目次情報セキュリティ10 大脅威について 1 章. 10 大脅威の10 年史 2 章. 情報セキュリティ10 大脅威章. 注目すべき脅威や懸念 Copyright 2016 独立行政法人情報処理推進機構 2

Size: px

Start display at page:

ありおきねごろ
5 years ago
Views:

6 10 大脅威の 10 年史 10 大脅威は10 大脅威 2006に始まり 10 大脅威 2015で10 年目になりました過去 10 年を3 期間に分けて振り返る 2005 年 ~2008 年の4 年間 (10 大脅威 2006~2009) 2009 年 ~2011 年の3 年間 (10 大脅威 2010~2012) 2012 年 ~2014 年の3 年間 (10 大脅威 2013~2015) Copyright 2016 独立行政法人情報処理推進機構 6

7 10 大脅威の 10 年史 IT 環境の変化内部および外部の脅威の表面化新しい技術に伴う脅威とグローバル化する脅威被害規模の拡大 iphone 日本発売 Android スマートフォン日本発売 ipad 発売 Windows XP サポート終了 Windows Server 2003 サポート終了ブロードバンド公衆無線 LAN ソーシャルネットワーキングサービス IT 環境クラウドサービス / モバイルサービス携帯電話 ( ガラケー ) スマートフォン Copyright 2016 独立行政法人情報処理推進機構 7 IoT 機器

8 10 大脅威の 10 年史公衆無線 LAN ソーシャルネットワーキングサービス IT 環境攻撃手法と攻撃の目的内部および外部の脅威の表面化携帯電話 ( ガラケー ) クラウドサービス / モバイルサービス新しい技術に伴う脅威とスマートフォングローバル化する脅威被害規模の拡大 IoT 機器 iphone 日本発売 Android スマートフォン日本発売 ipad 標的型攻撃発売フィッシング詐欺ブロードバンド Windows XP Windows Server サポート終了 2003サポート終了攻撃手法 IT 環境公衆無線 LAN ボットネット (Botnet) ソーシャルネットワーキングサービスクラウドサービス / モバイルサービススマートフォンを狙った攻撃携帯電話 ( ガラケー ) ランサムウェア IoT 機器を狙った攻撃スマートフォン諜報破壊目的ハクティビズム IoT 機器攻撃者の種類目的金銭経済目的標的型攻撃フィッシング詐欺内部不正犯行愉快犯ランサムウェア攻撃手法犯罪の低年齢化ボットネット (Botnet) Copyright 2016 独立行政法人情報処理推進機構 8

9 2005 年 ~2008 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2005 年 2006 年 2007 年 2008 年 1 位事件化する SQL インジェクション漏えい情報の Winny による止らない流通高まる誘導型攻撃の脅威 DNS キャッシュポイズニングの脅威 2 位 Winny を通じたウイルス感染による情報漏えいの多発表面化しづらい標的型 ( スピア型 ) 攻撃ウェブサイトを狙った攻撃の広まり正規ウェブサイトを経由した攻撃の猛威 3 位音楽 CD に格納されたルートキットに類似した機能の事件化悪質化潜在化するボット恒常化する情報漏えい巧妙化する標的型攻撃 4 位悪質化するフィッシング詐欺深刻化するゼロデイ攻撃巧妙化する標的型攻撃検知されにくいボット潜在化するコンピュータウイルス 5 位巧妙化するスパイウェアますます多様化するフィッシング詐欺信用できなくなった正規サイト恒常化する情報漏えい 6 位流行が続くボット増え続けるスパムメール検知されにくいボット潜在化するコンピュータウイルス脆弱な無線 LAN 暗号方式における脅威 7 位ウェブサイトを狙う CSRF の流行減らない情報漏えい検索エンジンからマルウェア配信サイトに誘導誘導型攻撃の顕在化 8 位情報家電携帯機器などの組込みソフトウェアにひそむ脆弱性狙われ続ける安易なパスワード国内製品の脆弱性が頻発減らないスパムメール 9 位セキュリティ製品の持つ脆弱性攻撃が急増する SQL インジェクション減らないスパムメール組込み製品に潜む脆弱性 10 位ゼロデイ攻撃不適切な設定の DNS サーバを狙う攻撃の発生組み込み製品の脆弱性の増加ユーザ ID とパスワードの使いまわしによる危険性 10 大脅威名 10 大脅威大脅威大脅威大脅威 2009 Copyright 2016 独立行政法人情報処理推進機構 9

10 2005 年 ~2008 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2005 年 2006 年 2007 年 2008 年 1 位事件化する SQL インジェクション漏えい情報の Winny による止らない流通高まる誘導型攻撃の脅威 DNS キャッシュポイズニングの脅威 2 位 Winny を通じたウイルス感染による情報漏えいの多発表面化しづらい標的型 ( スピア型 ) 攻撃ウェブサイトを狙った攻撃の広まり正規ウェブサイトを経由した攻撃の猛威 3 位音楽 CD に格納されたルートキットに類似した機能の事件化悪質化潜在化するボット恒常化する情報漏えい巧妙化する標的型攻撃 4 位悪質化するフィッシング詐欺深刻化するゼロデイ攻撃巧妙化する標的型攻撃検知されにくいボット潜在化するコンピュータウイルス 5 位巧妙化するスパイウェアますます多様化するフィッシング詐欺信用できなくなった正規サイト恒常化する情報漏えい 6 位流行が続くボット増え続けるスパムメール検知されにくいボット潜在化するコンピュータウイルス脆弱な無線 LAN 暗号方式における脅威 7 位ウェブサイトを狙う CSRF の流行減らない情報漏えい検索エンジンからマルウェア配信サイトに誘導誘導型攻撃の顕在化 8 位情報家電携帯機器などの組込みソフトウェアにひそむ脆弱性狙われ続ける安易なパスワード国内製品の脆弱性が頻発減らないスパムメール 9 位セキュリティ製品の持つ脆弱性攻撃が急増する SQL インジェクション減らないスパムメール組込み製品に潜む脆弱性 10 位ゼロデイ攻撃不適切な設定の DNS サーバを狙う攻撃の発生組み込み製品の脆弱性の増加ユーザ ID とパスワードの使いまわしによる危険性 10 大脅威名 10 大脅威大脅威大脅威大脅威 2009 Winny による情報漏えい被害拡大 Antinny ウイルスによる情報漏えいで個人と組織で被害 Winny ネットワーク上に流出した情報は次々に拡散愉快目的 Copyright 2016 独立行政法人情報処理推進機構 10

2005 年 ~2008 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2005 年 2006 年 2007 年 2008 年 1 位事件化する SQL インジェクション漏えい情報の Winny による止らない流通高まる誘導型攻撃の脅威 DNS

11 2005 年 ~2008 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2005 年 2006 年 2007 年 2008 年 1 位事件化する SQL インジェクション漏えい情報の Winny による止らない流通高まる誘導型攻撃の脅威 DNS キャッシュポイズニングの脅威 2 位 Winny を通じたウイルス感染による情報漏えいの多発表面化しづらい標的型 ( スピア型 ) 攻撃ウェブサイトを狙った攻撃の広まり正規ウェブサイトを経由した攻撃の猛威 3 位音楽 CD に格納されたルートキットに類似した機能の事件化悪質化潜在化するボット恒常化する情報漏えい巧妙化する標的型攻撃 4 位悪質化するフィッシング詐欺深刻化するゼロデイ攻撃巧妙化する標的型攻撃検知されにくいボット潜在化するコンピュータウイルス 5 位巧妙化するスパイウェアますます多様化するフィッシング詐欺信用できなくなった正規サイト恒常化する情報漏えい 6 位流行が続くボット増え続けるスパムメール検知されにくいボット潜在化するコンピュータウイルス脆弱な無線 LAN 暗号方式における脅威 7 位ウェブサイトを狙う CSRF の流行減らない情報漏えい検索エンジンからマルウェア配信サイトに誘導誘導型攻撃の顕在化 8 位情報家電携帯機器などの組込みソフトウェアにひそむ脆弱性狙われ続ける安易なパスワード国内製品の脆弱性が頻発減らないスパムメール 9 位セキュリティ製品の持つ脆弱性攻撃が急増する SQL インジェクション減らないスパムメール組込み製品に潜む脆弱性 10 位ゼロデイ攻撃不適切な設定の DNS サーバを狙う攻撃の発生組み込み製品の脆弱性の増加ユーザ ID とパスワードの使いまわしによる危険性 10 大脅威名 10 大脅威大脅威大脅威大脅威 2009 狙われる組織の情報標的型攻撃の登場 10 年前から存在する標的型攻撃 2006 年以降常に 10 大脅威に登場 Copyright 2016 独立行政法人情報処理推進機構 11

12 2005 年 ~2008 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2005 年 2006 年 2007 年 2008 年 1 位事件化する SQL インジェクション漏えい情報の Winny による止らない流通高まる誘導型攻撃の脅威 DNS キャッシュポイズニングの脅威 2 位 Winny を通じたウイルス感染による情報漏えいの多発表面化しづらい標的型 ( スピア型 ) 攻撃ウェブサイトを狙った攻撃の広まり正規ウェブサイトを経由した攻撃の猛威 3 位音楽 CD に格納されたルートキットに類似した機能の事件化悪質化潜在化するボット恒常化する情報漏えい巧妙化する標的型攻撃 4 位悪質化するフィッシング詐欺深刻化するゼロデイ攻撃巧妙化する標的型攻撃検知されにくいボット潜在化するコンピュータウイルス 5 位巧妙化するスパイウェアますます多様化するフィッシング詐欺信用できなくなった正規サイト恒常化する情報漏えい 6 位流行が続くボット増え続けるスパムメール検知されにくいボット潜在化するコンピュータウイルス脆弱な無線 LAN 暗号方式における脅威 7 位ウェブサイトを狙う CSRF の流行減らない情報漏えい検索エンジンからマルウェア配信サイトに誘導誘導型攻撃の顕在化 8 位情報家電携帯機器などの組込みソフトウェアにひそむ脆弱性狙われ続ける安易なパスワード国内製品の脆弱性が頻発減らないスパムメール 9 位セキュリティ製品の持つ脆弱性攻撃が急増する SQL インジェクション減らないスパムメール組込み製品に潜む脆弱性 10 位ゼロデイ攻撃不適切な設定の DNS サーバを狙う攻撃の発生組み込み製品の脆弱性の増加ユーザ ID とパスワードの使いまわしによる危険性 10 大脅威名 10 大脅威大脅威大脅威大脅威年以上前から存在する脆弱性にかかわる脅威脆弱性の脅威は今も昔も変わっていない狙われるのはウェブサイトやクライアントのソフトウェア Copyright 2016 独立行政法人情報処理推進機構 12

13 2009 年 ~2011 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2009 年 2010 年 2011 年 1 位変化を続けるウェブサイト改ざんの手口人が起こしてしまう情報漏えい機密情報が盗まれる!? 新しいタイプの攻撃 2 位 3 位アップデートしていないクライアントソフト悪質なウイルスやボットの多目的化止らない! ウェブサイトを経由した攻撃定番ソフトウェアの脆弱性を狙った攻撃予測不能の災害発生! 引き起こされた業務停止特定できぬ共通思想集団による攻撃 4 位対策をしていないサーバ製品の脆弱性狙われだしたスマートフォン今もどこかで更新忘れのクライアントソフトを狙った攻撃 5 位あわせて事後対応を! 情報漏えい事件複数の攻撃を組み合わせた新しいタイプの攻撃止らない! ウェブサイトを狙った攻撃 6 位被害に気づけない標的型攻撃 7 位深刻な DDoS 攻撃セキュリティ対策不備がもたらすトラブル携帯電話向けウェブサイトのセキュリティ続々発覚スマートフォンやタブレットを狙った攻撃大丈夫!? 電子証明書に思わぬ落とし穴 8 位正規のアカウントを悪用される攻撃攻撃に気づけない標的型攻撃身近に潜む魔の手あなたの職場は大丈夫? 9 位クラウドコンピューティングのセキュリティ問題クラウドコンピューティングのセキュリティ危ない! アカウントの使いまわしが被害を拡大! 10 位インターネットインフラを支えるプロトコルの脆弱性ミニブログサービスや SNS の利用者を狙った攻撃使用者情報の不適切な取扱いによる信用失墜 10 大脅威名 10 大脅威大脅威大脅威 2012 Copyright 2016 独立行政法人情報処理推進機構 13

2009 年 ~2011 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2009 年 2010 年 2011 年 1 位変化を続けるウェブサイト改ざんの手口人が起こしてしまう情報漏えい機密情報が盗まれる!

14 2009 年 ~2011 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2009 年 2010 年 2011 年 1 位変化を続けるウェブサイト改ざんの手口人が起こしてしまう情報漏えい機密情報が盗まれる!? 新しいタイプの攻撃 2 位 3 位アップデートしていないクライアントソフト悪質なウイルスやボットの多目的化止らない! ウェブサイトを経由した攻撃定番ソフトウェアの脆弱性を狙った攻撃予測不能の災害発生! 引き起こされた業務停止特定できぬ共通思想集団による攻撃 4 位対策をしていないサーバ製品の脆弱性狙われだしたスマートフォン今もどこかで更新忘れのクライアントソフトを狙った攻撃 5 位あわせて事後対応を! 情報漏えい事件複数の攻撃を組み合わせた新しいタイプの攻撃止らない! ウェブサイトを狙った攻撃 6 位被害に気づけない標的型攻撃セキュリティ対策不備がもたらすトラブル続々発覚スマートフォンやタブレットを狙った攻撃 7 位深刻な DDoS 攻撃携帯電話向けウェブサイトのセキュリティ大丈夫!? 電子証明書に思わぬ落とし穴 8 位正規のアカウントを悪用される攻撃攻撃に気づけない標的型攻撃身近に潜む魔の手あなたの職場は大丈夫? 9 位クラウドコンピューティングのセキュリティ問題クラウドコンピューティングのセキュリティ危ない! アカウントの使いまわしが被害を拡大! 10 位インターネットインフラを支えるプロトコルの脆弱性ミニブログサービスや SNS の利用者を狙った攻撃使用者情報の不適切な取扱いによる信用失墜 10 大脅威名 10 大脅威大脅威大脅威 2012 猛威を振るうガンブラー被害懸念される脆弱性の脅威ウェブサイトが改ざんされ利用者にウイルスが感染ウイルス感染には脆弱性を悪用 2011 年には収束 Copyright 2016 独立行政法人情報処理推進機構 14

15 2009 年 ~2011 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2009 年 2010 年 2011 年 1 位変化を続けるウェブサイト改ざんの手口人が起こしてしまう情報漏えい機密情報が盗まれる!? 新しいタイプの攻撃 2 位 3 位アップデートしていないクライアントソフト悪質なウイルスやボットの多目的化止らない! ウェブサイトを経由した攻撃定番ソフトウェアの脆弱性を狙った攻撃予測不能の災害発生! 引き起こされた業務停止特定できぬ共通思想集団による攻撃 4 位対策をしていないサーバ製品の脆弱性狙われだしたスマートフォン今もどこかで更新忘れのクライアントソフトを狙った攻撃 5 位あわせて事後対応を! 情報漏えい事件複数の攻撃を組み合わせた新しいタイプの攻撃止らない! ウェブサイトを狙った攻撃 6 位被害に気づけない標的型攻撃セキュリティ対策不備がもたらすトラブル続々発覚スマートフォンやタブレットを狙った攻撃 7 位深刻な DDoS 攻撃携帯電話向けウェブサイトのセキュリティ大丈夫!? 電子証明書に思わぬ落とし穴 8 位正規のアカウントを悪用される攻撃攻撃に気づけない標的型攻撃身近に潜む魔の手あなたの職場は大丈夫? 9 位クラウドコンピューティングのセキュリティ問題クラウドコンピューティングのセキュリティ危ない! アカウントの使いまわしが被害を拡大! 10 位インターネットインフラを支えるプロトコルの脆弱性ミニブログサービスや SNS の利用者を狙った攻撃使用者情報の不適切な取扱いによる信用失墜 10 大脅威名 10 大脅威大脅威大脅威 2012 現実化した事業継続の必要性 2011 年 3 月 11 日の東日本大震災により企業に甚大な被害 BCP( 事業継続計画 ) の考え方に注目 Copyright 2016 独立行政法人情報処理推進機構 15

16 2009 年 ~2011 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2009 年 2010 年 2011 年 1 位変化を続けるウェブサイト改ざんの手口人が起こしてしまう情報漏えい機密情報が盗まれる!? 新しいタイプの攻撃 2 位 3 位アップデートしていないクライアントソフト悪質なウイルスやボットの多目的化止らない! ウェブサイトを経由した攻撃定番ソフトウェアの脆弱性を狙った攻撃予測不能の災害発生! 引き起こされた業務停止特定できぬ共通思想集団による攻撃 4 位対策をしていないサーバ製品の脆弱性狙われだしたスマートフォン今もどこかで更新忘れのクライアントソフトを狙った攻撃 5 位あわせて事後対応を! 情報漏えい事件複数の攻撃を組み合わせた新しいタイプの攻撃止らない! ウェブサイトを狙った攻撃 6 位被害に気づけない標的型攻撃セキュリティ対策不備がもたらすトラブル続々発覚スマートフォンやタブレットを狙った攻撃 7 位深刻な DDoS 攻撃携帯電話向けウェブサイトのセキュリティ大丈夫!? 電子証明書に思わぬ落とし穴 8 位正規のアカウントを悪用される攻撃攻撃に気づけない標的型攻撃身近に潜む魔の手あなたの職場は大丈夫? 9 位クラウドコンピューティングのセキュリティ問題クラウドコンピューティングのセキュリティ危ない! アカウントの使いまわしが被害を拡大! 10 位インターネットインフラを支えるプロトコルの脆弱性ミニブログサービスや SNS の利用者を狙った攻撃使用者情報の不適切な取扱いによる信用失墜 10 大脅威名 10 大脅威大脅威大脅威 2012 集団によるサイバー攻撃の被害の表面化複数の国や組織の人間で構成されたハクティビストによる社会的政治的な主張を目的としたサイバー攻撃の被害ウェブサイトを改ざんやサービス妨害で攻撃 Copyright 2016 独立行政法人情報処理推進機構 16

17 2012 年 ~2014 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2012 年 2013 年 2014 年 1 位クライアントソフトの脆弱性を突いた攻撃標的型メールを用いた組織へのスパイ諜報活動インターネットバンキングやクレジットカード情報の不正利用 2 位標的型諜報攻撃の脅威不正ログイン不正利用内部不正による情報漏えい 3 位スマートデバイスを狙った悪意あるアプリの横行ウェブサイトの改ざん標的型攻撃による諜報活動 4 位ウイルスを使った遠隔操作ウェブサービスからの利用者情報の漏えいウェブサービスへの不正ログイン 5 位金銭窃取を目的としたウイルスの横行オンラインバンキングからの不正送金ウェブサービスからの顧客情報の窃取 6 位予期せぬ業務停止悪意あるスマートフォンアプリハッカー集団によるサイバーテロ 7 位ウェブサイトを狙った攻撃 SNS への不適切な情報公開ウェブサイトの改ざん 8 位パスワード流出の脅威紛失や設定不備による情報漏えいインターネット基盤技術を悪用した攻撃 9 位内部犯行ウイルスを使った詐欺恐喝脆弱性公表に伴う攻撃 10 位フィッシング詐欺サービス妨害悪意のあるスマートフォンアプリ 10 大脅威名 10 大脅威大脅威大脅威 2015 Copyright 2016 独立行政法人情報処理推進機構 17

18 2012 年 ~2014 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2012 年 2013 年 2014 年 1 位クライアントソフトの脆弱性を突いた攻撃標的型メールを用いた組織へのスパイ諜報活動インターネットバンキングやクレジットカード情報の不正利用 2 位標的型諜報攻撃の脅威不正ログイン不正利用内部不正による情報漏えい 3 位スマートデバイスを狙った悪意あるアプリの横行ウェブサイトの改ざん標的型攻撃による諜報活動 4 位ウイルスを使った遠隔操作ウェブサービスからの利用者情報の漏えいウェブサービスへの不正ログイン 5 位金銭窃取を目的としたウイルスの横行オンラインバンキングからの不正送金ウェブサービスからの顧客情報の窃取 6 位予期せぬ業務停止悪意あるスマートフォンアプリハッカー集団によるサイバーテロ 7 位ウェブサイトを狙った攻撃 SNS への不適切な情報公開ウェブサイトの改ざん 8 位パスワード流出の脅威紛失や設定不備による情報漏えいインターネット基盤技術を悪用した攻撃 9 位内部犯行ウイルスを使った詐欺恐喝脆弱性公表に伴う攻撃 10 位フィッシング詐欺サービス妨害悪意のあるスマートフォンアプリ 10 大脅威名 10 大脅威大脅威大脅威 2015 金銭被害拡大狙われるインターネットバンキングクレジットカードインターネットバンキングやクレジットカード情報の不正利用総被害額は 2012 年が約 4,800 万円 2013 年が約 14 億 600 万円 2014 年が約 29 億 1,000 万円 Copyright 2016 独立行政法人情報処理推進機構 18

2014 年 1 位クライアントソフトの脆弱性を突いた攻撃標的型メールを用いた組織へのスパイ諜報活動

不正利用内部不正による情報漏えい 3 位スマートデバイスを狙った悪意あるアプリの横行ウェブサイトの改ざん

ウェブサービスへの不正ログイン 5 位金銭窃取を目的としたウイルスの横行オンラインバンキングからの不正送金

位ウェブサイトを狙った攻撃 SNS への不適切な情報公開ウェブサイトの改ざん 8 位パスワード流出の脅威

恐喝脆弱性公表に伴う攻撃 10 位フィッシング詐欺サービス妨害悪意のあるスマートフォンアプリ 10 大脅威名 10 大脅威

19 2012 年 ~2014 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2012 年 2013 年 2014 年 1 位クライアントソフトの脆弱性を突いた攻撃標的型メールを用いた組織へのスパイ諜報活動インターネットバンキングやクレジットカード情報の不正利用 2 位標的型諜報攻撃の脅威不正ログイン不正利用内部不正による情報漏えい 3 位スマートデバイスを狙った悪意あるアプリの横行ウェブサイトの改ざん標的型攻撃による諜報活動 4 位ウイルスを使った遠隔操作ウェブサービスからの利用者情報の漏えいウェブサービスへの不正ログイン 5 位金銭窃取を目的としたウイルスの横行オンラインバンキングからの不正送金ウェブサービスからの顧客情報の窃取 6 位予期せぬ業務停止悪意あるスマートフォンアプリハッカー集団によるサイバーテロ 7 位ウェブサイトを狙った攻撃 SNS への不適切な情報公開ウェブサイトの改ざん 8 位パスワード流出の脅威紛失や設定不備による情報漏えいインターネット基盤技術を悪用した攻撃 9 位内部犯行ウイルスを使った詐欺恐喝脆弱性公表に伴う攻撃 10 位フィッシング詐欺サービス妨害悪意のあるスマートフォンアプリ 10 大脅威名 10 大脅威大脅威大脅威 2015 内部犯行により持ち出される個人情報内部犯行により個人情報が漏えい権限がある従業員がその権限を使って個人情報を窃取顧客への補償として 200 億円を用意したケースも Copyright 2016 独立行政法人情報処理推進機構 19

2012 年 ~2014 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2012 年 2013 年 2014 年 1 位クライアントソフトの脆弱性を突いた攻撃標的型メールを用いた組織へのスパイ諜報活動インターネットバンキングやクレジットカード情報の不正利用

20 2012 年 ~2014 年凡例 : 脆弱性関連ウェブサイト関連不正ログイン関連パスワード関連標的型攻撃関連インターネットバンキング関連情報漏えい関連内部不正 Winny スマートフォン関連順位 2012 年 2013 年 2014 年 1 位クライアントソフトの脆弱性を突いた攻撃標的型メールを用いた組織へのスパイ諜報活動インターネットバンキングやクレジットカード情報の不正利用 2 位標的型諜報攻撃の脅威不正ログイン不正利用内部不正による情報漏えい 3 位スマートデバイスを狙った悪意あるアプリの横行ウェブサイトの改ざん標的型攻撃による諜報活動 4 位ウイルスを使った遠隔操作ウェブサービスからの利用者情報の漏えいウェブサービスへの不正ログイン 5 位金銭窃取を目的としたウイルスの横行オンラインバンキングからの不正送金ウェブサービスからの顧客情報の窃取 6 位予期せぬ業務停止悪意あるスマートフォンアプリハッカー集団によるサイバーテロ 7 位ウェブサイトを狙った攻撃 SNS への不適切な情報公開ウェブサイトの改ざん 8 位パスワード流出の脅威紛失や設定不備による情報漏えいインターネット基盤技術を悪用した攻撃 9 位内部犯行ウイルスを使った詐欺恐喝脆弱性公表に伴う攻撃 10 位フィッシング詐欺サービス妨害悪意のあるスマートフォンアプリ 10 大脅威名 10 大脅威大脅威大脅威 2015 軽率な情報配信行為による脅威若者や従業員による軽率な行為や発言を配信し炎上被害を受けた企業には倒産等甚大な被害を受けるケースも当人も多額の賠償金や降格停職等の処分がされている Copyright 2016 独立行政法人情報処理推進機構 20

30 1 位標的型攻撃による情報流出 ~ 多くの組織や企業が標的型攻撃のターゲットに!~ 侵入手口メールからウイルス感染ばらまき型やり取り型ウェブからウイルス感染水飲み場型標的組織の関連会社が踏み台に 2015 年の事例 / 傾向日本年金機構約 125 万件の個人情報の漏えい複数回の攻撃メール非公開のメールアドレスにも届く URL や添付ファイルを開くことで感染その後他の組織でも同様の攻撃が行なわれていることを確認 Copyright 2016 独立行政法人情報処理推進機構 30

31 1 位標的型攻撃による情報流出 ~ 多くの組織や企業が標的型攻撃のターゲットに!~ 対策一覧経営者層問題に迅速に対応できる体制の構築対策予算の確保と継続的な対策実施システム管理者情報の取扱い保管状態の確認システム設計対策アクセス制限ネットワーク監視分離セキュリティ担当部署セキュリティ教育の実施情報の保管方法ルール策定サイバー攻撃に関する情報共有従業員職員セキュリティ教育の受講 OS ソフトウェアの更新ウイルス対策ソフトの導入更新内部へ侵入されることを想定した多層防御を Copyright 2016 独立行政法人情報処理推進機構 31

33 2 位内部不正による情報漏えいとそれに伴う業務停止 ~ 内部不正が事業に多大な悪影響を及ぼす ~ 発生要因職場環境や処遇の不満処遇面 ( 業務多忙給与や賞与 ) の不満復讐や個人的な利益の享受を目的とすることもアクセス権限の不適切な付与必要以上なアクセス権の付与等システム操作記録と監視の未実施不正に気づきにくく不正の発覚が遅れる 2015 年の事例 / 傾向公的機関から膨大な個人情報漏えい元職員が持ち帰った約 68 万人の有権者情報が漏えいレンタルサーバー上で外部から閲覧可能な状態に Copyright 2016 独立行政法人情報処理推進機構 33

重要情報の管理保護アカウント権限の管理定期監査システム操作の記録監視サービス利用者

34 2 位内部不正による情報漏えいとそれに伴う業務停止 ~ 内部不正が事業に多大な悪影響を及ぼす ~ 対策一覧組織情報取扱ポリシー作成および周知徹底機密保護に関する誓約資産の把握体制の整備情報の取扱教育の実施重要情報の管理保護アカウント権限の管理定期監査システム操作の記録監視サービス利用者情報の管理が適切かを確認組織一丸となって積極的に対策を推進する体制を Copyright 2016 独立行政法人情報処理推進機構 34

36 3 位ウェブサービスからの個人情報の窃取 ~ ハッカー集団による甚大な被害 ~ 手口 / 影響ソフトウェアやウェブアプリケーションの脆弱性を悪用リモート管理用のサービスからの侵入顧客情報の窃取やその情報の悪用 2015 年の事例 / 傾向アシュレイマディソンから情報漏えいハッカー集団により主義主張を目的に 3,200 万人の会員のアカウント情報が漏えい SQL インジェクションの脆弱性を悪用した情報漏えい 2014 年に引き続き SQL インジェクションによる情報漏えいが相次ぐ Web 会員情報約 21 万人分流出の被害も Copyright 2016 独立行政法人情報処理推進機構 36

37 3 位ウェブサービスからの個人情報の窃取 ~ ハッカー集団による甚大な被害 ~ 対策一覧ウェブサービス運営者セキュアなウェブサービスの構築 ( 登録する個人情報も必要最低限に ) OS ソフトウェアの更新 WAF IPS の導入ウェブサービス利用者不要な情報は極力サイトに登録しない安全なウェブサービスの構築はセキュリティを担保した設計と開発が必要 Copyright 2016 独立行政法人情報処理推進機構 37

4 位サービス妨害攻撃によるサービスの停止 ~ 主義主張の誇示や金銭を目的とした猛威を振るう DDoS 攻撃 ~ DDoS( 分散型サービス妨害

ウェブサイトがアクセス不可となり業務を妨害される 2015 年の事例 / 傾向厚労省のウェブサイトに DDoS 攻撃安全確認の期間も含め約 3 日間ウェブサイトを停止

39 4 位サービス妨害攻撃によるサービスの停止 ~ 主義主張の誇示や金銭を目的とした猛威を振るう DDoS 攻撃 ~ 手口 / 影響 DDoS 攻撃ボットネットの悪用 ( ボットネットに攻撃命令をして負荷 ) リフレクター攻撃 ( 送信元を標的組織に詐称して多量の応答で負荷 ) DNS 水責め攻撃 ( 権威 DNSサーバーに負荷 ) ウェブサイトがアクセス不可となり業務を妨害される 2015 年の事例 / 傾向厚労省のウェブサイトに DDoS 攻撃安全確認の期間も含め約 3 日間ウェブサイトを停止主義主張が目的金銭目的による DDoS 攻撃複数の金融系企業でインターネットの取引画面に接続できない状態攻撃停止のため金銭の支払いを要求 Copyright 2016 独立行政法人情報処理推進機構 39

40 4 位サービス妨害攻撃によるサービスの停止 ~ 主義主張の誇示や金銭を目的とした猛威を振るう DDoS 攻撃 ~ 対策一覧個人組織 OS ソフトウェアの更新組織踏み台にならないため利用している機器も含めて管理 DDoS 攻撃の影響を緩和する ISP 等によるサービスの利用通信制御 (DDoS 攻撃元をブロック等 ) システムの冗長化等の軽減策サイト停止時の代替サーバーの用意 DDoS 攻撃の被害にあわないよう事前に十分なDDoS 対策を Copyright 2016 独立行政法人情報処理推進機構 40

42 5 位ウェブサイトの改ざん ~ 引き続き狙われる CMS の脆弱性 ~ 手口 / 影響ソフトウェアやウェブアプリケーションの脆弱性を悪用リモート管理用のサービスからの侵入設定不備によるウイルスのアップロードウイルス感染や主義主張自己顕示に悪用される 2015 年の事例 / 傾向 2014 年に引き続きコンテンツ管理システム (CMS) が標的に WordPress や Magento といった CMS やそのプラグインの脆弱性を悪用され多数のサイトが被害に管理されず放置されているウェブサイトが狙われる Copyright 2016 独立行政法人情報処理推進機構 42

5 位ウェブサイトの改ざん ~ 引き続き狙われる CMS の脆弱性 ~ 対策一覧

43 5 位ウェブサイトの改ざん ~ 引き続き狙われる CMS の脆弱性 ~ 対策一覧ウェブサイト運営者 OS サーバーソフトウェアの更新サーバーソフトウェアの設定の見直しウェブアプリケーションの脆弱性対策アカウントパスワードの適切な管理信頼できないサーバーソフトウェアを利用しない改ざん検知ソフトウェアの利用ウェブサイト利用者 OS ソフトウェアの更新ウイルス対策ソフトの導入ウェブサイト運営者は利用しているソフトウェアを適切に管理し安全な運用を Copyright 2016 独立行政法人情報処理推進機構 43

44 10 大脅威 2016( 組織 ) と情報セキュリティ対策の基本との対応順位脅威ソフトウェアの更新ウイルス対策ソフトパスワードの強化設定の見直し手口を知る 1 位標的型攻撃による情報流出 2 位内部不正による情報漏えい 3 位ウェブサービスからの個人情報の窃取 4 位サービス妨害攻撃によるサービスの停止 5 位ウェブサイトの改ざん凡例 : 対策効果ありまたは部分的に効果あり踏み台 ( 攻撃者 ) にならないための対策 Copyright 2016 独立行政法人情報処理推進機構 44

47 1. サポートの終了したソフトウェアを継続使用する危険性 ~ サーバー OS やブラウザも最新版の利用へ移行を ~ 相次ぐ主要 OS ソフトウェアのサポート終了 Windows Server 年 7 月 15 日 ( 日本時間 ) サポート終了 Internet Explorer 2016 年 1 月 13 日 ( 日本時間 ) サポートポリシー変更各 Windows OS で利用可能な最新版のみサポート移行できない利用者未だに使われる 2014 年サポート終了の Windows XP インターネットアクセスしている OS の内 10.93% が Windows XP Windows Server 2003 を継続利用サーバー運用管理者の約半数がサポート終了後に Windows Server 2003 を利用し続けると回答 Copyright 2016 独立行政法人情報処理推進機構 47

ソフトウェア製品のライフサイクル今後のサポート終了予定 SQL Server 2005 : 2016 年 4 月 12 日 Windows Vista : 2017 年 4 月 11 日 Office 2007

48 1. サポートの終了したソフトウェアを継続使用する危険性 ~ サーバー OS やブラウザも最新版の利用へ移行を ~ 最新版への移行を移行できない場合はリスク緩和策ネットワークに繋がっていない環境で利用する等ただし脆弱性が解消される訳ではないため早急な移行を組織においては計画的な移行を互換性の問題により移行できないケースを想定し以下を考慮 (1) 特定の製品やバージョンに依存しない (2) ソフトウェア製品のライフサイクル今後のサポート終了予定 SQL Server 2005 : 2016 年 4 月 12 日 Windows Vista : 2017 年 4 月 11 日 Office 2007 : 2017 年 10 月 10 日 Windows 7 : 2020 年 1 月 14 日 Windows Server 2008 R2 : 2020 年 1 月 15 日 Copyright 2016 独立行政法人情報処理推進機構 48

50 2. 証明書の導入設定不備や検証不備に起因する脅威と対策 ~ ルート証明書の強制インストールに御用心 ~ 勝手ルート証明書問題 (Superfish) 大手 PC 開発ベンダーの PC に不正広告の機能が存在認証局発行ではない自己署名証明書を OS 内にルート証明書としてインストール PC で共通の秘密鍵を利用上記を利用し TLS で保護されたサイトに無理矢理広告を挿入影響盗聴改ざん防止されたコンテンツをかきかえる機能自体が不正行為共通の秘密鍵なため第三者が悪用すると通信内容の解読悪意のあるソフトウェアの強制インストール等が可能となる危険性勝手ルート証明書問題再び (Superfish2.0) 別の大手 PC 開発ベンダーでも遠隔サポートサービス提供用の機能に同様の問題秘密鍵は暗号化されていたが誰でも推測可能であった Copyright 2016 独立行政法人情報処理推進機構 50

51 2. 証明書の導入設定不備や検証不備に起因する脅威と対策 ~ ルート証明書の強制インストールに御用心 ~ 事業者が注意すべきこと認証局発行でない自己署名証明書をルート証明書にインストールするソフトウェアを開発配布しない秘密鍵を他者に配布することで動作するソフトウェアを開発配布しない証明書に関する問題が発見された場合速やかに脆弱性情報を公開すると共に更新プログラム等の解決策を提供利用者として注意すべきこと最新情報の収集に努め更新プログラム等が提供された場合早急に適用する不審なソフトウェアはインストールしない Copyright 2016 独立行政法人情報処理推進機構 51

3. マイナンバーの管理運用の重要性 ~ 他者のマイナンバーを預かる事業者等は厳重な管理を ~ 人為的誤りや IT( 情報技術 ) 上の誤りを原因とするマイナンバーの漏えい (

53 3. マイナンバーの管理運用の重要性 ~ 他者のマイナンバーを預かる事業者等は厳重な管理を ~ マイナンバーの漏えい人為的物理的 /IT( 情報技術 ) 上の誤りによる漏えいマイナンバー通知カードの誤配達マイナンバーが印刷された公文書の誤交付誤送付等自動交付機の設定不備により記載不要の住民票にマイナンバーを印刷交付等漏えいが発生すると米国では ( 社会保障番号 ) 漏えいした番号によるなりすまし事件が大きな問題銀行口座開設クレジットカードの作成と利用住所変更等が可能合衆国政府のデータベースから 2,150 万人分の漏えい事件も日本ではマイナンバーは漏えいしても安全原則顔写真付き身分証明書等を用いた本人確認実施マイナンバー単独の漏えいではなりすましは発生しない Copyright 2016 独立行政法人情報処理推進機構 53

54 3. マイナンバーの管理運用の重要性 ~ 他者のマイナンバーを預かる事業者等は厳重な管理を ~ 個人として注意すべきこと趣旨と提示範囲の理解マイナンバーは法令に定められた社会保障税災害対策の行政手続のためのみに提示等制度の趣旨と開示範囲が決まっている保存送信する場合 PC 等に電子化して保存する場合は情報自体を暗号化し端末操作にパスワード入力や指紋認証等の本人確認を必須となるように設定メール等のネットワーク経由で送信する場合暗号化や改ざん防止を事業者が注意すべきこと特定個人情報の取扱いに関するガイドラインを遵守法令に定められた利用制限厳重な管理提供収集の制限を実施継続的なセキュリティ対策の見直し実施業種別の個別のガイドラインへの遵守も金融業務にかかわる事業者や行政機関地方公共団体等 Copyright 2016 独立行政法人情報処理推進機構 54

情報セキュリティ 10 大脅威大脅威とは? 2006 年より IPA が毎年発行している資料 10 大脅威選考会の投票により情報システムを取巻く脅威を順位付けして解説 Copyright 2017 独立行政法人情報処理推進機構 2

情報セキュリティ 10 大脅威大脅威とは? 2006 年より IPA が毎年発行している資料 10 大脅威選考会の投票により情報システムを取巻く脅威を順位付けして解説 Copyright 2017 独立行政法人情報処理推進機構 2 情報セキュリティ 10 大脅威 2017 ~1 章情報セキュリティ対策の基本スマートフォン編 ~ ~ 職場に迫る脅威! 家庭に迫る脅威!? 急がば回れの心構えでセキュリティ対策を ~ Copyright 2017 独立行政法人情報処理推進機構独立行政法人情報処理推進機構 (IPA) 技術本部セキュリティセンター 2017 年 4 月情報セキュリティ 10 大脅威 2017 10 大脅威とは? 2006

目次 情報セキュリティ10 大脅威について 1 章. 10 大脅威の10 年史 2 章. 情報セキュリティ10 大脅威 章. 注目すべき脅威や懸念 Copyright 2016 独立行政法人情報処理推進機構 2

目次情報セキュリティ10 大脅威について 1 章. 10 大脅威の10 年史 2 章. 情報セキュリティ10 大脅威章. 注目すべき脅威や懸念 Copyright 2016 独立行政法人情報処理推進機構 2