サイバー犯罪とは？
サイバー犯罪とは、コンピューターやネットワーク、またはネットワークに接続されたデバイスを標的とした犯罪行為のことです。
ほとんどのサイバー犯罪は金銭盗取が目的のハッカーによるものですが、稀に利益目的ではなく、コンピューター内のデータを破損させることを目的としたケースもあります。この場合、政治的または個人的な動機に起因した行為と考えられます。
サイバー犯罪を行うのは、先進技術と専門的なスキルを悪用する組織化された犯罪集団や、個人の初心者ハッカーです。
サイバー犯罪の種類は？
サイバー犯罪には次のような種類があります。
- メール詐欺やインターネット詐欺
- 身分詐称（個人情報を盗んで悪用する）
- 財務データまたはカード支払データの盗難
- 企業データの盗用および転売
- サイバー恐喝（攻撃すると脅して金銭を要求する）
- ランサムウェア攻撃（サイバー恐喝の一種）
- クリプトジャッキング（ハッカーが他人のデバイスに侵入し、そのリソースを使用して暗号通貨をマイニングする行為）
- サイバースパイ（企業や政府のデータベースに不正アクセスする）
- ネットワークへの不正侵入（データの改ざんや乗っ取り）
- 著作権の侵害
- 非合法のギャンブル
- インターネット上での違法商品の販売
- 児童ポルノの入手や製造、保有すること
サイバー犯罪行為の主なカテゴリは次の2つです。
- コンピューターを標的としてウイルスやその他のマルウェアに感染させる犯罪行為
- ウイルスやマルウェアに感染したコンピューターを悪用して、他の犯罪を行う行為
コンピューターを標的とするサイバー犯罪は、マルウェアに感染させてデバイス内のデータを破壊したり動作を停止させたりするだけでなく、データの盗用や消去をする場合もあります。
コンピューターやネットワークをユーザーが利用できないようにしたり、ソフトウェアやサービスの提供などのビジネスを妨害したりする行為は「サービス拒否（Dos）攻撃」と呼ばれています。
マルウェアに感染したコンピューターを利用して、他のコンピューターやネットワークにウイルスや違法な情報をばら撒いたり、違法な画像を拡散したりする犯罪行為もあります。
サイバー犯罪者はこれら2つのカテゴリの犯罪行為を同時に行っています。まずコンピューターを標的にしてウイルスに感染させ、次にそのコンピューターを利用して他のマシンやネットワーク全体にマルウェアを拡散させるのです。
一部の管轄区域では、「コンピューターを犯罪の補助的な手段として使用するサイバー犯罪」として第3のカテゴリを定義しています。このカテゴリには、盗んだデータの保管にコンピューターを利用しているといったことが含まれます。
サイバー犯罪の例
サイバー犯罪者が使用する、代表的なサイバー攻撃の例を紹介します。
1. マルウェア攻撃
マルウェア攻撃とは、コンピューターシステムやネットワークを、ウイルスや他のマルウェアに感染させる行為のことです。マルウェアに感染したコンピューターは、サイバー犯罪者によってさまざまな目的に悪用される可能性があります。たとえば、機密データの盗み出し、他の犯罪行為への利用、データに損害を与えるといったことが挙げられます。
マルウェア攻撃の有名な事例は、2017年5月に行われた世界的規模のサイバー犯罪である「WannaCry ランサムウェア攻撃」です。ランサムウェアとはマルウェアの一種で、標的とするコンピューターのデータやデバイスを人質にとり、金銭を要求することを目的として使用されます。
この事例では、Microsoft Windowsを実行しているコンピューターの脆弱性が標的にされました。
この攻撃により、世界150ヵ国で23万台のコンピューターが被害を受けました。ユーザーは自分のファイルにアクセスできなくなり、再びファイルにアクセスするためには「身代金をビットコインで支払え」というメッセージを受け取ったのです。
WannaCryによるサイバー犯罪は、世界中で40億ドル相当の金銭的損失を与えたと推定されています。これは大規模な攻撃と多大な損害を与えたサイバー犯罪として、突出した事例といえます。
2. フィッシング
フィッシングキャンペーンとは、メールの受信者をだまして機密情報やセキュリティ情報を盗むことを目的として、スパムメールなどの悪質な電子メールを送ることです。
メッセージには、ウイルスに感染した添付ファイルや悪意のあるサイトへのリンクが含まれていることがあります。また受信者に機密情報の入力を求めるパターンもあります。
フィッシング詐欺の有名な事例は、2018年のワールドカップ期間中に起こりました。『2018年のFraud World Cup レポート』によると、このワールドカップのフィッシング詐欺では、チケットを購入したフットボールファンの電子メールが標的にされました。
そのスパムメールは、ワールドカップの開催地であるモスクワへの招待旅行を装い、サッカーファンを悪質なサイトへ誘導しようとするものでした。メールを開いてリンクをクリックした人は、個人データが盗まれてしまったのです。
別のタイプのフィッシングキャンペーンとしては「スピアフィッシング」が挙げられます。これは特定の人物をだまして、その人物が働いている組織のセキュリティを危険にさらそうとする、標的型のフィッシングキャンペーンです。
一般的なフィッシングキャンペーンと異なり、スピアフィッシングのメッセージは信頼できる送信元からのメッセージに見えるよう、巧妙に偽造されています。
たとえば、送信者が企業のCEOやIT部門のマネージャーを装ってメッセージの内容もそれらしい体裁になっているため、一見すると偽物であると判断しにくい場合があります。
3. 分散DoS攻撃
分散DoS攻撃（DDoS）とは、サイバー犯罪者がシステムやネットワークの機能を停止させるために実行するサイバー攻撃の一種です。DDoS攻撃をするために、ネットワークに接続されたIoT（モノのインターネット）デバイスが利用されることもあります。
DDoS攻撃は、標準的な通信プロトコルの1つを介して、大量のスパムメールを送信することでシステムに大きな負荷をかけます。サイバー恐喝を行うサイバー犯罪者が、DDoS攻撃をしかけると脅して金銭を要求することもあります。
また、他のタイプのサイバー犯罪を行っている間に、注意をそらす目的でDDoS攻撃を仕掛けることもあります。
有名な事例としては、2017年の英国の国営宝くじサイトを狙ったDDoS攻撃が挙げられます。この攻撃により、宝くじのWebサイトとモバイルアプリがオフラインになり、イギリス国民がチケットを購入できなくなりました。
攻撃の背後にある理由は不明のままですが、国営宝くじを脅迫することが目的であったとされています。
サイバー犯罪の影響
近年、個人情報が盗まれる犯罪が増えています。『アクセンチュアのサイバーセキュリティレジリエンス2021 の現状レポート』によると、セキュリティ攻撃は2020年から2021年にかけて31％増加しました。
企業あたりの攻撃数は206件から270件になり、前年同期比で増加しました。企業は顧客からの機密データや個人情報を大量に保存しているため、サイバー攻撃を受けると多くの個人にも影響を与えます。
保険会社のHiscoxによると、データ侵害、マルウェア、ランサムウェア、またはDDoS攻撃のいずれであっても、単一の攻撃を受けた場合、企業の規模に関係なく平均20万ドルの費用がかかると試算されています。そのため、被害を受けた多くの企業はサイバー攻撃から6か月以内に廃業するといわれています。
Javelin Strategy & Research（ジャベリン・ストラテジー＆リサーチ）が発表した『2021年のID詐欺に関する調査』によると、2020年のID詐欺による損失総額が560億ドルであることが明らかになりました。
個人や企業にとって、サイバー犯罪の影響は深刻なものであり、金銭的損害だけでなく、信頼の喪失や評判の低下にもつながるのです。
サイバー犯罪の報告方法
サイバー犯罪の報告方法を地域別に紹介します。
・日本でのサイバー犯罪
インターネット・ホットラインセンターに報告してください。詳細については、internethotline.jp をご覧ください。
サイバー犯罪から身を守る方法
サイバー犯罪の標的にされないためには、どのようなことに注意すればよいのでしょうか。サイバー犯罪からコンピューターと個人データを守るために役立つヒントを紹介します。
1. ソフトウェアとオペレーティングシステムを最新の状態に保つ
ソフトウェアとオペレーティングシステムを常に最新の状態に保つことが重要です。
コンピューターを保護するためには、最新のセキュリティパッチを適用してください。
2. スパムメールの添付ファイルは絶対に開かない
知らない送信者からのメールや添付されたファイルは、絶対に開かないでください。サイバー犯罪者はスパムメールの送信やマルウェアを仕込んだ添付ファイルなど、古典的な方法で標的を狙っています。
3. スパムメールや信頼できないWebサイトのリンクをクリックしない
メールに含まれるリンクを、むやみにクリックしてはいけません。
スパムメールやメッセージに含まれるリンクや、よく知らないWebサイトのリンクをクリックしただけで、サイバー犯罪の被害に合う可能性があります。安全にインターネットを利用するためにも、このようなことは避けてください。
4. 安全が確保されていない限り、個人情報を伝えない
電話回線やメールの安全性を担保できない環境においては、そうしたチャネルで個人データを伝えてはいけません。やりとりしている相手が、本当に信頼できる相手なのかを確認してください。
5. 要求が疑わしいときは会社に直接問い合わせる
電話をかけてきた相手が企業名を名乗って個人情報を聞いてきた場合、いったん電話を切ってください。電話の相手がサイバー犯罪者ではなく、本当にその企業に所属している人かどうかを確認しなくてはなりません。
企業の公式Webサイトに記載されている番号に、電話をかけ直して確認してください。サイバー犯罪者は回線を開けたままにする可能性があるため、別の電話を使うとよいでしょう。これは電話をかけ直したつもりでも、相手が銀行や組織の人間に成りすましている可能性があるからです。
6. 自分がどのWebサイトのURLにアクセスしているのかに注意する
クリックしようとしているURLをよく確認してください。見たことのないリンクや、スパムのように見える URLをクリックしてはいけません。
利用しているインターネットセキュリティ製品にオンライン取引を保護する機能がある場合は、その機能が有効になっていることを確認してから金融取引を行ってください。
7. 銀行の取引明細を確かめる
知らないうちにサイバー犯罪に巻き込まれてしまうこともあります。自分が被害者になったことにすぐ気づくためには、銀行の取引明細を必ず確かめることが重要です。
身に覚えがない取引がある場合は、すぐにその銀行に問い合わせをしてください。銀行がその取引が不正なものであるかどうかを調査してくれます。
優れたウイルス対策は、サイバー犯罪の脅威からあなたを守ります。Kaspersky Premiumの詳細情報をご覧ください。
8. アンチウイルス製品を利用し、常に最新の状態に保つ
アンチウイルス製品や、「カスペルスキー セキュリティ」 のような包括的インターネットセキュリティ製品の使用は、システムを攻撃から守るために有効な手段といえます。
アンチウイルス製品によって問題となる脅威を、事前にスキャンして検知し削除することができます。こうした対策によってコンピューターやデータをサイバー犯罪から守れるため、常に安心して利用できるでしょう。
9. 強力なパスワードを使用する
他人に推測されにくい強力なパスワードを使用してください。設定したパスワードを紙に書いて保管しておくと盗み見される可能性があります。信頼できるパスワードマネージャーなどを利用して、強力なパスワードをランダムに生成して利用するとよいでしょう。
「カスペルスキー パスワードマネージャー」は、IDとパスワード、クレジットカード情報などを暗号化して保管できるパスワード管理ツールです。覚えるのはメインパスワードひとつだけでよく、便利かつ安全に情報を管理できます。ぜひご検討ください。
