標的型攻撃は、不特定多数へ同じ攻撃を広く仕掛けるのではなく、特定の組織、業界、部門又は担当者を調査し、対象の環境や業務へ合わせて侵入・潜伏・情報窃取などを行う攻撃です。
標的型攻撃メールは代表的な入口ですが、攻撃はメールだけで完結しません。
- 標的が利用するWebサイトを改ざんする
- VPN（Virtual Private Network）機器や公開サーバの脆弱性を悪用する
- 漏えいした認証情報で侵入する
- 委託先や取引先を足掛かりにする
- 侵入後に認証情報を盗み、内部の別端末へ移動する
- 長期間潜伏して情報を収集・持出しする
そのため、「不審なメールを見分ける」ことだけに依存した対策には限界があります。
この記事では、標的型攻撃とAPTの関係、攻撃準備、標的型攻撃メール、水飲み場型攻撃、ゼロデイ攻撃、サイバーキルチェーン、ラテラルムーブメントを、攻撃の流れに沿って整理します。
先に結論：入口だけでなく、侵入前から目的実行までを見る
標的型攻撃は、次のような段階で進む場合があります。
| 段階 | 攻撃者の主な行動 | 防御側が確認する例 |
|---|---|---|
| 調査・準備 | 公開情報の収集、対象システムや担当者の調査 | 不要な情報公開、公開資産、スキャンの痕跡 |
| 初期侵入 | 標的型メール、水飲み場型攻撃、脆弱性・認証情報の悪用 | メール、認証、Web・VPN機器のログ |
| 実行・足場確保 | マルウェア実行、バックドア設置、C&C通信 | 不審プロセス、外部通信、永続化設定 |
| 内部活動 | 権限昇格、認証情報窃取、内部探索、ラテラルムーブメント | 異常な管理操作、端末間通信、認証の連続 |
| 目的実行 | 情報収集・持出し、改ざん、破壊、業務妨害 | 大量アクセス、外部送信、重要データ操作 |
実際の攻撃が必ずこの順序どおりに進むわけではありません。
段階で考える目的は、入口で防げなかった場合でも、実行、外部通信、権限窃取、横展開、情報持出しなどの途中で検知・遮断する機会を作ることです。
1．標的型攻撃の基本
標的型攻撃では、攻撃者が対象を調査し、成功しやすい侵入口や誘導内容を選びます。
狙われる対象には、次のようなものがあります。
- 機密情報や個人情報を保有する組織
- 行政機関や重要インフラ
- 研究・開発部門
- 経理、調達、人事、法務などの担当者
- 経営者や役員
- 大企業や行政機関へ接続する委託先・取引先
- クラウドや保守サービスの管理者
標的を絞ることと、必ず高度な技術を使うことは別
標的型攻撃では、未知の脆弱性や独自のマルウェアが使われる場合があります。
しかし、全ての標的型攻撃が高度な未知技術だけを使用するわけではありません。
- 既知の脆弱性
- パスワードの使い回し
- 漏えいした認証情報
- 一般的なフィッシング
- 正規の遠隔管理ツール
- マクロやスクリプト
- クラウドの設定不備
など、一般的な手口を対象に合わせて組み合わせる場合もあります。
「標的が限定されているか」と「使用技術が未知・高度か」は、別の判断軸です。
2．APT：高度な能力と十分な資源をもち、長期に目的を追う脅威
APTは一般にAdvanced Persistent Threatの略です。IPAのSGシラバスでは、Advanced Persistent Threatsと複数形で表記されています。
一般に、高度な専門性と十分な資源をもつ攻撃主体が、複数の攻撃経路を使って対象組織内の足場を確立・拡大し、情報窃取や業務妨害などの目的を長期間にわたり繰り返し追求する脅威を指します。
APTを見分ける三つの観点
| 観点 | 意味 |
|---|---|
| Advanced | 高度な専門性と十分な資源をもち、複数の攻撃経路を組み合わせる |
| Persistent | 防御側の対応へ適応しながら、長期間にわたり繰り返し目的を追求する |
| Threat | 攻撃の意図と能力を備えた攻撃主体が存在する |
標的型攻撃とAPTの違い
| 標的型攻撃 | APT |
|---|---|
| 特定の組織・人物などを狙う攻撃を広く表す | 高度な能力、十分な資源、長期的・継続的な活動に重点がある |
| 短期間で目的を達成して終わる場合もある | 足場の維持、継続的な情報窃取、再侵入などを試みる |
| 犯罪者、詐欺犯、内部者など主体は様々 | 国家支援型など組織的で資源の豊富な主体と関連して使われることが多い |
IPAシラバスでは、APTが標的型攻撃の用語例として示されています。
ただし、両者は完全な同義語ではありません。試験では、APTの説明に高度な専門性、十分な資源、複数の攻撃経路、長期間の継続性が含まれているかを確認します。
3．攻撃準備：フットプリンティングとポートスキャン
標的型攻撃では、侵入前に対象を調査し、攻撃の成功率を高めます。
フットプリンティング
フットプリンティングは、公開情報などから攻撃対象に関する情報を収集する活動です。
収集対象には、次のものがあります。
- 組織名、拠点、関連会社
- 従業員名、役職、メールアドレス
- 採用情報から推測できる利用技術
- ドメイン名、IPアドレス、公開サーバ
- 取引先、委託先、利用サービス
- SNS、講演資料、技術ブログ
- 組織図、担当業務、異動情報
- 実在する案件名や会議名
一つ一つは公開情報でも、組み合わせると、自然な標的型攻撃メールの作成や侵入口の選定に利用される場合があります。
ポートスキャン
ポートスキャンは、対象機器で待ち受けている通信ポートやサービスを調査する行為です。
- 外部公開されているサービス
- 管理用ポート
- 使用中のプロトコル
- 応答から推測できる製品・バージョン
などを確認し、悪用可能な入口を探すために使われる場合があります。
ポートスキャン自体は、システム管理者による点検や脆弱性診断にも利用されます。行為の目的、許可、対象によって正当な診断にも攻撃準備にもなり得ます。
4．標的型攻撃メール：業務上自然な内容で行動を誘う
標的型攻撃メールでは、受信者が不自然さを感じにくいように、対象の業務や関心に合わせた内容が使われます。
典型的な特徴
- 実在する取引先、上司、関係機関などを装う
- 受信者名や所属を本文へ入れる
- 実在する会議、見積り、採用、問い合わせなどを題材にする
- 不正な添付ファイルを開かせる
- 偽の認証画面へ誘導する
- マルウェア配布サイトへ誘導する
- パスワード付き圧縮ファイルなどを利用する
- 侵害した正規アカウントから送信する
差出人表示や自然な文章だけでは安全と判断できない
次の情報が正しく見えても、安全とは限りません。
- 差出人の表示名
- メールアドレスの一部
- 署名欄
- 取引先名
- 業務上の案件名
- 自然な日本語
- 過去のメールに似た文面
送信元アドレスの偽装、正規アカウントの侵害、よく似たドメイン名の使用などが考えられます。
添付ファイルやリンクの正当性に迷う場合は、メールに記載された情報だけに依存せず、既知の正規連絡先や社内の報告経路で確認します。
ただし、メールの確認方法やビジネスメール詐欺（BEC）を含むソーシャルエンジニアリング全般は、「ソーシャルエンジニアリングとフィッシング」で詳しく扱います。
5．水飲み場型攻撃：標的が普段利用する場所で待ち伏せる
水飲み場型攻撃では、標的となる組織・業界・集団が日常的に利用するWebサイトを調査し、そのサイトを改ざんするなどして、標的が訪れるのを待ちます。
名称は、水飲み場へ集まる動物を捕食者が待ち伏せする様子に由来します。
典型的な流れ
- 攻撃対象となる組織・集団を決める
- 対象者がよく利用するWebサイトを調査する
- そのWebサイトや関連する広告・外部コンテンツを侵害する
- 訪問した端末の情報を確認する
- 条件に合う標的へマルウェア配布や不正な誘導を行う
全ての訪問者を攻撃するとは限りません。IPアドレス、ブラウザ、端末環境などから、特定組織の利用者だけを狙う場合もあります。
ドライブバイダウンロードとの違い
| 水飲み場型攻撃 | ドライブバイダウンロード |
|---|---|
| 標的集団がよく利用するサイトを待ち伏せ場所に選ぶ攻撃戦略 | Webページの閲覧を契機に、不正プログラムを取得・実行させる感染方法 |
| 「誰が訪れるサイトを狙うか」に重点がある | 「どのように感染させるか」に重点がある |
一つの攻撃が、水飲み場型攻撃であると同時に、感染方法としてドライブバイダウンロードを利用する場合があります。
両者は排他的な用語ではありません。
6．ゼロデイ攻撃：十分な修正手段が利用できる前に脆弱性を悪用する
ゼロデイ攻撃は、脆弱性が防御側へ十分に知られていない段階、又は修正プログラムがまだ提供されていない段階で、その脆弱性を悪用する攻撃です。
資料によって用語の範囲には違いがあります。NISTは、これまで知られていなかったハードウェア、ファームウェア又はソフトウェアの脆弱性を悪用する攻撃と説明しています。一方、IPAは、修正プログラムが提供される前の脆弱性を悪用する攻撃として説明しています。
SGでは、問題文に修正プログラムの提供前という説明があれば、ゼロデイ攻撃を判断する重要な手掛かりになります。
用語の関係
- 狭い意味のゼロデイ脆弱性：提供元や防御側へまだ知られていない脆弱性
- SGで問われるゼロデイ攻撃：修正プログラムが提供される前に脆弱性を悪用する攻撃
ゼロデイ攻撃は標的型攻撃で使われる場合がありますが、必ず特定組織だけを狙うとは限りません。攻撃コードが広く利用され、無差別な攻撃へ使われる場合もあります。
修正プログラムがない間も対策はできる
「修正プログラムがないので、何もできない」という説明は誤りです。
- 影響を受ける機能やサービスを一時停止する
- 外部からのアクセスを制限する
- 不要な公開を停止する
- WAF（Web Application Firewall）やIPS（Intrusion Prevention System）などの緩和策を適用する
- 不審な通信、プロセス、ログを監視する
- アカウント権限を制限する
- 提供元や公的機関の情報を継続確認する
- 修正公開後に速やかに適用する
恒久対策が利用できるまでの間、影響を減らす代替策・緩和策を組み合わせます。
7．サイバーキルチェーン：攻撃者の行動を七段階で捉える
サイバーキルチェーンは、Lockheed Martinが示した、サイバー侵入活動を攻撃者側の段階に分けて捉えるモデルです。
代表的なモデルでは、次の七段階で整理します。
| 段階 | 攻撃者の行動例 |
|---|---|
| 1．偵察（Reconnaissance） | 標的、担当者、公開システムなどを調査する |
| 2．武器化（Weaponization） | 脆弱性を悪用するコードとマルウェアなどを組み合わせる |
| 3．配送（Delivery） | メール、Webサイト、媒体などで攻撃手段を届ける |
| 4．悪用（Exploitation） | 脆弱性や利用者の操作を利用してコードを実行する |
| 5．インストール（Installation） | マルウェアやバックドアなどを設置する |
| 6．C&C（Command and Control） | 攻撃者の指令・制御基盤と通信する |
| 7．目的の実行（Actions on Objectives） | 情報窃取、破壊、業務妨害などを行う |
サイバーキルチェーンの目的
サイバーキルチェーンは、単に攻撃手順を暗記するためのものではありません。
各段階について、
- どのような痕跡が残るか
- どこで検知できるか
- どこで遮断できるか
- 一つの段階を止められなかった場合、次の段階でどう防ぐか
を考えるために利用します。
サイバーキルチェーンではないもの
- 被害組織の復旧作業を優先順に並べた手順
- 暗号鍵を連鎖的に更新する方式
- 委託先を含む供給網の契約関係を示す図
- インシデント対応担当者の役割分担表
「チェーン」という名称から、暗号鍵やサプライチェーンと混同しないようにします。
モデルの限界
全ての攻撃が七段階を一回ずつ順番に通るわけではありません。
- 段階を飛ばす
- 複数段階を同時に行う
- 一度戻って別の手段を試す
- クラウドや認証基盤を横断する
- 正規ツールを使って明確なインストールを行わない
場合があります。
モデルは攻撃を理解するための整理であり、現実の全攻撃を完全に固定化するものではありません。
8．ラテラルムーブメント：侵入済みの地点から別のシステムへ移動する
ラテラルムーブメントは、攻撃者が最初に侵害した端末やアカウントを足掛かりに、内部の別端末・サーバ・クラウド資源などへ移動し、制御範囲を広げる行動です。
典型例
- 窃取したID・パスワードを使って別端末へ接続する
- リモートデスクトップやSSHなどの遠隔サービスを悪用する
- 管理共有やファイル共有を利用して別端末へ不正なファイルを配置する
- ソフトウェア配布・端末管理などの正規管理ツールを悪用する
- ファイルサーバ、認証サーバ、バックアップサーバへ不正にアクセスする
- 窃取したトークンやクラウド認証情報を使って別のクラウド資源へアクセスする
似た用語との違い
| 用語 | 中心となる行動 |
|---|---|
| フットプリンティング | 主に侵入前に、公開情報から標的を調査する |
| ポートスキャン | 利用可能なサービスや入口を調査する |
| 認証情報へのアクセス | パスワード、ハッシュ、チケット、トークンなどを取得する |
| 権限昇格 | 同一端末・システムなどで、より高い権限を取得する |
| 内部探索・Discovery | 内部の端末、アカウント、共有、ネットワーク構成を調査する |
| ラテラルムーブメント | 侵入済み地点から別の端末・サーバなどへ移動し、制御範囲を広げる |
| バックドアの設置 | 後から再侵入・継続アクセスできる経路を確保する |
これらは別の概念ですが、実際の攻撃では組み合わせて使われます。
例えば、内部探索でサーバを見つけ、認証情報を盗み、その認証情報で別のサーバへ接続する行動がラテラルムーブメントです。その後、継続アクセスのためにバックドアを設置する場合もあります。
9．段階ごとに対策を配置する
標的型攻撃は、一つの製品や利用者の注意だけで完全に防ぐことが困難です。
| 攻撃段階 | 主な対策例 |
|---|---|
| 調査・準備 | 公開情報の管理、資産の把握、不要な公開サービスの停止 |
| 初期侵入 | メール対策、脆弱性修正、多要素認証、公開範囲の制限 |
| 実行・設置 | マルウェア対策、アプリケーション制御、権限の制限 |
| C&C・外部通信 | DNS、プロキシ、ファイアウォール、EDR（Endpoint Detection and Response）などの監視 |
| 認証情報・権限窃取 | 最小権限、特権ID管理、認証情報の保護 |
| 横展開 | ネットワーク分離、管理共有の制限、端末間通信の制御 |
| 情報収集・持出し | アクセスログ、DLP（Data Loss Prevention）、外部送信量・異常通信の監視 |
| 発覚後 | 報告、封じ込め、証拠保全、原因調査、復旧、再発防止 |
対策の要点は、次の二つです。
- 入口で防ぐ機会を増やす
- 侵入された場合にも、早期に検知して被害を限定する
利用者教育は重要ですが、教育だけへ責任を集中させず、認証、設定、監視、権限、ネットワーク、ログ、対応体制を組み合わせます。
よくある取り違え
| 誤った理解 | 正しい整理 |
|---|---|
| 標的型攻撃は必ずメールから始まる | 水飲み場型、公開サービス、認証情報、委託先なども入口になる |
| 標的型攻撃は必ず未知の高度技術を使う | 一般的な手口を標的に合わせて組み合わせる場合もある |
| 標的型攻撃とAPTは完全な同義語である | APTは高度な能力・資源・長期的な活動に重点がある |
| 差出人名や自然な文章を確認すれば標的型メールを判別できる | 偽装や正規アカウント侵害があるため、それだけでは不十分 |
| 水飲み場型攻撃とドライブバイダウンロードは排他的である | 待ち伏せ戦略と感染方法の違いで、併用される場合がある |
| ポートスキャンは常に攻撃であり、管理目的では使わない | 許可された点検・診断にも使われる |
| ゼロデイ攻撃には一切対策できない | 機能停止、アクセス制限、監視などの緩和策を取れる |
| サイバーキルチェーンは被害組織の復旧手順である | 攻撃者の侵入活動を段階化したモデル |
| 全ての攻撃はキルチェーンの七段階を順番どおりに進む | 段階の省略、反復、並行実行があり得る |
| ラテラルムーブメントは同じ端末内で権限を上げること | 別の端末・サーバなどへ侵害範囲を広げること |
| バックドアの設置とラテラルムーブメントは同じ | 継続アクセス経路の確保と、別システムへの移動は異なる |
科目Bでの判断手順
- 特定の組織・人物を調査しているか
対象に合わせた内容・侵入口なら標的型攻撃を疑います。
- 攻撃のどの段階かを確認する
調査、初期侵入、実行、C&C、内部移動、目的実行に分けます。
- 標的の利用サイトで待ち伏せしているか
その点が中心なら水飲み場型攻撃です。
- 未知又は修正前の脆弱性を悪用しているか
その点が中心ならゼロデイ攻撃です。
- 攻撃者の行動を段階に分けるモデルか
偵察から目的実行までを整理するならサイバーキルチェーンです。
- 侵入後、別の端末・サーバへ移動しているか
内部で横方向へ侵害を広げる行動はラテラルムーブメントです。
- 一つの対策だけへ依存していないか
メール対策、認証、監視、権限、ネットワーク、対応体制を組み合わせます。
- 問題文が問う分類軸を確認する
入口、感染方法、攻撃段階、内部活動を混同しないようにします。
まとめ
- 標的型攻撃は、特定の組織・業界・担当者などを調査し、対象に合わせて行う攻撃
- 標的型攻撃メールは代表的な入口だが、公開サービス、認証情報、Webサイト、委託先なども入口になる
- 標的型攻撃は必ず未知の高度技術だけを使うわけではない
- APTは、高度な能力・十分な資源をもち、長期間にわたり継続的に目的を追求する脅威・活動
- 標的型攻撃とAPTは関連するが、完全な同義語ではない
- フットプリンティングは公開情報などから対象を調査する活動
- ポートスキャンは利用可能なポート・サービスを調べる行為で、正当な点検にも使われる
- 標的型攻撃メールは、対象の業務に関係する自然な内容で行動を誘う
- 差出人表示、文章、案件名だけでは安全と判断できない
- 水飲み場型攻撃は、標的集団がよく利用するWebサイトを待ち伏せ場所に選ぶ
- ドライブバイダウンロードは感染方法であり、水飲み場型攻撃と併用される場合がある
- ゼロデイ攻撃は、未知又は十分な恒久対策が利用できない段階の脆弱性を悪用する
- 修正プログラムがなくても、機能停止、アクセス制限、監視などの緩和策を取れる
- サイバーキルチェーンは、攻撃者の活動を偵察から目的実行までの段階で整理するモデル
- 全ての攻撃が七段階を固定された順序で進むわけではない
- ラテラルムーブメントは、侵入済みの地点から内部の別端末・サーバなどへ侵害範囲を広げる行動
- 権限昇格、内部探索、バックドア設置とは異なるが、組み合わせて使われる
- 入口での防御だけでなく、実行、C&C、権限窃取、横展開、情報持出しの各段階で検知・遮断する
関連記事
- C1-T03：マルウェアの分類
- C1-T04：ランサムウェア
- C1-T07：ソーシャルエンジニアリングとフィッシング
- C1-T09：ネットワーク・通信への攻撃
- C1-T10：Webアプリケーションへの攻撃
- C5-T07：マルウェア対策
- C5-T09：ログ管理と監視
- C6-T01：インシデントハンドリングの4段階
- C6-T02：初動対応とエスカレーション
- C7-T07：情報セキュリティ教育と訓練
参考資料・基準日
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- IPA「標的型攻撃／新しいタイプの攻撃の実態と対策」
- IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）
- NIST「Computer Security Resource Center (CSRC) Glossary」（2026年8月7日参照）
- Lockheed Martin「Cyber Kill Chain」
- MITRE ATT&CK「Lateral Movement」
関連する問題
- 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第21問〜第25問
- 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第26問〜第30問
コメント