中小企業がサイバー攻撃の踏み台にされる理由と最低限守るべき防衛線

自社が標的になるはずがないという実感の裏側

「うちのような規模の会社が、わざわざサイバー攻撃の標的になるはずがない」。そう感じる経営者やバックオフィスの実務者は多いかもしれません。

確かに、高度な技術を持つ集団が、限られた資産しかない企業を直接狙う理由は薄いように思えます。しかし、現実の被害記録を見ると、事態はまったく逆の様相を呈しています。

攻撃の多くはプログラムによって自動化されており、最初から企業の規模や業種を選んでいません。インターネットに繋がっている機器の弱点を無差別に探し出し、見つかった穴から機械的に侵入を試みます。

さらに深刻なのは、守りの固い大企業へ侵入するために、取引先である中小企業を足がかりにする手法が定着していることです。これはサプライチェーン攻撃と呼ばれます。

攻撃者は、セキュリティ対策が手薄になりがちな中小企業のシステムを乗っ取り、そこから本命の取引先へと攻撃の手を伸ばします。このとき、被害は自社のシステム障害だけにとどまりません。取引先への損害賠償や取引停止、信用の失墜といった経営問題に直結してしまいます。

攻撃者が突いてくる「人の思い込み」と「放置された設定」

では、彼らはどのような経路で侵入してくるのでしょうか。

データを人質にとるランサムウェア

代表的な手口の一つが、データを勝手に暗号化して身代金を要求するランサムウェアです。近年では、バックアップデータごと暗号化を狙ったり、盗み出したデータを公開すると脅す二重の恐喝が一般化しています。

その侵入経路を調べると、高度なハッキング技術が使われているケースばかりではありません。外部から社内ネットワークに接続するためのVPN機器の古い弱点が放置されていたり、メールの添付ファイルを不用意に開いてしまったりと、基本的な設定の不備が狙われています。

業務の日常に紛れ込むビジネスメール詐欺

もう一つの典型的な手口が、ビジネスメール詐欺です。

これは経営者や取引先になりすまし、経理担当者などに振込先の変更を指示して送金させる手法です。システムを破壊するのではなく、バックオフィス実務者の「いつも通りの業務指示だ」という思い込みを突いてきます。

どちらの手口にも共通しているのは、最新の防御システムがないことよりも、人間の心理的な隙や、長年見直されていない運用ルールが突破口になっているという事実です。

完璧さよりも最低ラインの維持を優先する

このような手口を防ぐために、高額な防衛システムをすべて導入する必要があるのかというと、そうではありません。

専任の情報システム担当者がいない環境で目指すべきは、完璧な防御ではなく、被害を防ぐための最低ラインを継続的に維持することです。対策には、今すぐ無料でできるものと、予算をつけて整備すべきものがあります。

お金をかけずに今すぐできる対策

お金をかけずにできる対策の筆頭は、主要なクラウドサービスでの多要素認証の有効化です。IDとパスワードだけでなく、スマートフォンなどへの通知を組み合わせることで、不正アクセスのリスクは大幅に下がります。

また、退職者や異動者のアカウントを退職日当日に停止するルールの徹底や、複数人で一つのIDを使い回す共有アカウントの廃止も、追加費用なしで実行できます。

ビジネスメール詐欺への対策として最も有効なのも、システムではなくルールの変更です。送金や振込先変更の指示があった際は、メールだけで完結させず、必ず電話など別の経路で本人に確認するという手順を設けるだけで、被害の大部分は防げます。

予算をつけて整備すべき最後の砦

一方で、予算をつけて整備すべき分野もあります。ランサムウェア対策の最後の砦となるのは、社内ネットワークから完全に切り離された場所に保管されたバックアップです。

クラウドでの世代管理など、万が一データが暗号化されても確実に復元できる体制には、優先して投資する価値があります。

自社の守るべき資産の価値と、それが失われたときの影響の大きさを掛け合わせ、どこから手をつけるべきかを見極めることが求められます。

被害に遭ったときに被害を広げないための初動

どれほど対策を重ねても、侵入を完全に防ぎ切ることはできません。もし画面に身代金を要求するメッセージが出たり、不審な挙動に気づいたりしたとき、最初にとるべき行動は何でしょうか。

ここで慌ててパソコンを再起動したり、初期化したりしたくなるかもしれません。しかし、それは調査や復旧に必要な手がかりを消し去る行為です。被害を最小限に食い止めるための初動手順は、次のように決まっています。

• 感染が疑われる端末をネットワークから物理的に切り離す。LANケーブルを抜き、Wi-Fiを切断する。ただし電源は切らない
• 画面の表示内容や発生時刻、症状をスマートフォンなどで撮影し、記録に残す
• 情報処理推進機構や警察のサイバー事案相談窓口、契約中のITベンダーなどの専門機関に相談する
• 外部の専門家の指示を仰ぎながら、取引先への連絡や個人情報保護委員会への報告を検討する

なお、要求された身代金を支払っても、データが戻る保証はどこにもありません。むしろ、支払い可能な企業としてリストアップされ、再攻撃の標的になる危険性すらあります。

自社の現状を把握するための30の点検項目

対策の第一歩は、自社が現在どのような状態にあるのかを正確に把握することです。

誰が、どの端末で、どのようなサービスを利用しているのか。オフィスのWi-Fiは来客用と社内用で分離されているか。クラウドストレージの共有リンクが、リンクを知っている全員に公開されたまま放置されていないか。

こうした基本的な項目を一つずつ確認していく作業が、そのまま強固な防御網へと繋がっていきます。

本記事の構成元となっているホワイトペーパー「中小企業セキュリティ 最低ライン チェックリスト30」には、アカウント管理からネットワーク設定、社内ルールに至るまで、自社の穴を見つけるための具体的な点検項目と採点基準を網羅したシートが収録されています。

専任の担当者がいなくても、四半期に一度の定期点検としてそのまま活用できる作りになっています。

まずは自社の現在地を知り、無料でできる確実な対策から着手していく。そのための足場として、ぜひ手元に置いてご活用ください。