標的型攻撃への対策状況（2021年）前編

テレワークの定着によって標的型攻撃がどのように「進化」しているのか、企業の対策はどの程度進んでいるのかを調査したところ、全体的には明確な進歩が見られる一方で「狙い目」になっている可能性のある企業も見えた。

[キーマンズネット]

　キーマンズネットは2021年9月8日〜24日にわたり「標的型攻撃（サイバー攻撃）の対策状況」に関する調査を実施した。全回答者数245人のうち情報システム部門が38.8％、製造・生産部門が15.5％、営業・販売・営業企画部門が13.1％、経営者・経営企画部門が8.6％などと続く内訳であった。

　今回は「セキュリティ被害経験の有無」や「自社を狙ったサイバー攻撃被害の有無」に加え、対策の実施有無を中心に企業を狙うサイバー攻撃の実態を調査。その結果、企業の規模によってサイバー攻撃への対策状況に大きな差があることなどが見えた。なお、グラフ内で使用している合計値と合計欄の値が丸め誤差により一致しない場合があるので、事前にご了承いただきたい。

セキュリティ被害経験「あり」が急増　「狙い目」企業とは

　はじめに、過去に何らかのセキュリティ被害に遭った経験があるかどうかを聞いた。「ない」と回答したのは全体の49.0％であったことから、過半数の企業が何かしらの被害を受けていることが分かった。2019年は31.4％、2020年が40.6％であったことから、近年セキュリティ被害が増加していることが分かる。（図1）

（図1）過去、何らかのサイバー攻撃の被害に遭った経験があるか

　回答全体を見ると、主な被害は「外部からのサイバー攻撃」（33.9％）や「内部の人為的なミスによる被害」（22.0％）だった。従業員規模が大きくなればなるほど遭遇率も高くなる傾向があるが、被害に遭ったことに「しっかり気付けている」という見方もできる。

　それを裏付けるのが、セキュリティ対策における社内体制の違いだ。

　大企業では8割がセキュリティ対策専門の役員や部門の設置、専任担当者を設けるなど対策する一方で、中小企業ではおよそ半数が「情報システム担当が兼任」している。従業員規模が小さくなるほど「個人に任せている」と回答した割合も高いことから、中小企業が“狙い目”になっている可能性がある（図2）。

（図2）セキュリティ対策の社内体制

　さらに対象を標的型攻撃に絞って「標的型攻撃の対策ソリューションを導入しているか」を聞いたところ、1001人以上の大企業では「導入済み」が78.1％だった一方で100人以下の中小企業では71.4％が「未導入」と回答した（図3）。

（図3）標的型攻撃の対策ソリューションを導入しているか

　対策ソリューションの導入によって、サイバー攻撃の「振り分け」ができている様子も見える。攻撃を受けた経験を詳しく聞くと、対策の進んでいる大企業ほど「自社を狙った攻撃を受けた」「自社狙いかは分からないが、攻撃は受けた」と回答する割合が高い。従業員規模が小さいほど「自社を狙った攻撃を受けたことはない」と回答した割合が高い。不特定多数を対象とした攻撃は中小企業にも届いているはずだが「攻撃を受けた」と認識しづらい状況にあることが分かる。標的型攻撃への対策として、まず「攻撃を受けていることに気付く」ことの重要性が見える（図4）。

（図4）自社を狙った攻撃を受けたことがあるか

攻撃にどこで気付き、どんな被害があったか

　標的型攻撃を受けたことが「ある」回答者を対象に具体的な攻撃と被害を聞いたところ「標的型攻撃メールを受信した」タイミングで攻撃に気付いた例が多く、水際対策ができている様子が見えた。

　具体的な被害には「マルウェア感染（26.0％）」や「情報漏えい（20.8％）」「ランサムウェアによるデータの暗号化（13.5％）」「システムの停止（12.5％）」が上位に上がった。「その他」にはWebサイトの改ざんや不正請求を受けた例、さらに「不正な出金があったが、クラウド事業者が損害を補塡（ほてん）したため金銭的な損失は受けなかった」といった生々しい例もあった。（図5）

（図5）標的型攻撃による具体的な被害

　前述のように、企業におけるセキュリティ被害経験は2019年から20ポイント近く増加しており、相変わらず大きな脅威となっている。テレワークの定着が進む中で、サイバー攻撃もそれに合わせて進化を続けている。こうした脅威に対し企業のセキュリティ対応はどのように変化しているか。後編では、企業の対策や現場の事例を中心に実態を紹介する。