関係団体・企業にサイバー攻撃

2020年東京オリンピック・パラリンピック大会の開催まで1年を切った。12年ロンドン、16年リオデジャネイロなどで開催された過去の大会においても、大会を狙ったサイバー攻撃が発生し、関係者は対策や対処に追われた。東京大会に対しても、これまでと同等あるいはそれ以上のサイバー攻撃が予想されるため、関係団体や企業は、サイバー攻撃対策の強化を進めていく必要がある。

過去の大会の事例を基に予想されるサイバー攻撃には、以下のものがある。

■公式および関連ウェブサイトへのDDoS攻撃

大会に関連するウェブサイトをDDoS攻撃(サービス妨害攻撃)によって利用不能とし、運営を妨害する。設定不備や脆弱(ぜいじゃく)性を放置したIoT機器などが乗っ取られ、攻撃の踏み台に悪用されることが考えられる。東京大会関係団体のDDoS攻撃対策は当然として、企業としてはDDoS攻撃の踏み台にされることがないようにIoT機器などの設定の見直しや脆弱性対策に取り組んでほしい。

■偽ウェブサイトの設置

チケット販売詐欺やフィッシングなどを目的とした、偽ウェブサイトを設置し、個人のクレジットカード情報などを窃取する。また、ウイルス感染を目的とした偽ウェブサイトが設置される可能性もあるため注意する。

■フィッシング詐欺メール

チケット、宿泊施設、関連商品などを餌にしたフィッシング詐欺メールを送信し、前述の偽ウェブサイトへの誘導やクレジットカード情報の窃取、個人の認証情報の窃取、それらを悪用した次なる攻撃などを試みる。また、同様の手口で企業を狙う攻撃が発生する可能性も考えられるため注意が必要だ。

■関連組織への攻撃増加

リオ大会では、大会開催後、攻撃対象ウェブサイトは、大会関連↓政府関連↓準備に携わった事業者関連と、徐々に周辺へと推移した。東京大会では、まずセキュリティー対策が不十分な周辺の関係者を攻撃して侵入し、そこから最終的な攻撃対象へと迫っていく攻撃が試みられる恐れがあり、サプライチェーンを含めた対策強化が必要である。

■電力供給の監視制御システムへの攻撃

ロンドン大会では、電力供給を行うための監視制御システムへの攻撃によって停電を発生させて、大会の運営を妨害しようとする動きが見受けられた。電力に限らず、運営に関わる重要インフラの制御システムがサイバー攻撃を受ける恐れがある。独立行政法人情報処理推進機構(IPA)では「制御システム利用者のための脆弱性対応ガイド」を提供しているので関係者は活用してほしい。

■うそ情報の発信・拡散による混乱

何者かが発信したうそ情報(フェイクニュースなど)がSNSなどのネットワーク上で拡散することで混乱が発生し、大きな被害が生じる恐れがある。ネットワーク上で流通している情報を取得した際は落ち着いて情報源を確認し、不確定情報を拡散しないことが大切である。

■新しい手法による攻撃

これまで観測されていない、全く新しい攻撃が試みられる恐れがある。脆弱性を放置すると、容易に攻撃される。企業・個人のサーバー、PC、スマートフォン、IoT機器などのソフトウエアを最新に保ち、脆弱性を狙った攻撃を回避する必要がある。

以上のようなサイバー攻撃の恐れがあることから、東京大会を機会として、企業も個人も自らのサイバーセキュリティー対策を見直す契機としてほしい。 (独立行政法人情報処理推進機構・江島将和)