国内の企業や公共機関などを狙ったサイバー攻撃が多発しています。金融機関も例外ではありません。例えば警察庁が9月に発行した報告書によると、今年上半期のネットバンキング不正送金の被害総額は15億4400万円で、昨年の下半期より大幅に増えているそうです。

 先日たまたま、セキュリティ企業の役員と話す機会がありました。彼の話を聞いていると、金融機関もこれまでの「外からの侵入を許さない」というサイバーセキュリティの考え方を変える必要があると感じました。

 もともと金融機関はサイバーセキュリティ対策に力を入れてきました。仮にサイバー攻撃を許すと、実際にお金を送金されたり、盗まれたりする可能性があるからです。そこでネットワークの入り口に最先端の技術を使った厳重なファイアウォールを設置して、重要なシステムは不審者が侵入できない堅牢なデータセンターに設置するというのがこれまでの考え方でした。

 しかし件の役員はそれだけではもう足りないというのです。彼の会社が調査を行ったある企業は、個人情報漏洩が発覚するまで、自社がサイバー攻撃を受けていたと気づいていなかったのだそうです。さらに調査を進めると、驚くべき事実が発覚しました。

 「マルウエアがこの会社に侵入したのは情報が漏洩する2カ月以上前でした。攻撃者は、最初にマルウエアを感染させたパソコンを踏み台にして社内に侵入し、2カ月かけてじっくり機密情報のありかを探していたわけです」

 この企業は金融機関ではないそうですが、この企業のように自社への侵入や攻撃、被害の実態を全く把握できていない企業は驚くほど多いと彼は話します。