#サイバー攻撃

2025年7月10日2025年7月10日

【2025年7月最新】主要ITベンダーのセキュリティパッチ速報

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年7月第2週は、Microsoft、AMD、Cisco、Fortinet、Android（Google）、Ivanti、SAPといった主要ITベンダーが相次いで月例・臨時のセキュリティパッチを公開しました。サイバー攻撃の脅威が高まる中、これらのセキュリティパッチは被害防止の第一歩です。本記事では、各社が公開している脆弱性による影響と、脆弱性を解消するアップデートの内容について簡潔にご紹介します。

contents

お問い合わせ

お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。

Microsoft:ゼロデイ２件を含む大規模パッチ公開

Microsoftは2025年７月の月例パッチ（Patch Tuesday）で、CVE-2025-49719を含むゼロデイ2件を含め、合計73件の脆弱性を修正しました。修正対象にはWindows OS、Microsoft Officeなど幅広い製品が含まれ、リモートコード実行（RCE）や権限昇格といった深刻な問題も含まれています。特にSPNEGO Extended Negotiation（NEGOEX）におけるRCEの脆弱性CVE-2025-4798は、ユーザー操作なしで攻撃が成立し、ワーム化のリスクも指摘されています。Microsoft Defender Vulnerability Managementのゼロデイ一覧も更新されており、速やかなパッチ適用が推奨されます。

AMD,投機実行による情報漏えい「Transient Scheduler Attacks」

AMDは、CPUの投機実行に起因する新たな情報漏えい攻撃「Transient Scheduler Attacks」（SB-7029）への緩和策を発表しました。今回の対策パッチは、主に最新世代のEPYCサーバー向けであり、古いZen 2/3世代のデスクトップCPUは対象外となっています。この脆弱性は、SEV-SNP（Secure Encrypted Virtualization – Secure Nested Paging）環境での機密性を損なう恐れがあり、BIOSおよびファームウェアのアップデートが必要です。OEM（Original Equipment Manufacturing）各社から配布される更新プログラムの適用と、再起動による有効化が求められます。

Cisco,Fortinet:高リスクレベルのRCE脆弱性を告知

CiscoとFortinetは、それぞれのPSIRT（Product Security Incident Response Team）で、複数の高リスクレベルのRCE脆弱性を公表しました。Ciscoは、PSIRTの情報公開体制を強化し、重大度（SIR）を明示したアドバイザリを発行しています。Fortinetも、月例PSIRTアドバイザリで高深刻度の脆弱性を公表し、セキュリティファブリック全体の保護強化を図っています。両社とも、公開された脆弱性情報をもとに、早急なパッチ適用を推奨しています。

Google: Security Bulletinで36件修正

Googleは2025年7月1日付でAndroid Security Bulletinを公開し、Pixel端末向けに36件の脆弱性を修正しました。内容には、QualcommやMediaTekのチップセットに関するサードパーティ由来の脆弱性も含まれています。特に、QualcommのGPSコンポーネントにおけるCVE-2025-21450（CVSSスコア9.1）は深刻度が高く、Android端末利用者はアップデートの有無を必ず確認しましょう。

Ivanti,SAP:業務システムの脆弱性へのパッチ

Ivantiは7月8日にConnect SecureおよびPolicy Secure向けに複数の脆弱性修正パッチをリリースしました。主な内容は、認証バイパスやバッファオーバーフローなどで、管理者権限を持つ攻撃者によるサービス妨害や設定改ざんのリスクが指摘されています。SAPも7月9日に月例セキュリティノートを公開し、27件の新規パッチと3件の既存ノート更新を実施。中でもCVE-2025-30009ほか、CVSSスコア最大10.0のクリティカルなRCEおよびデシリアライゼーションの脆弱性が複数修正されています。ERPやS/4HANAなど基幹業務システム利用者は、速やかな適用が必須です。

2025年7月のセキュリティ対策まとめ

2025年7月第2週は、主要ITベンダーから多岐にわたるセキュリティアップデートが公開され、企業・個人問わず対策の重要性が再認識される週となりました。最後に、今月の動向と実践すべきセキュリティ対策をご紹介します。

脆弱性・攻撃動向

ゼロデイ脆弱性の増加
MicrosoftやAndroidなど複数のプラットフォームで、攻撃に悪用されたゼロデイ脆弱性が報告されています。これらは攻撃者にとって格好の標的となりやすく、公開直後から実際の攻撃が観測されるケースも増えています。
リモートコード実行（RCE）脆弱性の深刻化
CiscoやFortinetのネットワーク機器、SAPの基幹システムなどで、リモートから悪用可能な高深刻度RCE脆弱性が相次いで修正されています。これらの脆弱性は、ネットワーク経由で攻撃を受けるリスクが高く、企業インフラ全体の安全性に直結します。
サプライチェーンや業務システムへの波及
IvantiやSAPなど、業務システムや管理ツールにも重要な脆弱性が報告されており、サプライチェーン全体のセキュリティ確保が不可欠です。

被害を防ぐために企業・個人が取るべき実践的対策

定期的なパッチ適用の徹底
OSやアプリケーション、ネットワーク機器、業務システムなど、利用中の全てのソフトウェアについて、最新のセキュリティアップデートを速やかに適用してください。パッチ適用の遅れは、被害拡大のリスクを大きく高めます。
脆弱性情報の継続的な収集と確認
Microsoft、AMD、Cisco、Fortinet、Google（Android）、Ivanti、SAPなど、主要ベンダーの公式アドバイザリやセキュリティノートを定期的にチェックし、脆弱性情報に敏感になりましょう。
バックアップとインシデント対応体制の強化
万が一の被害に備え、重要データの定期バックアップや、インシデント発生時の対応手順（CSIRT体制など）を整備しておくことも重要です。
ゼロトラストや多層防御の導入検討
攻撃の高度化に備え、ゼロトラストや多層防御（Defense in Depth）など、従来型の境界防御に依存しないセキュリティ対策の導入も推奨されます。

さいごに：2025年7月のアップデートを受け

2025年7月は、WindowsやOffice、Androidに加え、ネットワーク機器や業務システムといった幅広い分野で深刻な脆弱性が多数公開されました。中にはゼロデイ脆弱性やリモートコード実行（RCE）など、攻撃リスクの極めて高い問題も含まれており、早期対応が求められます。これらのリスクに対処するためには、パッチの速やかな適用、最新の脆弱性情報の収集、そしてインシデント対応体制の強化という３本柱で、継続的なセキュリティ対策を講じ、被害防止に努めることが不可欠です。今後も各ベンダーから公開される最新情報を継続的にチェックし、早期の対策と体制強化を心がけてください。

【参考情報】

Microsoft Defender Vulnerability Management ゼロデイ一覧
https://learn.microsoft.com/en-us/defender-vulnerability-management/tvm-zero-day-vulnerabilities

Microsoft 月例パッチ詳細（例：CVE-2025-49719 など）
https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49719

AMD セキュリティ情報（SB-7029およびSEV-SNP緩和）
https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7029.html

Cisco PSIRT アドバイザリ一覧
https://sec.cloudapps.cisco.com/security/center/publicationListing.x

Fortinet PSIRT アドバイザリ一覧
https://www.fortiguard.com/psirt

Android Security Bulletin（2025年7月）
https://source.android.com/docs/security/bulletin/2025-07-01

Ivanti 2025年7月セキュリティアップデート
https://www.ivanti.com/blog/july-security-update-2025

SAP Security Notes（2025年7月）
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/july-2025.html

【2025年7月に解消された脆弱性一覧】

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49719

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49704

https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7029.html

https://www.microsoft.com/en-us/research/publication/enter-exit-page-fault-leak-testing-isolation-boundaries-for-microarchitectural-leaks/

https://sec.cloudapps.cisco.com/security/center/publicationListing.x

https://www.fortiguard.com/psirt

https://source.android.com/docs/security/bulletin/2025-06-01

https://source.android.com/docs/security/bulletin/2025-07-01

https://www.ivanti.com/blog/july-security-update-2025

https://support.sap.com/en/my-support/knowledge-base/security-notes-news/july-2025.html

https://www.cve.org/CVERecord?id=CVE-2025-30012

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-36357

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-36350

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47988

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49690

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48816

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49675

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49677

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49694

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49693

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47178

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49732

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49742

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49744

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49687

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47991

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47972

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48806

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48805

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47994

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49697

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49695

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49696

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49699

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49702

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48812

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49711

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49705

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49701

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49706

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49703

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49698

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49700

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47993

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49738

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49731

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49737

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49730

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49685

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49756

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48817

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-33054

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48822

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47999

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48002

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21195

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49718

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49717

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49684

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47986

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47971

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49689

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49683

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47973

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49739

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-27614

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-27613

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-46334

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-46835

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48384

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48386

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48385

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49714

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49661

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48820

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48818

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48001

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48804

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48003

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48800

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48000

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49724

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47987

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48823

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47985

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49660

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49721

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47984

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47980

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49735

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47978

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49666

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-26636

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48809

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48808

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47996

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49682

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49691

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49716

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49726

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49725

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49678

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49680

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49722

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48814

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49688

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49676

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49672

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49670

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49671

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49753

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49729

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49673

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49674

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49669

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49663

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49668

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49681

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49657

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47998

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48824

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48810

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49679

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49740

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48802

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47981

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47976

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47975

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48815

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49723

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49760

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47982

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49686

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49658

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49659

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48821

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48819

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48799

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49664

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-47159

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48811

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-48803

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49727

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49733

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49667

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49665

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年7月16日（水）14:00～15:00
「進化するランサムウェア攻撃-国内最新事例から学ぶ！被害を防ぐ実践ポイント10項目を解説-」

2025年7月23日（水）14:00～15:00
「急増するフィッシング攻撃の実態と対策〜企業を守る多層防御とは〜」

2025年7月30日（水）13:00～13:50
「Webサイトの脆弱性はこう狙われる！OWASP Top 10で読み解く攻撃と対策」

2025年8月5日（火）14:00～15:00
「企業サイトオーナー向けユーザーからのレピュテーションを高めるWebサイトの在り方-Webサイトを取り巻くリスク・規制・要請とユーザビリティ向上-」

最新情報はこちら

2025年6月27日2025年7月7日

【第1回】「OWASP Top 10とは？アプリケーションセキュリティの基本を押さえよう」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

近年、Webアプリケーションを狙ったサイバー攻撃が急増しており、企業にとってWebアプリケーションのセキュリティ強化は欠かせない課題となっています。その中で、世界中のセキュリティ専門家が指標として活用しているのが「OWASP Top 10」です。

今回は、Webアプリケーションの代表的な脆弱性をまとめた「OWASP Top 10」を通じて、基本的なセキュリティ知識を深め、企業での対策に活かすことを目的とし、背景から各脆弱性カテゴリの説明、実例、対策方法までを全3回のシリーズに分けて解説します。

contents

OWASPとは

OWASP（Open Worldwide Application Security Project）は、ソフトウェアのセキュリティ向上を目的とした国際的な非営利団体です。開発者やセキュリティ専門家によって構成されており、セキュリティに関するツールやドキュメントなどを無償で提供しています。OWASPは中立かつオープンな立場から情報を発信しており、多くの企業や政府機関がそのガイドラインを信頼し、採用しています。

OWASP Top 10とは

OWASP Top 10は、Webアプリケーションにおける代表的なセキュリティリスクをランキング形式でまとめたもので、最も重要な10の脆弱性カテゴリを示しています。このリストはおよそ3年ごとに更新されており、業界の最新動向や実際の脅威傾向を反映しています。このTop 10は、アプリケーション開発やセキュリティ教育、脆弱性診断の指針として世界中で活用されており、情報システム部門にとってはセキュリティの共通言語ともいえる存在です。

OWASP Top 10:2021概要

OWASP Top 10:2021で挙げられているリスクとその概要について、SQAT.jpでは以下の記事でも取り上げています。あわせてぜひご覧ください。
「OWASP Top 10―世界が注目するWebアプリケーションの重大リスクを知る―」

以下は、2021年に発表された最新版のOWASP Top 10のリストです。


項目番号	リスク名	概要
A01	Broken Access Control （アクセス制御の不備）	アクセス制御の不備により、本来アクセスできない情報や機能へアクセスされるリスク
A02	Cryptographic Failures （暗号化の不備）	暗号化の不備による機密情報の漏洩や改ざん
A03	Injection （インジェクション）	SQLインジェクションなど、外部から不正なコードを注入されるリスク
A04	Insecure Design （セキュアでない設計）	セキュリティを考慮しない設計により生じる構造的リスク
A05	Security Misconfiguration （セキュリティ設定のミス）	設定ミスや不要な機能の有効化に起因する脆弱性
A06	Vulnerable and Outdated Components（脆弱かつ古いコンポーネントの使用）	脆弱性を含む古いライブラリやフレームワークの使用
A07	Identification and Authentication Failures（識別と認証の不備）	認証処理の不備により、なりすましや権限昇格が発生する
A08	Software and Data Integrity Failures（ソフトウェアとデータの整合性の不備）	ソフトウェア更新やCI/CDの不備により改ざんを許すリスク
A09	Security Logging and Monitoring Failures（セキュリティログとモニタリングの不備）	侵害の検知・追跡ができないログ監視体制の欠如
A10	Server-Side Request Forgery (SSRF)（サーバサイドリクエストフォージェリ）	サーバが内部リソースにアクセスしてしまうリスク

出典：OWASP Top 10:2021より弊社和訳

各リスク項目の代表的な脅威事例


項目番号	実例企業・事例	概要
A01	Facebook (2019)	他人の公開プロフィールがIDの推測とAPI操作により取得可能だった*8
A02	Turkish Citizenship Leak(2016)	暗号化されていなかったデータベースから約5,000万人の個人情報が流出*9https://arxiv.org/abs/1605.05847
A03	Heartland Payment Systems (2008)	SQLインジェクションにより1億件以上のクレジットカード情報が漏洩*10
A04	パスワードリセットの仕様不備（複数事例）	多くの中小サイトで、トークンなしにメールアドレス入力のみでリセット可能な設計が確認されている
A05	Kubernetes Dashboard誤設定事件（Tesla 2018）	管理用インターフェースが公開状態になっており、社内クラウドで仮想通貨マイニングに悪用された*11
A06	Equifax (2017)	古いApache Strutsの脆弱性（CVE-2017-5638）を放置していたことで1.4億件以上の個人情報が漏洩*12
A07	GitHub (2012)	認証処理の不備により、セッションを乗っ取られる脆弱性が悪用され、一時的にユーザが他人のリポジトリにアクセス可能に
A08	SolarWinds サプライチェーン攻撃（2020）	正規のソフトウェアアップデートにマルウェアが仕込まれ、多数の政府機関や企業を含めた組織に影響を与えた
A09	Capital One (2019)	AWS環境の不適切なログ監視により、Web Application Firewallの設定ミスから約1億600万人分の情報が流出*13
A10	Capital One (同上)	SSRF攻撃によりAWSメタデータサービスへリクエストが可能となり、内部資格情報を窃取された*14

企業はOWASP Top 10をどう活用すべきか

OWASP Top 10は、単なる「参考資料」ではなく、企業が自社のセキュリティ対策を体系的に見直すための実践的な指針として活用できます。以下に、企業の情報システム部門担当者等が実際に取り入れるべき活用方法を紹介します。

開発プロセスへの組み込み（セキュア開発）

アプリケーション開発において、設計段階からOWASP Top 10を参考にすることで、設計段階から脆弱性を防ぐ「セキュア・バイ・デザイン（Secure by Design）」の思想を組み込むことが可能です。とくにA04「Insecure Design」などはアプリケーション開発の初期段階での対策が鍵となります。

脆弱性診断の評価基準として

外部のセキュリティ診断会社や自社診断の基準としてOWASP Top 10を採用することで、リスクの見落としを防ぎつつ、業界標準の診断を実現できます。

セキュリティ教育・啓発資料として

企業の社員のセキュリティリテラシーを高めるため、開発者・インフラ管理者・経営層を含めたセキュリティ教育プログラムにOWASP Top 10を取り入れることも有効です。定期的な研修やハンズオン形式での演習と組み合わせることで、具体的な攻撃手法や防御策を理解しやすいため、セキュリティ意識の向上につながります。

OWASP Top 10はセキュリティ対策の出発点

OWASP Top 10は、Webアプリケーションの開発やセキュリティ対策に取り組む企業にとって、最も基本かつ重要な指標です。サイバー攻撃の多くは、実はこうした「基本的な脆弱性」から発生しており、OWASP Top 10で挙げられているリスクを理解することがリスク低減の第一歩になります。特に情報システム部門や開発チームは、OWASP Top 10を設計・開発・テスト・運用の各フェーズに取り入れ、継続的なセキュリティ対策を行う必要があります。また、社員へのセキュリティ教育や脆弱性診断サービスの評価基準としても有効活用することで、より実効性の高いセキュリティ体制を構築できるでしょう。

第2回では、API特有の脅威にフォーカスした「OWASP API Security Top 10」をご紹介します。APIを活用している企業にとって、見逃せない内容となっていますので、ぜひあわせてご覧ください。

―第2回「OWASP API Security Top 10とは？APIの脅威と対策を知ろう」へ続く―

【連載一覧】

―第2回「OWASP API Security Top 10とは？APIの脅威と対策を知ろう」―
―第3回「Non-Human Identities Top 10とは？自動化時代に求められる新しいセキュリティ視点」―

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年6月6日2025年6月25日

10 分では伝えきれなかった地政学リスク

Security NEWS TOPに戻る
バックナンバー TOPに戻る

本記事は2025年6月11日開催のウェビナー「DDoS攻撃から守る!大規模イベント時のセキュリティ -大規模イベント開催中に急増するDDoS攻撃の事例と防御策を解説-」のオープニングセッション「10分でわかる地政学リスク」のフォローアップコンテンツです。

本ウェビナーの再配信予定にご関心のある方はこちらからお問い合わせください。

次回のウェビナー開催情報はこちら

はじめに

下図は2025年5月下旬時点での主要な地政学リスクをあらわした世界地図です。

大きく分けると以下のように分類できるでしょう。

北朝鮮関連の問題

核ミサイル問題が原因となっている経済制裁と、経済制裁下で資金を調達するためのサイバー攻撃の実行

ロシアへのサイバー攻撃・物理的攻撃手段およびリソースの提供

中国関連の問題

海洋進出問題やアメリカとの対立など

ロシア関連の問題

ウクライナへの侵攻

対ヨーロッパへの干渉
東欧各国の選挙妨害
ヨーロッパに対するハイブリッド脅威

地域的な対立

インド・パキスタンのカシミール紛争

中東地域全体の不安定化

アフリカ地域の政情不安

アメリカと近隣各国の摩擦

この中で日本は北朝鮮・中国・ロシアと隣接しているという地理的要因を有しており、これが地政学リスクとなっています。

ハイブリッド脅威とは
ハイブリッド脅威とはハイブリッド戦争の一段階手前、武力攻撃と見なされない範囲で行われる多様な手段を組み合わせた脅威、もう少し簡単に言い表すと「戦争未満」の状態を指します。ヨーロッパに対するロシアのハイブリッド脅威では、以下のような複合的な作戦による脅威が形成されています。
・海底ケーブルの切断
・航空用GPS信号妨害
・メディアを通じたプロパガンダ活動
・DDoSから重要インフラへの攻撃まで、幅広いサイバー攻撃

地政学リスクと国際法

地政学リスクを背景としたサイバー攻撃は国境を越えて発生します。サイバー空間での窃盗や詐欺については、デジタル空間での匿名性や証拠の収集の限界、犯行地や犯行主体が海外に存在するといった場合の法執行上の制約があります。サイバー犯罪に関しては「サイバー犯罪に関する条約（ブダペスト条約）」がありますが、加盟国は限定的であり、今回地政学リスクの震源地に挙げた多くの国が非加盟国となります。このため、地政学的対立を背景とするサイバー犯罪・サイバー脅威については起訴に至っても、実際の身柄引き渡しや裁判の実行が不可能となるケースが多くあります。

このように個別の犯罪行為については一定の国際的枠組みがありますが、より広範なサイバー脅威については、タリンマニュアルというNATO（北大西洋条約機構）の専門機関が作成した、サイバー攻撃に関する国際法の適用について研究成果をまとめた文書があります。タリンマニュアル2.0（2017年公開）ではサイバー戦争（武力攻撃レベル）に加えて、サイバー戦争未満（武力攻撃レベル未満だが悪意があるサイバー行動）であるサイバー脅威も対象とすべきとされました。しかし、残念ながらタリンマニュアルは拘束力を持たない研究成果という位置づけの文書となっており、また、サイバー脅威についても具体的な拘束力を持った国際条約も存在しません。仮にサイバー戦争が発生した場合には、既存の国際戦争法の体系で対処することになるでしょう。2025年5月現在、タリンマニュアル3.0が2021年から5か年計画で作成されていますが、近年のサイバー脅威の急激な変化や、国際情勢の変化もあるため、従来同様に国際社会に受け入れられるのか、またサイバー脅威やサイバー空間一般に関する国際的な取り組みが実施されるのかは、非常に不透明な状況です。

脅威アクター

脅威アクター（サイバー攻撃を行う主体）というと皆さんはどんなものを想像されますか？ランサムウェアグループ、国家が支援するサイバー攻撃グループ、連想されるものは様々挙げられます。

現在の脅威アクターは大きく分けると以下のように分けられます。

国家が関与・支援するサイバー攻撃者

主にスパイ行為や妨害行為をする

国によっては暗号資産窃取などもタスクに入っている場合がある

地域によっては海底ケーブルの切断や航空信号の妨害なども

サイバー犯罪組織

ランサムウェア、マルウェアなどを開発する開発者

DDoSや踏み台用のボットネット、C2 用インフラなどの提供者

Ransomware-as-a-Service(RaaS),Phishing-as-a-Service(PhaaS),Malware-as-a-Service(MaaS)などのサイバー犯罪のサブスクリプションサービス提供者

Initial Access Broker(初期アクセスブローカー、IAB)と呼ばれる、認証情報の販売業者

上記のサービスを組み合わせて利用するアフィリエイトなど

ランサムウェア攻撃一つでも、現在は開発者、インフラ提供者、RaaS、PhaaS、IABが提供するリソースをアフィリエイトが活用して実行しているケースが多くあります。場合によっては一つ目のランサムウェア攻撃に対してデータ流出の防止を目的に身代金を支払ったのに、別のランサムウェアグループからデータ流出で脅迫されるといったケースなどもみられます。

一方、国家が支援する脅威アクターはサイバー犯罪組織と関連がないように見えますが、実際はそうした脅威アクターがIABから認証情報を取得したと思われるケースや、踏み台用のボットネットを利用するケースなどもあります。国によっては一体的に運用されている場合や、技術人材の交流がある場合もあります。加えて、国によっては脅威アクターへの人材や活動環境、資金の換金場所を提供する合法的な「表」の組織が存在しています。

このように、数年前と現在とでは脅威アクターの細分化や連携などが行われているため、一つの手がかりから攻撃の全体像や攻撃に関わる全てのアクターを特定することは非常に困難です。

あなたの組織が脅威アクターに狙われる可能性

自組織が脅威アクターに狙われる可能性は、残念ながらゼロではありません。重要インフラではなくても、著名企業でなくても、狙われる可能性はあります。

可能性として考えられるものは以下のような場合です。

IABの持つ認証情報にあなたの組織の、個人情報や認証機構にアクセスできる権限を持った認証情報が入っていた場合

Non-Human-Identification（NHI）であればAPIキーなどの露呈がGitHubなどで発生している場合、人に属する認証情報であればフィッシングの被害に知らない間に遭っている場合が該当します。

いずれにしても気づかないうちに悪用されて、被害に遭ったあとに発覚することが多いことから、権限の割り当てを厳密に行うことや、内部検知の仕組みを実装するといった取り組みが必要となります。

【ご参考】
株式会社ブロードバンドセキュリティ
「サイバー防衛体制の強化のための新しいアプローチ「G-MDR^TM」を提案
～セキュリティ専門の「人材」と「最新テクノロジー」を統合的に提供～」

サプライチェーン攻撃

企業・組織で多く利用されているオープンソースソフトウェアを狙ったサプライチェーン攻撃で、自社が開発または利用するアプリケーションに、パッケージ経由でマルウェアが仕込まれてしまうケースが該当します。ケースとして考えられるのは以下になります。

開発者が使用しているパッケージと紛らわしい名称のパッケージ（実体はマルウェア）を誤って利用してしまうケース（タイポスクワッティング）

アプリケーションが使用する正規のパッケージが悪意のあるコントリビューターによってマルウェアに改悪されるケース

アプリケーションが直接使用しているパッケージそのものではなく、そのパッケージが依存している別のパッケージがマルウェアに汚染されているケース

誤って偽IT労働者を雇用してしまった場合

直接雇用していない場合でも、業務委託先が誤って雇用したことでマルウェアが仕込まれ、個人情報が漏洩するといった事案が発生することも考えられます。仮に直接雇用した場合、自社がサイバー攻撃の被害に遭う可能性はもちろんのこと、マネーロンダリングへの加担や外国為替及び外国貿易法違反に問われる可能性もあります。

また、あなた自身（個人）が狙われてしまうこともあり得ます。

偽の求人に応募した場合

従業員、もしくは読者の皆様が偽の求人に応募することで、採用プロセスの一環としてその場で至急指定されたコードの実行を要求され、実際に実行した場合にマルウェアに感染してしまうものです。結果として暗号資産をコールドウォレットから引き抜かれる、個人情報（主に認証情報）を窃取される、といった被害を受けるケースがあります。

マルウェアの感染からサプライチェーン攻撃を引き起こした結果、暗号資産交換所から資金が窃取された事件などがあり、複合的な影響の発生もありえるでしょう。

「【速報版】情報セキュリティ 10 大脅威 2025-脅威と対策を解説」

「北朝鮮によるソーシャルエンジニアリング攻撃~ソーシャルエンジニアリング攻撃とは？手口と脅威を解説」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年6月18日（水）14:00～15:00
「侵入が防げない時代に選ぶべき脆弱性診断サービスとは？～実績・サポート・診断基準で比較する、最適な脆弱性診断の選び方～」

2025年6月25日（水）13:00～14:00
「リモートワークの落とし穴を塞ぐ！セキュリティ情報の効率的な収集法＆対策のポイント」

最新情報はこちら

2025年5月29日2025年6月9日

企業のためのデジタルフォレンジック入門
第2回：デジタルフォレンジック調査の流れと費用とは？

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバー攻撃や情報漏えいなどのインシデント発生時には、重要な役割を果たすデジタルフォレンジック調査ですが、「実際にどのような手順で進むのか」「どのくらいの費用がかかるのか」という点が気になる方も多いのではないでしょうか。

「企業のためのデジタルフォレンジック入門」シリーズ第2回目となる今回は、デジタルフォレンジック調査の一般的な進め方と費用の目安、そして調査を依頼する際に押さえておくべきポイントについて解説します。

デジタルフォレンジックの調査フロー

デジタルフォレンジック調査は以下のような流れで進められるのが一般的です。

初動対応（証拠保全と状況把握）

インシデント発生時、最初に行うべきなのは証拠の保全です。ログやデジタルデータは非常に消失・改ざんされやすいため、調査開始前に対象端末の隔離やデータのバックアップを速やかに実施します。誤ってシステムの再起動や操作を行うと、重要な証拠が失われるリスクがあるため注意が必要です。

調査準備（対象範囲の確認と調査計画の立案）

次に、調査の対象となるシステムや端末、ネットワーク環境を明確にし、どのような調査を行うかの計画を立てます。この段階で社内のIT部門との連携や、必要に応じた外部の専門業者への調査依頼を検討します。

技術調査（詳細なデータ解析）

具体的な調査段階では、ログ解析、端末解析、ネットワーク通信の分析、メール履歴の調査などを通じて、インシデントの発生時期、侵入経路、攻撃手法、被害範囲を特定します。調査結果は、法的手続きに耐えうる形で証拠として整理されます。

調査報告（結果の報告と被害状況の説明）

調査の結果をもとに、被害状況や攻撃経路、原因の詳細をまとめた報告書が作成されます。この報告書は、経営層への説明や取引先への対応、法的措置を講じる際の重要な資料となります。

改善提案（再発防止策の提示）

最後に、調査を通じて得られた知見をもとに、今後のセキュリティ強化策や体制の見直しに関する改善提案が行われます。再発防止のためのシステム設定の見直しや運用ルールの強化など、実行可能な具体策が提示されます。

この一連の流れを円滑に進めるためには、事前に社内で緊急対応体制を整えておくことが重要です。

サイバーインシデント緊急対応

デジタルフォレンジック調査の費用相場とその要素

デジタルフォレンジック調査の費用は、調査の規模や対象範囲、緊急性によって大きく変動します。一般的に、初動対応から最終的な報告書提出までに数十万円から数百万円規模の費用がかかるケースが多く、場合によっては1,000万円を超えることもあります。調査費用は、主に以下の項目で構成されます。


調査項目	費用相場（目安）	算定要素
初動対応・証拠保全	10～30万円	緊急度、作業時間、対象機器数
ログ解析	30～100万円	調査範囲、ログの量と保存状況
端末解析	50～150万円	対象端末数、データ量、調査内容
ネットワーク解析	50～200万円	通信量、解析対象ネットワーク範囲
メール調査	30～100万円	メール数、攻撃手法の特定難易度
報告書作成・改善提案	20～50万円	被害規模、報告書の詳細度

調査費用は対応スピードの要求度や調査範囲の広さによって大きく異なります。調査を依頼する前には、事前に必要な調査項目を整理し、見積もりの内訳をしっかり確認することが重要です。

企業が予算計画に組み込むべき事項

サイバー攻撃による被害は、いつ発生するかわかりません。万が一に備え、デジタルフォレンジック調査費用をあらかじめ予算計画に組み込んでおくことは、リスクマネジメントの観点から重要な取り組みです。

まずは、フォレンジック調査に必要となるリソースの把握が必要です。どのシステムやデータが事業の中核を担っているのかを洗い出し、万が一被害を受けた場合に調査が必要となる範囲を想定しておきましょう。特に、重要な顧客情報や機密情報を扱うシステムは、調査対象として優先度が高くなります。

次に、過去のインシデント事例や業界の平均的な調査費用を参考に、初動対応費用、技術調査費用、報告書作成費用などを項目ごとに見積もり、予算化しておくことが重要です。必要に応じて、外部の専門業者から概算費用の情報を収集し、自社の規模に応じた現実的な予算を策定します。また、平時からのログ管理や証拠保全体制の整備は、調査範囲の縮小や工数削減に直結し、結果的に調査費用の抑制につながります。このような準備に必要なリソースやコストも、予算計画の中に含めておくと良いでしょう。

不測の事態に備え、フォレンジック調査の費用を計画的に確保しておくことが、経営リスクを最小限に抑える有効な手段です。

「かかりつけ」のセキュリティ企業を持つ

平時の備えがインシデントを防止し、いざインシデントが起きたときの対応力を高めてくれます。さらにもう1つ有効な取り組みとしてお伝えしたいのが、頼りになるセキュリティ企業との関係構築です。あなたの会社の業務やシステムのことを知っている、かかりつけ医のようなセキュリティ企業は、何かあったときのための備えのひとつになります。

それまで取引が一度もなかったセキュリティ企業に、事故が発生した際に初めて調査や対応を依頼したとしたらどうでしょう。社内のネットワーク構成、稼働するサービス、重要情報がどこにどれだけあるのか、関係会社や取引先の情報などについて、わずかな時間も惜しまれるインシデント対応の現場で、いちから説明しなければならなくなります。

セキュリティ対策などの実施でセキュリティ企業に依頼を行う際は、信頼できる企業かどうか、いざというときにサポートしてくれるかどうか等、診断以外のサービス体制も幅広く調べたうえで、長期的な観点から利用を検討することをおすすめします。

まとめ：納得できる調査のために

サイバー攻撃などのインシデント発生時、企業は迅速かつ的確な対応を求められます。デジタルフォレンジック調査は、その過程で被害状況を正しく把握し、再発防止策を講じるために不可欠な手段です。しかし、調査は高額になりがちで、調査範囲や依頼内容を誤ると不要なコストが発生する恐れもあります。納得できる調査を実現するためには、事前に調査の流れを理解し、必要な費用感を把握したうえで、適切な調査計画を立てることが重要です。そして、もう一つ重要なのは「誰に調査を依頼するか」という視点です。

デジタルフォレンジック調査の結果は、調査を行う専門家の知識とスキルに大きく左右されます。調査の質を高めるためには、どのような専門家に依頼すべきか、その見極めが重要です。次回、第3回の記事では、信頼できる調査パートナーの選び方や、調査に必要とされる資格・スキルについて解説します。

―第3回「デジタルフォレンジックは誰に任せるべきか？」へ続く―

【連載一覧】

―第1回「デジタルフォレンジック調査とは？企業が知っておくべき基本情報」―
―第3回「デジタルフォレンジックは誰に任せるべきか？」―

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年5月12日2025年6月6日

企業のためのデジタルフォレンジック入門
第1回：デジタルフォレンジック調査とは？企業が知っておくべき基本情報

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバー攻撃や情報漏えいが発生した際、企業が最初に取るべき行動は、被害の拡大を防ぎ、原因を迅速に特定することです。この初動対応において重要なのが「デジタルフォレンジック調査」です。企業がサイバー攻撃に遭ってしまった場合に再発防止策を講じるためにも、デジタルフォレンジックの役割は非常に重要です。

今回は「デジタルフォレンジック」を全3回にわたって取り扱います。シリーズ第1回目となる本記事では、デジタルフォレンジック調査とは何か、その基本的な概要と企業が知っておくべき基本情報を解説します。

デジタルフォレンジックとは？

デジタルフォレンジックとは、サイバー攻撃や情報漏えい、不正アクセスなどのインシデントが発生した際に、関係するデジタル機器やシステムのデータを解析し、事実関係を明らかにする調査手法です。英語の「forensic（法医学的）」という言葉が示す通り、調査結果は裁判などの法的手続きにも利用されることがあります。

デジタルフォレンジック調査とは、単なる技術調査ではなく、証拠の保全・改ざん防止、攻撃経路や被害範囲の特定、さらには再発防止のための分析までを含む手法です。調査には高度な専門知識と技術が求められ、ログ解析（アクセス履歴や操作記録の確認）、端末解析（PCやスマートフォン内のデータ確認）、ネットワーク解析（通信記録の追跡）など、複数の調査対象に対して総合的に分析を行います。これにより、インシデントの真相を明らかにし、企業の信頼回復と再発防止に貢献します。

企業でのデジタルフォレンジック調査が必要になる場面とは？

企業が直面するセキュリティインシデントは様々ですが、その中でもデジタルフォレンジックの実施が必要となるのは、被害の全容を把握し、適切な対応を行う必要がある場合です。

たとえば、外部からの不正アクセスにより社内システムに侵入された可能性があるときや、顧客情報が漏えいしていると通報を受けたときには、早急な事実確認が求められます。また、従業員による機密データの持ち出しや不正なファイル操作が疑われるケースでは、客観的な証拠に基づいた調査が不可欠です。近年では、特定の企業を狙う標的型攻撃も増加しており、攻撃の手口が巧妙化・長期化する傾向にあります。こうした背景から、フォレンジック調査は単なるトラブル対応にとどまらず、経営判断や法的対応にも直結する手法として、多くの企業が重要視しています。

デジタルフォレンジック調査の対象例

デジタルフォレンジック調査の対象は事案の内容により異なりますが、主に以下のようなデータに分類されます。


調査対象	内容・例	主な目的・得られる情報
アクセスログ（ログ解析）	サーバやシステムの操作・認証履歴	不正アクセスの有無、アクセス日時・端末・ユーザーの特定
端末内部のデータ（端末解析）	PCやスマートフォンのストレージ内の情報	削除ファイルの復元、USB接続履歴、操作の痕跡分析
ネットワーク通信（ネットワーク解析）	通信ログ、送受信先IP、パケットデータ	異常通信の把握、外部へのデータ送信の確認
電子メール（メール分析）	送受信履歴、添付ファイル、リンククリック記録	フィッシングや標的型攻撃メールの特定、なりすましの検出
クラウドサービスのログ	Microsoft 365、Google Workspaceなどの操作記録	クラウド上での不正アクセスやデータの共有・編集履歴の確認

デジタルフォレンジックの調査フロー

社内では、平時からのログ保存体制の整備や、緊急時の連絡フロー構築が不可欠です。また、関係部門の責任範囲や判断フローも事前に明確にしておくことで、インシデント発生時の混乱を最小限に抑えられます。

まとめ：企業対応に不可欠な「証拠を残す力」

サイバー攻撃に対して企業が取るべき対応は、ただ防御策を実施するだけでは不十分です。被害が発生した後、何が起きたのかを正しく究明し、再発を防ぐための対策を講じることが、将来的な企業の信頼性維持と経営層の判断基準につながります。デジタルフォレンジック調査は、証拠を明らかにし、被害の全容を把握するための手法です。調査の効果を最大化するには、「どのように進めるか」「誰に任せるか」が重要な鍵となります。次回第2回の記事では、フォレンジック調査の進め方と費用の目安について解説します。

―第2回「デジタルフォレンジック調査の流れと費用とは？」へ続く―

【連載一覧】

―第2回「デジタルフォレンジック調査の流れと費用とは？」―
―第3回「デジタルフォレンジックは誰に任せるべきか？」―

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年4月24日2025年5月14日

IoTセキュリティのリスクと対策 -安全な運用のための5つのポイント-

Security NEWS TOPに戻る
バックナンバー TOPに戻る

急速に普及が進むIoT（モノのインターネット）は、私たちの生活やビジネスに大きな利便性をもたらしています。一方で、サイバー攻撃や情報漏えいなど、IoT特有のセキュリティリスクも急増しています。本記事では、IoTセキュリティの基本的な考え方から、総務省・経産省が示すガイドラインに基づく5つの対策ポイントまでを解説。安全なIoT活用のために、今押さえておくべきポイントを整理します。

contents

IoTとは

IoT（アイオーティー）とは「Internet
of Things」の略称で「モノのインターネット」という意味です。これまでインターネットは、コンピュータやサーバ同士を接続するためのものでしたが、IoTでは、工場の制御システム、各種社会インフラ、医療機器、自動車、住宅、情報家電など、さまざまな「モノ」同士がインターネットを介して情報のやりとりを行うことで、新たな付加価値を創造します。また、IoTはAIなどと同様、デジタルトランスフォーメーションの核となる技術領域のひとつとして期待されています。

IoTの活用事例

現在研究が進んでいる、5Gネットワークを活用した自動運転車は、IoT技術をクルマに活用した例です。その他にもIoTのセンサーを設置することで水道管の漏水や工場設備の故障を検知したり、ネットワークカメラでペットの様子を確認したりなど、私たちの周囲にも徐々にIoT機器・サービスが登場しはじめています。

IoTのセキュリティリスク

IoTの利便性の裏で、セキュリティ対策が後回しにされがちである点が大きな課題です。IoT機器が増えるほど、サイバー攻撃のリスクも高まり、IoTセキュリティの重要性は急速に高まっています。

IoT機器の多くはインターネットに常時接続されており、不適切な管理や設定によってサイバー攻撃の標的になりやすいという特性を持っています。加えて、IoT機器は小型・低コストであるがゆえに、セキュリティ対策が十分に施されていないまま市場に出回るケースも少なくありません。

特に企業においては、IoTデバイスが業務システムや重要データと連携している場合も多く、
ひとたびセキュリティ侵害が発生すれば、企業全体の業務停止や情報漏えいといった重大な被害につながる恐れがあります。このため、IoTセキュリティは単なる機器保護の枠を超えて、組織全体のリスクマネジメントとして取り組むべき重要課題なのです。

ITと異なるIoT特有のセキュリティリスク

IoTデバイスには、IT機器とは異なる脅威が存在します。例えば、長期運用を前提とした機器が多く、更新やパッチの適用が困難であること、また、処理性能や記憶領域が限られているため、従来のセキュリティソフトを導入できないケースもあります。さらに、ネットワーク経由で接続されるため、第三者による不正アクセスや悪用の可能性も高まります。

2016年7月に総務省・経済産業省・IoT推進コンソーシアムによって公開された『IoTセキュリティガイドライン』によれば、セキュリティを確保しながらIoTを利活用するには、下記のような「IoT特有の性質」を理解して対策を講じることが重要です。

1．脅威の影響範囲・影響度合いが大きい

2．IoT機器のライフサイクルが長い

3．IoT機器に対する監視が行き届きにくい

4．IoT機器側とネットワーク側の環境や特性の相互理解が不十分である

5．IoT機器の機能・性能が限られている

6.　あらゆるIoT機器が通信機能を持つため、開発者が想定していなかった接続が行われる可能性がある

IoTを狙ったサイバー攻撃の実例と脅威

IoT機器・サービスを狙ったサイバー攻撃はその急速な普及を背景に増加の一途をたどり、潜在するリスクも続々と報告されています。上記に挙げたようなIoT特有の性質から、ひとたび攻撃や悪用が起こると、その影響範囲はこれまでと比較にならないほど大きくなる恐れがあります。

有名な事例の一つに、IoTマルウェア「Mirai」の登場があります。MiraiはネットワークカメラやルーターなどのIoT機器に感染し、それらを踏み台にして大規模なDDoS攻撃を引き起こしました。

また、2019年には、アメリカで、防犯・監視カメラに攻撃者がアクセスし、子供や寝ている人に話しかけるという事件*4が起きました。同じメーカーが提供する玄関チャイムに、接続されているWi-Fiのパスワードが盗聴により漏えいする脆弱性があったことも報告*5されています。2020年には、音声アシスタントサービスを提供するAmazon Alexaに、音声履歴や個人情報等を盗み出せる脆弱性*6が存在することがイスラエルのセキュリティ企業の研究部門によって明らかになりました。

上記はいずれも家庭で使用されているIoT機器の例ですが、このような攻撃により、個人だけでなく企業やインフラ全体が深刻な影響を受ける可能性があります。IoTセキュリティは、社会的インフラの防衛にも直結する課題です。

総務省・経産省が提示するIoTセキュリティガイドライン：5つの基本方針

前掲の『IoTセキュリティガイドライン』では、IoT機器やIoTを使ったサービスを手掛ける事業者に対して、下記「IoTセキュリティ対策の5指針」に沿った対策を講じるように促しています。

1．IoTの性質を考慮した基本方針を定める

2．IoTのリスクを認識する

3．守るべきものを守る設計を考える

4．ネットワーク上での対策を考える

5．安全安心な状態を維持し、情報発信・共有を行う

IoT機器・サービスを手掛ける事業者は、IoT機器のライフサイクルを踏まえながら、上記指針に沿って設計や製造、サービス提供のあり方を見直し、必要な措置をとることが求められます。

実装すべきセキュリティ機能を『IoTセキュリティチェックリスト』で把握

押さえておきたいリソースとして、もう1つ、セキュリティ専門機関である一般社団法人JPCERTコーディネーションセンターが2019年に公開した『IoTセキュリティチェックリスト』をご紹介しましょう。これは、IoT機器の開発や製造、IoTサービス提供に関わる事業者を対象にしたもので、IoTデバイスを安全に運用するために実装しておきたいセキュリティ機能がチェックリスト形式でまとめられています。

リストには、「ユーザ管理」「ソフトウェア管理」「セキュリティ管理」「アクセス制御」「不正な接続」「暗号化」「システム設定」「通知」の8つのカテゴリに分類された39の機能が記載されています。さらに、それぞれの機能が、Sensor（センサー）、Aggregator（センサーからのデータを集約する機能）、Communication Channel（通信チャネル）といった、IoTシステムを構成する基本単位のいずれに対応するのかも一目でわかるようになっており、自組織のIoTセキュリティ対策に取り組むうえでぜひ活用することをお勧めします。

IoTセキュリティの落とし穴

なお、IoTのセキュリティでは、自組織で対策を講じるだけでは十分ではありません。IoTサービスにおいては、IoT機器を開発製造する企業、それを活用したサービスを設計する企業、サービスを提供するためのアプリケーションを開発する企業、サービスの運用を行う企業など、複数の当事者が存在、相互に依存しあっており、それぞれの当事者にリスクが存在します。つまり、複数の企業間で、共通した同水準のセキュリティレベルを維持することが求められるのです。これは、従来のITサービスの場合に比べても決して楽なことではなく、最もセキュリティ対策の手薄な企業がいわば｢弱い鎖｣となって、攻撃を許すことにもなりかねません。

また、自社で対応が難しい場合は、第三者機関による脆弱性診断の実施やセキュリティコンサルティングの活用も検討すべきです。IoT診断を通じて、IoTデバイスのセキュリティリスクを複数の当事者が理解し、適切な対策を講じることで、サイバー攻撃のリスクを最小化することができます。

さらに、国や地域によって異なる法規制への対応が必要になることもあります。IoTによって企業間のつながりが特定の地域を超える可能性があるためです。例えば、日本国内での販売やサービス提供はOKでも、ヨーロッパではGDPR（EU一般データ保護規則）、アメリカではCCPA（カリフォルニア州消費者プライバシー法）等のプライバシー関連法規に抵触するケースなどもありえます。日本の個人情報保護法もグローバルな動きの影響を受け今後変更される可能性もあります。法規制対応に関する注意も怠ってはなりません。

IoTセキュリティ診断、相場料金の現状は？

IoTは、Webアプリケーションやイントラネットのようないわば均質化した診断対象とは異なり、その利用用途がスマート家電から工場、社会インフラまで実に幅広いという特徴があります。OSやファームウェア、ASIC、FPGA、各種モジュール、アプリケーションの組み合わせはほぼ無限です。この点が、IoTのセキュリティ診断とその他のセキュリティ診断を分かつ最大の違いといえます。例えば、Webアプリケーション診断のように「1リクエストいくら」といった形で料金が提示されることはめったにありません。

IoTのセキュリティ診断を実施するにあたっては、実施の都度、対象の機器、システムの構成を踏まえたうえで、目的や予算、期間を考慮して診断内容を決定することが求められます。専門業者の診断サービスを利用する場合には、「さまざまな診断手法を熟知しているか」、「十分な診断実績はあるか」、といった点を判断指標に選定することをお勧めします。

IoTセキュリティ対策の第一歩は「見える化」から

多くの企業で問題となっているのは、現状のIoT機器の稼働状況やリスクが把握できていない点です。まずは社内で使用されているIoTデバイスを洗い出し、ネットワークのどこに、どのような機器が接続されているのかを「見える化」することが、対策の出発点となります。現状を可視化することで、どこに脅威があるのかが明確になり、優先順位をつけたセキュリティ対策が可能になります。

まとめ

IoTとは、「モノのインターネット」のことです。クルマや家電などのモノがインターネットに接続され、情報をやり取りすることで、生活やビジネスに新たな価値をもたらします。
IoT機器はライフサイクルが長く、インシデント発生時の影響も大きいため、IT機器とは異なる視点でセキュリティ対策を講じる必要があります。
マルウェア感染や家庭用監視カメラへの不正アクセス、産業用機器への攻撃など、IoTを狙ったサイバー攻撃が多発しています。
IoTセキュリティには、機器の設計・製造から運用まで、関係者それぞれが責任を持って対策を進めることが求められます。
IoTのセキュリティ診断は、OSやファームウェアなど構成が多様なため、目的・予算・期間を事前に明確にして実施する必要があります。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年4月30日（水）13:00～13:30
「CVSSとSSVCで実践する次世代脆弱性管理：サイバー攻撃対策セミナー2024」

2025年5月14日（水）14:00～15:00
「クラウド利用の落とし穴と対策とは？今こそ見直すべきクラウドセキュリティ対策-セキュリティ設定診断の活用方法をご紹介-
」

2025年5月21日（水）14:00～15:00
「Webサイト改ざん攻撃の手口と防御策とは？リアルタイム検知で守るセキュリティ」

最新情報はこちら

2025年4月21日2025年5月8日

脆弱性診断の効果を最大化するポイント解説 – やりっぱなしを防ぐサイバー保険による脆弱性管理と診断サイクルの作り方

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年3月13日「脆弱性診断、やりっぱなしになっていませんか？高精度診断と充実サポートでリスクを最小化〜サイバー保険で安心診断から守るまでを徹底解説〜」というセミナーを開催しました。今回はその講演内容のポイントについてご紹介します。

登壇者：株式会社ブロードバンドセキュリティのセキュリティサービス本部サービス支援部支援課課長代理木下祐希

サイバー攻撃の実態と脆弱性管理の重要性

まず脆弱性診断を実施する背景として、近年のサイバー攻撃の実態について理解する必要があります。かつては愉快犯も少なくなかったサイバー攻撃は、現在では金銭目的や企業・個人に対する悪意を持った攻撃が主流となっており、その手口も高度化・巧妙化しています。こうした環境において脆弱性とは何か、そしてなぜ脆弱性管理が重要なのかを把握することが対策の第一歩となります。

サイバー攻撃の変化は明確です。以前は「愉快犯」と呼ばれる、いたずら目的のハッカーやクラッカーも少なからずおり、DDoS攻撃で嫌いな企業のサーバーを落としたり、不特定多数にフィッシングメールを送りつけたりするような行為が中心でした。しかし現在は、より直接的な、個人情報や機密情報を盗み出して金銭化することを目的とした攻撃者が増えています。

ダークウェブの出現により、盗んだ情報を売却する市場ができました。攻撃者にとっては明確な金銭的利益を得る手段となり、より悪質で深刻な攻撃が増えているのです。

脆弱性の検出実態についても驚くべき数字が示されました。ブロードバンドセキュリティによる脆弱性診断を受けた企業の統計では、Webアプリケーションでは約90%、ネットワークでは約55%の企業で何らかの脆弱性が検出されています。さらに深刻なのは、リスクレベルが「高」以上の重大な脆弱性がWebアプリケーションで16.7%、ネットワークで21.6%も検出されているという事実です。

これは一度も診断を受けたことがない企業だけではなく、定期的に脆弱性診断を実施している企業も含めた数字です。攻撃手法は日進月歩で進化していますので、定期的な診断が必須なのです。

脆弱性とは、不正アクセスやコンピュータウイルスなどの攻撃により、システムの機能や性能を損なう原因となり得るセキュリティ上の問題箇所のことです。脆弱性が悪用されると、内部データの盗取や改ざん、削除、さらには他のコンピュータへの攻撃の踏み台にされるなど様々な被害が発生します。

「無知は最大の脆弱性」という言葉があるように、まず自社のシステムの状態を知り、必要な対策を講じることが何よりも重要です。脆弱性診断により、日々変化する脅威に対する自システムのセキュリティ状態を確認できるため、適時・適切な対策が可能になります。

脆弱性診断のやり方と診断実施時の課題

次に脆弱性診断の具体的なやり方と、企業が診断を実施する際に直面する課題について解説します。

脆弱性診断を住宅に例えると、ネットワーク脆弱性診断は土地や地盤の検査、Webアプリケーション脆弱性診断は建物自体の検査に相当します。企業が脆弱性診断を実施する際には、コスト面や専門知識の必要性など様々な課題がありますが、これらを適切に解決することが重要です。

脆弱性診断とは、窓のひび割れや水道管の老朽化など、故障・欠陥箇所を探すことに似ています。ネットワーク脆弱性診断は地盤や土壌など土地に関する検査、Webアプリケーション脆弱性診断は土地の上に建っている家を検査するイメージです。

この二つの診断タイプには共通する項目もありますが、視点が異なります。ネットワーク脆弱性診断は宅外から宅内に入るまでの故障・欠陥箇所を見つけるのに対し、Webアプリケーション脆弱性診断は宅内の方から見た観点での指摘となります。

企業が脆弱性診断を実施する際に直面する主な課題として、以下の4点が挙げられます。

コストの問題：脆弱性診断は専門的な技術とツールを要するため、実施コストが高くなりがちです。

専門知識の必要性：診断結果を適切に解釈し、対策を講じるには専門的な知識が不可欠です。セキュリティの専門家が不足している企業では対応が遅れがちになります。

診断後のサポート不足：診断後に必要な修正や対策を行うためのサポートが不十分な場合が多く、結果的に脆弱性が放置されるリスクが高まります。

手動診断と自動診断のバランス：手動診断は時間とコストがかかる一方、自動診断は検出精度に限界があるため、両者の適切なバランスが求められます。

これらの課題に対処するため、「かかりつけ医」のような存在としてセキュリティベンダーとの関係構築が推奨されます。いざという時だけでなく、日頃からかかりつけ医のような存在としてセキュリティベンダーとの関係を構築することで、結果的に自社のセキュリティレベルの向上と維持が図れます。

「かかりつけ医」のメリットとしては、まず、病歴や体質（システム環境や脆弱性の状況）を把握しており、素早く適切に対応できること。そして、気軽に相談できるので、問題が早期発見しやすいこと。結果として、必要に応じて他の専門医（専門的なセキュリティサービス）への連携もスムーズになることも含め、メリットは多々あると言えます。

高精度な脆弱性診断とサイバー保険を含む継続的なサポート体制

脆弱性診断を効果的に行うためには、精度の高い診断と充実したサポート体制が不可欠です。高品質な脆弱性診断サービスには、有資格者による手動検査、網羅性の高い診断内容、わかりやすい報告書の提供、診断後のサポートなどの特徴があります。特に重要なのは、診断結果に基づいた対策の実施と、定期的な診断による継続的な脆弱性管理サイクルの確立です。

ブロードバンドセキュリティのSQAT®（Software Quality Analysis Team）脆弱性診断サービスを例に、効果的な脆弱性診断の要素が説明されました。まず「Quality（品質）」として、情報処理安全確保支援士やCISSP、CEH等の有資格者による手動/ツール検査を実施していること、OWASP TOP10やNIST SP 800シリーズ、IPAの「安全なWebサイトの作り方」などの標準を踏襲した網羅性の高い診断内容を提供していることが特徴です。

次に「Communication（コミュニケーション）」の観点では、診断実施部門だけでなく報告書のレビューを専門とする部門やツール開発部門が各役割に集中する体制を整え、専用ポータルサイトを通じた効率的な情報共有を実現しています。

さらに「Support（サポート）」面では、診断結果に関する問い合わせを診断実施後も受け付け、報告書納品日から3ヶ月間は再診断を無償で提供するなど、継続的なサポート体制を整えている点が強調できます。

付け加えると、同社の脆弱性診断サービスの特徴として、豊富な診断シグネチャ（検査パターン）、スピーディな報告（診断終了後4営業日以内の報告書納品）、情報収集力に裏打ちされた分析、多彩なオプションメニューなどが挙げられます。

手動診断とツール診断のそれぞれの特徴と使い分けについても説明します。

手動診断は網羅性、検査の深度、精度が高い一方でコストも高くなります。一方、ツール診断は低コストで実施できますが、検出できない項目もあります。両者の適切な組み合わせとして、「リリース時や年に一度は手動診断、日常的な監視はツール診断」といった使い分けが効果的です。

特に注目すべき点として、ブロードバンドセキュリティは三井住友海上火災保険株式会社との提携により、「サイバー保険付帯の脆弱性診断サービス」を提供しています。このサービスは、脆弱性診断契約日から1年間、情報漏えいやサイバー攻撃に起因する賠償損害および事故発生時に対策を講じた場合の費用損害を最大1,000万円まで補償するものです。

実際の初動対応には平均して1,000万円程度必要であると想定されています。この補償は脆弱性診断サービスにオプションとして付けるのではなく、対象となる診断サービスを受けると自動的に付帯します。

脆弱性診断を活かす継続的なセキュリティ対策

最後に、脆弱性診断を単発で終わらせるのではなく、継続的なセキュリティ対策として活用するためのポイントを紹介します。脆弱性は日々増加し、攻撃手法も進化し続けるため、一度の診断だけでは十分な対策とは言えません。診断対象の特徴や検査目的に合わせた適切な診断手法の選定と、定期的な脆弱性の洗い出しと棚卸が重要です。

脆弱性診断は一度実施したらそれで終わりというものではありません。脆弱性は日々新たな手法や種類が増加し続けるため、診断実施後に適切なセキュリティ対策を行っていたとしても、形を変えて再び脆弱性が生じる可能性は十分にあります。

継続的なセキュリティ対策のサイクルとして、以下のステップが推奨されています。

脆弱性診断の実施

セキュリティ対策の実施

新たな脆弱性・攻撃手法の登場に注意

自組織の環境やシステム特性に適した診断の選定

このサイクルを繰り返すことで、持続的にセキュリティレベルを向上させることができます。また、診断対象の特徴や検査目的に応じて、手動診断とツール診断を適切に組み合わせることも重要です。

まとめ：効果的な脆弱性管理で高まるセキュリティ体制

脆弱性診断を「やりっぱなし」にせず、継続的な脆弱性管理の一環として活用することが、組織のセキュリティ体制強化には不可欠です。サイバー攻撃が高度化・巧妙化する現代においては、脆弱性診断の実施、診断結果に基づく対策の実施、新たな脆弱性への対応という一連のサイクルを確立することが重要です。自社の環境やシステム特性に合わせた適切な診断手法を選定し、定期的な診断を通じて継続的にセキュリティレベルを向上させていきましょう。

脆弱性をなくすこと（攻撃の的をなくすこと）が最も重要です。攻撃者は実際の攻撃行動に移る前に、クローリングツールなどを使って脆弱性をスキャンします。脆弱性の少ないシステムは攻撃者にとって「コストパフォーマンスが悪い」ターゲットとなり、結果的に攻撃を受けにくくなります。

サイバー保険も含めた総合的な脆弱性対策を構築することで、万が一の事態にも備えることができます。ブロードバンドセキュリティのように、高精度な診断と充実したサポート体制を持つセキュリティベンダーと連携することで、より効果的な脆弱性管理が可能になります。

脆弱性管理は単なるコスト要素ではなく、企業の競争力維持やリスク管理のための重要な投資です。サイバー保険の付帯のある脆弱性診断サービスを受けていても、被害があったときかかってしまう損害額を考えると費用対効果は決して悪くないと言えます。

最終的に、脆弱性診断を含む継続的なセキュリティ対策サイクルの確立は、お客様に安心して自社サービスを利用し続けてもらうための基盤となるのです。これからのデジタル時代において、適切な脆弱性管理は企業の信頼性と持続可能性を支える重要な要素であると言えるでしょう。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年4月23日（水）14:00～15:00
「今知るべき！サポート切れのソフトウェアへのセキュリティ対策ガイド」

2025年4月30日（水）13:00～13:30
「CVSSとSSVCで実践する次世代脆弱性管理：サイバー攻撃対策セミナー2024」

最新情報はこちら

2025年4月15日2025年5月8日

WordPressサイトの安全対策：SureTriggersプラグインの脆弱性に学ぶ対策方法

Security NEWS TOPに戻る
バックナンバー TOPに戻る

contents

お問い合わせ

お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。

近年、サイバー攻撃が多様化する中で、WordPressのプラグインに潜む脆弱性が企業や個人のウェブサイトに深刻なリスクをもたらしています。特に、業務でサイトを利用している方にとって、定期的なメンテナンスとセキュリティ対策は必須です。ここでは、最近話題となった「SureTriggers」プラグインの脆弱性を例に、誰にでも実践できる対策方法を分かりやすく解説します。

なぜWordPressプラグインに注意が必要なのか？

WordPressは世界中で人気のCMS（コンテンツ管理システム）です。WordPressの利用に関しては以下のようなメリットと注意点が挙げられます。

メリット:多様な機能をプラグインで簡単に追加できる
注意点:プラグインのコードに不備があると、サイトのセキュリティが危険にさらされる可能性がある

実際、普段は便利な機能を提供しているプラグインも、正しく管理されなければ攻撃者の格好の侵入ルートとなってしまいます。

SureTriggersプラグインの事例

2025年4月初旬、WordPress向けの自動化ツールとして利用されている「SureTriggers」プラグインに重大な脆弱性が発見されました。この脆弱性の主なポイントは以下の通りです。

攻撃方法: 攻撃者は、十分な認証チェックが行われない隙を突き、管理者権限を持つアカウントを不正に作成できる可能性がありました。
迅速な悪用: 公開からわずか数時間で実際に不正アクセスの試みが記録され、早期の対策が求められる事態となりました。

脆弱性の背景と仕組み

シンプルに説明すると、問題の発端はプラグイン内の認証チェックが不十分だった点です。通常、プラグインはユーザーからのリクエストに対して「この操作は許可されたユーザーからのものか？」を確認する仕組みを持っています。しかし、SureTriggersでは、HTTPヘッダーによる認証のチェックで、必要な検証が十分になされず、条件次第では不正なリクエストを正当なものとしてしまう欠陥がありました。このため、攻撃者は特定のリクエストを送ることで、管理者アカウントを勝手に作成するリスクがあったのです。

基本のセキュリティ対策

セキュリティに詳しくなくても、以下のポイントを守ることでリスクを大幅に減らすことができます。

定期的なアップデート:プラグインやWordPress本体の最新バージョンへの更新は必須です。アップデートには、セキュリティの向上や不具合の修正が含まれており、脆弱性対策に直結します。
公式・信頼のプラグインを利用:評判が良く、開発元がしっかりしているプラグインを使用しましょう。不明なサイトからダウンロードしたプラグインはリスクが高まります。
セキュリティプラグインの導入:WordPress向けのセキュリティ強化プラグイン（例：WordfenceやSucuri Securityなど）を利用し、サイトへの不審なアクセスを自動的にブロックする仕組みを取り入れましょう。
定期的なバックアップ:万が一攻撃に遭ってしまったしまった場合の被害に備え、サイト全体のバックアップを定期的に取ることで、迅速な復旧が可能になります。
ログの監視:自分では気付きにくい異常なアクセスやアカウントの作成がないか、サーバのログを時折確認する習慣をつけると安心です。

まとめ

早めの対策で安心なサイト運営を

SureTriggersプラグインの事例は、セキュリティ脆弱性がもたらすリスクを再認識するきっかけとなります。日頃からのアップデート・管理、そして信頼できるツールの利用は、サイト運営における最も基本的かつ重要な対策です。技術的な知識がなくても、今回の記事でご紹介した基本の対策を実践することで、多くのリスクを未然に防ぐことができます。今後もセキュリティの最新情報に注意を払い、安心してサイト運営を続けるための対策を怠らないようにしましょう。

【参考情報】

https://patchstack.com/articles/critical-suretriggers-plugin-vulnerability-exploited-within-4-hours/

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2025年4月23日（水）14:00～15:00
「今知るべき！サポート切れのソフトウェアへのセキュリティ対策ガイド」
2025年4月30日（水）13:00～13:30
「CVSSとSSVCで実践する次世代脆弱性管理：サイバー攻撃対策セミナー2024」
2025年5月14日（水）14:00～15:00
「クラウド利用の落とし穴と対策とは？今こそ見直すべきクラウドセキュリティ対策- セキュリティ設定診断の活用方法をご紹介 –
」

最新情報はこちら

2025年3月4日2025年5月8日

情報セキュリティ10大脅威 2025
-「地政学的リスクに起因するサイバー攻撃」とは？-

Security NEWS TOPに戻る
バックナンバー TOPに戻る

国家間の対立が深まる中、サイバー攻撃は政治・外交の手段として活用されるケースが増えています。国家支援型ハッカーグループによる標的型攻撃や、ランサムウェアを用いた攻撃が確認されており、日本もその標的となっています。本記事では、独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2025」の第7位『地政学的リスクに起因するサイバー攻撃』について、国家間の緊張がもたらすサイバー攻撃の実態、日本への影響を解説します。

IPA「情報セキュリティ10大脅威 2025」速報版の記事はこちらです。こちらもあわせてぜひご覧ください。『【速報版】情報セキュリティ10大脅威 2025 -脅威と対策を解説-』
https://www.sqat.jp/kawaraban/34353/

【関連ウェビナー開催情報】
弊社では4月16日（水）14:00より、「知っておきたいIPA『情報セキュリティ10大脅威 2025』～セキュリティ診断による予防的コントロール～」と題したウェビナーを開催予定です。10項目の脅威とその対策例について脆弱性診断による予防的コントロールの観点から講師が解説いたします。ご関心がおありでしたらぜひお申込みください。詳細はこちら。

新設された「地政学的リスクに起因するサイバー攻撃」

「地政学注 1)的リスクに起因するサイバー攻撃」は2025年に初めて選定されたものです。IPAの「情報セキュリティ10大脅威」はその年に注意すべき脅威を「10大脅威選考会」によって選定しており、通常は攻撃手法等に焦点が置かれていますが、この項は政治的・外交的理由や背景という、動機の部分に焦点が置かれたカテゴリとなります注 2)。対象となる脅威グループの中には、サブグループがランサムウェア攻撃を実行したケースも確認されており注 3)、本項とランサムウェア攻撃との関連性も指摘されています。さらに、サイバー攻撃は一方的に行われるものではなく、紛争当事国や関係国間、政治的・外交的要因で緊張関係にある国家間で実施されるため、被害側として名前が挙げられている国が、同時に加害側となっている場合も存在します。

日本を対象にした事例

地政学的リスクに起因するサイバー攻撃の脅威が新設された背景には、日本を標的としたサイバー攻撃が増加していることなどが挙げられます。例えば以下のような事例があります。

MirrorFace（Earth Kasha）による攻撃キャンペーン

概要

MirrorFaceは中国語を使用する APT (Advanced Persistent Threat) グループであり、日本を主なターゲットとしている組織です。多くの情報から、APT10の傘下組織の1つと考えられています*7。

攻撃キャンペーンの主な目的は、安全保障や先端技術に関する情報窃取とされています。

主なキャンペーン

2019年～2023年：スピアフィッシングキャンペーン*2

2023年～2024年：ネットワーク機器の脆弱性を悪用した不正侵入攻撃*3

2024年6月頃以降：さらなるスピアフィッシングキャンペーン*4

特徴と補足：いずれのキャンペーンでもマルウェアの使用が確認されています。特に、スピアフィッシングキャンペーンではLiving off the land戦術を用いることで、通常の検出を回避する工夫が見られます。また、MirrorFaceはEU向けの攻撃も行っているとの指摘があります*5。

Living off the land 戦術（通称 LOTL）とは
システムに元々存在するネイティブツール（Living off the Land バイナリ、LOLBins）を悪用します。これにより、通常のシステムアクティビティに紛れ込み、検出やブロックが難しくなるとともに、オンプレミス、クラウド、ハイブリッド環境（Windows、Linux、macOSなど）で効果的に運用され、カスタムツールの開発投資を回避できるという利点があります。

関連の情報セキュリティ10大脅威項目

3位：システムの脆弱性をついた攻撃

5位：機密情報などを狙った標的型攻撃

北朝鮮の動向

北朝鮮は、国際連合安全保障理事会決議に基づく制裁措置を回避しながら外貨を獲得するため、さまざまな活動を展開しています。ここでは、人材の採用に関連する2つの事例に注目します。

暗号資産の窃取を目的とした攻撃

概要：昨年、暗号資産関連事業者から約482億円相当の暗号資産が窃取された事件が発生しました。公開されている事件の流れは以下のとおりです。注 4)

暗号資産関連事業者にコールドウォレットソフトウェアを提供する企業（以下A社）の従業員Bに、ビジネス専用SNSから偽のリクルーターが接触。（Bは契約中のクラウドサービス上にあるKubernetesの本番環境にアクセスできる権限を持っていた。）

偽のリクルーターは、採用プロセスの一環として、ソフトウェア開発プラットフォーム上から指定されたPythonスクリプトをBのレポジトリにコピーするよう指示。

コピー後、何らかの方法でBの業務用端末で当該Pythonスクリプトが実行され、本番環境へのアクセス認証情報が窃取される。

不正アクセス時には、正規のトランザクションに不正なデータを追加する細工が施された。

補足：暗号資産全体の窃取額は2022年がピークでしたが、北朝鮮による攻撃は昨年がピークとなっており、攻撃成功率も上昇している*6ため、2025年も引き続き警戒が必要です。

偽IT労働者問題

概要：2024年3月に、財務省、外務省、警察庁、経済産業省が発表。北朝鮮IT労働者に関する企業などに対する注意喚起により、身分を偽った北朝鮮IT労働者が海外企業で業務に従事している事例が存在することが明らかになりました。

米国での事例：司法省が2025年1月23日付で訴追を公表した事例では、以下のような例が確認されています。被害企業が発送した業務用PCを協力者が受け取り、ラップトップファーム注 5)に設置
⇒被害企業のポリシーに反し、リモートデスクトップ接続用ソフトウェアがインストールされた。
北朝鮮の偽IT労働者は、VPN経由で他国からアクセスして業務に従事
⇒一部企業ではマルウェアのインストールを試みた事例も報告されています*7。

日本国内の状況:日本では具体的な事例は報道されていませんが、2025年1月に発表されたアメリカ企業のレポートにより、日本企業でも偽IT労働者が雇用されている事実が明らかになりました。このレポートにある企業はスタートアップ企業が多く、中小企業における採用プロセスや業務委託プロセスでのチェック体制の確立が求められます。

関連の情報セキュリティ10大脅威項目

5位：機密情報などを狙った標的型攻撃

6位：リモートワーク等の環境や仕組みを狙った攻撃

SQAT.jpでは以下の記事でも解説しています。こちらもあわせてぜひご参照ください。
「標的型攻撃とは？事例や見分け方、対策をわかりやすく解説」
「テレワーク環境に求められるセキュリティ強化」

諸外国を対象にした事例

以下、各国・地域における地政学的リスクに起因するサイバー攻撃の事例を紹介します。

台湾

概要：台湾政府は、中国からのサイバー攻撃が2023年の約2倍に増加したと発表*8しています。多くの攻撃は検知・ブロックされるものの、Living off-the-landなどの手法により、検出や防御が回避されるケースが報告されています。また、フィッシングキャンペーン、DDoS攻撃、ランサムウェア攻撃など、幅広い攻撃が展開されています。

関連の情報セキュリティ10大脅威項目：

1位：ランサムウェア攻撃による被害

3位：システムの脆弱性をついた攻撃

5位：機密情報などを狙った標的型攻撃

8位：分散型サービス妨害攻撃（DDoS）

シンガポール

概要:2024年6月、シングテル（シンガポールテレコム）に対して、中国の脅威アクターVolt Typhoonによる攻撃が報じられました（2024年11月の報道*9）。シングテルおよびその親会社、さらにはシンガポール政府からの公式コメントは得られていませんが、アメリカの通信事業者への攻撃テストとして実施された可能性が指摘されています。

関連の情報セキュリティ10大脅威項目：詳細不明のため該当なし

アメリカ

アメリカに対するサイバー攻撃は、政治的・外交的背景に基づく複数の事例が報告されています。特にSalt Typhoon に関連する以下の事例を紹介します。

通信事業者に対する攻撃

発表と対応:
・2024年2月7日、CISA、FBI、NSAにより、Volt Typhoonが重要インフラのIT組織を侵害していることと、その対応策が公開されました*10。
・同年10月25日、CISAとFBIによる共同声明で、通信事業者が攻撃対象となっていることが発表されました*11。
・報道によれば、攻撃者はSalt Typhoonとされています*12。
・2024年12月18日にリリースされたモバイル通信に関するベストプラクティスガイドでは、攻撃は機微情報を狙ったものであったと推測されます*13。
・Volt TyphoonとSalt Typhoonの関係性は、同一の中国の脅威アクターであること以外は不明です。

米財務省に対する攻撃

概要：2024年12月30日、中国の脅威アクターによる侵害行為について、上院へ財務省が通知を行いました*14。VPNを使用しないリモートアクセスツールの脆弱性を悪用した攻撃が、同年12月上旬に発覚し、イエレン長官（当時）など高官が侵害されたとの情報*15もあります。

関連の情報セキュリティ10大脅威項目：

3位：システムの脆弱性を突いた攻撃

5位：機密情報等を狙った標的型攻撃

7位：リモートワーク等の環境や仕組みを狙った攻撃

中国

概要：中国も他国の脅威アクターからの侵害行為が報告されています。報道は少ないものの、ベトナム政府の支援を受けるとされるAPT32（別名 OceanLotus）が、GitHub上のオープンソースセキュリティツールプロジェクトからマルウェアを中国のサイバーセキュリティ研究者にダウンロードさせ、バックドアを形成した事例*16が確認されています。

関連の情報セキュリティ10大脅威項目：

5位：機密情報等を狙った標的型攻撃

北欧・バルト三国

概要：北欧・バルト三国では、各国間をつなぐ通信用・電力用の海底ケーブルが、相次いで船舶によって破壊された事件*17が記憶に新しいでしょう。欧州委員会は12月25日に発生したケーブル破壊に関する共同声明で、ロシアの影響を指摘しています。

関連の情報セキュリティ10大脅威項目：物理破壊によるため該当なし

ポーランド

概要：大統領選挙を控えるポーランドでは、ロシアによる国民の買収に対抗するため、「選挙の傘（Parasol Wyborczy）」と呼ばれる選挙保護プログラムを立ち上げました*18。また、2024年12月には、ルーマニアの大統領選挙の第1回投票が、ロシアによる工作を理由に無効とされ、2025年に再投票が決定しています*19。

関連の情報セキュリティ10大脅威項目：情報セキュリティ10大脅威 2025の「組織」向け脅威では該当なし

イスラエルとその対抗勢力

イスラエルのガザ地区侵攻に伴い、以下のようなサイバー攻撃と思われる事件が発生しています。

イスラエル側の攻撃事例

ヒズボラのメンバーが使用していたポケットベルが、レバノンとシリアで同時に爆発した事件*20

イスラエル政府機関向けに監視ソフトウェアを開発する企業が作成したスパイウェアが、WhatsApp経由でジャーナリストなどをターゲットに展開された事件*21

ただし、イスラエルは国内企業に対してスパイウェアの開発・運営を公認しているなど、サイバー空間における倫理観が日本とは大きく異なるため、注意が必要です。

イスラエルへの攻撃事例

親パレスチナのハクティビストグループなどによる、イスラエル政府や重要インフラに対するDDoS攻撃*22

フェイクニュース、ランサムウェア攻撃、ICSへの攻撃などを含む、イランによる対イスラエル・サイバー攻撃キャンペーン*23

関連の情報セキュリティ10大脅威項目：

1位：ランサムウェア攻撃による被害

5位：機密情報等を狙った標的型攻撃

8位：分散型サービス妨害攻撃（DDoS攻撃）

注：
1)　本項では地政学をCritical geopolitics（批判的地政学）という地理学の一分野のうちの popular geopolitics に相当するものとして取り扱う。Popular geopoliticsについての定義は次のURLなどを参照。
・https://pmc.ncbi.nlm.nih.gov/articles/PMC7315930/
・https://www.e-ir.info/2018/09/16/plotting-the-future-of-popular-geopolitics-an-introduction/
2)　IPA からのプレスリリース（https://digitalpr.jp/r/103159）を参照。
3)　Lazarus GroupのサブグループであるAndarielがランサムウェア「Maui」や「Play」、「Lockbit2.0」を使用した例や、イランのAPTがNoEscape、Ransomhouse、ALPHVなどのランサムウェアアフィリエイトと協業したケース、APT10との関連が疑われるDEV-0401がランサムウェア「Lockbit2.0」を実行したケース、本文にあるイラン政府をスポンサーとする脅威グループがランサムウェア攻撃を行ったケースなどが挙げられる。
・https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-040a
・https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-241a
・https://jsac.jpcert.or.jp/archive/2024/pdf/JSAC2024_2_6_hayato_sasaki_jp.pdf
4)　警察庁の注意喚起、被害企業によるプレスリリースをもとに記載。
・https://www.npa.go.jp/bureau/cyber/pdf/020241224_pa.pdf
・https://www.ginco.co.jp/news/20250128_pressrelease
5)　ラップトップファームは、被害企業が発送したPCをホストする設備を指す。2024年8月8日に訴追されたケースでは、自宅を協力者がラップトップファームとして提供していた。
・https://www.justice.gov/usao-mdtn/pr/department-disrupts-north-korean-remote-it-worker-fraud-schemes-through-charges-and

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年3月12日（水）14:00～15:00
「サイバー攻撃に備えるために定期的な脆弱性診断の実施を！-ツール診断と手動診断の比較-」

2025年3月13日（木）11:00～12:00
「脆弱性診断、やりっぱなしになっていませんか？高精度診断と充実サポートでリスクを最小化〜サイバー保険で安心診断から守るまでを徹底解説〜」

2025年3月19日（水）13:00～14:00
「ランサムウェア攻撃の脅威～感染リスクを可視化する防御策の実践を紹介～」

最新情報はこちら

2025年2月28日2025年5月8日

脆弱性診断の基礎と実践！
手動診断とツール診断の違いを徹底解説　
第1回：手動診断のメリットとは？

Security NEWS TOPに戻る
バックナンバー TOPに戻る

脆弱性診断とは、システムやアプリケーション、ネットワークなどに潜むセキュリティ上の弱点（脆弱性）を特定する検査手法です。本記事は「脆弱性診断の基礎と実践」をテーマに全3回のシリーズのうちの第1回として、脆弱性診断の手法の一つである「手動診断」のメリットや適用すべきケースを解説します。

第2回「ツール診断のメリットとは？」はこちら

脆弱性診断とは？

脆弱性診断とは、システムやアプリケーション、ネットワークなどに潜むセキュリティ上の弱点（脆弱性）を特定する検査手法です。サイバー攻撃のリスクを最小限に抑えるために、企業が実施するべきセキュリティ対策の一つとされています。

セキュリティ対策としての脆弱性診断の重要性

近年、サイバー攻撃は巧妙化・多様化しており、企業のシステムやWebサービスが標的になるケースが増えています。攻撃者は、脆弱性を悪用して不正アクセスを試みたり、情報を窃取したりするため、事前に脆弱性を発見し、適切な対策を行うことが重要です。特に、以下の理由から脆弱性診断の実施が推奨されています。

データ漏えいの防止：個人情報や機密データの流出を防ぐ
サービスの継続性を確保：システム停止や改ざんを未然に防ぐ
法令・ガイドラインの遵守：情報セキュリティに関する規制対応（ISMS、NIST、PCI DSS など）
企業の信頼性向上：セキュリティ対策の強化によるブランド価値の維持

脆弱性診断の一般的な手法

脆弱性診断には、主に以下の2つの手法があります。

1.ツール診断（自動診断）

脆弱性診断ツールを使用し、自動でシステムのセキュリティをチェック
短時間で広範囲を診断でき、コストを抑えやすい
ただし、誤検出や一部検査できない項目もある

2.手動診断（セキュリティエンジニアによる診断）

専門家がシステムの動作やコードを解析し、精密な診断を行う
網羅的な範囲での診断ができる
高精度な診断が可能だが、コストと時間がかかる

このように、脆弱性診断は企業のセキュリティ対策の基盤となる重要な取り組みであり、ツール診断と手動診断を適切に組み合わせることで、より効果的な対策が実現できます。

手動診断とは？

手動診断とはセキュリティエンジニアがツールを活用し、システムやアプリケーションの脆弱性を調査・分析する診断手法です。一般的な診断ツールでは検出しにくい複雑な脆弱性や攻撃手法にも対応できるため、より高精度な診断が可能になります。

手動診断の一般的な実施プロセス

手動診断の一般的な実施プロセスは以下のとおりです。

1.事前調査・ヒアリング

対象システムの構成や使用技術、セキュリティ要件を確認
想定される脅威シナリオの洗い出し

2.情報収集

システムの公開情報や利用可能なエントリポイントの特定
OSやミドルウェア、アプリケーションのバージョン情報を分析

3.手動テスト・脆弱性の特定

システム固有の処理に基づく攻撃シナリオの検証
ツールでは検出が難しい脆弱性（例：権限昇格、認証回避、APIの悪用）の発見

4.診断結果の分析とレポート作成

発見された脆弱性のリスク評価（重大度の分類）
具体的な対策案を含めたレポート作成

5.フィードバックと改善提案

お客様に診断結果を共有し、改善策を提案。必要に応じて再診断を実施

手動診断のメリット

手動診断を実施するメリットは、特に以下の3つの点があります。

1.高精度な診断が可能（ツール診断では見落としがちな脆弱性も発見できる）

自動ツールでは検出が難しい複雑な脆弱性やシステム固有のセキュリティリスクを特定できるのが、手動診断の大きな強みです。ツール診断はパターンマッチングやシグネチャベースでの診断が主ですが、手動診断では環境に応じた柔軟なテストが可能です。例えば、認証バイパスや権限昇格などの一部の脆弱性は、手動診断でないと見つけにくいケースが多くあります。

2.システム固有の処理を考慮した診断が可能（攻撃者視点でのリスク分析）

攻撃者がどのような手法でシステムを侵害できるかを想定し、システム固有の脆弱性を考慮した診断が可能です。例えば、Eコマースサイトでは、カート機能を悪用した決済の不正操作、ログイン処理の回避、注文金額の改ざんなどのシステム固有の処理に存在する脆弱性が狙われます。このような攻撃パターンは、ツールでは自動検出が困難です。企業のシステムに対する実際の攻撃手法を再現し、攻撃者視点でリスクを洗い出すことで、より実践的な対策が可能になります。

3.診断結果の詳細なレポートと具体的な改善策の提示

手動診断では、単に脆弱性の有無を報告するだけでなく、診断結果の詳細な分析と、具体的な改善策の提案が可能です。

脆弱性のリスク評価
発見された脆弱性に対して、攻撃が実際に実行された場合の影響度を評価し、対応の優先度を明確にします。これにより、企業がどの対策を優先すべきか判断しやすくなります。
システムに適した改善策の提案
対象システムの構造や運用に最適な対応策を提示できます。
組織のセキュリティレベル向上に貢献
診断後のレポートを活用することで、企業の開発・運用チームがセキュリティ意識を高め、今後のリスク管理をすることに役立ちます。

セキュリティエンジニアによる分析の重要性

手動診断が有効な理由は、セキュリティエンジニアの専門知識と攻撃者視点の分析が加わることで、より実践的な脆弱性の発見が可能になるためです。コストや時間がかかるものの、企業の重要なシステムや高度なセキュリティ対策が求められる環境では、不可欠な診断手法といえます。

手動診断が適しているケース

手動診断は特に以下のケースで実施が推奨されます。

1.Webアプリケーションやシステムの重要な部分を診断したい場合

企業の基幹システムやWebアプリケーションは、ビジネスに直結する重要な資産であり、セキュリティの脆弱性が重大な被害につながる可能性があります。手動診断を行うことで、攻撃者の視点から脆弱性を洗い出し、リスクを最小限に抑えることができます。ミッションクリティカルなシステム（決済システム、顧客管理システム（CRM）、医療情報システム）など、情報漏えいや不正アクセスの影響が大きいシステムにも最適です。

2.ツール診断では対応できない複雑な脆弱性を特定したい場合

ツール診断は一般的な脆弱性をスキャンするのに適していますが、攻撃者が巧妙に悪用するような複雑な脆弱性の検出には限界があります。手動診断では、ツールでは見つけられない高度な攻撃パターンを想定して診断を行うことができます。

ツール診断では発見しにくい脆弱性の例
・システム固有の処理の不備（例：注文金額の改ざん、認証バイパス、不正送金）
・認証・認可の欠陥（例：権限昇格、APIの不正利用、セッション管理の不備）
・ゼロデイ攻撃のリスク評価（ツールでは未知の脆弱性を検出できない）
手動診断が有効なケース
・ツール診断の結果に基づき、より詳細な調査が必要な場合
・重大な脆弱性が懸念されるシステムで、ツールの誤検出や見落としが心配な場合

3.企業独自のシステムに合わせたセキュリティ診断が必要な場合

標準化された診断ツールは、広く一般的な脆弱性を検出するのに適していますが、企業が開発した独自システムの仕様に依存する一部の脆弱性の検出はできません。手動診断では、個々の企業システムに合わせた診断も可能です。

特定の業界や業務フローに依存するシステム
・金融機関のオンラインバンキングシステム
・ECサイトのカート・決済フロー
・医療機関の電子カルテシステム
企業のポリシーに基づいたカスタム診断
・企業独自のセキュリティ要件に基づいた診断が可能
・企業の内部プロセスを考慮したセキュリティ評価ができる

手動診断を実施する際の注意点

手動診断を実施する際にはいくつかの注意点があります。特に、コストや診断期間の確保について事前に理解しておくことが重要です。

1.コストが高くなる傾向がある

手動診断は専門のセキュリティエンジニアが個別に対応するため、ツール診断と比較してコストが高くなりやすいという特徴があります。なぜコストが高くなるのでしょうか。

エンジニアの専門知識と経験が必要
・セキュリティの専門家がシステムの構造や処理を分析し、最適な攻撃シナリオを考慮するため、人件費がかかる。
診断範囲に応じた工数が発生
・大規模なシステムや複数のアプリケーションを対象にする場合、診断工数が増え、それに伴いコストも上昇。
カスタム診断が必要な場合は追加費用が発生
・企業独自のシステムや特殊な環境（IoT、クラウド環境、APIなど）の診断には、標準的な診断手法ではカバーできないケースがあり、追加費用が必要になることも。

2.診断に時間がかかる（スケジュールの確保が必要）

手動診断は、対象システムの規模や複雑さに応じて診断期間が長くなる傾向があります。企業の規模によっては数週間～数か月程度かかる場合もあるため、診断を実施する際は、事前に十分なスケジュールを確保することが重要です。

まとめ

手動診断はセキュリティエンジニアがツールを活用し、システムやアプリケーションの脆弱性を調査・分析する診断手法です。診断結果はレポートとして具体的な改善策を提示し提供されるため、企業のセキュリティレベル向上に貢献します。ただし、コストが高く、診断には時間がかかるため、ツール診断と組み合わせることで、効率的かつ精度の高いセキュリティ対策が可能になります。企業のシステムやWebアプリの重要な部分を守るためには、ツール診断と手動診断を上手く組み合わせて実施することが有効です。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

―第2回「ツール診断のメリットとは？」はこちら―
―第3回「手動診断とツール診断、どちらを選ぶべきか？最適な診断方法の選び方」はこちら―