Windows XPのサポート終了が間近に迫っている。企業は新OSへの移行作業を進めてはいるものの、期限までに移行作業が完了しない企業も少なからず存在する。総務省CIO補佐官で、2013年9月にセキュリティ対策会社ファイア・アイのCTO（最高技術責任者）に就任した三輪信雄氏に、Windows XPを使い続けるリスクと日本を取り巻くセキュリティの脅威について聞いた。
マイクロソフトによるサポートが終了する2014年4月までに、Windows XPから新OSへの移行が間に合わない企業も少なくないようです。サポート切れのOSを使い続けると、どのようなリスクがあるのでしょうか。
サポートの切れたOSを利用し続けるのは、「われわれは、セキュリティリスクのあるOSを利用している会社です」と公言することと同じです。2014年4月以降は、XPに脆弱性が発見されたとしても修正パッチは提供されません。XPを利用し続ける企業は攻撃者にとって格好のターゲットになってしまいます。
近年、特定の企業や団体を狙った標的型攻撃が急増しています。ウイルスに感染してメールのやり取りが盗まれ、大事な取引先に成り済ましてメールが送られたら、どのような被害が発生するのか考えてください。過失がなくても、（サポート終了後にも）XPを使い続けていれば、セキュリティ対策を怠っていたと受け取られかねません。
またサイバー攻撃を受けた際に専門家に調査を頼むと、小規模な企業でも数百万円、大企業なら数千万から億円単位の費用がかかります。しかも、これは対策費用であって、顧客への賠償費用などは含まれていません。
そう考えると、「予算がない」「作業の手間がかかる」「通常の業務が滞る」と言って新OSへの移行に消極的なのは、「移行作業が面倒くさい」という言い訳に過ぎません。移行を先延ばしにするメリットは、何一つありません。
2014年4月以降、Windows XPやInternet Explorer（IE）6を狙った攻撃は急増するのでしょうか。
サイバー攻撃の手口は進化しており、この2年ぐらいで未知のウイルスに感染するケースが急増しています。ターゲットの組織が利用しているOS情報を、JavaScriptを悪用して事前に収集することなど、攻撃者にとっては朝飯前。もし、会社組織単位でXPを利用していれば、脆弱性があちこちに放置されているわけですから、繰り返し攻撃される可能性があります。
当社はお客様で発生したインシデント情報をクラウド経由で収集し、ワールドワイドで観察しているのですが、日本への攻撃は近年急増しています。セキュリティ専門家の立場から言うと、日本に送り込まれているウイルスは高品質で洗練されている。つまり“本気度”の高い攻撃が多いのが特徴です。
XPやIE6をうんぬん言う以前に、そもそも日本はターゲットになりやすいと。
日本の製造業は最先端の技術を持っており、知的財産の宝庫です。であれば、攻撃者は欲しい情報がどこにあるか当たりをつけ、攻撃を仕掛けてくるのは当然のことです。
例えば、欧米で観測されるウイルスは、感染するとすべてのウイルスがC＆C（コマンド＆コントロール）サーバーへの通信を開始します。しかし、日本で検出される同様のウイルスは、複数のコンピュータが感染したとしても、代表の1台しか通信せず、ほかのウイルスはステルス的な動きをして感染を広げていくのです。
サンドボックス（保護された領域でプログラムを動作させ、システムが不正に変更されるのを防止する技術）をすり抜ける「スリープ機能」を実装しているウイルスもあります。攻撃者は、「（日本への）攻撃に成功すれば、それに見合うだけの情報資産が入手できる」ことを理解しています。だからこそ、コストも人材も投入して攻撃を仕掛けてくるのです。