トレンドマイクロ（株）が１０日発表した「２０１７年国内サイバー犯罪動向」によると、１７年はシステムの脆弱性に加えて、リスク認識や業務・システムの運用プロセスの隙間となる“人”や“プロセス”の脆弱性を要因とした被害が多かったことが確認された。

　同調査は、同社が１７年に日本国内を中心に観測されたサイバー攻撃の傾向を独自の統計データを元に分析したもの。

公開サーバからの情報漏えいは３５０万件に

　同調査によると、１７年５月に登場したランサムウェア「ＷａｎｎａＣｒｙ」の国内検出台数は、１１月末までに１万６１００台に上り、攻撃に晒されるコンピュータが国内に多く存在することが明らかになっている。「ＷａｎｎａＣｒｙ」が感染拡大に利用する「ＳＭＢ１．０（ＳＭＢ Ｖ１）」は、１６年９月にマイクロソフトから使用停止が推奨されており、更新プログラムも公開されているが、多くの企業で問題の把握や更新プログラム適用が実施されていないのが現状となっている。

!nextpage!

　公開サーバからの情報漏えいについては、１７年１月～１１月に国内法人組織が公開するサーバからの漏えい事例が５２件公表され、のべ３５０万件以上の情報が漏えいしたことが分かった。同社の分析によると、Ｗｅｂアプリケーションに代表されるシステムの脆弱性を被害原因とする事例が、全体の約６割を占めている。一部の事例では、情報漏えい被害が発覚する前に脆弱性の存在に気づいていたものの、組織内の責任の所在が不明確、システム改修のための予算が確保できないなどの理由で、更新プログラムが適用されなかった事例もあった。

サイバー犯罪対策は、システム対策＋人・プロセスの課題解消が重要

　「ビジネスメール詐欺」の被害については、全世界で５３億米ドルもの被害が発生している一方、国内では１７年１２月に大手航空会社が約３億８０００万円を騙し取られる被害に遭ったことが公表されるなど、複数の被害事例が明らかになっている。「ビジネスメール詐欺」のうち「ＣＥＯ詐欺」（企業の最高経営責任者ＣＥＯや代表取締役社長などになりすました偽装メール）で使用されるメールについて同社で調査したところ、１７年１月～１１月に８６００件以上の「ＣＥＯ詐欺」メールが全世界で確認され、このうち日本法人への詐欺メールは１１件だった。「ビジネスメール詐欺」は、組織内の経理担当者や業務担当者などの一般従業員が狙われることが多く、セキュリティ製品でのメール盗み見の防止や、組織内における従業員教育や注意喚起が重要となっている。

　こうした状況を踏まえて同社では、１７年の国内サイバー犯罪動向を「３つのセキュリティ上の欠陥が企業に深刻な影響を与えた１年」と総括。企業が対策を進める際には「システム」による対策だけにとどまらず、従業員教育や組織体制、業務プロセスの見直しなど“人”や“プロセス”に関する課題を併せて解消することが重要だとしている。