クラッキングとは？
ハッキングとの違いや事例、対策方法について解説

クラッキングとは？ハッキングとどう違う？

クラッキング（cracking）は、企業のシステムなどに不正侵入し、情報を盗み出したり、データを改ざんしたり、システムを破壊することをいいます。最近では、企業のシステムをウイルスに感染させ、操作ができないようロックし、解除のために身代金として暗号資産（仮想通貨）を要求する事件が起きていますが、これもクラッキングのひとつです。

では、ハッキングとはどう違うのでしょうか？
今、説明したようなことを表すときにはクラッキングよりハッキングという言葉がよく使われています。実は一般的に、ハッキングは、クラッキングと同じような意味で使われていますが、ハッキングは本来、クラッキングのようなネガティブな意味を表す言葉ではありません。

ちょっとした生活の知恵、仕事の工夫のようなものを表す言葉に「ハック（hack）」があります。ライフハックという言葉はよく使われています。ハッキングはもともと「コンピュータやシステムについての高度な知識と技術をもとに、不具合を改修したり、性能や使い勝手を向上させるために改造すること」を意味したのです。

しかし、知識と技術を悪用する人が出てきて、いつのまにかハッキングはクラッキングと同じような意味と認識されるようになったのです。

クラッキングの発生源とは

クラッキングはなぜ起こるのでしょうか？

コンピュータの黎明期には、自分の知識と技術を証明する「腕試し」的な目的でのクラッキングがありました。しかしコンピュータ利用が進み、ビジネスや暮らしを支える重要なものになるにつれ、クラッキングは犯罪色を強めました。クラッキングには、英語で「金庫破り」という意味もありましたが、まさにクラッキングは「現代の金庫破り」といえます。

システムをロックする攻撃を受け、数億ドル相当の暗号資産を身代金として要求される事件も起こっています。

クラッキングの方法とは

クラッキングにはどのような手法があるのでしょうか。クラッキングのリスクから重要なシステムを守るために、その方法を理解しておきましょう。

盗み出したIDやパスワードでログイン

IDやパスワードを盗み出すことができれば、コンピュータシステムやネットワークへ簡単にログインすることができます。パスワードを付箋でノートパソコンに貼り付けておくことを残念ながら今でも見かけますが、そうした利用者側の不注意などからIDやパスワードは流出してしまいます。
IDやパスワードを、ユーザの心理的な油断やちょっとした行動のミスから盗み出す方法を「ソーシャルエンジニアリング」といいます。極端にいえば、セキュリティにおける「振り込め詐欺」のようなものです。利用者のふりをしてシステム管理者に電話をしてパスワードを聞き出すことは、古くからある代表的な手口です。

ソーシャルエンジニアリングについて詳しく知りたい方は、以下を参照してください。
■いかにしてハッカーはあなたを騙すのか - ソーシャルエンジニアリングのテクニック

ツールを用いてパスワードを特定

例えば、4桁の数字の組み合わせは「0000」から「9999」までの1万通り。人間の手でこれをすべて試すことは大変ですが、コンピュータを使えば一瞬です。
実際に「ブルートフォースアタック（brute force attack）」、日本語で「総当たり攻撃」は、こうした作業をコンピュータで行い、あらゆるパスワードを試し、ログインを試みるものです。
また「パスワードリスト攻撃」と呼ばれる手法もあります。総当たり攻撃は、英語のブルートフォース（brute force）に「強引」「力づく」という意味があるように、強引で、力づくな方法です。
アルファベット26文字、大文字小文字を区別すると52文字、それに数字を加えると、合計62文字。10桁のパスワードだと組み合わせは、839,299,365,868,340,000（約84京）になり、コンピュータを使ったとしても時間がかかります。
一方、パスワードリスト攻撃は、パスワードとしてよく使われる文字列をリストにまとめ、攻撃する手法です。今ではIDとパスワードのリストがダークWebなどで売買されています。

OSやソフトウェアの脆弱性を悪用

コンピュータのOSやソフトウェアが高度なものになる一方で、思わぬ脆弱性が潜んでいることがあります。クラッキングでは、こうした脆弱性を悪用して、システムへの侵入を図ります。特に、脆弱性が見つかった後、修正プログラムが提供される前までに行われる攻撃は「ゼロデイ攻撃」と呼ばれます。

マルウェアに感染させる

クラッキング、ハッキングと聞いて、まず思い浮かべるのがマルウェアに感染させて、パスワードや機密情報を盗み出す攻撃でしょう。システムをロックし、身代金を要求する事件もそのひとつです。

マルウェアについて詳しく知りたい方は、以下を参照してください。
■マルウェアって？種類や被害、対策方法を解説！

クラッキングの識別手段

従来、クラッキング、ハッキングは、セキュリティ対策ソフトやファイヤーウォール、WAF（Web Application Firewall）などのセキュリティ機器で検知し、対策を取ってきましたが、近年、攻撃は高度化・巧妙化しており、こうした対策だけではカバーしきれなくなってきています。またテレワークやリモートワークが進み、オフィスのネットワークやシステムだけの対策で済まなくなっています。

そうした中で、今、注目されているのが、EDR（Endpoint Detection and Response）です。エンドポイントとは、システム内で使われているノートパソコンやスマートフォンなどをいいます。つまり、ユーザが実際に使っているデバイスを監視し、不審な動きや攻撃を検知します。

クラッキングは犯罪なのか

クラッキングは、法律的には不正アクセス禁止法に違反した行為です。具体的には、他人のID・パスワードを不正に入手してシステムにアクセスすると、3年以下の懲役または100万円以下の罰金が科せられることになります。またシステムに不正アクセスしていなくても、ID・パスワードを不正に要求したり、保管した場合は、不正アクセス準備行為として1年以下の懲役または50万円以下の罰金となります。その他、Webサイトの改ざんは、電子計算機損壊等業務妨害罪にあたります。