すでに中小企業にとっても、サイバー攻撃はまったく他人事ではなくなっているのです。

 

昨今のサイバー攻撃で中小企業が集中的に狙われている理由は、セキュリティ対策の不備にあります。

 

大企業は堅牢なセキュリティ対策を備えていることが多いですが、中小企業はその大半がセキュリティ面で不備を抱えているために、攻撃者にとっては非常に攻めやすいターゲットなのです。

 

実際に、従業員10人程度の小さな会社でもサイバー攻撃の被害が報告されています。

 

2016年の産経WESTの記事では、従業員数10人の中小企業がサイバー攻撃の被害を受け、1900名を超える顧客情報が流出してしまった事件が報道されました。

 

参考ページ：『狙われる中小企業、従業員１０人なのに「標的」に…甘いセキュリティー突き大企業の機密情報も！？』（産経WEST）

 

この記事のなかで、情報セキュリティに詳しい立命館大学　情報理工学部の上原教授は「中小企業のほうがセキュリティー対策が甘い。だから狙われる」とコメントしています。

さらに、ホームページを改ざんしてウィルスを仕込むことで、管理者や訪問者を悪質なフィッシングサイトに誘導したり、ランサムウェア（Ransomware）と呼ばれるデータを人質にした身代金要求ウィルスに感染させたりといった手法も横行しています。

 

また、大企業のデータへ侵入するために、そこと取引のある中小企業をサイバー攻撃して踏み台にして利用するケースも散見されます。

 

この場合、踏み台にされた中小企業は主観的には侵入を受けた被害者かもしれませんが、取引先の大企業からすれば、攻撃者をみすみす招いた加害者も同然として見られてしまいます。

 

それまで長年かけて築いてきた信頼関係も一瞬で崩壊してしまい、取引の打ち切りもありえるでしょう。

 

取引先をその会社に依存しているケースでは深刻な売上げの低下を引き起こし、最悪の場合は倒産することも考えられます。

 

以上のように、サイバー攻撃は中小企業を廃業の危機にも陥れかねない、深刻な被害をもたらすのです。

以上で紹介した手法のうち、SQLインジェクションとクロスサイトスクリプティングの二つはいずれもホームページやCMSの脆弱性を突いた攻撃です。

 

脆弱性とは、情報システム上のセキュリティ的な欠陥のことで、『セキュリティホール』とも呼ばれます。

人の手でプログラムを作成している以上、脆弱性を完全にゼロにすることは不可能であり、どんな優れたCMSでも脆弱性を突かれるリスクをはらんでいます。

 

そして、SQLインジェクションやクロスサイトスクリプティングのような、ホームページやCMS上の脆弱性を突いた攻撃はファイアウォールでは防げません。

 

ホームページのセキュリティ対策のお話をすると、「ウチはきちんとしたファイアウォールを構築しているから大丈夫だよ」とおっしゃる方も多いのですが、実はファイアウォールだけでは脆弱性を突かれた攻撃には無防備な状態となっているのです。

SQLインジェクションやクロスサイトスクリプティングによる被害は凄まじく、2016年には無料CMSであるWordPressで作られたサイトが150万件も改ざんの被害にあいました。

 

参考ページ：『WordPressサイトの改ざん被害は150万件超に 「最悪級の脆弱性』（ITmedia エンタープライズ）
 

このように、WordPressのような無料CMSはサイバー攻撃のターゲットにされやすく、実際に多大な被害が発生しているのです。

 

それでは、なぜ無料CMSはサイバー攻撃で狙われやすいのでしょうか？

その理由をこれから具体的に解説していきます。

ただし、無料CMSのアップデートさえしておけば、セキュリティ的に万全かというと、そうではありません。

 

まず、本体が最新版になったとしても導入しているプラグインが脆弱性を抱えていた場合は、リスクは払拭されません。

 

多くのプラグインの中身を精査して、安全なものとそうでないものを選り分けて導入するのは、CMSのプロでも相当難しく根気がいる作業です。

 

また、CMSのバージョンをアップデートすると、ホームページの表示が崩れたり管理画面に不具合が生じたりすることがあります。

 

それを予防するには、アップデート前に現在のバージョンのCMSをバックアップしておくのがよいのですが、バックアップは初心者にはハードルが高い作業であることも事実です。

以上の理由から、脆弱性を克服した最新バージョンのCMSが配布されていても、実は多くのホームページが旧バージョンのまま放置されており、そこを攻撃者はさかんに狙っているという現状があります。

 

特に「ホームページ担当者が退職してしまい、Web関係に強い人間が社内に誰もいなくなってしまった…」という場合は、このような事態に陥りがちです。

 

Web関係に詳しい人材が複数存在する大企業ならば、ホームページ担当者が1人退職したとしても、リカバリーは容易でありセキュリティも崩れないでしょうが、中小企業ではそうはいきません。

加えて、もしCMS本体やすべてのプラグインを常に最新の状態に保てたとしても、セキュリティ面での課題は残ります。

 

最新バージョンへのCMSアップデートを完了すれば、確かに新たに発見された脆弱性を克服できますが、裏を返せばアップデートでは既知の脆弱性にしか対処できないということです。

 

まだ発見されていない脆弱性を狙ってアタックを仕掛けるサイバー攻撃のことを、ゼロデイ攻撃と呼びます。

 

ゼロデイ攻撃を受けると、公式から修正パッチが配信されるまでの期間に被害が発生しつづけることになります。

 

IPA（独立行政法人情報処理推進機構）の2017年4月～6月期の調査によれば、ウェブサイトの脆弱性のうち90日以内に修正が完了した案件は29%にとどまっています。

 

参考ページ：『ソフトウェア等の脆弱性関連情報に関する届出状況[2017年第2四半期（4月～6月）]』

 

つまり、脆弱性が運良く認知・発見されても、大半の企業・団体が修正に３ヵ月以上を要しており、この期間はサイバー攻撃に対してノーガードになるということです。

このゼロデイ攻撃を抑止するには、CMSのバージョンアップだけでは不十分であり、WAF（Web Application Firewall、ウェブ・アプリケーション・ファイアウォール）というセキュリティ技術を導入して、ホームページへのアクセスを常時監視するのが有効な対策です。

 

ですが、このWAFの導入も、Webやセキュリティの知識が少ない人にとっては困難です。

 

以上の点から、無料CMSで満足できるセキュリティを整えるには、かなりの専門知識が必要となるので、大半の中小企業には相当厳しいのが実情なのです。

 

※WAFやSSLなどのセキュリティ対策技術については、以下のページでも詳しく解説していますのでこちらもご覧ください。

すでにご紹介しましたが、個人情報を流出させてしまった際の企業の損害賠償の平均額は約7,500万円であり、会社の信頼性の失墜なども勘案すると、サイバー攻撃を受けたときの損害は莫大なものになります。

 

目先のわずかな費用を惜しんで、知識があまりないのに無料CMSを導入してセキュリティ面でリスクを抱えるよりは、有料CMSや制作会社への委託を選んだほうが、長期的にみるとお得です。

 

Web関係やセキュリティ対策に詳しい人材が社内に複数存在するのであれば、無料CMSを社内で運用しても大きな問題はないでしょうが、もしそうでないならば、有料のサービスを導入することをお勧めします。