APT攻撃とは？攻撃の手口や被害事例、企業が今すべき対策を簡単解説【お役立ち情報】 | OFFICE110

「サイバー攻撃の種類と被害」記事一覧

APT攻撃とは？攻撃の手口や被害事例、企業が今すべき対策を簡単解説

APT（Advanced Persistent Threat）攻撃は、特定の企業や組織、個人を狙って行われる攻撃。
情報の窃取や改ざん、活動の妨害、損害賠償を目的に、長期にわたって持続的に攻撃します。

そこで本記事では、APT攻撃の特徴や手口、実際の被害事例を分かりやすく解説。
さらに攻撃を防ぐために企業ができる対策や、おすすめの対策ツールをご紹介します。

APT攻撃（Advanced Persistent Threat）とは？

「APT攻撃（Advanced Persistent Threat、高度で持続的な脅威）」は標的型攻撃の一つで、特定の組織や個人を対象に、複数の攻撃手段で長期間攻撃を行うサイバー攻撃です。

一般的には、攻撃の目的や手法によって以下の2つの手法が挙げられます。

APT攻撃では一般的に企業の社長や役員などが狙われ、その権限を悪用して長期にわたり持続的に攻撃を与えるケースが多いです。

また侵入や漏えいなどの被害に気付かせない巧妙な手口により、他のサイバー攻撃のようにすぐには発覚しないため、「気付いたときには手遅れだった」ということにもなりかねません。

かつては、国家の指示や資金援助によって特定の標的に対して行われるスパイ工作・妨害工作でした。ですがここ数年では、企業などの身近な組織が狙われるようになっています。

APT攻撃の手口とは？

APT攻撃の手口は単純で、攻撃の入口はセキュリティの甘いパソコンなど。
手に入れたネットワーク情報を使って別のPCも乗っ取り、盗める情報を増やします。

大きな目的は、企業や組織の情報を取得しデータを改ざんして攻撃相手を混乱させたり、機密情報の窃取により活動を妨害・損害を与えることです。

APT攻撃は気付きにくいため、一度乗っ取りが成功すると被害が長期間に及びます。
企業内の情報を守り損失を防ぐためにも、APT攻撃への対策が必要です。

APT攻撃で起こり得る被害とは

発見が難しいといわれるマルウェア「PlugX」が簡単に手に入るようになり、APT攻撃の手口は進化しました。
つまりいつ誰がAPT攻撃の被害に遭ってもおかしくはないのです。

以前のAPT攻撃は、国家の指示によるスパイ行為や妨害工作を目的とし、限られた人物や組織の犯行でした。
現在は国家による犯行だけでなく、その他の個人やグループによる攻撃も発生しています。

また最近では、「企業」をターゲットにした事件が増加。
APT攻撃から身を守るためには、被害内容を詳しく知り対策することが大切です。

被害①パソコンやサーバーの乗っ取り

マルウェアなどによるAPT攻撃では、PCやサーバーを乗っ取り、オンラインサービスやオンラインバンキングの情報を盗みます。

次に、権限を持ったIDやアカウント情報を盗んで他のPCも乗っ取り、標的を変えながら情報を集めるのです。

被害②データの改ざんやなりすまし

攻撃者は、乗っ取ったPCから企業の幹部クラスなどの役職宛てにメールを送ります。
油断してメールを開くと、マルウェアに感染し重要なデータが盗まれます。

役職者は特に、社内の機密情報を知っているため狙われる危険性が高いです。
またPCを乗っ取るとデータの改ざんやなりすましができ、攻撃者は機密情報を簡単に盗めます。

被害③情報漏洩の被害

PCやサーバーからアカウント情報が乗っ取られると、情報漏洩の被害に遭う可能性が高いです。
長期間にわたって必要な情報を取得し、顧客やユーザーへ被害が及ぶことも想定されます。

乗っ取られた側は本人が操作したようにしか見えないため、APT攻撃を受けたことに気付かず被害の発覚が遅れる可能性もあります。
どのような被害が起きているのか理解し、できる限り早く対策することが大切です。

APT攻撃の被害事例

警察庁が発表した「令和元年上半期におけるサイバー空間をめぐる驚異の情勢等について」によると、標的型メール攻撃は平成30年には6,740件に及び、年々増加傾向。

また攻撃者は直接大企業を狙うのではなく、大企業と取引がありセキュリティが甘い「中小企業」に攻撃を仕掛けて、そこから大企業の情報を取得する手口が増えつつあります。

規模にかかわらずどのような企業でもAPT攻撃の標的となる可能性があるため、実際の被害事例を知ってセキュリティに対する意識を高めましょう。

事例①Googleを襲った中国発”ゼロデイ攻撃”（2010年）

この事例は、企業などの機密情報を盗むAPT攻撃の典型的な例です。

大規模な攻撃により、GoogleがGmailのアカウントやパスワードを盗まれた事例。
これによりGoogleのセキュリティの甘さが露呈し、人権侵害に利用された可能性もあることがわかりました。

実際に、2010年1月Googleは「オペレーション・オーロラ」と呼ばれる中国発のサイバー攻撃を受けたと発表。
同事件はインターネット・エクスプローラー（IE）の脆弱性を突いて実行されたゼロデイ攻撃でした。

事例②日本のサイバー防衛分野の最先端企業への侵入（2010年）

この事例の攻撃者は中国系のハッカー集団「Tick」で、三菱電機の中国子会社のシステムから三菱電機本社のパソコンやサーバーにアクセス。
セキュリティが甘い中小企業や子会社から侵入し、大手企業を攻撃する典型的な事例です。

2010年1月には、三菱電機やNECなど日本の大手企業がAPT攻撃を受けたと発表。
三菱電機は8000人分の個人情報などを盗まれ、取引先の政府や企業も不正アクセスされました。
これにより、防衛やインフラの関連情報が漏洩しています。

同事件で用いられたマルウェアは「ファイルレスマルウェア」と呼ばれ、ウイルス対策ソフトで検知するのが困難で厄介なものです。
攻撃の痕跡を隠すために操作のログも消去していたので、被害範囲の確定もできませんでした。

APT攻撃を受けると、最悪の場合は企業としての信頼を失い、取引停止されることもあり得ます。被害を最小限に抑えるためには、社員ひとり一人がセキュリティ意識を高く持ち、早めに対策をすることが重要です。

APT攻撃を防ぐために企業ができる対策3選

三菱電機の事例でもわかるように、企業はいつ被害に遭ってもおかしくありません。
APT攻撃は標的となる企業や組織に脆弱性がないかを入念に調べ、不正アクセスします。

そこでAPT攻撃を防ぐには、ファイアウォール^?インターネットを通して外部から社内ネットワークに侵入してくる不正アクセスや、社内ネットワークから外部への許可されていない通信から守るための“防火壁”のような役割。×やウイルス対策ソフトなど、基本となるセキュリティ対策が有効です。
その上で、従来の対策では防御できないセキュリティ対策をすることが重要になります。

他のサイバー攻撃に比べ用意周到なため、攻撃を受ける前に対策を徹底しましょう。

対策①入口・内部・出口の多層防御を行う

APT攻撃を防ぐためには、複数の方法を組み合わせる「多層防御」が必要です。
具体的には、「入口対策」「内部対策」「出口対策」の三階層で防御します。

対策②従業員の認識の徹底化

APT攻撃の対策として、正社員・アルバイトを問わず全従業員が狙われる認識を持つことが重要です。

PCを使ってアカウントを利用する全従業員が、いつでもAPT攻撃の対象になり得る危機感を持たなくてはなりません。
また、異常を発見したらすぐに報告・連絡・相談できる体制を整える必要があります。

情報セキュリティ教育の必要性とは？低コストで効果を出すノウハウを伝授

対策③トータルで対策できるセキュリティツールの導入

そもそもAPT攻撃を含め、ほとんどのサイバー攻撃は「セキュリティの脆弱性（欠陥、弱点）」を突いた攻撃。
あらゆる攻撃から守るには、「セキュリティ対策ツール」を導入することが重要です。

そこで今回ご紹介するのが、「OFFICE110」が提供する「Cyber Box Pro」。
中小企業に必要なセキュリティ機能をパッケージ化した最高峰システムで、あらゆる機能をパッケージ化しながら月額9,800円～と安価に抑え、導入のしやすさも実現しています。

「ネットワークセキュリティ」は目に見えない分、ついつい危機感が薄れがち。
しかしネットワークのセキュリティ対策をしないということは、玄関に鍵をかけないのと同様で、「犯罪者の侵入を許している状態」といっても過言ではありません。

企業の存続のためには、総合的なセキュリティ対策が必要不可欠です。

OFFICE110では通常は10万円以上のセキュリティ診断を無料で実施しておりますので、「何から対策を始めたら良いか分からない」「自社にどんな対策が必要なのか分からない」という方もぜひお気軽にお問合せください。

まとめ

ターゲットは大企業や政府機関ですがガードが固いため、関連する「中小企業」を狙います。
セキュリティの甘い企業は真っ先に狙われるのです。

セキュリティが甘く乗っ取られた結果、大口顧客への侵入を許すと大問題になります。
さらに企業の中でも特に、機密情報を扱う幹部が狙われやすいため、もし被害に遭えば大損害を被るでしょう。

最後に、企業のセキュリティ対策でお困りごとがございましたら、ぜひお気軽にOFFICE110へお問合せを。
セキュリティ診断から商品のご提供、アフターサービスまで、全面的にサポートいたします。