標的型攻撃メールって何？

こんにちは、人事総務経理部の古澤です。

近年、特定の企業や組織を狙った標的型攻撃メールにより、

重要な情報が盗まれる事件が頻発しています。

昨年流行しました「エモテット」と呼ばれる

"ウイルスへの感染を狙う攻撃メール"が記憶に新しいと思います。

2021年8月にIPA（独立行政法人情報処理推進機構）が発表した

「情報セキュリティ10大脅威」では、

企業における脅威として「標的型攻撃」が第2位となっています。

標的型攻撃メールを食い止めることは難しいですが、

社員一人一人の意識づくりで被害を最小限にすることも可能です。

今回は、「標的型攻撃メール」についてご紹介します。

標的型攻撃メールについて

標的型攻撃メールの概要について説明します。

まず「標的型攻撃」とは、特定のターゲットに絞って、

サイバー攻撃を仕掛けることを言います。

そしてその多くの攻撃方法がメールを利用して行われるため、

「標的型攻撃メール」と呼ばれています。

標的型攻撃メールは、利用者のパソコンをマルウェアに感染させることを目的としており、

以下のような代表的な特徴があります。

◆ メールの受信者に関係がありそうな送信者を詐称する
◆ 件名・本文・添付ファイルに細工が施され、受信者の業務に関係するメールを装う
◆ ウイルス対策ソフトで検知しにくいマルウェアが使われている

引用：IPA標的型攻撃メールの見分け方

被害の実例を挙げますと、

2016年に大手旅行会社JTBに勤務する従業員の1人が、

取引先を偽装したメールを開封したことがきっかけで、

標的型攻撃を受けた事件がありました。

被害規模は大きく、同社のデータベースに登録されていた、

顧客情報793万人分のデータが流出してしまいました。

氏名や住所等の基礎的な情報の他に、パスポート番号やパスポート取得日など、

国籍情報に関わるデータが漏洩しました。

他にも、2015年に日本年金機構、

2014年に日本航空（JAL）も標的型攻撃メールの被害を受けた企業として挙げられます。

また従来は、大手企業が中心に狙われてきましたが、

最近では中小企業もそのターゲットとなっています。

対策

標的型攻撃メールは日々巧妙化しています。

セキュリティ対策ソフトだけでは攻撃を完全に防ぐことは難しいため、

人的な対策を強化しなければなりません。

具体的な対策に、標的型攻撃メールを疑似体験できる従業員向けの訓練サービスが挙げられます。

訓練では、「怪しいメールは開封しない」

「怪しいメールを見つけた場合は、

社内の情報セキュリティ担当部署に報告して被害拡大の防止を図ること」等、

基本的な行動をすることが重要です。

弊社でも電子メールの取り扱いについて、事業計画方針書に以下のようにルール化しています。

◆ 送り手がわからない受信メールは確認できるまで開かない
◆ 受信メールの添付ファイルの取り扱いには注意する、特に実行形式のファイルは注意すること
◆ 個人情報は本文には記載せず、パスワードで保護した添付ファイルで送る
◆ ウイルス感染したら、直ちにLANを抜いて情報セキュリティ担当部署に報告

標的型メールを誤って開いてしまった場合でも、

「どのように対応するか」会社として決めておくことも重要です。

おわりに

標的型攻撃メールの被害を食い止めることは難しいです。

その中で被害を最小限にするためにも、組織に属する一人一人の意識が大切になります。

今回のブログが、標的型攻撃メールの対策を進めてみるきっかけになれば幸いです。

引用：IPA 情報セキュリティ10大脅威2021