こんにちは。dep_shogoです。
最近、ニュースでよく見るサイバー攻撃。
こんな方も多いのではないかと思います。
今回はそんな方のために。2023年最新のサイバー攻撃のトレンドと事例を小学生でもわかる内容でまとめてみました！
難しい領域だからこそ「できる限りカンタンな言葉で」「複雑なところは要点を絞って」解説していきます。「IT領域はとにかく苦手！」という方にこそ見てほしい記事です。
ちなみに僕はこういう者です。
「何も知らないし、何の対策もしていない」なんて真っ裸で雪山を登っているようなものですから、まずは実際の事例から基本やトレンドを一緒におさえていきましょう。
サイバー攻撃の事例紹介
まずはプロ目線での今脅威となっているサイバー攻撃ランキングを見ましょう。
プロが選んだ情報セキュリティ10大脅威(2023年)
出典：情報セキュリティ10大脅威 2023/IPA 情報処理推進機構
このデータは情報セキュリティの研究者、会社に所属しているIT担当者など。その道のプロが選んだ情報セキュリティの10大脅威です。いわゆる、今のサイバー攻撃の流行りでもあり、危険度の高いサイバー攻撃とも言えます。
TOP3は「ランサムウェアによる被害」「標的型攻撃による機密情報の窃取」「サプライチェーンの弱点を悪用した攻撃」です。
という感じですよね。
でも安心してください。カンタンに解説しますよ（とにかく明るい安村風に）
10個ぜんぶ解説したいところですが、ボリューム的にも難易度的にも難しいので、今回はTOP3に絞って解説します。まずはITセキュリティ勉強の初級編として特に危険なものをおさえておきましょう。
今気を付けるべきサイバー攻撃3選【2024年】
サイバー攻撃は、まずはを何より知ることが大切です。知っておかないと危険を回避できません。
ということで、カンタンにかつ実際の事例を見ながら解説していきます。先ほどご紹介したTOP3を「カンタン解説」「感染する原因」「具体的な事例」の３つの観点で見ていきましょう。
第3位：サプライチェーンの弱点を悪用した攻撃
カンタンに解説すると
ストーリーで見るとわかりやすいです。
ハッカー<とある日>
大企業A社<数日後>
大企業A社
関連会社B社
と、いったような流れですね。
調達して生産、物流、販売というサプライチェーンの中で、セキュリティの弱い企業を狙ってサイバー攻撃してくるので「サプライチェーン攻撃」と呼ばれます。関連会社を踏み台にして本丸である会社を攻めるので別名「踏み台攻撃」とも言われています。
感染する原因
「セキュリティの甘さ（脆弱性）」が一番の原因です。そこをハッカーが狙ってきます。きっかけとしては、他のサイバー攻撃と同様「ソフトウェア、ファイルのダウンロード」「メールの添付ファイルを開いた」等ですね。
事例①：トヨタの工場を止めたサイバー攻撃
発生時期：2022年2月
業種：自動車部品メーカー
概要：トヨタ自動車の取引先である小島プレス工業がマルウエア（悪意のあるプログラム）の感染被害を公表した。サーバやパソコン端末の一部のデータが暗号化され、それをきっかけとして取引先である自動車メーカーにも影響が拡大した。
参考元：トヨタの工場を止めたサイバー攻撃 サプライチェーン攻撃のリスクが露呈 日経XTECH
事例②：三菱電機にサイバー攻撃
発生時期：2020年11月
業種：電気メーカー
概要：三菱電機は第三者による「不正アクセス」を受け、個人情報や企業の機密情報が流出した可能性があることを発表。中国にある関連企業を踏み台としたサプライチェーン攻撃で、本社の機密情報にアクセスできる複数のパソコンに不正アクセスが行われた。
参考元：不正アクセスによる情報流出について（調査結果） 三菱電機株式会社
サプライチェーン攻撃が怖いのは、中小企業の立場からするとサイバー攻撃の被害者ですが、同時に大手企業から見ると加害者となることです。もし、攻撃してしまった相手が大きな取引先だとすると、信頼関係に大きなダメージを与えます。影響範囲も大きくなりがちですし、最悪のケースは取引停止もありえます。相当タチが悪い攻撃だと言えます。
続いて2位を見ましょう。
第2位：標的型攻撃による機密情報の窃取
カンタンに解説すると
文字どおりですが、ある特定の人を狙ったサイバー攻撃です。「ん？これだけ聞くと、ごく普通のサイバー攻撃では？」と思うかもしれませんが、具体的には実際に取引している実在の組織や担当者の名前を利用して、名指しでEメールを送ってきたりするので非常に気づきにくいのが特徴です。
感染する原因
「メールの添付ファイルをダウンロード」「メールに記載のURLから悪意あるWebサイトへ誘導」等でウイルスに感染させます。他にもサイトを使って情報を取るみたいなこともあります。
事例①：日本年金機構で約125万件の個人情報漏洩
発生時期：2015年5月
業種：公的機関
概要：日本年金機構をターゲットにした標的型攻撃メールによる大きな被害が発生して、約125万人分もの個人情報が漏洩。yahooメールかつ件名も厚生年金制度の見直しに関する意見というありふれた内容のため、誤ってメールを開封してしまった。
参考元：年金機構125万件流出 職員、ウイルスメール開封/日本経済新聞
事例②：JTBの顧客情報流出事件
発生時期：2016年3月
業種：旅行業界
概要：メールの件名は「航空券控え 添付のご連絡」。取引のある航空会社系販売会社のメールアドレスを偽装してメール送付。添付されていたファイルを開くいた時に感染。678万8443人分の個人情報が盗まれた可能性があるとの発表がされた。
参考元：679万人の個人情報漏洩騒動から1年、JTBが明かしたこと 日経XTECH
例で見ていても、ホンマに気づきにくさを感じますよね。実は僕も前職でこのメールを見たことがあります。僕はなんとなく文章に違和感があり、添付データは開きませんでしたが文章開いてるので半分アウトでした。結構開かない自信はあったんですが、警戒心強めの僕もメール本文は開いてしまっていたので、実際のところ騙される方も多いと思います。
では第1位です。
第1位：ランサムウェアによる被害
カンタンに解説すると
ランサムウェアとは「身代金を要求してくるサイバー攻撃」です。例えば、コンピュータ内にあるデータを開けなくしたり、システムをロックして使用できない状態にします。そして「元に戻したければ身代金（ransom）を払え！」と脅してくるタイプのサイバー攻撃です。あんまり聞きなれない言葉ですけど、ransom＝身代金って意味ですね。
感染する原因
「ソフトウェア、ファイルのダウンロード」「メールの添付ファイルを開いた」「webサイトやアプリの閲覧」「USBメモリの接続」などをきっかけに感染します。
事例①：パナソニックHDのカナダ子会社、ランサムウエアに感染
発生時期：2022年4月
業種：電気メーカー
概要：パナソニックホールディングス（HD）のカナダの子会社が、身代金要求型ウイルス「ランサムウエア」に感染。データをたてに身代金を請求されていることを公表しました。攻撃を受けてすぐにインターネット接続を切ったので影響範囲は限定的とのこと。
参考元：パナソニックHDのカナダ子会社、ランサムウエアに感染/日本経済新聞
事例②：サイバー攻撃受けた大阪の病院 外来診療や緊急以外の手術停止
発生時期：2022年11月
業種：病院
概要：「ランサムウエア」とよばれる身代金要求型のウイルスによるサイバー攻撃を受け、患者のデータを電子カルテなどのシステムに障害が発生して閲覧などができなくなった。復旧には2カ月を要した。
参考元：ランサムウエア被害の大阪の病院、初動から全面復旧まで2カ月間の全貌
上記2つは話題になりましたが、どちらも2022年に起きています。特に病院の件は大きな事件だったので、別記事でも取り上げています。
以前こんなニュースを見ました。 サイバー攻撃受けた大阪の病院 外来診療や緊急以外の手術停止 サイバー攻撃により、すべての電子カルテが使用できない状況に陥りました。 命に関わる医療現場で、治療、手術ができないとなると患者[…]
実際「ランサムウェア」はプロたちもあぶない！というくらいですから、2023年も引き続き起こりそうなサイバー攻撃ですね。
とにかく最新の事故事例が知りたい人へ
ここからはサイバー攻撃のことをより早く、より深く知りたいやや玄人向けの内容です。サイバー保険を販売している僕みたいなお仕事に関わりのある方向けって感じですかね。
でもここもわかりやすく解説しますのでご安心を。
最新の個人情報漏洩の事例が知りたい方へ
最新の個人情報漏洩の事例が知りたいという方には、こちらのサイトがおすすめです。
サイバーセキュリティ.comというサイトです。すべてがサイバー攻撃という訳ではないですが、個人情報漏洩系の最新事例を挙げてくれています。いくつか確認しましたが、情報元はあくまでも情報漏洩をしていた会社から引っ張ってきているのでその点はご安心を。
【裏技】デイリーで事故事例が知りたい方へ
さらに需要としてはニッチかもしれませんが「とにかく毎日事例を知りたい」という人はGoogleアラートがおすすめ。僕はこれを活用しています。
特定のキーワードを決めると毎日キーワードに関連した記事を送ってくれます。
ちょっとわかりにくいと思うので、僕の例を見せておきます。僕は以下の設定をしています。
グーグルアラートにアクセスして、こんな感じで興味のあるキーワードを指定します。
すると…
毎日こんな感じでキーワードごとのトピックスを送ってくれます。時間や頻度も変更可能です。
いくら仕事とは毎日調べるのは大変。自動化した方が絶対楽です。情報を見るのも習慣化しやすいです。
サイバー攻撃の対策を知りたい方へ
今までの話を聞いて、ガクガクブルブルという方はぜひ対策を。前半がボリュームが多かったので、ここはさらに要点だけに絞ります。
サイバー攻撃はステップで対策を整理するとわかりやすいです。
ステップ１：リスクの発見と測定
まずは現状の対策がどの程度なのか。高レベルなのか、甘いのか。しっかりと今の状況を把握しておくとが大切です。うちの会社でもサイバーセキュリティの診断サービスでやっていますので気になる方はお声がけください。
ステップ２：リスクマネジメントをする
リスクの大きさや危険性がわかったら、次はどのように対応するのか判断します。いわゆる、リスクマネジメントと呼ばれるものです。リスクマネジメントの基本は転換、軽減、回避、保有です。
グラフにするとこんな感じ
ちょっとわかりにくい言葉だと思うので、サイバー攻撃関連に置き替えるとこんな感じ。
ステップ3：適切な対策をとる
ステップ2に関連しますが、先ほどのグラフにあるような対策をとっていきます。
私も専門は保険領域なので「移転」については、詳しくアドバイスができる部分がありますが「軽減」についてはサイバーセキュリティの専門家に聞くことをおすすめします。私も簡単なアドバイスはできても、正直深い提案はできないです。
一重にサイバー攻撃の対策と言っても、専門分野は結構多岐にわたります。
リスクの「保有」については、自分自身だけで判断するのではなく第3者による会社評価などを経て、慎重に判断すべきです。リスクを持つのはある意味ノーガード戦法なので。
ということで本日は以上です。
小学生でもわかるようにと意識はしていましたが、それでもサイバー攻撃関連のことは結構難しいですよね。気になる点とかあれば、お気軽に相談してくださいね。
安心して仕事に集中できる、当たり前のことが当たり前にできるように保険やリスクマネジメントでみなさんの支援ができればと心から願っています。
ちょっと固くなりましたが以上です。ﾉｼ
P.S：ブログだけでなく「Twitter」でも保険にまつわる発信しています。保険って知っていると何かと得することも多いので、お得情報を知りたい方はぜひフォローしてくださいね。
