サイバーセキュリティ月間は、これまた毎年恒例の「情報セキュリティ10大脅威」の公開から始まります。今回も「組織」向け、そして「個人」向けに、注目すべき“10の脅威”がリストアップされています。

　これは、情報セキュリティ分野の研究者、企業の実務担当者など約200人のメンバーで構成される「10大脅威選考会」が脅威候補に対して審議／投票を行い、決定したものです。識者や現場の担当者が選ぶものですので、内容には説得力があるはずです。

　まずは、組織向けの脅威をチェックしてみましょう。

　実は、ここ数年の10大脅威は“あまり代わり映えしない脅威”が並んでいることがほとんどでした。ランサム攻撃はいまだに続いていますし（なんと10年連続ランクイン！）、サプライチェーンを狙う攻撃、脆弱（ぜいじゃく）性を狙う攻撃は激しくなる一方で、おそらく皆さんも「あの脅威は懐かしい」というものが思い浮かばないはずです。

　新しいタイプの脅威というのは実際のところあまりなく、これまでの手法の組み合わせや、沈静化していたものが再び激しくなったというものがほとんどです。そのため、脅威の種類としては“さほど変化がない”状況だといえます。

　そのような中、今回は2つの脅威に注目してみました。それは初選出の「地政学的リスクに起因するサイバー攻撃」と、5年ぶり6回目の選出となる「分散型サービス妨害攻撃（DDoS攻撃）」です。これらの脅威は皆さんも何となく想像がつくかと思います。

　地政学リスクに起因するサイバー攻撃は、一言で言えば「戦争」です。サイバー空間における戦争は、現実の戦争よりも早いタイミングで、ひそかに行われます。国家が背景にあるため、その技術は最高峰のものであり、まだ誰も発見していないゼロデイ脆弱性を駆使するなど、検出も対策も難しいものです。

　できることは、ランサム攻撃対策、サプライチェーン攻撃、脆弱性対策、内部不正対策といった、これまでランクインしている各脅威に向けた対策をとることであり、それがより一層重要になります。ある意味、国家が背景にいる脅威は組織単体では守り切れませんので、今回IPAが10大脅威にこのような脅威を入れたことは、日本政府による“決意表明”なのではないかと捉えています。

　一方の分散型サービス妨害攻撃（DDoS攻撃）については、ぜひしっかりと“知って”おいてほしいと思います。不特定多数の端末からアクセスを集中させ、サービスを停止するほどのトラフィックをあなたの組織に向けるという攻撃は、対策がかなり難しいものです。

　この攻撃は2024年末から2025年初頭にかけ、多くの著名な企業が狙われ、システムをダウンさせられていました。これを受け、2025年2月4日にNISCが「DDoS攻撃への対策について（注意喚起）」という注意喚起を公開しています。

　その中には、リスク低減に向けたセキュリティ対策として、「海外などに割り当てられたIPアドレスからの通信の遮断」などが提案されています。事前に影響範囲を検討しなければそのような設定はできないものの、DDoS攻撃が行われる前にこれらを考えておかねばなりません。また、B2Cのビジネスを行っている場合は、万が一自社サーバが全て到達不能になったとしても、利用者に現状を伝えられる手段を考えておく必要があります。こちらも「待ったなし」です。

図2　NISCが公開した「DDoS攻撃への対策について（注意喚起）」（https://www.nisc.go.jp/pdf/news/press/20250204_ddos.pdf）［クリックで拡大］ 出所：NISC