サイバー攻撃に遭いやすい人はどんな人？そのリスクはPC操作でわかる

■巧妙化するサイバー攻撃の被害は、一般の人にも広がっている

サイバー攻撃とは、コンピュータシステムやインターネットなどを利用して、標的のコンピュータやネットワークに不正に侵入してデータの詐取や破壊、改ざんなどを行う攻撃のことです。標的とした企業や公的機関などのシステムを機能不全に陥らせることを目的としています。情報通信研究機構の調査によると、2014年の日本へのサイバー攻撃通信は約256億件と前年からほぼ倍増しており、攻撃の活発化と巧妙化が懸念されています。

具体的な手法としては、「特定のWebサイトに侵入して内容を改ざんする」「大量のアクセスを集中させて機能不全に陥らせる」「コンピュータウイルスを添付した電子メールを大量に送信する」といったものなどがあります。

また、会員制サイトなどがサイバー攻撃を受けて、会員のIDとパスワードが盗まれてしまったというような、一般の方々にまで広く被害が及んでしまう事件もよく耳にします。今や企業、個人に関わらず、サイバー攻撃の被害に遭う危険性が非常に高まっているのです。

■「心理の隙」をついた標的型メール攻撃も

現在、主流となっているサイバー攻撃の一つに、特定の組織に狙いを定めた標的型攻撃があります。組織への侵入にあたっては「心理の隙」をついた手口が取られます。例えば、「製品問い合わせ窓口」の担当者に顧客のふりをして電子メールを送り、ウイルスの入った添付ファイルを開かせたり、不正なURLをクリックさせたりする「標的型メール攻撃」。また、組織のユーザーがよく見るWebサイトを事前調査しておき、そこにウイルスを仕掛けて、アクセスするのを待つ攻撃も増えています。

「不正なURLをクリックする」などの人為ミスは、ユーザーの特性や仕事内容に依存するため、画一的な対策では限界があります。こうした状況では、サイバー攻撃の被害に遭うリスクの高いユーザーを早期に判定して、人や組織に合わせた予防的なセキュリティ対策につなげることが重要となっています。

■被害に遭いやすい人を判定して対策しておけば、安心・安全なネット社会を実現できる

そこで富士通は、メールやWebなどのPC操作の動向から、サイバー攻撃の被害に遭いやすいユーザーを判定し、個々のユーザーや組織に合わせたセキュリティ対策を可能にする技術を、ICT業界で初めて開発しました。

全国の20～60歳代の会社員2,000名を対象に、「ウイルス被害」「詐欺」「情報漏洩」という3種類の被害経験について質問し、被害に遭いやすいユーザーの心理特性を分析。あわせて、PCがフリーズしたときに人はどんな行動をとるのかなど、PC操作における行動的な特徴と心理特性との関連を調べることで、人の行動から被害リスクを算出しました。

その結果、例えば、「多少危なくてもメリットを優先する人はウイルス被害に遭いやすい」「PCを使いこなしている自信の強い人は情報漏洩のリスクが高い」「プライバシーポリシーの表示時間が短い人はウイルス感染のリスクが高い」などの知見が見られました。

これらの知見をもとに、例えば、不審メールに含まれるURLをよく確認せずにクリックする人に対して個別に注意喚起のメッセージを表示するなど、ユーザーのリテラシー向上につなげることができます。また、ウイルス被害に遭いやすい人が多い部門では、不審メールに対する警戒レベルを上げるといった、きめ細かいセキュリティ対策も可能になります。

富士通では、2016年度中の実用化を目指し、現在、被害に遭いやすい状態にあるユーザーの検知精度のさらなる向上に取り組んでいます。ユーザーの心理特性や行動特性に合わせた効果的なセキュリティ対策を可能とすることで、心の隙や人為ミスによる被害を減らし、安心、安全なネット社会の実現に貢献していきます。

（なお、本研究の一部は総務省の委託研究「サイバー攻撃の解析・検知に関する研究開発」によるものです）

▶富士通サイバー攻撃対策

▶[FUJITSU JOURNAL] サイバー攻撃との終わらない戦いから会社を守るには？