文・佐藤 大紀（NTTデータ経営研究所　情報戦略コンサルティング本部　コンサルタント）

　サイバー攻撃とは、組織や個人のコンピュータシステムやネットワークに不正に侵入し、データの破壊や改ざん、情報の窃取、システムダウンによる障害などの損害を与える不正な行為です。攻撃手法としては、インターネットや可搬電子媒体などを経由して、データを破壊したりシステムに障害を起こしたりするウイルスなどのマルウエア（悪意のある不正なプログラム）を感染させる方法や、インターネットサービスの妨害を目的に特定のサーバーやネットワークに対して大量のアクセスを集中させるDoS攻撃（サービス妨害攻撃）などが知られています。

　攻撃手法は年々進化しています。例えば、プログラムを用いて、複数のコンピュータを“踏み台”として利用してDoS攻撃を仕掛ける「DDoS攻撃（分散型サービス妨害攻撃）」や、ネットワークに接続されていないコンピュータシステムにも侵入する「Stuxnet」と呼ばれるウイルスが出てきています。Stuxnetは、2010年に発生したイランの核施設を標的とした攻撃で有名になりました。近年、国内では「標的型攻撃」と呼ばれる新しいサイバー攻撃によって政府機関や企業が被害を受けており、対策が迫られています（表1）。

表1●標的型攻撃による最近の情報セキュリティインシデント
時期被害組織事件概要
2012年7月財務省財務省保有の123台のPCがウイルスに感染し、外部にデータが流出した恐れがある。侵入ルートはいまだ明らかになっていないが、標的型攻撃と推測される
5月独立行政法人　原子力安全基盤機構19台のPCがウイルスに感染し、外部との通信を行っていた。個人情報を含む機密情報が外部に流出した可能性もある
2011年11月総務省職員用の23台のPCがウイルスに感染。情報流出の可能性もある。標的型攻撃メールは、東日本大震災についての資料送付を装ったものだった
10月衆議院衆議院議員の利用するPCやサーバー、計32台がウイルスに感染。衆議院ネットワーク利用者のID、パスワードが盗まれた可能性がある
10月外務省と一部の在外公館2011年6月以降、標的型攻撃メールが多数送られてきていることを発表。ただし、攻撃対象となったのは、秘密文書に相当する情報を扱っていないネットワークであるため、情報流出はないとしている
9月三菱重工業本社、研究所などの約80台のサーバーやPCが感染し、一部のシステム情報が流出した可能性がある