サイバー攻撃に対するセキュリティ対策
アスクルサイバー攻撃と犯行声明 ロシア系ハッカー集団
サイバー攻撃を受けた通販大手アスクルに関し、「ランサムハウス」と呼ばれるロシア系のハッカー集団が、インターネットのダークウェブ上に犯行声明を出したことが30日、セキュリティー関係者への取材で分かった。大量のデータを盗んだと主張している。
セキュリティー会社S＆Jが確認した。三輪信雄社長によると、このハッカー集団は企業から情報を盗み脅迫する手法を使い、近年、活動が目立っているという。アスクルは19日にコンピューターウイルス「ランサムウエア」を検知。物流機能など感染の疑いがあるシステムを切り離して受注を停止した。傘下の物流企業にも障害が出たため、配送を受託する良品計画などのオンラインストアも停止している。
ランサムウエアを巡っては、アサヒグループホールディングスが攻撃を受け、9月にシステム障害が発生。事業に大きな影響が出ている。
サイバーセキュリティは「完璧」を目指すのではなく、「多層防御（ディフェンス・イン・デプス）」の考え方が基本です。一つの対策が破られても、他の対策で防御するという姿勢が重要です。
1. 基本原則：全ての対策の土台
まず、以下の基本原則を組織と個人の両方で徹底してください。
- ソフトウェアを常に最新の状態に保つ
- OS（Windows, macOS）、アプリケーション、ブラウザ、ファームウェアなどにセキュリティアップデートを速やかに適用する。これは最も効果的かつコストパフォーマンスの高い対策です。
- 強力なパスワードと多要素認証の活用
- パスワード：長く、複雑で、推測されにくいパスワードを使用する。パスワード管理ツールの利用が効果的です。
- 多要素認証（MFA/2FA）：可能な限り全てのサービス（メール、SNS、クラウドサービスなど）で有効にする。パスワードが漏えいしても、第2の認証で守られます。
- 不審なメール・リンク・ファイルを開かない
- フィッシングメールは依然として主要な攻撃手法です。差出人、件名、本文の内容を注意深く確認し、少しでも不審な点があれば絶対にリンクをクリックせず、ファイルを開かず、返信しない。
- 定期的なバックアップの取得
- ランサムウェア攻撃を受けた際の最後の砦です。重要なデータは3-2-1ルール（データのコピーを3つ、2種類の異なるメディアに、1つは遠隔地に）でバックアップを取得し、定期的に復元テストを行います。
2. 技術的対策：システムとネットワークを守る
エンドポイントの保護（PC、スマートフォン、サーバーなど）
- アンチウイルス・アンチマルウェアソフトの導入
- 信頼できるベンダーの製品を導入し、定義ファイルを常に最新に保ち、定期的なスキャンを実行する。
- EDR（Endpoint Detection and Response）の導入
- 従来のアンチウイルスを発展させ、不審な挙動を検知し、自動で対応・調査する高度なソリューション。企業ではほぼ必須です。
- OSのファイアウォールを有効にする
- 不必要なネットワークポートへのアクセスを遮断する。
ネットワークの保護
- ファイアウォールの設置
- 社内ネットワークと外部ネットワーク（インターネット）の境界に設置し、不正な通信を遮断する。
- WAF（Web Application Firewall）の導入
- ウェブサイトやウェブアプリケーションを対象とした攻撃（SQLインジェクション、クロスサイトスクリプティングなど）から守ります。
- ネットワークの分割（セグメンテーション）
- 社内ネットワークを部門や役割ごとに分割し、万一マルウェアに感染しても被害の拡大を防ぎます。
- VPNの利用
- リモートワーク時など、公共のWi-Fiを使用する際は、必ず信頼できるVPNを通して通信を暗号化する。
3. 人的対策：最も弱いリンクを強化する
- 定期的なセキュリティ教育・訓練の実施
- フィッシングメールの見分け方、SNSの取り扱い、パスワード管理などについて、継続的に教育を行います。模擬フィッシング訓練は非常に効果的です。
- 情報セキュリティポリシーの策定と周知
- 社内でのデータの取り扱い、端末の持ち出しルール、インシデント発生時の報告手順などを明確にし、全従業員が理解できるようにします。
4. プロセス・管理体制の構築
- アクセス権限の最小特権の原則
- ユーザーに業務に必要な最小限の権限のみを付与する。これにより、権限が奪取された際の被害を最小化します。
- ログの監視と分析
- ファイアウォール、サーバー、端末などのログを収集・分析し、不審な活動を早期に発見する体制を整えます。SIEM（Security Information and Event Management）システムの導入が有効です。
- インシデントレスポンス計画の策定
- 万一サイバー攻撃の被害に遭った場合に、誰が何をするのか、どのように連絡するのかを事前に計画し、定期的に訓練を行います。
対策の優先順位（特に個人・中小企業の方へ）
全てを一度に導入するのは難しいかもしれません。以下の順番で着手することをお勧めします。
- 最重要（これをやるだけでリスクが大幅に低下）
- 多要素認証（MFA）の有効化
- ソフトウェアの自動更新の設定
- 定期的なバックアップの取得
- 次に実施
- パスワード管理ツールの導入
- OS標準のファイアウォール・アンチウイルスの有効化
- 不審なメールへの警戒心を高める
- さらに発展
- ネットワークの分割の検討
- EDRやWAFなどの高度な製品の導入
- 従業員への定期的な訓練の実施
サイバーセキュリティは「やったら終わり」ではなく、継続的な改善プロセスです。新しい脅威が日々生まれるため、対策も常に見直し、アップデートしていく必要があります。
サイバー攻撃へのセキュリティ対策は、**「技術的対策」＋「組織的・人的対策」**の両方を組み合わせることが重要です。
以下に、代表的な対策を体系的にまとめます👇
🛡️ 1. 技術的なセキュリティ対策
🔐 ネットワーク・システム対策
- ファイアウォールの設置：不要な通信を遮断し、外部からの不正アクセスを防ぐ。
- IDS/IPSの導入：侵入検知・防御システムで異常通信をリアルタイム監視。
- VPNの利用：リモート接続時は暗号化通信を使用して安全性を確保。
- ネットワーク分離：社内ネットワークを業務用・来客用・重要データ用に分割。
💾 ソフトウェア・端末対策
- OS・アプリの最新化（パッチ適用）：脆弱性を放置しない。
- ウイルス対策ソフトの導入・更新：リアルタイム保護を有効に。
- 多要素認証（MFA）の導入：パスワード＋トークンなどで不正ログインを防止。
- 最小権限の原則：不要な管理者権限を与えない。
- データ暗号化：盗難・漏えい時にも情報を保護。
👥 2. 人的・組織的対策
🧠 セキュリティ教育
- 社員教育の実施：フィッシングメールや不審リンクへの注意喚起。
- 定期的な訓練：疑似攻撃メール訓練で意識を高める。
🗂️ 管理体制の整備
- 情報セキュリティポリシー策定：ルールを明文化して徹底。
- インシデント対応計画：攻撃発生時の手順を明確化。
- アクセスログの監視と保存：不審行動を早期に検知。
⚙️ 3. 攻撃手法ごとの具体的対策例
| 攻撃手法 | 主な対策 |
|---|---|
| フィッシング詐欺 | メールフィルタ／社員教育／MFA導入 |
| マルウェア感染 | セキュリティソフト／パッチ適用／USB制限 |
| ランサムウェア | バックアップ体制整備／ネットワーク分離 |
| 標的型攻撃 | 侵入検知システム／通信監視／教育訓練 |
| DDoS攻撃 | CDN・WAF利用／トラフィック制御 |
| 内部不正 | アクセス権管理／ログ監査／職務分離 |
🔄 4. 定期的な見直し・監査
- 年に1回以上、脆弱性診断・ペネトレーションテストを実施。
- セキュリティポリシーの更新・改善を継続的に行う。
サイバー攻撃への対策は「予防」「検知」「対応」の3段階が重要です。基本対策を徹底し、最新の脅威にも備えましょう。
以下は、企業・個人が今すぐ取り組むべき主なセキュリティ対策です：
🛡️ 基本的なセキュリティ対策（個人・企業共通）
- OSやソフトウェアを常に最新に保つ セキュリティパッチの未適用は攻撃の入口になります。
- 強固なパスワードと多要素認証の導入 英数字・記号を含む10文字以上のパスワード＋SMSやアプリによる認証。
- 不要なメール・Webサイトを開かない フィッシングやマルウェア感染のリスクを減らします。
- ウイルス対策ソフトの導入と定期更新 信頼できるソフトを選び、期限切れに注意。
🏢 企業向けの追加対策
- バックアップの定期実施と復元テスト ランサムウェア対策として、復旧可能な体制を整備。
- 入口・内部・出口の多層防御 ファイアウォール、IDS/IPS、DLPなどを組み合わせて対策。
- セキュリティポリシーの策定と定期見直し 社内ルールを明文化し、従業員に周知。
- 従業員教育と訓練 ヒューマンエラーを防ぐため、定期的な研修を実施。
- ゼロトラストモデルの導入 信頼せず常に検証する設計思想で、クラウド時代の脅威に対応。
🔍 最新の脅威と傾向
- VPNやクラウド設定のミスを狙う攻撃が増加 特にテレワーク環境では設定不備が狙われやすい。
- ランサムウェア「Qilin」などによる大規模被害 2025年にはアサヒグループが攻撃を受け、全国の出荷が停止する事態に。
セキュリティ対策は一度きりではなく、継続的な見直しと改善が不可欠です。企業規模や業種に応じた対策を選び、専門家の助言を受けることも有効です。
参考： NTT東日本の対策まとめ 株式会社クエストの対策ガイド ITreviewによる企業向け対策 DDFの専門家による解説
