。
被害としては、クレジットカードの不正使用、オンラインバンクでの不正送金、ECサイトでの不正注文、個人情報漏洩からの振り込め詐欺への悪用などが挙げられます。
対策としては、メールの送信元や内容を安易に信用しないこと、リンクを安易にクリックしないこと、入力前に「本物のサイトかどうか」をURLや鍵アイコン（SSL接続の証）で確認することが基本になります。
ワンクリック不正請求（ワンクリック詐欺）
出会い系サイトやアダルトサイト、投資系サイト、ダウンロードサイトなどを装い、ユーザーが画像などを単にクリックしただけで、入会金や登録料などの名目で高額な料金の支払いを求めてくる手口です。あたかもユーザーの個人情報を知っているかのように振る舞い、不安をあおって「お金を払えば済む」と思い込ませようとします。
対策として最も重要なのは「無視すること」です。 いかにも正当な契約が成立しているかのように見せかけていますが、実際には契約は成立していません。ネットワークに関する情報はある程度分かる場合がありますが、個人を特定できるわけではないのです。相手への問い合わせは絶対にしないようにしましょう。不安な場合は、消費生活センターや国民生活センター、警察、学生であれば大学の学生センターなどに相談するのが安全です。
標的型攻撃：特定の組織・個人を狙い撃つ
標的型攻撃（≒APT: Advanced Persistent Threat、「高度で継続的な脅威」）は、主に電子メールを用いて、特定の組織や個人を狙う攻撃です。関係者を装ってウイルスを添付したメールを送りつけ、感染したパソコンから機密情報を取得します。
不特定多数を狙う攻撃と違い、「防ぎにくく、気づきにくい」のが特徴です。心理的に騙されやすい内容になっていることが多く、PDFやWord、Excelなどの業務でよく使うファイル形式にマルウェアが仕込まれているケースが目立ちます。
実際に、日本のある公的年金関連組織で発生した大規模な情報漏洩事件も、この標的型攻撃が原因でした。
対策としては、侵入されないための「入り口対策」だけでなく、万が一侵入されても被害を広げない「出口対策」（プロキシサーバーやファイアウォールによる外部への通信の遮断など）が重要になります。
ソーシャルエンジニアリング：コンピュータを使わない攻撃
ソーシャルエンジニアリングとは、コンピュータやネットワークを利用せず、実社会において不正アクセスを目的とした行為を行うことです。人間の心理的な隙や、行動のミスにつけ込んで、個人が持つ秘密情報を入手する方法とも言い換えられます。
代表的な手口には、次のようなものがあります。
電話によるなりすまし：関係者や上司などを装って電話をかけ、情報を聞き出す。本人確認の必要性を痛感させる手口です
ピギーバック：入退室が管理されている建物に、正規に入室できる人の後についていくことで侵入する
ショルダーハッキング：肩越しにPC画面を覗き見る
トラッシング、ダンプスターダイビング、スカベンジング：ゴミ置き場に捨てられたゴミの中から、機密情報を探し出す
データサルベージ：廃棄されたハードディスクなどから、残っていたデータや消去されたはずのデータを復活させる
そのほか、偽占い（パスワードを使った占いなど）や年齢確認を装って、個人情報・機密情報を聞き出す手口もあります
[Tips] 「電話によるなりすまし」は、単なる情報漏洩にとどまらず、ストーカー行為や、さらに深刻な事件にまで発展してしまった実例も報告されています。「本人確認を徹底する」ということは、地味に見えて実はとても重要な防御策なのです。
なお、フィッシング詐欺や標的型攻撃の多くも、突き詰めればこのソーシャルエンジニアリングの要素を含んでいます。「アフリカ政府の高官を名乗り、高額な報酬と引き換えに隠し財産を預かってほしいと頼む」「ゲームが速くなるソフトと偽ってキーロガーを添付したメールを送る」「銀行のロゴ入り封筒で、緊急のセキュリティソフトと偽ってスパイウェアを仕込んだCD-ROMを郵送する」など、手口は電子的な手段にとどまらず、あらゆる方法で人を騙そうとしてきます。
まとめ
今回は、情報セキュリティの土台となる「考え方」と、私たちを取り巻く「脅威」について、体系的に見てきました。
情報セキュリティとは、情報の機密性・完全性・可用性（CIA）を維持すること
情報漏洩は決して他人事ではなく、日本国内でも数多くの事例が起きてきた
情報資産・脅威・脆弱性・リスク・インシデントの関係を理解することが、対策を考える出発点になる
リスクは「回避・低減・移転・許容」のいずれかの方針でマネジメントする
不正アクセスは「事前調査→権限取得→不正実行→後処理」という4段階で進む
パスワードクラッキング、BOF、SQLインジェクション、XSS、DDoSなど、技術的な攻撃手法は多岐にわたる
マルウェアにはウイルス・ワーム・トロイの木馬など様々な種類があり、それぞれ性質が異なる
フィッシング詐欺やソーシャルエンジニアリングなど、「人の心理的な隙」を突く攻撃も後を絶たない
「敵を知る」ことは、防御の第一歩です。次回の②（有料にはなりますが、頂いたお金は学費の返済に充てさせていただきます。）では、いよいよこれらの脅威から情報を守るための「暗号技術」と「防御の仕組み」について、じっくり解説していきます。共通鍵暗号・公開鍵暗号の仕組みから、SSL/TLSやファイアウォール、認証技術まで、実務でもよく耳にする用語を一つずつ丁寧に紐解いていきますので、お楽しみに。
