サイバー攻撃の現状と傾サイバーセキュリティに特化

止を引き起こす重大なリスクな顧客情報の漏洩や業務の停サム攻撃も発生している。の攻撃であるノーウェアラン

では新しいランサムウェア型

尚人

した新たなガイドラインを作となっている。

株式会社クニエ 福澤成している。

念ィッシング攻撃の増加が懸⑴ ラ ン サ ム ウ ェ ア 攻 撃、 フしている。特に、金融機関を攻撃の手法は高度化・巧妙化

レポートによれば、サイバー金融庁のシステム障害分析テム内に侵入し、データを暗意のあるソフトウェアがシス

ランサムウェア攻撃は、悪４・５倍にば対価を払うことを要求する。

ータを公開してほしくなけれ情報等のデータを窃取し、デ号化を行うのではなく、顧客

この攻撃では、データの暗金融庁では毎年「金融機関狙 っ た 攻 撃 は、 そ の 手 口 が①ランサムウェアは３年で約のシステム障害に関する分析業務を継続することができず、 ムメールとは異なり、ターゲ

また、このような攻撃は、全ットの組織に関する詳細な情号化することから始まる。デも関係するところでは、ラン業務復旧のためにはデータの報を収集し、それに基づいて年々複雑化し、被害の規模もその原因分析や事例を共有しサムウェア攻撃やフィッシン復号化が必要であり、この対カスタマイズされたメールをレポート」（ 以 下、 シ ス テ ムている。加えて、近年のサイグ攻撃が挙げられる。これら応に身代金を要求する。近年

方位にばら撒く一般的なスパ

バー攻撃の被害状況等を踏まの攻撃による被害は、大規模ータが暗号化された状態ではえて、その対策の重要性から障害分析レポート）を作成し、 拡大している。営業店職員に

向1

昨今のサイバー攻撃の増加などにより、サイバーセキュリティリスクへの対応の重要度は日増しに高まってきている。サイバーセキュリティ対策は経営層やリスク管理部門だけの課題ではなく、営業店職員までを含めて全社的に実行していくことが肝要である。本稿では、サイバー攻撃の現状と傾向、具体的な対策、そして従業員一人ひとりが日常業務で意識すべきポイントについて詳述する。

金融分野 におけるサイバーセキュリティ に関するガイドラインの解説

特別企画1442024.9 銀行実務

送信することで成功率を高めているケースもある。

件であったが、２０害報告件数は、２０２０年下期では間以上が％であり、業務に半の業務停止に陥った事件が挙げられる。攻撃者はシステ

ム の 脆 弱 性 を 突 い て 侵 入 し、甚大な影響を与える攻撃だと言える。
約６倍に

また、２０２４年１月には件と約４・フィッシング攻撃は、信頼国内医療製品メーカーがフィ２３年下期にはできる組織を装った電子メーッシング攻撃を受け、２億円

警察庁の「令和５年におけルで偽のウェブサイトに誘導

相 当 の 被 害 が 発 生 し て い る。

データを暗号化することで業５倍に増加している（図表１

し、個人情報や認証情報を盗この攻撃では、攻撃者が取引②フィッシング攻撃は３年でるサイバー空間をめぐる脅威
参 照 ）。 こ の 増 加 傾 向 に あ る

む 手 口 で あ る。 こ の 手 法 は、先を騙ったメールで支払先の14

ランサムウェア攻撃による被件ることが多く、その報告件数に電子メールを通じて行われる。フィッシング攻撃は、特を入力させるというものであ送業務を委託されている企業

な金融機関から帳票作成や発業界でも発生しており、様々

ランサムウェア攻撃は金融た攻撃があったが、２０２３年には約で個人情報の漏洩が発生してターミナルシステムがランサ

０２３年７月国内の港の統一

近年の被害事例として、２刻な影響を示しており、事前な事例は、サイバー攻撃の深でも発生している。このようやみずほ銀行といった３メガ突いた攻撃も三菱ＵＦＪ銀行

ムウェア攻撃を受け、約２日している（図表２参照）。

いる。また、その他脆弱性をは２０２０年では約万件で３メガでも脆弱性を突い務を停止させた。の情勢等について（２０２４
ランサムウェア攻撃による被銀行やクレジットカード会社変更を依頼し、攻撃者の銀行

出典：警察庁 令和５年におけるサイバー空間をめぐる脅威の情勢等について（2024年3月14日）

日公表）」によると、などの名前を騙ってメールを口座に支払いをさせた。

件

年３月
害の復旧に要した時間は１週送信し、受信者に偽のウェブ⑵

出典：警察庁 令和５年におけるサイバー空間をめぐる脅威の情勢等について（2024年3月14日）

サイトにアクセスさせて情報

94

21

52

１１９万件と６倍近くに増加

22

下
上下
上下
上下

2024.9銀行実務

45

フィッシング報告件数の推移
図表2

企業・団体等におけるランサムウェア被害の報告件数の推移
図表１

の対策がいかに重要かを物語っている（図表３参照）。

認証の脆弱性を突き、被害者の銀行口座と攻撃者の決済サービスを紐づけたうえで不正送金される被害が 210件発生

金融機関の業務委託先

様々な金融機関から帳票作成や発送業務を委託されている企業がランサム
ウェア攻撃の被害で個人情報が漏洩

が企業やＩＴセキュリティ担

当部署ではなく個人単位での対策にどのように繋がっていサイバーセキュリティ管くのかを説明する。

⑴

理態勢の構築ガイドラインには、経営陣が主体となって全社的にサイバーセキュリティ管理態勢を構築する必要があるといった記載がある。この管理態勢の構 築 に は、 基 本 方 針 の 策 定、規程類の策定、経営資源の確保、人材の育成、リスク管理という当事者意識を持つこと日にしている。このような時勢のの対策の重要性は日に日に増バー攻撃は増加しており、そ前章で記述した通り、サイセキュリティ対策の重要性を融庁が金融機関等のサイバーインが作成されたことは、金れていたが、新たにガイドラュリティに関する言及がなさンの一部としてサイバーセキ求められる。また、サイバー

針を理解し、遵守することが人ひとりが策定された基本方ことも重要である。従業員一員一人ひとりの目線で考えるの目線ではあるものの、従業これらの対策は経営レベル部門による牽制、内部監査がが重要となる。

中で、２０２４年６月

深刻に捉えていることを示し表した。従来は、金融庁の監ュリティ対策を意識し、実施

金融庁は新たに「金融分野にている。

情報管理規程などの様々な管挙げられる。

していくことが自分だけでなおけるサイバーセキュリティ

以降では、当ガイドライン

一人ひとりがサイバーセキも被害者になるかもしれないく、組織や顧客を守ることにに関するガイドライン」（案）

セ キ ュ リ テ ィ 対 策 に 限 ら ず、繋がっていく。

理規程を遵守することも必要

督指針および事務ガイドライ

出所：各金融機関のウェブサイトよりクニエ作成の重要なポイントおよびそれ

46

2024.9 銀行実務

サイバー攻撃の手法は日々進化し続けているが、システム的な技術進化だけでなく人の心理的な隙を突くような技術であるソーシャルエンジニアリングなどにも注意が必要だ。
また、近年増加している標準型攻撃は、企業や組織だけでなく、従業員個人を綿密に調査し、対象に有効的な手法で攻撃を行う。そのため、組織としての対策だけでなく従金融庁サイバーセキュリ

ローカルキャッシュマネジメントサービ
スに不正アクセスが発生し、13 社の2019年 三菱UFJ銀行 口座情報と振込先等取引先明細、およびそこに含まれる取引先名・従業員名等の第三者情報 1305 件が漏洩

（ 以 下、 ガ イ ド ラ イ ン ）を 公

業員個人が、対岸の火事の意

2019年 みずほ銀行

ティガイドラインの要点

2020年 ゆうちょ銀行

2024年

新生銀行
従 業員のパソコンがマルウェア感 染グループ会社 し、38 件の債務者情報等が漏洩
2016年

概要
被害企業
発生年月

J–Coin Pay の加盟店管理に関わるテスト用システムに不正アクセスがあり、1 万件以上の法人代表者や窓口担当者の個人情報が漏洩

28

識ではなく、１分後には自分金融機関におけるサイバー攻撃被害事例
図表3

２

の話だけではなく、個人にも管理態勢の構築という全体⑵ 情報資産管理である。

被害を極小化や局所化するこうことでサイバー攻撃によるタイミングで最適な管理を行確保することである。適切な身がサイバー攻撃にあった場必要である。これにより、自りがルールを遵守することがそのため、従業員一人ひとを日々配布している。

弱性対応情報（修正パッチ等）しないよう全世界の顧客に脆同様の被害が別の企業で発生応を行わないことは、世界の社内連絡に従って適切な対合でも被害を最小限に食い止めることが可能となる。とに効果的である。
顧客情報を例にとると、上関わりがあるデータの領域についてもサイバー攻撃への対た被害者と同じ状態を維持す

どこかでサイバー攻撃にあっェア等の脆弱性管理ることになる。そのため、Ｉ

ハードウェア・ソフトウ

タは機密性が低いが、非上場

次に、ＩＴセキュリティ担Ｔセキュリティ担当部署の指⑶データには取得・使用・保企業である取引先から提出さ当部署が社内外で収集したハ示のもと、パソコンやスマー場企業の公開されているデー

管・廃棄といったライフサイれた決算書等の非公開データードウェアおよびソフトウェ策が必要である。

クルが存在し、その全体を通は機密性が高いため、厳格なセキュリティ状態を保つことじて管理する必要がある。まき、パッチ適用等の適切な対が必要である。

トフォン等のツールは最新のまた、Ｍ＆Ａの情報は機密応を実施することが求められ⑷

アに関する脆弱性情報に基づ可用性の観点で重要度を分類性が極めて高く、一層厳格なる。○月△日の深夜に「セキ日々進化しているサイバー取り扱いが求められる。

し、その重要度に応じて適切取り扱いが必要である。このュリティパッチの更新がある攻撃に対策するためには、社

た、データは機密性・完全性・な保護対策を講じることが求ように営業店の一担当者が取ため××してください」とい内外での最新の脅威情報等を機密性が極めて高い情報をだけがアクセス可能であることを確保することである。完個人のパソコンのローカルフ脆弱性管理対応の一環である。 響を評価し、対応を適宜適切継続的な改善活動められる。

り扱う情報でも機密性は様々った社内連絡を受けたことが収集し、その発生可能性や影機密性とは、許可された人である。

あるかもしれないが、これも全性とは、データへの書き込類に定められた適切な管理をストールされているが、それは様々なソフトウェアがイン

動自体は社内のＩＴセキュリ要である。情報収集や改善活を継続的に実施することが必なものに変化させる改善活動

データが正確で改ざんされて実施していない場合、規程上らを提供している各社は、世ティ担当部署が担当すること企業で使用するパソコンにいないことを確保することで起きるはずのない被害がサイ界のどこかでサイバー攻撃をみや消去等の操作が制限され、 ォルダに保存するなど、規程ある。

バー攻撃によって発生してし受けたことで脆弱性に気付き、 が多いが、その改善活動を踏可用性とは、必要な時にデまうことになる。
ータにアクセスできる状態を2024.9

銀行実務

47

繰り返し記載するが、サイている。

ィソフトウェアでパソコンやバー攻撃は日々進化しており、企業では様々なセキュリテやツールを正しく運用するこスマートフォンを守っている

まえて変わった社内のルールとが従業員一人ひとりに求め銀行業界を取り巻く環境とサイバーセキュリティの展望

従業員一人ひとりが定期的に減少や高齢化に加え、低金利対策も日進月歩しているため、日々お客様と接していると、 を勝手にインストールするこセキュリティの動向および対環境の長期化等によって、銀ため、それらが及ばないものとはサイバー攻撃を受けるリ策に関する情報をアップデーられている。
社内ルールの変更は読むのもスクを高める行為である。

日本全体の課題である人口煩わしいことであり、ツールば 良 い と い う こ と で は な く、策は一度決めたことを続けれら、サイバーセキュリティ対まいがちである。しかしなが手間のかかる作業と捉えてしの変更は慣れた手法を変える意識を持つことができるとな

企業全体としてのリスク管理に止めるよう声掛けする等の同僚が行っている場合は即座

シャドーＩＴと呼ばれるこページに送ることができない、 融プレイヤーが登場し、金融定時間経たないと教材を次の工夫が必要である。例えば一浸透させるために各社様々なよう自身が意識するとともに、 法であるため、内容を全社にれらの行為は絶対に行わない

習熟度テストで満点回答にな号資産交換業者等の新たな金デジタル技術の発展により暗素となっている。また、ＩＴ・

デジタル技術が欠かせない要業務の維持のためにはＩＴ・トすることが最も大切である。 行 業 界 は 厳 し い 状 況 に あ り、対策も日々変化する必要があお良い。

り組めていない際の一例としサイバー攻撃に前向きに取に取り組む姿勢が大切である。

形で表れているはずである。

ルールやツールとして様々なまでに記載した内容は各社のデータの取り扱い等、これ

くとも、サイバーセキュリテあるが、このような機能がなーの低さから生まれた機能でこれらは受講者のリテラシ

サイバーセキュリティ対策の向がより一層進むと考えられ、環境であるが、今後はその傾ければ業務が停止してしまう機関でも利用者ニーズの多様て、社内で使用しているソフ

この各社独自のルールを徹

ィ対策の重要性を理解し、真重 要 性 も 一 段 と 増 し て い く。

化に対応するため、ビジネストウェアが使用しづらいため、底し、ツールを正しい方法で剣に取り組むことが必要であ

そのような未来が予想されるるまで何度もテストを受ける

ｅラーニングは受け身な手る。このことを意識し、改善⑸

プライベートでも利用してい運用するためには、教育・研る。

教育・研修活動の結果に対しても前向きるソフトウェアを会社用のパ修が欠かせない。多くの企業中で、技術の発展はサイバーモデルの変革が進んでいる。

ソコンやスマートフォンにイではｅラーニング等の手法をセキュリティ対策にポジティ必要がある等の仕組みだ。

ンストールしてしまうことが用いて定期的な教育を実施し現在でもＩＴシステムが無挙げられる。

48

2024.9 銀行実務

３

により、過去の攻撃者の挙動ＡＩによる膨大なデータ解析

ブ な 影 響 を 与 え る。 例 え ば、いくということである。

日々変化し、対策も変化してとはサイバー攻撃の手法はは存在し、今後はより精度が持ったセキュリティサービス

現在でもこのような機能を

銀 行 法 の 第 一 条 に は、「 こ の復することは容易ではない。に低下したお客様の信用を回一度大規模な被害に遭った際

セキュリティは目に見えな

高 ま っ て い く と 考 え ら れ る。

法律は、銀行の業務の公共性を学習し、将来の攻撃パター

この例を見ると安心するかもに か ん が み、 信 用 を 維 持 し、いものであり、事後的に対策しれないが、攻撃者もＩＴ・預金者等の保護を確保すると信用が特に重要であることを投資教育と投資助言／投資商品の基礎知識

ンを予測することが可能とな

デジタル技術の恩恵を享受す

ともに金融の円滑を図るため、

これまでサイバーセキュリ改めて意識し、サイバーセキ

iDeCoの提案と投資知識■テキスト２を徹底的に実施したところでるため、結局は攻撃者と対策

銀行の業務の健全かつ適切なティの現状と傾向、金融庁のュリティに関する意識を一人顧客にとって、iDeCoは老後資金確保に向けた大きな選択肢になっているといえ、金融機関の担当者としては、的確な営業活動が重要となります。老後資金確保ニーズに対して、他の金融商品を推奨する場合にも、iDeCoの特性をきちんと理解したうえでの提案・販売活動が不可欠です。
本講座は、iDeCoの全体像から加入提案の方法まで詳しく解説しました。

確定拠出年金の基礎知識■テキスト１る。

手法のいたちごっこは続くと運営を期し、もつて国民経済目 的 と す る。」 と あ る。 銀 行の健全な発展に資することを考えられる。
お客様のために一人ひと新たなサイバーセキュリティ

ひとりがアップデートし続けは 公 共 的 な サ ー ビ ス で あ り、ガイドラインの内容、金融業ることが必要である。

りが意識のアップデートを界を取り巻く環境と今後の展望について述べてきた。過去を踏まえて未来でも言えるこ

2024.9

銀行実務49４

通信講座

iDeCo活用提案講座

受講期間：２ヵ月／受講料：12,000円（税込）
受講期間：３ヵ月／受講料：14,300円（税込）

金融機関の確定拠出年金口座獲得の必要性／確定拠出年金の概要と位置付け／顧客の関心事と適切な回答（Q＆A）

iDeCoのアプローチとアドバイス／自営業者へのアプローチとアドバイス