徳丸浩氏が注目する最新インシデントと対策実務 「サイバー攻撃対策の早見表」も紹介

証券口座乗っ取り、中高生の回線不正契約などAIの悪用が急増

徳丸氏はまず、昨今注目を集めている生成AIやAIエージェントについて、業務自動化への期待が高い一方で、攻撃者がハッキングを効率化するためにも使用していることを指摘しました。

2025年2月には、中高生3人がChatGPTを利用して作成したプログラムと、ブラックマーケットで購入したID・パスワードを使用し、楽天モバイルに約22万回ものログインを実行。不正に契約した回線を転売していたという事件が報じられました ¹。生成AIには、入力されたプロンプト（指示文）に倫理的な問題がないかをチェックをする機能がありますが、「回線契約を円滑化するために使う」と言い逃れてしまえば、悪用目的のプログラムであっても「阻害されることなく簡単に作れてしまうというのが現状であり、防ぎようがない」と、徳丸氏は指摘します。

また、ディープフェイクと呼ばれるフェイク動画・音声の悪用も進んでいます。徳丸氏は、攻撃者が他者になりすましてビデオ会議に参加し、不正な振り込みを指示した事件や、あたかも著名人本人がしゃべっているかのような動画をつくって詐欺サイトに誘導した事件などを紹介。技術の進歩によって犯罪利用が増えただけでなく、自分ではプログラムをつくれないような人でも、サイバー犯罪に手を染めるようになっていると、警鐘を鳴らします。

「ディープフェイクは新しい脅威であり、従業員教育などで対策を行う必要があるだろう」（徳丸氏）

オンライン証券でも、生成AIの悪用が疑われる不正取引事件が起きています。安値で株を買い集め、乗っ取った他人のアカウントからその株を高値で買うことで利益を得るという手法です。

こうした不正の発端となる、アカウントの乗っ取りを狙ったフィッシングメールや、そこから誘導する偽サイトには記載されている自然な日本語の作成には、生成AIが使用されていると考えられます。また、オンライン証券では株売買の一連の手順をプログラミングで自動化していますが、偽サイトも同様に自動化しており、そのためのスクリプト作成にも生成AIが活用されている可能性が指摘されています。

上記の背景もあり、2025年4月にはオンライン証券における不正売却金額は1,500億円を超えました。

最後の砦となり得るパスキー

このような状況を受け、金融庁や業界団体である日本証券業協会では、パスキーやPKI（Public Key Infrastructure：公開鍵基盤）などによる高度な認証方法の採用を求めています。

徳丸氏は「現在はほぼ例外なくパスキーの技術が使われている」と説明。そのうえで、パスキーについてはよく生体認証と説明されるが、そうではなく実際は「デジタルの鍵」であると指摘します。

「デジタルの鍵をパソコンやスマートフォンに安全な形で保管しておき、アクセス先が本当の証券会社サイトであることを確認したうえで、その鍵を使って認証するという仕組み。ブラウザやアプリ側がチェックして、偽のサイトの場合は鍵を出さないため、フィッシングに遭わないですむ。これが最後の砦ということで、証券各社が対応を急いでいるという状況だ」（徳丸氏）

ランサムウェアからの復旧に重要な「システム再構築の想定」

2025年は、ランサムウェアによる大きなインシデントが報じられました。アサヒグループホールディングスは物流システムに被害を受け、受注の再開に2か月強、物流業務全体のの正常化には4か月以上を要しました ²。また、ECサイト「LOHACO」などを展開するアスクルも、物流システムを使用した商品出荷の再開に1か月を要しました ³。

警察庁が半年ごとに公表しているランサムウェアの被害件数報告の令和7年上半期版 ⁴ では、新型コロナウィルスによる影響が出始めた頃から急増しているものの、ここ2～3年を見ると届け出件数は110～120件を推移、被害企業の規模・業種も様々で、「まんべんなく被害を受けている」（徳丸氏）ことが分かります。また、感染経路はコロナ禍でリモートワークが増えたことにより、VPN機器やリモートデスクトップが6～7割を占める結果となっています。

2025年1月には、サンリオエンターテイメントへのランサムウェア攻撃 ⁵ がありました。このケースでも、原因はリモートアクセス機器の脆弱性を狙った不正アクセスに対処できなかったことであるとされており、徳丸氏はおそらくVPN機器経由だったのではないかと推察します（停止していたサービスは8月に復旧）。

VPN機器を狙った、典型的な侵入方法の例は下図のとおりです。まず、社内外ネットワークの境界にあるVPN機器の脆弱性を突いて社内ネットワークに侵入。リモートデスクトップサーバーを経由して社内の重要なサーバーに入っていきます。その後、外部のサーバーからマルウェア本体をダウンロードさせて、社内のファイルに感染を広げ（ラテラルムーブメント）、暗号化するという流れです。

手口そのものは古くからあるものであり、「リモートデスクトップサーバーのID・パスワードの管理をはじめとする着実な安全管理ができていれば、このインシデントはどこかで防げたかもしれない」と徳丸氏は指摘します。

こうしたインシデントから身を守るために何をすべきか、徳丸氏は自身が作成した「サイバー攻撃対策の早見表」を示して説明しました。

徳丸氏はまず、侵入口をつくらないことの重要性を説きます。具体的な手段として、VPNの脆弱性にこまめに対応する、ID・パスワードを安全なものにする、EDR（Endpoint Detection and Response：端末での検知と対応）ソリューションの導入などを挙げました。

また、ZTNA（Zero Trust Network Access）も有効な対策であると加えます。ZTNAとは、すべてのリモートアクセスを検証する環境を整えることで、クラウドサービスとしても提供されています。VPNの場合、内部リソースへのアクセスに必要な認証は、VPNに入る際の1度だけですが、ZTNA環境ではリソースにアクセスするたびに、そのアクセスの安全性検証・認証が行われ、セキュリティ強度が高まります。ZTNAサービスを提供しているベンダーに管理を任せることもできるため、負荷軽減にもつながります。

続いて、ラテラルムーブメント対策（被害の拡大対策）としては、個別サーバーの脆弱性管理、EDRや攻撃挙動・感染行動などを監視するSIEM（Security Information and Event Management）の導入、ネットワークをできるだけ細かく分けるマイクロセグメンテーションをあげました。

マイクロセグメンテーションでは、VLANなどの機能でネットワークを分離する従来の対策と異なり、各サーバー単位など極限まで細分化できます。「リモートデスクトップまで侵入されたとしてもアクティブディレクトリには侵入できない、などの区分けができる」とし、被害を最小限に抑えられると強調しました。

そして最後に、すばやい復旧を行うためのレジリエンスも重要だと、徳丸氏は付け加えました。2023年、名古屋港のコンテナターミナルシステムがランサムウェアの被害を受けた際に約3日で復旧に漕ぎつけた ⁶ ことを紹介し、非常に素早く、見習いたい例と評価しました。また、約3日で復旧できた理由としては、原因究明よりも復旧を優先したことに加え、バックアップが無事だったこと、システム化以前のマニュアル作業の経験者がいたこと、迅速な意思決定と関係者（各港湾事業者）の結束などが要因と分析しました。

こうした名古屋港の事例のように、バックアップからシステムを復旧できることが理想ではありますが、「システムが大きく破壊され、再構築しなければならいケースもある」と徳丸氏は語り、次のように提言しました。

「災害時同様、システムの再構築は想定しておくべきだ。著名な大企業も被害に遭っており、そうした状況は各社で起こり。仮想化・クラウドの技術により、スクリプトを1つ流せばすべてのシステム、インフラが再構築できる方法は存在する。そうした技術を使って、スクリプト一発とはいわないまでも、数日ぐらいで再構築できるようなシステムを目指す必要がある」（徳丸氏）

ECサイトでは、脆弱性やログインの安全性強化の基本対策が必須

最後のテーマは、ECサイトからのクレジットカード情報漏洩です。徳丸氏は、すかいらーくホールディングスで、4月30日～5月7日の登録されたカード情報2,270件が漏洩したことをとり上げました ⁷。過去には別企業で、約1,000日にわたって情報が漏洩し続けていた例があったことに触れ、「7日で対処できたというのは早いといえる。侵入されたとしても、すばやく対応して被害を最小限にとどめるということが大切だ」と語ります。

クレジットカードの不正利用による年間被害額は右肩上がりで増えており、2025年の調査では年間500億円を超過しています ⁸。カード情報を盗む手口として警戒が必要なのが、フォームジャッキング（ウェブスキミング）です。これはECサイトのカード情報入力画面を改ざんし、正規利用者が情報を入力すると、その情報をそのままハッカーのサーバーに転送する仕組みです。2025年7月に発覚した駿河屋の事例 ⁹ でも、このフォームジャッキングが使われたと報告されています。

こうした脅威に対し、ECサイトや、カード決済を伴うサービスを運営する企業は、どう対策すべきでしょうか。徳丸氏は、サイトの構築手法によって生じるリスクの違いとして、下図を示しながら解説しました。

項目		ECモール	カートASP	自社構築
代表例		楽天、Amazon	MakeShop、Base	EC-CUBE、Welcart
メリット		初期コストが低い セキュリティの責任はあまりない	初期コストが低い セキュリティの責任はあまりない	独自仕様を盛り込みやすい 販売手数料が不要 （決済手数料は要）
デメリット		独自性は出しにくい 販売手数料がかかる	デザインの自由度が低い 機能的自由度がない 販売手数料がかかる	初期コスト高額 保守コストがかかる セキュリティ上の責任が重い
侵入手口	管理画面の不正ログイン	運営者の責任（*1）	運営者の責任（*1）	運営者の責任
	アプリケーションの脆弱性	事業者の責任	事業者の責任	運営者の責任
	OS等基本ソフトウェアの脆弱性	事業者の責任	事業者の責任	運営者の責任

ECサイトの構築手法は大きく分けて3つあります。1つ目は、楽天やAmazonといったECモールへの出店です。徳丸氏は、「モール自体が侵害されない限り、システムの安全性は非常に高い」と評価します。ただし、店舗側の管理画面の認証情報が盗まれれば元も子もありません。ID・パスワード管理という「運用側のセキュリティ」を徹底することが前提となります。

2つ目は、カートASPを利用して自社サイトを構築する方法です。カスタマイズの自由度は低いものの、システムの根幹はサービスプロバイダーが管理しているため、安全性を確保しやすいメリットがあります。

最も注意が必要な3つ目の構築手法が、EC-CUBEなどのソフトウェアを活用した独自のサイト構築です。カスタマイズの自由度が高く、販売手数料が不要で、構築を安価で請け負う業者・フリーランスも存在します。ランニングコストを抑えることができますが、セキュリティの重い責任も運営者に帰属します。

徳丸氏は、「ここまでに紹介した事例はすべて、3つ目の自社構築のパターン。サイト構築時の委託先がセキュリティの優先度を下げる、構築後の運営中に発生した脆弱性の管理までは対応しない、などのケースが散見される」とし、委託先とセキュリティ面の要件について事前に合意することの重要性を強調します。

また、「ECサイト事業者は、割賦販売法により、セキュリティ対策が法的に義務付けられている。脆弱性の対策やログイン認証の強化といった基本対策は必要」と語り、講演を締め括りました。

（文：渡邊 智則）

---