逆にサーバー攻撃ってどんな種類があるのか

サイトに入れなくなった、顧客の情報が外に出てしまった、という話を耳にすることがあります。自社のサーバーでも同じことが起きるのか、起きるならどんな形なのか、と気になった方もいると思います。そもそもサーバー攻撃にはどんな種類があるのか、という疑問に答えます。

サーバーへの攻撃は、STRIDE（ストライド）という6つの型に分けて考えると、抜け漏れなく洗い出せます。STRIDE は、なりすまし、改ざん、否認、情報漏えい、サービス拒否、権限昇格の頭文字を並べた脅威分析の手法です。2026年10月時点の整理として、6つの型の中身、弊社が実際に決めている運用、中小企業が最初の1回で進める手順を説明します。弊社は、サーバーの守りを、機械に詳しい人だけの仕事にせず、経営者が決める項目として扱います。

STRIDE とは何か

STRIDE は、システムに起こりうる脅威を6種類に分ける考え方です。脅威とは、システムに害を与えうる出来事のことです。攻撃されてから対策を考えると後手に回ります。STRIDE は、攻撃される前に「どこで何が起こりうるか」を一覧にするために使います。

6つの型は、それぞれ守るべき性質に対応しています。なりすましは認証、改ざんは完全性、否認は否認防止、情報漏えいは機密性、サービス拒否は可用性、権限昇格は認可を破る脅威です。完全性はデータが書き換えられていないこと、可用性は使いたいときに使えることを指します。

サーバー攻撃にはどんな種類があるか

サーバーへの攻撃を、STRIDE の型ごとに例で示します。

• なりすまし
• 盗んだ ID とパスワードでログインする
• 偽のメールでパスワードを入力させる
• 改ざん
• Web サイトの内容を書き換える
• 通信の途中でデータを書き換える
• 否認
• 操作の記録が残っていないため、誰が設定を変えたか分からなくなる
• 情報漏えい
• 設定の誤りで、顧客データの置き場が外から見える
• プログラムの欠陥を突いてデータベースの中身を取り出す
• サービス拒否
• 大量のアクセスを送り、本物の利用者が使えなくなる
• DDoS 攻撃と呼ばれる
• 権限昇格
• 一般の利用者として入り、管理者の権限を手に入れる

1つの攻撃が複数の型にまたがることもあります。たとえば、なりすましで入った人が権限昇格で管理者になり、情報を持ち出す流れです。型を分けて考えるのは、対策を1つずつ決めやすくするためです。

それぞれどんな対策があるか

型ごとの代表的な対策は次のとおりです。

• なりすまし
• 多要素認証を使う
• パスワードを使い回さない
• 改ざん
• 通信を暗号化する
• サーバーの書き換え権限を持つ人を絞る
• 否認
• 操作の記録（ログ）を残して保管する
• 共有アカウントをやめ、1人に1つのアカウントを渡す
• 情報漏えい
• 保存するデータを暗号化する
• 見られる人を必要な人だけにする
• 不要なデータを置かない
• サービス拒否
• 同時に受けるアクセス数に上限を決める
• 止まったときに戻すバックアップを用意する
• 権限昇格
• 必要最小限の権限だけを渡す
• ソフトウェアの更新を早めに適用する

AI と STRIDE

STRIDE は、AI に仕事を任せるときにも使えます。AI のアカウントも、サーバーの利用者と同じく、与えられた権限の範囲で動くからです。弊社は、AI に任せる範囲を、STRIDE の型で決めています。外部の資料から借りた話ではなく、弊社が実際に決めている運用です。

• 権限昇格
• AI のアカウントには、下書きを作ることと読むことだけの権限を渡す
• 権限は指示の文ではなく設定で決めるので、AI が自分で権限を広げることはできない
• 否認
• 投稿のボタンは人が押す
• 外に出た文は、誰が出したかが人の操作として残る
• 改ざん
• 外部へ出る文は、出す前に会社として出してよいかを機械の判定で点検する

小さな会社でも、権限を設定で絞る、押す人を決める、出す前に点検する、の3つは今日から決められます。AI を使い始めるときは、AI に何をさせて、何をさせないかを先に決めておくと、あとから困りにくくなります。

自社でできることとは

専門家でなくても、次の5段階で最初の一覧は作れます。

1. 守るものを書き出す。顧客の情報、見積書、会計のデータなど、漏れたり止まったりすると困るものを挙げる
2. データの流れを図にする。誰が、どの端末から、どのサーバーのどのデータを見るかを、四角と矢印で描く
3. 図の四角と矢印のそれぞれに、6つの型を当てはめる。「ここでなりすましは起こるか」と1つずつ問う
4. 起こりうる脅威のうち、対策が無いものに印を付ける。被害が大きいものから順に並べる
5. 対策を決めたら、誰がいつまでにやるかを記録する。半年に1回は図を見直す

会社として決めるのは、4の「どこまで対策するか」と、5の「誰が責任を持つか」です。全部に対策するには費用がかかるので、守るものの重さで線を引きます。

専門家に任せたほうがいいこと

守るものの書き出しと図は、自社でできます。専門家に任せたほうがいいのは、4の優先順位を付ける段階と、対策の中身を決める段階です。情報システムの担当者がいない会社では、特にここで止まりやすくなります。その場合は、外部の相談先に図を見てもらう方法があります。体制づくりの考え方は、情報システム担当がいない会社のIT体制の作り方と外に頼む範囲に書きました。生成AIに社内データを渡す場面の注意は、生成AIに社内データを読ませる3つの方法と渡してはいけない情報で説明しています。

弊社の顧問型ITコンサル&ヘルプデスクは、月10万円（税別）、初期費用なし、人数の上限なしです。月2回の定例（30分、オンライン）があり、問い合わせの受付は24時間、担当の対応は9〜19時で土日も行います。脅威の一覧づくりも、この定例の中で相談できます。相談の窓口は、strickland-ai.com の問い合わせフォームです。