第4章 · 情報セキュリティ·v1.0.0·更新 2026/7/9·読了目安 約15分
変更要約: 初版
4.2脅威と攻撃手法（マルウェア・Webアプリ攻撃・ソーシャルエンジニアリング）
この節の要点
マルウェアの種別（ウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェア）、標的型攻撃・フィッシング、Webアプリケーションを狙うSQLインジェクション・XSS・CSRF、サービス妨害のDoS/DDoS攻撃、通信を狙う中間者攻撃、パスワード攻撃（総当たり・辞書攻撃・パスワードリスト攻撃）、人の心理を突くソーシャルエンジニアリング、取引先を経由するサプライチェーン攻撃を学びます。
対策を正しく選ぶには、まず攻撃手法が「何を悪用するか」を見分ける必要があります。マルウェアはソフトウェアそのものの脆弱性や不注意な実行を悪用し、Webアプリ攻撃はアプリの入力処理の不備を悪用し、ソーシャルエンジニアリングは人間の心理や慣習を悪用します。悪用される対象が異なれば有効な対策も異なるため、この節では代表的な攻撃手法を「何を悪用するか」という切り口で整理します。
4.2.1マルウェアと標的型攻撃
- ウイルス＝他のプログラムファイルに寄生して自己複製し、宿主プログラムの実行に伴って感染を広げる。ワーム＝単独のプログラムとして自己複製し、ネットワークを通じて自律的に他端末へ拡散する（宿主不要）。トロイの木馬＝無害なプログラムを装って侵入し、自己複製せずにバックドア設置等の不正動作を行う。
- ランサムウェア＝ファイルを暗号化する等して利用不能にし、復旧と引き換えに金銭を要求するマルウェア。スパイウェア＝利用者に気づかれずに個人情報や操作履歴を収集し外部へ送信するマルウェア。いずれも感染経路（メール添付・不正サイト・USBメモリ等）を断つ対策が有効。
- 標的型攻撃＝特定の組織・個人を狙い、業務に関係すると見せかけたメール等で不正なファイルを開かせる攻撃。不特定多数を狙う従来型の攻撃より検知が難しく被害が長期化しやすい。フィッシング＝実在の組織を装った偽サイト・メールで認証情報等をだまし取る攻撃。URLやドメインの真正性確認が有効な対策。