IPA ゴールデンウイークにおける情報セキュリティに関する注意喚起
IPAでは、ゴールデンウイークを迎えるにあたって、長期休暇における情報セキュリティ対策をご案内している。
長期休暇の時期は、システム管理者が長期間不在になる等、いつもとは違う状況になりがち。このような状況でセキュリティインシデントが発生した場合は、対応に遅れが生じたり、想定していなかった事象へと発展したりすることにより、思わぬ被害が発生し、長期休暇後の業務継続に影響が及ぶ可能性がある。
このような事態とならないよう、(1)個人の利用者、(2)企業や組織の利用者、(3)企業や組織の管理者、それぞれの対象者に対して取るべき対策をまとめている。また、長期休暇に限らず、日常的に行うべき情報セキュリティ対策も公開している。
注釈：上記リンク先において、対象者毎に参照すべき範囲は以下のとおり。
- 個人の利用者：個人向けの対策（3.）
- 企業や組織の利用者：個人及び企業・組織のシステム利用者向けの対策（2-2. / 3.）
- 企業や組織の管理者：個人、企業・組織のシステム利用者及び管理者向けの対策（2-1. / 2-2. / 3.）
【企業や組織の方々へ】
インターネットに接続された機器・装置類の脆弱性を悪用するネットワーク貫通型攻撃が相次いでいる。
本件に関する対策情報として、2023年5月に経済産業省より「ASM（Attack Surface Management）導入ガイダンス」が公開されている。
また、IPAからも2023年8月以降、同攻撃に関する注意喚起を行っている。
「攻撃を受けた場合、保有情報の漏えいや改ざん、ランサムウェアへの感染に加え、不正な通信の中継点とされてしまう、いわゆるOperational Relay Box（ORB）化などの被害が予想されます。 ORB化された場合、意図せずに他組織等への攻撃に加担することに繋がります。そうした事態を未然に防ぐためにも、システム構成やインターネット接点など構成把握、脆弱性対策と日頃のログ監視といったサイバーセキュリティ対策に加え、BCP（事業継続計画）・BCM（事業継続マネジメント）を通じたサイバー以外も含めた危機管理体制が重要となります」。
以下のページも参考に、今一度、自組織のインターネットに接続された機器・装置類の確認を推奨するとしている。
- 2023年5月29日（経済産業省）：「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」を取りまとめました（経済産業省）
- 2023年8月1日（IPA）：インターネット境界に設置された装置に対するサイバー攻撃について～ネットワーク貫通型攻撃に注意しましょう～
- 2024年7月5日（IPA）： PHPの脆弱性（CVE-2024-4577）を狙う攻撃について
また、IPA NEWS Vol. 70（2025年1月号）では、家庭用・SOHOルーターのセキュリティ対策やルーターの選定のポイントを紹介していますので、併せて参考にしていただきたい。
IPAでは、企業組織向けに、セキュリティに関する総合的な相談窓口を設けている。セキュリティインシデントが発生した際などにご活用いただきたい。
企業や組織においても、いわゆる「サポート詐欺」の被害発生を継続して確認している。
偽のセキュリティ警告を表示させて、慌てた被害者に偽のサポート窓口に電話をかけさせ、その上でサポート料金と称した金銭をネットバンキングなどでだましとる手口。
組織や企業にて、表示された電話番号に電話をかけて、相手にパソコンを遠隔操作されると、パソコン内に機密情報や個人情報が保管されていた場合に、情報漏えい事故としての対応が必要になるかの判断や調査を迫られる。その結果、情報漏えい事故として対外的に発表を行うケースが発生している。
IPAでは被害に遭わないために、手口の体験ができる「偽セキュリティ警告（サポート詐欺）画面の閉じ方体験サイト」を公開している。社員・職員向けのセキュリティ研修にご活用いただきたい。
