標的型攻撃（APT：Advanced Persistent Threat）は、IPA「情報セキュリティ10大脅威」で毎年のように上位にランクインしており、国内だけでなく世界でも恐れられているサイバー攻撃の一つです。
本稿では、標的型攻撃と対策について分かりやすく説明します。
標的型攻撃の脅威とは
IPA「情報セキュリティ10大脅威」の組織編において、2020年は1位、2021年は2位にランクインしているのが『標的型攻撃による機密情報の窃取』です。
標的型攻撃とは、特定の企業や組織に対して明確な目的を持ったサイバー攻撃のことで、最近では新型コロナウイルスの感染拡大による社会の変化や、それに伴うテレワークへの移行という過渡期に便乗し、状況に応じた巧みな手口で攻撃を仕掛けてきます。そのため、狙われていることになかなか気が付きにくいのも特徴の１つです。
政府機関や大手企業、中小企業や地方公共団体などもターゲットになっており、大規模な個人情報漏洩の被害事例も多数報告されています。世界的に危険とされ、恐れられている標的型攻撃ですが、国内では日本年金機構で起きた125万件の個人情報流出事件によって、広く知られることとなりました。
【解説】Webセキュリティ ～Webサイトを取り巻く脅威と対策～
安心・安全なWebサイトの運営に欠かせない脆弱性対策、WAFによる対策について解説します。
巧妙な罠と致命的な被害
巧妙な手口の例として、実在する近しい人物の名前や組織名を使ったメールなのに、開いてみるとウイルスに感染し情報漏洩してしまうケース、よくアクセスするサイトを予め調べられており、そのサイトが巧妙に改ざんされてしまったため気付かないうちにウイルスをダウンロードしてしまった、というケースなどがあります。
標的型攻撃は単なる金銭目的のサイバー攻撃や、不特定多数を無差別に攻撃するものと違って、引っかかってしまうと企業にとって致命的な情報が盗み出されることが多く、企業として大きな損害が出てしまう可能性が高い攻撃なのです。
標的型攻撃の対策
標的型攻撃の多くはメールを利用して行われるため、「標的型メール攻撃」と呼ばれることもあります。業務連絡などの件名に偽装されたメールを社員が開封してしまった結果、事件に発展しているケースが多く、従業員のセキュリティ意識の欠如が被害を招いているとも言えます。
そのため、ソフトウェアを最新の状態に更新し脆弱性のリスクを最小化する、セキュリティ対策ソフトを導入するといった基本的な対策に加えて、怪しいメールを見分ける方法を社内で共有することも有効な手段となります。例えば、標的型攻撃には拡張子が「.exe」の実行形式が散見されます。擬似的に作成した標的型攻撃のメールを送信し、従業員がどのように対応するか訓練を行ったり、万が一標的型攻撃を受けてしまった場合どのようなフローが必要になるか前もって確認しておくことも重要です。
WAFとは
Webアプリケーションファイアウォール（WAF：Web Application Firewall）は、ウェブサイトに対するアプリケーションレイヤの攻撃対策に特化したセキュリティ対策です。
