近年、買い物ではオンラインショップやECサイトを使うのが一般的になりつつあります。そのような現状の中で、株式会社サイバーセキュリティクラウドの調査によれば、サイバー攻撃による個人情報漏洩件数を業種別に見ると、小売業が24%とトップとなっています。すなわち小売業の中でも、特に自社でECサイトを運営している企業はサイバー攻撃に注意しなければなりません。
この記事では、小売業がどのようなサイバー攻撃を受けるのか、その手口や理由、基本的な対策方法について解説します。小売業のセキュリティ担当者の方はぜひ参考にしてみてください。
サイバー攻撃とは
ここではまず、サイバー攻撃の概要について解説します。サイバー攻撃とは、パソコンやサーバーなど、企業の情報端末やシステムに対し、ネットワークを通じて不正な手段で情報の盗取や破壊、改ざんを試みる行為を指します。攻撃のターゲットとなるのは個人や組織、さらには特定多数の場合もあり、攻撃の目的や手段はさまざまです。
サイバー攻撃の目的
サイバー攻撃の目的として最も代表的なのが金銭です。直接的に不正送金を狙ったり金銭を要求する例もありますが、個人情報を盗取してダークウェブなどで売買するケースもあります。
また、サイバー攻撃の被害に遭うと、企業や機関の信頼性が下がります。そのため、企業への営業妨害やイメージダウンも、サイバー攻撃の目的の1つです。他にも、政治的な主張や個人的な復讐、いたずらなどもサイバー攻撃の目的として挙げられます。
サイバー攻撃の種類
サイバー攻撃には様々な種類があります。一般的なサイバー攻撃の種類として、次のような攻撃があります。
- メールによるマルウェア感染（標的型メール攻撃など）
- 不正アクセス
- マルウェア（ランサムウェアなど）
- サービスを利用停止に追い込む攻撃（DoS攻撃、DDoS攻撃など）
メールを用いたマルウェア感染は、昔からサイバー攻撃の手法の1つとして知られていました。特に最近では、より巧妙なメールを使う事例が増えつつあり、危険性が再認識されています。例えば標的型メール攻撃は、企業の取引先や従業員を装ったメールを送信することで正規のメールと誤認しやすくする手法で、被害事例が多数報告されています。
不正アクセスやマルウェアも日常的に報告されているサイバー攻撃の一種です。不正アクセスには、アプリやネットワークなどの脆弱性を突いた攻撃や、IDとパスワードによる認証を突破する攻撃など、様々な手法があり、必要な対策も増えています。定期的な脆弱性診断やセキュリティチェックを実施しなければなりません。マルウェアも日々新しいものが発見されるため、日々の対策のアップデートが大切です。
特にWebアプリなどのサービスにおいて、過剰な負荷をかけて利用停止に追い込む攻撃も報告されています。企業ではサーバー負荷の分散や不審な通信の排除などの対策が必要です。
標的の特徴や目的によって、様々な種類のサイバー攻撃が行われます。主なサイバー攻撃については特徴をおさえ、基本的な対策を実施しておくと良いでしょう。
小売業へのサイバー攻撃の代表的な手口3つ
それでは、小売業はどのようにサイバー攻撃を受けるのでしょうか？サイバー攻撃には様々な手口があります。ここでは、小売業へのサイバー攻撃の代表的な手口を3つご紹介します。
- ランサムウェア
- POSサーバー攻撃
- Webサイト攻撃
ランサムウェア
ランサムウェアは、企業や機関を狙ったサイバー攻撃の手法として大きな被害が発生しているサイバー攻撃です。ランサムウェアとは「ransom（身代金）」と「software」を合わせた言葉で、身代金を要求するマルウェアを指します。ランサムウェアは、感染したデバイスやネットワーク内のデータを暗号化してしまい、「元に戻して欲しければ身代金を支払え」と金銭を要求します。多くの場合、身代金は仮想通貨などで要求され、身代金を支払ってもデータが元に戻らない例も多数報告されています。
最近ではデータを暗号化するだけでなく盗取して「外部に漏洩されたくなければ身代金を支払え」とさらに脅迫する例もあります。機密データが外部に漏れれば、大規模な被害につながる可能性があります。マルウェア対策ソフトの導入や脆弱性の改修が基本的な対策になりますが、仮にランサムウェアに感染した場合に備えて、重要なデータのバックアップをとっておくことも大切です。バックアップがきちんととってあれば、データを暗号化されてしまっても復元することで被害を抑えられます。
POSサーバー攻撃
小売業に特有のサイバー攻撃として、「POSサーバー攻撃」があります。小売業に必須の「POS」は、売り上げや商品の購買情報を管理するシステムです。最近では、小売業のPOSシステムを狙ったサイバー攻撃が確認されています。
POSシステムには、顧客の個人情報などの機密情報をはじめ、コストや利益に関する情報、購買トレンドに関する情報など、重要な情報が数多く保存されています。情報の価値が高いために攻撃者から標的にされやすいものであり、小売業にとって厳重な管理が必要です。POSサーバー攻撃は、POSシステムのサーバーを狙った、不正アクセスやマルウェアによる攻撃です。
Webサイト攻撃
WebサイトやWebアプリを狙った攻撃も、小売業が特に注意すべきサイバー攻撃の手口です。Webアプリを狙った攻撃は、セキュリティ上の不具合である脆弱性を突いた攻撃が主になります。
また、Webサイトを狙った攻撃の中には、Webサイトそのものを改ざんしてしまう攻撃もあります。サイト上に偽のボタンやフォームを出現させ、一般ユーザーの情報を窃取したり、マルウェアへ感染させたりする「クリックジャッキング攻撃」がその典型例です。Webアプリを利用している小売業では、こうした攻撃の被害に遭わないよう、定期的なセキュリティチェックや改修が求められます。
小売業への攻撃はなぜ多い？狙われやすい理由
小売業へのサイバー攻撃はなぜ多いのでしょうか。ここでは、小売業が狙われやすい3つの理由を解説します。
- 大量の顧客データが集まる
- 売上が高い時期がわかりやすい
- セキュリティ対策が脆弱
大量の顧客データが集まる
小売業には、大量の顧客データが集まるという特徴があります。顧客の氏名や生年月日、住所、電話番号といった個人情報やクレジットカード情報などは重要度の高い情報です。クレジットカード情報が漏洩してしまうと、顧客が大きな金銭的な被害を受けることもあります。
WebサイトやPOSシステムを狙った攻撃を仕掛けることで、大量のデータを得られる可能性があるため、小売業は攻撃者の標的になりやすいという特徴があります。保護すべきデータが多いことから、企業はより厳重な対策を実施しなければなりません。
売上が高い時期がわかりやすい
小売業には、売上が高い時期がわかりやすいという特徴もあります。近年のサイバー攻撃のうち、大きな被害が発生しているのが、ランサムウェアによる攻撃です。ランサムウェアの被害を受けるとデータが暗号化されてしまうため、業務を停止せざるを得ません。
ランサムウェアはデータの復号と引き換えに身代金を要求するマルウェアですが、売上の高い時期にランサムウェア被害に遭うと、企業は早く業務を再開させるために身代金の要求に応じやすくなります。年末など、小売業は売上の高い時期が分かりやすいため、攻撃者の標的になりやすいです。
セキュリティ対策が脆弱
小売業がサイバー攻撃の被害に遭う理由として、セキュリティ対策が脆弱ということも指摘されています。IT企業などと違い、小売業にはセキュリティの専門家が少ないという弱点があります。 十分なセキュリティ対策が実施されている可能性が低いため、攻撃者に狙われやすくなってしまいます。
セキュリティ対策を実施する際には、自社内だけで解決しようとするのではなく、専門のセキュリティベンダーへと依頼するのが大切です。情報セキュリティはITの中でも専門性が高く、開発や運用を担当しているエンジニアであっても適切な対策が実施できるとは限りません。セキュリティベンダーをうまく活用し、安全性を高めましょう。
サイバー攻撃の対策方法
ここでは、小売業の担当者がとるべきサイバー攻撃対策について解説します。サイバー攻撃への対策は、システムに実施するだけでなくスタッフへの実施も大切です。ここでは、3つの対策方法を解説します。
- 最新バージョンのウイルス対策ソフトをインストールする
- 不審なメールやURLやファイルは開かない
- ファイアーウォールを導入する
最新バージョンのウイルス対策ソフトをインストールする
1つ目の対策方法は、「最新バージョンのウイルス対策ソフトをインストールする」ことです。小売業が特に注意すべきサイバー攻撃が「ランサムウェア」になります。ランサムウェアはマルウェアの一種であるため、ウイルス対策ソフトを必ず導入しましょう。
なお、ウイルス対策ソフトを導入する際には、必ず最新バージョンのものをインストールしましょう。マルウェアは日々進歩するため、古い対策が通用しないことも珍しくありません。定期的なバージョンアップやメンテナンスを欠かさないようにしましょう。
不審なメールやURLやファイルは開かない
2つ目の対策方法は、「不審なメールやURLは開かない」ことです。攻撃者は、マルウェアへの感染や不正アクセスの準備として、メールにマルウェアを添付したり、罠を仕掛けたサイトURLへと誘導したりします。
最近では、メールを用いた攻撃が巧妙になりつつあります。以前のように、不審なものと分かりやすいメールだけでなく、正規のメールと誤認させる仕組みが使われています。関係者を装って標的を絞る標的型メールを使ったり、正規のサイトに限りなく似たフィッシングサイトやダウンロードサイトへ誘導したりする例が多数報告されています。
メールの扱いやWebサイトの閲覧には注意が必要です。従業員へのセキュリティ教育を強化しておきましょう。また、IPAなどが発表しているフィッシングメールや標的型メールの事例を日々チェックし、企業全体で共有しておくことがおすすめです。
ファイアーウォールを導入する
3つ目の対策は、ファイアーウォールの導入です。ファイアーウォールとは、企業のネットワークへのアクセスをチェックし、危険な通信を遮断する仕組みのことで、不正アクセスを防ぐための基本的な対策の1つです。企業で使われるファイアーウォールは、社内LANとインターネットの間に設置し、インターネットを通じた不正アクセスを排除します。
近年では、Webアプリケーションを保護するファイアーウォール「WAF（Web Application Firewall）」も普及しています。WAFはWebアプリケーションへの通信をチェックし、攻撃性の高い通信を遮断してくれす。Webサイト、Webアプリを利用している小売業の方は、ファイアーウォールだけでなくWAFの導入も合わせて検討すると良いでしょう。
まとめ
この記事では、小売業へのサイバー攻撃について解説しました。近年、サイバー攻撃による情報漏洩の件数は、各業種の中で小売業が最も多くなっています。ECサイトなどを運営している小売業は、特に注意しなければなりません。
小売業は扱う情報の量が多く、ランサムウェアによる身代金支払い要求にも応じやすいといった特徴があり、サイバー攻撃の被害に遭いやすい業種です。マルウェア対策ソフトのインストールや社員へのセキュリティ教育など、厳重な対策を実施しなければなりません。
小売業のセキュリティ対策は、セキュリティ専門家がいないため手薄になりがちです。運営しているECサイトのセキュリティチェックや、ファイアーウォールやWAFの導入など、専門的な対策が必要な場合はセキュリティベンダーに相談することをおすすめします。
【セキュリティソリューションのご紹介】
Librus株式会社では企業のサイバー攻撃被害に備え、毎月10万円でホワイトハッカー、弁護士、ブランドコンサルタントをまとめてアサインできる 「セキュアナイト」というサービスを提供しております。
またサイバーセキュリティに関するアドバイザリーやセキュリティ診断（脆弱性診断、侵入テスト）、デジタルフォレンジック（システム復旧支援中心）においても豊富な実績がございます。
ご相談は無料ですので、いつでもお気軽にお問い合わせください。