【緊急警告】政府機関のサイバー攻撃対策が杜撰すぎる件…個人・企業はどう身を守るべきか？

政府のセキュリティ対策が想像以上にヤバい状況だった

先日、会計検査院が発表した調査結果を見て、正直ゾッとしました。国の省庁や地方出先機関のサイバーセキュリティ対策があまりにも杜撰で、これでは国民の個人情報や機密情報が危険にさらされているのも当然だと感じざるを得ません。

調査対象となった356の情報システムのうち、なんと12機関の58システムでソフトウェアが適切に更新されていないという基本的なミスが発覚。さらに19機関の102システムではアクセス記録すら取られておらず、不正アクセスがあっても気づけない状態になっていたのです。

特に衝撃的だったのは、調査対象の約4割にあたる137システムがデジタル庁に登録されていなかった事実です。これは言わば「管理外システム」が大量に存在していることを意味し、セキュリティ対策の抜け穴となっている可能性が高いです。

実際、未登録システムほどセキュリティ対策の不備率が高いという結果が出ており、これらのシステムがサイバー攻撃の格好の標的になっていることは想像に難くありません。

政府機関や公的機関を狙ったサイバー攻撃は決して珍しいことではありません。フォレンジック調査の現場で数多くの事案を見てきましたが、以下のような深刻な被害が実際に発生しています：

2015年：日本年金機構の情報流出事件
約125万件の個人情報が流出した本事件では、標的型メール攻撃により内部システムに侵入されました。フォレンジック調査の結果、初期侵入からデータ窃取まで約2ヶ月間も気づかれずに活動を続けていたことが判明しています。

2022年：大阪急性期・総合医療センター
ランサムウェア攻撃により電子カルテシステムが暗号化され、ほとんどの診療が停止しました。医療機関への攻撃は人命に直結するため、特に悪質性が高いと言えます。

2023年：名古屋港コンテナターミナル
3日間にわたってコンテナの搬出入が停止し、物流に甚大な影響を与えました。このような重要インフラへの攻撃は、経済活動全体を麻痺させる可能性があります。

トレンドマイクロの調査によると、2024年に公表されたサイバー攻撃による情報流出事件は622件に達し、前年比で239件も増加しています。これは氷山の一角に過ぎず、実際にはより多くの被害が発生していると考えられます。

現代のサイバー攻撃には主に以下のような目的があります：

1. 金銭目的（ランサムウェア攻撃）
データを暗号化して身代金を要求する手法が主流となっています。

2. 機密情報の窃取
国家機密や企業の機密情報を狙った高度な攻撃が増加しています。

3. 社会インフラの破壊
行政サービスや重要インフラを停止させ、社会混乱を引き起こすことを目的とした攻撃も確認されています。

政府機関でさえこのような状況では、個人や中小企業はより一層の注意が必要です。CSIRTメンバーとして多数のインシデント対応を経験してきた立場から、以下の対策を強くお勧めします：

基本的なセキュリティ対策
1. OS・ソフトウェアの定期更新を怠らない
2. 強固なパスワード設定と二要素認証の導入
3. 怪しいメールやリンクを絶対にクリックしない
4. 定期的なデータバックアップの実施

高度な保護対策
個人向けのアンチウイルスソフトを導入することで、マルウェアやランサムウェアからの保護が可能です。特に最新の脅威に対応できる製品を選ぶことが重要です。

また、オンライン活動時にはVPN を使用することで、通信の暗号化と匿名化を図ることができます。特に公衆Wi-Fi利用時には必須のセキュリティツールです。

企業の場合、個人よりもさらに多層的な防御が必要です。フォレンジック調査で見えてきた共通点として、被害を受けた企業の多くがWebサイトの脆弱性を突かれていることがあります。

Webサイトのセキュリティ診断の重要性
企業のWebサイトは攻撃者にとって格好の侵入口となります。Webサイト脆弱性診断サービスを定期的に実施することで、潜在的な脆弱性を事前に発見・修正することが可能です。

実際の事例として、ある中小企業では古いCMSの脆弱性を突かれ、顧客データベースへの不正アクセスを許してしまいました。しかし、定期的にセキュリティ診断を受けていた企業では、同様の脆弱性が事前に発見・修正され、被害を防ぐことができています。

万が一サイバー攻撃の被害に遭った場合、初動対応が被害の拡大を左右します。以下の手順を覚えておいてください：

1. 即座にネットワークから切断
2. 証拠保全のための措置
3. 関係機関への報告
4. 専門業者によるフォレンジック調査の実施

特に重要なのは、感情的になって勝手に復旧作業を進めないことです。不適切な対応により証拠が失われると、攻撃者の特定や被害範囲の確定が困難になります。

今回の会計検査院の調査結果は、政府機関でさえセキュリティ対策が不十分である現実を露呈しました。年間200件以上ものサイバー攻撃報告があることからも、この脅威は日常的なものとなっています。

「政府がしっかりしていないなら、自分でしっかり対策するしかない」というのが現実です。個人も企業も、適切なセキュリティツールの導入と継続的な対策の見直しが不可欠です。

特に以下の3点は必須と考えてください：
– 信頼性の高いアンチウイルスソフトによる日常的な保護
– VPN を使った通信の安全確保
– 企業であればWebサイト脆弱性診断サービスによる定期的なチェック

サイバー攻撃は「もし起きたら」ではなく「いつ起きるか」の問題です。今すぐ行動を起こし、自分と大切な人、会社を守りましょう。