テロリストの狙いは個人情報から機密情報、事業停止まで

2014年10月3日、米金融大手のJPモルガン・チェースは標的型サイバーテロにより7600万人の顧客情報と企業700万社分の住所や氏名が流出したと発表した。これまでにも、金融機関やIT会社、ライフラインインフラ事業者などの特定の企業を標的としてサイバーテロ攻撃が行われ、個人情報、機密情報の流出や、一時的な事業停止に追い込まれた事例も少なくない。

そうした状況を背景に海外の保険会社では、サイバーテロに対する保険開発に躍起となっている。サイバーテロによる損害（個人情報、機密情報の流出）のみならず、事業停止の場合の喪失利益なども対象となる。

日本においても2011年の後半、三菱重工業、IHI、川崎重工業などの防衛産業が標的型メール攻撃を受けて、社内のネットワークに接続されているサーバーやパソコンがウイルスに感染させられたことは記憶に新しい。

このときの攻撃でも、社員の個人情報やIPアドレスなどの社内システム情報の一部のみならず、防衛省からの装備品の受注データ、戦闘機、ヘリコプターに関する資料、原子力発電所の設計や設備、耐震性などに関する情報が漏洩した可能性があった。

こうした攻撃のことをAPT攻撃という。Advanced（高度で）、Persistent（執拗な）、　Threat（脅威）の頭文字からAPTと名付けられた。APT攻撃とは、特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数カ月から数年にわたって継続するサイバー攻撃を指す（JASA：特定非営利活動法人日本セキュリティ監査協会）。

JASAによれば、2010年から2011年にかけて以下のAPT攻撃が確認されたという。

クリックで拡大