標的型攻撃の対象として中小企業が狙われる理由
これまでサイバー攻撃の標的にされるのは、大企業や公的機関がほとんどでした。しかし、度重なるサイバー攻撃により、セキュリティ対策を強化する大企業や公的機関は増加し、攻撃者もシステムへの侵入が困難になってきているのが現状です。
そこで、攻撃者の標的は大企業や公的機関から中小企業へとシフトしています。
サイバー攻撃によるリスクの認識が甘い中小企業が多く、セキュリティ対策も大企業と比べても緩い傾向にあります。この認識の甘さは「自社には狙われるような価値ある情報は無いので、サイバー攻撃の対象にはならないだろう」と考えがちなことに由来します。
この認識の甘さを利用して攻撃者は大企業と取引を行う中小企業に狙いを定め、中小企業を踏み台にして、大企業のシステム侵入を企てようとしているのです。
中小企業における標的型攻撃の特徴
中小企業を狙う標的型攻撃はどのような特徴があるのでしょうか。２つの攻撃手口を紹介します。
メールに仕込まれたウイルスから感染する
不特定多数を対象とした迷惑メールと違い、標的型攻撃では取引先の社員名や件名を偽装したメールを送り付け、ウイルスを仕込んだファイルやリンクをクリックさせようとします。
この偽装メールは通常のメールと見分けにくく、「重要」や「緊急」といった文言でメールを開かせようするのです。ファイルやリンクをクリックするだけでウイルスに感染し、攻撃者の遠隔操作により機密情報が搾取されてしまいます。
さらに、標的型攻撃に使用されるウイルスはウイルス対策ソフトでは検知されづらいものが多いです。そのため、ウイルスの感染に気付かずに深刻な事態に発展するケースがあります。
被害を受けると加害者になる可能性がある
セキュリティ対策が不十分な中小企業はサプライチェーン攻撃により、自身が加害者になる可能性があります。
サプライチェーン攻撃とは、商品を製造販売する大企業に原材料や部品などを供給する協力企業へのサイバー攻撃です。協力企業は中小企業であることが多く、セキュリティ対策が甘いのが現状です。サプライチェーン攻撃の本当の目的は協力企業（中小企業）を足がかりに、セキュリティの堅牢な大企業を攻撃することです。
攻撃者は中小企業に標的型メールを送り、ウイルスを侵入させます。気付かないままウイルスに感染したメールを取引先へ送ってしまい、サイバー攻撃の被害者であるにもかかわらず、加害者になってしまうのです。
なお、大企業と直接取引をしなくても、協力企業と取引があれば、サプライチェーン攻撃を受けて加害者となるおそれがありますので注意してください。
中小企業における標的型攻撃対策のポイント
中小企業ではどのようなことに気を付けて標的型攻撃対策を実施すれば良いのでしょうか。２つのポイントを見ていきましょう。
基本のセキュリティ対策を万全にする
コストや人的リソースに限りがあり、セキュリティ対策に多くの予算を割けない中小企業は多いです。基本的なセキュリティ対策を万全にするだけでも標的型攻撃の対策になります。中小企業が実践すべき基本のセキュリティ対策は以下のとおりです。
- OS、ソフトウエアを最新に保つ
- パソコンやスマートフォン、業務で使用しているツールなど、アップデートを行って最新の状態を維持する
- ウイルス対策ソフトを導入する
- ウイルス対策ソフトを導入し、ウイルスの定義ファイルを常に最新にしておく
- パスワードを強化する
- パスワードを英数字、記号を含めて10文字以上にする。使い回さず、取り扱いをルール化する
- 共有設定を見直す
- 外部ストレージのデータ保管を利用する場合、ログインや閲覧制限を設ける
社員教育を強化する
従来のウイルスに効果のあった、パソコンやスマートフォンのアップデート、ウイルス対策ソフト導入、実行ファイルへの注意だけでは、標的型攻撃を防げないことを伝えましょう。
標的型攻撃の主な手口は、社員をターゲットにした「なりすましメール」がほとんどです。社員には実際のメールやよく利用されるパターンの紹介や開封時の初動対応など、標的型攻撃についての教育を行いましょう。標的型攻撃の疑似メールを社員へ送って教育の効果測定を定期的に実施すればサイバー攻撃への意識向上が期待できます。
さらに、標的型攻撃メールを開封した場合は初動対応が重要となります。どのような手順で報告を行い、対応に臨むのか、セキュリティーポリシーを設定しましょう。各部署で情報を共有し、組織ぐるみで標的型攻撃の社員教育に努めてください。
中小企業向けの対策をして標的型攻撃から会社を守ろう！
中小企業が標的型攻撃に狙われるのは、セキュリティ対策の甘さが原因です。
標的型攻撃の手口にはメールによるウイルス感染とサプライチェーン攻撃があります。サプライチェーン攻撃は、サプライチェーンの一角を担う中小企業を足がかりとして大企業へ攻撃を仕掛けようとするものです。対策のポイントは以下です。
- ■基本セキュリティの万全な対策
- ■社員教育の強化
標的型攻撃に適切に備えるため、まずは資料請求をして対策製品の比較をしてみましょう。
