『「サイバーセキュリティ、マジわからん」と思ったときに読む本』で再確認する「サイバー攻撃の典型的な手口3つ」

サイバーセキュリティの普及啓発に寄与した作品を表彰する「サイバーセキュリティアワード2023」。その書籍部門で最優秀賞を受賞したのが、『「サイバーセキュリティ、マジわからん」と思ったときに読む本』(オーム社)だ。一般人が「教養」としてのセキュリティ知識を身につけるのに適した本書から、今回はサイバー攻撃の「典型的な手口3つ」を抜粋する。
※本稿は『「サイバーセキュリティ、マジわからん」と思ったときに読む本』から一部抜粋・再構成したものです。

■ソーシャルエンジニアリングとフィッシング

　サイバー攻撃の典型的な例の1つが、ソーシャルエンジニアリングです。

　ソーシャルエンジニアリングとは、人の心や行動の隙をついて、デジタル技術を用いずに、個人が保有する情報を盗み出すことです。日本ネットワークセキュリティ協会では、次のように定義されています。

コンピューターの技術やネットワークの技術を利用するのではなく、侵入に必要なID、パスワードや、企業の秘密情報などを物理的手段(あるいは心理的手段)によって獲得する行為

　ソーシャルエンジニアリングは、物理的手段(トラッシング、ショルダーハッキング)と心理的手段とに分けられます。

　物理的手段の1つがトラッシングです。トラッシングとは、職場のごみ箱などから重要書類やパスワードの書かれた紙を入手する方法で、映画でもよく取り上げられる有名な手口です。紙だけでなく、PCやスマホなどのデバイスを不正に入手して個人情報やカード情報などを抜き取ることも、トラッシングといえるでしょう。

　続いて、もう1つの物理的手段を確認してみましょう。人がパスワードを打ち込んでいる画面やキーボード操作を後ろから覗き込む、ショルダーハッキングです。近年、電車やカフェなどの人が多い場所で仕事をしている人をよく見かけるようになりました。他人に見える状態でパスワードを打ち込んだり、機密情報の記載されたファイルを見たりすると、ショルダーハッキングの被害を受ける可能性があります。

　最後に、心理的手段を確認しましょう。これは「正規職員になりすまして建造物に侵入する」「電話でパスワードを聞き出す」など、人の心理につけこんだ手口です。具体例として、子どもや孫、役所などになりすます手口を用いる振り込め詐欺が挙げられます。ほかにも、会社のシステム部門やプロバイダなどを装ってパスワードなどを聞き出したりする例もあります。こういった重要な情報は、安易に答えてはいけません。

　典型的な手段の2つめの例として、フィッシングが挙げられます。フィッシングとは、振り込め詐欺のような「誰かのふりをして電話をする」手口を、「誰かのふりをしてメールを送る」という手口にかえたなりすましの手法です。フィッシングの目的は、たいていの場合、相手のログインIDやパスワードを不正に入手することです。

■マルウェアに感染しないために心がけたい行動

　典型的な攻撃手段の最後の例は、マルウェアです。マルウェアとは、感染したデバイスに不利益を与えるような悪意のあるプログラムの総称です。よく名前を聞くコンピューターウイルスやワームやトロイの木馬などは、マルウェアの一種です。

　コンピューターウイルスは、自然界のウイルスと同様、寄生する対象が必要です。この場合はプログラムやファイルがウイルスの寄生対象になります。いったん寄生(感染)すると、自己増殖し感染を広げる活動を行います。

　ワームも自己増殖しますが、寄生対象は必要とせず単体のプログラムとして存在できます。そのため、非常に増殖力が高く、しばしば大規模な被害をもたらします。過去にはNimdaやCode Redとよばれるワームが大増殖し、問題になりました。

　トロイの木馬は、なんらかの無害なプログラムを装ってダウンロードさせ潜伏したのち攻撃を行うマルウェアです。トロイの木馬という名前は、かつてのギリシャ軍が、木馬に隠れて戦力をトロイアに持ち込んだ話に由来しています。偽装したプログラムに隠れてスパイ活動(情報収集)を行うスパイウェアなどが、これにあたります。

■マルウェアの感染対策と、感染後の対処方法

　こういったマルウェアに感染しないようにするには、次のような行動を心がけるといいでしょう。

•PCやスマホのOSに最新のセキュリティパッチを適用して、常に最新の状態に保つ
•メールの送信元アドレスが既知のもの、あるいは信頼できるものか確認し、あやしいメールは開封しない
•信頼できる送信元以外から送られたメールの添付ファイルはダウンロードも実行もしない
•信頼できる送信元以外から送られたメールに記載されているWebサイトのリンクはクリックしない
•信頼できる製造元以外の提供するアプリケーション(アプリ)を不用意にインストールしない

　マルウェアには感染しないのが一番よいのは言うまでもありませんが、万が一感染してしまったら、以下の手順で対処しましょう。

1. セキュリティソフトで感染の有無を診断する
2. 感染していた場合、ネットワークを切断する
3. セキュリティソフトでマルウェアを除去する
4. 除去できない場合、デバイスをリセットする
5. 解決しない場合、メーカーやセキュリティソフトのサポート窓口などに相談する