はじめに
オンラインショッピングや銀行の手続きまで、あらゆることがインターネットを通じて手軽にできるようになり、私たちの暮らしはますます便利になっています。
しかしその一方で、私たちが日常的に使っているコンピュータの画面の向こう側では、さまざまなサイバー攻撃が静かに進行しています。
Lv6ではまず、フィッシングやゼロデイ攻撃など、代表的なサイバー攻撃の手口を紹介します。
次回以降の記事では、それらの攻撃から情報を守るための基本的な考え方「セキュリティ三大原則（CIA）」、さらに実践的な防御策であるファイアウォールや暗号化技術、多要素認証などについても順を追って解説していきます。
これからの時代に必要なセキュリティリテラシーを、基礎から一緒に見ていきましょう。
情報セキュリティの脅威
私たちの生活が様々なテクノロジにより便利になった一方で、その便利さの裏側で、ある気付きにくい危険が広がっています。
例えば、実社会の生活上で、玄関のカギをかけたつもりだったのに誰かが裏口から侵入し、お金やモノが盗まれていたらどうでしょう。怖いですよね。
実は、インターネット上でもこれと同じような脅威が起きているのです。
こうした脅威は、大きく次の3つに分けられます。
- 人的脅威：人のうっかりや悪意によって情報が漏れる（例：パスワードの使い回し、内部犯行）
- 物理的脅威：災害や盗難など、物理的な損害が原因となるもの（例：PCの紛失、火災）
- 技術的脅威：ウイルスやハッキングなど、システムやネットワークを悪用する攻撃
この記事で扱うのは、最後の「技術的脅威」です。
なかでも今回は、代表的な5つのサイバー攻撃に注目し、その仕組みと試験に出やすいポイントを解説していきます。
それでは、インターネット上での攻撃者の手口を、ひとつずつ見ていきましょう。
フィッシング
まず最初の手口は、フィッシングと呼ばれる手口です。
これは、偽のメールやWebサイトを使って、パスワードやカード情報などを入力させようとする詐欺行為です。
たとえば「荷物の再配達のお知らせ」というメールに記載されたリンクを開くと、宅配業者そっくりの画面が出てきます。そこにログイン情報を入力すると、その情報が攻撃者に盗まれてしまいます。
最近だと有名な某ネット販売会社を名乗るメールもありますよね。
酷似していてIT系に弱い両親が引っかからないかが心配です…
試験対策ポイント
- 利用者が自ら情報を入力してしまう点に注意
- メールの差出人やURLを確認すること
ゼロデイ攻撃
次の攻撃は、システムの“隙間”に侵入するゼロデイ攻撃です。
これは、まだ対策（修正プログラム）が出ていないソフトウェアのバグを悪用して行われる攻撃です。
たとえば、スマートフォンのアプリに、開発者もまだ気づいていない不具合があるとします。攻撃者はそれを先に発見し、アプリを通じてスマホに侵入。修正される前に、不正アクセスが行われるというケースです。
０日攻撃と覚えました。
試験対策ポイント
- 「修正前の脆弱性」「ベンダーも未対応」などのキーワードに注目
- 日頃からソフトを最新版にしておくことが重要です
標的型攻撃
次に標的型攻撃です。これは先ほどのフィッシングとは異なり、無差別ではなく、企業や特定の個人など「狙いを定めて行われる」サイバー攻撃です。
たとえば、取引先から届いたように見える請求書付きメールがあったとします。差出人も会社名も内容も一見本物に見えます。しかし添付ファイルを開くと、ウイルスに感染してしまいます。これは過去のやりとりを調べて、自然な内容に見せかけた攻撃です。
試験対策ポイント
- 「信頼関係を悪用する」「添付ファイルから感染する」などの流れを理解しておきましょう
- 試験では「取引先を装う」「本物の業務メールに見せかける」といった設定で出題される可能性があります
マルウェア
マルウェア（Malware）とは、「悪意のあるソフトウェア」の総称で、利用者の端末に侵入し、情報を盗んだり、破壊したり、不正な操作を行ったりします。
ここでは代表例の「ワーム」と「トロイの木馬」の違いを押さえておきましょう。
- ワーム：1台のPCが感染すると、自動的に社内ネットワークの他のPCにも広がっていきます。誰かがウイルス付きファイルを開いたことで、翌日には全社のPCが使えなくなることもありえます。
- トロイの木馬：見た目は普通のアプリなどに見えても、裏でパソコンの中の情報をこっそり外部に送るなどの不正な動作をします。便利そうに見える無料ソフトの中に仕込まれていることもあります。
試験対策ポイント
- ワーム：「自己増殖する」性質に注目
- トロイの木馬：「正体を隠して侵入する」という点が重要
DoS／DDoS攻撃
これらの攻撃は、Webサイトやネットワークに対して、大量のリクエストを送りつけて正常に機能させなくする攻撃です。
実社会でたとえるなら、自宅ポストに入りきらないほどのチラシが投函され、本当に必要な郵便が投函できないような状態です…
試験対策ポイント
- DoS：1台の端末からの攻撃
- DDoS：「複数の端末から同時に攻撃される」点がポイント
- 「ボット」「過剰なアクセス」などのキーワードとセットで出題されることが多いです
ここまでのまとめとなります。
| 攻撃手法 | 特徴 | 問われやすいポイント |
|---|---|---|
| フィッシング | 偽サイト・メールで情報を入力させる | 自ら情報を渡す点がポイント |
| ゼロデイ攻撃 | 修正前のバグを狙う | 未修正の脆弱性／対応前の攻撃 |
| 標的型攻撃 | 相手を調査して狙い撃ちする | 取引先やメールを偽装する点に注意 |
| マルウェア | 感染して内部で悪さをする | 自己増殖と正体を隠して侵入の違いに注目 |
| DoS／DDoS攻撃 | 過剰なアクセスで機能を妨害する | DDoSは「複数端末からの同時攻撃」 |
今回はサイバー攻撃の代表例を、5つの手法に分けてご紹介しました。
どれもITパスポート試験でよく出るキーワードですので、それぞれの特徴と攻撃の流れをセットで覚えておくのがおすすめです。
次回のブログ記事では、サイバー攻撃に対するセキュリティの三大原則（CIA：機密性・完全性・可用性）をテーマに、守りの基本となる考え方を解説していきます。
本日もご覧いただきありがとうございました。
