無料で診断する

不正アクセスとは

不正アクセスは、権限のない者がサーバーやシステムに入り込むことです。公表資料では、ランサムウェアやカード情報の流出の入口としても、この言葉が使われます。

主な入口

  • 修正されていないソフトウェアや機器の弱点（脆弱性）。インターネットに公開している Web サイト・VPN 機器・メールサーバーなどが狙われる。
  • 漏れた・推測された ID とパスワード。多要素認証のない管理画面やリモート接続が使われる。
  • システムの保守・運用を委託している会社の環境や接続経路。
  • 設定の誤りで、外から見えてはいけないものが見えていた状態。

被害の広がり方

入り込んだ攻撃者は、さらに権限を奪って社内の別のサーバーへ移り、保存されている個人情報や業務データを探します。公表資料では「〇〇件の個人情報が漏えいしたおそれ」という書き方が多く見られます。持ち出しの有無を確かめきれないため、可能性として公表されることが多いためです。

調査には外部の専門機関が入ることが多く、最初の公表のあとに、原因や対象の範囲を記した続報が出ます。

事業者が平時に備えること

  • 外部に公開しているサーバー・機器の一覧を作り、不要な公開を止める。
  • OS・ミドルウェア・CMS の修正プログラムを当てる担当と期限を決める。
  • 管理画面やリモート接続には多要素認証と接続元の制限をかける。
  • ログを一定期間保存し、侵入の有無を後から調べられるようにしておく。
  • 委託先の接続経路とアカウントを把握し、使っていないものは止める。

自社で確かめること

  • 外部に公開しているサーバー・機器の一覧があるか確かめる
  • Web サイトの CMS・サーバーのバージョンが外から見えていないか確かめる（無料診断）
  • 管理画面・リモート接続に多要素認証と接続元の制限があるか確かめる

Web サイトとメールの設定は、無料診断で確かめられます（CMS・メール認証・セキュリティヘッダ・SSL/TLS の4種類をまとめて）。

関連する用語

脆弱性
ソフトウェアや機器の設計・作りの弱点で、攻撃に悪用できるもの。修正プログラムで直されます。
修正プログラム（パッチ）
脆弱性などを直すために、ソフトウェアや機器の提供元が配る更新。
VPN（仮想専用線）
インターネットを通じて、社外から社内のネットワークへ安全に接続するための仕組み。VPN 機器の弱点や、漏れた ID・パスワードが、ランサムウェアの侵入口として多く公表されています。
多要素認証
パスワードに加えて、スマートフォンに届く確認コードや専用のアプリなど、別の要素を組み合わせて本人を確かめる方法。パスワードが漏れても、それだけではログインできなくなります。
ログ（アクセス記録）
誰が・いつ・何をしたかの記録。保存していないと、侵入や閲覧の有無を後から確かめられません。
フォレンジック調査
端末やサーバーに残った記録を調べ、侵入の経路・時期・持ち出された情報などを明らかにする調査。公表資料では「外部の専門機関による調査」と書かれることが多いものです。

不正アクセスの公表事例（114件）

すべての事例を見る

毎日の速報は X で。新しく掲載した事例と注意喚起をお知らせしています。

@incidentnews_jp をフォローする

このページは一般的な解説です。個別の事案の組織の対応を評価するものではありません。

メールで新着を受け取る

週1回（月曜日の朝）、新しく掲載・更新した公表事例のまとめ（手口・業種つき）をお届けします。無料。いつでも停止できます。

確認メールのリンクを押すと登録が完了します。メールマガジンについて・過去の号

無料診断