ゼロデイ攻撃とは？主な手口や被害事例、対策と受けた際の対処法を解説
ゼロデイ攻撃とは、OSなどに存在する脆弱性をなくすプログラムが提供される前に、その脆弱性を悪用して仕掛けるサイバー攻撃のことで、事前防止が難しく被害が拡大しやすい特徴があります。本記事では、ゼロデイ攻撃の概要と主な手口や対策、攻撃を受けた際の対処法について解説します。
目次
ゼロデイ攻撃とは、OSなどに存在する脆弱性をなくすプログラムが提供される前に、その脆弱性を悪用して仕掛けるサイバー攻撃のことです。脆弱性はほぼ全てのシステムに存在してそれが利用されるため、事前に防ぐことが難しく被害が拡大しやすい特徴があります。
本記事では、ゼロデイ攻撃の概要と主な手口や対策、攻撃を受けた際の対処法について詳しく解説します。ゼロデイ攻撃について知りたい方、被害を未然に防ぎたい方は、ぜひ参考にしてください。
ゼロデイ攻撃とは
ゼロデイ攻撃とは、OSやソフトウェア、ネットワーク上に存在する脆弱性の修正プログラムが提供される前に行われるサイバー攻撃のことです。脆弱性とは、プログラムの不具合から生じたセキュリティにおける欠陥のことで、ほぼ全てのテクノロジーに存在します。ゼロデイ攻撃では、ゼロデイ脆弱性や未知のものが攻撃に利用されるため、大きな脅威となっています。
ここからは、以下について詳しく解説します。
- ゼロデイ脆弱性の概要
- ゼロデイ攻撃が増加する背景
- ゼロデイ攻撃の特徴
- Nデイ攻撃との違い
ゼロデイ脆弱性とは
ゼロデイ脆弱性とは、ソフトウェアなどにおいて発見された脆弱性の中で、対策されていないもののことです。脆弱性が発見されてから修正用のプログラムが提供されるまでに、必ずタイムラグが存在します。修正プログラムの公開日をワンデイとした場合、その前日にあたるためゼロデイ脆弱性と呼ばれます。
ゼロデイ攻撃が増加する背景
ゼロデイ攻撃は、近年増加するとともに被害が拡大しています。以下は、情報処理推進機構（IPA）が公開した「情報セキュリティ10大脅威」の結果です。
上記によれば、ゼロデイ攻撃は第5位に選出されるほどの被害を与えています。ゼロデイ攻撃が増加する背景には、以下複数の要因が存在します。
- 攻撃対象の増加
- 最新テクノロジーの台頭とそれらに存在する脆弱性
- ダークウェブなど情報流通網
近年、労働人口の減少や業務効率化、企業競争力の向上に向け、多くの企業が複数のシステムを導入・利用してDXを推進しています。複数のシステム利用により生産性向上などが実現する一方で、攻撃対象も増加します。
また、IoTデバイスやスマートデバイス、AIなどの最新テクノロジーを活用する企業も少なくありません。最新テクノロジーは一般に普及するまでに時間がかかり、その間に脆弱性を発見してゼロデイ攻撃を仕掛ける攻撃者が存在します。
さらに、近年は個人情報や機密データなどが取引されるダークウェブにおいても、脆弱性に関する情報が売買されています。ダークウェブを利用すれば、攻撃者は自身で脆弱性を探す手間を省き、攻撃を行うことが可能です。
ダークウェブについての詳細は以下をご覧ください。
⇒ダークウェブとは？仕組みや被害事例、対策まで徹底解説！
ゼロデイ攻撃の特徴
ゼロデイ攻撃の特徴は、事前に防ぐことが難しく被害が拡大しやすいことです。社内にある複数のシステムの、どのシステムにどのような脆弱性があるかを見つけるのは困難で、事前の対策が簡単ではありません。
また、ゼロデイ攻撃では未知の脆弱性が悪用されるため検知が困難です。中には、攻撃を受けていることに気付かず長い間被害を受け続けるケースもあります。長期間被害を受ければ、その分情報の窃盗やシステム・データ破壊が行われるでしょう。
Nデイ攻撃との違い
ゼロデイ攻撃と混同されがちなものとして、Nデイ攻撃が挙げられますが、ゼロデイ攻撃とNデイ攻撃は攻撃タイミングが異なります。Ｎデイ攻撃は修正プログラムが公開されてから、適用されるまでの期間を狙った攻撃です。ベンダーが修正プログラムを公開したとしても、企業やユーザーがすぐに適用して脆弱性をなくすとは限りません。
ゼロデイ攻撃の仕組みと流れ
ゼロデイ攻撃では未知のもの、もしくはふさがれる前の脆弱性を利用して攻撃を仕掛ける仕組みが取られています。具体的な攻撃の流れは以下の通りです。
- 攻撃者が未知のもの、もしくはふさがれる前の脆弱性を発見する
- 見つけた脆弱性を悪用するマルウェアを開発する
- メールや不正なWebサイトなどを利用して攻撃するとともに、マルウェアに感染させる
- マルウェア感染したシステムから情報の窃盗やデータ・システムの破壊を行う
⇒マルウェア対策の課題を解決！方法やポイント・注意点まで解説
ゼロデイ攻撃の主な手口
ゼロデイ攻撃では、脆弱性を悪用してマルウェア感染させるか、不正アクセスを行う大きく2つの手口が存在します。ここからは、マルウェア感染や不正アクセスを行う手口について解説します。
- メールの活用
- Webサイトの活用
- ドキュメントファイルの活用
- VPNにおける脆弱性に利用
メールの活用
メールを活用して、マルウェアが仕込まれた添付ファイルをダウンロードさせたり、偽サイトへ誘導したりする手口です。
攻撃者はターゲットを騙す目的で、取引先や金融機関、大企業を語りメールを送信するケースがほとんどです。以前は不特定多数に対してメールを送信するばらまき型が一般的でしたが、近年は特定の企業や組織を狙った標的型攻撃も多く発生しています。
Webサイトの活用
Webサイトの脆弱性を利用して悪意あるコードを埋め込むことで、サイト運営者が想定していないスクリプトを実行させる手口です。Webサイトの改ざんにより、訪問者にマルウェアを自動ダウンロードさせたり、個人情報を窃盗したりします。
ドキュメントファイルの活用
ExcelやWord、PDFファイルなどに、マクロ・スクリプトなどの悪意あるコードを埋め込み攻撃を仕掛ける手口です。ユーザーがファイルの開封やマクロ実行すると、攻撃用コードが実行される仕組みになっています。ドキュメントファイルは、メールやSNS、Webサイト上で配布されます。
VPNにおける脆弱性の利用
テレワークが普及している現代において、VPNの脆弱性を利用する手口も増加しています。VPNとは、仮想の専用線のことです。
従来、社外から社内のネットワークにアクセスするには、物理的な専用線が必要でした。VPNを用いれば物理的な専用回線がなくても、社外から社内に接続できます。ただ、VPNにも脆弱性が存在して近年サイバー攻撃に利用されるケースが増えています。
なお、VPNのリスクについての詳細は以下をご覧ください。
⇒VPNのセキュリティは安全？セキュリティリスクと対策
ゼロデイ攻撃の被害やリスク
続いて、ゼロデイ攻撃の被害やリスクを紹介します。
- マルウェア感染
- 不正アクセス
- 情報漏洩
- サプライチェーン攻撃
- 金銭の要求
マルウェア感染
ゼロデイ攻撃から、マルウェア感染させられる恐れがあります。マルウェアとは、悪意あるプログラムのことです。マルウェア感染した場合、以下の被害が発生するでしょう。
- 情報漏洩
- サービスの停止
- サイバー攻撃における踏み台としての利用
上記が原因で、金銭の要求などの2次被害が発生するケースもあります。
不正アクセス
ゼロデイ攻撃を基に不正アクセスされれば、以下の被害が発生します。
- 情報漏洩
- システムやアカウントの乗っ取り
- データの改ざん・破壊
万が一、自社のアカウントが乗っ取られれば、そのアカウントが悪用され他社にも迷惑をかける恐れがあります。また、システムの停止・データの破壊により、サービス提供や業務の継続が困難になるケースもあるでしょう。
情報漏洩
情報漏洩もゼロデイ攻撃による被害の一つです。近年はプライバシー保護に関する注目が高まっており、情報漏洩すれば企業の信頼やブランドイメージが損なわれる恐れがあります。また、法律により罰則を受けたり、漏洩した個人に対して賠償金の支払いが生じたりする可能性も存在します。
なお、個人情報保護法の罰則や情報漏洩した場合の賠償金支払い事例は以下をご覧ください。
⇒個人情報保護法の罰則とは？概要や罰則以外のリスク、違反を防止するための対策を解説
⇒情報漏洩による損害賠償とは？事例5選や企業に与える影響、対策まで徹底解説
サプライチェーン攻撃
サプライチェーン攻撃とは、ある攻撃を起点にネットワークでつながるグループ企業や取引先に攻撃を拡大するもののことです。サプライチェーンの悪用で、セキュリティレベルが高い企業への攻撃が可能となってしまいます。ゼロデイ攻撃からサプライチェーン攻撃に発展すれば、自社が他社へ被害を拡大させる原因になるでしょう。
金銭の要求
マルウェア感染・不正アクセスでシステムロックやデータの暗号化を行い、解除する代わりに金銭を要求するランサムウェアを仕掛けられるケースもあります。攻撃者の指示通りに金銭を支払っても、ロックや暗号化が解除される保証はありません。最悪の場合、支払ったことを世間に公表しない代わりに追加の金銭を要求されるケースもあります。
なお、ランサムウェアに感染した場合の対処法や防止策に関する詳細は、以下をご覧ください
⇒ランサムウェアに感染したらどうなる？感染時の対応ステップや感染対策を解説
ゼロデイ攻撃の被害事例
続いて、実際に起きたゼロデイ攻撃の被害事例を紹介します。
NISC・気象庁
2022年・2023年に内閣サイバーセキュリティセンター（NISC）と気象庁の使用するメール関連システム・機器で、脆弱性を悪用したサイバー攻撃が発見されました。両機関では同じメール関連システムを活用しており、NISCでは約5,000件の個人情報を含むメールが流出した可能性があるとしています。
参照：内閣サイバーセキュリティセンターの電子メール関連システムからのメールデータの漏えいの可能性について｜NISC
参照：気象庁及び気象研究所のメール関連機器に対する不正通信の発生について｜気象庁
三菱電機
2020年6月には、国内の大手電機メーカー三菱電機で不正アクセスによる情報漏洩が発生しました。原因は、三菱電機が利用するウイルス対策システムで修正プログラム公開前の脆弱性が狙われたことです。また、操作ログが消去されていたため、調査に多くの時間がかかりました。同社では、不正アクセスにより従業員情報4,566名や採用応募者1,987名の個人情報、技術資料・営業資料などの企業機密が漏洩した可能性があるとしています。
参照：不正アクセスによる個人情報と企業機密の流出可能性について（第3報） ｜三菱電機株式会社
ゼロデイ攻撃への対策方法
続いて、ゼロデイ攻撃への以下の対策方法について解説します。
- OSのアップデート
- 脆弱性診断の実施
- サンドボックスの利用
- WAFの導入
- 検知システムの導入
- EDRの利用
- 従業員への研修実施
OSのアップデート
OSやオフィスソフトウェア、ブラウザなどは、こまめにアップデートを行い最新版に保つように心掛けましょう。システムのアップデートでは、脆弱性をなくしたり新たなセキュリティ対策が実装されたりすることがあります。アップデートせずにいれば、残っている脆弱性から攻撃を仕掛けられてしまうリスクがあるでしょう。こまめなアップデートは、ゼロデイ攻撃以外のサイバー攻撃対策としても効果的です。
脆弱性診断の実施
脆弱性診断の実施も、ゼロデイ攻撃への対策として有効です。脆弱性診断とは、OSやネットワーク、Webアプリケーションなどに脆弱性がないかをテストすることです。サイバー攻撃者よりも早く脆弱性を発見してなくすことができれば、攻撃を未然に防げます。
なお、脆弱性診断の詳細は以下をご覧ください。
⇒脆弱性診断とは？脆弱性を放置するリスクやおすすめの診断ツールも紹介
サンドボックスの利用
ゼロデイ攻撃を防ぐには、サンドボックスの利用もおすすめです。サンドボックスとは、ソフトウェアにより作り出されたコンピューター内における仮想空間のことです。実際のコンピューター環境と同様に、アプリケーションなどを実行できます。悪意あるプログラムであっても、仮想環境であれば実際のシステムに影響が及ぶことはありません。
なお、サンドボックスに関する詳細は以下をご覧ください。
⇒サンドボックスとは？概要やメリット・デメリットをわかりやすく解説
WAFの導入
WAFの活用も、ゼロデイ攻撃の防止につながるでしょう。WAF（Web Application Firewall）とは、脆弱性を突いた外部攻撃からWebアプリケーションを守るソフト・ハードウェアのことです。外部とアプリケーション間の通信をチェックして、問題ある通信を検知した場合には、通信の遮断などにより外部の攻撃から守ります。
なお、WAFに関する詳細は以下をご覧ください。
⇒Webサイト・サービス運営で欠かせないセキュリティ対策WAFとは
検知システムの導入
検知システムの導入もゼロデイ攻撃の防止に有効です。近年は、AIなどを活用して未知・既知に関係なくさまざまなマルウェアの侵入を検知し不正アクセスを防ぐ、検知システムが開発・提供されています。
EDRの利用
EDR（Endpoint Detection and Response）とは、デバイスやサーバーなどのエンドポイントで実行されたプロセスのアクティビティを常時記録して、不正な挙動の兆候を検知するセキュリティシステムのことです。従来のセキュリティ対策ツールは、デバイスに侵入されるまでの挙動を監視するものが多く、侵入後は対処できませんでした。しかし、EDRは侵入されてからの挙動を監視する点が特徴で、侵入後の対処が可能です。
なお、EDRに関する詳細は以下をご覧ください。
⇒EDRとは？EPPとの違いや概要、製品比較まで徹底解説
従業員への研修実施
高度なセキュリティ対策ツールなどを導入しても、従業員の不用意な行動によりゼロデイ攻撃を仕掛けられる恐れがあります。従業員のセキュリティに対するリテラシー向上を目的に、近年のサイバー攻撃手法やリスク・被害内容、行ってはいけない行動などの研修を実施しましょう。
ゼロデイ攻撃を受けた際の対処法
最後に、ゼロデイ攻撃を受けた際の対処法を紹介します。
- ネットワークの遮断
- セキュリティ担当者への報告
- ウイルススキャンの実施と駆除
ネットワークの遮断
ゼロデイ攻撃に気付いた場合には、迅速にネットワークを遮断しましょう。具体的には、Wi-Fiの接続を切ったり有線を抜いたりします。攻撃を受けたデバイスのネットワークが接続されていると、ネットワークを介して他の端末にもマルウェア感染が広がる恐れがあります。
セキュリティ担当者への報告
続いて、セキュリティ担当者への状況報告や社内への共有を行います。報告・共有時には、攻撃が発覚した理由や攻撃を受ける直前にどのような操作を行っていたかなど、できるだけ詳細に伝えましょう。
ウイルススキャンの実施と駆除
ゼロデイ攻撃により、デバイスがマルウェア感染しているケースがあるため、ウイルススキャンを実施します。また、実際にウイルスが検知された際には駆除も行いましょう。デバイスにマルウェアが残れば、後日ネットワークから他のデバイスに感染が拡大するリスクがあります。
まとめ
ゼロデイ攻撃とは、OSやソフトウェア、ネットワーク上に存在する脆弱性の修正プログラムが提供される前に行われるサイバー攻撃のことです。ゼロデイ攻撃では、ベンダーでも気付いていない脆弱性が悪用されるケースがあり、未然の防止が難しく被害が拡大しやすい特徴があります。
攻撃を受ければマルウェア感染や不正アクセス、情報漏洩などの被害を受けるでしょう。脆弱性診断の実施やサンドボックス・WAF・EDRなどの導入が、ゼロデイ攻撃を受けないために重要です。
また、情報が漏洩した際に素早く察知して、適切な対応を取るための体制構築も求められます。近年行われているサイバー攻撃は高度化・多様化しており、対策を行ったとしても100％防ぐことは困難です。個人情報などが流出すれば、企業の信頼性やブランドイメージが低下してしまいます。
情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。
自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！
