昨年話題になったサイバー攻撃事件から学ぶ、2021年に施すべきサイバーセキュリティ対策

2021.02.04

2020年もサイバー攻撃のニュースを耳にすることが多かったのではないでしょうか。昨年の攻撃・事件の傾向として、新型コロナウイルスの影響や攻撃手法の高度化が見られました。

この記事ではサイバーセキュリティ事業を展開している株式会社Flatt Securityが昨年発生したセキュリティ事件を振り返りながら、2021年に対応しておきたいセキュリティ対策について紹介します。

新型コロナウイルスによる影響

新型コロナウイルスの流行により、テレワークが推進されました。それに伴い、個人が攻撃の対象となる事件が増加しました。ネットワークをはじめとして、今まで組織が一括で管理し、守っていたものを自身で守らなければならなくなったことや、社内セキュリティ規約の適用が難しくなったことが原因だと考えられます。

また、新型コロナウイルスの知名度・恐怖心を利用した攻撃も確認されています。取引に関するメールを騙ってマルウェア（コンピュータウイルス）を添付したり、個人情報を窃取するフィッシング攻撃に新型コロナウイルスが悪用されました。「新型コロナウイルスに関する通知」といった、政府の保健機関を騙る不正メールも多数報告されました。

（参考）厚生労働省職員や機関を装った不審な電話・メールにご注意ください。

攻撃手法の高度化

マルウェアを活用したサイバー攻撃は、年々手法が高度化しています。2020年は特に企業や政府などの組織に対する「標的型攻撃」の高度化が目立ちました。国家から支援を受けた攻撃グループによる大規模なサイバー攻撃により、情報流出を起こしてしまう組織が世界規模で増加しました。これらの攻撃は、事前にターゲットについての調査を綿密に行った上で、オーダーメイドで攻撃を行うことから「標的型攻撃」と呼ばれています。「標的型攻撃」は、通常のセキュリティ対策のみでは対処することが難しく、恒常的なセキュリティチェックやセキュリティ診断、被害の最小化に向けた取り組みが必要となります。

（参考）標的型攻撃への対策

2020年に話題になったマルウェア

ここで、2020年に話題になったマルウェアを紹介します。

Emotet（エモテット）

メールを介して感染を拡大するマルウェアです。Emotetは過去にやりとりをしたことのある、実在する氏名やメールアドレス、過去のメールの内容を利用したメールなどを使用するため、不正なメールであることを見抜くことが難しいという特徴があります。

（参考）「Emotet」と呼ばれるウイルスへの感染を狙うメールについて

Ragnar Locker（ラグナ・ロッカー）

Ragnar Lockerは特定の企業や組織に向けた標的型ランサムウェアです。感染すると、ファイルが暗号化され、「Hello ◯◯◯！」のように企業名を名指しした脅迫文を表示します。また、身代金を払わない場合には窃取した機密情報を公開するなど、一般的なランサムウェアより巧妙で被害が大きくなる傾向があります。

新型コロナウイルスに便乗するマルウェア

新型コロナウイルスによる世の中の混乱に便乗し、コロナウイルス感染マップという正規アプリを装ったり、助成金の案内を装って感染を試みたりするマルウェアが出現しました。また、新型コロナウイルスによる不景気を背景に、求人を騙った不正メールを利用するマルウェアも確認されています。

必要となるセキュリティ対策

ここまで2020年のセキュリティ傾向についてまとめました。次に、必要となるセキュリティ対策を紹介します。

個人で行うセキュリティ対策として、今までも推奨されてきた対策をもう一度確認してみることをお勧めします。

パスワード

デフォルトのパスワード、推測されやすいパスワード（名前、誕生日、単語など）を使用していませんか？　パスワードの使い回しをしていませんか？　脆弱なパスワードは極めて短時間で突破されてしまうため、注意が必要です。

自宅のWi-Fi

コンピュータだけでなく、Wi-Fiのパスワードも攻撃の対象になります。脆弱なパスワードを使用していないか、確認してみましょう。また、Wi-Fiルーターの内部ソフトウェア(ファームウェア）のアップデートはされていますか？　マルウェアは、コンピュータの脆弱（ぜいじゃく）性だけでなく、Wi-Fiルーターの脆弱性を利用してシステムに侵入することがあります。Wi-Fiルータの古いバージョンには脆弱性が含まれることがあるので、ファームウェアを最新の状態に保つことも重要です。

コンピュータ

OSのバージョンは最新ですか？　マルウェアを検出・除去するための「アンチウイルスソフト」をはじめとしたエンドポイントセキュリティ製品は導入されていますか？　攻撃者は、攻撃できる脆弱なコンピュータを常に探しています。

企業や開発者の場合は、定期的なセキュリティチェック、セキュリティ診断などを行い、システム内に脆弱性がないか確認するようにしましょう。自社だけでなく、セキュリティ企業によるセキュリティ診断を利用することで、気がつかなかった脆弱性を発見でき、深刻なインシデントを防ぐことにつながります。

2021年に気を付けておきたいこと

2021年は新型コロナウイルスのワクチンや東京オリンピック、携帯電話料金のプラン変更などを騙るフィッシング手法が増加すると予測されます。まずは落ち着いて、情報が本当に正しいものかどうかを確認することが重要です。オリンピックについては、開催国への攻撃が増加する傾向があることが知られているため、注意が必要です。

文／株式会社Flatt Security
東大発のサイバーセキュリティ企業。Web・スマートフォンアプリ・スマートフォンゲーム・ネットワーク・IoT・クラウドに顧客情報の流出やデータ改ざんに繋がる脆弱性がないかを診断する「セキュリティ診断」やセキュアコーディング習得を支援するSaaS型eラーニングサービス「Flatt Security Learning Platform」を展開してる。