ここ10日ほど、どうにも落ち着かない日々を送っている。年の瀬だから、というわけではない。気持ちの奥の方に引っ掛かっている心配事があるのだ。正体は、今まさにこの記事を書いている会社の業務用PCが、ウイルスに感染したかもしれないという不安である。
最初に説明しておくと、社内のシステム部門にウイルス感染の可能性を報告してPCのチェックを依頼し、異常がないことは確認済みである。社内LANに接続して、これまで通り使うことが許可されている。
とはいえ、それで100％安心できないのが現在の状況だ。企業や組織から機密情報を窃取しようとするサイバー攻撃は、手法の高度化・複雑化が進んでいる。ウイルスなどの不正プログラムでは、セキュリティ対策ソフトで検知できない“亜種”が出回っているし、OSやアプリケーションの未知のぜい弱性を狙う“ゼロデイ攻撃”も発生している。システム部門の検査で異常が見つからなかったからといって、ウイルスに感染していないとは言い切れない。
不安がなかなか去らないのは、セキュリティ対策ソフトでは検知できない高度な攻撃を受けたかもしれないと考えられる節があるからである。
今回引っかかってしまった手口は、「SEOポイズニング」である。ウイルスなどを仕込んだWebページが、Yahoo！やGoogleなどの検索サイトの検索結果ページの上位に表示されるようにしておき、知らずにアクセスしてきたPCにウイルスなどを送り込む手法だ。検索結果ページでの上位表示を目指すWebマーケティング手段であるSEO（検索エンジン最適化）を悪用することから、このように呼ばれている。
SEOポイズニングは以前から知られている攻撃手法だし、最近では2011年3月の東日本大震災の発生直後にも、「Most Recent Earthquake in Japan」という英文フレーズの検索結果が“汚染”され、不正サイトに誘導されるケースが報告されていた。
手口を知っていても引っかかってしまったのは、検索したのが「CIO補佐官等連絡会議」という堅い用語だったからである。同会議は、内閣官房の高度情報通信ネットワーク社会推進戦略本部（IT戦略本部）が事務局となり、各府省のCIO（情報化統括責任者）補佐官などで構成する会合だ。怪しげなサイトが検索結果に表示されるとは思ってもいなかった。そこに油断があった。
Googleで検索して、検索結果ページの最上位に表示されたリンクをクリックした（写真）。直後に、判読できないほどの一瞬だけ短い英文が表示されたが、すぐにこれまでに見たことがある正当な内容が表示された。「おかしい」と気づいたのは、少し時間がたってからだ。ブラウザーの検索窓に表示されているアドレス（URL）が、政府機関を表す「go.jp」ドメインではなかったのである。取り急ぎLANケーブルを外し、セキュリティ対策ソフトでスキャンをかけ、異常がないことを確認した。
「もしかしたらかなり危険なのではないか」---。不安が大きく膨らんでいったのは、政府機関の関連用語を狙ったSEOポイズニングが疑われたからである。夏ころから政府機関を狙った標的型攻撃などが続々と顕在化し、衆議院などではウイルスへの感染も発覚している。政府機関に関連した用語に対するSEOポイズニングなら、政府機関を狙った一連の攻撃の一環かもしれない。
だとすると、亜種のウイルスを使ったり、未知のぜい弱性を狙ったりすることで、セキュリティ対策ソフトでは検知できないようにした高度な攻撃手法だった可能性もある。PCのOSやオフィスアプリケーションには最新の修正プログラム（パッチ）を適用してあったものの、未知のぜい弱性を突かれれば感染は防げない。
高度化するセキュリティ上の脅威とはどのようなもので、どんな方法で立ち向かえばよいのか。「日経コミュニケーション」「日経コンピュータ」「日経SYSTEMS」「日経NETWORK」の4誌は、最新の取材に基づくセキュリティ特集を、電子書籍「あなたの会社も狙われている サイバー攻撃に備えよ」として緊急編集した。
わかっていても感染のリスクを100％排除することがいかに難しいか。身をもって体験した者として言わせてもらえば、情報システム部門だけでなく、経営陣や管理職など幅広い方々に、企業・組織を狙う情報セキュリティ上の最新の脅威について正しく理解していただき、対策のための行動につなげてほしいと願っている。
