～ランサムウェアと不正なメールへの対策～
企業にとって、事業継続を揺るがす脅威は自然災害だけにとどまりません。今回は、もうひとつの脅威である「サイバー攻撃」について考えてみましょう。
サイバー攻撃は、脆弱性対策などの予防措置を行うことで、発生リスクをあらかじめ低減させることが可能です。逆に言えば、確かな対策を行わなければ、大きな障害が発生するリスクを秘めています。「サイバー攻撃は他人事」と思っている業界や企業こそ、今一度その意識を見直す必要があるのです。
日本国内のネットワークに向けられたサイバー攻撃関連通信の件数は年々増加しています（出典：国立研究開発法人情報通信研究機構「NICTER観測レポート2020」）。攻撃対象も幅広くなってきており、業界や企業の規模にかかわらず、あらゆる企業が脅威にさらされていると言えます。
ここでは、病院で起きたサイバー攻撃の事例を二つご紹介します。
大阪の基幹病院である大阪急性期・総合医療センターでは、「ランサムウェア」とよばれる身代金要求型のウイルスによるサイバー攻撃を受け、電子カルテなどのシステムに障害が発生して閲覧できなくなりました。この影響で、通常の外来診療や緊急以外の手術を停止せざるを得なくなり、救急患者の受け入れもできない状況に陥りました。さらに、システム障害
は会計や薬の処方のためのシステムにも及び、全面復旧までに約2か月を要しました。
その後の調査で、当病院はサイバー攻撃への対策が不十分であるという課題が浮き彫りになり、サーバを設置した会社や電子カルテを販売したベンダーは強い批判を受ける事態となりました。
ご紹介した事例はどちらも病院ですが、当然病院以外にも、さまざまな企業・機関がサイバー攻撃を受けています。「うちの企業は○○だから大丈夫」という意識の低さがシステムの脆弱性を放置し、結果的にウイルスの侵入を招いてしまいます。サイバー攻撃はもはや誰にとっても他人事ではなく、事前に対策を講じることは企業の信頼を保つために不可欠なのです。
サイバー攻撃の中でも、昨今特に注目されているのが「サプライチェーン攻撃」です。サプライチェーンのプロセスのなかで、セキュリティ対策が手薄な企業を起点として、標的とする企業を攻撃する手法を「サプライチェーン攻撃」と呼びます。
サプライチェーン攻撃の恐ろしい点は、重要取引先である他企業に対しても大きな被害を与えてしまうことです。
有名な事例として、自動車部品を供給するサプライチェーンの1社で脆弱な機器に対する不正アクセスをきっかけに、サーバやパソコン端末がマルウェア被害を受け、その結果自動車メーカの国内全工場の停止に至ったというケースがあります。
サプライチェーンが構築されている場合、サイバー攻撃の結果、信頼を失うだけでなく、取引の中止を余儀なくされることもあるのです。
では、こうしたサイバー攻撃に対して、企業は何ができるのでしょうか？
サイバー攻撃に使われる多くのウイルスは、メールから侵入することが多いと言われています。取引先等のふりをしてウイルスを仕込んだメールを送り、そのメールを開かせたり添付ファイルをダウンロードさせたりすることでウイルスに感染させます。
この手口は、部署や役職に関係なく、組織内のすべての構成員に対して仕掛けられます。こうした攻撃には、社員への定期的な注意喚起やセキュリティ教育を行い、セキュリティリテラシーを向上させることが唯一の有効な手段になります。
不正なメールを見抜くには、以下6点に気を付ける必要があります。
① 取引をしたことのない会社からのメールが来ていないか。また、社内の通知メールにもかかわらず、外部のメールアドレスから送信されていないか。
② 話題により興味を引こうとしたり、有用な情報提供を装ってURLをクリックさせるよう誘導していないか。
③ 覚えのない請求書などが添付されてきていないか。
④ 内部の通知だがURLが外部のサイトになっていないか。
⑤ 知人など知っている者からのメールだが、文体が通常と異なっていないか。
⑥ 署名欄が変わっていないか。
今や、すべての組織・企業が常にサイバー攻撃の脅威にさらされています。その影響は、攻撃を受けた企業だけにとどまらず、関係組織にまで波及する恐れがあります。
サイバー攻撃は、予防措置を行うことで発生リスクをあらかじめ低減できます。まずは、不審なメールやファイルを開かず、すぐに社内システム担当者へ連絡する体制を整えることから始めてみましょう。