――ここ数年におけるセキュリティ脅威には、どのような特徴がありますか。
岡嶋裕史中央大学国際情報学部教授
中央大学大学院総合政策研究科博士後期課程修了。博士（総合政策）。富士総合研究所、関東学院大学准教授、同情報科学センター所長を経て、現在は中央大学国際情報学部教授、学部長補佐。専門分野は情報ネットワーク、情報セキュリティ。著書は『構造化するウェブ』『ブロックチェーン』（いずれも講談社ブルーバックス）ほか多数。 Photo by Kazutoshi Sumitomo
数年というよりはもう少し長いスパンになりますが、ハッカーの動機はこの十数年ほどで変化しています。昔はハッカーが自己顕示欲を満たすような愉快犯的な不正が大勢を占めていました。例えば「コックローチウイルス」のように、感染したパソコンの画面をゴキブリが這いずり回るので、見た方は驚くし、嫌な感じはしますが、実害はない、といったものです。
ところが現在では、何らかのシステムを壊すもの、あるいは金銭的な利益を狙ったものが増えています。お金を得るために、クレジットカード番号を手に入れようとして個人情報を盗み出すとか、仕事として迷惑メールのばらまきを請け負う、という具合です。
「スパムメールを1通送れば0.01円儲かる」といったケースでは、ハッカー自身のマシンだけでは負荷がかかり、足もつきますから、ほかのパソコンを100万台、ウイルスに感染させて自分の支配下に置くことで踏み台として使い、1億通ばらまく、といった手法がとられます。感染させたマシン自体に何かをしようというのではなく、明らかにお金目的にハッカーの動機がシフトしてきていると言えそうです。
――手口そのものには変化はないのでしょうか。
手口としては、今も昔もよくあるウイルス付きの添付ファイルをメールで送信する手法や「ソーシャルエンジニアリング」といった手法が使われています。一番使われているソーシャルエンジニアリングは、人の錯覚につけ込んだり、焦らせて判断を誤らせたりする詐欺の常套手段。冷静に考えればおかしいと分かるはずなのに「1時間以内に○○するように」と脅して焦らせて騙すというもので、振り込め詐欺などと同じ手口ですね。
ただ最近では、ウイルスを配る、不正侵入をするときに、以前のように手当たり次第にアタックするのではなく、攻撃先の組織や業務、書類の形式など、内情をよく調べてから狙い撃ちするケース、つまり「標的型攻撃」が増えています。その方が成功確率が上がるからです。
コックローチウイルスのようにあからさまに攻撃されていると気づけば人は身構えますが、自分のテリトリーでは気が緩みます。Yahoo!をよく利用する人に向けてYahoo!に似せた画面を用意するなどして、罠にかかった人にクレジットカード番号を入力させる「水飲み場攻撃」といったやり方も増加しています。
