ランサムウエアからハッカーまでサイバーセキュリティの基本用語集

ランサムウエアやフィッシングという文字をまったく見ない日はなくなった。しかしこうしたサイバーセキュリティに関する言葉の意味を本当に理解している人は少ない。そこでよく使われる用語を一覧にしてみた。（雑誌『経済界』2026年9月号より）

マルウエア

「悪意のある（Ｍａｌｉｃｉｏｕｓ）」と「ソフトウエア」を組み合わせた言葉で、コンピュータ、サーバー、ネットワークに害を及ぼす、または不正な操作を行うために作成された「悪意のあるプログラムやコード」の総称。以下のように分類される。①ウイルス　既存のファイルに寄生し、実行されると自己増殖を繰り返す。②ワーム　他のファイルに寄生せず、単独で動作し、ネットワークを通じて他のコンピュータへ自ら感染を広げる。③トロイの木馬　無害なファイルや便利なアプリを装ってユーザーに実行させ、裏で侵入路を開けデータを盗む。④スパイウエア　ユーザーの気づかないうちにキーボードの入力履歴や閲覧履歴を収集し、外部に送信する⑤ランサムウエア　次項参照。

ランサムウエア

「身代金（Ｒａｎｓｏｍ）」と「ソフトウエア」を組み合わせた造語。マルウエアの一種。感染したコンピュータやサーバー内のデータを勝手に暗号化した上で元に戻すことと引き換えに金銭を要求する。身代金支払いを拒否する相手には、盗み出した機密情報をダークウェブに公開すると脅すなどの多重脅迫が増えている。

フィッシング

実在する金融機関や、公的機関、あるいはＥＣサイトを装った偽の電子メールやＳＭＳ（ショートメッセージ）を送り付け、受信者を偽のウェブサイト（フィッシングサイト）へ誘導する詐欺手法。本当のアドレスと１文字違いのアドレスなどで偽物とは気づかせないようにすることが多い。目的は、ログインＩＤ、パスワード、クレジットカード番号などの個人情報を盗み出す。

サプライチェーン攻撃

ターゲットとする大企業を直接攻撃するのではなく、子会社、取引先、子会社、業務委託先、など、セキュリティが脆弱なサプライチェーンの弱点を突いて侵入する迂回型の攻撃。大企業が強固なセキュリティを敷いていても、部品を納品している中小企業のサーバーが踏み台にされ、最終的に大企業のネットワークに侵入される事例が多発している。

脆弱性

オペレーティングシステムや各種アプリケーション、ネットワーク機器などのプログラムに存在する、安全上の欠陥やバグのこと。設計ミスや開発時の見落としによって生じるもので、サイバー攻撃者はこの脆弱性を悪用して、システムの不正操作、データの改ざん、情報の窃取、マルウエアへの感染を引き起こす。

パッチ

ソフトウエアで発見された脆弱性を直したり一部のデータを更新するための修正プログラム。

ゼロデイ攻撃

発見された脆弱性が修正される前に攻撃を行うこと。ＡＩの進化により非常に増えており、サイバーセキュリティ上の脅威となっている。

ＤＤｏＳ攻撃

分散型サービス拒否攻撃のこと。多数の分散したコンピュータから、特定のサーバーやネットワークに対して一斉に大量のデータやアクセス要求を送り付け、過大な負荷をかける。ターゲットとなったウェブサイトやオンラインサービスは処理能力を超え、動作が極めて重くなり、完全にサーバーダウンしてサービス停止に追い込まれることも。

多要素認証（ＭＦＡ）

システムやアカウントへのログイン時に、ユーザーの身元を確認するための異なる２つ以上の要素を組み合わせて認証を行う仕組み。ＩＤとパスワードのみの認証（単一要素認証）では、パスワードが流出した時点で即座に不正アクセスを許すが、ＭＦＡを導入することで安全性が飛躍的に高まる。

ハッカー

コンピュータやネットワーク、プログラミングなどのＩＴ技術について、一般人よりもはるかに深い知識と高度な技術を持つ技術者の総称。必ずしもサイバー犯罪人を指すわけではなく、ハックやハッキングという言葉自体に善悪の意味はない。ランサムウエアなどを使って金銭を要求するなど、犯罪に加担するハッカーはブラックハッカーと呼ばれる。また勝手に他人のシステムに侵入して脆弱性を発見し、それを公開するハッカーをグレーハッカーと呼ぶ。ホワイトハッカーは次項で。

ホワイトハッカー

高度なセキュリティ技術やハッキングの知識を、サイバー攻撃からの防御、システムの脆弱性発見、あるいは犯罪捜査などの目的のために役立てる専門家。ブラックハッカーと全く同じ技術を持つが、サイバーセキュリティを守るために用いる。ホワイトハッカーとしての腕を競うコンテストも開かれている。

ペネトレーションテスト

侵入テストのこと。サイバー攻撃者が用いる最新の技術や手法を駆使して、対象となる企業のネットワークやシステムに疑似的に侵入を試みるテストのこと。脆弱性があるかないかを調べるだけでなく、現在のセキュリティ体制で、実際の攻撃を防ぎ切れるか、あるいは侵入された場合にどれだけ早く検知・対処できるかという組織全体の防御力を実戦形式で検証。脆弱性診断が弱点を見つけるものに対して、ペネトレーションテストは特定の重要サーバーから機密データを盗み出すといった具体的なゴールを設定して侵入・突破を試みる。

ソーシャルエンジニアリング

プログラムの脆弱性をつくのではなく、人間の心理的な隙や、日常生活における行動のミス、組織の運用ルールの盲点などを突いて、パスワードや機密情報を盗み出す手口の総称。強固な暗号技術やシステム防御があっても人間がだまされてセキュリティが無効化される。

ダークウェブ

インターネットの空間において、一般的なブラウザではアクセスすることができず、かつ検索エンジンにもヒットしない、特殊なネットワーク環境上に構築されたウェブサイトの総称。高度な暗号化が施されており、通信経路が複雑に偽装されるため、発信者や閲覧者の「匿名性」が極めて高い。その匿名性ゆえに、サイバー犯罪のブラックマーケットとして悪用される。ダークウェブ上では、企業から流出した個人情報、クレジットカード番号、マルウエアの売買などが行われ、通常、暗号資産で決済する。