【2022年上半期事例】情報セキュリティ最新動向と行うべき3つの対策を紹介！

IPAでは、1990年4月から国内のコンピュータウイルスの感染被害やコンピュータ不正アクセス対策被害の届出を受け付けています。その最新情報である「コンピュータウイルス・不正アクセスの届出事例［2022年上半期（1～6月）］」が8月26日に公開されました。半年間で受理した届出の中から主な事例263件を取り上げ、以下の5種類に分類しています。

Emotet（エモテット）が大流行

今回は、前回［2021年下半期（7～12月）］まで届出数が減少傾向にあった「コンピュータウイルスの検知・感染の被害」が大幅に増加していることが大きな特徴です。これはEmotet（※1）と呼ばれるウイルスの攻撃が再流行したことが主な原因です。 Emotetは2021年1月に攻撃基盤の停止が報じられて以降、しばらく攻撃が観測されていませんでしたが、11月ごろ活動を再開、2022年2月から届出が急増するようになりました。

引き続き警戒が必要

上述の通り、2022年上期に猛威を振るったEmotetは7月になると届出は減少、8月には攻撃活動が停止したと見られています。しかし、過去の動向からわかることは、ウイルスは拡散と収束を繰り返すということです。Emotet一つとっても、しばらく鳴りを潜めていたと思ったら再び勢力を盛り返し、また沈静化するという動きを見せています。

※1　Emotet（エモテット）：メールに添付されたOfficeファイルのマクロ機能を利用し、端末へ感染・侵入することでメール情報を盗み取る。

中小企業がターゲットになる3つのサイバー攻撃

届出事例によると、ある企業では複数のPCがウイルスに感染し、社員を装った不審なメールが取引先などに送信されました。その企業では以前、従業員に不審なメールが届いていたことがあり、そのメールによってウイルスに感染したのではないかと推測されます。
このようにウイルス感染を基にメールアカウントやアドレス帳などが盗み取られ、それを元に送信される不正メールを通して感染が拡大していくのがEmotetです。しかも中小企業をターゲットにし、そこを踏み台にして大手企業を狙うケースも増えています。攻撃者にしてみれば、大手企業に比べ、中小企業はセキュリティ対策が十分にできていない可能性が高いため、Emotetに限らず以下のような形で侵入しやすいと考えるのです。

1. ①取引先を装ったメールにより、不審なURLに誘導する
2. ②使いまわしや強度の低いパスワードに対して、総当たり攻撃を仕掛ける
3. ③機器の脆弱性や設定不備を突き、不正な操作や侵入を試みる

「わが社も危ないかも」と思ったら・・・今すぐできる3つの対策

様々な脅威がありますが、どれも日頃からの対策で未然に防ぐことができます。「わが社も標的になるのでは？」と不安に思われる経営者の方は、今すぐ以下の3つの対策に取り組みましょう。

①不審なメールへの対応ポリシーを決める

もし不審なメールが届いたらどのように対処すべきか、会社としての方針を定めて従業員に告知しておきます。あわせて研修などを通して従業員のセキュリティ意識向上を図ることも大切です。

②容易に想定できるパスワードを設定しない

簡単なパスワードは総当たり攻撃で難なく突破されてしまいます。安易なパスワードの設定や、複数のツールやサービスでのパスワードの使い回しは避けましょう。

③機器・ソフトウェアのアップデートを行う

各種機器やソフトウェアを安全かつ快適に使うためには、常に最新の状態にアップデートしておくことが重要です。古いバージョンのままだと脆弱性を狙った攻撃を受けやすくなります。

上記で紹介した「今すぐできる3つの対策」は既にできていますでしょうか？
サクサでは、20の問いに「はい」か「いいえ」で答えることで、簡単・手軽に自社の取り組み状況を把握することができる「情報セキュリティ現状診断」をWeb上で提供しています。今回、紹介した3つの対策も現状診断の中に含まれております。対策が十分でない場合は上記の内容を基に早急に取り組みましょう。

また、中小企業では情報セキュリティの専任部門や担当者を置いていないこともあると思います。「そもそも自社の情報セキュリティはどういう状態なのだろう？」と疑問に思う経営者の方も少なくないでしょう。そういう場合は「自社の現状を知る」ことがすべてのスタート地点になります。診断結果から問題点も浮き彫りにされ、立てるべき対策も見えてきます。

ネットワークにおけるセキュリティリスクは後を絶ちません。しかし適切な対策を実施することでリスクは大幅に軽減されます。サクサでは、さまざまなソリューションによって中堅・中小企業の課題解決をサポートさせていただきます。まずは自社のことを知ることから始めましょう。ぜひ、「情報セキュリティ現状診断」をお試しください。