神戸大・森井名誉教授が指摘する2025年のセキュリティ脅威動向

「Kansai」「Osaka」を含む社名は要注意　大阪・関西万博に便乗するサイバー攻撃

未だ“正しく”理解されていないランサムウェア攻撃

　森井氏からは直近のサイバー攻撃の動向についても語られた。まずは、「誰もがサイバー攻撃ができる時代になっている」ことだ。

　2024年11月には、スポーツジムの検索サイトにDDoS攻撃を行ったとして、中国籍の夫婦が逮捕された。この夫婦はサイバー攻撃に関する知識はなく、DDoS攻撃を代行業者に依頼。支払った料金は、攻撃1回あたりわずか約1万5000円だったという。

　代行業者を含めて、誰もが安易にサイバー攻撃に踏み切れるようになったことで、脅威がより身近に迫っているという。森井氏が挙げたのが、「ボイスフィッシング」だ。この攻撃は、銀行をかたる自動音声で電話をかけ、フィッシングサイトへと誘導するものだ。山形県の複数の組織が被害に遭い、被害総額は数億円に達している。

ボイスフィッシングの手口

　森井氏は、「空間・時間の制限がある現実で、防犯意識もあり、対策を講じている状況でも、犯罪被害に遭ってしまう」と指摘する。例えば、2020年には空き巣が4万件以上、約10分に1件発生した。それならば、空間・時間の制限のないサイバー空間は、世界中の犯罪者から狙われないわけがない。さらに、誰もが攻撃できるようになったことが、攻撃の増加に拍車をかける。「ランサムウェア攻撃でさえ、やろうと思えば簡単にできてしまう」（森井氏）。

　2つ目の動向は、「ランサムウェアが正しく理解されていない」ことだ。IPAの「情報セキュリティ10大脅威（組織向け）」では、2021年から2025年まで1位に選出され、影響の大きさは確立されているランサムウェア攻撃。一方で、さまざまな面で未だ「理解されていない」（森井氏）という。

　まず、ランサムウェア攻撃の本質は、「データ暗号化」「情報漏えい」だけではなく、「攻撃が認識できないこと」だという。

　企業のシステムに侵入したランサムウェアは、アンチウィルスを無効化したり、ログを消去したりして、自身を隠す。「ここが大きなポイントで、気づかれない間に、情報を分析して、窃取して、攻撃の踏み台にして、バレそうになったらデータ暗号化や情報漏えいに取り掛かる」と森井氏。

ランサムウェア攻撃のプロセス

　実際に、2024年5月に発生した岡山県精神科医療センターのランサムウェア被害では、発覚の1年前から原因不明の障害が起きており、その時点から攻撃を受けていた可能性があるという。実際の侵入後も、1週間経ってから暗号化を実行されている。

　ランサムウェア被害の状況も、レポートなどで公開されている以上に深刻だという。警察庁のレポートでは、2024年の被害件数は244件（ノーウェアランサム含む）とされているが、これはあくまでも報告された件数だ。被害を届け出なかったり、被害に気づいていない中小企業も多く、「この100倍くらいは当然にある」と森井氏。

ランサムウェア被害の推移（警察庁レポート）

　最後に森井氏が強調したのは、「ランサムウェア被害後の対応」だ。

　例えば、2025年2月4日にランサムウェア感染して、6日にリークサイトで情報が公開されたある企業は、幹部の身分証明書まで漏えいしているにも関わらず、未だに被害を公表していない。別の漏えいが明らかな自動車部品会社は、2025年2月17日にシステム障害の発生、3月1日にシステムの復旧を公表しているが、ランサムウェアとは記述していない。

　森井氏は、「ランサムウェア攻撃をどう防ぐかという話が多いが、重要なのは被害後の対応。復旧対策と対外公表を、被害を想定した上で事前準備すべき」と語った。

■関連サイト

• キヤノンITソリューションズ