サイバー攻撃は企業・個人どちらにとっても非常に危険です。被害を受けた側が損害賠償などの金銭的リスクを負う場合もあるため、事前の対策が重要になってきます。
しかし、「サイバー攻撃」といっても多様な種類が存在することはご存知でしょうか？「～攻撃」とつくものは全てサイバー攻撃の一種とひとくくりにされがちなので、全容を一気に理解するのは少し難しいかもしれません。セキュリティ対策をするのであれば、まずはサイバー攻撃の種類を把握しておきましょう。
同じサイバー攻撃に分類される用語でも、攻撃に使うソフトウェアを指す場合や攻撃手法を指す場合などさまざまです。今回はサイバー攻撃の種類をカテゴリごとに分類して分かりやすく解説します。
目次
１．サイバー攻撃とは
サイバー攻撃とは、ネットワークを通じた悪意のある攻撃全般を指します。
- 故意にサイトをダウンさせる、改ざんする
- 個人情報を不正に入手する
- マルウェアを送り込む
攻撃の幅は非常に広く、かつ日々新たな手口が生まれるため完璧に対策することは困難です。
かつては嫌がらせや遊び半分の個人による攻撃がほとんどでしたが、現在では個人情報の売買や金銭の詐取を目的とした計画的な犯行が増加しており、手口も年々複雑化しています。
２．マルウェア攻撃の種類
マルウェアはネットワークを通じて攻撃するソフトウェアの総称です。つまり、「マルウェア攻撃」は悪意あるソフトウェアを利用したサイバー攻撃全般を指します。
マルウェアについての網羅的な情報は「Webサイトのマルウェア対策はどうすべき？対策から対処法まで徹底解説」で取り扱っていますので、ぜひ参考にしてください。
この記事では特に「マルウェア攻撃」に該当するいくつかのサイバー攻撃について解説します。
ランサムウェア攻撃
ランサムウェアはマルウェアの一種で、身代金を要求するプログラムが組み込まれているマルウェアを指します。
「ランサムウェア攻撃」はメールなどを用いてランサムウェアを仕込み、利用者から金銭を脅し取ろうとする攻撃を意味する言葉です。
ルートキット攻撃
キーロガー、バックドアなど複数のマルウェアを集めたパッケージ、つまり集合体のことをルートキットと呼びます。
ルートキット攻撃の厄介な点は、存在を隠蔽する機能を持つプログラムが含まれるパターンが多いことです。不正な侵入を検知するマルウェア対策ソフトであっても検出が難しいことで知られています。
３．ターゲットによるサイバー攻撃の分類
サイバー攻撃は当初、無差別に攻撃を仕掛ける「ばらまき型」が主流でしたが、近年ではあらかじめターゲットを決めてから攻撃を行う「標的型」の形を取ることも増えてきたようです。
ターゲットによって種類分けする方法も頭に入れておきましょう。
ばらまき型攻撃（無差別型攻撃）
ターゲットを定めず無差別に攻撃を行う手法のこと。
有名な企業から「重大なトラブルが発生しました。ログインしてください」などと記されたメールを受け取った経験はないでしょうか。「使ったことがないサイトからメールが届く」「こちらの名前が書かれていない」などの特徴があればばらまき型攻撃にあたります。
成功率は低いものの、大量に送るとそのうちの何人かは引っかかる人が出てくる手口です。
標的型攻撃
機密情報を盗み取ることなどを目的として、特定の個人や組織を狙った攻撃のこと。近年増加傾向にあります。
取引先になりすましたり、業務関連のメールを装ったりするため、ばらまき型よりも気づかれにくいのが特徴です。
先ほどの例でいえば、メールにあなた個人の名前や実際の取引先の名前などが書いてあったらどうでしょうか。登録した覚えのないサイトからメールがくるよりも信ぴょう性が高くなることが分かると思います。
ターゲットを絞ることで攻撃の成功率を高める手口です。
同じメールを10ヶ所以上に送る攻撃を「ばらまき型」の標的型メール攻撃と呼ぶこともあるなど、正確な区分はあいまいです。
APT攻撃（高度標的型攻撃）
APT攻撃は標的型攻撃の一種。ターゲットの調査などの準備から攻撃の実施までが特に慎重で長期間にわたって行われるものを指すことが多く、国家へのサイバー攻撃などもAPT攻撃に含まれます。
日本で起きた大規模なAPT攻撃の被害例として挙げられるのは、2015年に起こった日本年金機構の情報漏洩事件※です。職員100名以上に標的型メールを送信し、添付ファイルに仕込まれたマルウェアが原因で125万件もの個人情報が流出するという大規模な被害が発生しました。
サプライチェーン攻撃
サプライチェーン攻撃は関連企業、子会社、取引先などのサプライチェーンへの攻撃を経由して標的となる企業へ侵入する手口のサイバー攻撃です。
セキュリティがしっかりしている会社でもサプライチェーンからの情報漏えいで被害を受けるパターンがあるため、自社の情報を所持している他社のセキュリティ対策についても普段から確認しておきましょう。
４．フィッシング攻撃の種類
フィッシング攻撃とは、悪意あるサイトやファイルにユーザーを誘導する手口のことです。
- 個人情報の窃取、もしくはマルウェアへの感染を目的としたサイトへの誘導・改ざん
- フィッシングサイトへの誘導リンクやマルウェアを含む添付ファイルを送付するフィッシングメールの送付
などがフィッシング攻撃に含まれます。個人情報を利用して金銭をだまし取ることや、マルウェアに感染させて別の攻撃の踏み台にすることなどがフィッシング攻撃の目的です。
標的型のフィッシング攻撃
「フィッシング攻撃」と単に呼称する場合は一般的に不特定多数のユーザーを対象にしたばらまき型の攻撃手法を指しますが、以下のように特定の個人や団体を標的にしたフィッシング攻撃が近年増加しています。
スピアフィッシング攻撃
企業・組織の従業員など特定の個人を対象にした標的型フィッシング攻撃のこと。
先ほどご紹介した日本年金機構の事例もスピアフィッシングにあたります。一般的なフィッシング攻撃よりも見分けがつきづらく、近年増加中の悪質な手口です。
水飲み場攻撃
攻撃対象が日頃からアクセスするWebサイトを改ざんし、閲覧するだけでマルウェアに感染させる標的型攻撃の一種が「水飲み場攻撃」です。
例えば攻撃対象の業界が「インフラ」だった場合、インフラに関わるサイトに不正アクセスし、閲覧するだけでマルウェアに感染させるよう改ざんします。いつものサイトに訪れるだけで被害を受けてしまうため、対策が難しいことで知られています。
マルバタイジング攻撃
マルバダイジング攻撃は、オンライン広告のリンク先にマルウェアを仕込んで感染させる攻撃手法です。
広告は通常のリンクより信頼度が高く誤ってクリックしやすい位置にあることも多いので、普段からの対策に気をつけなければいけません。
５．Webサービスを利用したサイバー攻撃の種類
Webを利用したサービス・ツールは内部のシステムに影響を及ぼすサイバー攻撃にさらされるリスクを常に負っています。
特にHTMLなどを用いて個人や企業で制作したWebサイトは自分で脆弱性を発見・修正する必要があるため、どこかにセキュリティホールが潜んでいるリスクが高まります。
もちろんWordPressなどで作ったサイトも対策を怠るとサイバー攻撃を受けやすくなるので注意が必要です。どのような攻撃が考えられるのか、あらかじめ知っておきましょう。
脆弱性を利用した攻撃
まず想定されるのは、ソフトウェアに生じた脆弱性を悪用したサイバー攻撃です。
ソフトウェアを開発するのも人間ですから、どこかにセキュリティ的な穴が生じる可能性は十分に考えられます。その穴を突いて内部のシステムに侵入する手法を何種類かご紹介します。
ゼロデイ攻撃
ソフトウェアに脆弱性が見つかった場合、通常はアップデートなどを通じて開発元から修正パッチが配布されます。この修正パッチが公開される前に脆弱性を突く攻撃をゼロデイ攻撃と呼びます。
修正プログラムが提供される前の攻撃なので、ゼロデイ攻撃が行われた場合は利用者側で予防対策を取るのが格段に難しくなります。
バッファオーバーフロー攻撃
サーバーやパソコンが想定するより大きな値を書き込むことで内部のシステムにバグを起こし、情報を不正に上書きする攻撃です。
SQLインジェクション攻撃
SQLとは、サーバーなどにあるデータベースを操作するための言語のことです。このSQLを利用して不正なコードをデータベースに送り、内部情報の窃取やデータの改ざんなどを行います。
XSS（クロスサイト・スクリプティング）攻撃
サイトの脆弱性を利用して悪意あるコードをページに埋め込む攻撃のこと。本来のページを閲覧するためにやってきたユーザーに、個人情報を不正に送信するなどのスクリプト（指示）を実行させます。
なりすまし・不正ログインを利用した攻撃
システムに脆弱性がなくとも、人為的なセキュリティホールを突く、過去の漏えいデータを悪用するなどしてなりすましや不正ログインをする攻撃パターンもあります。
パスワードリスト攻撃
別の攻撃で得たパスワード情報を利用して、他のサービスへ不正にログインしようとすること。
同一のIDとパスワードを使いまわしている人は一定数いますが、パスワードリスト攻撃の被害に遭いやすくなるため避けた方がよいでしょう。
ブルートフォース攻撃
ブルートフォースは日本語で「総当たり攻撃」と訳します。考えうるパスワードの文字列を手当たり次第に入力し、不正ログインを試みる攻撃方法です。
リバースブルートフォース攻撃
ブルートフォースのリバース（逆）、つまりパスワードを固定してIDを手当たり次第に入力する攻撃手法です。
IDを固定にしてパスワードをひたすら入力すると、不正アクセス防止のために一時ロックがかかってしまうサイトは数多くあります。しかし、毎回IDを変更してログインを試みるリバースブルートフォース攻撃はロックがかからないため、無限に試行作業ができるという攻撃者にとってのメリットがあります。
DoS攻撃・DDoS攻撃
DoS攻撃は、単一のコンピューターからウェブサイトやサーバーに対して過剰なアクセスやデータを送付するサイバー攻撃です。また、複数のコンピューターを用いた同様の攻撃をDDoS攻撃と呼びます。
DoS攻撃は攻撃を行う端末からのアクセスを遮断すればいいため比較的対策が容易ですが、複数の端末を用いるDDoS攻撃は全ての攻撃端末を検知するのが難しいのが特徴です。
DoS攻撃もDDoS攻撃もサーバーを落とすための攻撃なので、それ自体は個人情報を盗んだりマルウェアを仕込んだりする効果はありません。しかし、他のサイバー攻撃を行うための目くらましとして使用される場合も多くあります。
６．まとめ
サイバー攻撃は非常に多くの種類があり、攻撃に用いられるソフトウェアを指す「マルウェア攻撃」から脆弱性を突いた手口まで、さまざまな切り口で分類することが可能です。
特にWebサイトの脆弱性を悪用したサイバー攻撃は、運用初心者の対策ではセキュリティが万全でないことが多々あります。「自社サイトのセキュリティが不安…」という方は、一度Webサイトのセキュリティ診断を受けてみることをおすすめします。くわしくはお問い合わせください。
※日本年金機構+「日本年金機構における不正アクセスによる情報流出事案について」
