標的型攻撃対策｜中小企業が今すぐ着手すべき4つの打ち手とその順序

標的型攻撃は、もはや大企業だけが警戒すればよい脅威ではありません。警察庁の発表によれば、令和5年に報告されたランサムウェア被害は半数以上が中小企業を占め、中堅企業の被害件数は前年比37%増加しています。帝国データバンクの調査でも、何らかのサイバー攻撃を経験した企業は全体の32.0%にのぼり、中小企業だけで見ても30.3%に達しました。「自社の規模では狙われない」という前提そのものが、対策の遅れを生む最大のリスクです。本記事では、中小企業が標的型攻撃の対象になりやすい理由を整理したうえで、限られた人員と予算の中でも何から着手すべきか、優先順位を付けた4つの打ち手を具体的に解説します。

標的型攻撃は、特定の組織を狙って情報窃取や金銭要求を行うサイバー攻撃の総称です。取引先や経営者になりすましたメール、業務でよく使うクラウドサービスを装った偽ログイン画面などを入口に、組織内部へ侵入します。中小企業が標的にされやすい背景には、次の3つの構造があります。

第一に、大企業のサプライチェーンに組み込まれている中小企業が多いことです。取引先である大企業への侵入経路として、セキュリティ投資が手薄な中小企業が踏み台に選ばれるケースが増えています。第二に、専任のセキュリティ担当者を置けず、情シス担当者が兼務で対応している組織が大半であることです。監視・検知の体制が手薄になり、侵入から発覚までの時間が長引きがちです。第三に、標的型メールの文面が年々巧妙化し、取引先の実名や過去のやり取りを模倣する手口が一般化していることです。従業員の注意力だけに頼る対策では見抜きにくくなっています。

対策を検討する前に、典型的な手口を押さえておく必要があります。代表的なものは次の3パターンです。

なりすましメール型は、取引先や経営者を装い、請求書や見積書に見せかけたファイルを開かせる手口です。例えば、経理担当者宛てに取引先の実在の担当者名を騙り、「支払期日が近い請求書です」という文面でExcelファイルを送りつけ、開封と同時にマクロ経由でマルウェアを侵入させる事例が典型的です。過去のメールを一部盗用しているケースもあり、経験の浅い担当者ほど見抜きにくくなっています。

不正ログイン型は、漏えいしたID・パスワードや推測しやすい認証情報を使い、社内システムやクラウドサービスへ直接アクセスする手口です。多要素認証を設定していないアカウントが標的になりやすく、監視が手薄な休日・夜間に侵入が試みられる傾向があります。

脆弱性突破型は、VPN機器や業務アプリケーションの既知の脆弱性を突いて侵入する手口です。パッチ適用が後回しの機器が狙われやすく、侵入後は数週間〜数ヶ月潜伏し、権限を拡大してから情報を持ち出すケースが少なくありません。

具体的な対策に入る前に、自社の現状を次の5項目で確認してください。3つ以上当てはまる場合は、対応の優先度が高い状態にあると考えられます。

1. 従業員全員が受講する標的型メール訓練を、直近1年以内に実施していない
2. 管理者権限を持つアカウントの棚卸しを、半年以上行っていない
3. 社外からアクセスするシステムの多くが、多要素認証を設定していない
4. VPN機器や業務アプリケーションのパッチ適用状況を、担当者が正確に把握していない
5. 不審なアクセスを検知した際に、誰が・何を・どの順序で対応するかが文書化されていない

該当項目が多いほど、個々の対策よりもまず全体像の可視化が必要な状態です。自社での判断が難しい場合は、無料のセルフチェックを使って現状を整理することもできます。

限られたリソースの中で対策を進める場合、次の4つを優先順位の順に着手することを推奨します。

最初の防波堤は、開封前に気づく従業員です。標的型メール訓練を年1回以上実施し、不審なメールの報告先と手順を明文化します。例えば、開封率が高い部署へ個別フィードバックを行い、報告を受けた情シスが1営業日以内に注意喚起を出す運用に変えるだけでも、被害の連鎖を防ぎやすくなります。訓練は「失敗を責める場」ではなく「気づいたら報告してよい」という心理的なハードルを下げる目的で設計することが重要です。

管理者権限を持つアカウントの数と用途を棚卸しし、不要な権限を整理します。あわせて社外からアクセスする全システムに多要素認証を設定します。退職者・異動者のアカウントが権限を持ったまま放置されているケースは珍しくなく、棚卸しだけで攻撃対象領域を大きく狭められます。

侵入そのものを完全に防ぐことは困難なため、侵入後の早期発見が被害の大きさを左右します。ログイン試行、権限変更、深夜・休日のアクセスなど通常と異なる挙動を検知する仕組みを整えます。例えば、深夜に管理者アカウントで海外からのログインを検知したら即座に停止し、担当者へ自動通知する運用があれば、発覚までの時間を大幅に短縮できます。

侵入検知後、誰が意思決定し、どこまで報告し、いつ公表を判断するかをあらかじめ文書化します。計画は作って終わりにせず、年1回程度の机上訓練で実効性を確認します。計画がない組織では初動に時間がかかり、被害範囲の特定や復旧が遅れがちです。

4つの手順を実施した場合、組織の状態は次のように変化します。

4つの手順はいずれも一度実施して終わりではなく、継続的な運用が前提になります。棚卸しや監視は、実施した瞬間から状態が変化し続けるため、定点の診断だけでは元の状態に戻ってしまいます。診断が課題を見つける「点」だとすれば、運用は課題を直し続ける「線」にあたります。自社に専任の担当者を置けない場合は、まず診断で現状を可視化し、その後の運用まで含めて継続的に見てもらう体制を検討する選択肢もあります。

BFTでは、20年を超える金融・公共システムの運用実績をもとに、ITIL v4・SRE・AIOpsに準拠した運用支援を行っています。単発の診断で終わらせず、是正後の状態を維持する運用まで一貫して支援できる点が、社内の兼務体制だけでは対応しきれない部分を補う役割になります。

[関連記事: クラウドの設定不備を自分で確認するチェック項目について]

• 中小企業も標的型攻撃の主要な標的であり、警察庁データでは中堅企業のランサムウェア被害が前年比37%増加している
• 標的型攻撃には、なりすましメール型・不正ログイン型・脆弱性突破型という典型的な手口がある
• 自己診断チェックリストで5項目中3つ以上該当する場合は、優先度の高い対応が必要な状態
• 対策は「見分ける訓練」「特権アカウントの棚卸し」「ログ監視」「インシデント対応計画」の順で着手すると効果的
• 対策は一度実施して終わりではなく、継続的な運用があって初めて効果が維持される

Q. 中小企業でも標的型攻撃の対象になるのはなぜですか。
A. サプライチェーンの侵入経路にされやすいこと、専任のセキュリティ担当者が少ないこと、メールの文面が巧妙化していることの3つが主な理由です。専任担当者の不在は監視・検知の遅れに直結します。

Q. 何から着手すればよいか分かりません。優先順位はありますか。
A. メール訓練と報告フローの整備、特権アカウントの棚卸しと多要素認証、ログ監視の体制、インシデント対応計画の順を推奨します。人が最初の防波堤になる部分から着手するのが効果的です。

Q. 自社で全て対応するのが難しい場合はどうすればよいですか。
A. まず無料のセルフチェックで現状を可視化し、必要に応じてセキュリティ診断で客観的な評価を受けることを推奨します。是正後の運用まで継続して任せられる体制を検討する選択肢もあります。

自社の標的型攻撃対策がどこまで進んでいるか、まず現状を整理したい方へ

上記のセルフチェックで該当項目が多かった方は、自己診断だけで終わらせず、客観的な視点での確認をおすすめします。YOROZUでは、入力不要で試せる無料セルフチェックと、専門家によるセキュリティ診断をご用意しています。

• 無料セルフチェックで現状レベルを確認する
• セキュリティ診断のお申し込みはこちら

診断で見つかった課題は、直して終わりではなく、運用として維持し続けることで初めて再発を防げます。継続的な運用体制についてのご相談は、YOROZU STEADYへのお問い合わせ からどうぞ。