2007年、あなたはセキュリティの危険に遭うことなく過ごすことができましたか？　また、あなたの会社はいかがでしたか？　2007年のセキュリティ状況は、特にウイルスに関して大きな転換ポイントとなった年でした。同時に、インターネット上の危険がより一層増した年でもありました。ここでは、2007年のセキュリティ状況を総括し、2008年の展望も合わせて紹介します。

■大量感染型のウイルスは減少傾向に

2007年は、コンピュータウイルスの発生件数、被害件数が大きく減少した1年になりました。IPAの発表では、2005年には54,174件、2006年には44,840件であったウイルス届出件数が、2007年は34,334件となっています。減少傾向は2007年6月から顕著になり、その傾向は他のセキュリティベンダーの発表でも同様になっています。また、届出件数だけでなく感染被害件数も減少しました。

これは、PCユーザのセキュリティ対策が浸透したことも要因のひとつですが、新種のウイルスや新たな亜種の発生件数も減少しています。しかし、だからといって楽観視はできません。マイクロソフトがWindowsなどの脆弱性情報やその対策パッチを公表するたびに、その脆弱性を狙うウイルスがすぐに登場するパターンは変わっていませんし、いわゆるウイルス以外の危険な要素は逆に増えているのです。

ウイルス以外の危険な要素では、第一にボットが挙げられます。ボットは、ユーザに気づかれないようにPCに入り込んでPCを乗っ取り、悪意のある行動を行うプログラムです。ボットは2005年あたりから広がり、2007年は大量のボットを遠隔操作する「ボットネットワーク」が確立されました。攻撃者はボットネットワークを操作し、スパムメールの送信や特定のサイトの攻撃に利用しました。

■ボットを悪用する攻撃が急増、個人情報も標的に

2007年はまた、多くの攻撃がインターネットからWebブラウザを介して行われるようになりました。そして多くの場合、フィッシングメールやスパムメールがその入り口になりました。たとえば、正規のサイトやサービスを騙ってメールに記載されているアドレスに誘導し、リンク先のページにIDと認証パスワードを入力させて情報を盗もうとする攻撃です。

フィッシングはこれまで銀行サイトを騙るものが多くありましたが、2007年は銀行以外のサイトを騙るケースが増加しました。また、スパムメールに記載されるアドレスがフィッシングサイトであったり、トロイの木馬などをダウンロードさせる仕組みが用意されるなど、フィッシングメールとスパムメールの区別が曖昧になってきたことも2007年の特徴といえます。

このような攻撃はボットネットワークを利用するケースも多く、大量メール送信やフィッシングサイトのホストにボット感染PC（ゾンビPC）が活用されました。個人情報を盗もうとするボットも多く、この背景には個人情報などを売買できるブラックマーケットの存在があります。マーケットが確立されたことで、金儲けを目的にボットネットワークを利用するケースが増えているのです。

2007年も、個人情報流出のニュースが何度となく取り上げられました。その多くは、「Winny」に代表されるP2Pソフトを介したものでした。企業がP2Pソフトの使用を禁止することは浸透しているようですが、社員がデータを自宅に持ち帰って個人用のPCで作業し、そのPCがWinnyウイルスなどに感染し情報が流出するケースも目立ちました。

■2008年は攻撃がさらに巧妙化、細分化

では、2008年のセキュリティ状況はどのようになっていくでしょう。従来の大量感染型ウイルスは、さらに減少していくと思われます。しかし、逆に目標を限定したウイルスは増えると考えられます。2007年にはMac OS X環境をターゲットとしたウイルスが登場しましたが、このような限定した環境を狙う攻撃が増加するでしょう。特にMac OS Xを含むUNIXやLinux、またWindows Vistaにも矛先が向けられると考えられます。

限定した環境をターゲットとする攻撃は、フィッシングやスパムにおいても同様になると思われます。また、一通で複数の環境に対応するメールも増加するでしょう。2007年には、メールを開く環境がWindowsかMacかによって、それぞれに対応した内容を表示するスパムメールが出回りました。2008年はOS環境だけでなく、複数の言語に対応したものが一般化すると考えられます。海外からの日本語スパムメールが増加する可能性があるでしょう。

企業などが持つ個人情報や機密情報を狙う攻撃も、さらに巧妙かつ大胆なものになると考えられます。企業などのネットワークは、以前は専用線が中心でしたが、回線の低価格化やWebアプリケーションの普及などによってIP化が進んでいます。これはインターネット側から企業内に侵入しやすくなった側面もあるため、インターネットと企業内との境界におけるセキュリティ対策がより重要視されるでしょう。同時に、Webアプリケーションの脆弱性を狙う攻撃も増加すると考えられるため、しっかりとした対策が必須となるでしょう。

また、インターネット側から企業内への攻撃だけでなく、2008年は企業内から外へ向かう脅威も増えていくと思われます。これは、企業内のPCがボットなどに感染し、重要な情報を外部に向けて送信する「意図しない脅威」のほか、社員や元社員、業務委託先などが意識的に機密情報を持ち出す「故意の脅威」もあります。2008年はいわゆるJ-SOX法の元年となることもあり、企業の従業員が使用するPCやソフト、情報などを管理、統制していくコンプライアンスの制定・徹底が重要なポイントとなるでしょう。