【2024年度版】情報セキュリティ10大脅威

１位　ランサムウェアによる被害

出典：IPA

「ランサムウェア」は、ソフトウェアの脆弱性などを利用してＰＣ等を感染させるマルウェア（悪意のあるソフトウェア）の一種です。ランサムウェアは「組織向け脅威」として９年連続で選出され、直近４年は連続で１位になるほど、危険視されているサイバー攻撃です。

ランサム（ransom）が「身代金」を意味するとおり、攻撃者は標的組織のＰＣ等に保存されたデータやファイルを暗号化して人質にとり、その復旧と引き換えに金銭を要求します。

定期的なバックアップ対策や従業員に対するセキュリティ教育を徹底するなど、予防策を講じておくとともに、被害が起きても迅速に対応できる体制づくりをしておくことが必要です。

ランサムウェアとは？
連載記事①～多様化する攻撃手法
連載記事②～数字でみる国内組織の被害実態
連載記事③～組織で行う予防対策

２位　サプライチェーンの弱点を悪用した攻撃

出典：IPA

「サプライチェーン」とは「供給連鎖」と訳されます。商品や製品が消費者に届くまでの一連の流れのことで、原材料の調達から販売まで様々な組織が関わっています。

攻撃者は、標的とする組織が属するサプライチェーンの中で、セキュリティ対策が甘い組織を足がかりに攻撃を仕掛けます。そして標的組織の取引先や委託先から、機密情報を入手しようとするのです。

そのため最初に侵入された組織は被害者でありながら、同時に取引先への攻撃に加担する側にもなってしまいます。このような被害を予防するためには、自組織だけでなく、委託先や利用しているサービスについても適切な管理が必要です。

３位　内部不正による情報漏えい等の被害

組織の従業員や元従業員が、不正に組織の機密情報を取得し、悪意をもって外部に漏洩させてしまうのが「内部不正による情報漏えい」です。

ひとたび情報漏えいが起きれば、組織の社会的な信用の失墜や損害賠償による経済的損失が発生します。また、不正に取得した情報が他組織に持ち込まれた場合、その組織も損害賠償を請求される恐れがあります。

このような被害を予防するためには、情報取扱いポリシーの作成やシステム操作ログの監視、従業員の異動・離職で不要になった利用者ＩＤ等を早急に削除するなどの対策が必要 です。

４位　標的型攻撃による機密情報の窃取

出典：IPA

特定の個人や組織を標的にして、機密情報を盗み取る攻撃です。

関係者になりすまして添付ファイルつきのメールを送ったり、標的がよく利用するウェブサイトを改ざんするなどして、標的組織のＰＣをウイルスに感染させます。

組織の内部に潜入したあとは、長期にわたって機密情報を窃取し、システムを破壊します。従来は政府や大企業が主なターゲットでしたが、地方自治体や中小企業への攻撃も発生しています。

５位　修正プログラムの公開前を狙う攻撃 （ゼロデイ攻撃）

組織がプログラムの脆弱性に対して対策を行う前に、攻撃者がその脆弱性を狙って攻撃を仕掛けるのが「ゼロデイ攻撃」です。

開発ベンダー等が脆弱性を認識しないことには、修正プログラムが作成されないという点が、ゼロデイ攻撃の予防を困難にしています。

システム管理者が主導してソフトウェアの脆弱性情報を収集し対策を行うこと、また、被害が発覚した際に即時対応できる体制を組織として整えておくことが必要です。

６位　不注意による情報漏えい等の被害

「本来は複数のメールアドレスをBccにいれて送信するはずが、Toに入れて送ってしまった」、「重要情報をカバンに入れて持ち出し、カバンごと紛失してしまった」など、個人のＩＴリテラシーの低さやモラル不足から発生する被害です。

従業員の不注意により機密情報が流出し、社会的信用の失墜や経済的損失が生じます。

このような被害を予防するためにも、従業員の情報リテラシーやモラルを向上させるセキュリティ教育や、外部に情報を持ち出す際のルール化が必要です。

７位　脆弱性対策情報の公開に伴う悪用増加

ソフトウェアに脆弱性が見つかった際に、製品販売者はその脅威・対策について情報を公開します。この情報は製品利用者にとって有益なものですが、同時に、攻撃者にも製品の脆弱性を知らせることになります。

攻撃者は、脆弱性対策をとっていない製品利用者を標的にして攻撃を仕掛けます。このような攻撃を防ぐには、常に関連製品の情報収集を行い、攻撃のすきを与えない対策をすることが重要です。

８位　ビジネスメール詐欺による金銭被害

悪意のある第三者がビジネスメールを装い、標的組織の金銭を扱う担当者に対して偽装した請求書を送付したり、口座への送金を指示したりします。

メールには、標的となる組織のメールアカウントが使われることもあります。メールに依存しない業務フローの作成やメールアカウントの適切な管理等の対策が必要となります。

９位　テレワーク等のニューノーマルな働き方を狙った攻撃

新型コロナウイルス対策でテレワークが急速に普及したのに伴い、脆弱なテレワーク環境が狙われています。

私物ＰＣやテレワーク機器などの脆弱性を悪用され、機密情報の窃取やWeb会議ののぞき見といった情報漏えいリスクが発生します。

警察庁によると、2023年に国内で被害報告されたランサムウェアの感染経路は「テレワーク等に利用される機器等の脆弱性や強度の弱い認証情報等を利用して侵入したと考えられるもの」が８割以上を占めています。テレワークのルール整備・順守など、組織としての対策が求められます。

出典：警察庁ウェブサイト「令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について」

10位　犯罪のビジネス化 （アンダーグラウンドサービス）

盗んだ個人情報や認証情報、攻撃ツールの売買などがビジネスとして行われているのが「アンダーグラウンドサービス」です。2023年度に続き、2024年度でも10位にランクインしました。

通常のブラウザでは検索できないウェブサイトに、サイバー攻撃に使用するサービスやツール等を取引する市場が存在しています。これにより、専門知識がなくても容易にサイバー攻撃ができるようになったといわれています。

正しい情報と知識を獲得して、脅威を遠ざける

「10大脅威」の順位は毎年変動しますが、基本的な対策の重要性が変わることはありません。IPAは、セキュリティソフトの利用やソフトウェアの脆弱性解消などの「情報セキュリティ対策の基本」だけでなく、以下の「共通対策（複数の脅威に有効な対策）」を実施することが、より効率的で広範囲な対策に繋がるとしています。

出典：独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2024」,p.69

組織としてセキュリティ対策することは必須ですが、組織の一員として、個人が対策できることもあります。

例えばパスワードの適切な運用です。パスワードが初期設定のままになっていたり、生年月日や連続したアルファベットなどの簡素な内容だと、攻撃者に不正ログインされるリスクが高まります。推測されにくい堅牢なパスワード設定を心がけましょう。

また、メールの添付ファイルや案内されたURLを安易に開封したり、クリックしないこともマルウェア攻撃対策として重要です。もし、不審なメールを受け取ったり、被害を受けた場合は、組織内で迅速に報告・相談しましょう。初動が遅れると被害がより深刻化する可能性があります。

セキュリティリスクがあるからといって、デジタル化推進の時代に逆行することはできません。重要なのは、デジタル化の利便性に伴うリスクを正しく理解し、対策していくことです。
インソースデジタルアカデミー（IDA）は、そのための研修を多数ご用意しています。

セキュリティ教育で守る企業の未来