ハッキングとは？ 手口と対策を分かりやすく解説

ハッキングによる被害は、企業や個人に対して経済的・社会的な負担を強いるものです。近年はハッキングの手口が巧妙化し、より高度な防衛策が必要とされています。

今回は、とある企業のIT部門に所属するセキュリティに精通した中山部長（44歳）と新人セキュリティ担当の石塚さん（24歳）の会話から、ハッキングの基礎知識や手口、対策方法を学んでいきましょう。

1. ハッキングとは何を意味するのか？

ハッキングはサイバー攻撃の代表的な手法として語られることが多い言葉です。しかし、本来は悪い意味の言葉ではありません。
まずは、ハッキングという言葉の意味を正しく理解しましょう。

ハッキングとは？

ハッキングとは、「技術力のある人間による解析・改変・検証を伴う行為」のことです。
ハッキングの語源である「Hack」は、「切る、切り刻む」という意味を持っており、これが転じて「やりきる」という意味で使われるようになりました。
さらに「やりきる」という意味が、IT分野でのリバースエンジニアリング（解析・改変行為）を完遂した状態を表すようになり、「技術的に高度な作業を行う」という意味へと変わっていったといわれています。

ハッキングとクラッキングは似て非なる言葉

一般的に認知されている「ITを使った悪意のある乗っ取りや破壊行為」は本来「クラッキング」と呼ばれるものです。クラッキングとは、「crack（裂け目、割れ目）」が語源であり、破壊行為を表現する言葉です。
現代では、ハッキングのうち第三者に何らかの被害を与えるものをクラッキングとする見方もあります。

したがって、ハッキングを行う者（ハッカー）は「単純に高い技術力をもち、ITを使いこなす人間」であり、クラッキングを行う者（クラッカー）は、その技術力を悪用する人間」と定義することができるでしょう。

2. ハッキングの代表的な手口

ハッキングの代表的な手口としては、以下5つが挙げられます。

ゼロデイ攻撃

ゼロデイ攻撃とは、OSやソフトウェアの脆弱性に対し、防御策が確立される前に攻撃をしかける手口です。不特定多数のユーザーを対象とした「ばらまき型」と、特定のユーザーや企業を狙う「標的型」があり、脆弱性が発見されてから0日目（＝ゼロデイ）に攻撃を仕掛けることから、修正パッチなどの防御策が広まるまでの時間差を利用した攻撃といえます。

ブルートフォースアタック

特殊なツールを使い、総当たり形式でログインIDやパスワードを探り出す手口です。古典的な手口であるため、入力桁数を増やしたり、他段階認証を用いたりとさまざまな対策方法が存在します。
しかし、シンプルであるがゆえにハードルが低く、未だに多用されているのが実情です。

ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、おもにオフラインの活動によって個人情報や機密情報を盗み取る手口のことで、本格的な攻撃に入る前の下準備として行われます。
具体的には、「背後から肩越しに画面やキーの動きを盗み見る」「廃棄処分された書類を漁る」「プライベートな質問を装って重要情報を聞き出す」といった手法がその例です。
社会のなかに溶け込みつつ人間の油断や隙を狙うため、実は非常に対策が難しい手口といえるでしょう。

SQLインジェクション

SQLインジェクションは、アプリケーションに対して任意のSQL文を発行し、データベースを不正に操作・攻撃する手口です。SQLインジェクションの多くは、ウェブサーバーの脆弱性を突くものであり、顧客情報や機密情報の流出によって企業に甚大な被害を与えます。
特に顧客情報の流出は、経済的なダメージのみならず、社会的信用力の低下にもつながるため注意が必要です。

クロスサイトスクリプティング

SQLインジェクションと同様に、Webサーバー内のアプリケーションに発生した脆弱性を突く攻撃です。Webサイトに不正なスクリプトを設置し、そのサイトを閲覧したユーザーがスクリプト情報を持ったままほかのサイトに移動（クロス）することで、不正な処理が広まります。
また、不正な処理は移動先のWebサイトを閲覧したユーザーにも被害を与えることから、被害が拡大しやすい点が特徴です。

クロスサイトスクリプティングではマルウェアに感染したり情報を抜き取られたりするため、大規模な情報流出の呼び水となってしまいます。

3. ハッキングへの対策

脆弱性に関する情報収集とアップデート

ハッキングの脅威から逃れるためには、何よりもまず情報収集が大切です。OSやアプリケーションの提供元から発する情報を常にチェックし、可能であればCVEなど海外のサイバーセキュリティ情報を扱うサイトも活用するようにしましょう。
また、脆弱性に対して発行されたアップデートは早急に適用し、ゼロデイ攻撃から身を守ることを意識してください。

セキュアコーディング（セキュアプログラミング）

セキュアコーディングは、システムやアプリケーションの構築において、脆弱性の発生を防ぐことを念頭に置いたコーディング手法です。具体的には、データソースのホワイトリスト化や開発ツールのガイドラインに沿ったコーディングにより、信頼性の高いデータソースを用います。
また、処理と処理の間に防御壁を設け、異常な出力の発生を防ぎます。

パスワードポリシーの整備

パスワードポリシーの厳格化でも、ハッキングのリスクは低下します。「○文字以上で大小英字、数字を必ず含める」など、パスワード設定時の桁数や文字の種類を一定以上に増やすことで、不正アクセスやアカウントの乗っ取りにかかる手間が大きくなり、攻撃対象から除外される可能性が高まるでしょう。
ブルートフォースアタックの具体的な対策としては、英字の大文字・小文字と数字を組み合わせた8桁以上のパスワードを設定すると、効果が期待できるといわれています。

ログインに必要な情報を複雑、高度にする

「ログインID＋パスワード」のほかに、ログイン回数の制限や、他段階認証や多要素認証などを用いる方法もおすすめです。たとえば、指紋や顔認証、IPアドレス、現在の位置（GPS情報）をログイン時の必須情報とすることで、悪意を持った第三者からのソーシャルエンジニアリングを防ぐことにつながります。

セキュリティソフトの活用

個別の対策が難しい場合は、統合型セキュリティソフトの活用も検討していきましょう。統合型セキュリティソフトは、個人のPCをマルウェアや不正アクセスから守るだけでなく、各種サーバーへのハッキング対策としても優秀です。
また、一般的なファイアウォールのほかにも、不正侵入を検知して通信を遮断するIPSや、Webアプリケーションへの防御に特化したWAFなどがあります。

4. まとめ

ハッキングは本来、「解析・改変・検証」を意味する言葉です。ただし、現在は高い技術を持った人間の「悪意ある行為」をさす言葉として使われることもあります。
ハッキングは油断や隙、各種脆弱性を付いた手口が多いため、セキュリティソフトの活用や修正パッチの適用による対策が重要です。