【完全版】ECサイトが狙われる4つのセキュリティ事故と対策を詳しく解説

1.情報漏えい・紛失

情報漏えいとは、悪意ある攻撃や不注意により、保有する個人情報やクレジットカード情報などが外部へ流出してしまうことです。

東京商工リサーチの調べ（2021年）によると、情報漏えいの5割は「ウイルス感染・不正アクセス」が原因であるとのこと。そしてEメールの「誤表示・誤送信」が3割を占めます。

情報漏えいの約半数は、ウイルス感染などの外的要因が原因であり、同じく約半数は誤送信などの内部要因が原因です。業種を問わずコロナ禍でDX(デジタルトランスフォーメーション)が進んでいますが、反面で情報漏えいの事故も右肩上がりで増えています。

1.情報漏えい・紛失

情報漏えい・紛失を防ぐには、「ウイルスに感染しない」こと。そして「社内で機密情報の取扱いを適正におこなう」の2点が大原則です。具体的には次の対策をおこないます。

【ウイルス感染させない対策】

• OSとセキュリティソフトを常に最新状態にしておく
• 個人的なソフトを業務パソコンにインストールさせない
• 不審なメールの添付ファイルは開かない
• 不審なWebサイトのURLやリンクをクリックしない

【機密情報の取扱い対策】

• 許可なくデータを持ち出さない
• データを未対策のまま放置・廃棄しない
• 許可なく他の人にデータを貸与または譲渡しない
• 業務上知り得た情報を許可なく公言しない
• 情報漏えいを起こしたら、まず報告する

コロナ禍でリモートワークする機会が増え、社外に機密情報を含んだパソコンやUSBメモリを持ち運ぶかたも多いかと思います。デバイスも小型化で持ち運びに便利なため、電車や公衆トイレ、カフェなどで紛失してしまうケースも…。社内で機密情報の取扱いルールを決めてしっかり運用しましょう。

2.Webサイトの改ざん

Webサイトの「改ざん」とは、Webサイトの管理者が意図しない変更が第三者によっておこなわれることを指します。改ざんがおこなわれると、ECサイトを訪問したユーザーが、詐欺サイトへ誘導されて個人情報の抜き取りや、不審な商品を買わされるなどの被害が発生します。

一般社団法人JPCERTコーディネーションセンターの調査(2021年7月)によると、2021年4月1日～2021年6月30日の3ヶ月間で報告のあったWebサイト改ざんの件数は、251件であったとのことです。

上記は改ざんされたWebサイトにアクセスした際に表示される「ラッキービジター詐欺ページ」の例です。改ざんされたWeb サイトには、不正なPHPスクリプトが設置されており、そのスクリプトを利用して多数の不正なページが作成されてしまいます。

3.マルウェア感染

マルウェア(Malware)とは、不正かつ有害に動作させる意図で作成された、悪意のあるソフトウェアの総称です。キヤノンMJグループが発表した2021年上半期サイバーセキュリティレポートによると、2018年から2021年上半期までに国内で検出されたマルウェアは、常に高い検出数が続いているとのことです。

パソコンがマルウェアに感染すると次の被害が発生します。

• 個人情報・機密情報の抜き取り
• クレジットカード情報の抜き取り
• データの破壊
• スパムメールの発信

特にECサイトは大量の顧客情報を管理しているので、マルウェアに感染すると被害が大きくなります。

4.DoS・DDoS攻撃

Dos攻撃(Denial of Service attack）とは、悪意ある第三者がWebサイトにアクセスを集中させたり、サーバーに大量のデータを送りつけたりすることで、サーバーをパンクさせる手法です。DDoS攻撃（Distributed Denial of Service）は、さらにサーバーへ大きな負荷をかける手法です。

第三者がDos攻撃を仕向ける理由はさまざまですが、単純な嫌がらせや営業妨害、脅迫、抗議活動など。最近では国際的ハッカー集団「アノニマス」がロシアに対して攻撃を仕掛ける声明が取り沙汰されていますが、彼らの主な攻撃手法がDos攻撃です。

攻撃を受けるとECサイトを訪れたユーザーがアクセスしづらい状態が続き、やがてサーバーがダウンします。サーバーが正常に動かないとユーザーはECサイトで購入できないため、大きな機会損失につながり、ブランドにも悪影響を及ぼしかねません。

DoS・DDoS攻撃を阻止する対策方法

DoS攻撃を回避する代表的な方法は次の3つです。

• 不審なIPのアクセス制限
• 特定の国からのアクセスを遮断する
• DDos攻撃対策のツールを導入する

攻撃を仕掛けているIPアドレスが特定できれば、同IPのアクセスを制限することで回避することができます。また、特定の国から攻撃を受けているのであれば、国単位でアクセス制限をかけることも可能。ただし、IPや国が無数にあるDDoS攻撃には効果は減ります。また、越境ECサイトであれば、国単位で制限すると機会損失になる可能性もあります。

DDos攻撃対策のツールで最も一般的なのは「WAF（ワフ）」と呼ばれる手法です。WAFは従来のファイアウォールやIPS（Intrusion Prevention System）のようなネットワーク・サーバーレベルでの侵入阻止に加えて、アプリケーションレベルで阻止することができます。
なお、WAFの種類にもよりますが、専用機器の購入によって初期費用が高額になり運用負荷もかかるため、経済的・運用的なコストが課題となります。