１位　ランサムウェアによる被害

出典：ＩＰＡ

PCやサーバー内のデータ窃取や暗号化、窃取した情報の暴露予告を行い、これらを取引材料とした様々な脅迫により金銭を要求する攻撃をランサム攻撃という。ランサムウェアは「組織向け脅威」として11年連続で選出されており、危険視されているサイバー攻撃です。

ランサム（ransom）が「身代金」を意味するとおり、攻撃者は標的組織のＰＣ等に保存されたデータやファイルを暗号化して人質として扱い、その復旧と引き換えに金銭を要求します。

定期的なバックアップ対策や従業員に対するセキュリティ教育を徹底するなど、予防策を講じておくとともに、被害が発生した場合でも迅速に対応できる体制づくりをしておくことが必要です。

ランサムウェアとは？
連載記事①～多様化する攻撃手法
連載記事②～数字でみる国内組織の被害実態
連載記事③～組織で行う予防対策

２位　サプライチェーンの弱点を悪用した攻撃

出典：ＩＰＡ

「サプライチェーン」とは「供給連鎖」と訳されます。商品や製品が消費者に届くまでの一連の流れのことで、原材料の調達から販売まで様々な組織が関わっています。

攻撃者は、標的とする組織が属するサプライチェーンの中で、セキュリティ対策が甘い組織を足がかりに攻撃を仕掛けます。そして標的組織の取引先や委託先から、機密情報を入手しようとするのです。

そのため最初に侵入された組織は被害者でありながら、同時に取引先への攻撃に加担する側にもなってしまいます。このような被害を予防するためには、自組織だけでなく、委託先や利用しているサービスについても適切な管理が必要です。

３位　ＡＩの利用をめぐるサイバーリスク

出典：ＩＰＡ

生成ＡＩの進化と普及に伴い、様々な問題、懸念が浮上している。例えば、ＡＩに対する不十分な理解による、意図しない問題として他者の権利侵害、情報漏えい、ＡＩが加工・生成した結果を十分に検証せず鵜呑みにすることにより生じる問題、ＡＩの悪用によるサイバー攻撃の容易化、手口の巧妙化などがあげられます。

ＡＩ活用は国内でも急速に進んでいるが、ＡＩシステムの脆弱性を狙った攻撃やＡＩ悪用によるサイバー攻撃の高度化といったリスクも指摘されています。また、生成ＡＩの業務利用では、生成内容の正確性を確認せず使用することによるトラブルにも注意が必要です。

４位　システムの脆弱性を悪用した攻撃

出典：ＩＰＡ

脆弱性対策情報の公表は、利用者に対して対策の必要性を周知できる一方、攻撃者に悪用される可能性もあります。近年は脆弱性の発見から攻撃までの期間が短くなっており、情報が公開された際には迅速な対策が重要です。

５位　機密情報を狙った標的型攻撃

出典：ＩＰＡ

標的型攻撃とは、特定の組織（民間企業、官公庁、団体等）に対して行われるサイバーエスピオナージ（サイバー諜報活動）であり、主に機密情報の窃取を目的としています。攻撃者は社会の動向や慣習の変化に合わせて攻撃手口を変える等、標的とする組織の状況に応じた巧みな攻撃手法で目的を果たそうとします。

６位　地政学的リスクに起因するサイバー攻撃
（情報戦を含む）

出典：ＩＰＡ

地政学的リスクとは、地理的・政治的な関係から生じる国家間の政治・軍事的な緊張によるリスクを指します。こうした対立を背景に、社会的混乱の誘発や機密情報の窃取、外貨獲得などを目的とした国家によるサイバー攻撃が行われる場合があります。また、SNSを通じて偽情報を拡散し、他国の評判を貶める影響工作が行われることもあります。

７位　内部不正による情報漏えい等

出典：ＩＰＡ

内部不正による情報漏えいには、従業員や元従業員など内部関係者による意図的な情報持ち出しやデータ削除だけでなく、規則違反による情報持ち出しや不注意による紛失なども含まれます。こうした不正行為は、組織の社会的信用の失墜や損害賠償などの経済的損失を招く可能性があり、不正に取得された情報を利用した組織や個人も責任を問われる場合があります。

８位　リモートワーク等の環境や仕組みを狙った攻撃

出典：ＩＰＡ

リモートワークの普及により、多くの組織で業務環境のオンライン化が進みました。一方で、外部からの攻撃対象領域（アタックサーフェス）が拡大したことで、それらを狙ったサイバー攻撃も増加しています。

９位　DDoS攻撃(分散型サービス妨害攻撃)

出典：ＩＰＡ

DDoS攻撃（分散型サービス妨害攻撃）は、攻撃者が乗っ取った多数の機器で構成されるボットネットから、大量のアクセスを一斉に送りつける攻撃です。これによりWebサイトなどのサービスが高負荷状態となり、応答遅延や機能停止が発生するなど、サービス提供に支障が生じるおそれがあります。

10位　ビジネスメール詐欺

出典：ＩＰＡ

ビジネスメール詐欺（BEC）は、攻撃者が標的組織や取引先の従業員になりすまして虚偽のメールを送り、偽の口座へ送金させるサイバー攻撃です。近年は生成ＡＩを悪用した手口も増えており、CEOを装った詐欺など、より巧妙な攻撃への対策が求められています。