ウェブサイトやオンラインサービスを標的にしたサイバー攻撃が、今年の夏に過去最大級の猛威を振るっていたことが、セキュリティ企業による最新調査で明らかになった。
わずか3カ月で検知された攻撃は5億4,400万件を超え、特に7月下旬には「一夜にして平常時の50倍」という異常な急増が観測された。
これはクラウド型セキュリティサービスを提供する「サイバーセキュリティクラウド（CSC）」社によるデータ分析が情報源。
「日常の50倍」攻撃が押し寄せた夜
7月23日から24日のあいだは、通常1日数千から数万件程度の攻撃が、数時間で数十万件規模に膨れ上がっていた。
「まるで嵐のような攻撃波だった」と、CSCの担当者は説明している。
原因は、自動化されたボットネット（悪意のあるプログラムが連携したネットワーク）による無差別スキャンによるもので、世界中のサーバーを調べ、脆弱性（セキュリティの穴）を見つけようとする「探索活動」だったとみられる。
攻撃の種類も以下のような例が確認されている。
・SQLインジェクション
データベースに偽の命令を入れて個人情報などを盗み出す手口
・クロスサイトスクリプティング
ウェブページに悪意のコードを埋め込み、利用者を騙す攻撃
・SSRF
サーバー内部の機密情報に不正アクセスする高度な手法
特にSSRFは前年比13倍以上に急増しており、クラウドサービスが増える中で設定ミスが悪用されやすくなっているという。
ターゲットは大企業だけではない
「大企業だけじゃない。中小企業のオンラインショップや自治体のウェブサイトも標的です」
CSCのレポートによると、攻撃は特定の企業を狙ったものではなく、世界中にばらまかれる「無差別型」。
日本国内のウェブサイトも数多く巻き込まれている。
「攻撃が成功すれば、個人情報の流出、サイトの改ざん、サービス停止――最悪の場合、事業そのものが止まります」と警告されている。
実際、過去には攻撃を受けた企業が数日間サービスを停止し、大きな損失を出した例もある。
何ができる？取るべき対策
今すぐできる対策は以下の通り。
・パスワードの強化
使い回しをやめ、長いパスワード＋2段階認証を
・ソフトウェアの更新
OSやアプリは常に最新版に
・不審なメール・リンクに注意
クリック前に本当に信頼できるか確認
・企業はWAF（Web Application Firewall: ウェブアプリケーション・ファイアウォール、ウェブサイトやアプリへの不正侵入を自動検知・ブロックするツール）の導入
自動で攻撃を防ぐ仕組みをウェブサイトに設置
CSCは「セキュリティは『もしも』ではなく『いつか』来るもの」と強調。
レポートでは、開発段階からセキュリティを組み込む「セキュア・バイ・デザイン」の考え方も推奨している。
11月7日に発表されて以降、ニュースやSNSで大きく取り上げられており、「自分の会社のサイトも危ないかも」「情シス（情報システム部門）に見せなきゃ」といった現場の声が相次ぐ。
また「ネットショッピング、大丈夫？」という不安の声も広がっている。
【参考記事】
https://www.cscloud.co.jp/
