標的型攻撃の特徴とは？
手口や対策、おすすめセキュリティーツール

標的型攻撃とは、特定の会社や公的な組織などを狙って実行される、サイバー攻撃の一種です。攻撃するターゲットや目的が明確に定まっていることが、この攻撃手法の大きな特徴だといえます。たとえば、攻撃者の主な目的として挙げられるのは、組織内の重要情報の窃取や、業務妨害などです。なお、こうした標的型攻撃に対して、攻撃するターゲットがランダムであり、対象を定めないタイプのサイバー攻撃のことを「無差別型攻撃」と呼びます。

標的型攻撃では、狙われた企業や団体が大きな被害を受けるのはもちろん、取引先などの関連する組織にまで被害が及ぶおそれがあるため、注意が必要です。万が一被害が大規模になると、事業の継続が困難になったり、大切な情報資産が損なわれたりする危険性があります。

標的型攻撃は、IPA（情報処理推進機構）が公表する「情報セキュリティ10大脅威」でも取り上げられています。2022年には、組織が注意すべきさまざまな脅威の中でも、2位にランクインしました。多くの企業の情報セキュリティーの担当者が、標的型攻撃のリスクに注目し、早急な対策を呼びかけています。

潜伏型の標的型攻撃とは、システムがマルウェアに感染してから一定期間にわたり潜伏するタイプの攻撃です。そこには、時間をかけて確実に情報を抜き取ろうとする攻撃者の巧妙な意図があります。潜伏期間中の攻撃は目立ちにくいことから、組織内でサイバー攻撃を受けていると気づきにくいのが特徴です。マルウェア感染後の対応で後れを取ってしまうと、後述の速攻型よりも被害が大きくなる可能性があります。

速攻型の標的型攻撃とは、システムがマルウェアに感染してから数時間～数日という短期間で機密情報を抜き取るタイプの攻撃です。サイバー攻撃を受けると組織内のシステムの動作が急激に重くなるなどの症状が見られるため、早い段階で検知されやすい傾向にあります。このように、攻撃に失敗する確率が高いことから、同じ攻撃対象が数回続けて攻撃されるケースも珍しくありません。

メールを悪用する方法は、標的型攻撃で一般的な手口の一つだといえます。メールを通じて、悪意のあるプログラムが仕組まれた添付ファイルやURLを送信するのが特徴です。受信者がファイルを開いたり、メール本文のURLをクリックしたりすると、ウイルス感染や不正プログラムのインストールが起こります。攻撃者がメールサーバーに侵入して、既存のやり取りに割り込むケースにも注意が必要です。取引先などの実在の人物になりすまして返信を偽装するなど、受信者を油断させる手口は年々巧妙化しています。

水飲み場型攻撃とは、組織内の人物がよく利用するWebサイトを前もって改ざんすることによって、Webサイト経由でターゲットをウイルスに感染させる手口です。攻撃者はターゲットが頻繁に利用するWebサイトを事前に調査した上で、間接的に攻撃を仕掛けます。場合によっては、偽物のWebサイトを作成してユーザーを誘導するなど、改ざん以外の方法で攻撃を仕掛けることも珍しくありません。このような攻撃の仕組みが、動物が水飲み場で獲物を待ち伏せする様子に例えられ、水飲み場型と名付けられました。

ゼロデイ攻撃とは、ソフトウェアやOSの脆弱性（ぜいじゃくせい）を狙って攻撃する手口です。組織内のシステムにセキュリティー上の弱みがあると、無防備な状態となり、外部から容易に侵入されるリスクがあります。攻撃者はこのセキュリティーホールを狙って効果的に攻撃を仕掛けるのです。ゼロデイ攻撃は多くの場合、システム提供会社が修正プログラムを提供する前のタイミングを狙って実行されます。まだ脆弱性が発見されていない段階では対策しにくいことから、確実に防ぐのが難しいと考えられています。

バックドアとは「裏口」を意味する言葉で、外部からシステムへ不正に侵入するために設置される入口のことを指します。一度バックドアが設置されてしまうと、その後はバックドアを通じて外部から侵入できる状態となります。つまり、攻撃者は自在に組織内のシステムに不正侵入して、システムの破壊や機密情報の剽窃などのあらゆる攻撃を行えるようになるのです。バックドアの設置は、システムの脆弱性を狙って侵入した際に行われるほか、メールに添付された不正プログラムなどによって設置されることもあります。

入口対策として、従業員のセキュリティー意識の向上をはかることが重要です。多くの被害事例では、標的型攻撃メールが発端となっています。従業員には、不審なメールを開かないこと、添付ファイルやリンクをクリックしないことを徹底させる必要があります。最近のスパムメールの具体的な事例を紹介しながら、巧妙化するなりすましに騙されないよう、定期的にセキュリティー教育を実施できると理想的です。

不正な侵入を防ぐための入口対策では、高度なセキュリティー機能を搭載した端末を利用するのが有効です。また、PCやOSのソフトウェアは常に最新版へのアップデートを行い、標的型攻撃で狙われやすい脆弱性を可能な限りなくすことが望ましいといえます。定期的なアップデートを実施するために、社内端末の更新状況を一斉管理するなど、管理方法を見直すようおすすめします。

標的型攻撃を予防するだけでなく、実際に攻撃を受けてしまった場合を想定して、出口対策を講じることが大切です。このように、被害を最小限に抑える対応を「インシデント対応」と呼びます。インシデント対応では、早期に対応して被害の拡大を防ぐために、速やかに異常を検出できるログ監視の体制を整えるのが有効です。また、個人情報の流出を避けるには、社内のデータを暗号化しておくといった情報漏えい対策も求められます。

入口対策および出口対策では、専用のセキュリティー製品を導入するのがおすすめです。セキュリティー製品には、エンドポイント（＝ネットワークに接続された端末）を守るもの、ゲートウェイ（＝ネットワークの中継点）を守るもの、セキュリティログを分析するものなど、さまざまな種類があります。たとえば、エンドポイントの異常を検知するセキュリティー製品として、「EDR（Endpoint Detection and Response）」が挙げられます。これらの製品を導入することで、社内のあらゆるセキュリティーを強化することが可能です。

EDRについて、詳しくは以下の関連記事で解説しています。セキュリティー強化を検討される際は、本記事と併せてぜひお読みください。