あなたは、どのような種類の情報セキュリティ脅威があるのかご存知ですか？
実は、IPA（情報推進機構）が「情報セキュリティ10大脅威 2019」を発表しています。
2019年は利用者を騙して情報を漏洩させる手口が「個人」「組織」共にランクインしています。
あなたに是非、この記事を読んでいただき、脅威に対する知識をつけていただきたいと思います。
対策の一歩は、脅威の存在を知ることから始まるからです。
この記事は、ランキングのみ掲載しており、各対策は掲載しておりません
参考サイト；IPA（情報推進機構）
この記事はこんな方におすすめ
情報セキュリティの脅威に興味がある方
情報セキュリティの担当になった方
情報セキュリティの勉強中の方
1.「個人」の10大脅威
ウイルス感染やフィッシング詐欺等により、クレジットカード情報が攻撃者に窃取され、不正利用が行われている。2018年も、非常に多くの被害が発生しており、窃取されたクレジットカード情報と旅行サービスを組み合わせた悪用の手口（不正トラベル）による被害の増加も確認されている。
有名企業をかたったメールを送信して偽のウェブサイトへ誘導し、IDやパスワード等を詐取するフィッシング詐欺が行われている。Apple ID、Microsoftアカウント等、複数のサービスを利用できる認証情報が狙われる傾向にあり、詐取された情報を悪用され金銭的な被害が発生している
不正アプリをスマートフォン利用者がインストールしてしまうことで、スマートフォン内の重要な情報を窃取されたり、一部機能を不正に利用される被害が確認されている。不正アプリをインストールさせるための手口として、実在の企業をかたり誘導する等、手口が巧妙化している
アダルトサイトを閲覧している姿を撮影した映像をばらまくと脅迫するメールや有料サイトの未納料金を請求するメールを受信し、その内容を信じてしまい仮想通貨等を騙し取られる被害が発生している。昨今、PCをハッキングしているように見せかける等、信じさせる手口が巧妙化している。
インターネットの匿名性を利用して、特定の個人や組織に誹謗・中傷や犯罪予告をする事件が依然として発生している。また、2018年に起きた震災では、SNSサービス上で嘘情報を発信し、人々を混乱させる事件も発生する等、情報モラルや情報リテラシーを欠いた行為が度々問題となっている。
PCやスマートフォンの利用者に対してインターネット閲覧中に、突然「ウイルスに感染しています」等の偽の警告画面（偽警告）を表示し、不要なソフトウェアをインストールおよび購入するように誘導したり、サポート窓口を装って電話を掛けさせ、サポート契約を結ばせる等で金銭を騙し取る被害が発生している。偽警告は利用者の不安につけこむ金銭詐欺であり、表示されても慌てず冷静に対応する必要がある。
ウイルス感染やフィッシング詐欺により、インターネットバンキングのログイン情報を攻撃者が窃取し、本人になりすまして、不正送金や不正利用が行われている。インターネットバンキングを狙った攻撃は継続して確認されているが、被害件数や被害額は年々減少傾向となっている。
インターネットサービスに不正ログインされ、金銭的な被害や個人情報が窃取される等の被害を受ける事例が確認されている。インターネット利用者が複数のサービスを利用する際に同じIDとパスワードを使いまわしてしまう場合がある。そのIDやパスワードを狙ったパスワードリスト攻撃による不正ログインが多く見られる。
PCやスマートフォンに保存されているファイルの暗号化や画面ロック等を行い、復旧に金銭を支払うよう脅迫するランサムウェアと呼ばれるウイルスへの感染が確認されている。感染するとPCやスマートフォン内に保存された家族や友人との思い出の写真や知人の連絡先情報等が閲覧できなくなる。また、2018年は、個人に直接的な影響は少なかったが病院や鉄道会社といった日常生活でよく利用する組織においても被害が確認されている。
企業だけでなく一般家庭でもインターネット経由で操作を行うことができるIoT機器の利用が増えている。しかし、パスワードの設定や管理が不十分なケースも多い。そのようなIoT機器に不正アクセスされ、情報の盗み見等の被害が発生している。
情報セキュリティ10大脅威 個人編 （PDF）
2.「組織」の10大脅威
企業や民間団体そして官公庁等、特定の組織から重要情報を窃取することを目的とした標的型攻撃が発生している。攻撃者はメールの添付ファイルや悪意のあるウェブサイトを利用し、組織のPCをウイルスに感染させる。その後、組織内部へ潜入し、組織内部の侵害範囲を拡大しながら重要情報や個人情報を窃取する。
ビジネスメール詐欺（Business E-mail Compromise：BEC）は、取引先や経営者とやりとりするようなビジネスメールを装い、巧妙に細工されたメールのやりとりで企業の金銭を取り扱う担当者を騙し、攻撃者の用意した口座へ送金させる詐欺の手口である。当初は主に海外の組織が被害に遭ってきたが、ここ数年で国内企業でも被害が確認されはじめ、2018年には日本語のビジネスメール詐欺の事例も確認された。
PC（サーバー含む）やスマートフォンに保存されているファイルの暗号化や画面ロック等を行い、復旧に金銭を支払うよう脅迫するランサムウェアと呼ばれるウイルスへの感染が確認されている。組織においては、業務を遂行する上で必要な情報を暗号化された場合、事業継続にも支障がでるおそれがある。また、脅迫に従った場合、金銭的な被害も発生する。
原材料や部品の調達、製造、在庫管理、物流、販売までの一連の商流、およびこの商流に関わる複数の組織群をサプライチェーンと呼ぶ。また、組織が特定の業務を外部組織に委託している場合、この外部組織もサプライチェーンの一環となる。業務委託先組織がセキュリティ対策を適切に実施していないと、業務委託元組織への攻撃の足がかりとして狙われる。昨今、業務委託先組織が攻撃され、預けていた個人情報が漏えいする等の被害が発生している。
組織の従業員や元従業員等、組織関係者による機密情報の漏えい、悪用等の不正行為が発生している。組織関係者による不正行為は、組織の社会的信用の失墜、損害賠償による経済的損失等により、組織に多大な損害を与える。
攻撃者に乗っ取られた複数の機器から形成されるネットワーク（ボットネット）を踏み台とし、企業や組織が提供しているインターネットサービスに対して大量のアクセスを仕掛け高負荷状態にさせるDDoS（分散型サービス妨害）攻撃が確認されている。攻撃を受けた場合、自組織が管理するウェブサイト等のレスポンスが遅延、または機能停止状態となり、サービス提供に支障が出るおそれがある。
インターネットサービスの脆弱性が悪用され、インターネットサービス内に登録されている個人情報やクレジットカード情報等の重要な情報を窃取される被害が発生している。攻撃者は窃取した情報を悪用して不審なメールを送信したり、クレジットカードを不正利用する。
IoT機器をウイルスに感染させ、そのIoT機器を踏み台として大規模なDDoS（分散型サービス妨害）攻撃を行い、サービスやネットワーク、サーバーに悪影響を与える被害が確認されている。IoT機器は稼働台数が多く、脆弱性対策も浸透していないことからサイバー攻撃の対象になりやすい。IoT機器を狙ったサイバー攻撃は年々増加傾向で深刻な被害も発生しており、早急なセキュリティ対策が必要となっている。
ソフトウェアの脆弱性対策情報の公開は、脆弱性の脅威や対策情報を広く呼び掛けられるメリットがある。一方、その情報を攻撃者に悪用され、当該ソフトウェアに対する脆弱性対策を行っていないシステムを狙った攻撃が行われている。近年では脆弱性情報の公開後、攻撃コードが流通し、攻撃が本格化するまでの時間が短くなっている。
組織や企業では、情報管理に対する意識の低さや確認漏れ等により、従業員による個人情報や機密情報の漏えいが後を絶たない。漏えいした情報が悪用される等の二次被害も懸念される。
情報セキュリティ10大脅威 組織編 （PDF）
3.まとめ
このランキングは独立行政法人 情報処理推進機構(IPA)が発表したランキングになります。
見ていいただくと分かるとおり、様々なセキュリテイ脅威が挙げられています。
年々、新たな脅威が増え続けていることから、どれか一つの脅威に対応すれば良いというわけでもなく
一度対策を講じれば終わりではなく、様々な脅威に対して網羅的かつ継続的に対応する必要性があります。
情報セキュリティ10大脅威 2019 （PDF）
以上「情報セキュリティ10大脅威 2019」の記事でした。See you later
にほんブログ村
PAGE TOP