標的型攻撃

標的型攻撃（ひょうてきがたこうげき）は、一般的な攻撃のことであり、無差別攻撃以外の当たり前の攻撃のことを示す言葉である。つまり、標的型攻撃とは単に攻撃と呼んで良い。しかし、単に攻撃と呼ぶだけでは十分な注意喚起ができないため、標的型攻撃という言葉が使われるようになった。

特定の組織内の情報を狙って行われるサイバー攻撃の一種であり、その組織の構成員宛てにコンピュータウイルスが添付された電子メールを送ることなどによって開始される ^[1] 。 以降も持続的に潜伏して行われる標的型攻撃はAPT攻撃（Advanced Persistent Threat）と呼ばれている。

標的型攻撃の対象とされる組織は、政府／公共サービス機関、製造業が多く、価値の高い知的財産を保有している組織が対象になっている ^[2]。

ちなみに、より広く「情報セキュリティ上の攻撃で、無差別に攻撃が行われるものでなく、特定の組織あるいはグループを標的としたもの」と定義する文献もある ^[3] 。この場合、サービス妨害攻撃も標的型攻撃に含まれることになる。

概要

標的型攻撃は、明確な意思と目的を持った人間（攻撃者）が特定の組織に対して特定の目的（情報の窃取や削除）のために行うサイバー攻撃の一種をいうようになっている。

今日、多くの組織の内部ネットワーク（イントラネット）がWindowsネットワークとして構成され、インターネットとの境界にはファイアウォールが構成されているので、攻撃者がサーバーを渡って内部ネットワークに「侵入（intrusion）」する攻撃は行われにくくなっているが、組織の内部ネットワークで動作したコンピュータウイルスを利用して情報を窃取したり外部から操ったりする攻撃が行われていて、それがコンピュータウイルスやマルウェアの分類の観点から標的型脅威（Targeted threat）ひいては標的型攻撃（Targeted attack）と分類された。

攻撃者が情報を盗み出すまで執拗に攻撃を繰り返す場合は「APT攻撃」と呼ばれているが、「持続的標的型攻撃」と訳されたり ^[4]、 「ターゲット型攻撃(APT)」と訳されており ^[5] 、訳語が統一されているわけではない。

検出・予防

標的型メールは、似たような内容が繰り返し届くスパムメールとは異なり、一様にフィルタリングできるものではない ^[6] 。

また、添付される不正プログラム（バックドア）は、その時点で組織が使用する対策製品に検出されないことを確認して送り込まれるため、従来のウイルス検出の手法のみでは期待できない。 潜入している不正プログラム（バックドア）を発見するためには、その遠隔操作ツールが行うネットワーク内外への通信を捉えることが重要である ^[6] 。

APT攻撃に発展することを阻止・緩和するためには、相応の多層防御を行う必要がある ^[7] 。

攻撃手法の例

標的型メールによる開始

攻撃者が標的型攻撃を開始する際に行われる手法として多いのが、ソーシャルエンジニアリングを悪用して標的の組織の構成員に対してマルウェアなどの不正プログラムを送りつける、いわゆる標的型メールである。

攻撃者は標的型メールのような偽装電子メールを送るために、 Web等で公表されている情報を加工してメール本文や添付ファイルを作成したり、組織内の業務連絡メールを加工してメール本文や添付ファイルを作成したり、 添付ファイルをつけずに不正なWebサイトへのリンクをメール本文に記載したり、日常会話的なメールを数回繰り返してメール受信者の警戒心を和らげたりする ^[8] 。

ウェブサイト閲覧による開始

メールではなく、ウェブブラウザやそのプラグインの脆弱性を悪用し、ウェブサイトを閲覧させることによって不正プログラムを送り込むこともある。 ユーザーが普段アクセスしているウェブサイトを改ざんし、そこから不正プログラムを送り込む「水飲み場型攻撃」も用いられる。

→詳細は「水飲み場型攻撃」を参照

バックドアの設置

組織内部のサーバにアクセスできるようにするため、組織の構成員の端末に不正プログラムを感染させることによってバックドアを設置し、遠隔操作する。

例えば、医療費通知を偽装した不正プログラムを添付して送信する ^{[9] [10]} 。不正プログラムをクリック（実行）してしまうと、そのコンピュータは不正プログラムの支配下になり、外部から遠隔操作する拠点となってしまう。

APT攻撃に発展

→詳細は「APT攻撃」を参照

内部ネットワーク（イントラネット）内にバックドアを設置した攻撃者は、APT攻撃に発展させる可能性がある。

追加機能を備える不正プログラムをロードしてイントラネットの構成を把握し、目標とする情報の在りかを探し、さらにカスタマイズされた不正プログラムをロードして、最終目的（情報窃取、削除等）を遂行する。