【連載第2回】知っておくべきサイバー攻撃の手口5選 ― フィッシングからランサムウェアまで
前回は、中小企業がサイバー攻撃に狙われる理由を解説しました。今回は、実際にどのような手口で攻撃が行われるのか、中小企業が特に注意すべき5つのパターンを紹介します。
1. フィッシング攻撃
最も一般的な攻撃手法です。実在する企業やサービスを装ったメールで、偽のログインページに誘導してIDとパスワードを盗みます。
中小企業でよくあるパターン:
- Microsoft 365のログインページを装ったメール
- 請求書PDFを装ったマルウェア添付メール
- 社長や取引先を騙る「緊急」メール
見分けるポイント: 送信元アドレスのドメインを確認する、URLにカーソルを合わせてリンク先を確認する、不自然な日本語や急かす文面に注意する。
ただし、「見分ける」教育には限界があります。 かつての判別基準だった「不自然な日本語」は、生成AIの普及によって通用しなくなりました。文面は自然で、実在の取引先名や案件名が入っていることもあります。人の注意力を最後の砦にしない設計が必要です。
- 社外メールに警告バナーを表示する — 取引先を装った偽装に最も効きます
- 多要素認証を有効にする — パスワードが盗まれても侵入されません
- リンクと添付ファイルの検査を有効にする — メールサービス側の機能で止めます
それでも突破される前提で、「報告しやすさ」を作ってください。 クリックしてしまった社員がすぐ申告できるかどうかで、被害の規模が変わります。叱責される空気があると報告は上がりません。
2. ランサムウェア
端末やサーバーのファイルを暗号化し、復号と引き換えに身代金を要求する攻撃です。
感染経路: VPN装置の脆弱性（全体の約60%）、フィッシングメール経由（約25%）、リモートデスクトップ（RDP）経由。
中小企業が知っておくべきこと: バックアップがあっても復旧に数日〜数週間かかることがある。業務停止による損失が身代金を上回ることも珍しくない。
現在の主流は「二重恐喝」です。 データを暗号化するだけでなく、事前に盗み出したうえで「支払わなければ公開する」と脅します。バックアップから復旧できても、情報漏えいの問題は残ります。 「バックアップがあるから大丈夫」という説明は、もはや正確ではありません。
身代金を支払うかどうかは、平時に方針を決めておいてください。 有事に経営者が判断を迫られる場面では、冷静な検討ができません。判断材料として次を押さえておきます。
- 支払っても復号ツールが提供されない、または完全には復旧しないケースがある
- 支払いは攻撃者の資金源になり、再攻撃の対象になり得る
- 支払先によっては、法令上の問題が生じる可能性がある
感染経路の1位がVPN機器である点が実務上は最重要です。 メール経由よりも、外部に公開された機器の脆弱性放置のほうが入口になっています。更新プログラムの適用と、サポート終了機器の把握が最優先の対策です。
3. ビジネスメール詐欺（BEC）
経営者や取引先を装い、振込先の変更を指示する詐欺です。
典型的な手口: メールアカウントを乗っ取った上で、経理担当者に「振込先が変わった」と連絡する。正規のメールスレッドに割り込むため見抜きにくい。
対策の基本: 振込先変更は必ず電話で確認する。メールだけで完結させない。
「電話で確認する」を実効性のあるルールにするには、次の2点が要ります。
- メールに書かれた電話番号にかけない — 詐欺メールには攻撃者の番号が記載されています。自社が以前から持っている連絡先にかけてください
- 確認を担当者個人の判断に委ねない — 「振込先の変更は、金額にかかわらず必ず別経路で確認する」と業務ルールに明記します。急かされている状況で個人が判断すると、例外が生まれます
BECは技術で完全には止められません。 取引先のアカウントが実際に乗っ取られている場合、メールの認証はすべて正常に通ります。業務プロセス側で塞ぐしかない類型です。
4. サプライチェーン攻撃
自社ではなく、利用しているソフトウェアやサービス、取引先を経由して攻撃される手法です。
中小企業のリスク: 自社が踏み台にされると、大口取引先との関係悪化、損害賠償請求、取引停止に発展する恐れがある。
5. 内部不正・ヒューマンエラー
意図的な情報持ち出しだけでなく、誤送信やクラウドの設定ミスも含まれます。
よくある事例: 退職者のアカウントが削除されていない、共有フォルダのアクセス権が適切に設定されていない、個人のクラウドストレージに業務ファイルをコピー。
この類型は「悪意のある人がいるか」の問題ではありません。 大半は、権限が広すぎることと、退職手続きが追いついていないことが原因です。全社員が人事フォルダを開ける状態を放置していれば、意図しない閲覧はいつでも起こり得ます。
- 共有フォルダの権限を、人事・経理・役員の領域から見直す
- 退職の意思表示から最終出社日までの間、大量ダウンロードの検知を有効にする
- 退職手続きにアカウント無効化を組み込む（退職者対応のチェックリスト）
「うちは狙われない」が最も危険
中小企業から最も多く聞く言葉ですが、現在の攻撃の多くは、企業を選んでいません。 外部に公開された機器やサービスを機械的にスキャンし、脆弱性が見つかった順に侵入します。狙われて調べられるのではなく、放置されている穴が見つかるから侵入されるという順序です。
さらに、取引先を経由して大企業を狙う攻撃では、セキュリティ対策が手薄な中小企業ほど入口として選ばれます。企業規模は理由になりません。
手口ごとの「入口を塞ぐ対策」
| 手口 | 最も効く対策 |
|---|---|
| フィッシング | 多要素認証、社外メールの警告バナー |
| ランサムウェア | VPN機器の更新、オフラインバックアップ |
| ビジネスメール詐欺 | 振込先変更の別経路確認（業務ルール） |
| サプライチェーン攻撃 | 委託先の棚卸しと契約条項 |
| 内部不正・ヒューマンエラー | 権限の見直し、退職手続きとの連動 |
5つのうち3つは、多要素認証と更新プログラムの適用で入口が狭まります。 詳しくは次回のチェックリスト20項目を参照してください。
まとめ
- 「不自然な日本語」で見分ける教育は、生成AIの普及で通用しなくなった
- 人の注意力を最後の砦にせず、MFA・警告バナー・リンク検査で止める
- クリック後にすぐ報告できる空気をつくる。叱責される環境では報告が上がらない
- ランサムウェアの主流は二重恐喝。バックアップから戻せても情報漏えいは残る
- 身代金の方針は平時に決める。支払っても完全復旧しない事例がある
- ランサムウェアの最大の入口はメールではなくVPN機器の脆弱性
- 振込先変更の確認は、メールに書かれた番号ではなく既知の連絡先にかける
- BECは技術で止まらない。業務プロセス側で塞ぐしかない
- 内部不正の大半は悪意ではなく、権限が広すぎることと退職手続きの遅れが原因
- 攻撃の多くは企業を選ばない。放置された穴が見つかるから侵入される
5つの攻撃手法に共通する対策の第一歩は「多要素認証の導入」と「従業員教育」です。次回は、中小企業のセキュリティ対策チェックリストを紹介します。
← 前回: 【連載第1回】なぜ中小企業が狙われるのか ｜ 次回: 【連載第3回】セキュリティ対策チェックリスト →
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。