1.3サイバー攻撃手法（マルウェア・標的型攻撃・Webアプリ攻撃・DoS・サプライチェーン攻撃）

管理者として攻撃手法を学ぶ目的は、攻撃の技術的な仕組みを実装することではなく、「自組織にどの攻撃のリスクが高く、どの管理策が有効か」を判断することにあります。攻撃手法ごとに悪用される対象（ソフトウェアの脆弱性・アプリの入力処理・人間の心理・委託先との信頼関係）が異なるため、攻撃の分類を誤ると対策も的外れになります。この節では代表的な攻撃手法を、管理者が押さえるべき「見分け方と対応の勘所」の観点で整理します。

1.3.1マルウェアと標的型攻撃・BEC

• マルウェアの主な種別＝ウイルス（他のプログラムに寄生して増殖）／ワーム（単独で自己複製しネットワーク経由で拡散）／トロイの木馬（無害を装い侵入し自己複製しない）／ランサムウェア（ファイルを暗号化し身代金を要求）／スパイウェア（気づかれず情報を収集し外部送信）。感染経路の遮断（メール添付・不正サイト・USB等）が共通の一次対策。
• 標的型攻撃＝特定の組織を狙い、業務に関係すると見せかけたメール等で不正なファイルを開かせる攻撃。不特定多数を狙う攻撃より検知が難しく被害が長期化しやすいため、入口対策だけでなく侵入後の早期検知（内部の不審な通信監視）が重要。フィッシング＝実在組織を装った偽サイト・メールで認証情報等をだまし取る攻撃。
• BEC（ビジネスメール詐欺）＝取引先や経営幹部になりすましたメールで、送金や個人情報の提供を担当者にだまし取らせる攻撃。マルウェアを使わずメールの文面だけで金銭被害を狙う点が特徴で、技術的対策より「振込先変更等は電話等の別経路で必ず確認する」という業務プロセスが有効な対策になる。

1.3.2Webアプリ攻撃・DoS・パスワード攻撃・サプライチェーン攻撃

• SQLインジェクション＝入力欄に不正なSQL文を注入しデータベースを不正操作する攻撃（対策＝プレースホルダ）。XSS＝Webページに不正スクリプトを注入し閲覧者のブラウザで実行させる攻撃（対策＝サニタイジング）。CSRF＝ログイン中の利用者に意図しないリクエストを送信させる攻撃（対策＝ワンタイムトークン）。
• DoS攻撃＝大量のリクエストで対象サーバの処理能力を枯渇させる攻撃。DDoS攻撃＝複数端末（多くはボットネット）から分散して行うDoS攻撃で、単一の送信元遮断では防ぎきれない。パスワード攻撃＝総当たり攻撃（全組み合わせを試行）／辞書攻撃（既知の弱いパスワードを試行）／パスワードリスト攻撃（他サービスの漏えい情報の使い回しを狙う）。対策はアカウントロックアウト・多要素認証・使い回し禁止。
• サプライチェーン攻撃＝セキュリティ対策が手薄な取引先・委託先・ソフトウェア供給元を踏み台にして、本来の標的である大企業や重要インフラへ侵入する攻撃。自組織のセキュリティを固めても、委託先が侵害されれば正規のアクセス経路から侵入されうるため、委託先の選定基準・契約条項でのセキュリティ要件明記・定期監査が管理策として重要（詳細は第5章で扱う）。

ある中堅企業のセキュリティ担当者が、四半期に発生した3件の攻撃未遂・被害事案を経営会議で報告する場面を考えてみましょう。1件目は、経理部宛に取引先の経営者を装ったメールが届き、「振込先口座が変更になった、至急送金してほしい」という内容だった事案です。添付ファイルはなく本文だけで金銭をだまし取ろうとする典型的なBECで、幸い担当者が違和感を覚え、電話で取引先に確認したところ虚偽と判明しました。この事案を受け、「振込先の変更連絡は必ず登録済みの電話番号で本人確認する」という業務プロセスを正式なルールとして明文化します。2件目は、自社のECサイトの商品検索欄に不正な文字列を入力する探索的な通信が大量に検知された事案で、これはSQLインジェクションを狙った偵察行為であり、WAFのログで検知・遮断できていたことを報告し、プレースホルダ化の徹底状況も併せて確認します。3件目は、部品を供給する委託先企業が別件でランサムウェア被害に遭い、その委託先が保有していた自社の設計データが暗号化・窃取された事案です。自社のネットワークやサーバは直接攻撃されていないにもかかわらず、サプライチェーン攻撃の形で情報が漏えいしたことになります。この事案を機に、委託先に対するセキュリティ要件（暗号化・アクセス制御・インシデント発生時の速やかな通知義務）を契約書に明記し、年1回の第三者評価受診を求める運用へ改めます。3件を通じて、攻撃の入口が自社システムか、人（メール文面）か、委託先かによって、有効な対策がまったく異なることが分かります。

1.3.3この節のまとめ

• マルウェアはウイルス/ワーム/トロイの木馬等を増殖方式で識別。感染経路の遮断が共通の一次対策
• BEC＝マルウェアなしでメール文面のみを悪用。対策は別経路での本人確認プロセス
• サプライチェーン攻撃＝委託先・供給元を踏み台にする。対策は契約でのセキュリティ要件明記＋定期監査