ハッカーとは？ハッキングの手口や被害をわかりやすく簡単に解説
「サイバー攻撃を行う人」として使われることの多い「ハッカー」という言葉ですが、本来は違う意味で使われていました。今回は「ハッカー」という言葉について掘り下げるとともに、悪意を持って行われる「ハッキング」の目的や種類、対策について解説します。
ハッカーとは？
そもそも英単語の「hack」は「斧などで（木材などを）叩き切る」といった意味で、「草木を切り開きながらジャングルを進む」「斧だけを使って間に合わせの家具を作る」などのように使われ、善悪の区別はありません。であれば当然、「ハッキングをする人」、すなわち「ハッカー」にも善悪の区別は生じないはずです。
しかし、ことコンピューターに関する限り、「ハッカー」と聞くと、「マニア的なコンピューターの知識を犯罪に悪用する人」といったイメージをお持ちの方も多いかと思います。では、どのような過程でこうした意味の変化が生じたのでしょうか。今回は、「ハッカー」について少し掘り下げてみます。
ハッキングとは
「ハッキング」の本来の意味は、「hack」の語源どおり「コンピューターについて豊富な知識を持つ人が、プログラムやコンピューター、システムの安全性を検証したり改良したりすること」を指し、善悪の区別はありません。
しかし、善意からの活動である安全性の検証や改良が一般の人の目に触れる機会は少なく、対して悪意からの活動であるサイバー攻撃についてのニュースを目にすることは多いことに加え、一部の犯罪者が「ハッカー」を自称したため、現在では「コンピューターについて豊富な知識を持つ人が、プログラムやコンピューター、システムのぜい弱性を悪用して攻撃すること」を指して「ハッキング」と呼ぶことが多いようです。
ハッカーの目的
では、ハッカーはどのような目的で活動しているのでしょうか。善意からの活動であれば、セキュリティサービスを提供する企業の活動、セキュリティに関する研究を行っている研究活動など、主にセキュリティの向上が目的となります。
一方、悪意からの活動では、クレジットカード情報をはじめとする情報の搾取、企業活動の妨害（嫌がらせ）などが目的となります。どれも企業に打撃を与えるものばかりです。
ホワイトハッカーとは
ハッカーのうち、善意から活動するハッカーを特に「ホワイトハッカー（ホワイトハットハッカー）」と呼ぶことがあります。対して悪意から活動するハッカーを「ブラックハッカー（ブラックハットハッカー）」、または「クラッカー」と呼びます。
データの窃取や破壊を行うブラックハッカーのサイバー攻撃に対して、ホワイトハッカーは攻撃の解析やより安全なシステムの構築を行います。「ホワイトハッカー」は、いわば「善良なハッカー」とでも呼ぶべき存在なのです。
ハッキングの手口
では、ここからは現在一般的に使われている意味での「ハッカー」、すなわちブラックハッカー、クラッカーについてみてみましょう。まずは彼らの使用する手口について解説します。
ゼロデイ攻撃
「ゼロデイ攻撃」は、プログラムやコンピューター、システムなどのぜい弱性が発見されてから、適切な対策方法が確立するまでの間に行われる攻撃を指します。ぜい弱性が発見された後、日を置かず（0日）に攻撃することからこの名がつきました。企業側は必要な対策を講じる前に攻撃を受けることになるため、もっとも被害を受けやすい攻撃と言えます。
辞書攻撃
「辞書攻撃」は、辞書に載っている単語を組み合わせて自動生成した文字列を、正規のパスワードと一致するまで繰り返し入力し続ける攻撃です。英単語のほか、誕生日を表す4桁の数字や地名などを含めることもあります。覚えやすい（いわゆる「弱い」）パスワードを使っているユーザーのログイン情報を盗み取ることで不正アクセスを狙う攻撃です。
総当たり攻撃
「総当たり攻撃」（ブルートフォースアタック）は、英数字、記号など、パスワードとして利用できるすべての文字について、すべての組み合わせパターンを正規のパスワードと一致するまで繰り返し入力し続ける攻撃です。時間がかかりすぎるため以前は非現実的な攻撃でしたが、最近ではコンピューターの計算能力が向上していることもあり、短時間で突破されるケースも増加しています。
ショルダーハッキング
最後に「ショルダーハッキング」を紹介します。文字通り、あなたがIDやパスワードを入力しているところを肩（ショルダー）越しに覗き見てログイン情報を窃取しようという攻撃です。このほか、ログイン情報をメモしたふせんを盗み見る、ログイン情報を含む書類をゴミ箱から盗む、など古典的なハッキングに対しても留意する必要があります。
ハッキングの被害
では、実際にハッキングに遭うとどのような被害が生じるのでしょうか。3つ紹介します。
サーバーの停止
まずは「サーバーの停止」があげられます。「DDoS/DoS攻撃」などWebサーバーやアプリケーションのぜい弱性を悪用して外部からサーバーに負荷をかける攻撃方法と、「ランサムウェア攻撃」など内部に侵入してサーバー内のデータ破壊する攻撃方法とがあります。
これらの攻撃により、サービスの停止、業務システムの使用不能といった被害をもたらします。
Webサイトの改ざん
「クロスサイト･スクリプティング（XSS）攻撃」や「SQLインジェクション攻撃」など、WebサイトやWebサーバーのぜい弱性を突いた攻撃による「Webサイトの改ざん」も考えられます。
自社のWebサイトが改ざんされれば企業イメージや信用力が低下するなどの被害を受ける可能性があるほか、マルウェア感染を目的としたサイトへの誘導に悪用されるなどの危険もあります。
情報の盗み出し
ログイン情報を窃取され不正アクセスを受ける場合、最も大きな被害は「情報の盗み出し」でしょう。窃取したログイン情報を用いた不正アクセスなどを通じて情報を盗み出され、脅迫を受けたり、情報が売買された結果、悪意ある第三者の手にわたって新たな被害を生むといった可能性があります。特に個人情報を取扱っている企業では、企業イメージが大幅に低下する、多額の賠償金が発生するなどの深刻な被害を受ける危険性もあります。
ハッキングの対策方法
では、ハッキングにはどのような対策が必要なのでしょうか。
OSやソフトウェアのアップデート
ハッキングの基本は「ぜい弱性を突く」です。OSやソフトウェアでは、ぜい弱性が見つかると適時それらを修正する「パッチファイル」が公開されます。また、ハッキングの中には既に対策が公開されている過去のぜい弱性を狙ったものもあります。OSやソフトウェアはこまめにアップデートし、常に最新の状態を保つよう心がけましょう。
パスワードの変更
パスワードを定期的に変更することで、ショルダーハッキングの被害を防止することができます。変更時には辞書攻撃で簡単に突破されることのないよう、推測しにくいものを設定します。また、パスワードの管理は適切に行い、第三者に流出することがないよう留意しましょう。
このほか、システム側でパスワード入力の試行回数を制限し、辞書攻撃や総当たり攻撃を防止する対策も有効です。
多要素認証の導入
多要素認証を導入しておけば、万一パスワードが流出した際にもハッキングを防止することができます。現在では指紋認証/顔認証などの生体認証のほか、スマートフォンを利用した二段階認証、GPSの位置情報を使用した認証など、各種の本人確認手段が開発されています。これらを適切に組み合わせればハッキングに対する有効な対策となります。
セキュリティソフト/サービスの導入
セキュリティソフトは各種サイバー攻撃、すなわちハッキング対策に特化したソフトウェアです。また、近年ではネットワークの社内・社外を区別せず、全ての通信を信頼しないことを前提とし、通信を等しく疑って監視する「ゼロトラスト環境」、ネットワーク機能とセキュリティ機能を統合してクラウド上で提供するSASE（Secure Access Service Edge）など、セキュリティに対する新たな考え方も登場しています。自社のネットワークへの最新のセキュリティソフトの導入は、ハッキングに対するもっとも有効な対策と言えるでしょう。
Secure Access Gatewayの特長
NTTPCの「Secure Access Gateway」は、「高いセキュリティ機能」「快適なインターネット接続」「低価格」を実現した、安全で快適なインターネットアクセスをすぐに構築できるサービスです。
高いセキュリティ機能
自宅や外出先など、社外からも安全にクラウドサービスにアクセスできるように「ネットワーク機能」と「セキュリティ機能」をまとめて提供するSASEのコンセプトに基づき、「Secure Access Gateway」はセキュリティ機能としてDNSセキュリティとセキュアWebゲートウェイを装備し、ネットワーク機能としてSD-WANサービスの「Master'sONE CloudWAN®」と組み合わせができます。
セキュリティ機能は不正なフィッシングサイトや有害サイトへのアクセスを遮断し、マルウェアやランサムウェアの感染も防御し、クラウドやSaaSへの安全なインターネット接続を実現します。
快適なインターネット接続
「Secure Access Gateway」を導入することで、UTMを設置したセンター拠点の一か所からではなく、自宅や外出先から直接インターネットに接続することができるため、クラウドやWeb会議を快適に利用することができます。
社内の拠点間ネットワークも各拠点からインターネットに直接接続するインターネットブレイクアウトを備えたSD-WANを用意しており、センター拠点でのトラフィック集中による通信品質の悪化を回避することができます。
低価格
「Secure Access Gateway」のDNSセキュリティは、初期料金0円、月額料金500円 / ユーザー（税込）から導入可能。また、DNSセキュリティに加えて、アンチマルウェア機能やURLフィルタなどの高機能を備えたセキュアWebゲートウェイは初期料金0円、月額料金800円 / ユーザー（税込）からと、提供料金を安価に設定しています。エージェントソフトを端末にインストールするだけで、気軽にSASEセキュリティを導入することができます。
まとめ
今回は「ハッカー」という言葉にはもともと善悪の区別はなかったものの、現在では「ブラックハッカー」「クラッカー」と同様の意味で使用されることが多いことを紹介しました。また、ハッキングの手段には「ゼロデイ攻撃」「辞書攻撃」「総当たり攻撃」などの種類があり、「サーバーの停止」「Webサイトの改ざん」「情報の盗み出し」などの被害を受ける恐れがあることを解説しました。
クラッキングに対しては、「OSやソフトウェアのアップデート」「パスワードの変更」「多要素認証の導入」「セキュリティソフトの導入」などの対策が有効です。中でも「セキュリティソフト/サービスの導入」の導入は非常に有効な対策と言えます。
クラッキングの被害を未然に防止するため、自社のクラッキング対策について再確認してみてはいかがでしょうか。
※ICT Digital Columnに記載された情報は、リリース時点のものです。
商品・サービスの内容、お問い合わせ先などの情報は予告なしに変更されることがありますので、あらかじめご了承ください。
