連載【サイバー防御実務入門】第3回
今回のゴール
- サイバー攻撃が「段階を踏んで進む」ことを理解する
- 代表的な考え方「サイバーキルチェーン」の7段階を知る
- ランサムウェアとフィッシング詐欺の流れを例に、「どこで止めるか」を考えられるようになる
- 守りを何重にも重ねる「多層防御」の考え方を知る
はじめに：攻撃は「一瞬」では起きない
前回の第2回では、守るべきもの（機密性・完全性・可用性）と、リスクの考え方を整理しました。今回は視点を変えて、攻撃する側が、どんな順番で攻撃を進めるのかを見ていきます。
ニュースで「ランサムウェアに感染し、システムが停止」と聞くと、ある日突然、一瞬で被害が起きたように感じます。ところが、資料を読んでいくと、実際の攻撃は下調べから始まり、侵入し、内部を探り、最後に目的を果たすという、いくつもの段階を踏んで進んでいることがわかりました。
段階があるということは、守る側から見ると止めるチャンスも何度もあるということです。今回はこの「どこで止めるか」という防御側の視点を身につけます。
この記事では、攻撃の流れを守る側が理解するための「考え方」として紹介します。具体的な攻撃手順やツールの使い方は扱いません。
1. サイバーキルチェーン：攻撃を7つの段階で見る
攻撃の流れを説明するときによく使われるのが、米国の防衛企業ロッキード・マーティン社が提唱した「サイバーキルチェーン」です。もともと軍事用語の「キルチェーン（攻撃の一連の流れ）」をサイバー攻撃に当てはめたもので、攻撃を7つの段階に分けて考えます。
イメージしやすいように、空き巣の手口にたとえてみました。
| 段階 | 名前 | 何が起きるか | 空き巣にたとえると |
|---|---|---|---|
| 1 | 偵察 | 標的の情報を集める | 留守の時間や、鍵の甘い窓を下見する |
| 2 | 武器化 | 攻撃に使う道具を用意する | 窓を開ける道具を準備する |
| 3 | 配送 | 道具を標的に届ける（メールなど） | 家の前まで道具を持ってくる |
| 4 | 攻撃（悪用） | 弱点を突いて動かす | 鍵の甘い窓をこじ開ける |
| 5 | インストール | 不正なプログラムを居座らせる | いつでも入れるよう、合鍵を作っておく |
| 6 | 遠隔操作 | 外部から指示を出せる状態にする | 外の仲間と連絡を取り合う |
| 7 | 目的の実行 | 情報を盗む・壊す・脅す | 金品を盗み出す |
「チェーン（鎖）」という名前のとおり、攻撃者は基本的に、前の段階を成功させないと次へ進めません。逆に言えば、守る側はどこか一つの段階で鎖を断ち切れば、最後の「目的の実行」までたどり着かせずに済む、というのがこの考え方の大事なところです。
ただし、このモデルにも限界があると言われています。もともとはメールで不正なプログラムを送り込むような攻撃を想定したもので、最近増えている「漏れたIDとパスワードでそのまま正面から入る」攻撃などは、きれいに当てはまらないことがあります。攻撃の全体像をつかむための「地図」として使うのがよさそうです。
2. 実例：警察庁が示すランサムウェア攻撃の流れ
もう少し現実の攻撃に近い例を見てみましょう。第1回でも紹介した警察庁の報告書（令和8年上半期）には、ランサムウェア攻撃の代表的な流れが説明されています。それを整理し、私なりに「防御側が止めるチャンス」を書き加えてみました。
| 順 | 攻撃者の動き（報告書の説明） | 防御側が止めるチャンス |
|---|---|---|
| 1 | VPN機器などの未修正の脆弱性や、漏えいした認証情報を悪用して侵入する | 機器を更新する／多要素認証を使う |
| 2 | 管理者権限の奪取や、セキュリティ機能の無効化を試みる | 管理者権限を必要な人だけに絞る |
| 3 | 内部を探索し、重要データやバックアップを物色する | 不審な動きを監視して気づく |
| 4 | データをクラウドなどへアップロードして盗み出す | 外部への大量の送信に気づく |
| 5 | ランサムウェアを起動してデータを暗号化する | ネットから切り離したバックアップで復旧する |
| 6 | 脅迫状（ランサムノート）を残して身代金を要求する | 警察や専門機関に早く相談する |
| 7 | ログや使ったツールなどの痕跡を消して終了する | ログを別の場所にも保管しておく |
出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」の記述をもとに筆者作成。「防御側が止めるチャンス」の列は筆者による整理です。
表にしてみて気づいたのは、暗号化（5番目）は、攻撃の最後のほうで起きているということです。ニュースになるのは暗号化されてシステムが止まった時点ですが、その前に、侵入・権限の奪取・内部の探索・データの持ち出しと、いくつもの段階があります。報告書によると、侵入経路はVPN機器が約5割を占めるとのことでした。入口（1番目）で止めるのが一番ですが、そこを突破されても、途中で気づけば被害を小さくできるわけです。
報告書の流れで印象的だったのが、攻撃者が暗号化の前に「バックアップを物色する」という点です。バックアップが残っていれば、被害者は身代金を払わずに復旧できてしまいます。だから攻撃者は、先にバックアップを見つけて使えなくしようとするのです。守る側にとっては、普段つないだままにしない（オフラインの）バックアップが、最後の砦になる理由がここにあります。
3. 身近な例：フィッシング詐欺の流れ
組織だけの話ではありません。私たちが日常的に出会うフィッシング詐欺も、同じように段階を追って進みます。
| 順 | 詐欺の流れ | ここで止める方法 |
|---|---|---|
| 1 | 銀行や通販サイトを装ったメール・SMSが届く | 迷惑メールフィルタを有効にしておく |
| 2 | 「至急確認を」などの文面で、リンクをクリックさせる | メールのリンクは使わず、ブックマークや公式アプリから開く |
| 3 | 本物そっくりの偽サイトで、IDやパスワードを入力させる | パスワード管理機能が自動入力しない＝偽サイトの合図と考える |
| 4 | 盗んだ情報で本物のサイトにログインする | 多要素認証やパスキーを設定しておく |
| 5 | 登録情報を書き換え、不正送金や買い物をする | ログイン通知・利用通知に気づく／送金の上限額を低くしておく |
こうして並べると、私たちにも5回の「止めるチャンス」があることがわかります。たとえリンクをクリックしてしまっても（2番目を突破されても）、多要素認証を設定していれば4番目で止まりますし、利用通知に気づけば5番目で被害を最小限にできます。「一度ミスをしたら終わり」ではないと考えると、少し気持ちが楽になりました。
4. 多層防御：守りを何重にも重ねる
攻撃が段階的に進むなら、守りも段階ごとに何重にも用意しておくのが効果的です。この考え方を「多層防御」と言います。
よく使われるのが、お城のたとえです。お城は、堀、石垣、城門、そして天守と、何重もの守りで囲まれています。堀を越えられても石垣があり、石垣を越えられても城門がある。一つの守りが破られることを前提に、次の守りを用意しておくのです。
もう一つ、「スイスチーズモデル」というたとえもあります。もともとは事故がなぜ起きるかを説明するために使われてきた考え方で、穴の開いたスライスチーズを何枚も重ねると、1枚の穴は別の1枚がふさいでくれる、というものです。どの対策にも必ず「穴」（弱点）がありますが、重ねることで穴が一直線に並ぶ確率を下げることができます。
家庭のパソコンやスマホで言えば、次のような重ね方になります。
- 入口の守り：OSやルーターの更新、迷惑メールフィルタ
- 本人確認の守り：使い回さないパスワード、多要素認証、パスキー
- 気づくための守り：ログイン通知、利用通知、セキュリティソフトの警告
- 戻すための守り：ネットから切り離せるバックアップ
どれか一つの対策を「完璧」にしようとするより、そこそこの対策を何層も重ねるほうが強い。これが多層防御の考え方です。第0回で紹介したNISTのフレームワーク（防御・検知・対応・復旧）とも、ちょうど対応しています。
5. もっと詳しい「攻撃の地図」：MITRE ATT&CK
キルチェーンよりも細かく攻撃を整理したものに、米国の非営利組織MITRE（マイター）が無料で公開している「MITRE ATT&CK（マイター・アタック）」があります。
これは、実際に観測された攻撃をもとに、攻撃者が「何のために」（戦術）、「どうやって」（技術）行動するかを整理したデータベースです。企業向けのものでは、偵察、初期アクセス、権限昇格、情報の持ち出しといった十数個の「戦術」に、たくさんの「技術」がひも付けられています。
正直に言うと、今の私にはまだ難しく、全体をざっと眺めた程度です。ただ、セキュリティの現場では「この攻撃はATT&CKのどれに当たるか」という共通言語として広く使われているそうなので、名前だけでも覚えておく価値があると感じました。第3部「組織の実務編」で、監視や検知の話をするときに改めて取り上げる予定です。
6. やってみよう：届いた詐欺メールを「分解」する
今回の内容を、身近な素材で確かめてみましょう。
- 迷惑メールフォルダを開き、銀行や通販サイトを装ったメールを1通選びます。
- そのメールが、3章の表の何番目の段階に当たるかを考えます（届いた時点なので1番目ですね）。
- もし自分がこのメールにだまされていたら、2番目以降のどこで止まれたかを考えます。
- 「止まれなかったかもしれない」段階があれば、そこが今の自分の弱点です。
確認するときは、メール内のリンクやボタンは絶対にクリックせず、添付ファイルも開かないでください。件名・差出人・本文を読むだけで十分です。確認が終わったら、そのメールは削除しましょう。
用語メモ
- サイバーキルチェーン
- ロッキード・マーティン社が提唱した、サイバー攻撃を偵察から目的の実行までの7段階で整理するモデル。
- 多層防御
- 一つの対策に頼らず、性質の異なる対策を何重にも重ねて守る考え方。
- 権限昇格
- 攻撃者が、最初に入り込んだときより強い権限（管理者など）を手に入れること。
- MITRE ATT&CK
- 実際の攻撃をもとに、攻撃者の戦術と技術を整理した無料のデータベース。
- オフラインバックアップ
- ネットワークから切り離して保管するバックアップ。攻撃者に消されたり暗号化されたりしにくい。
まとめと、今日からできること
- サイバー攻撃は、下調べ→侵入→内部での活動→目的の実行と、段階を踏んで進む。
- 攻撃者はすべての段階を成功させる必要があるが、守る側はどこか一つで止めれば被害を防げる。
- ランサムウェアでは、暗号化の前に侵入・探索・持ち出しがあり、バックアップも狙われる。
- どの対策にも穴はあるので、多層防御で何重にも重ねることが大切。
- ログイン通知・利用通知をオンにする：メール、ネットバンキング、クレジットカードの通知設定を確認しましょう。「気づくための守り」になります。
- ネットバンキングの送金上限額を見直す：普段使う金額に合わせて低くしておくと、万一のときの被害を小さくできます。
- バックアップを「つなぎっぱなし」にしていないか確認する：外付けディスクなら、バックアップが終わったら外しておく習慣をつけましょう。
インターネットの通信はどんな仕組みで届いているのか。IPアドレス、ポート、ファイアウォールなど、第1部の締めくくりとして、守るために最低限知っておきたいネットワークの基本を整理します。
参考資料
- Lockheed Martin「The Cyber Kill Chain」
https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html - MITRE ATT&CK
https://attack.mitre.org/ - 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf - IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html
※本記事は2026年10月時点の情報をもとに作成しています。
