休暇中の自社機器が攻撃に加担する？ IPAが夏季休暇前に求める備え：セキュリティニュースアラート

夏の長期休暇は、システム管理者が不在になり対応が遅れやすい。情報処理推進機構が公表した注意喚起は、例年の休暇対策に加えて今年特有の警戒を求めている。

[ITmedia]

　情報処理推進機構（IPA）は2026年7月30日、夏休みの長期休暇に備え、情報セキュリティ対策に関する注意喚起を公表した。長期休暇中はシステム管理者が長期間不在になるなど、通常とは異なる運用状況が生じやすい。休暇中にセキュリティインシデントが発生すると、初動対応が遅れ、想定外の事象へ拡大する恐れがある。

　被害が広がれば、休暇明けの業務継続にも影響がおよぶ可能性がある。IPAは、個人利用者、企業・組織の利用者、企業・組織の管理者の3つに分け、各対象が取るべき対策を示した。長期休暇だけでなく、日常的に実施すべき情報セキュリティ対策も公開しており、休暇前後を含む継続的な備えを求めた。

社長をかたる詐欺メールを観測、安全保障関連日にも集中

　企業や組織には、インターネットに接続された機器や装置の脆弱（ぜいじゃく）性を悪用するネットワーク貫通型攻撃への警戒を呼びかけた。IPAによると、この種の攻撃は相次いでおり、侵害された機器が不正通信の中継点となる「Operational Relay Box」（ORB）として利用される恐れもある。攻撃を受けた場合、保有情報の漏えいや改ざん、ランサムウェア感染が起きる可能性がある。ORB化した機器が別の組織などへの攻撃に使われれば、被害組織が意図しないまま攻撃に加担する事態にもつながる。

　予防策として、システム全体の構成とインターネットとの接点を把握し、外部から接続可能な機器や装置を管理する必要がある。脆弱性への対応、設定内容の確認、日常的なログ監視も欠かせない。サイバー分野の対策だけでなく、BCP（事業継続計画）やBCM（事業継続マネジメント）を通じ、サイバー以外の事象も含む危機管理体制を整える必要がある。標的となり得る機器や装置を把握、管理する指針として、経済産業省が2023年5月に公表した「ASM（Attack Surface Management）導入ガイダンス」も紹介した。

• 「ASM（Attack Surface Management）導入ガイダンス〜外部から把握出来る情報を用いて自組織のIT資産を発見し管理する〜」を取りまとめました（経済産業省）

　IPAはDDoS攻撃にも注意を促した。2024年末から2025年初めにかけ、国内企業などを狙い、侵害されたIoT機器で構成されたIoTボットネットなどを使ったとみられるDDoS攻撃が発生した。特に夏季休暇の時期には、8月6日の広島原爆記念日、8月9日の長崎原爆記念日、8月15日の終戦記念日、9月3日の中国・ロシアの対日戦勝記念日など、安全保障に関係する日が続く。

　過去には、戦争関連の記念日前後にDDoS攻撃や情報戦、認知戦が起きた例がある。中国やロシアが日本の防衛政策を「新型軍国主義」と位置付ける戦略的なナラティブで批判している状況を踏まえ、IPAはサイバー攻撃と偽情報の流布への警戒を求めた。2026年には、4年に1度実施されてきたロシア極東軍管区のVOSTOK機動軍事演習が8月下旬から9月に実施される可能性があり、演習の時期に関連したサイバー攻撃にも警戒が必要との見方を示した。

　ネットワーク経由の攻撃に加え、不審メールやサポート詐欺の被害も引き続き確認されている。最近は、社長などを名乗る詐欺メールや、クラウドサービスなどの認証情報を盗む目的のフィッシングメールが観測されている。IPAは、利用者本人だけでなく家族を含め、攻撃の手口と対策を確認するよう呼びかけた。

　不審メールを受け取った場合や、サポート詐欺の被害または未遂に遭った場合は、相談窓口を通じてIPAへ情報提供するよう求めている。企業や組織で、不審メールの受信、機器や装置への不正アクセスなど、不自然な兆候を確認した際も、コンピュータウイルス・不正アクセスに関する届出窓口や、企業組織向けサイバーセキュリティ相談窓口への連絡を求めた。

　提供する情報は、確認した事象に応じて選ぶ。ウイルス検知名、不審なファイル、不審メール、各種セキュリティ機器のログなど、攻撃や兆候の把握に役立つ資料が対象となる。提出様式は問わない。IPAは、各企業・組織が認知した兆候を共有し、「サイバー状況把握」に協力するよう呼びかけている。