様々なサイバー攻撃の中で、クラウドサービスを業務で活用している組織にとって身近で大きな脅威の一つに「不正アクセス」があります。例えばMicrosoft社が提供するMicrosoft 365では、毎月120万件のアカウントが不正に侵入されているという調査結果もあり、ユーザー組織は看過できない問題となっています（注1）。
ID・パスワードの適切な管理といった基本的な対策が漏れていることで被害を受けると、攻撃者による身代金の要求や機密情報の流出に繋がります。これは事業者などの組織にとっては損失やブランドの毀損を受ける結果になりかねません。
この記事では、不正アクセスの代表的な手段やその対策の一歩目として今すぐ取れる対応策として、HENNGE社が提供する無償キャンペーンをご紹介します。
（注1 参考：https://youtu.be/B_mhJO2qHlQ?si=CAgZX00H8mR7jijQ）
代表的な不正アクセスの手段
不正アクセスとは、アクセス権限が付与されていない者が組織内のサーバー、システム、クライアント内部に許可なく侵入する行為を指します。まずはその代表的な手段をご紹介します。
- パスワード総当たり攻撃
この手段では、正規のユーザーが利用可能な全てのパスワードの組み合わせを試して不正アクセスを試みます。攻撃者はシステムを使い何万、何百万通りもの入力を短時間で試して、IDパスワードの突破を目指します。 - ビジネスメール詐欺
攻撃者は巧妙に偽装されたメールを送ることで受信者を騙し、攻撃者側の口座などに資金を送付させる手口をいいます。その巧妙さ故に、システムやセキュリティソフトによる機械的な防御による被害防止が難しいといわれています。 - 契約先サービスの情報漏洩による個人情報の流出
ユーザーとして利用しているサービスの提供会社が攻撃を受けて、システムに不正に侵入されることで、ユーザー自身の個人情報が外部に流出することを指します。
この攻撃によって、ユーザー自身は身元情報の漏洩や不正利用のリスクに晒される一方、サービス提供会社は組織としての信頼性やブランドを毀損し、場合によっては法的な責任を追求される可能性もあります。
上記はあくまで一例ですが、組織はこれらの被害を受けることでシステムの停止、情報漏洩、情報改ざんなどが発生するおそれがあります。
なお、実際に被害を受けて通報がなされた件数は総務省で集計されています。主に個人の被害状況ですが、令和5年3月に発表されたデータの中で、不正アクセス後に行われた行為別の件数を参考までにご紹介します。（注2）
- インターネット バンキングでの不正送金など→ 1096 件
- インターネット ショッピングでの不正購入→ 227 件
- メールの盗み見などの情報の不正入手→ 215 件
- 知人に成りすましての情報発信→ 50 件
- オンライン ゲームやコミュニティ サイトの不正操作→ 63 件
（注2 参考：https://www.soumu.go.jp/main_content/000868634.pdf）
ダークウェブの情報を利用してアタックされるケース
次に、不正アクセスの中でも特に注意が必要とされるのは「ダークウェブ上で取引されている情報を活用した攻撃」です。
ダークウェブは、特殊なブラウザでのみ閲覧できる一部のインターネットを指します。匿名でアクセスできる点や利用自体に専門知識が必要な点から犯罪に利用されることが多く、不正に入手された個人情報も売買されています。なかには Microsoft 365 などのソフトウェアサービスの情報（ID・パスワードなど）も取引されています。
IPAが公開しているダークウェブに関する現状（注3）でも、 サイバー犯罪に必要な商品又はインフラがダークウェブ上の闇市場で販売されていると危惧されており、世界でサイバー攻撃が増加し続ける一因になっているとの指摘もなされています。
（注3 参考：https://www.ipa.go.jp/digital/chousa/trend/2019/hjuojm000000mbfo-att/000080167.pdf）
国内における各業界のアカウントの漏洩被害の件数に関しては、以下のような調査結果も出ています。
- 国内の主要製造業30社 ：28,983件
- 国内の主要金融会社30社 ：15,202件
- 国内の主要行政・自治体30機関：1万1622件
これらの数字からも、ダークウェブ上で取引されているID・パスワードなどの情報漏洩は軽視できない状況といえます。（注4）
（注4 参考：https://www.aegistech.jp/news/view/id/23#u / https://www.aegistech.jp/news/view/id/13#u / https://aegistech.jp/news/view/id/20#u）
今すぐできる対応策
前段で紹介した通り、ダークウェブ上では不正に取得された個人情報や組織情報が流出している可能性があります。もしその流出状況を把握することができれば、パスワードの変更や多要素認証の実装などの対処を早期に行い、組織として不正アクセス被害を抑えることができると考えられます。
セキュリティメーカーの中には、ダークウェブ上で流出しているユーザー情報やパスワードなどの検知を無償で行うサービスを行っているメーカーもあります。参考までにHENNGE株式会社が実施している「ダークウェブサーベイキャンペーン」をご紹介します。
◯【無償提供】HENNGEのダークウェブサーベイキャンペーン◯
- 概要：ご利用中のMicrosoft 365のアカウント情報がダークウェブなどに漏洩していないかリサーチします
- 検知方法：HENNGE Cloud Protectionのアカウント漏洩検知機能を使用 https://hennge.com/jp/service/one/e-mail-security/hennge-cloud-protection/
- 利用条件：Exchange Onlineご利用中の組織
API連携型のため既存環境への影響は軽微でスムーズにご利用開始いただけます - 申込方法：Webサイトから申し込み
https://pages.hennge.com/hcp_campaign2023_entry.html - 備考：こちらはキャンペーン施策のため早期に終了する場合もございますので予めご了承ください
まとめ
もしもサーベイの結果で情報漏洩しているアカウントを検知したら、ユーザーへの通知やパスワードの変更などに早期に取り組むことができます。また、検知をきっかけにセキュリティ対策が再考されて、不正アクセス対策向けの多要素認証の導入や見直しも想定されます。
HENNGE Oneの一機能であるHENNGE Access Controlでは、IP制御やデバイス証明書による端末制御などの二要素認証機能を提供しており、組織の不正アクセス対策を強力にサポートします。
まずは自社の不正アクセス攻撃を受けるリスクを調査するために、無償キャンペーンにお申し込みされてみてはいかがでしょうか。
- カテゴリ：
- ID管理
