目次
情報セキュリティ10大脅威(組織編)
第1位 標的型攻撃による被害
企業や民間団体や官公庁等、特定の組織を狙う、標的型攻撃が引き続き発生している。メールの添付ファイルを開かせたり、悪意あるウェブサイトにアクセスさせて、PCをウイルスに感染させる。
その後、組織内の別のPCやサーバーに感染を拡大され、最終的に業務上の重要情報や個人情報が窃取される。さらに、金銭目的な場合は、入手した情報を転売等されるおそれもある。
なお、1月30日にプレスリリースした「情報セキュリティ10大脅威 2018」を決定では、タイトルを 「標的型攻撃による情報流出」としていましたが、検討の結果、本タイトルに変更しました。
第2位 ランサムウェアによる被害
ランサムウェアとは、PC やスマートフォンに保存されているファイルの暗号化や画面ロック等を行い、金銭を支払えば復旧させると脅迫する犯罪行為の手口に使われるウイルスである。
そのランサムウェアに感染する被害が引き続き発生している。さらに、ランサムウェアに感染した端末だけではなく、その端末からアクセスできる共有サーバーや外付けHDDに保存されているファイルも暗号化されるおそれがある。
組織内のファイルが広範囲で暗号化された場合、事業継続にも大きな支障が生じる。
また、2017年は、OSの脆弱性を悪用し、ランサムウェアに感染した端末が接続しているネットワークを介して感染台数を増やすランサムウェアも登場した。
第3位 ビジネスメール詐欺による被害（NEW）
「ビジネスメール詐欺」（Business E-mail Compromise：BEC）は巧妙に細工したメールのやりとりにより、企業の担当者を騙し、攻撃者の用意した口座へ送金させる詐欺の手口である。
詐欺行為の準備としてウイルス等を悪用し、企業内の従業員の情報が窃取されることもある。以前は主に海外の組織が被害に遭ってきたが、2016年以降、国内企業でも被害が確認されている。
なお、1月30日にプレスリリースした「情報セキュリティ10大脅威 2018」を決定では、タイトルを 「ビジネスメール詐欺」としていましたが、検討の結果、本タイトルに変更しました。
第4位 脆弱性対策情報の公開に伴う悪用増加
ソフトウェア製品の脆弱性対策情報の公開は、脆弱性の脅威や対策情報を広く呼び掛けられるメリットがある。
一方、その情報を攻撃者に悪用され、当該ソフトウェア製品を利用した対策前のシステムを狙う攻撃が行われている。
また、近年では脆弱性情報の公開後、その脆弱性を悪用した攻撃が本格化するまでの時間が一層短くなっている傾向がある。
脆弱性対策情報の公開前に攻撃が行われる場合もある。
なお、1月30日にプレスリリースした「情報セキュリティ10大脅威 2018」を決定では、タイトルを 「脆弱性対策情報の公開に伴い公知となる脆弱性の悪用増加」としていましたが、検討の結果、本タイトルに変更しました。
第5位 脅威に対応するためのセキュリティ人材の不足（NEW）
情報セキュリティにおける脅威は増大の一途を辿っており、毎年のように新たな脅威が出てきている。
これらの脅威に対応するためには情報セキュリティの知識や技術を有するセキュリティ人材が求められる。
しかし、需要に対するセキュリティ人材の人数が不足しており、また、セキュリティ人材がいたとしても組織は確保するための十分な予算がなく、確保できていないケースもある。
セキュリティ人材の不足により、様々な脅威への対応や対策が十分に行えず、被害を拡大してしまうおそれがある。
なお、1月30日にプレスリリースした「情報セキュリティ10大脅威 2018」を決定では、タイトルを 「セキュリティ人材の不足」としていましたが、検討の結果、本タイトルに変更しました。
第6位 ウェブサービスからの個人情報の窃取
2017年も引き続き、ウェブサービスの脆弱性が悪用され、ウェブサービス内に登録されている個人情報やクレジットカード情報等の重要な情報を窃取される被害が発生している。
それらの情報を窃取されると、攻撃者により顧客や利用者の個人情報を悪用した不審なメールを送信されたり、クレジットカードを不正利用されるおそれがある。
第7位 IoT 機器の脆弱性の顕在化
2016年に引き続き、IoT機器の脆弱性を悪用しウイルスに感染させることで、インターネット上のサービスやサーバーに対して、大規模な分散型サービス妨害（DDoS）攻撃が行われる等の被害が確認されている。
また、国内で発売されているIoT機器において脆弱性が発見されており、機器を乗っ取られる、または撮影機能等を悪用して個人情報を窃取されるといった危険性があることが公表されている。
第8位 内部不正による情報漏えい
組織内部の従業員や元従業員により、私怨や金銭目的等の個人的な利益享受のため組織の情報が不正に持ち出されている。
また、組織の情報持ち出しのルールを守らずに不正に情報を持ち出し、さらにその情報を紛失し、情報漏えいにつながることもある。
内部不正が発覚した場合、組織は、被害把握や原因追求等の対応に追われ、また社会的信用の失墜等にもつながる。
第9位 サービス妨害攻撃によるサービスの停止
ウイルスに感染し、ボット化した機器からDDoS（分散型サービス妨害）攻撃が行われている。
それにより、ウェブサイトやDNSサーバーが高負荷状態となり、利用者がアクセスできなくなる被害が確認されている。
2017年は公式のマーケットに公開されたスマートフォンアプリがボット化し、DDoS攻撃が行われた被害が確認されている。
第10位 犯罪のビジネス化（アンダーグラウンドサービス）
犯罪に使用するためのサービスやツール、IDやパスワードの情報がアンダーグラウンド市場で取り引きされ、これらを悪用した攻撃が行われている。
攻撃に対する専門知識に詳しくない者でもサービスやツールを利用することで、容易に攻撃を行えるため、サービスやツールが公開されると被害が広がるおそれがある。
まとめ
今年は「個人」と「組織」を合わせた 20 の脅威の内、8 割の 16 の脅威が昨年に引き続きランクインしました。このように大半の脅威は急に出現したものではなく、また新しい手口でもありません。 よって手口を知り、常に対策を怠らないことが重要です。
一方、今年のランキングにはこれまでの 10 大脅威に一度もランクインしたことのない新たな脅威が入りました。
「個人の 10 位」の「偽警告」、「組織の 3 位」の「ビジネスメール詐欺」、「同 5 位」の「セキュリティ人材の不足」です。 なお、「同 4 位」の「脆弱性対策情報の公開に伴い公知となる脆弱性の悪用増加」は昨年のランク外（一昨年は６位）から復活ランクインしたものです。
「偽警告」は、PC の画面に突然“ウイルスに感染した”と表示され、サポート窓口に電話するように仕向ける手口です。 IT に詳しくない PC 利用者が騙されやすいのが特徴です。
また、「ビジネスメール詐欺」は、巧妙に細工したメールによるやりとりが実際に行われ、その結果企業の担当者が騙され、本来の振込口座とは異なる攻撃者の偽口座へ送金させる詐欺の手口です。
昨年末に国内の大手企業の被害が大きく報道され、世間の耳目を集めました。この詐欺は、手口さえ知っていれば、騙される前に気づける可能性がありました。
「セキュリティ人材の不足」は、以前から指摘されていた問題です。他の脅威とはやや観点が異なりますが、組織として取り組むべき課題の１つです。人材育成には時間がかかるため、数年先を見据えて計画的に進める必要があります。
昨年、初めてランクインした IoT に関する脅威は今年も「個人」と「組織」共にランクインしました。 IoT はその利便性のみが注目されがちですが、Miraiを初めとしたウイルスがネットワークカメラなどのIoT機器を狙ったように、既に攻撃対象の１つになっているという認識を持ち、必要な対策を施した上で安全に利用してください。
