サイバー攻撃に対抗するセキュリティ対策の大切さは、多くの担当者が意識していることでしょう。しかし、実際にサイバー攻撃によって受ける被害について、なかなかイメージしにくい人も多いのではないでしょうか。本記事では、サイバー攻撃を受けた際の被害について、その事例や被害件数・被害額を紹介します。また、企業にどのようなリスクがあるのかを確認したうえで、いま実践したいセキュリティ対策について解説します。

サイバー攻撃の被害事例

サイバー攻撃は世界中で日々起こり、被害が出ている状況です。近年では、その種類も増えて手口が巧妙になっており、被害は拡大しているといえます。

ここではまず、サイバー攻撃における実際の被害事例の一部を確認しましょう。

サイバー攻撃の種類や手口などについて詳しくは、「サイバー攻撃とは？その目的や種類を知って対策をしよう！」をご参照ください。

標的型攻撃の事例

標的型攻撃は、近年増加しているサイバー攻撃手段のひとつです。国内でも企業や団体が多くの被害を受けています。

2019年初頭、日本企業が中国に持つ子会社に対して、標的型攻撃が行われました。この攻撃は、防衛、科学、航空宇宙などの機密情報を扱う組織に対して行われたとされています。

サイバー攻撃者は、まず、日本国内の経済調査会社やPR会社を攻撃して電子メールアカウント情報を窃取しました。そのメールアカウントを送信元とすることで、組織内からのメールであるという信頼性を偽り、標的の組織へメール送信をしたのです。攻撃された側は、信頼できる送信元からであるためメールを開封してしまい、その際に共有フォルダにウイルスを設置されました。ウイルスが設置された共有フォルダのファイルを従業員が実行したことによって社内の管理サーバーが乗っ取られ、各パソコンにウイルスが感染し、情報が外部に送信されてしまいました。

ランサムウェアの事例

ランサムウェアとは、身代金を要求してくるサイバー攻撃のひとつです。

2019年3月、ノルウェーのアルミ生産大手企業がランサムウェアに感染しました。その結果、コンピューターが次々と使えなくなり、工場での生産が停止して、多額の金銭的損失が発生しました。

攻撃者は身代金を要求してきましたが、企業側は緊急会議を開き、「要求された身代金を支払わない」という判断を下したのです。同時に、インシデント情報を完全にオープンにして、サイバーセキュリティの専門チームに業務復旧支援を要請しました。これらの早急な対応が評価され、インシデントを公表しても企業の株価が下落することがなく、逆に上昇するという結果となったのです。

ランサムウェア感染の被害規模を知ると同時に、サイバー攻撃への対策の重要性が強調された事例だといえるでしょう。

ランサムウェアに感染した場合について詳しくは「ランサムウェアに感染したらどうなる？その症状や感染時の対処方法と事前対策」をご参照ください。

DDoSの事例

DDoS攻撃は、踏み台とされる複数のコンピューターからサーバーに負荷をかけ、システムの遅延やダウンを起こさせる攻撃です。

2019年9月～11月に開催されたラグビーワールドカップでは、組織委員会のシステムがDDoS攻撃を受けました。攻撃は、大会期間中に最低でも約12回行われたことが確認されています。ただし、攻撃を受けた際の回線遮断などの対策が功を奏し、大会の運営に支障はありませんでした。

攻撃を察知する体制と、被害を受けた場合の迅速な対応策の大切さがわかる事例だといえるでしょう。

サイバー攻撃における被害件数と被害額

それでは、サイバー攻撃はどのくらいの被害を生み出しているのでしょうか。また、その想定される被害額についても確認しましょう。

サイバー攻撃手法別の被害件数

まずは、サイバー攻撃による被害件数をみていきましょう。

一般社団法人 JPCERTコーディネーションセンターが公表する「JPCERT/CC インシデント報告対応レポート」によると、2012年7月1日から2021年9月30日の間に、前四半期よりも多くのインシデント報告を受けていることがわかります。

以下は、インシデント（サイバー攻撃の種類）別の内訳表です。

インシデント7月8月9月合計前四半期合計
フィッシングサイト1,6812,4692,1616,3114,841
Webサイト改ざん173244162579251
マルウェアサイト10268311938
スキャン4144544231,2911,385
DoS/DDoS10678
制御システム関連00000
標的型攻撃02245
その他211124140475449

引用元： JPCERT/CC インシデント報告対応レポート｜JPCERTCC

具体的な想定被害額の例

次に、サイバー攻撃を受けた際、企業にどのくらいの被害額が想定されるのかを確認しましょう。

例事象・被害想定被害総額
製造会社でランサムウェアに感染した例・工場内のパソコンがランサムウェアに感染
・生産ラインが1日間停止		約1,040万円  
ショッピングサイトへの不正アクセスによる情報漏えいが起きた例・ショッピングサイトの1万名分の会員情報が漏えい
・サイトが2週間の閉鎖		約3,570万円
教育機関への標的型攻撃の例・教育、学習支援業者への標的型メールにて、コンピューターがウイルスに感染
・100名分の個人情報が漏えい		約890万円

サイバー攻撃の被害を受けた際のリスク

上述した被害件数・想定被害額を見ると、サイバー攻撃を受けると多大な不利益が生じることがわかります。このような被害を受けた際、金銭的な損害も含めて、企業にはどのようなリスクがあるのかを見ていきましょう。

顧客からの信用低下

サイバー攻撃を受けて情報の漏えいが起こるケースを含め、攻撃による被害が拡大した事実は、「顧客からの信用低下」につながる可能性があります。サイバー攻撃に対するセキュリティに脆弱（ぜいじゃく）な部分があると判断され、顧客がその企業を避ける動きも出てくることが考えられます。

金銭的損失

情報漏えいに対する賠償金や、システムの停止による年間売上の減少などが考えられます。また、被害の調査と復旧作業費用などにもコストがかかるでしょう。

業務の停止・遅延

ウイルス感染でシステムが停止した場合の損害は、システムが停止した日数に比例して大きくなります。業務が停止・遅延することで、年間売上の数パーセントを失う可能性もあるのです。

企業がサイバー攻撃の被害を受けた場合は、以上のようなリスクが考えられます。事前にサイバー攻撃を防ぐための対策を施し、万が一被害を受けた際には早期復旧できるように備えることが重要といえるでしょう。

サイバー攻撃を防ぐための対策

それでは、サイバー攻撃を未然に防ぐためにはどうすればよいのでしょうか。

まず、ビジネスで利用しているシステム回りのファイアウォールの強化や、サーバーに対するアクセス制限などが考えられます。近年では、スマートフォンやタブレット、ノートパソコンなどのデバイスをビジネスに活用するため、これらエンドポイントデバイスに対してもセキュリティを施す必要があります。

特に、エンドポイントデバイスは、サイバー攻撃の標的になりやすい存在であるため、エンドポイントセキュリティを徹底することが、より重要になるでしょう。

ウェブルートでは、エンドポイントセキュリティのサービスとして「Webroot® Business Endpoint Protection」などを提供しています。エンドポイントセキュリティの内容を具体的に知るために確認してみるのもよいでしょう。

また、エンドポイントセキュリティについて詳しくは、「エンドポイントセキュリティでビジネス環境を整える！その重要性や注意点、サービスの選び方について」をご参照ください。

サイバー攻撃の被害を最小限にするための対策

サイバー攻撃を未然に防ぐセキュリティに加え、「サイバー攻撃を受けてしまった場合の対策」も同時に考慮して、サイバーレジリエンスを意識しなければなりません。これが、エンドポイントセキュリティを施したうえで、さらに被害を最小限に抑えるための施策となります。

より早急に復旧するためのバックアップ体制などを考慮したサイバーレジリエンスを施しておくことは、現代のセキュリティ対策には不可欠だといえるでしょう。

ウェブルートでは、サイバーレジリエンスについて「Carbonite® Endpoint」や「Carbonite® Backup For Microsoft 365」などといったサービスを提供していますので、その内容も含めて理解を深めてみましょう。

また、サイバーレジリエンスについて詳しくは、「サイバーレジリエンスとは？その導入ポイントや必要な機能について解説！」をご参照ください。

サイバー攻撃の被害事例を参考に自社のセキュリティ対策を検討しよう！

サイバー攻撃を受けた際の被害事例を見ると、どのような企業でも万全なセキュリティ対策を施す必要があることがわかるでしょう。今後のセキュリティ対策には、エンドポイントセキュリティとサイバーレジリエンスを意識した施策が必須だと考え、自社への導入を検討しましょう。