メールを使ったサイバー攻撃の多くは脆弱性を悪用しない？

最終更新日 2023年09月07日

メールを使ったサイバー攻撃、99％は「脆弱性を悪用しない」 | 日経 xTECH（クロステック） には、以下のとおり書かれています。(この記事の公開年月日は2015年3月5日)

　日本IBMは2015年3月5日、2014年下半期（7月から12月）における国内のサイバー攻撃の動向をまとめた「2014年下半期Tokyo SOC情報分析レポート」を公表した。メールに添付されて送られるウイルスなどの攻撃ファイルのうち、ソフトウエアの脆弱性を突くのはわずか1.3％だったという。

　同レポートでは、サーバーとクライアントそれぞれに対する攻撃の特徴などをまとめている。クライアントに対するメール攻撃の特徴は、脆弱性を悪用しない攻撃がほとんどだったということ。脆弱性を悪用する攻撃は、わずか1.3％だった（図1）。

何となくサイバー攻撃は脆弱性を悪用するものが多い気がしますが、メールを使ったサイバー攻撃では脆弱性を悪用するものは少ないようです。

その理由について、同記事には以下のとおり書かれています。

　脆弱性を悪用しないメール攻撃が多い理由として同レポートでは、「メールの添付ファイルを利用する攻撃では、脆弱性悪用の有無にかかわらず、ユーザーにファイルを開かせる必要があるため」と分析する。

　脆弱性を悪用する場合でも、悪用しない場合と同様に、ユーザーをだましてファイルを開かせる必要がある。それなら、実行形式ファイルやマクロを含むファイルを使っても同じだと攻撃者は判断しているという。

最近は聞かないですが、昔はOSやメールに利用するソフトウェアの脆弱性を悪用し、メールを開くだけ、またはメールをプレビューするだけで感染するウイルスが登場したことがありました。

その頃では、メールを使ったサイバー攻撃の多くは脆弱性を悪用するものだったかもしれません。