標的型攻撃（APT）とは ― 攻撃の段階と対策

取引先を名乗り、業務の流れに沿った件名と添付ファイルで届くメールは、標的型攻撃の典型的な手口です。標的型攻撃とは、特定の組織や人物を狙って行われる攻撃です。

IPA（情報処理推進機構）は、標的型攻撃を、主に機密情報を盗むことを目的とするサイバー諜報活動と説明しています。不特定多数を狙う攻撃とは、狙う相手の決め方が違います。

DoS攻撃・DDoS攻撃や、ばらまき型のフィッシングメールは、相手を特定せずに広く攻撃します。標的型攻撃は、狙う組織や人物をあらかじめ定める点が違います。

攻撃者は、標的の業務内容を事前に調べます。その情報をもとに、業務に関連した内容のメールを送ります。知らない人物からのメールでも、受信者が開かざるを得ない内容になっています。

目的も違います。標的型攻撃は、主に機密情報を盗むことを目的とします。侵入後も長期間活動を続け、何度も情報を盗み出そうとする場合があります。

APTは、Advanced Persistent Threatの略です。IPAは、標的型攻撃を行う攻撃者をAPTと呼ぶこともあると説明しています。国家支援型の攻撃者が、侵入後も長期間活動を続ける場合があるためです。日本語では、高度で持続的な脅威と訳されます。

標的型攻撃の攻撃者には、産業スパイのような組織的犯罪グループや犯罪者がいます。それに加えて、国家支援型の組織犯罪グループが関与する場合もあります。国家支援型の攻撃では、機密情報の窃取に加えて、システムの破壊を目的とする場合もあります。

標的型攻撃には、標的組織に侵入するための手口がいくつかあります。水飲み場型攻撃は、メールではなくWebサイトを使って侵入します。やり取り型攻撃はメールを使いますが、最初の1通では攻撃しません。

水飲み場型攻撃は、標的が頻繁に利用するWebサイトを改ざんする手口です。メールを使わないため、添付ファイルやURLに注意していても気づきにくくなります。

やり取り型攻撃は、最初から攻撃を仕掛けません。まず無害な偵察メールを送り、受信者から返信を受けます。何度かのやり取りで不信感が薄れたころ、ウイルス付きのメールを送ります。

IPAは2011年の資料で、標的型攻撃メールによる攻撃が次の流れで進むと分析しています。事前調査を段階0とし、そのあとに第1段階から第4段階までが続きます。次の図は、その5つの段階を1段ずつ示します。

段階が進むほど、攻撃者は組織の内部に深く入り込みます。攻撃基盤構築段階で作られた足場は、発見されにくいものです。システム調査段階では、攻撃者は時間をかけて何度も組織の内部を調べます。1つの段階で防げなくても、次の段階で止められる対策を重ねることが大切です。入り込まれた後の動きは、SIEMやEDRでログや端末の記録から見つけられる場合があります。

標的型攻撃メールは、標的の業務内容を調べ上げた上で、業務に関連した内容を送ります。そのため、件名や本文、添付ファイル名が取引や業務の自然な流れに見えます。

対策として、IPAは3つの段階を挙げています。事前の対策では、不審メールの教育・研修や、標的型メール訓練を行います。攻撃などの検知では、メールのフィルタリングや、組織内からの報告を受け付ける体制を整えます。事後の対応では、被害が発生した場合に、警察や関係機関へ報告します。

• IPA「情報セキュリティ10大脅威2026 解説書［組織編］」（標的型攻撃の定義、攻撃手口）
• IPA「企業組織を狙う攻撃メールの手口とその対策」（標的型攻撃メールの特徴、APTの定義、対策）
• IPA「『新しいタイプの攻撃』の実態と対策」（攻撃の段階、出口対策）
• IPA「J-CSIP 2013年度活動レポート」添付資料「やり取り型」攻撃に関する分析図
• JPNIC「標的型攻撃」（歴史的背景の補足）