脅威と脆弱性

盗聴は「見られる」、改ざんは「変えられる」——
守る要素でいえば、盗聴は機密性、改ざんは完全性を損なう。

技術ではなく、人の心理や行動の隙をついて情報を得る手口

• 上司や取引先、システム管理者を装って電話で聞き出す
• 肩越しに画面やキー入力をのぞき見る（ショルダーハッキング）
• ごみ箱から書類を持ち出す（トラッシング）

だまされるのが人なので、機械の対策では止まらない。
本人確認の手順を決め、書類は裁断し、教育で守る。

取引先や経営者になりすまし、偽の請求や送金指示のメールを送って
お金をだまし取る詐欺（BEC：Business Email Compromise）

実際の取引の流れに紛れ込むので、
ばらまき型の迷惑メールと違って見抜きにくい。

対策は、メールだけで送金を完結させないこと。
振込先の変更などは、電話など別の経路で相手に確かめる。

情報漏えいの原因は外部からの攻撃とは限らない。
内部不正や、メールの誤送信・PC の紛失といったうっかりからも起きる。

内部の人は正規の権限を持っているので、外からの攻撃より気づきにくい。

どちらも「開かせる・クリックさせる」ことが攻撃の第一歩になっている。

ボット ＝ 感染した端末を、外部から遠隔操作できるようにするマルウェア

C&C サーバ（Command and Control サーバ）＝ ボットに指令を出す攻撃者側のサーバ

感染した多数の端末（ボットネット）が C&C サーバの命令で一斉に動き、
DDoS 攻撃や迷惑メールの送信に使われる。

自分の端末が、知らないうちに攻撃の加担者になるのが特徴。

トロイの木馬は「入り方」の名前、
スパイウェア・キーロガーは「入ったあと何をするか」の名前。

正規の認証を経ずに侵入できるよう、こっそり仕掛けられた裏口

いったん作られると、
最初に侵入された穴を塞いでも、攻撃者は裏口から入り続けられる。

侵入を受けたら、穴を塞ぐだけでなく
仕掛けられたものがないか調べる必要があるのはこのため。

データを暗号化して使えなくし、元に戻すことと引き換えに
金銭（身代金）を要求するマルウェア

さらに「払わなければ盗んだデータを公開する」と脅す手口もある
（二重脅迫）。

身代金を払っても復旧できる保証はない。
備えは、感染前にとっておくバックアップ。

実行ファイルを保存せず、メモリ上や OS に元からある正規のツールを使って動くマルウェア

多くのマルウェア対策ソフトはファイルを調べて見つける。
ファイルが残らないので、その網にかかりにくい。

対策には、端末の振る舞いを見張る仕組み（EDR など）が向く。

セキュリティホールは修正プログラムで塞げる。
シャドー IT は管理者が存在を知らないので、対策も監視もできない。
使う本人に悪意がなくても、情報がどこへ出たか追えなくなる。

盗まれた情報はお金に換えられる——
それが攻撃の動機になっている。

不正は次の 3 つがそろったときに起きる、という考え方。

組織が最も手を打ちやすいのは「機会」——
権限を必要最小限にし、作業を複数人で確認し、ログを取ってそれを周知する。