このレッスンからは、具体的なサイバー攻撃の手口について学習します。
まずは、
- マルウェア
- スクリプト攻撃
について学習しましょう。
マルウェア
サイバー攻撃と聞いて、
多くの人がまずはじめに思い浮かべるのがマルウェアです。
マルウェアはコンピューターウイルスやワームなど、
いくつか種類がありましたね。
企業や組織のデータを暗号化し、
復号の対価として身代金を要求するランサムウェアも、
近年は被害が増えています。
データのバックアップがない、
またはバックアップも暗号化されてしまった場合には、
身代金を払う組織もありますが、
身代金を払ったところで、感染したパソコンやサーバーが元通りになるか、
保証はありません。
※マルウェアやランサムウェアについてはLesson4-7で既習なので、
復習しておくと良いでしょう。
スクリプト攻撃
スクリプト攻撃とは、Webサイトの脆弱性を悪用し、
不正なスクリプトを実行させるサイバー攻撃です。
次の2つのスクリプト攻撃は、以前より脅威となっています。
※「スクリプト」とは、すぐに実行できる簡易プログラムの一種です。
SQLインジェクション
SQLインジェクションは、
Webサイトに不正にアクセスするサイバー攻撃です。
具体的には、Webサイトに入力する内容に特殊な記号を入れ、
不正なリクエストを送ることで、情報を引き出します。
例えば、検索サイトのキーワードや、
会員登録で入力するメールアドレスやパスワードなどがありますが、
この入力に特殊な記号を含ませ不正なリクエストをすることで、
アプリケーションから想定外の非公開データなどを引き出せてしまうのです。
会員のユーザーIDやパスワードの一覧が引き出された場合、
会員のアカウントが乗っ取られ、
ユーザーが被害に遭ってしまいます。
SQLインジェクションは開発時のチェック漏れなどが原因です。
攻撃のしくみを理解して脆弱性診断（※）を強化するなどの対策が必要です。
（※）脆弱性診断とは、システムのセキュリティ上の問題点を検出したり、
サイバー攻撃へのシステムの耐久力を調べること。
クロスサイトスクリプティング
クロスサイトスクリプティングとは、
Webサイトの脆弱性につけ込んで不正なスクリプトを埋め込み、
サイトを閲覧したユーザーに実行させるサイバー攻撃です。
掲示板やブログ、Webサイトの検索画面などで発生します。
例えば、何も知らないユーザーが、
攻撃者が罠を仕かけた正規のWebサイトを閲覧します。
そこに貼り付けられた、
正規サイトへのリンクに見せかけた偽サイトへのリンクを、
ユーザーがクリックします。
するとユーザーのパソコンでスクリプトが実行され、
ユーザーの情報を盗み出す処理が行われてしまいます。
自動的に行われてしまうため、
ユーザーは被害に遭っていることに気がつかないこともあります。
安全なはずの、正規のWebサイトなどを経由したサイバー攻撃なので、
ユーザーが気がつくのも難しいのです。
何も知らないユーザー側としては、
疑わしいリンクはクリックしないのが防衛の方法です。
主なサイバー攻撃のうち、
マルウェアとスクリプト攻撃について解説しました。
次のレッスンでも引き続き、
攻撃の手口について学習していきましょう。
