「情報セキュリティ10大脅威」とは

「情報セキュリティ10大脅威」とは、毎年IPAが発表している、情報セキュリティに関する脅威をランキング付けしたレポートです。前年に発生したセキュリティ事案から候補を選定し、約200名からなるメンバーで審議・投票を行った上で10大脅威は決定されます。

2024年1月に発表された、「組織」における「情報セキュリティ10大脅威 2024」の結果は以下の通りです。（「個人」向けの脅威も発表されていますが、今回は「組織」向けの脅威を取り上げます）

「情報セキュリティ10大脅威 2024」の全ての脅威は2年連続でランクインしています。ランキング上位は9年連続選出された脅威も複数確認され、組織としては腰を据えた対策が求められることが分かります。

組織向け情報セキュリティ10大脅威とその対策

第1位：ランサムウェアによる被害

ランサムウェアとは、「Ransom(身代金)」と「Software」が組み合わされた造語であり、デバイスやネットワークなどに危害を加えるソフトウェア「マルウェア」の一種です。

攻撃者はランサムウェアを標的のPCやサーバーに感染させ「お金を支払わなければ盗んだ情報を公開するぞ」「DDoS攻撃をされたくなければお金を支払え」などと脅迫を行い、金銭を要求します。

組織向けの情報セキュリティ10大脅威において「ランサムウェアによる被害」は4年連続で1位にランクイン。「2023年のランサムウェア被害数は過去最高に上る」という調査もあります。会社の規模・業種問わず攻撃を受けるリスクがあるため、早急な対策が必要です。

【対策】
ランサムウェア感染リスクを下げるためには、安易に添付ファイルを開く、またはURLをクリックしないようにすることが大切です。加えて、ランサムウェア感染に備えて、復元可能なバックアップも随時とっておくことも有効です。

第2位：サプライチェーンの弱点を悪用した攻撃

サプライチェーンとは、製品の原料・材料の調達から消費者の元へ届くまでの一連の流れのこと。攻撃者は標的組織が持つサプライチェーンの脆弱な部分（例：取引先が利用しているアプリやサービスなど）を足掛かりとして、ターゲットに間接的に攻撃を行います。

攻撃を受けた組織は機密情報の漏えいを含む様々な被害を受ける恐れがあります。さらに、足掛かりとされて、取引先に損害を与えてしまった組織は、取引先から信用を失うリスクも生じます。

【対策】
有効な情報セキュリティ対策を講じている組織・サービスを選定することが大切です。また定期的な取引先・委託先の情報セキュリティ対応のチェックも有効です。

第3位：内部不正による情報漏えい等の被害

近年、組織内部の関係者（従業員や元従業員等）によって、機密情報の窃取や情報漏洩などの内部不正が行われています。窃取したデータが第三者に販売されたり、社内データが削除されたりと、内部不正をされた企業には様々な損害を被る可能性があります。

【対策】
やや古いデータですが、IPAが2016年3月に公開した調査結果によると内部不正の理由の約6割は故意ではない“うっかり違反”。そのため、従業員に対して情報の取り扱いに関するルール・規則の周知徹底が効果的です。また、退職者のユーザーデータ（IDやアクセス権等）を削除することも有効です。

第4位：標的型攻撃による機密情報の窃取

特定の個人や組織を狙う攻撃を標的型攻撃と言います。標的型攻撃を行う目的は機密情報の窃取や業務妨害などが挙げられます。よく知られる手口としては、業務連絡を装ったウイルスを仕込んだメール（標的型攻撃メール）を送付するというもの。この手口では、何度かメールのやり取りをして相手を油断させた上で、標的型攻撃メールを送ることもあります。そのほか、Webサイトを改ざんし、そのサイトに従業員がアクセスすることでウイルスを感染させる手口（水飲み場型攻撃）も有名です。

【対策】
ウイルス対策ソフトやメールのフィルタリングサービスを利用することで、標的型攻撃メールの侵入をある程度防ぐことが期待されます。しかし、それだけでは十分ではなく、「拡張子が『.exe』のファイルを安易に開かない」「ソフトウェアを最新の状態にしておく」などを含む、多様な対策が必要です。

第5位：修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）

ゼロデイ攻撃とは、OSやソフトウェアの脆弱性が見つかった際に、開発ベンダー等が脆弱性対策情報を公開する前に、その脆弱性を狙って行われるサイバー攻撃のことです。ゼロデイ攻撃を受けると、ウイルス感染や情報漏えいのほか、事業・サービス停止などの被害に発展する恐れがあります。

【対策】
すべてのソフトウェアに脆弱性が存在する（＝完璧なソフトウェアは存在しない）以上、ゼロデイ攻撃そのものを未然に防ぐのは難しいのが現状です。仮に攻撃を受けた場合に被害を最小限に留めるため、「システム（OSやブラウザ等）を最新状態に保つ」「EDR製品を導入する」などの対策を講じることが大切です。

第6位：不注意による情報漏えい等の被害

組織の従業員の不注意が原因で、情報漏えい等が発生するケースもあります。例えば、機密情報が入ったUSBを紛失してしまったり、メールの宛先を間違えて悪意ある第三者に機密情報を送ってしまうなどの事例が見受けられます。従業員の不注意で機密情報が漏えいした場合、組織の社会的信用が失墜する恐れがあります。

【対策】
ヒューマンエラーを0にすることは難しいですが、日頃より情報リテラシー・モラルを向上させる取り組みを行い、被害の予防に努めることが大切です。また多忙や体調不良が原因で注意散漫となり、記録媒体の紛失・メールの誤送信などのケアレスミスが発生することもあります。日頃より特定の従業員に業務が集中しない体制作りも重要です。

第7位：脆弱性対策情報の公開に伴う悪用増加

脆弱性が発見された際には、ソフトウェアを開発したベンダーより脆弱性の概要や対策について情報が公開されます。攻撃者はこの公開された情報を悪用し、脆弱性対策を講じていないシステムへ攻撃を行うことがあります。同脅威では情報漏えいやウイルス感染などの被害が確認されているほか、脆弱性対策情報公開から攻撃開始までの時間が短くなっており、十分な注意が必要です。

【対策】
攻撃は脆弱性対策情報が公開されてから組織が対応するまでの間に行われます。したがって、脆弱性対策情報をいち早く確認し、即座に対応することが大切です。そのために、ソフトウェアの自動更新機能も活用すると良いでしょう。

第8位：ビジネスメール詐欺による金銭被害

ビジネスメール詐欺（BEC）とは、取引先の担当者や上司、弁護士などを装って金銭を取り扱う担当者へ偽のメールを送り、偽の銀行口座にお金を支払わせる詐欺のこと。偽のメールは巧妙に作られており、本物のメールと酷似しているため、受信者は偽物だと気づかずにお金を振り込んでしまいます。

【対策】
まずは従業員にビジネスメール詐欺の手口を周知させることが大切です。その上で、送金口座や決済手段が急に変わった際には、取引先へメール以外の電話等の方法で、送金に関する確認を行いましょう。

第9位：テレワーク等のニューノーマルな働き方を狙った攻撃

コロナ禍以降、テレワークの業務環境の脆弱性を悪用した攻撃が継続的に行われています。同脅威は2021年に初選出され、徐々に順位は落ちているものの、4年連続4回目のランクインとなりました。十分なセキュリティ対策ができていない私物の端末や自宅のネットワーク環境等を狙い、機密情報の窃取・情報の盗聴などが行われるケースがあります。

【対策】
テレワークを推進する組織は、デスクトップ仮想化（VDI）や仮想プライベートネットワーク（VPN）などを導入し、安全性の高いテレワーク業務環境を構築することが有効です。そのほか、従業員の情報リテラシー・モラルの強化に取り組むことも必要です。

第10位：犯罪のビジネス化（アンダーグラウンドサービス）

アンダーグラウンド市場（以下、闇市場）ではサイバー攻撃が可能なツール・サービスが売買されており、そこにビジネスが成立しています。攻撃者は金銭の要求や情報の窃取などを目的に、それらを使ってサイバー攻撃を行います。

闇市場でツール・サービスを購入すれば、決してITに詳しくない人でも容易にサイバー攻撃を実行できる点が怖いところ。現在もアカウント情報や情報窃取ウイルスが販売されているなど、サイバー犯罪のビジネス化が進行しています。

【対策】
インシデント対応体制の整備や従業員リテラシー向上への取り組みといった基本的な対応を行います。ただし、攻撃に使われるツール・サービスによって効果的な対策は異なるため、他のランクインした脅威の対策も参考にしましょう。

あらゆる企業の情報セキュリティ対策を支援！ハイパーのセキュリティア推進部

詳細はこちら：https://www.securitier.jp/security/ciso/cisocs/

まとめ

・2024年1月に毎年恒例の「情報セキュリティ10大脅威 2024」が発表
・1位は4年連続で「ランサムウェアによる被害」
・3位「内部不正による情報漏えい等の被害」や4位「標的型攻撃による機密情報の窃取」は9年連続でランクイン