攻撃されないサーバはない！――進化するサイバー攻撃から学ぶセキュリティ対策：ITmedia エグゼクティブセミナーリポート（1/2 ページ）

「最新サイバー攻撃生実演！攻撃から学ぶ対応策」をテーマにネットエージェントの代表取締役社長、杉浦隆幸氏が登壇。標的型攻撃とホームページの改ざんの傾向と対策について、デモを交えて講演した。

[山下竜大，ITmedia]

　9月11日に、都内で開催した「第27回ITmediaエグゼクティブセミナー」の特別講演に、ネットエージェントの代表取締役社長、杉浦隆幸氏が登場。「最新サイバー攻撃生実演！攻撃から学ぶ対応策」というテーマに基づき、標的型攻撃とホームページの改ざんの傾向と対策について、デモを交えて講演した。

標的型攻撃とウェブ改ざんを実演

　「セキュリティ対策で重要なことは、サイバー攻撃の脅威からいかに企業システムを守るかということである。実はサイバー攻撃から企業システムを守るのは、それほど難しいことではない。システムにセキュリティパッチを当てることで、数多くの脅威から企業システムを守ることができる。またサイバー攻撃の手法を知ることで、より一層の強固なセキュリティ対策を実現できる」（杉浦氏）

ネットエージェントの代表取締役社長、杉浦隆幸氏

　杉浦氏は、「最近、話題になっている2つのサイバー攻撃の手法とその対応策を紹介するひとつは"標的型攻撃"であり、もうひとつは"ホームページの改ざん"である」と話す。標的型攻撃にはさまざまなものがあるが、最終的にはトロイの木馬を仕込むためのウイルスが代表例といえる。このトロイの木馬型のウイルスがどのように企業システムに感染し、いかに標的型攻撃を行うかをデモを交えて紹介した。

　またホームページ作成で人気のツール「WordPress」を使っているホームページの改ざんとバックドアの設置に関してデモを交えて紹介。杉浦氏は、「WordPressは、オープンソースのソフトウェアであり、無償で使えることも人気の理由のひとつ。人気になると攻撃されやすくなるのも事実で、WordPressは改ざんされやすい仕組みとして注目度も高くなっている。ただし攻撃手法が分かっていれば、防御対策は簡単にできる」と話している。

標的の数が多ければ成功率も高くなる

　攻撃者が標的型攻撃を行う場合、まず標的を発見することから始まる。このとき標的の数の確保が重要で、標的の数が多ければ成功率も高くなる。次にだます方法を考え、目的に応じたトロイの木馬を作成し、メールに添付して送信する。あとはメールの添付ファイルが開かれるのを待つだけである。杉浦氏は、「標的型攻撃にも種類がある。例えば、特定の組織を狙った標的型攻撃もあるが、無差別に遠隔操作が可能なトロイの木馬をばらまく標的型攻撃もある。どちらも攻撃手法は同じである」と言う。

　また組織の規模により、防御方法は異なってくる。杉浦氏は、「小さな組織では攻撃が成功する確率は低いが、大きな組織の場合には成功する確率は高くなる。例えば1000人に1人しか成功しない標的型攻撃は、10人に送っても成功率は低いが、1万人に送るとかなりの確立で攻撃が成功する。メールの添付ファイルを開く確立が1％だとすると、ほぼ確実に攻撃は成功する。これは単純な数学の確立なので、成功率が低いからといってあなどっていると痛い目にあうことになる」と語る。

　さらに対象者数が増えれば増えるほど、標的型攻撃の成功率は高くなる。対象者を増やす方法として一番多いのは、任意のメールアドレスに対して攻撃する方法である。例えば「[e-mail]」のようにフルネームをメールアドレスにしている組織は非常に攻撃されやすい。杉浦氏は、「特に官公庁では名簿を販売しているので、フルネームのメールアドレスの場合は90％以上の職員が攻撃対象になる。また学術機関の場合、研究者の論文にメールアドレスが記述してあり、ここから取得できるので、攻撃される危険性が高い」と話している。

やりとり型の攻撃で巧妙にだます

　標的型攻撃で送られてくるメールは、当初は英語で書かれたメールが送られてきて、内容が分からないことが多く、いかにも怪しいメールだったのでだまされることも少なかった。しかし攻撃側も学習しており、英語のメールは片言の日本語になり、さらに流ちょうな日本語になっている。さらに現在では、「やりとり型」と呼ばれる顧客や市民を装ったメールが増えている。やりとり型の攻撃について杉浦氏は、次のように語る。

　「問い合わせのメールが2回、3回と届き、やりとりをしていると"資料を添付しました"という添付ファイル付きのメールが送られてくる。こうなるとメールを受け取った担当者は、添付ファイルを開かざるを得ない。これにより気がつかないうちに被害が拡大する。受け取った人が無視することができないメールで攻撃してくる。こうした攻撃は、経理や総務などのITに弱い部署から狙われる傾向にある」（杉浦氏）。