用語集
公表資料や当サイトの記事によく出てくる言葉の意味です。手口ごとの詳しい解説は手口の解説をご覧ください。
- VPN（仮想専用線）
- インターネットを通じて、社外から社内のネットワークへ安全に接続するための仕組み。VPN 機器の弱点や、漏れた ID・パスワードが、ランサムウェアの侵入口として多く公表されています。
- 多要素認証
- パスワードに加えて、スマートフォンに届く確認コードや専用のアプリなど、別の要素を組み合わせて本人を確かめる方法。パスワードが漏れても、それだけではログインできなくなります。
- バックアップ（オフライン・世代管理）
- データの写しを保存しておくこと。ランサムウェアはネットワーク上のバックアップも暗号化するため、切り離した場所に、複数の時点の写しを持つことが勧められています。
- フォレンジック調査
- 端末やサーバーに残った記録を調べ、侵入の経路・時期・持ち出された情報などを明らかにする調査。公表資料では「外部の専門機関による調査」と書かれることが多いものです。
- 二重恐喝
- データを暗号化して身代金を要求するだけでなく、盗んだデータを公開すると脅して支払いを迫る手口。
- カード情報
- クレジットカードの番号・有効期限・セキュリティコード・名義など。カード会社の基準では、事業者がこれらを保存しないことが求められています。
- Web スキミング（決済画面の改ざん）
- EC サイトの決済画面を改ざんし、購入者が入力したカード情報を盗み取る手口。
- トークン方式・リンク型決済
- カード情報を EC サイトのサーバーに通さず、決済代行会社の画面や仕組みで処理する方式。サイトが改ざんされた場合の被害を小さくできます。
- CMS
- Web サイトの記事や商品を管理する仕組み（WordPress・EC-CUBE など）。本体や追加機能の更新が遅れると、侵入の入口になります。
- リスト型攻撃（パスワードリスト攻撃）
- 他のサービスから漏れた ID・パスワードの組み合わせを使って、大量にログインを試す攻撃。パスワードを使い回していると被害にあいます。
- パスワードの使い回し
- 複数のサービスで同じパスワードを使うこと。どこか1か所から漏れると、他のサービスにもログインされるおそれがあります。
- 認証情報
- ID・パスワードなど、本人であることを確かめるための情報。
- 脆弱性
- ソフトウェアや機器の設計・作りの弱点で、攻撃に悪用できるもの。修正プログラムで直されます。
- 修正プログラム（パッチ）
- 脆弱性などを直すために、ソフトウェアや機器の提供元が配る更新。
- ログ（アクセス記録）
- 誰が・いつ・何をしたかの記録。保存していないと、侵入や閲覧の有無を後から確かめられません。
- Emotet（エモテット）
- メールの添付ファイルなどから感染し、盗んだメールの宛先や本文を使って、さらに感染を広げるマルウェア。
- フィッシング
- 実在の組織を装ったメールや SMS で偽のサイトに誘導し、ID・パスワードやカード情報を入力させる手口。
- SPF
- そのドメインのメールを送ってよいサーバーを DNS で宣言する仕組み。受信側がなりすましメールを見分ける手がかりになります。
- DKIM
- 送信したメールに電子署名を付け、途中で書き換えられていないことと、送信元のドメインを確かめられるようにする仕組み。
- DMARC
- SPF・DKIM の結果をもとに、なりすましと判定されたメールを受信側がどう扱うか（隔離・拒否など）を、ドメインの持ち主が宣言する仕組み。
- クラウドに置いたファイルを、誰が見られるかの設定。「リンクを知っている全員」にしたまま個人情報を置くと、外部から見られるおそれがあります。
- アクセス制御
- 誰がどの情報を見たり変えたりできるかを決め、それ以外を止めること。
- BCC
- メールの宛先の種類の一つ。BCC に入れた宛先は、他の受信者に表示されません。一斉送信で TO や CC に入れると、受信者どうしでアドレスが見えてしまいます。
- 暗号化
- データを、鍵を持つ人しか読めない形に変えること。端末や USB メモリを暗号化しておけば、紛失しても中身を読まれにくくなります。
- 遠隔消去（MDM）
- 紛失した端末のデータを、離れた場所から消したりロックしたりする仕組み。
- 委託先管理
- 個人情報の取扱いを他社に任せるときに、委託元が委託先の管理状況を確かめること。個人情報保護法で委託元の義務とされています。
- 漏えい等の報告（個人情報保護委員会）
- 一定の条件にあたる個人情報の漏えい等が起きたとき、事業者が個人情報保護委員会に行う報告。速やかに行う速報と、原則30日以内（不正の目的によるおそれがある場合は60日以内）の確報があります。
- 安全管理措置
- 個人情報を守るために事業者が講じる措置。組織的・人的・物理的・技術的の4つに分けて考えます。
- Have I Been Pwned
- 過去に流出したデータに、自分のメールアドレスが含まれているかを調べられる海外の無料サービス。当サイトの「自分の情報が漏れていないか確かめる」のページで案内しています。