消費者のための情報セキュリティ入門特集

特集 2

消費者が知っておきたい
情報セキュリティ対策
佐條 研

Sajo Ken

一般社団法人 JPCERT コーディネーションセンター レスポンスグループ マルウェアアナリスト
ばらまきメールや標的型攻撃の脅威動向分析、インシデント対応業務に従事するほか、啓発活動なども行っている

分類したものが図 2 になります。全体の報告のサイバー攻撃を知る

うち、3 分の 2 はフィッシング攻撃に関する報JPCERT コーディネーションセンターはサイ告であり、標的となっているのは個人消費者でバーセキュリティ上の問題・事件（以下、インシす。それ以外のスキャン＊ 1 やウェブサイト改デント）の発見と対処、被害の抑止に向けた活動

ざん＊ 2 なども個人消費者が標的となっているを行っており、国内外のさまざまな個人・組織ものが多いです。

からインシデントの報告を受けています。当セ

高度な標的型攻撃と呼ばれるものを除くと、ンターに寄せられた過去 5 年間のインシデント

一般的にサイバー攻撃というのは、金銭やそれの報告の推移を図 1 に示します。図から分かるに代わるものを窃取することを目的としていまように、年々増加しており、消費者がサイバー攻す。その手段として被害者を騙すことで攻撃を撃に遭遇するケースが増えているといえます。

成功させようとします。そのため、サイバーセ報告を受けたインシデントをカテゴリー別にキュリティ対策として必要なことは、まずはどだま

図 1 年間報告件数の推移（年度比較）

図 2 報告を受けたインシデントのカテゴ
リー別割合（2023 年 1 月～ 3 月）
DoS/DDoS

60,0000.11%

マルウェアサイト

2%

50,000

標的型攻撃

0.04%

その他

インシデント報告件数4%

ウェブサイト改ざん

40,0004%30,00046,94220,00010,0000

16,3982018

53,92150,801

24%

フィッシングサイト

20,147

2019

スキャン

66%

2020

2022（年度）

2021

出典：一般社団法人 JPCERT コーディネーションセンター「JPCERT/CC インシデント報告対応レポート 2023 年 1 月 1 日〜 2023 年 3 月 31 日（第 3 版）」（2023 年 4 月 18 日）https://www.jpcert.or.jp/pr/2023/IR_Report2022Q4.pdf＊1

サーバーやパソコンなどの攻撃対象となるシステムの存在確認や、システムに不正に侵入するための弱点（セキュリティホールなど）を発見するために、攻撃者によって行われるアクセス（システムへの影響がないもの）を指す。また、マルウェアなどによる感染活動も含まれる＊2

攻撃者もしくはマルウェアによって、ウェブサイトのコンテンツが書き換えられた（管理者が意図したものではないスクリプトの埋め込みを含む）サイトを指す

国民生活
2023.85

特集

消費者のための情報セキュリティ入門

特集 2 消費者が知っておきたい情報セキュリティ対策のような攻撃があるかを知り、注意すべき点をく、サービスごとに異なる複雑なパスワードを知ることです。昨今のサイバー攻撃の傾向や事すべて覚えておく必要はありません。サービス例（特集 1 参照）について知り、どのような時にごとの複雑で安全なパスワードもパスワード管どのような点について注意を払って行動するべ理ツールが自動的に作成することも可能です。

きかを知ることが重要です。

多くのパスワード管理ツールはパソコンとスマートフォンどちらでも一貫して利用することが可能となっています。

パスワードの管理

パスワード管理ツールを使うことのメリット

ねら

サイバー攻撃で最も狙われる対象の 1 つはア

は、複雑なパスワードを覚えておくのを任せる

カウントとパスワードの「認証情報」
です。パスことができるという点だけではありません。そワードは文字数や使う文字によって安全さが異のパスワードを入力するべきサイトをセットでなります。当センターでは安全なパスワードの覚えているため、ほかのサイトに誤入力するこ条件として次の条件を満たすものを推奨していとがないという点です。例えば、フィッシングます。

サイトを訪れてしまってパスワードを入力しようとしても、正規のサイトではないためパス安全なパスワードの条件

ワード管理ツールが入力を行いません。そのこ◦パスワードの文字列は、長めにする（12 文とを理解していれば、フィッシングサイトであ字以上を推奨）ることに気がつきパスワードを入力してしまう◦大小英字だけでなく、さまざまな文字種（数こともなくなるでしょう。

字、記号）を組み合わせる

さらに、より強固なセキュリティ対策として◦推測されやすい単語、生年月日、数字、キー携帯電話への SMS やトークン＊ 3、スマートフォボードの配列順などの単純な文字の並びやンアプリなどを使用したワンタイムパスワード

ログイン ID は避けるを使った 2 段階認証があります。アカウント◦ほかのサービスで使用しているパスワード

ID とパスワードによる認証に加えて、ログイは使用しないン時に一定時間だけ有効なパスワードを使用ししかし、複雑で安全なパスワードをサービスてログインを行うしくみです。もしパスワードごとに作成し管理するのは利用するサービスがとワンタイムパスワードが盗まれてしまった場少なければ可能ですが、多くなると管理するの合でも、ワンタイムパスワードは毎回変化するは困難になります。管理が難しい場合は、信頼性ため、利用者の手元で確認する最新のワンタイのあるパスワード管理ツールを使用しましょう。

ムパスワードがない限り、不正なアクセスを防多くのパスワード管理ツールでは、インターぐことができます。パスワード管理ツールと合ネットサービスごとにアカウント ID とパスわせて使うとより効果的です。

ワードを一度登録しておけば、利用する際にツールから呼び出して自動入力することができウイルス対策ソフトの利用ます。したがって、利用者はツールを起動する
ためのパスワード 1 つを覚えてさえいればよ＊3

ツールでできるセキュリティ対策はほかにもワンタイムパスワードを生成する機械やソフトウェアのこと。非接触型や Bluetooth 型、PC カード型、USB 型などがある

国民生活2023.86

特集

消費者のための情報セキュリティ入門

特集 2 消費者が知っておきたい情報セキュリティ対策あります。まず優先すべきことはパソコンへウ

ソフトウェアの定期更新

イルス対策ソフト、スマートフォンへウイルス対策アプリなどのツールを導入しておくことです。

定期的に更新が必要なものはウイルス対策ソ

ウイルス対策ソフトは、パソコンがコンピューフトだけではありません。すべてのソフトウェ

ターウイルスに感染した時に見つけ出すことがア、アプリは新しいバージョンが出たら更新すできます。初めからインストールされているウる必要があります。なぜ更新が必要なのでしょ

イルス対策ソフトでもある程度はブロックしてうか？

くれますが、製品によってはインターネットでソフトウェアのバージョンアップには主に 2アクセスするウェブサイトが不審なものかどうつの内容が含まれています。1つは機能の追加、かを判定しブロックしてくれる製品もあります。

もう 1 つはソフトウェアの不具合の修正です。

例えば、コンピューターウイルスに感染するお後者の不具合の修正には、ソフトウェアにできそれのあるウェブサイトやフィッシングサイト、てしまったセキュリティ上の “ 穴 ” を修正する

偽ショッピングサイトなどを検知してブロックものが含まれます。ソフトウェアを作る際にはしてくれます。こういった製品を選んで導入す

セキュリティに考慮して作成されますが、それれば、ウイルス対策ソフト1つでコンピューターでも意図しない挙動が発生してしまうことがあウイルスの被害と悪意あるウェブサイトの被害ります。それは脆弱性と呼ばれるセキュリティの双方からデバイスを守ることができますので上の “ 穴 （” セキュリティホール）となり、これ検討してください。

がサイバー攻撃に悪用されることがあります。

ぜいじゃく

なお、ウイルス対策ソフトが新しい脅威を検こういった脆弱性を防ぐためにソフトウェアに知するためには、定期的にセキュリティサービ新しいバージョンが出たらバージョンアップすス提供元へ通信し、脅威情報をアップデートする必要があります。製品によってはセキュリる必要があります。ウイルス対策ソフトを導入

ティの適用をまとめたものをバージョンアップ

すると定期的に自動で通信する設定になっていとしてではなく「パッチ」と呼んで提供している

るため、そのままの設定にしていれば問題はあケースもあります。その場合は「パッチの適用」

りませんが、有償のウイルス対策ソフトであれと呼ばれます。

ば 1 年ごとなど定期的にライセンスを購入し更バージョンアップが必要なソフトウェアの中新する必要があります。ライセンスの切れたウで一番重要なのは、パソコンやスマートフォン

イルス対策ソフトは導入していても効果はほぼの基本のソフトウェアであるOS です。パソコンありませんので、注意してください。

であれば Windows、Mac OS、スマートフォンで

ただし、ウイルス対策ソフトといえども、ウあれば Android、iOS です。これらは基本のソフ

イルスの発見も危険なウェブサイトのブロックトであるために最もセキュリティ上の穴になりも完璧に行えるものではないことには注意が必やすく、OSの提供元が定期的にバージョンアッ要です。ウイルス対策ソフトが警告を出さなプの提供を行っています。例えば Windows でかったからといって必ずしも安全といえるわけ

あれば毎月 OS のアップデートが提供されていではありませんので、不審なファイル、不審なますので、提供されたらアップデートを適用しサイトだと思われたときには、より安全な対応ましょう。スマートフォンの場合は OS のアッとなるように不審なものは触れないようにしてプデートまでの期間が長い傾向がありますが、ください。

代わりにアプリの更新が頻繁に行われています。
国民生活2023.8

7

特集

消費者のための情報セキュリティ入門

特集 2 消費者が知っておきたい情報セキュリティ対策

設定可能であれば自動で更新されるように設定

は、プラグインも含めて把握したうえで、パソしましょう。ただし、OS にはサポート期間とコンと同様に OS とソフトウェア、プラグインいう概念があります。古い製品を使い続けていのアップデートを定期的に行う必要がありまるとサポート期間が終了して、バージョンアッす。対して、クラウドサービスを利用してウェプやセキュリティパッチの提供がなくなってしブサイトを公開している場合にはサービス提供まいます。そういった製品を使い続けることは側がソフトウェアを一括して管理していますのセキュリティが担保できなくなるため、よくあで、アップデートを個人が管理する必要はなくりません。古いパソコンやスマートフォンは性なります。ウェブサイトのソフトウェアの管理能も低くなりますので、OS を更新する意味でが難しい場合にはクラウドサービスを使うこともパソコンであれば 3 ～ 5 年、スマートフォンも検討してください。

であれば 2 ～ 4 年に 1 度を目安に買い換えるのどちらの場合でも、管理者アカウントのパスがよいでしょう。

ワードは、複雑で安全なものにする必要がありバージョンアップが必要なのはOSだけではあます。ウェブサイトは公開するという意識ととりません。特にサイバー攻撃で狙われることがもに管理するという意識も必要になります。管

多いのは、ほかにブラウザー、オフィスソフト、理できない場合にはウェブサイトをクローズすメールソフト等です。また家庭にある機器で狙る、あるいは管理できる人に依頼する、といっわれるものにルーターがあります。ルーターはたことも考える必要があります。

基本的には自動で更新されますので、標準のパスワードを変更したうえで、定期的に更新されサイバー攻撃は誰もが狙われるる設定になっていることを確認してください。

昨今のサイバー攻撃は企業や個人、業種業界を問わず標的とします。その中でも特に狙われウェブサイトのセキュリティ対策るのは、セキュリティ対策が不足している所でソフトウェアの定期的な更新が必要なのは家す。セキュリティ対策が不足している人からア庭内の機器だけではありません。人によってはカウント情報を窃取し、セキュリティ対策が不サーバーを借りるなどして、ウェブサイトを足しているパソコンやアプリは踏み台として他持っていることもあるのではないでしょうか。

所への攻撃に悪用されたり、自組織への侵入経その場合にはウェブサイトを構成するソフト路として使われたりします。

よそ

ウェアもまた同様に定期的な更新が必要になりインターネットを利用するうえでは誰もがセます。ウェブサイトは基本的には誰からも見らキュリティ対策をする必要があります。セキュれるようインターネットに公開されているたリティの脅威を知らないということは、詐欺師め、利用者と同じように攻撃者もアクセスがでに騙される可能性が高くなるのと同じであり、きます。そのため、セキュリティ対策の “ 穴 ”

セキュリティ対策を行わないということは、家があればすぐに狙われてしまいます。に鍵をかけずに留守にするのと同じようなもの

サーバーを借りている場合にはどのようなです。本記事をきっかけとして、取り組めそうOS やソフトウェアが使われているかを把握しなものからセキュリティ対策を行っていただけておく必要があります。特に WordPress などればと思います。のコンテンツ管理ソフトを使っている場合に国民生活
2023.88