ネットワーク犯罪の手口と対策

月曜の朝、画面が真っ赤に染まったら

動画は、こんな場面を想像させるところから始まります。月曜日の朝9時、出社してコーヒー片手にパソコンの電源を入れると、画面全体が真っ赤で、中央にはカウントダウンのタイマー。そこに「500万円分の暗号資産を支払え。さもなければ社内サーバーの全顧客データを完全に消去する」というメッセージが出ています。映画のワンシーンのようですが、動画は、今日も世界のどこかで実際に起きている現実だと言います。

これがネットワーク犯罪です。動画では、経済的利益の追求や単なる嫌がらせを目的にした多様なサイバー攻撃のリスクが、今のインターネット環境には常に存在していると説明されます。今回は、見えない敵がシステムと人の心理の隙をどうついてくるのか、代表的な手口と防御策が順に紹介されます。

動画の順序は、まずシステムや技術の弱点を狙う攻撃を3つ見たあと、「もっと手っ取り早い場所」として人間に移ります。この記事も同じ順で進めます。

ランサムウェア：データを人質に取る

冒頭の赤い画面の正体がランサムウェアです。動画では、不正を行うために作られた悪意のあるソフトウェアであるマルウェアの一種と紹介されます。ランサムは「身代金」の意味で、感染したコンピューターをロックしたり、ファイルを暗号化したりして使えなくしたうえで、元に戻すことと引き換えに身代金を要求するソフトウェアだと説明されます。

（補足：警察庁は、ランサムウェアを、端末等のデータを暗号化して使えない状態にしたうえで、復号の対価として金銭や暗号資産を要求する不正プログラムと説明しています。あわせて、暗号化せずにデータを盗んで対価を要求する「ノーウェアランサム」の被害も確認されているとしています。）

（補足：同じ警察庁の資料では、手口として、VPN機器などインターネットに露出した箇所から、未修正の脆弱性や漏えいした認証情報、簡易なパスワードなどを悪用して侵入するものが多くを占め、データを盗んで「払わなければ公開する」と脅す二重恐喝が被害の多くを占めるとされています。動画は暗号化・ロックの面を中心に説明しており、この点には触れていません。IPAの「情報セキュリティ10大脅威2026」では、組織向けの1位が「ランサム攻撃による被害」です。）

EPPとEDR：入口で止めて、入られた後に見つける

（補足：警察庁は、バックアップもろとも暗号化される事例が多数あるとして、バックアップをネットワークから切り離してオフラインで保存するなどの備えを勧めています（https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html）。動画では触れていません。）

防御策として動画が挙げるのがEPPとEDRです。EPPはエンドポイント・プロテクション・プラットフォームで、動画では、マルウェアの感染防止や不正アクセス、攻撃通信のブロックなどによって、ランサムウェアなどの侵入を未然に防ぐ事前防御だと説明されます。

そこで出番になるのがEDR（エンドポイント・ディテクション・レスポンス）です。動画では、PCやサーバーに侵入したマルウェアの不審な挙動を検知し、異常があればシステム管理者に通知するなど、侵入後の事後対処を行うものと紹介されます。聞き手は、これを「万が一侵入された後に作動する、室内の動体検知センサー」とたとえます。

動画は、入り口を固めるEPPと、突破された時のために内部の異常をすぐ察知するEDRという、事前と事後の二段構えが、被害を最小限に抑えるバランスとして重要だと言います。

（補足：応用情報技術者試験のシラバス（Ver7.2）の用語例には、EDR（Endpoint Detection and Response）が挙がっています。EDRは、侵入を完全に防ぐのは難しいという前提で、侵入後の検知と対応に主眼を置く技術と説明されることが一般的です（Wikipediaによる説明で、二次資料です）。なお、EPPの定義は、一次資料を確認できませんでした。ここでは動画の説明をそのまま紹介しています。）

SQLインジェクション：入力欄が金庫の裏口になる

ここまでは個人のPCや社内サーバーを守る話でした。動画は次に、企業が持つデータそのものを狙い打ちにする攻撃としてSQLインジェクションを取り上げます。動画では、Webアプリケーションの脆弱性を意図的に利用した攻撃で、SQL文を不正に注入（インジェクション）して、データベースにあるユーザーの個人データや決済情報などを不正に取得する手口だと説明されます。

聞き手は「顧客の利便性のための入力欄が、そのまま金庫の裏口につながってしまう」と表現します。

（補足：動画にない具体例を、自作の設例で示します。顧客3件が入った表に対し、名前の欄へ ' OR '1'='1 と入れたとします。入力値を文字列としてつなぐ作り方では、SQL文は WHERE name = '' OR '1'='1' になり、条件が常に真なので3件すべてが返ります（Pythonで検算しました）。値を後から機械的に当てはめる作り方なら、その文字列は名前として探されるだけで0件です。）

組み立て方	設例の結果
文字列連結	3件（全件）
プレースホルダ	0件

（補足：IPAの「安全なウェブサイトの作り方」では、SQLインジェクションの根本的解決として「SQL文の組み立ては全てプレースホルダで実装する」が最初に挙げられています。プレースホルダは、SQL文の雛形に変数の場所を示す記号を置き、あとから値を機械的に割り当てる仕組みです。）

WAFとゼロデイ攻撃：入れておけば安心、とは言えない

動画では、SQLインジェクションなどのWebアプリケーションへの攻撃を検知して防ぐために、WAFが用いられると説明されます。WAFはウェブアプリケーションファイアウォールの略で、ウェブサイトの入口に立ち、入力されるデータに不審な命令文が混ざっていないか中身をチェックします。

ゼロデイ攻撃とは、動画では、脆弱性に対する修正プログラムや回避策が公開される前に、その脆弱性を悪用して行われるサイバー攻撃と説明されます。防御側は自分たちのシステムに弱点があることすら知らない状態で攻撃を受けるため、最新のシステムを使っていても防ぐのが極めて難しい、と動画は言います。

（補足：動画の単純化の確認です。動画はWAFだけで足りない理由をゼロデイ攻撃で説明しますが、WAFの位置づけとしては、ウェブアプリの実装面の根本対策ではなく、攻撃の影響を低減する運用面の対策と説明されています（Wikipediaの記述で、IPAのWAF読本などを出典としています。IPAの原本は、取得時に文字化けして本文を確認できませんでした）。SQLインジェクションの根本的解決は、前節のとおりプレースホルダです。ゼロデイ攻撃の定義は、Wikipediaでは「修正プログラムが提供される日より前にその脆弱性を攻略する攻撃」とされ、動画の説明と大きな違いはありません。）

標的型攻撃メールと出口対策：人間を狙う

動画はここから、話を人に移します。どれだけEPPやWAFでシステムを固めても、攻撃者はもっと手っ取り早い場所、つまり「最も弱いリンクである人間」を狙う、という流れです。その代表が標的型攻撃メールです。

聞き手は、取引先の名前で自然な業務メールが届いたら、疑わずに添付ファイルを開いてしまいそうだと感じます。では、だまされて感染したら手遅れでしょうか。ここで動画が重要だとするのが出口対策です。標的型攻撃メールの対策としては、ウイルスに感染した後にデータが外部へ流出しないようにする出口対策が重要になる、という説明です。

（補足：IPAの「情報セキュリティ10大脅威2026」では、組織向けの5位が「機密情報を狙った標的型攻撃」です。出口対策の定義は、一次資料を確認できませんでした。ここでは動画の説明のみを紹介しています。）

クリックジャッキング：透明なシートに押される

人を狙う手口は他にもあります。動画では、クリックジャッキングは、一見正常なWebサイト上に不可視のレイヤーを配置するなどして、リンクやボタンを隠蔽・偽装し、クリックを誘う攻撃と説明されます。目的は、個人情報の不正取得やコンピューターの乗っ取りなどとされています。

聞き手が指摘するとおり、システム上は利用者本人が自分で操作したことになってしまう点が、たちの悪いところです。

（補足：IPAの「安全なウェブサイトの作り方」では、クリックジャッキングは、ログイン後の利用者だけが使える機能がマウス操作のみで実行できるサイトで、細工された外部サイトを操作した利用者が、意図しない機能を実行させられる問題とされています。例として挙がるのは、意図しない情報発信、意図しない退会処理、公開範囲の意図しない変更などです。動画の「不正なアプリのインストール」や「コンピューターの乗っ取り」は、取得できたIPA本文の例には見当たりませんでした。IPAが示す根本的解決は、X-Frame-Optionsヘッダで、他ドメインのサイトからのframe・iframeによる読み込みを制限することです。）

ソーシャルエンジニアリング：技術を使わずに心理をつく

動画が「極めつけの手口」として紹介するのがソーシャルエンジニアリングです。動画では、攻撃者が社内のIT担当者などを装い、電話口でログイン情報を巧みに聞き出すなど、人間の心理的な隙をついて機密情報を窃取する手法と説明されます。

どんなに何億円もかけて最強のファイアウォールやEPPを構築しても、管理者がうっかり電話でパスワードを教えてしまったら一巻の終わりです。「システム障害でデータが消えそうです。緊急でパスワードを教えてください」と焦らせ、善意やパニックにつけ込むわけです。動画は、技術だけでは解決できない、セキュリティの難しさがここにあると言います（字幕が不明瞭な箇所があり、言い回しは正確ではない可能性があります）。

（補足：ソーシャルエンジニアリングは、人間の心理的な隙や行動のミスにつけ込んで秘密情報を入手する手法とされ、IT担当者を装って「メンテナンスのためパスワードの確認が必要」と電話する例が挙がっています（Wikipediaで、二次資料です）。基本情報技術者試験のシラバス（Ver9.2）には、人的セキュリティ対策として、ソーシャルエンジニアリングなどのリスクを軽減するための教育と訓練が挙がっています。）

まとめ

動画は、ランサムウェアの物理的なロックに始まり、SQLインジェクションによるデータ泥棒、時間差を利用するゼロデイ攻撃、さらに人の心理をつく標的型攻撃メールやソーシャルエンジニアリングまで、あらゆる角度から見えない敵が迫っていると振り返ります。そして、EPP、EDR、WAF、出口対策といった知識が武器になるとまとめます。

手口	動画の対策	補足
ランサムウェア	EPP・EDR	オフライン保存
SQLインジェクション	WAF	プレースホルダ
ゼロデイ攻撃	WAFの話で登場	修正前を狙う
標的型攻撃メール	出口対策	定義は未確認
クリックジャッキング	説明なし	X-Frame-Options
ソーシャルエンジニアリング	具体策なし	教育と訓練

動画の最後は、システムを最新の状態にし続けても、最終的なセキュリティの扉を開け閉めするのはあなた自身だという言葉で締められます。そして、「もし明日、社内のIT担当者を名乗る人物から、緊急のシステム確認のためにパスワードを教えてほしいと電話がかかってきたら、あなたはどう対応しますか」と問いかけて終わります。