PR

 内閣官房情報セキュリティセンター(NISC)は2011年10月から12月にかけて、サイバー攻撃訓練を実施。その結果の詳細を、2012年2月に明らかにした。対象は、内閣官房や府省庁など12の政府機関の職員およそ6万人。目的は「標的型攻撃」への理解を深め、被害に遭わないようにすることだ。訓練では、標的型攻撃に関する教育を実施した上で、攻撃を模擬したメールを送信し、被害を回避できるかどうか調べた。その結果、およそ1割の職員が、メールに添付された模擬ウイルスを開いたという。

 標的型攻撃とは、特定の組織を狙ったサイバー攻撃のこと。攻撃者は、標的とした組織の従業員にウイルス添付メールを送信し、“言葉巧み”にウイルスを実行させる。

 具体的には、メールの送信者や件名などを偽装するとともに、添付したウイルスを有用なファイルに見せかける。

 実行されたウイルスは、その組織の重要情報を盗み、攻撃者に送信する。ウイルスを添付する代わりに、悪質なWebサイトに誘導するリンク(URL)を本文中に記述することもある。

 2011年9月から10月にかけて、三菱重工業や衆議院、外務省などへの標的型攻撃が相次いで公表され、大きな話題となった。その後も、大手企業や官公庁を狙った攻撃が続いている。

 話題になったのは最近だが、攻撃自体は以前から確認されている。NISCの木本裕司内閣参事官によれば、「数年前から複数の府省庁に不審なメールが届いていて、問題視されつつあった」。

12の政府機関が参加

 そこでNISCでは2011年5月、全府省庁が情報セキュリティについて話し合う「情報セキュリティ対策推進会議」において、訓練の実施を提案。12の政府機関が参加を表明した。

 訓練に参加した組織名は非公表。「訓練参加の有無で、その組織のセキュリティ意識を判断されるのを防ぎたい」(木本氏)ためだ。訓練に不参加でも、自主的な取り組みをしている組織がある。

 訓練に参加する職員は、各組織がそれぞれ決めた。参加者は、当初5万人とされていたが、最終的にはおよそ6万人に増加した。これだけの人数を対象にしたサイバー攻撃訓練は、「国内では例がないだろう」(木本氏)。