サイバー攻撃は、インターネットを利用する環境において、世界中のどこにいても逃れることのできない脅威といえます。
大企業だけでなく、中小企業や地方の商店・個人であっても、大きな被害に遭う可能性がある為、日頃からもしもの場合に備えておきましょう。
このコラムでは、有効な対応策とともに、企業が加入することのできるサイバー保険の概要に触れています。
世界中で起こるサイバー攻撃の被害について、ニュースで見かける機会も増えています。
サイバー攻撃とひと口に言っても様々な種類がありますが、サイバー攻撃とは、インターネットやコンピュータシステムを介して悪意のある第三者が電子機器などに不正に働きかけることです。
攻撃を受けることにより、システムや電子機器が正常に機能しなくなったり、ホームページやデータを改ざんされたり、遠隔操作をされたりと、深刻な被害が出ることがあります。
特定の企業や組織を狙うケースだけでなく、不特定多数を無差別攻撃するケースもあり、年々手口も巧妙化しているので、適切な対策を準備する為にも現状を知ることは大変重要です。
サイバー攻撃の手口は多岐にわたる為、すべてを把握するのは困難ですが、主に以下のような攻撃が挙げられます。
① 標的型メール攻撃
標的にした企業や個人に、マルウェアを添付した電子メールを送信し、感染をさせる攻撃です。
マルウェアとは、「malicious（悪意のある）」と「software（ソフトウェア）」の2語からなる造語で、その名の通り悪意のあるプログラムやソフトウェアの総称です。
ウイルス・トロイの木馬・スパイウェア等のことを指しています。
② ランサムウェア
ランサムウェアは、マルウェアのひとつで、「Ransom（身代金）」と「Software（ソフトウェア）」からなる造語です。
パソコン内のファイルを暗号化したり、システム自体を使用不能にしたりすることで、回復の条件として身代金を要求するのが特徴です。
感染経路としては、①のように標的型メールに添付されたURLをクリックする場合以外にも、感染するように改ざんされたウェブサイトにアクセスする場合や、感染しているUSB等を使用してしまう場合が挙げられます。
また、近年は企業のネットワーク機器の脆弱性が狙われ、侵入されるケースも増えているようです。
出典:令和６年上半期におけるサイバー空間をめぐる脅威の情勢等について(警察庁)
（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6kami/R06_kami_cyber_jousei.pdf）
③ ノーウェアランサム
ランサムウェアがデータを暗号化するのに対して、ノーウェアランサムは暗号化を行わずにデータを盗み取る手口です。
盗んだデータを公開する・売却するといった脅迫によって身代金を要求してきます。
ランサムウェアのように暗号化をしたり、復号をしたりといった時間と技術が要らないので、被害件数が増加の傾向にあります。
④ ガンブラー攻撃
正規のウェブサイトに侵入し、不正プログラムに書き換える手口のことをガンブラー攻撃といいます。
見た目だけで改ざんをされたウェブサイトであることに気付くのは困難で、いつの間にか偽サイトに誘導されてウイルス感染をしてしまうケースがあります。
⑤ DDoS攻撃
まず、DoS（ドス）攻撃とは、Denial of Service attack（サービス拒否攻撃）のことで、1台のパソコンからウェブサイトやサーバーに対して過剰なアクセスを行い、利用しづらい状態に追い込む手口を指します。
そして、DDoS（ディードス）攻撃とは、Distributed Denial of Service attack（分散型サービス拒否攻撃）のことで、複数のパソコンを不正に操作して同時に大量のデータ通信を発生させる手口です。
攻撃を受けたサーバーには大きな負荷がかかるため、サイトの利用ができない状態に陥る可能性があります。
様々な手口かつ巧妙さを増してくるサイバー攻撃から、完璧に身を守ることは困難といえます。
実際にサイバー攻撃を受けてしまったら、企業にとってどのような影響があるのでしょうか。
第一に、経済的損失は避けられないでしょう。
サイバー攻撃を受けた、もしくはその可能性があることが判明したら、一見して被害の全体像を把握することは難しい為、専門業者に原因調査を依頼します。
サイバー攻撃の被害状況や範囲確認を含むこの初期調査の費用は、パソコンの台数等にもよりますが約1,000万円かかることもあるようです。
この調査によって情報漏洩が明らかになった場合は、被害者への謝罪や社外公表の費用も発生します。
お見舞い金であれば被害者の人数分、謝罪広告・記者会見等と合わせて数百万円かかる場合があります。
また、こういった社外へ向けた対応と同時に、事業を継続する為の対応も必要です。
不正プログラムを除去したり、データを復元したり、再発防止の為にセキュリティを強化したりと、ここでも数百万円の費用がかかるといわれています。
そして、サイバー攻撃を受けたことに起因して他人に経済的損害を与えた場合の賠償責任が発生することもあり、業種によっては高額な賠償額となることもあります。
次に、サイバー攻撃を受けたことによる風評被害も考えられます。
インターネットやＳＮＳの普及により、噂や誤解があっという間に拡散する時代です。
社会的評価が下がることで競合他社への移行等、顧客離れにつながるかもしれません。
業種によっては、得意先との取引が停止する事態も想定されます。
風評被害を免れたとしても、業務用システムが使用できなくなることで、社外とのやりとりが滞ったり、納期が遅れたり、出荷ができなくなったりと、営業活動への影響が出てくる可能性があります。
更には、長期的にみた場合、従業員の流出が懸念されるケースもあります。
企業にとって、サイバー攻撃の被害に遭うということは、信用を損ない売上の大幅減少に繋がりかねず、営業存続の危機に直面することを意味しています。
それでは、サイバー攻撃を受けない為に、また、攻撃を受けても被害を最小限にする為に、対策できることはあるのでしょうか。
まず、標的型メール攻撃に対しては、その手口をよく知り、社内で情報を共有することが重要です。
添付ファイルの開封や、ＵＲＬをクリックする前に、十分に送信者やメールの内容・添付ファイルの形式等を確認しましょう。
業務上やりとりのある相手からのメールを装っていることがあるので、これまでの経緯を踏まえて脈絡のない内容でないかなどには注意が必要です。
特に「緊急」や「重要」といった言葉を件名に入れて興味を引こうとすることが多いので、疑わしいメールが届いた場合は、情報管理者にすぐに報告するようにしておくことも大切です。
既知のマルウェアに感染しない為に、ウイルス対策ソフトを利用することも検討しましょう。
次に、ランサムウェアの被害を防ぐ為には、ネットワーク機器やＯＳの更新を怠らないようにしましょう。
また、認証パスワードがキーボード配列であったり、推測されやすいものであったりしないでしょうか。
パスワードを使用されてネットワークに侵入されるケースも少なくないようです。
大文字・小文字・数字・記号を組み合わせたパスワードを作成し、他サービスと兼用しないことが適切な対応といえます。
2段階認証の導入やＩＰアドレス等でアクセス制限を行うことで、より強固な侵入防止策とすることができます。
もしも、ランサムウェアの被害に遭った場合は、感染拡大を防ぐ為に、感染したパソコンをネットワークから隔離します。
その後の原因調査に備えてパソコンの電源は落とさないようにしましょう。
調査の結果によっては、保存しておいた通信ログを持参して、最寄りの警察署に通報・相談しましょう。
サイバー攻撃の脅威は身近に迫っています。
もしもの場合に備えて、複数の保険会社がサイバー保険を提供していることをご存知でしょうか。
サイバー攻撃を受けた可能性がある場合の事実確認や、原因調査費用、そして、第三者に対する損害賠償に対応する為の保険です。
いざという時に、専門家に相談できるサービスが付帯されているものもあるので、社内にシステム人材がいない企業にとっては安心材料になるのではないでしょうか。
サイバー保険の詳しい内容については、保険プランニング大分にお気軽にお問合せください。
