企業を狙う不正アクセスの手口とは？2020年被害事例や対策・被害発生時の対処法も紹介

不正アクセス禁止法は、電気通信の秩序を維持して情報通信社会の健全な発展を目指す法律です。禁止されている不正アクセスとは、アクセス制限がされたシステムに通信回線を介して侵入し、制限されている行為を行うか行える状態にすることで、下記の3つが対象です。

1. 他人のIDとパスワード（識別符号）を使った不正アクセス
2. セキュリティ対策のぜい弱性を利用した不正アクセス
3. ネットワーク上の他システムによるアクセス制限をかいくぐる不正アクセス

加えて、IDとパスワードの不正な提供や取得、保管、要求も禁じられています。

不正アクセスによって企業が受ける被害の代表例を以下で紹介します。

• ・サーバー内に保存された機密情報や個人情報が外部に流出する
• ・システムやデータが破壊・消去されて業務が停止する
• ・顧客や取引相手のメールアドレスにマルウェア感染したメールが送信される
• ・サーバー全体が暗号化されて身代金を要求される

不正アクセスは企業に金銭的なダメージだけでなく信用の失墜をもたらすおそれがあり、看過できません。

高速で安定したネットワークを、抜群のコストパフォーマンスで

• 「NURO Biz」についての資料をダウンロード
• 「NURO Biz」について詳しく知る

【不正アクセス行為の認知件数】
2019年の認知件数は2960件（2018年の1486件と比べて約2倍に増加）

【不正アクセス後に行われた行為の内訳】
1位：インターネットバンキングでの不正送金など（61.1％／前年の約5.5倍に急増）
2位：インターネットショッピングでの不正購入（12.7％）
3位：メールの盗み見など情報の不正入手（11.1％）

• ※引用：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況｜警察庁

高速で安定したネットワークを、抜群のコストパフォーマンスで

• 「NURO Biz」についての資料をダウンロード
• 「NURO Biz」について詳しく知る

もっともポピュラーな不正アクセスの手口は、他人のIDやパスワードを使った不正ログインやアカウントの乗っ取りです。「個人認証が弱い」「アカウント管理が甘い」といったことが原因になりやすく、管理者のアカウントが乗っ取られると事業がストップしたり機密情報が流出したりするおそれがあります。

個人情報が流出した場合は顧客への謝罪や損害賠償などの対応が必要になり、企業イメージが損なわれかねません。

マルウェアと呼ばれる不正な動きをするソフトウェアを利用して、重要な情報を抜き取ったりデータを改ざんしたりする手口です。メールの添付ファイルやWebサイト、ソフトウェアなどに仕込まれたマルウェアから感染するケースや、USBメモリなどの外部媒体によって持ち込まれるケースなどがあります。

マルウェアに感染したメールを顧客などに送信すると加害者としての責任を問われる可能性も出てきます。

システムやWebサイトに存在する脆弱性を利用してシステムに不正に侵入する手口です。そもそも、ソフトウェアに完全なものはなく、修正プログラムが配布されたら直ちにアップデートを実施する必要があります。アップデートを怠ると弱い部分を放置することになり、不正アクセスを許して情報を盗まれたりシステムを破壊されたりするおそれが高まります。

本物そっくりに作られた偽サイトにユーザーを誘導して、IDやパスワードの入力を促して盗み取ったり、マルウェアに感染させたりする手口です。「メールやSNSに偽サイトのURLを記載する」「企業がよく利用するサイトを偽造してアクセスを待つ」などの方法があります。

管理者のIDやパスワードが流出すると、業務が止まったり重要な情報が流出したりする可能性が高まり、企業の死活問題にもなりかねません。

高速で安定したネットワークを、抜群のコストパフォーマンスで

• 「NURO Biz」についての資料をダウンロード
• 「NURO Biz」について詳しく知る

「三越伊勢丹オンラインストア」とグループ会社の「エムアイカード」のWebサイトで発生した事例です。氏名や住所、クレジットカード番号の下4桁などの会員情報が閲覧されました。

【不正アクセスの手口】
他社サービスから流出した可能性のあるIDとパスワードを利用したパスワードリスト攻撃

【被害規模】
約5万4,000人

任天堂のアカウントサービス「ニンテンドーネットワークID（NNID）」および連携する「ニンテンドーアカウント」で発生した事例です。クレジットカード情報を含む会員情報が不正に閲覧され、不正購入も確認されました。

【不正アクセスの手口】
他社サービスから流出した可能性のあるNNIDを利用したパスワードリスト攻撃

【被害規模】
約16万アカウント

動画配信サービス「Hulu」で発生した事例です。アカウントを不正利用した動画視聴や氏名や住所、メールアドレスなどの会員情報漏えいが疑われます。

【不正アクセスの手口】
他社サービスから流出した可能性のあるアカウントを利用したパスワードリスト攻撃

【被害規模】
約800アカウント

「カメラのキタムラ」のオンラインショップで発生した事例です。大量の不正ログインとポイントを利用した不正注文が確認されました。

【不正アクセスの手口】
他社サービスから流出した可能性のあるメールアドレスとパスワードを利用したパスワードリスト攻撃

【被害規模】
約40万件

高速で安定したネットワークを、抜群のコストパフォーマンスで

• 「NURO Biz」についての資料をダウンロード
• 「NURO Biz」について詳しく知る

セキュリティソフト（ウイルス対策ソフト）を導入していれば、マルウェア感染の有無を確認できます。駆除も可能で早めに対処すれば2次被害を最小限にできますが、修正プログラムが開発されていない新種のマルウェアは防げません。

自社が利用しているシステムやクラウドサービスがログイン履歴を保存している場合は、履歴から不正アクセスの有無が確認できます。定期的なチェックも大切ですが、不正なログインがあれば直ちに検知できる仕組みを導入しておくとより安心です。

定期的にソフトウェアの使用履歴を調べて、不正な起動ログや操作ログがないか確認しましょう。見覚えがない不審なソフトウェアがインストールされている場合は、不正アクセスが疑われます。従業員が自分の判断でソフトウェアを利用するシャドーITを容認するとセキュリティリスクが上がるため、注意が必要です。

メールの送受信履歴を調べて不審なメールがないか確認しましょう。作成していないメールを送信した履歴がある場合は、マルウェアに感染している可能性があります。「添付ファイルを不用意に開かない」「記載されたURLはクリックする前に確認する」などのルールを作って社内で共有しましょう。

高速で安定したネットワークを、抜群のコストパフォーマンスで

• 「NURO Biz」についての資料をダウンロード
• 「NURO Biz」について詳しく知る

不正アクセスの対象になったサーバーや端末をネットワークから切り離します。2次被害を防ぐために、状況にあわせて「管理者IDのパスワードを変更する」「自社サイトを閉鎖する」「メールの受信者に連絡する」などの措置を取りましょう。

被害を受けたサーバーや端末、ログなどの証拠はそのままの状態で保存します。徹底的に原因を究明して再発防止につなげる必要があるためです。

社内のセキュリティ対策委員会が被害の把握や原因究明にあたります。セキュリティ対策委員会とは、企業のセキュリティポリシーを実際に運用するメンバーです。不正アクセスを速やかに解決するため、自社のセキュリティポリシーやセキュリティ対策委員会のメンバーを事前に決めておきましょう。

新しいサーバーや端末を用意するか初期化を実施して、バックアップデータからシステムを復旧します。万が一に備えてシステムやデータのバックアップは確実に取っておきましょう。

管轄の都道府県警察署やサイバー犯罪対策課の窓口に報告します。経済産業省の指示を受けたIPA（情報処理推進機構）などのセキュリティ関連団体に任意で報告すれば、国内の不正アクセス防止に役立ちます。

2020年6月に交付された改正個人情報保護法によって、個人情報の扱いがこれまで以上に厳格化される見込みです。政府は法運用の基本方針を2020年7月に発表し、個人の権利を損なう個人情報が漏洩した場合、その事実を被害者全員と個人情報保護委員会に報告することを義務付けています。

企業が義務違反をした場合は最大1億円の罰金が科せられる可能性も出てきました。2022年内の施行が決まっているため、対策が急がれます。

高速で安定したネットワークを、抜群のコストパフォーマンスで

• 「NURO Biz」についての資料をダウンロード
• 「NURO Biz」について詳しく知る

IDとパスワードの徹底管理はセキュリティ対策の基本です。定期的にパスワードを複雑で長いものに変えることも大切ですが、本人認証を強化するためには2段階認証や多要素認証の導入が効果的です。ワンタイムパスワードや生体認証など自社にあった認証の仕組みを取り入れましょう。

OSやウイルス対策ソフトをはじめとするソフトウェア、ファームウェアなどの修正プログラムが配布されたら、速やかにアップデートすることが大切です。「自動アップデートの設定をする」「クラウドサービスを利用する」といった方法を取れば、自ら作業しなくても常に最新の状態が維持されます。

ファイアウォールやIPS（侵入検知システム）、IDS（侵入防御システム）の導入も欠かせません。ファイアウォールとIPS ／ IDSをセットで導入するスタイルが主流です。ファイアウォールはシステムへの不正なアクセスを監視して遮断する役割を果たし、IPS／IDSは通信内容の不正や異常を検知して遮断します。

マルウェア感染を防止するウイルス対策ソフトの導入はいまや常識ですが、より高度で総合的なセキュリティ対策機能を持つツールも登場しています。厳重に管理されたクラウド上でシステムを一元管理する方法やWebアプリケーションに特化したWAF（Web Application Firewall）を利用する方法も有効です。

サーバー上に使用しなくなったソフトウェアやサービスがある場合は直ちに停止・削除しましょう。修正プログラムが開発されなくなった古いソフトウェアは不正アクセスの標的になる可能性があります。離職者のアカウントを適切に管理して、利用できる状態のまま放置しないことも重要なポイントです。

システムが万全でも従業員が適切に運用できなければ不正アクセスは防げません。パスワードの管理方法や添付ファイルの扱い、端末へのダウンロードなどについて具体的なルールを決めてセキュリティポリシーに盛り込み、従業員に周知徹底させましょう。

高速で安定したネットワークを、抜群のコストパフォーマンスで

• 「NURO Biz」についての資料をダウンロード
• 「NURO Biz」について詳しく知る

不正アクセスによって企業が受けるダメージは計り知れません。改正個人情報保護法が2022年に施行されるとダメージが増大するおそれがあるため、早期に対策を講じておきましょう。

NURO Bizでは標的型攻撃・不正アクセスなどの脅威に対するネットワークセキュリティのマネージドサービスを提供しています。
ネットワークセキュリティ対策各種サービスの特長をまとめたパンフレットをご用意いたしましたので、是非ダウンロードしてご覧ください。