サイバー攻撃手法20選 | 実際の被害事例から学ぶ防御策の定石
はじめに
この記事で学べること
・代表的なサイバー攻撃20項目の仕組みと特徴
・攻撃手法ごとの防御策・定石パターン
・混同しやすいセキュリティ用語の違い
・実際に発生したサイバー攻撃事例
・科目Bの記述問題に応用できる原因分析・対策立案の考え方
「SQLインジェクションとXSSの違いが覚えられない」
「攻撃手法は分かるけれど、科目Bでどんな対策を書けばよいか迷う」
「ランサムウェアの対策と聞かれても、バックアップ以外に何を答えればよいのか分からない」
情報処理技術者試験のセキュリティ分野を勉強していると、こんな悩みに直面しませんか？サイバー攻撃の用語は数多くありますが、試験対策で重要なのは、用語をひたすら暗記することではありません。「攻撃者は何を悪用するのか」「何が起こるのか」「どうすれば防げるのか」をセットで理解することです。
この記事では、応用情報技術者試験（AP）や高度情報処理技術者試験の受験者に向けて、代表的なサイバー攻撃20項目と防御策を整理しました。さらに、実際に発生したランサムウェア攻撃や情報漏えい事件を取り上げ、原因・対策をケーススタディ形式で解説します。
1．なぜサイバー攻撃と防御策のセット学習が重要なのか？
IPAが2026年1月29日に公表した「情報セキュリティ10大脅威2026」では、組織向け脅威の上位に次の項目が挙げられています。
近年のサイバー攻撃は、単独の技術的な脆弱性だけではなく、認証情報の窃取、委託先への侵入、社内での権限拡大など、複数の手口を組み合わせて実行されることがあります。そのため、試験勉強でも攻撃手法を独立した用語として覚えるだけでは不十分です。
例えば、ランサムウェアについては次のように考えます。このように攻撃の流れと防御策を対応づけておくと、科目Aの知識問題にも、科目Bの原因分析・対策立案問題にも対応しやすくなります。
攻撃の流れ
VPN機器の脆弱性などを悪用してネットワークに侵入する。
管理者権限や認証情報を窃取する。
社内ネットワーク内のほかのサーバーへ侵入を広げる。
機密情報を窃取したり、ファイルを暗号化したりする。
データ復旧や情報の非公開などと引き換えに金銭を要求する。
防御の考え方
侵入を防ぐ：脆弱性修正、アクセス制御、多要素認証
侵入を検知する：ログ監視、EDR、異常な通信の検知
被害拡大を防ぐ：ネットワーク分離、権限の最小化
復旧できるようにする：隔離したバックアップ、復旧訓練
2．代表的なサイバー攻撃20選と防御策
ここからは、代表的なサイバー攻撃を5つのカテゴリに分けて整理していきます。
2-1．認証情報や人の心理を狙う攻撃
① フィッシング攻撃
銀行や企業などを装ったメール・SMS・Webサイトを用意し、利用者からID、パスワード、認証コードなどを詐取する攻撃です。
主な被害：アカウントの乗っ取り、個人情報漏えい、不正送金
防御の定石：フィッシング耐性のある多要素認証（パスキーやFIDO2など）、URL・ドメインの確認、メール認証技術の活用
試験のポイント：偽サイトへの誘導と認証情報の窃取が重要な特徴
② ビジネスメール詐欺（BEC）
経営者や取引先になりすまし、振込先の変更や不正な送金を指示する攻撃。
主な被害：金銭の詐取
防御の定石：送金先変更時の電話など別経路での確認、承認者の分離、SPF・DKIM・DMARCの導入
試験のポイント：メールの技術的な真正性確認だけでなく、業務プロセスによる確認も必要
③ パスワードリスト攻撃（クレデンシャルスタッフィング）
ほかのサービスから漏えいしたID・パスワードの組合せを使い、別のサービスへのログインを試みる攻撃です。
主な被害：不正ログイン、アカウント乗っ取り
防御の定石：パスワードの使い回し禁止、多要素認証、不審なログインの検知、試行回数の制限
試験のポイント：既に漏えいしている認証情報を再利用する点が特徴
④ パスワードスプレー攻撃
少数のよく使われるパスワードを多数のユーザーIDに対して試行する攻撃。
主な被害：不正ログイン
防御の定石：弱いパスワードの禁止、多要素認証、組織全体のログイン試行監視
試験のポイント：1アカウントに多数のパスワードを試す総当たり攻撃との違いを理解する
2-2．Webアプリケーションの脆弱性を狙う攻撃
⑤ SQLインジェクション
Webアプリケーションに不正な入力を与え、意図しないSQLを実行させる攻撃です。例えば、SQL文を文字列連結で組み立てる実装に問題があると、入力内容によってSQLの構造が変化し、不正なデータ参照や改ざんにつながる場合があります。
主な被害：DB内の情報漏えい、データ改ざん、不正な認証回避
防御の定石：プレースホルダを用いたパラメータ化クエリ、DBアカウントの最小権限化
試験のポイント：SQL文の構造と入力データを分離することが根本的な対策
⑥ クロスサイトスクリプティング（XSS）
Webサイトの出力処理の不備を悪用し、利用者のブラウザ上で不正なスクリプトを実行させる攻撃です。
主な被害：情報窃取、偽画面表示、利用者の意図しない操作
防御の定石：出力先に応じた適切なエスケープ処理、安全なDOM操作、CSPの適切な設定
試験のポイント：攻撃対象はWebサイトの閲覧者側のブラウザ
⑦ クロスサイトリクエストフォージェリ（CSRF）
ログイン中の利用者に、本人が意図していないリクエストをWebサービスへ送信させる攻撃です。
主な被害：設定変更、パスワード変更、不正な送金など
防御の定石：CSRFトークンの検証、SameSite Cookie、重要操作時の再認証
試験のポイント：ログイン済みの利用者の権限を悪用して、意図しない処理を実行させる
⑧ OSコマンドインジェクション
アプリケーションの入力処理を悪用し、サーバー上で意図しないOSコマンドを実行させる攻撃です。
主な被害：ファイル削除、情報漏えい、サーバーの乗っ取り
防御の定石：シェルを介した外部コマンド実行の回避、安全なAPIの使用、入力値の許可リスト検証、権限の最小化
試験のポイント：SQLではなくOSコマンドの実行が問題となる
⑨ ディレクトリトラバーサル
パスの指定方法や検証処理の不備を悪用し、本来アクセスできないファイルを参照しようとする攻撃です。
主な被害：設定ファイルや機密ファイルの漏えい
防御の定石：ファイル名の許可リスト、正規化後のパス検証、アクセス可能なディレクトリの制限
試験のポイント：パス操作によって許可外のファイルへアクセスする
⑩ SSRF（Server-Side Request Forgery）
サーバーが外部リソースを取得する機能などを悪用し、攻撃者が指定した宛先へサーバーからリクエストを送らせる攻撃です。
主な被害：内部システムへのアクセス、クラウド環境のメタデータなどの窃取
防御の定石：接続先の許可リスト、内部ネットワークへのアクセス制限、クラウドメタデータサービスの保護
試験のポイント：攻撃者自身ではなく、脆弱なサーバーに通信を行わせる
2-3．通信やネットワークを狙う攻撃
⑪ セッションハイジャック
セッションIDなどを窃取・悪用して、認証済み利用者になりすます攻撃です。
主な被害：アカウント乗っ取り、不正操作
防御の定石：HTTPSの利用、Secure・HttpOnly属性、セッションIDの適切な管理・更新、セッション失効処理
試験のポイント：パスワードが分からなくても、セッション情報を悪用されると不正操作につながる場合がある
⑫ DDoS攻撃（分散型サービス妨害攻撃）
多数の端末から大量の通信やリクエストを送り、サービスの処理能力や通信容量を圧迫する攻撃です。
主な被害：Webサイト停止、サービス応答遅延
防御の定石：CDN・DDoS対策サービスの活用、通信のレート制限、トラフィック分散、上流ネットワーク事業者との連携
試験のポイント：通信量・要求量によって可用性を損なう攻撃
⑬ 中間者攻撃（MITM）
通信当事者の間に攻撃者が入り、通信内容を盗聴・改ざんする攻撃です。
主な被害：認証情報の窃取、通信データの改ざん
防御の定石：TLSによる通信保護、証明書の正しい検証、信頼できるネットワークの利用
試験のポイント：通信相手の真正性確認と通信内容の保護が重要
⑭ DNSキャッシュポイズニング
DNSキャッシュに不正な名前解決情報を混入させ、利用者を意図しないサーバーへ誘導する攻撃です。
主な被害：偽サイトへの誘導、認証情報の窃取
防御の定石：DNSSECの検証、DNSサーバーの更新・適切な設定、TLS証明書の検証
試験のポイント：ドメイン名からIPアドレスを得る名前解決の仕組みが狙われる
2-4．マルウェアやWeb閲覧を悪用する攻撃
⑮ ランサムウェア攻撃
ファイルを暗号化して利用不能にしたり、窃取した情報の公開を脅したりして金銭を要求する攻撃です。
主な被害：業務停止、情報漏えい、復旧費用の発生
防御の定石：脆弱性修正、侵入経路の保護、EDR、ネットワーク分離、隔離・保護されたバックアップ
試験のポイント：バックアップは主に復旧対策であり、侵入や情報窃取を直接防ぐものではない
⑯ ドライブバイダウンロード
Webサイトの閲覧をきっかけに、ブラウザなどの脆弱性や利用者を欺く仕組みを悪用して、マルウェアをダウンロード・実行させる攻撃です。
主な被害：マルウェア感染、情報窃取
防御の定石：ブラウザ・OSの更新、不要なプラグインの削除、Webフィルタリング、エンドポイント保護
試験のポイント：不正なWebコンテンツへのアクセスが感染の契機となる
⑰ 水飲み場型攻撃
標的の組織や利用者が頻繁にアクセスするWebサイトを改ざんし、その利用者を狙って攻撃する手法です。
主な被害：特定組織の端末への侵入、情報窃取
防御の定石：ブラウザの更新、不審なスクリプトの検知、端末監視、通信先の制御
試験のポイント：攻撃者が標的の利用するサイトで待ち受ける
2-5．組織・取引先・認証基盤を狙う攻撃
⑱ サプライチェーン攻撃
取引先、委託先、ソフトウェア更新経路などを足掛かりに、本来の標的組織へ侵入する攻撃です。
主な被害：企業間での被害拡大、情報漏えい、事業停止
防御の定石：委託先管理、接続経路の制限、ネットワーク分離、ソフトウェアの真正性確認
試験のポイント：自社だけでなく取引先やソフトウェア供給元も攻撃対象となる
⑲ 標的型攻撃（APTを含む）
特定の組織や人物を狙い、認証情報の窃取、脆弱性悪用、不正プログラムの設置などを組み合わせて侵入する攻撃です。APT（Advanced Persistent Threat：高度で持続的な標的型攻撃）では、長期間にわたる侵入や継続的な情報収集などが行われる場合があります。
主な被害：機密情報の窃取、継続的な不正アクセス
防御の定石：標的型メール対策、最小権限、ネットワーク分離、EDR・SIEMによる継続監視
試験のポイント：単一の攻撃手法ではなく、複数の手口を組み合わせる場合がある
⑳ MFAプッシュ疲労攻撃（MFA Fatigue）
多要素認証の承認通知を繰り返し送り、利用者の誤操作や混乱による承認を狙う攻撃です。
主な被害：不正ログイン、アカウント乗っ取り
防御の定石：フィッシング耐性のある認証方式の導入、不審な承認要求の拒否、認証要求回数の制御と監視
試験のポイント：多要素認証を導入していても、認証方式や運用方法によっては攻撃を受ける
3．混同しやすい攻撃手法の違いを整理する
試験で迷いやすい攻撃手法は、攻撃対象と目的を比較すると覚えやすくなります。
SQLインジェクション・XSS・CSRFの違い
覚え方
SQLインジェクション：DBに対する不正な命令
XSS：閲覧者のブラウザで不正な処理
CSRF：ログイン済み利用者に意図しない処理をさせる
パスワード攻撃の違い
4．実際のサイバー攻撃から学ぶケーススタディ4選
ここからは、実際に発生したサイバー攻撃を基に、原因と防御策を考えていきます。各事例では、公式発表などで確認できる事実と、試験学習のために考えた改善策を区別して紹介します。
なお、セキュリティ対策は複数の対策を組み合わせて機能するため、「この対策を実施すれば100%防げた」と断定することはできません。
事例① 大阪急性期・総合医療センター｜委託先を経由したランサムウェア攻撃（2022年）
何が起こったのか？
2022年10月31日、大阪急性期・総合医療センターがサイバー攻撃を受け、電子カルテなどのシステムが利用できなくなりました。
電子カルテを含む基幹システムがランサムウェアによって暗号化され、診療業務に大きな影響が発生しました。調査報告書によると、診療システム全体の復旧には73日間を要しました。
攻撃はどのように行われたのか？
調査報告書では、次のような侵入経路が推定されています。
給食事業者のリモート保守用VPN機器の脆弱性などを利用して侵入
給食事業者のシステム内で認証情報などを窃取
窃取した認証情報を使って病院の給食サーバーに侵入
病院内のほかのサーバーの認証情報を入手
電子カルテなどの基幹システムに侵入し、ランサムウェアを展開
特に重要なのは、病院のシステムだけが直接攻撃されたのではなく、委託先のシステムが侵入経路になったという点ですまた、病院給食サーバーとほかのサーバーでID・パスワードが共通していたことも、被害拡大の一因として報告されています。
どのような対策が有効だったのか？
報告内容を踏まえると、次の対策によって侵入や被害拡大のリスクを減らせた可能性があります。
VPN機器の脆弱性管理、不要なリモート接続の停止
委託先から接続できるサーバー・通信経路の制限
サーバー間の認証情報の共通利用を避ける
管理者権限の最小化、特権アカウントの分離
委託先接続領域と電子カルテ領域のネットワーク分離
異常なリモート接続や認証情報窃取の検知
復旧可能なバックアップと事業継続計画（BCP）の整備
科目Bでの着眼点
「なぜ委託先での侵害が基幹システムまで拡大したのか？」と問われたら、ネットワークの接続範囲、認証情報の共通利用、アクセス権限を確認します。例えば、次のような解答が考えられます。
委託先から接続可能な範囲が広く、複数サーバーで認証情報を共用していたため、侵入後にほかのサーバーへ不正アクセスが拡大した。
参考資料
大阪急性期・総合医療センター「情報セキュリティインシデント調査報告書（概要）」2023年3月28日
事例② MOVEit Transfer｜SQLインジェクションを悪用した大規模な情報窃取（2023年）
何が起こったのか？
2023年、ファイル転送ソフトウェア「MOVEit Transfer」のゼロデイ脆弱性が悪用され、多数の組織が影響を受けました。米国CISAなどの公表資料によると、攻撃グループCL0Pは、SQLインジェクションの脆弱性「CVE-2023-34362」を悪用して攻撃を行いました。
攻撃のポイント
インターネットからアクセスできるファイル転送システムに脆弱性が存在
SQLインジェクションが攻撃の入口となった
侵入後、Webシェルなどを悪用してデータを窃取
ファイル転送システムに保存されている機密情報が攻撃対象となった
特にこの事例で重要なのは、ゼロデイ脆弱性が悪用されたことです。ゼロデイ攻撃とは、修正方法が十分に利用できない段階などで脆弱性を悪用する攻撃を指します。
どのような対策が有効だったのか？
ソフトウェア開発側でSQLインジェクションを防ぐ安全な実装を行う
脆弱性情報の公開後、速やかに更新を適用する
修正できない間は、対象システムの外部公開を停止・制限する
Webサーバーの不審なファイルやアクセスログを確認する
不要なデータを転送サーバー上に長期間保存しない
WAFなどによって既知の攻撃パターンを検知・遮断する
ただし、ゼロデイ攻撃では、脆弱性が公表される前に更新プログラムを適用して防ぐことはできません。そのため、外部公開範囲の最小化、異常検知、機密データの保管制限といった多層防御も重要になります。
科目Bでの着眼点
「更新プログラムが公開されていない脆弱性への対策」を問われた場合は、パッチ適用だけを答えないことがポイントです。外部公開停止、アクセス元制限、異常検知など、暫定的なリスク低減策を考えましょう。
参考資料
CISA「CL0P Ransomware Gang Exploits MOVEit Vulnerability」2023年6月7日
事例③ Change Healthcare｜多要素認証の未設定が問題となったサイバー攻撃（2024年）
何が起こったのか？
2024年2月、米国の医療関連企業Change Healthcareが大規模なサイバー攻撃を受け、医療関連サービスに深刻な影響が発生しました。同社の親会社UnitedHealth GroupのCEOは、米国議会での説明において、侵入に関係したシステムの一部で多要素認証（MFA）が有効になっていなかったことを認めています。
攻撃のポイント
外部からアクセスするための認証経路が悪用された
攻撃に関係したシステムでMFAが有効ではなかった
医療関連サービスに広範囲な業務影響が発生した
どのような対策が有効だったのか？
重要システムのリモートアクセスにMFAを必須化する
特に管理者アカウントにはフィッシング耐性のある認証方式を使用する
不正ログインや通常と異なる接続元を監視する
侵入されてもほかのシステムに移動できないようにネットワークを分離する
買収・統合したシステムを含めて認証設定を定期点検する
MFAが設定されていれば、盗まれたパスワードだけによる認証を阻止できた可能性があります。ただし、MFAの方式によってはフィッシングなどで突破されるリスクがあるため、方式の選定と監視も重要です。
科目Bでの着眼点
認証に関する問題では、パスワードを複雑にするだけでなく、多要素認証やアクセス制御、監視まで含めて検討します。
参考資料
米国下院エネルギー・商業委員会「What We Learned: Change Healthcare Cyber Attack」2024年5月3日
事例④ KADOKAWA｜ランサムウェアによるサービス停止と情報漏えい（2024年）
何が起こったのか？
2024年6月8日、KADOKAWAグループで大規模なシステム障害が発生しました。同社は、ニコニコ関連のサービス群などがランサムウェアを含む大規模なサイバー攻撃を受けたと公表しました。
2024年8月5日の公表では、25万4,241人分の個人情報の漏えいが確認されたと報告しています。この事例では、単なるファイルの暗号化だけでなく、サービス停止や情報漏えいといった複数の被害が発生しました。
どのような対策が考えられるのか？
公開情報から全ての侵入経路や被害拡大要因を断定できるわけではありませんが、一般的なランサムウェア対策として次のようなものが重要です。
認証情報の窃取・不正利用を防ぐMFA
VPN機器や外部公開システムの脆弱性管理
重要サーバーへのアクセス制限
不正なプログラムの実行や権限昇格を検知するEDR
サービス間のネットワーク分離
バックアップの隔離保存と復旧訓練
情報窃取を想定した通信監視やインシデント対応計画
なお、これらは事例から考えられる一般的な対策であり、特定の対策が未実施だったことや、それだけで今回の被害を防げたことを意味するものではありません。
科目Bでの着眼点
ランサムウェアについては、「感染を防ぐ」「被害の拡大を防ぐ」「復旧する」という3つの観点が重要です。さらに、情報を窃取したうえで公開を脅す二重脅迫型の攻撃では、バックアップだけでは情報漏えいの被害を防げません。
参考資料
KADOKAWA「ランサムウェア攻撃による情報漏洩に関するお知らせ」2024年8月5日
5．科目Bで使える「原因→対策」の定石パターン
ここまでの攻撃手法とケーススタディを、記述問題向けに整理してみましょう。科目Bで「どのような対策が必要か」と問われたときは、単にセキュリティ製品名を回答するのではなく、問題文で示された弱点に対応する具体的な対策を考えることが重要です。
まとめ
サイバー攻撃の試験対策では、攻撃名と説明を単純暗記するだけでなく、次の3つを意識して学習することをおすすめします。
① 何を悪用する攻撃なのか？
認証情報、Webアプリケーション、通信経路、ソフトウェアの脆弱性など、攻撃対象を正確に理解する。
② どのような被害につながるのか？
情報漏えい、改ざん、サービス停止、不正送金など、攻撃の結果を把握する。
③ どのような仕組みで防ぐのか？
侵入を防止する対策、攻撃を検知する対策、被害拡大を防ぐ対策、復旧するための対策を区別する。実際のインシデントを見ると、1つの技術的な弱点が、そのまま大規模な被害につながるとは限りません。
委託先との接続、認証情報の管理、アクセス権限、ログ監視、バックアップなど、複数の要素が関係します。科目Bでは、こうした要素を問題文から読み取り、弱点と対策を対応させることが大切です。
「こういう弱点があれば、こう対処する」
この定石を自分の中に増やしていくことが、セキュリティ分野を攻略するための有効な勉強法だと考えています。この記事が役立ったら、試験直前の復習用に保存して活用してみてください。
