はじめに
空子/情報セキュリティマネジメント担当ニュースで「大手企業から数万件の個人情報が流出」「政府機関がサイバー攻撃を受けた」といった報道を見たことはないでしょうか。こうした大規模な情報漏えい事件の裏には、APT攻撃と呼ばれる高度なサイバー攻撃が潜んでいることがあります。
APTとは「Advanced Persistent Threat（高度で持続的な脅威）」の略称です。名前だけ聞くと難しそうですが、その仕組みを知っておくことは、私たちの生活や仕事を守るうえでとても大切です。この記事では、専門知識がなくても理解できるように、APT攻撃の全体像をわかりやすく解説します。
APT攻撃とは何か？ ― 普通のサイバー攻撃との違い
空子/情報セキュリティマネジメント担当一般的なサイバー攻撃は、不特定多数を対象に短期間で行われることが多いものです。たとえば、迷惑メールに添付されたウイルスを開かせて個人情報を盗む、といった手口がその典型です。
一方、APT攻撃はまったく性質が異なります。以下の3つの特徴が、名前の由来にもなっています。
Advanced（高度） ― 攻撃者は豊富な資金と技術力を持ち、まだ世の中に知られていないソフトウェアの弱点（ゼロデイ脆弱性）を利用することもあります。セキュリティソフトでは検知できない特注のマルウェア（悪意のあるプログラム）を一から開発するケースも珍しくありません。
Persistent（持続的） ― 数か月から数年にわたり、標的の組織に気づかれないようじっくりと侵入を続けます。一度の攻撃で終わるのではなく、何度もアクセスを繰り返しながら少しずつ目的を達成していきます。
Threat（脅威） ― 背後には国家や大規模な犯罪組織がいるとされるケースが多く、個人のハッカーとは比べものにならない規模のリソースが投入されます。
APT攻撃はどうやって行われるのか？
空子/情報セキュリティマネジメント担当APT攻撃は一般的に、次のようなステップで進行します。身近な例えを交えて見てみましょう。
ステップ1：偵察（ターゲットの下調べ） 攻撃者はまず、標的となる組織について徹底的に情報を収集します。社員の名前や役職、メールアドレス、使っているシステムの種類など、あらゆる情報をSNSや企業サイトから拾い上げます。いわば、泥棒が家に入る前に住人の生活パターンを何週間も観察するようなものです。
ステップ2：初期侵入（玄関のカギを開ける） 次に、集めた情報をもとに巧妙な「フィッシングメール」を送ります。たとえば取引先の担当者になりすまし、「先日の打ち合わせ資料を添付します」といった自然な文面で添付ファイルを開かせます。社員がそのファイルを開いた瞬間、パソコンにマルウェアが密かにインストールされます。
ステップ3：足場の確立（裏口をつくる） 侵入に成功すると、攻撃者は「バックドア」と呼ばれる裏口を設置します。これにより、たとえ最初に使ったマルウェアが発見・削除されても、別の経路から何度でもネットワークに入り込めるようになります。
ステップ4：権限の拡大（家の中を自由に動き回る） 最初に乗っ取ったパソコンを起点に、社内ネットワーク内の他のパソコンやサーバーにも侵入を広げていきます。管理者のパスワードを盗み出し、より多くのシステムにアクセスできる権限を手に入れます。
ステップ5：情報の窃取（目的の達成） 最終的に、機密情報や個人データなど、目的の情報を見つけ出し、外部に送信します。このとき、通常の通信に見せかけて少量ずつデータを持ち出すため、被害に気づくのが非常に遅れるのです。
なぜ一般の人にも関係があるのか？
空子/情報セキュリティマネジメント担当「APT攻撃は大企業や政府が狙われる話で、自分には関係ない」と思うかもしれません。しかし、実はそうとも言い切れません。
まず、私たちが日常的に利用しているサービス（通販サイト、銀行、保険会社など）がAPT攻撃を受ければ、そこに預けている個人情報やクレジットカード情報が流出する可能性があります。過去には実際に、大手通信会社や医療機関がAPT攻撃を受け、数百万人分の顧客データが漏えいした事例もあります。
また、大企業を攻撃するための「踏み台」として、セキュリティが手薄な取引先の中小企業が最初に狙われるケースも増えています。これは「サプライチェーン攻撃」とも呼ばれ、自社が直接の標的でなくても被害に巻き込まれるリスクがあることを意味しています。
私たちにできる対策
空子/情報セキュリティマネジメント担当APT攻撃は非常に高度ですが、日頃の基本的なセキュリティ対策がその入り口を防ぐ第一歩になります。
不審なメールに注意する。 APT攻撃の入り口として最も多いのが、なりすましメールです。送信元のアドレスをよく確認し、少しでも違和感を覚えたら添付ファイルを開かず、リンクもクリックしないようにしましょう。
OSやソフトウェアを常に最新の状態に保つ。 ソフトウェアの更新プログラム（アップデート）には、攻撃者に悪用される恐れのある弱点を修正するものが含まれています。面倒でも後回しにせず、こまめにアップデートを適用することが大切です。
パスワードを強固にし、使い回さない。 複数のサービスで同じパスワードを使い回していると、一つの流出がすべてのアカウントの危険につながります。可能であれば二段階認証（ワンタイムパスワードなど）を設定しましょう。
会社のセキュリティルールを守る。 企業に勤めている方は、情報セキュリティ研修や社内ルールを軽視せず、日頃から意識を持って行動することが組織全体の防御力を高めます。
おわりに
APT攻撃は、高い技術力と潤沢な資金を持つ攻撃者が、長い時間をかけて特定の組織を狙う、非常に巧妙で危険なサイバー攻撃です。その被害は企業だけでなく、私たち一般の生活者にも波及します。
空子/情報セキュリティマネジメント担当「自分には関係ない」と思わず、まずはメールの扱いやパスワード管理など、できることから意識を変えていくことが、見えない脅威から身を守る確かな一歩になるはずです。
コメント