情報セキュリティマネジメントの用語と解説

ほかのファイルに寄生して自分をコピーし、感染を広げるのがウイルスです。 【関連】寄生せず単独で増えるものはワーム、自己増殖しないものはトロイの木馬です。

ほかのファイルに寄生せず、単独でネットワーク経由で自己複製するのがワームです。 【関連】「虫」が自力で這い回るイメージで、寄生が必要なウイルスと区別します。

ギリシャ神話の木馬が名前の由来です。正体を隠して入り込みますが、自己増殖はしません。

ransomは「身代金」の意味です。対策の基本は、ネットワークから切り離して保管したバックアップです。

利用者に気付かれないよう情報を集めて外部へ送る不正プログラムの総称がスパイウェアです。 【関連】キー入力の記録に特化したものはキーロガーと呼びます。

logは「記録する」の意味です。打った文字を記録してパスワードなどを盗みます。 【関連】ネットカフェなど共用PCでのログインは特に注意が必要です。

ロボットが語源です。感染したPCが、攻撃者の命令どおりに動く手下になります。 【関連】ボットが集まって一斉に動くネットワークをボットネットといいます。

1台ならボット、その集まりがボットネットです。DDoS攻撃や迷惑メールの大量送信に使われます。

C&CはCommand and Controlの略です。この通信を見つけることで感染に気付けます。 【別解】C2サーバ

rootはUNIXの管理者のことです。侵入の痕跡を隠すため、見つけにくいのが特徴です。

「裏口」の英語そのままです。正面玄関である正規のログインを通らずに再侵入できます。

文書を開いてマクロを有効にすると動きます。添付文書で「マクロを有効に」と促されたら要注意です。

ファイルが残らないため、定義ファイルとの照合では見つけにくいマルウェアです。 【関連】振る舞いで検知するビヘイビア法などが有効です。

scareは「怖がらせる」の意味です。偽の警告で不安をあおり、偽ソフトを買わせます。 【別解】偽セキュリティ対策ソフト

Ransomware as a Serviceの略です。技術の無い犯罪者でも攻撃が可能になり、被害が増えました。

暗号化に加え「データを公開する」とも脅す手口で、バックアップで復旧しても脅しが残ります。 【別解】多重恐喝／二重脅迫 【関連】DDoS攻撃や取引先への連絡などで、さらに脅しを重ねるものは多重恐喝と呼びます。

leakは「漏らす」の意味です。多くはダークウェブ上に置かれ、二重恐喝に使われます。

検索エンジンにも出てこない「暗い」領域です。流出したIDやパスワードが売買されることがあります。

ITの技術を使わず「人」をだますのが特徴です。電話でのなりすましのほか、のぞき見やごみあさりも含みます。

shoulderは「肩」で、肩越しにのぞき見るイメージです。対策はのぞき見防止フィルムなどです。 【別解】ショルダーサーフィン／ショルダーサーフィング

trashは「ごみ」です。対策は、紙はシュレッダー、媒体は物理的に壊してから捨てることです。 【別解】スキャベンジング

一緒に連れ立って入るので共連れです。対策は一人ずつしか通れないゲートやアンチパスバックです。 【別解】ピギーバック／テールゲーティング

米国の犯罪学者クレッシーの研究がもとです。機会・動機・正当化のどれかを減らすのが対策です。

「自分は悪くない」と良心のブレーキを外してしまう考え方です。教育や誓約書で弱められます。

不正ができてしまう環境のことで、技術的・物理的な対策で減らしやすい要素です。 【関連】アクセス制御や職務の分離が効果的です。

借金やノルマなど、不正をしたくなる事情のことです。プレッシャーと呼ばれることもあります。

小さな乱れを放置しないことが大切だという考え方です。職場の整理整頓やルール徹底にも通じます。 【別解】ブロークンウィンドウ理論

「人」ではなく「状況」を変えて犯罪を防ぐ発想です。 【関連】IPAの組織における内部不正防止ガイドラインの基本5原則は、この考え方を応用したものです。

正規の権限を持つ人が行うため、外部からの攻撃より防ぎにくい脅威です。対策は最小権限やログ監視です。

会社が把握していない「影」のITです。情報漏えいの原因になりやすく、管理の対象になります。

ハッカーとアクティビズム（社会運動）を合わせた言葉です。金銭目的の攻撃とは区別します。

IPAが毎年発表する資料で、脅威の傾向をつかむのに役立ちます。 【関連】2024年版から、個人編は順位を付けず五十音順で並べています。

ソフトウェアの脆弱性のことです。修正プログラム（パッチ）を適用してふさぎます。

crackは「割る・壊す」の意味です。悪意ある行為をする人はクラッカーと呼びます。

攻撃者の正体が分かりにくくなります。自組織は被害者なのに、加害者に見えてしまう点に注意します。

fishing（釣り）をもじった言葉です。メールのリンクは使わず、公式アプリやブックマークから開くのが対策です。

SMSとフィッシングを合わせた言葉です。宅配便の不在通知を装うものが多く見られます。

経営者や取引先を装い送金させる詐欺です。振込先の変更依頼はメール以外の方法で確認します。 【別解】BEC 【関連】BECはBusiness Email Compromiseの略です。

無差別のばらまき型と違い、相手を下調べして送る攻撃です。取引先を装うなど見分けにくいのが特徴です。 【別解】標的型メール攻撃

獲物が集まる水飲み場で待ち伏せする肉食動物にたとえた名前です。標的型攻撃の一種です。

SEOは検索結果で上位に出すための工夫のことです。それを「毒」として悪用する攻撃です。

Advanced Persistent Threatの略です。persistentは「しつこい・持続的な」の意味です。

車で通りすがりに撃つ「ドライブバイ」が由来です。対策はブラウザやプラグインの更新です。

Denial of Service（サービス拒否）の略です。1台から大量の要求を送りサービスを止めます。 【別解】DoS 【関連】複数台から一斉に行うとDDoS攻撃になります。

最初のDはDistributed（分散）です。攻撃元が多数あるため、遮断が難しいのが特徴です。 【別解】DDoS

パスワードに使われそうな単語を次々に試す攻撃です。意味のある単語は破られやすいので避けます。

すべての組合せを順に試す攻撃です。桁数が増えるほど時間がかかるため、長いパスワードが有効です。 【別解】ブルートフォース攻撃

パスワードを固定してIDを変えるため、IDごとの失敗は1回で済み、アカウントロックが効きにくい攻撃です。 【別解】逆総当たり攻撃／パスワードスプレー攻撃

流出したIDとパスワードの組を別のサービスで試す攻撃です。パスワードの使い回しが最大の弱点です。 【別解】クレデンシャルスタッフィング

hijackは「乗っ取る」の意味です。対策は、ログインし直したときにセッションIDを作り直すことです。