情報セキュリティの事故の重大性と取るべき対策を効率よく学ぶ方法は、事故事例を参考にすることです。情報の流出はあってはならないことですが、不注意や企業の対策不足などによりどうしても発生してしまうものです。事故事例を参照し、なぜ事故が起こってしまったのか、どうすればその事故は防げるのか、自社に事故事例に近い状態となりうる要素はないか、ということを検討していきましょう。
今回の記事では、情報セキュリティの事故事例を紹介します。
- 1. 東京都の製造業におけるランサムウェア感染のケース
- ①ランサムウェアとは
- ②感染の経緯と影響
- ③再発防止策
- 2. サイバー攻撃によりウイルス感染してしまった事例
- ①標準型攻撃メールとは
- ②状況と経緯
- ③対策
- 3.まとめ
1.東京都の製造業におけるランサムウェア感染のケース
一例目に紹介するのは、東京都の製造業でメールの添付ファイルを開いたことがきっかけでランサムウェアに感染してしまったケースです。同社が行った対策と併せて紹介します。
① ランサムウェアとは
メールの添付ファイルを開いたことをきっかけに、パソコンが感染してしまったランサムウェアについてご存知でしょうか？ランサムとは、身代金を意味する英語で、ランサムウェアに感染したPCは、画面がフリーズし「このPCはウイルスに感染したため、対策ソフトを導入しない限り復旧できません」という警告文書と、セキュリティソフト購入を促す文章が表示されます。しかし、表示通りに支払いをしたとしても、復旧するとは限りません。逆に、ウイルス作成者の利益になってしまうため、絶対に支払いを行ってはいけません。
ランサムウェアに感染してしまうと、多くの場合、どのような対策を取っても復旧が困難であり、最終的にPCを交換せざるを得なくなることが多いです。
② 感染の経緯と影響
この事例の会社は、東京都で自動車部品を製造しているメーカーです。事故が起こる以前から、自動車の完成品メーカーより同社から送信されたメールがウイルスに感染されていたことを指摘されるケースがありましたが、具体的な対策を取っておらず、スタッフの情報セキュリティに関する意識が低かったことが事故を招いた最大の理由だと考えられます。海外のアドレスから送信されたメールの添付ファイルを、スタッフが何気なく開いたことによってランサムウェアに感染しました。
こちらの事例では、メールを開いたPCが使用不能になってしまい、買い替えを行う羽目になってしまいました。この事例では起こりませんでしたが、最悪のケースでは社内のネットワーク上につながっているPCや取引先にも同様の被害を生じさせてしまったり、PC使用不能により重要なデータが取り出せなくなってしまったりするケースもあります。
③ 再発防止策
再発防止のため、以下のような対策がなされました。
・完成車メーカーの指定するシステム対策メーカーに依頼し、全てのPCにシステム対策ソフトを導入しました。完成車メーカーは情報セキュリティレベルが非常に高いため、その指定業者は安心して対策を任せられる業者です。
- 全スタッフに、メールの送信元の企業名の確認を徹底しました。
- 完成車メーカーからメールで届く重要なデータや会計上のデータなど機密データは社内のデータから分離することで安全性を高めました。
- 情報漏洩防止のため、あえて発注データのバックアップは取らず、万が一事故が起こった際には発注元の控えデータを利用することによりデータの復旧を行うようい取り決めを行った。
2.サイバー攻撃によりウイルス感染してしまった事例
福井県のオフィスサプライ用品のインターネット通販を行っている会社で、標準型攻撃メール（サイバー攻撃）によってウイルスに感染してしまった事例を紹介します。
① 標準型攻撃メールとは
標準型攻撃メールとは、特定の企業・団体に向けて行われるサイバー攻撃です。不審なメールを開かないような徹底がされている場合であっても、実在する取引先や社内のスタッフに成りすましてウイルスメールが送信されるケースや、日常業務のやり取りを真似たメールが送信されるケースがこれにあたります。
他のサイバー攻撃と同様、添付ファイルを開くとウイルスに感染し、情報が抜き取られてしまうなどの被害が生じます。
② 状況と経緯
同社では、情報セキュリティ対策の研修を定期的に実施しており、個人情報を適切に取り扱う体制を示すプライバシーマークを取得しているにもかかわらず、標準型攻撃メールによってコンピュータウィルスに感染しました。
情報の漏洩などの実害はなかったものの、万が一情報漏洩が生じてしまっていた場合には、被害額が数千万円規模にのぼる恐れがあったことが試算されました。
対策
事故をきっかけに以下の対策が取られました。
- より強固なウイルス対策ソフトへの変更
- 個人情報を取り扱うPC使用時の本人認証システム（静脈認証システム）の導入
- スタッフへのダミーメールによる標準型攻撃メールの抜き打ちテストの実施
3.まとめ
いかがでしたでしょうか？
今回紹介した事例では、それほど実害の大きな事例ではありませんでしたが、メールの添付ファイルを開くだけで企業の存続を揺るがしかねない非常事態に陥る可能性があることがお分かりいただけたかと思います。
また、セキュリティ対策を十分に施していると思われる企業でさえ、情報漏洩のリスクは常に隣り合わせであり、決して油断・慢心できないことがお分かりいただけたかと思います。
ウイルスを始めとしたサイバー攻撃は日々進化していますので、できる限り最新の個人情報セキュリティの情報を把握し、社内で共有・学習することが有効な対策となります。
出典：独立行政法人 情報処理推進機構「中小企業における 情報セキュリティ対策の実態調査 – 事例集 –」
https://www.ipa.go.jp/files/000060549.pdf