図1 情報セキュリティ10大脅威 2022
出典: 独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2022」(https://www.ipa.go.jp/security/10threats/10threats2022.html)より

「標的型攻撃」とは、不特定多数を狙った攻撃ではなく、特定の組織や個人をターゲットとして情報を盗み取ろうとするサイバー攻撃のことを言います。

標的型攻撃は、必ずしもメールでの攻撃とは限らず、いわゆるゼロデイ攻撃やバックドアなどの攻撃手法を組み合わせたものもありますが、大きな事件に繋がっている標的型攻撃の発端は、大半がメールによるものであり、これを「標的型攻撃メール」と言います。

メールによる攻撃は減少傾向にありますが、ゼロになった訳ではありません。また、「標的型攻撃」は、IPA（独立行政法人 情報処理推進機構）が選出した「2021年に発生した社会的に影響が大きかったと考えられる情報セキュリティの10大脅威」において2位となっており、今後も注意が必要な脅威と言えるでしょう。

「標的型攻撃メール」を見分けることは簡単ではありません。以前までよく見られた「スパムメール」や「フィッシングメール」であれば、差出人が怪しい、本文が不自然な日本語や他の言語（英語や中国語など）であることから簡単に見抜くことが出来ました。しかし、標的型攻撃メールでは、業務で実際にやり取りしているメールに酷似した差出人や件名、本文、署名が使われているなど、簡単に見分けることができません。

具体的な標的型攻撃メールの例をご紹介しましょう。攻撃者がターゲットとなる会社の社員に対して、取引先の人物になりすまし、「先日の資料をお送りします」といった業務に関連するようなメールを送信します。すると、受信した社員がそのメールを疑うことなく、添付ファイルを開封、または、メール本文中のリンクにアクセスしてしまうことで、マルウェアに感染し、機密情報が流出してしまうのです。

その他にも、一部の社員のみに権限が与えられている機密情報を盗み取るために、その周囲の不特定多数が段階的に狙われるような事例も見られるようになってきています。

標的型攻撃メールの件数は年々増加傾向にあり、その中でも送信元メールアドレスの偽装などにより実在人物に成りすますメールが増加しています（警察庁「平成29年中におけるサイバー空間をめぐる脅威の情勢等について」より）。

ここでは、近年大きく事件として取り上げられた代表的な被害事例を紹介します。

では、実際に貴社の社員が「標的型攻撃メール」の被害にあった場合、まずはどのような対応をしなければいけないでしょうか。原因究明に時間がかかることもありますし、会社ポリシーによっても対応策は変わってきますが、例として以下にいくつかの対応方法をご紹介します。

先にご紹介した2件の被害事例において、被害を受けた原因は標的型攻撃メールに担当者が気づかず、見分けられなかったことでした。自社のセキュリティ対策を強化することや、社員に標的型攻撃メールを見抜くための教育を実践することで標的型攻撃の被害に遭う確率は大きく減らすことができます。

しかし、社員全員が標的型攻撃メールを完全に見分け、被害を出さなくするのは非常に困難です。被害をゼロにするのは難しいことですが、攻撃を受けた際に社員がどのような対応をすればいいかをルール化し、社員全員に周知・徹底させ、しかもマルウェアへの感染が発覚した際にそれを素早く検知できれば、被害を最小限に抑えることはできます。

標的型攻撃メールへの対策について、以下にまとめてみました。