セキュリティ編 第2章 / 全13章
攻撃の手口
フィッシング ・ ランサムウェア ・ 不正アクセス
敵を知るポイント
- いちばん多い入口は、人をだますメール（フィッシング・ビジネスメール詐欺）
- データを暗号化して身代金を要求するランサムウェアは、会社を止めるほどの被害になる
- 取引先や委託先を踏み台にする攻撃（サプライチェーン攻撃）も増えている
名前の由来
ソーシャルエンジニアリング：技術ではなく、人のすきや思い込みを突いて情報を盗む手口の総称。
仕事の現場では
くわしく（正確な話）
- 他のサイトから漏れたIDとパスワードの組を使い回してログインを試すのが、パスワードリスト攻撃。
- 大量のアクセスを送りつけてサービスを止めるのが DDoS 攻撃。
- 社員や元社員による情報の持ち出しなど、内部不正も大きな脅威。
- 独立行政法人IPA（情報処理推進機構）が毎年「情報セキュリティ10大脅威」を公表している。ランサムウェアは近年、組織編の上位に入り続けている。
この章の用語（意味と語源）
- フィッシング Phishing
本物そっくりの偽メールや偽サイトで、パスワードやカード情報を盗む手口。
宅配業者・銀行・通販サイトなどを名乗り、「至急」「アカウント停止」などとあせらせるのが典型です。
語源fishing（釣り）のもじり。ph は、昔のハッカー文化の言葉 phreaking にならったと言われます。
- ビジネスメール詐欺（BEC） Business Email Compromise
取引先や社長になりすましたメールで、偽の口座に送金させる詐欺。
「振込先が変わりました」「至急・内密に」が典型的な文句です。メール以外の手段で必ず確認しましょう。
語源Business Email Compromise（仕事のメールの乗っ取り）の頭文字。compromise は「危うくする」。
- ランサムウェア / マルウェア Ransomware / Malware
データを暗号化して使えなくし、身代金を要求する悪いソフト。悪いソフトの総称がマルウェア。
最近は、暗号化に加えて「盗んだデータを公開する」と脅す二重の脅迫が一般的です。
語源ransom（身代金）+ software。malware は malicious（悪意のある）+ software。
- パスワードリスト攻撃 Credential Stuffing
他のサイトから漏れたIDとパスワードの組で、別のサービスへのログインを試す攻撃。
パスワードを使い回していると、1か所の漏えいから次々に乗っ取られます。
語源英語では credential stuffing（認証情報の詰め込み）。credential はラテン語 credere（信じる）から。
- DDoS攻撃 ディードス
大量のアクセスを一度に送りつけて、サービスを止める攻撃。
乗っ取った多数の機器（ボットネット）から送られることが多いです。
語源Distributed Denial of Service（分散したサービス妨害）の頭文字。
- サプライチェーン攻撃 Supply Chain Attack
取引先・委託先や、使っているソフトの部品を踏み台にして、本命の会社を狙う攻撃。
語源supply（供給）+ chain（鎖）。部品や取引のつながりを鎖にたとえた言葉。
- 内部不正 Insider Threat
社員・元社員・委託先など、内部の人による情報の持ち出しや不正操作。
権限を絞る、ログを残す、退職者のIDをすぐ止める、が基本の対策です。
語源英語では insider threat（内側の人による脅威）。