はじめに
2019年にあった情報漏洩記事を独自に集め、分類した。
そこからどのような攻撃方法でインシデントが起きでいるか考察する。
調査結果
考察
集計した情報漏洩の中で1番多かったのは外部からの不正アクセスでの情報漏洩で、122件（68%）。内部犯による個人情報漏洩が2件（1%）。それ以外は内的要因で55件（31%）の情報漏洩が発生している。内的要因についてはユーザーによるメールの誤送信というものが圧倒的に多かった。これに関しては情報セキュリティ教育を徹底したり、Eメール等で個人情報を伴うデータのやり取りを行う際はダブルチェックをするようルールを決め、セキュリティ事故を減らす必要がある。内部犯による個人情報漏洩については、情報を外に持ち出しをできてない様に徹底するほか、背後や隣などからのぞき見をする「ショルダーハック」にも注意したい。
■どの対象が狙われているのか
不正アクセスを受けた対象を集計すると、Webサイトでの被害が特に多く、中でもECサイトへの被害が多かった。ECサイト自体は個人でも簡単に構築することもでき、サイト数も無数にある。サイト利用者は決済時にクレジットカードが使用できることから、クレジットカード情報を奪取され、中には不正利用されていたケースもある。
ECサイトでの情報漏洩のうち13件（33%）はペイメントモジュールの改ざんがされていることが分かった。ペイメントモジュールはバージョンによっては脆弱性があるので使用する際には注意が必要。現状は最新パッチもでているので、利用している場合は最新化しておくことが必要。今一度、利用しているペイメントモジュールの脆弱性等を確認しておいた方が良い。
■攻撃されにくい環境作りの必要性
システムの脆弱性を利用され被害にあった事例は179件中31件（17%）あった。
使用している環境にも脆弱性が潜んでいる可能性は十分あるので、上記でも述べた最新パッチの確認や、定期的に脆弱性診断を受けることをお勧めする。
■マルウェア対策の必要性
個人で使用しているPCにマルウェアを仕掛けられている事例は179件中17件（9%）あった。手口としては普段メールでやり取りしている相手を装ってファイルを添付して開いたら感染するという手口だ。セキュリティ教育を行っているにもかかわらず、攻撃方法が巧妙化していることで被害が多発している。被害を最小限に止めるために、PCにはアンチウィルスのエンドポイント向けセキュリティソフトを入れマルウェアを検知時にはすぐにネット環境から端末を切り離せるよう感染することを前提にした利用者の教育を行い最小限の被害に抑えるという考え方が必要。併せてコロナ禍の影響でテレワークが増加していることもあり「使用者個人」のセキュリティ意識向上も求められる。IPAなどでも教育動画を配信しているし、セキュリティ対策企業に頼るのも手である。
おわりに
外部からの不正アクセスが増加している昨今、環境に応じてセキュリティは常に強化していく必要がある。エンドポイント端末の導入や、FWによる入口出口対策、WAFによるWEBサイトに特化したセキュリティ対策など複数の対策を実施することで自身が被害者となることを防がなければならない。