不正アクセスの対策12選！ 手口や発生する被害例、発生時の対処法を解説
不特定多数をターゲットとする不正アクセスは、誰もが被害者になりえる犯罪です。対策が不十分で顧客にも被害が拡大すれば、企業の社会的信頼を失墜させることになりかねません。では、不正アクセスの被害を防ぐには、どのような対策を行えばよいのでしょうか。
本記事では、不正アクセスの対策12選や手口、被害例のほか、発生時の対処法などを解説します。
不正アクセスとは、第三者が不正にパソコンやシステムに侵入する犯罪行為
不正アクセスとは、パソコンやサーバー、システムなどへのアクセス権限を持たない第三者が、脆弱性を突いたり他人のID・パスワードを無断で使ったりする方法などで、不正に侵入する犯罪行為です。個人情報や機密情報のデータの取得、詐欺行為などを目的として行われるのが一般的です。
不正アクセスが起こると、サーバーやシステムの停止によって業務を行えなくなったり、顧客情報が漏洩して企業のブランドイメージや信頼を損なったりする可能性もあります。
また、1度目の不正アクセスで、自由に不正侵入できるようになるバックドアが設置されると、繰り返し攻撃を許して被害が拡大する恐れもあります。
不正アクセスの手口
不正アクセスを防ぐには、攻撃者の手口を知ることが不可欠です。不正アクセスの代表的な手口としては、下記の3つが挙げられます。
| 項目 | 概要 |
|---|---|
| 脆弱性を利用した侵入 | ネットワーク機器やサーバー、OS、アプリケーションなどの脆弱性が発見された際に、その脆弱性を修正する更新プログラムの適用前に侵入する |
| なりすまし | 何らかの不正な方法で入手したIDとパスワードを使い、アカウント所有者になりすましてログインする |
| ウイルス感染 | ウイルスに感染させるファイルを添付したメールを送信して、ファイルを開いたパソコンで不正なプログラムを実行するなどの方法で侵入する |
脆弱性を利用した侵入
不正アクセスは、ネットワーク機器やサーバー、OS、アプリケーションなどの脆弱性を突いて行われることがあります。脆弱性とは、プログラムのバグや人的ミスによるセキュリティ上の欠陥のことです。
脆弱性が発見された場合、メーカーなどから配布される更新プログラムを実行することで脅威を回避できます。しかし、プログラムのインストールを怠ったり、誰も気づいておらず更新プログラムの開発が間に合っていない脆弱性を突かれたりすると、侵入を許しかねません。
リモートワークの普及で需要が高まったVPN機器の脆弱性が狙われて、不正アクセスされたケースも発生しています。
なりすまし
不正アクセスの代表的な手口の1つは、何らかの不正な方法で入手したIDとパスワードを使い、アカウント所有者になりすましてログインする方法です。IDとパスワードを入手する方法には、大きく分けて、IDとパスワードの組み合わせを何通りも試して正解を探す方法と、過去の流出データを利用する方法の2通りあります。
単純で推測されやすいIDとパスワードを使っていると、不正アクセスされるリスクが高まります。また、1つのID・パスワードの組み合わせを様々なサービスで流用していたりすると、一度不正アクセスされた場合に被害が拡大しかねません。
ウイルス感染
不正アクセスは、マルウェアなどのウイルス感染によって発生することもあります。ウイルスを感染させる代表的な方法は、ウイルスに感染させるファイルを添付したメールを送信して、ファイルを開いたパソコンなどで不正なプログラムを実行する方法です。メールは、取引先や顧客などを装った巧妙な手口で送られてくるケースもあるため、不注意や知識不足によって侵入を許してしまうことがあります。
不正アクセスによって発生する被害例
不正アクセスを受けると、企業や組織の運営を揺るがす重大な事故につながりかねません。不正アクセスが引き起こす被害としては、下記の6点が代表的です。
| 項目 | 概要 |
|---|---|
| 情報漏洩 | 不正アクセスされた端末内に保存された情報だけでなく、端末からアクセスできるすべてのシステムの情報が盗まれる |
| データの改ざん | データが無断で改ざんされたり、暗号化されて読めなくなったりする |
| 関係者へのサイバー攻撃の拡大 | 侵入された端末を通じて他の端末なども被害を受けるリスクがある |
| SNSの乗っ取り | ID・パスワードの流出や、同一パスワードの使い回しにより、SNSアカウントへの不正アクセスを引き起こし、パスワードが変更されてアカウントが乗っ取られることがある |
| 不正購入 | ECサイトのアカウントなどに不正アクセスして正規ユーザーになりすまし、商品を購入して代金の負担を正規ユーザーに押し付ける |
| 不正送金 | オンラインバンキングのアカウントが不正アクセスの被害に遭い、不正送金が行われる |
情報漏洩
不正アクセスで発生する代表的な被害は、重要な個人情報や機密情報の漏洩です。不正アクセスされた端末内に保存された情報だけでなく、端末からアクセスできるすべてのシステムの情報が盗まれる可能性があります。
東京商工リサーチの「上場企業の「個人情報漏えい・紛失」事故 2番目の180件発生、漏えい人数は約2倍増の3,063万人分」によれば、2025年に上場会社とその子会社で起きた情報漏洩・紛失事故の原因のうち、最も多い原因がウイルス感染・不正アクセスで、6割以上を占めていました。2番目に多い誤表示・誤送信の3倍以上の割合になっており、多くの企業が不正アクセスによる情報漏洩の被害に遭っていることがわかります。
- 併せて読みたい
データの改ざん
不正アクセスによって、データが無断で改ざんされたり、暗号化されて読めなくなったりするケースもあります。
ランサムウェアと呼ばれる、システム内のデータを暗号化して身代金を要求するサイバー攻撃を仕掛けられた場合、暗号化されたデータは容易に復旧できません。攻撃者の言いなりになって身代金を支払っても暗号化が解除されるかは不明であるため、身代金の要求には応じないことが推奨されます。
身代金の要求に応じない場合は、専門業者などに依頼して復旧することになるため、専門業者への報酬や復旧までの機会損失などによって、多大な損害を被る可能性があります。
関係者へのサイバー攻撃の拡大
不正アクセスが起きると、侵入された端末はもちろん、その機器を通じて他の端末なども被害を受けるリスクがあります。侵入された端末からウイルスを添付されたメールが関係者に送信されれば、顧客や取引先にも被害を広げかねません。また、閲覧者に感染が拡大するマルウェアなどを、Webサイトに仕掛けられる可能性もあります。
SNSの乗っ取り
ID・パスワードの流出や、同一パスワードの使い回しにより、SNSアカウントへの不正アクセスを引き起こし、パスワードが変更されてアカウントが乗っ取られることがあります。企業の公式アカウントが悪用され、詐欺やマルウェア配布に利用された場合は、ブランドへの打撃は計り知れません。
不正購入
ECサイトのアカウントなどに不正アクセスして正規ユーザーになりすまし、商品を購入して代金の負担を正規ユーザーに押し付ける手口があります。企業アカウントでネットショッピングや調達ポータルを利用している場合も、同様のリスクを意識し、購入時の追加認証や限度額設定を導入しておきましょう。
場合によっては、ECサイトで使用するための専用の法人カードを発行し、有効期限と利用上限を設定する方法も有効です。
不正送金
オンラインバンキングのアカウントが不正アクセスの被害に遭い、不正送金が行われる事例も確認されています。企業でもオンラインバンキングは一般化しており、不正送金のリスクを無視することはできないため、適切な対策が必要です。
例えば、出金や高額な取引が起こった場合に通知を送る機能を活用すると、不正送金の早期発見に役立ちます。
不正アクセスの対策12選
不正アクセスの被害を未然に防ぐには、平時から適切な対策をとっておくことが必要です。主な不正アクセス対策としては、下記の12点が挙げられます。
| 項目 | 概要 |
|---|---|
| 1.ソフトウェアのアップデート | ソフトウェアの脆弱性を突いた攻撃を防ぐには、脆弱性の修正を目的として配布されるソフトウェアのアップデートプログラムを確実にインストールすることが必要 |
| 2.従業員による設定変更やソフトウェアのインストールの制限 | システム全体の安全性に影響を及ぼす可能性のある設定変更やソフトウェアのインストールは、一定の権限がある人しかできないように権限を設定しておく |
| 3.適切なアクセス権限の設定 | ファイルやフォルダーへのアクセス権限は、アクセスが必要な人に限定して、必要な範囲での権限のみを付与する |
| 4.パスワード管理の強化 | アカウントごとに異なる、記号などを混ぜた複雑なパスワードを設定する |
| 5. 多要素認証の導入 | ID・パスワードによる知識情報の認証だけでなく、生体情報や所持情報を含めた3要素のうち複数の要素で認証する仕組みを導入する |
| 6.モバイル端末の適切な管理 | 端末内に保存する情報の選別や、紛失に備えた遠隔ロックの導入などで、モバイル端末のセキュリティも高めておく |
| 7.ウイルス対策ソフトの導入 | ウイルスが添付されている可能性のあるメールを自動的に仕分けたり、不正アクセスにつながるソフトウェアの機能を制限したりすることで、不正アクセスから企業の情報資産を守る |
| 8.ファイアウォールなどの導入 | ウイルス対策ソフト以外にも、攻撃者のアクセスを検知・遮断するファイアウォールやIDS、IPS、WAFなどを導入する |
| 9.使用しないソフトウェアのアンインストール・利用停止 | 企業で利用している端末に存在する未使用のソフトウェアを放置すると、そのソフトウェアに脆弱性が発見された場合などに攻撃経路になりかねないため、棚卸して利用の可否を判断する |
| 10.リスクベース認証の導入 | アカウントにログインしようとしているデバイスの種類やIPアドレス、地理的位置、ログイン時刻などからアクセス状況を分析し、通常と異なる環境からの接続と判定された場合に追加認証を求める仕組みを導入する |
| 11.脆弱性診断やペネトレーションテストの実施 | 現状の対策がどの程度有効かを確認し、攻撃への耐性を測るための自動診断や、実際の攻撃手順を想定した侵入の検証を行う |
| 12.従業員教育 | 情報漏洩につながるインシデントには、従業員の不注意によるウイルス感染や、メールの誤送信といったケースもある。そのため、セキュリティ対策を怠ることで発生する被害の大きさや、情報の適切な扱い方について説明する機会を設け、従業員の危機意識を高める |
1.ソフトウェアのアップデート
ソフトウェアの脆弱性を突いた攻撃を防ぐには、脆弱性の修正を目的として配布されるソフトウェアのアップデートプログラムを確実にインストールすることが必要です。
ソフトウェアは通常、リリースされた時点ではセキュリティ対策も万全です。しかし、リリース時にはわからなかった脆弱性が後から発見された場合は、アップデートプログラムを適用しなければ対応できません。アップデートで、常に最新の脅威に対応できる状態を保つことが重要です。
2.従業員による設定変更やソフトウェアのインストールの制限
システム全体の安全性に影響を及ぼす可能性のある設定変更やソフトウェアのインストールは、一定の権限がある人しかできないように権限を設定しておくのがお勧めです。
システムの設定変更やソフトウェアのインストールを従業員の判断に任せていると、企業や組織の管理が行き届かず、不正アクセスを招きかねません。セキュリティ意識の低い従業員による設定変更や、脆弱性のあるソフトウェアのインストールなどでセキュリティ上の穴が発生し、不正アクセスを許すこともあります。
3.適切なアクセス権限の設定
ファイルやフォルダーへのアクセス権限は、アクセスが必要な人に限定して、必要な範囲での権限のみを付与するようにしなければ、不正アクセスの際に被害を拡大させる可能性があります。「見る人が多岐にわたるから」「関連する部署が多いから」といった理由でファイルやフォルダーへのアクセス権限をオープンにしているケースもありますが、それでは社内のネットワークに侵入した攻撃者にすべてのデータを公開しているのと同じです。
ファイルやフォルダーへのアクセス権限は、従業員の属性などに応じて必要性を判断して、書き込みや読み取り、実行などの権限を適切に設定しましょう。
- 併せて読みたい
4.パスワード管理の強化
不正アクセスを防ぐには、パスワードの管理も重要です。単純で推測されやすいパスワードや、他のサービスなどで使用しているパスワードの使い回しは、不正アクセスを引き起こしやすくなります。アカウントごとに異なる、記号などを混ぜた複雑なパスワードを設定するようにしてください。
5.多要素認証の導入
多要素認証の導入も、不正アクセス防止には有効です。多要素認証とは、サービスへのログインなどで用いる認証方法の1つで、ID・パスワードによる知識情報の認証だけでなく、生体情報や所持情報を含めた3要素のうち複数の要素で認証する仕組みです。生体情報とは、例えば顔、指紋といった身体の特徴に関する情報のことで、所持情報とは、例えばスマートフォンを所持している人だけがわかる認証コードなど、ユーザー本人しか所持していない物に関連する情報を指します。
多要素認証を導入することにより、パスワードが流出しても簡単には情報にアクセスできなくなるため、セキュリティが向上します。
6.モバイル端末の適切な管理
不正アクセス対策では、業務で持ち運んでいるモバイル端末の適切な管理も重要です。企業から貸与されたモバイル端末は基本的に従業員ごとに管理するため、企業や組織のセキュリティ対策が行き届きません。セキュリティ対策が甘い端末が紛失などで第三者の手に渡ったら、簡単に企業のネットワーク内の情報にアクセスにできてしまいます。
端末内に保存する情報の選別や、紛失に備えた遠隔ロックの導入などで、モバイル端末のセキュリティも高めておきましょう。
7.ウイルス対策ソフトの導入
ウイルスやマルウェアの感染を防ぐセキュリティ対策ソフトの導入も、基本的な不正アクセス対策の1つです。ウイルスが添付されている可能性のあるメールを自動的に仕分けたり、不正アクセスにつながるソフトウェアの機能を制限したりすることで、不正アクセスから企業の情報資産を守ります。
8.ファイアウォールなどの導入
不正アクセスをより確実に防ぐために、ウイルス対策ソフト以外にも、攻撃者のアクセスを検知・遮断するツールの導入も検討しましょう。代表的なツールは、下記の3点です。
- 不正アクセスを検知・遮断する主なツール
-
- ファイアウォール：インターネットと自社ネットワークの間で、あらかじめ設定したルールに沿って不正なデータを除外
- IDS・IPS：ネットワークを監視して攻撃の兆候を早期に検知、遮断
- WAF：通信を解析して、ファイアウォールやIDS・IPSでは防げないWebアプリケーションの脆弱性を突いた攻撃を遮断
9.使用しないソフトウェアのアンインストール・利用停止
企業で利用している端末に存在する未使用のソフトウェアを放置すると、そのソフトウェアに脆弱性が発見された場合などに攻撃経路になりかねません。特に、端末にプリインストールされているソフトウェアは業務で使用しないものも少なくないため、棚卸して利用の可否を判断し、不要なら削除するようにしましょう。
社内サーバーへの接続やファイル送受信が可能なソフトは、不正アクセスされた際の影響が大きくなりがちなため、優先的に見直します。
10.リスクベース認証の導入
不正アクセス対策として、リスクベース認証を導入するのも有効です。
リスクベース認証とは、アカウントにログインしようとしているデバイスの種類やIPアドレス、地理的位置、ログイン時刻などからアクセス状況を分析し、通常と異なる環境からの接続と判定された場合に追加認証を求める仕組みです。追加認証の例として、ワンタイムパスワードに加え、秘密の質問や承認アプリでのプッシュ承認などが挙げられます。
実際には不正アクセスでない場合も追加認証を要求されるケースが頻発すると、従業員が不便に感じる可能性もあるため、継続的に設定を調整することも重要です。
11.脆弱性診断やペネトレーションテストの実施
不正アクセスへの対策として、現状の対策がどの程度有効かを確認し、攻撃への耐性を測るために下記のような脆弱性診断やペネトレーションテストを行うのも有効です。
| 項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 主な目的 | 既知の脆弱性の有無の検出 | 実際の攻撃手順を想定した侵入の検証 |
| 実施する内容 | スキャナーを使った自動検査による設定などの評価 | テスト実施者の手動による攻撃シナリオの試行 |
| 得られる成果物 | 検出された脆弱性の一覧と深刻度 | 侵入手順の説明と対策方法 |
診断・テスト後は、再検査までの期限と行うべき対策を明確にして、進捗を管理しましょう。
12.従業員教育
不正アクセス対策として、従業員教育でリテラシーを高めることも重要です。情報漏洩につながるインシデントには、従業員の不注意によるウイルス感染や、メールの誤送信といったケースもあります。
リモートワークの普及によって社外で仕事をする機会が増えた企業では、ID・パスワードの不適切な管理、社外に持ち出したパソコンの紛失などによる不正アクセスのリスクが高まります。セキュリティ対策を怠ることで発生する被害の大きさや、情報の適切な扱い方について説明する機会を設け、従業員の危機意識を高めてください。
不正アクセスを検知する方法
不正アクセスを防ぐためには、侵入を迅速に検知できるようにしなければなりません。侵入時に発生するネットワーク上の異常な通信や既知の攻撃パターンの検知には、IDS、IPS、WAFなどが用いられます。
IDSとは、不正侵入検知システムのことで、通信をリアルタイムで監視して異常な挙動があった場合に検知・通知を行うシステムです。一方、IPSは、IDSの機能に加え、自動的に通信を遮断する機能を含んでいます。両者とも、OSやミドルウェアを含むサーバーやネットワークの通信内容を監視します。
また、WAFは、WebサイトやWebサービスで稼働するWebアプリケーション層の通信を監視します。このように、監視対象が異なるため、IDS・IPSとWAFを組み合わせた対策を導入することが重要です。
- 併せて読みたい
不正アクセスされた場合の対処法
不正アクセスが発生した場合は、被害を最小限にとどめることを考えなくてはなりません。とるべき対応を社内マニュアルなどにまとめ、全社に周知徹底しておきましょう。
一般的には、不正アクセスが起きたら下記の3ステップで対応を進めます。
| 項目 | 概要 |
|---|---|
| 1.ネットワークからの切断 | 「Wi-Fiを切る」「LANケーブルを抜く」といった方法で、被害を受けたパソコンを物理的にネットワークから切り離す |
| 2.アクセスログと被害の確認 | 速やかにアクセスログ、ログイン履歴、メールの送受信履歴を調べ、被害状況を確認する |
| 3.関係各所への報告と事後対応 | 情報が流出した可能性がある個人や取引先、関係者、警察などに連絡する |
1.ネットワークからの切断
不正アクセスに気づいたときに最初に行うことは、被害に遭った端末のネットワークからの切断です。端末がネットワークにつながったままだと、自社内の他のパソコンやシステムへの不正アクセスのリスクを高めるだけでなく、自社サーバーを踏み台として顧客や取引先に被害を広げてしまう可能性もあります。
「Wi-Fiを切る」「LANケーブルを抜く」といった方法で、被害を受けたパソコンを物理的にネットワークから切り離しましょう。
2.アクセスログと被害の確認
被害端末の隔離が済んだら、速やかにアクセスログ、ログイン履歴、メールの送受信履歴を調べ、被害状況を確認します。証拠になりそうな記録は、必ず保存しておきましょう。
被害状況については、流出した可能性のある情報を細かく調査し、他の端末やシステムなどに被害が拡大していないかを確認してください。
3.関係各所への報告と事後対応
被害状況を把握したら、情報が流出した可能性がある個人や取引先、関係者、警察などに連絡します。
個人情報の漏洩によって個人の権利や利益を害する可能性がある場合、該当する個人への連絡と共に個人情報保護委員会への報告も義務化されています。本人への通知が困難な場合は、Webサイトでの公表や問い合わせ窓口の設置で代替することも可能です。
また、銀行口座の情報が流出している場合は銀行、クレジットカードならカード会社への連絡が必要です。口座番号の流出だけであれば、直ちに預貯金に被害が生じることはありませんが、口座情報とインターネットバンキングのパスワードの組み合わせが流出した場合は迅速に対処しなければなりません。
このような関係各所への報告を行いながら、必要であれば被害に遭ったシステムを復旧し、さらに今後不正アクセスを許さないための対策を検討する必要もあります。
- 併せて読みたい
不正アクセスへの対策のために、適切なシステムを導入しよう
不正アクセスの手口は日々進化し、巧妙化・複雑化しているため、セキュリティ対策ソフトやツールを導入しなければ攻撃を防ぐことはできません。ソフトウェアのアップデートや、従業員それぞれで保有しているモバイル端末の適切な管理、万が一不正アクセスが起きた際に備えるためのアクセスログの記録などによって、万全の対策を構築しましょう。
インターコムが提供するIT資産管理ソフトの「MaLion」シリーズは、企業のIT資産管理と不正アクセス対策を同時に行えるツールです。人的な管理に限界がある社内のIT資産の情報を一元的に収集し、ソフトウェアアップデートの状況を含めて確実に管理します。
セキュリティポリシー設定はもちろん、ポリシー違反者への警告通知、外部デバイス監視、送受信メール監視、ファイルアクセス監視、Webアクセス監視、個人情報ファイル制御などを1つのシステムで実現できるため、セキュリティ対策に割ける人員が少ない場合でも手厚い対策を実施可能です。社内情報の漏洩を未然に防ぐと共に、従業員に対する不正操作の警告表示などによるセキュリティ意識の向上も期待できます。
効率的に不正アクセス対策を導入したい場合は、ぜひ「MaLion」をご検討ください。
