#セキュリティ

2025年6月27日2025年6月30日

【第1回】「OWASP Top 10とは？アプリケーションセキュリティの基本を押さえよう」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

近年、Webアプリケーションを狙ったサイバー攻撃が急増しており、企業にとってWebアプリケーションのセキュリティ強化は欠かせない課題となっています。その中で、世界中のセキュリティ専門家が指標として活用しているのが「OWASP Top 10」です。

今回は、Webアプリケーションの代表的な脆弱性をまとめた「OWASP Top 10」を通じて、基本的なセキュリティ知識を深め、企業での対策に活かすことを目的とし、背景から各脆弱性カテゴリの説明、実例、対策方法までを全3回のシリーズに分けて解説します。

contents

OWASPとは

OWASP（Open Worldwide Application Security Project）は、ソフトウェアのセキュリティ向上を目的とした国際的な非営利団体です。開発者やセキュリティ専門家によって構成されており、セキュリティに関するツールやドキュメントなどを無償で提供しています。OWASPは中立かつオープンな立場から情報を発信しており、多くの企業や政府機関がそのガイドラインを信頼し、採用しています。

OWASP Top 10とは

OWASP Top 10は、Webアプリケーションにおける代表的なセキュリティリスクをランキング形式でまとめたもので、最も重要な10の脆弱性カテゴリを示しています。このリストはおよそ3年ごとに更新されており、業界の最新動向や実際の脅威傾向を反映しています。このTop 10は、アプリケーション開発やセキュリティ教育、脆弱性診断の指針として世界中で活用されており、情報システム部門にとってはセキュリティの共通言語ともいえる存在です。

OWASP Top 10:2021概要

OWASP Top 10:2021で挙げられているリスクとその概要について、SQAT.jpでは以下の記事でも取り上げています。あわせてぜひご覧ください。
「OWASP Top 10―世界が注目するWebアプリケーションの重大リスクを知る―」

以下は、2021年に発表された最新版のOWASP Top 10のリストです。


項目番号	リスク名	概要
A01	Broken Access Control （アクセス制御の不備）	アクセス制御の不備により、本来アクセスできない情報や機能へアクセスされるリスク
A02	Cryptographic Failures （暗号化の不備）	暗号化の不備による機密情報の漏洩や改ざん
A03	Injection （インジェクション）	SQLインジェクションなど、外部から不正なコードを注入されるリスク
A04	Insecure Design （セキュアでない設計）	セキュリティを考慮しない設計により生じる構造的リスク
A05	Security Misconfiguration （セキュリティ設定のミス）	設定ミスや不要な機能の有効化に起因する脆弱性
A06	Vulnerable and Outdated Components（脆弱かつ古いコンポーネントの使用）	脆弱性を含む古いライブラリやフレームワークの使用
A07	Identification and Authentication Failures（識別と認証の不備）	認証処理の不備により、なりすましや権限昇格が発生する
A08	Software and Data Integrity Failures（ソフトウェアとデータの整合性の不備）	ソフトウェア更新やCI/CDの不備により改ざんを許すリスク
A09	Security Logging and Monitoring Failures（セキュリティログとモニタリングの不備）	侵害の検知・追跡ができないログ監視体制の欠如
A10	Server-Side Request Forgery (SSRF)（サーバサイドリクエストフォージェリ）	サーバが内部リソースにアクセスしてしまうリスク

出典：OWASP Top 10:2021より弊社和訳

各リスク項目の代表的な脅威事例


項目番号	実例企業・事例	概要
A01	Facebook (2019)	他人の公開プロフィールがIDの推測とAPI操作により取得可能だった*8
A02	Turkish Citizenship Leak(2016)	暗号化されていなかったデータベースから約5,000万人の個人情報が流出*9https://arxiv.org/abs/1605.05847
A03	Heartland Payment Systems (2008)	SQLインジェクションにより1億件以上のクレジットカード情報が漏洩*10
A04	パスワードリセットの仕様不備（複数事例）	多くの中小サイトで、トークンなしにメールアドレス入力のみでリセット可能な設計が確認されている
A05	Kubernetes Dashboard誤設定事件（Tesla 2018）	管理用インターフェースが公開状態になっており、社内クラウドで仮想通貨マイニングに悪用された*11
A06	Equifax (2017)	古いApache Strutsの脆弱性（CVE-2017-5638）を放置していたことで1.4億件以上の個人情報が漏洩*12
A07	GitHub (2012)	認証処理の不備により、セッションを乗っ取られる脆弱性が悪用され、一時的にユーザが他人のリポジトリにアクセス可能に
A08	SolarWinds サプライチェーン攻撃（2020）	正規のソフトウェアアップデートにマルウェアが仕込まれ、多数の政府機関や企業を含めた組織に影響を与えた
A09	Capital One (2019)	AWS環境の不適切なログ監視により、Web Application Firewallの設定ミスから約1億600万人分の情報が流出*13
A10	Capital One (同上)	SSRF攻撃によりAWSメタデータサービスへリクエストが可能となり、内部資格情報を窃取された*14

企業はOWASP Top 10をどう活用すべきか

OWASP Top 10は、単なる「参考資料」ではなく、企業が自社のセキュリティ対策を体系的に見直すための実践的な指針として活用できます。以下に、企業の情報システム部門担当者等が実際に取り入れるべき活用方法を紹介します。

開発プロセスへの組み込み（セキュア開発）

アプリケーション開発において、設計段階からOWASP Top 10を参考にすることで、設計段階から脆弱性を防ぐ「セキュア・バイ・デザイン（Secure by Design）」の思想を組み込むことが可能です。とくにA04「Insecure Design」などはアプリケーション開発の初期段階での対策が鍵となります。

脆弱性診断の評価基準として

外部のセキュリティ診断会社や自社診断の基準としてOWASP Top 10を採用することで、リスクの見落としを防ぎつつ、業界標準の診断を実現できます。

セキュリティ教育・啓発資料として

企業の社員のセキュリティリテラシーを高めるため、開発者・インフラ管理者・経営層を含めたセキュリティ教育プログラムにOWASP Top 10を取り入れることも有効です。定期的な研修やハンズオン形式での演習と組み合わせることで、具体的な攻撃手法や防御策を理解しやすいため、セキュリティ意識の向上につながります。

OWASP Top 10はセキュリティ対策の出発点

OWASP Top 10は、Webアプリケーションの開発やセキュリティ対策に取り組む企業にとって、最も基本かつ重要な指標です。サイバー攻撃の多くは、実はこうした「基本的な脆弱性」から発生しており、OWASP Top 10で挙げられているリスクを理解することがリスク低減の第一歩になります。特に情報システム部門や開発チームは、OWASP Top 10を設計・開発・テスト・運用の各フェーズに取り入れ、継続的なセキュリティ対策を行う必要があります。また、社員へのセキュリティ教育や脆弱性診断サービスの評価基準としても有効活用することで、より実効性の高いセキュリティ体制を構築できるでしょう。

第2回では、API特有の脅威にフォーカスした「OWASP API Security Top 10」をご紹介します。APIを活用している企業にとって、見逃せない内容となっていますので、ぜひあわせてご覧ください。

―第2回「OWASP API Security Top 10とは？APIの脅威と対策を知ろう」へ続く―

【連載一覧】

―第2回「OWASP API Security Top 10とは？APIの脅威と対策を知ろう」―

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年6月27日2025年6月30日

ソーシャルエンジニアリング最前線
【第2回】実例で解説！フィッシングメールの手口と対策

Security NEWS TOPに戻る
バックナンバー TOPに戻る

本シリーズでは、「ソーシャルエンジニアリング最前線」として、2025年6月現在のフィッシングに代表されるソーシャルエンジニアリングに関する動向と企業・個人が取れる対策をまとめます。第2回はつい先日まで世間を騒がせていたフィッシングメールに関する考察と、メールに含まれるリンクに関する考察、個人でとれる対策をお届けします。

人の認知機能とフィッシングメール

第1回の記事にも書いた通り、ソーシャルエンジニアリング攻撃を仕掛けてくる犯罪者は人間の認知機能をついたフィッシングメールを送ってきます。今回は2025年春に問題となった証券口座不正アクセス・取引事件のときに送られてきた一つのフィッシングメールを例に挙げて解説します。

例からわかるポイントは以下の通りです。

A社からのメールを装うことで信頼感を上げようと試みている
A社は著名な証券会社なため、信頼を獲得し、メールの内容を信じ込ませる（=説得）のに重要な要素となっています

A社からのメールであることを冒頭で繰り返すことで、アンカリング効果（最初に提示された情報が以下に正しいか思いこませる効果）を狙っている
不安感や切迫感を所々で煽ることで認知機能の低下を促します。ここまでで肯定的にフィッシングメールを受け取る被害者に対して、ダメ押しで「よくある質問」を記載することで、確認バイアスを用いて最後の一押しをします

フィッシングメールに潜む危険：スマホでは見抜けない偽装手法とは

さて、例の中には3カ所、明らかにA社を騙ったものであることがわかる箇所があります。

送信元の名称は A 社なのに、B 社の送信専用メールアドレスが送信元として使用されている点
これはパソコンで閲覧した場合にはすぐにフィッシングだとわかる一つのポイントですが、スマートフォンでは送信元の名称しか表示できないでしょう

A社の正規のURLに見せかけた偽URL
スマートフォンの性質上、タップしてブラウザで開かない限りURLを確認することはできません。ブラウザで開いた場合でも攻撃者の用意した正規サイトにそっくりなログイン画面か、正規サイトのログイン画面そのものが表示されます

A社の問合せ電話番号を装ったフリーダイヤル
スマートフォンの場合、ここまでたどり着くのに何回もスワイプする必要があります。ここまでの内容を信じてしまった場合、フリーダイヤルの番号が異なることに気づくことは難しいのではないでしょうか

メールヘッダ情報で見抜くフィッシングメール

この他にもスマートフォンで確認するのが難しいフィッシングメールの正体に関連する情報があります。それはメールのヘッダ情報です。先ほど例に挙げたメールのヘッダ情報はこちらです。

Dmarc-SenderPolicy: reject
Authentication-Results-Original: (メールサービス); spf=pass
smtp.mailfrom=admin@(攻撃者が利用するドメイン); dkim=none header.d= header.b=; dmarc=fail
header.from=（B社のドメイン）

攻撃者が利用するドメインはトップレベルドメインの時点で B 社のドメインと異なるドメイン、つまりなりすましを行っていることがわかります。詳しく説明すると、下記のようになります。

Dmarc-SenderPolicy: reject
B社のDMARCレコード上、なりすましを拒否するよう指定されていることを明示

Authentication-Results-Original: (メールサービス); spf=pass
攻撃者のドメインのSPFレコードが参照され、PASSしている

dkim=none header.d= header.n=
攻撃者側にDKIMの署名がない

DMARC= fail header.from（B 社のドメイン）
B社のDMARC レコードに問題があるわけではなく、DMARCポリシーを参照したうえでなりすましなのでfail

【用語解説】
DMARC(Domain-based Message Authentication, Reporting, and Conformance)…メールソフトで表示されるメールアドレスで検証する技術の一つ。日本国内は導入が滞っている組織が多い
SPF(Sender Policy Framework)…送信ドメイン認証の一つ。正規のサーバ/IPアドレスからの送信かどうかを検証するもの。ただし一部のなりすまし送信は検出せずPASSしてしまう
DKIM(DomainKeys Identified Mail)…署名対象の情報を検証する認証技術の一つ。ただし署名に使うドメインの指定が可能なため、単体での検証の回避が可能

未だにDMARCの実装が滞っている組織が多い関係で、SPF PASSで受信できるようポリシー設定が行われている場合が多く、これがこのメールの受信につながったとも考えられます。なお、この場合、B社には一切の通信が行われないため、B社でリアルタイムになりすましの悪用（ひいては自社のブランドイメージの毀損）に気付くことは困難です。DMARC認証を実装されている企業のはずなので、あとから「RUAレポート」と呼ばれる認証失敗のレポートでお気付きになるかもしれませんが、おそらく数多くのなりすましの被害に遭われているため、RUAレポートを確認して対策を行うのも非常に難しいのではないかと考えられます。

次に、この攻撃者が使っているインフラを調べてみましょう。攻撃者が利用しているドメインでは評価スコアが検索できないため、送信元のIPアドレスで評価を確認しました。すると、とあるクラウドサービス事業者にたどり着きました。クラウドサービス事業者のインフラ上でWebページなどを公開している場合はWebページのコンテンツからサービスのカテゴリがわかることもありますが、コンテンツはどうやら存在しないようです。Whois　注 1)への登録がないこともわかりました。評価スコアをドメイン名で検索できなかったのはこれが原因でしょう。また、DNS lookup　注 2)も正引き・逆引きともに正しく動作していないことがわかっています。このIPアドレスを通して送信されているメールは27のIPアドレスからのメールのようで、2025年5月は主にゴールデンウィーク明け以降、5月末まで送信があったようですが、2025年6月はどのIPアドレスからもメールが送信されていないようでした。ただし、このIPアドレス群の評価スコアは中立または良好となっているため、攻撃が再開した際に再び悪用される可能性もあります。

ここまででわかったことをまとめると以下の通りです。

スマートフォンで確認することが難しいメールのヘッダ情報には攻撃者の情報が含まれています

一見B社のメールアドレスからの送信のように見えますが、実際はなりすましメールであり、B社がなりすましの悪用に気付くことは困難です

B社はDMARCの実装を行っている分、ある意味B社も被害者といえるでしょう

攻撃者はクラウドサービスを利用することで攻撃インフラの流動性を高めている可能性があります

金融庁の2025年6月5日付発表資料では、すでに不正アクセス件数は減少傾向に転じている　注 3)ことから、このIPアドレス群からのフィッシングメールの送信はいったんは止まる可能性が高いと考えられますが、今後の再悪用の可能性は否定できません。

フィッシングメールに使われる偽リンクの見分け方とは

次に本文内のリンクです。本文内のリンクはA社のオンラインサービスのログインページに見せかけたURLになっていますが、実際はC社の偽のログイン画面が表示されるようになっていました。ここで注意が必要なのは以下の2点です。

攻撃者は C 社のログイン画面偽装するか、をブラウザ上に表示することができます

現状、多くの証券会社が実装しているログイン方法であれば、攻撃者はログイン情報をすべて取得できるようになっています

この手法は攻撃者中間攻撃（Attacker in the Middle、略称 AiTM）と呼ばれるもので、パスワードのみの認証はもちろん、多要素認証が有効な場合でもSMSやAuthenticatorアプリの利用であれば、時間ベースのワンタイムパスワード（TOTP）に加えてC社のサービスへのアクセスに使用するセッション情報も盗み取るものです。

攻撃者中間攻撃（AiTM）の仕組み

AiTMは被害者のふりをして C 社のサービスへのアクセスに必要な情報を盗み取ったうえで、不正アクセスを行います。この際、Authenticator アプリや SMS 認証がAiTMに対して脆弱であるのは、認証の成功がセッション情報（セッションクッキーやトークン）に紐づくところにあります。

サービスによってはセッションを盗用されたところで大した被害は出ないケースもありますが、経済的に大きな打撃をユーザにもたらす可能性があるサービスについては、リスク管理の観点からもAiTMに耐性のある認証方式　注 4)注 5)の実装が求められるところです。

ブロードバンドセキュリティ（BBSec）ではAiTMのモデルをもとにしたペネトレーションテストなども承っています。

今回のケースでは不幸中の幸い？でA社のメールアドレスのなりすましではなくB社のメールアドレスのなりすまし、かつA社のサイトへのAiTMではなくC社のサービスへのAiTMだったため、ログインの前に気付かれたケースも多いのではないかと思います。しかし、A社のログイン画面、A社のメールアドレスのなりすましの場合であれば、最初に提示された情報から信頼度は揺るぐことがなく、多くの人が被害に遭った可能性も高いのではないでしょうか。

フィッシングメールが仕掛けるマルウェア感染のリスク

今回例に挙げたフィッシングメールは偽サイトへの誘導目的のフィッシングメールでしたが、未だにマルウェアのダウンロードを目的としたフィッシングメールも盛んに送られています。マルウェアの展開を目的としている場合、以下の3種類の経路が考えられます　注 6)。

メールへの添付ファイル経由

リンク経由
昨今見られるのはオンラインストレージ経由のものやマルバタイジングと呼ばれる悪意ある広告経由のものです

SNSアカウントやGitHubのレポジトリなどの会社外のチャンネル経由
例として北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」による暗号資産関連事業者へのサイバー攻撃　注 7)が挙げられます

個人でできるフィッシングメールの基本的な対策

フィッシング対策協議会では個人ユーザ向けに日ごろの習慣でフィッシングを回避するよう呼び掛けています　注 8)。

いつもの公式アプリ、いつもの公式サイト（ブックマーク）からのログインを

第1回の記事でも取り上げたように、何よりも効果的な対策は無意識のレベルで安全な行動が習慣となっていることです。ログインをするときは必ず公式アプリ、公式サイト（ブックマーク）からのログインをお願いします。また特に焦っているとき、注意力が落ちているときにはフィッシングメールの罠にかかりやすいので、いったんメールを閉じて処理の手を止めるのが良いでしょう。

【連載一覧】

―第1回「ソーシャルエンジニアリングの定義と人という脆弱性」―
―第3回「Non-Human Identities Top 10とは？自動化時代に求められる新しいセキュリティ視点」―

注：
1)　IP アドレス・ドメイン名などの所有者の検索サービスおよびプロトコルを指します。
2)　ドメイン名と IP アドレスを紐づけ得るための DNS サーバへの問合せを行うことを指します。正引き（ドメイン名から IP アドレスを問合せる）と逆引き（IP アドレスからドメイン名を問い合わせる）があります。
3)　金融庁「インターネット取引サービスへの不正アクセス・不正取引による被害が急増しています」(2025年6月6日閲覧),不正取引・不正アクセスに関する統計情報の表を参照
4)　米国NIST「SP 800-63B」では認証のレベルがAAL1から3まで定義されている。NIST「SP800-63」では提供するサービスの内容やリスクといったものと照らし合わせて身元保証・認証・フェデレーションのレベルを選択することが推奨されています。
5)　例えばパスキーやFIDO2対応のハードウェアキーのようにWebサイトのドメインと認証デバイスの紐づけにより、偽サイトでのログインが防止されるものを指します。（第3回記事で詳述します。）
6)　MITRE&ATTCK,Spearphishing Service,Spearphishing Attachment, Spearphishing Linkを参照。
7)　警察庁「北朝鮮を背景とするサイバー攻撃グループ TraderTraitor による暗号資産関連事業者を標的としたサイバー攻撃について」(2024年12月24日公開)株式会社Ginco「当社サービスへのサイバー攻撃に関するご報告」(2025年1月28日公開)
8)　フィッシング対策協議会,フィッシングとはより

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年7月2日（水）13:00～14:00
「いまWeb担当者が知るべきプライバシー対応と情報セキュリティ-プライバシー保護規制と進化するサイバー攻撃手法への対応-」

2025年7月16日（水）14:00～15:00
「進化するランサムウェア攻撃-国内最新事例から学ぶ！被害を防ぐ実践ポイント10項目を解説-」

2025年7月23日（水）14:00～15:00
「急増するフィッシング攻撃の実態と対策〜企業を守る多層防御とは〜」

最新情報はこちら

2025年6月23日2025年6月24日

Qilinランサムウェア攻撃の実態と対策：Fortinet脆弱性の悪用を解説

Security NEWS TOPに戻る
バックナンバー TOPに戻る

昨今、Qilin（キリン）ランサムウェアによる攻撃が世界中で大きな話題となっています。特にFortinet製のネットワーク機器を標的とした攻撃は、企業や公共機関に甚大な被害をもたらしており、セキュリティ業界では警戒感が高まっています。本記事では、Qilinの攻撃手法や被害事例、そして企業が今すぐ取り組むべき対策について、詳しく解説します。

contents

お問い合わせ

お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。

世界中で猛威を振るうランサムウェアグループQilinの概要と被害事例

Qilinは2022年8月ごろから活動を開始したとされる脅威グループで、Fortinet製品の複数の重大な脆弱性を悪用して侵入を試みます。Bleeping Computerの最新報道によれば、2025年6月時点で310件以上の被害がダークウェブ上のリークサイトで公表されているとのことです。被害を受けた組織の中には、中国の自動車部品大手や米国の出版大手、豪州の裁判所サービス局など、グローバルに名だたる企業や機関が名を連ねています。

英国における医療機関への攻撃と社会的影響

特に注目すべきは、英国の病理検査機関への攻撃でしょう。この事件では、ロンドンの主要なNHS病院にも影響が及び、数百件の診療や手術が中止に追い込まれました。医療現場が機能不全に陥る事態は社会全体に大きな衝撃を与え、ランサムウェア攻撃が単なるIT問題ではなく、人命や社会インフラにも直結する深刻な脅威であることを改めて浮き彫りにしました。

Qilinが悪用するFortinet脆弱性の詳細

PRODAFT Flash Alertの報告によれば、主にCVE-2024-21762およびCVE-2024-55591というFortiOSやFortiProxyの重大な脆弱性が悪用されています。これらの脆弱性は、CVSSスコアが9.6と極めて高く、米国CISAも「既知の悪用された脆弱性カタログ（KEV）」に追加し、連邦機関に対策を義務付けています。CVE-2024-21762は2025年2月に修正パッチが提供されていますが、The Shadowserver Foundationの調査によれば、未だに約15万台のデバイスが脆弱なまま運用されているという現状があります。

Qilinの攻撃手法と特徴

攻撃手法としては、FortiGateファイアウォールの脆弱性を突いて侵入し、部分的に自動化されたランサムウェア攻撃を展開するのが特徴です。Bleeping Computerの記事によれば、Qilinはスペイン語圏の組織を中心に攻撃を仕掛けているものの、今後は地域を問わず拡大する可能性が高いとされています。

日本国内での動向と匿名化された被害事例

日本国内でもQilinグループが、ある医療機関や製造業企業への攻撃をダークウェブ上で主張しているとの情報があります。公式な被害報告は現時点で確認されていませんが、今後も注意が必要です。なお、当該企業名はプライバシー保護の観点から匿名とさせていただきます。

企業が今すぐ取り組むべき対策

こうした状況を踏まえ、企業や組織が今すぐ取り組むべき対策について考えてみましょう。まずは、既知の脆弱性に対するパッチ適用を徹底することが最優先です。パッチ適用が遅れるほど、攻撃リスクが高まることは言うまでもありません。さらに、定期的なセキュリティ評価やネットワークの見直し、サプライチェーン全体のセキュリティ強化も欠かせません。CISAやThe Shadowserver Foundationが警告しているように、最新の脅威情報の収集と共有も重要です。

まとめ：Qilinランサムウェア攻撃の教訓と今後の展望

最後に、Qilinランサムウェア攻撃の教訓として、「パッチ適用の徹底」「セキュリティ評価の定期的な実施」「サプライチェーン全体のセキュリティ強化」の3つが企業にとって不可欠な対策であることを強調しておきます。AIや自動化技術の進化によって攻撃手法も高度化している今、企業は常に最新の脅威情報をキャッチアップし、自社のセキュリティ体制を見直す姿勢が求められています。

【参考情報】

Bleeping Computer
https://www.bleepingcomputer.com/news/security/critical-fortinet-flaws-now-exploited-in-qilin-ransomware-attacks/
https://www.bleepingcomputer.com/tag/fortinet/

PRODAFT Flash Alert
https://industrialcyber.co/ransomware/forescout-details-superblack-ransomware-exploiting-critical-fortinet-vulnerabilities/
https://www.cybersecuritydive.com/news/superblack-ransomware-used-to-exploit-fortinet-vulnerabilities/742578/

CISA（既知の悪用された脆弱性カタログ）
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年6月25日（水）13:00～14:00
「リモートワークの落とし穴を塞ぐ！セキュリティ情報の効率的な収集法＆対策のポイント」

2025年7月16日（水）14:00～15:00
「進化するランサムウェア攻撃-国内最新事例から学ぶ！被害を防ぐ実践ポイント10項目を解説-」

最新情報はこちら

2025年6月17日2025年6月30日

ソーシャルエンジニアリング最前線
【第1回】ソーシャルエンジニアリングの定義と人という脆弱性

Security NEWS TOPに戻る
バックナンバー TOPに戻る

本シリーズでは、「ソーシャルエンジニアリング最前線」として、2025年6月現在のフィッシングに代表されるソーシャルエンジニアリングに関する動向と企業・個人が取れる対策をまとめます。第1回はソーシャルエンジニアリングの簡単な定義と、ソーシャルエンジニアリングで悪用される「人」にまつわる脆弱性をご紹介します。

contents

関連記事はSQAT.jpで公開中！こちらからご覧ください。
「ソーシャルエンジニアリングとは？その手法と対策」

ソーシャルエンジニアリングの定義

ソーシャルエンジニアリングは人間の心理や認知機能を悪用したハッキングの技法を指します。よく知られている手法にはフィッシングがありますが、このほかにも様々な手法があります（第3回で詳述します）。

人という脆弱性

ソーシャルエンジニアリングが成立する背景には人間の心理や認知機能の問題や属性による前提知識といった人間固有の脆弱性があります。

認知機能に関連する脆弱性

皆さんはこんな状態になったことはありませんか？

一点に注意が集中してしまい、周囲の情報を見落とす状態
多くの人がいる中で待ち合わせをしていて、待ち合わせの相手を探すことに集中した結果、別の知り合いから声を掛けられたことに気付かなかったことはないでしょうか。こういった状態はほかのときでも起こる可能性があります

複雑な作業を行う、大量の情報を処理するといったときについうっかり何かを見逃してしまう状態
一点集中の場合と似ていますが、処理の複雑性や情報の量との因果関係もあります

過大なストレスがかかったときに注意が緩んでしまう状態
例えば身内の不幸や自身の病気の発覚など、心的ストレスがかかる状態のときに注意が緩んでしまうことはあるのではないでしょうか

こういったときにソーシャルエンジニアリング攻撃の犠牲になりやすいといわれています。

「認知バイアス」という脆弱性

認知バイアスは人間が判断を行う際に、判断のプロセスを省略し、簡略的な手段で結論を導き出すことが原因で起こります。プログラミング言語でもそうですが、簡略的な手段で得る結果には一定のエラーが混在します。エラーを前提としたフォローアップの行動やエラーを前提とした安全策、対策が用意されていればよいですが、そのままの結果を用いることで大きなミスを生むことがあります。つまり認知バイアスはソーシャルエンジニアリング攻撃に対する脆弱性なのです。

認知バイアスにはソーシャルエンジニアリングに関連するものに限定しても以下のようなものがあります。


認知バイアスの種類	概要
フレーミング効果	情報の提示方法で判断がゆがめられる傾向
アンカリング効果	最初に提示された情報に強く影響され、その後の判断がゆがめられる傾向
確認バイアス	自身の信念・期待・希望を支持する情報を優先的に探し、解釈する傾向
自己奉仕バイアス	成功を自身の能力などの内的要因に、失敗を状況など外的要因に帰属させる傾向
エゴバイアス	特に経営層に見られる、自身の能力を過大評価しリスクを過小評価する傾向

攻撃者はこのような認知バイアスを悪用して、被害者の思考プロセスや意思決定を操作しようと試みるのです。

読者の皆さまも、普段から知識を身につけ意識を高めるために本記事を読まれているかと存じますが、残念ながら意識や一般的な技術知識のみでは必ずしも脆弱性を減少させない可能性があるともいわれています。これは実際には知識が不足しているケースが含まれるということもありますが、何よりも効果的な対策は無意識のレベルで安全な行動が習慣となっている必要があるとされているためです。

心理的側面に関連する脆弱性

認知機能に関連する脆弱性を踏まえたうえで、心理的側面からみた脆弱性をみてみましょう。

説得

被害者を攻撃者の意図通りに行動させるための手段でソーシャルエンジニアリングの核心的な概念ともいえます

権威性、信憑性しんぴょうせい、メッセージの質やアピール（文脈化、パーソナライゼーション、視覚的欺瞞ぎまん）によって被害者が説得されてしまうものです

なんらかの権限を持つ人や著名な企業に成りすますことで説得できることがわかっています

信頼と欺瞞

攻撃者は対面ではなくオンライン環境であることを踏まえたうえで、オンライン環境におけるユーザーの信頼レベルを悪用します

攻撃者は親しい人物や評判の高い人物を装うなどして信頼を築こうとします

感情

感情は行動変化に強い影響を与えるため、ソーシャルエンジニアリング攻撃で頻繁に悪用されます

不安感をあおったり、切迫感を演出したりすることで認知機能を低下させて攻撃の成功確率を高める場合、好奇心をあおることで秘密情報を聞き出す場合などがあります

態度と行動

計画行動理論のような人間の行動を予測する心理学モデルの要素が悪用されうる側面を刺します

個人の性格特性、リスク認識、自己効力感、オンライン習慣がセキュリティ行動や攻撃に対する感受性に関連する可能性があるとされています

リスク認識と疑念

オンライン脅威に対するリスク認識が高いほど脆弱性が低下する可能性があります

説得の兆候を検出する能力や疑念を持つ姿勢が必ずしも被害を防げない場合もあります

属性に関連する脆弱性

以下の2属性は、比較的他の要因との組み合わせで脆弱性に影響を与える可能性があるとされています。

年齢

文化

―第2回「実例で解説！フィッシングメールの手口と対策」へ続く―

【連載一覧】

―第2回「実例で解説！フィッシングメールの手口と対策」―
―第3回「Non-Human Identities Top 10とは？自動化時代に求められる新しいセキュリティ視点」―

【参考情報】

Rosana Montanez, Edward Golob,Shouhuai Xu (2022),”Human Cognition Through the Lens of Social Engineering Cyberattacks”,2025年6月5日閲覧, https://www.frontiersin.org/journals/psychology/articles/10.3389/fpsyg.2020.01755/full

Murtaza Ahmed Siddiqi,Wooguil Pak, Moquddam A. Siddiqi(2022),”A Study on the Psychology of Social Engineering-Based Cyberattacks and Existing Countermeasures”,2025年6月5日閲覧, https://www.mdpi.com/2076-3417/12/12/6042

Udochukwu Godswill David, Ayomide Bode-Asa (2023),”An Overview of Social Engineering: The Role of Cognitive Biases Towards Social Engineering-Based Cyber-Attacks, Impacts and Countermeasures”,2025年6月5日閲覧, https://www.researchgate.net/publication/376450802_An_Overview_of_Social_Engineering_The_Role_of_Cognitive_Biases_Towards_Social_Engineering-Based_Cyber-Attacks_Impacts_and_Countermeasures

Martin Lee, Cisco Talos Blog: The IT help desk kindly requests you read this newsletter, May 8, 2025

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年6月25日（水）13:00～14:00
「リモートワークの落とし穴を塞ぐ！セキュリティ情報の効率的な収集法＆対策のポイント」

2025年7月16日（水）14:00～15:00
「進化するランサムウェア攻撃-国内最新事例から学ぶ！被害を防ぐ実践ポイント10項目を解説-」

最新情報はこちら

2025年6月13日2025年6月16日

“攻撃者の格好の標的”から外す！中小企業のサイバーセキュリティ-中小企業が狙われるサプライチェーン攻撃とサイバーセキュリティ強化術-

Security NEWS TOPに戻る
バックナンバー TOPに戻る

中小企業はサイバー攻撃者の格好の標的とされることも多く、特にサプライチェーン攻撃で狙われるリスクが高まっています。そこで、自組織におけるリスクの可視化やセキュリティ対策の定期的な見直しをすることが重要です。本記事では中小企業のサイバーセキュリティの現状やそれによって起こり得る影響、サプライチェーン攻撃の事例を踏まえ、効果的なセキュリティ対策と見直しのポイントを解説します。

ペネトレーションテストの有効性やシナリオ解説をまとめたホワイトペーパーを公開中！以下のリンクから無料でダウンロードいただけます。
記事はこちら

contents

中小企業のサイバーセキュリティの現状

昨今、中小企業のサイバーセキュリティ対策に注目が集まっています。中でも、大手企業が取引先に求める安全性が、サプライチェーン全体へと波及し、サプライチェーン攻撃が大きな問題となっています。その要因には、日本の企業の約9割が中小企業であり*2、大企業の関連会社、取引先企業を含め多くを中小企業が占めているという点が挙げられます。

認識と実態のギャップ

日本商工会議所の調査では、「十分に対策している」「ある程度対策している」と回答した企業は86％と高い水準で、回答した企業のほとんどが「自社は対策している」と考えているようです。しかし、実際に行われているセキュリティ対策の内訳をみると、「ウイルス対策ソフト」（90.1％）、「ソフトウェアの定期的なアップデート」（72.6％）が中心で、「社内教育」、「セキュリティ診断」、「訓練」などといった専門的な対策については、いずれも30％以下にとどまっています。本来であれば十分な対策をしていると言えるのは、専門的な対策まで実施して言えるものです。この認識と実態のギャップが、サプライチェーン全体の脆弱性を生み、取引先への被害連鎖を招くリスクを高めています。

ここまで中小企業のサイバーセキュリティの現状と対策の実施状況についてご紹介しました。では、サイバー攻撃の標的となった場合、中小企業に与える影響とはどのようなことがあるのでしょうか。

サイバー攻撃が中小企業に与える影響

中小企業のサイバーセキュリティ対策が不十分だと、自社だけでなくサプライチェーン全体に深刻な影響が及びます。IPA（独立行政法人情報処理推進機構）「2024年度中小企業等実態調査結果」（速報版／2025年2月公開）によれば、調査対象の中小企業の約70％が「自社のサイバーインシデントが取引先事業に影響を与えた」と回答しています。自社だけでなくサプライチェーン全体を見据えた取り組みをしないと、連鎖的に被害が拡大し、取引先企業の業務停止や企業の信用失墜、最悪の場合は損害賠償請求にまで発展するケースも少なくありません。

サプライチェーンで狙われる中小企業

セキュリティ対策が手薄な関連企業や取引先企業を経由して、標的とする企業へ不正侵入をする「サプライチェーン攻撃」が急増しています。IPA「情報セキュリティ10大脅威 2025（組織編）」でも「サプライチェーンや委託先を狙った攻撃」が2位にランクインしています。

サプライチェーン上には攻撃者にとって魅了的な、機密情報、知的財産、顧客データなどが流れ、中小企業が格好の標的になりがちです。中小企業が狙われる要因として、攻撃者の最終的なターゲットとなりうる大手企業とつながりがあることや、予算や人材不足などの制約によってセキュリティ対策が不十分になりがちなことなどが挙げられます。

サプライチェーン管理で陥りがちな落とし穴

サプライチェーンでは、以下のような課題が連鎖的な脆弱性を生み出します。

リモートワーク環境下などで委託先のセキュリティ状況が可視化できず、実態が把握できない

セキュリティ基準や管理体制が統一されず、企業間で対策レベルに大きな格差が発生

人材や予算が限られる中小企業では、セキュリティ対策が後回しになりがち

こうした課題が積み重なると、委託先の一つの企業で発生したインシデントが再委託先まであっという間に波及し、大企業を含むサプライチェーン全体が火だるまとなり得ます。そのため、中小企業のサイバーセキュリティ対策には、関係先を含めた統一ルールと継続的な情報共有が不可欠です。

サプライチェーン攻撃の事例

2023年11月27日、メッセージアプリ提供会社が、自社サーバへの不正アクセスでメッセージアプリに関するユーザ情報・取引先情報、従業者情報等が漏洩したことを公表しました。

発端は、同社と関係会社が共用する委託先業者の従業員PCがマルウェアに感染し、共通認証基盤を経由してメインシステムに侵入されたことです。共通の認証基盤で管理されているシステムへネットワーク接続を許可していたことから、同社のシステムに不正アクセスされました。（下図参照）

この事例から関係会社との認証基盤の共有や、ネットワークアクセス管理、委託先業者の安全管理など、セキュリティ対策、見直しを行うべきポイントが浮き彫りになり、中小企業でも委託先の安全管理の甘さが同様の被害を招く可能性が示されました。委託先業者の安全管理は委託先業者の責任とせずに、自社のセキュリティの一角と認識して対応することが重要です。

中小企業のサイバーセキュリティ対策

中小企業のサイバーセキュリティ強化には、自社だけでなくサプライチェーン全体での取り組みが不可欠です。

サプライチェーン全体への取り組み

サプライチェーン全体では、次の3点を定期的に確認しましょう。

サプライチェーン上の各企業におけるセキュリティ状況の把握（アンケート調査等の実施）

サプライチェーン上にセキュリティ水準の異なる企業があるか確認

サプライチェーン上の企業間における重要情報の定義と取り扱い方法の取り決め実施

ポイントは、常に自社/自組織が当事者であるという姿勢です。以下のような基本的な対応がとられているか、今一度ご確認いただくことをおすすめします。

自社・自組織での基本的な取り組み

自社/自組織のセキュリティ状況の把握と対策

取引先/委託先のセキュリティ対策状況の監査

使用しているソフトウェアに関する脆弱性情報のキャッチアップ　等

また、以下のガイドラインもあわせて参照することを推奨します。
経済産業省商務情報政策局サイバーセキュリティ課
「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引Ver.1.0」
「OSS の利活⽤及びそのセキュリティ確保に向けた管理⼿法に関する事例集」

「SBOM （Software Bill of Materials）」について、SQAT.jpでは以下の記事でご紹介しています。こちらもあわせてご覧ください。
「脆弱性管理とIT資産管理-サイバー攻撃から組織を守る取り組み-」

まとめ：今すぐ自組織のセキュリティ対策の見直しを！

中小企業のサイバーセキュリティ強化は、自社だけでなく取引先や委託先を含むサプライチェーン全体での取り組みが欠かせません。まずは以下のステップを実践して被害のリスクを最小化しましょう。

現状把握：年1回以上の脆弱性診断やペネトレーションテストで、自社システムのリスクを可視化

サプライチェーン調査：アンケートや監査で取引先のセキュリティ水準を確認・格差を是正

自社・自組織のルールの策定：重要情報の定義と取り扱い方法を取引先と合意・文書化

外部の専門家活用：ガイドラインを参照し、第三者レビューで対策の網羅性を担保

継続的な見直し：四半期ごとに状況を更新し、セキュリティ運用を見直す

サプライチェーン関連記事はSQAT.jpで公開中！こちらからご覧ください。
「サプライチェーンとは-サプライチェーン攻撃の脅威と対策1-」
「事例から学ぶサプライチェーン攻撃-サプライチェーン攻撃の脅威と対策2-」
「サプライチェーン攻撃への対策 -サプライチェーン攻撃の脅威と対策3-」

過去のウェビナー再配信に関するお問い合わせはこちら

セキュリティ対策は専門家に相談を

サイバー攻撃手法は日々更新されており、どんなにセキュリティ対策を実施していても自組織のみではインシデントの発生を防ぎきれないのが実情です。自システムのリスク状況の把握には、脆弱性診断の実施がおすすめです。また、サイバー攻撃への備えとして、セキュリティ対策の有効性の確認には信頼できる第三者機関の活用をおすすめします。

脆弱性診断

脆弱性診断のより詳しい診断手法や実践ポイントをまとめたホワイトペーパーを公開中！以下のリンクから無料でダウンロードいただけます。
記事はこちら

脆弱性とは…
・外部からアクセスできる箇所に攻撃の起点として悪用され得る脆弱性や設定の不備が存在しないかどうかを確認することも重要。その際に有効なのが「脆弱性診断」
・攻撃者はシステムの脆弱性を突いて侵入を試みるため、診断によって脆弱な領域を洗い出し、優先度に応じた対策を講じる。診断は、定期的に実施するだけでなく、システム更改時にも必ず実施することが推奨される。
【参考記事】
「拡大・高度化する標的型攻撃に有効な対策とは―2020年夏版」
「侵入」「侵入後」の対策の確認方法

ペネトレーションテスト

ペネトレーションテストとは…
・ペネトレーションテストとは、脆弱性診断の結果、見つかった脆弱性を悪用して、システム・ネットワークへの不正侵入や攻撃が本当に成功するのかを検証することができるテスト手法のひとつ
・重要インフラ15分野では、内部監査と並んで情報セキュリティ確保のための取り組みとして例示されている。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年6月18日（水）14:00～15:00
「侵入が防げない時代に選ぶべき脆弱性診断サービスとは？～実績・サポート・診断基準で比較する、最適な脆弱性診断の選び方～」

2025年6月25日（水）13:00～14:00
「リモートワークの落とし穴を塞ぐ！セキュリティ情報の効率的な収集法＆対策のポイント」

2025年7月16日（水）14:00～15:00
「進化するランサムウェア攻撃-国内最新事例から学ぶ！被害を防ぐ実践ポイント10項目を解説-
」

最新情報はこちら

2025年6月6日2025年6月25日

10 分では伝えきれなかった地政学リスク

Security NEWS TOPに戻る
バックナンバー TOPに戻る

本記事は2025年6月11日開催のウェビナー「DDoS攻撃から守る!大規模イベント時のセキュリティ -大規模イベント開催中に急増するDDoS攻撃の事例と防御策を解説-」のオープニングセッション「10分でわかる地政学リスク」のフォローアップコンテンツです。

本ウェビナーの再配信予定にご関心のある方はこちらからお問い合わせください。

次回のウェビナー開催情報はこちら

はじめに

下図は2025年5月下旬時点での主要な地政学リスクをあらわした世界地図です。

大きく分けると以下のように分類できるでしょう。

北朝鮮関連の問題

核ミサイル問題が原因となっている経済制裁と、経済制裁下で資金を調達するためのサイバー攻撃の実行

ロシアへのサイバー攻撃・物理的攻撃手段およびリソースの提供

中国関連の問題

海洋進出問題やアメリカとの対立など

ロシア関連の問題

ウクライナへの侵攻

対ヨーロッパへの干渉
東欧各国の選挙妨害
ヨーロッパに対するハイブリッド脅威

地域的な対立

インド・パキスタンのカシミール紛争

中東地域全体の不安定化

アフリカ地域の政情不安

アメリカと近隣各国の摩擦

この中で日本は北朝鮮・中国・ロシアと隣接しているという地理的要因を有しており、これが地政学リスクとなっています。

ハイブリッド脅威とは
ハイブリッド脅威とはハイブリッド戦争の一段階手前、武力攻撃と見なされない範囲で行われる多様な手段を組み合わせた脅威、もう少し簡単に言い表すと「戦争未満」の状態を指します。ヨーロッパに対するロシアのハイブリッド脅威では、以下のような複合的な作戦による脅威が形成されています。
・海底ケーブルの切断
・航空用GPS信号妨害
・メディアを通じたプロパガンダ活動
・DDoSから重要インフラへの攻撃まで、幅広いサイバー攻撃

地政学リスクと国際法

地政学リスクを背景としたサイバー攻撃は国境を越えて発生します。サイバー空間での窃盗や詐欺については、デジタル空間での匿名性や証拠の収集の限界、犯行地や犯行主体が海外に存在するといった場合の法執行上の制約があります。サイバー犯罪に関しては「サイバー犯罪に関する条約（ブダペスト条約）」がありますが、加盟国は限定的であり、今回地政学リスクの震源地に挙げた多くの国が非加盟国となります。このため、地政学的対立を背景とするサイバー犯罪・サイバー脅威については起訴に至っても、実際の身柄引き渡しや裁判の実行が不可能となるケースが多くあります。

このように個別の犯罪行為については一定の国際的枠組みがありますが、より広範なサイバー脅威については、タリンマニュアルというNATO（北大西洋条約機構）の専門機関が作成した、サイバー攻撃に関する国際法の適用について研究成果をまとめた文書があります。タリンマニュアル2.0（2017年公開）ではサイバー戦争（武力攻撃レベル）に加えて、サイバー戦争未満（武力攻撃レベル未満だが悪意があるサイバー行動）であるサイバー脅威も対象とすべきとされました。しかし、残念ながらタリンマニュアルは拘束力を持たない研究成果という位置づけの文書となっており、また、サイバー脅威についても具体的な拘束力を持った国際条約も存在しません。仮にサイバー戦争が発生した場合には、既存の国際戦争法の体系で対処することになるでしょう。2025年5月現在、タリンマニュアル3.0が2021年から5か年計画で作成されていますが、近年のサイバー脅威の急激な変化や、国際情勢の変化もあるため、従来同様に国際社会に受け入れられるのか、またサイバー脅威やサイバー空間一般に関する国際的な取り組みが実施されるのかは、非常に不透明な状況です。

脅威アクター

脅威アクター（サイバー攻撃を行う主体）というと皆さんはどんなものを想像されますか？ランサムウェアグループ、国家が支援するサイバー攻撃グループ、連想されるものは様々挙げられます。

現在の脅威アクターは大きく分けると以下のように分けられます。

国家が関与・支援するサイバー攻撃者

主にスパイ行為や妨害行為をする

国によっては暗号資産窃取などもタスクに入っている場合がある

地域によっては海底ケーブルの切断や航空信号の妨害なども

サイバー犯罪組織

ランサムウェア、マルウェアなどを開発する開発者

DDoSや踏み台用のボットネット、C2 用インフラなどの提供者

Ransomware-as-a-Service(RaaS),Phishing-as-a-Service(PhaaS),Malware-as-a-Service(MaaS)などのサイバー犯罪のサブスクリプションサービス提供者

Initial Access Broker(初期アクセスブローカー、IAB)と呼ばれる、認証情報の販売業者

上記のサービスを組み合わせて利用するアフィリエイトなど

ランサムウェア攻撃一つでも、現在は開発者、インフラ提供者、RaaS、PhaaS、IABが提供するリソースをアフィリエイトが活用して実行しているケースが多くあります。場合によっては一つ目のランサムウェア攻撃に対してデータ流出の防止を目的に身代金を支払ったのに、別のランサムウェアグループからデータ流出で脅迫されるといったケースなどもみられます。

一方、国家が支援する脅威アクターはサイバー犯罪組織と関連がないように見えますが、実際はそうした脅威アクターがIABから認証情報を取得したと思われるケースや、踏み台用のボットネットを利用するケースなどもあります。国によっては一体的に運用されている場合や、技術人材の交流がある場合もあります。加えて、国によっては脅威アクターへの人材や活動環境、資金の換金場所を提供する合法的な「表」の組織が存在しています。

このように、数年前と現在とでは脅威アクターの細分化や連携などが行われているため、一つの手がかりから攻撃の全体像や攻撃に関わる全てのアクターを特定することは非常に困難です。

あなたの組織が脅威アクターに狙われる可能性

自組織が脅威アクターに狙われる可能性は、残念ながらゼロではありません。重要インフラではなくても、著名企業でなくても、狙われる可能性はあります。

可能性として考えられるものは以下のような場合です。

IABの持つ認証情報にあなたの組織の、個人情報や認証機構にアクセスできる権限を持った認証情報が入っていた場合

Non-Human-Identification（NHI）であればAPIキーなどの露呈がGitHubなどで発生している場合、人に属する認証情報であればフィッシングの被害に知らない間に遭っている場合が該当します。

いずれにしても気づかないうちに悪用されて、被害に遭ったあとに発覚することが多いことから、権限の割り当てを厳密に行うことや、内部検知の仕組みを実装するといった取り組みが必要となります。

【ご参考】
株式会社ブロードバンドセキュリティ
「サイバー防衛体制の強化のための新しいアプローチ「G-MDR^TM」を提案
～セキュリティ専門の「人材」と「最新テクノロジー」を統合的に提供～」

サプライチェーン攻撃

企業・組織で多く利用されているオープンソースソフトウェアを狙ったサプライチェーン攻撃で、自社が開発または利用するアプリケーションに、パッケージ経由でマルウェアが仕込まれてしまうケースが該当します。ケースとして考えられるのは以下になります。

開発者が使用しているパッケージと紛らわしい名称のパッケージ（実体はマルウェア）を誤って利用してしまうケース（タイポスクワッティング）

アプリケーションが使用する正規のパッケージが悪意のあるコントリビューターによってマルウェアに改悪されるケース

アプリケーションが直接使用しているパッケージそのものではなく、そのパッケージが依存している別のパッケージがマルウェアに汚染されているケース

誤って偽IT労働者を雇用してしまった場合

直接雇用していない場合でも、業務委託先が誤って雇用したことでマルウェアが仕込まれ、個人情報が漏洩するといった事案が発生することも考えられます。仮に直接雇用した場合、自社がサイバー攻撃の被害に遭う可能性はもちろんのこと、マネーロンダリングへの加担や外国為替及び外国貿易法違反に問われる可能性もあります。

また、あなた自身（個人）が狙われてしまうこともあり得ます。

偽の求人に応募した場合

従業員、もしくは読者の皆様が偽の求人に応募することで、採用プロセスの一環としてその場で至急指定されたコードの実行を要求され、実際に実行した場合にマルウェアに感染してしまうものです。結果として暗号資産をコールドウォレットから引き抜かれる、個人情報（主に認証情報）を窃取される、といった被害を受けるケースがあります。

マルウェアの感染からサプライチェーン攻撃を引き起こした結果、暗号資産交換所から資金が窃取された事件などがあり、複合的な影響の発生もありえるでしょう。

「【速報版】情報セキュリティ 10 大脅威 2025-脅威と対策を解説」

「北朝鮮によるソーシャルエンジニアリング攻撃~ソーシャルエンジニアリング攻撃とは？手口と脅威を解説」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年6月25日（水）13:00～14:00
「リモートワークの落とし穴を塞ぐ！セキュリティ情報の効率的な収集法＆対策のポイント」

最新情報はこちら

2025年6月2日2025年6月2日

2025年Q1のKEVカタログ掲載CVEの統計と分析

Security NEWS TOPに戻る
バックナンバー TOPに戻る

contents

お問い合わせ

お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。

はじめに

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）から公開されている「KEVカタログ（Known Exploited Vulnerabilities）」は、実際に攻撃に悪用された脆弱性の権威あるリストとして、組織のセキュリティ対策の優先順位付けに不可欠なツールとなっています。本レポートでは、KEVカタログに掲載された全データのうち2025年1月1日～3月31日に登録・公開された脆弱性の統計データと分析結果を紹介し、2025年4月以降に注意すべきポイントや、組織における実践的な脆弱性管理策について考察します。

KEVカタログ（Known Exploited Vulnerabilities）とは何か

KEVカタログ（Known Exploited Vulnerabilities）とは、米国政府機関CISA（Cybersecurity and Infrastructure Security Agency）が公開する、既に悪用が確認された脆弱性（CVE）を一元管理する公式リストです。企業や組織のセキュリティ担当者は、実際に攻撃者に狙われた脆弱性情報を優先的に把握できるため、限られたリソースでも迅速かつ効率的にパッチ適用や検知ルール整備といった対策を講じることが可能になります。カタログに登録される条件は、エクスプロイトコードやマルウェアによる実害が報告されたものに限られ、一般的な脆弱性情報よりも高い優先度で対応を進められる点が大きな特徴です。四半期ごとに更新される最新のデータを活用することで、組織はリアルタイムに変化する脅威状況に即応し、リスク低減を図ることができます。

概要 (2025年1月～3月に登録・公開されたKEVカタログ掲載CVE)

2025年第一四半期（1月1日～3月31日）にCISAの既知悪用脆弱性カタログ（Known Exploited Vulnerabilities, KEV）に新規追加されたCVEエントリは73件に上りました*32channele2e.comvulncheck.com。


CVE-2024-20439	CVE-2025-2783	CVE-2019-9875	CVE-2019-9874
CVE-2025-30154	CVE-2017-12637	CVE-2024-48248	CVE-2025-1316
CVE-2025-30066	CVE-2025-24472	CVE-2025-21590	CVE-2025-24201
CVE-2025-24993	CVE-2025-24991	CVE-2025-24985	CVE-2025-24984
CVE-2025-24983	CVE-2025-26633	CVE-2024-13161	CVE-2024-13160
CVE-2024-13159	CVE-2024-57968	CVE-2025-25181	CVE-2025-22226
CVE-2025-22225	CVE-2025-22224	CVE-2024-50302	CVE-2024-4885
CVE-2018-8639	CVE-2022-43769	CVE-2022-43939	CVE-2023-20118
CVE-2023-34192	CVE-2024-49035	CVE-2024-20953	CVE-2017-3066
CVE-2025-24989	CVE-2025-0111	CVE-2025-23209	CVE-2025-0108
CVE-2024-53704	CVE-2024-57727	CVE-2025-24200	CVE-2024-41710
CVE-2024-40891	CVE-2024-40890	CVE-2025-21418	CVE-2025-21391
CVE-2025-0994	CVE-2020-15069	CVE-2020-29574	CVE-2024-21413
CVE-2022-23748	CVE-2025-0411	CVE-2024-53104	CVE-2018-19410
CVE-2018-9276	CVE-2024-29059	CVE-2024-45195	CVE-2025-24085
CVE-2025-23006	CVE-2020-11023	CVE-2024-50603	CVE-2025-21335
CVE-2025-21334	CVE-2025-21333	CVE-2024-55591	CVE-2023-48365
CVE-2024-12686	CVE-2025-0282	CVE-2020-2883	CVE-2024-55550
CVE-2024-41713

この期間中に追加された脆弱性には、政府機関や企業に広く使われるソフトウェアやデバイスの深刻な欠陥が多数含まれています。CISAは「これらの脆弱性は悪意あるサイバー攻撃者による頻出の攻撃経路であり、連邦政府エンタープライズに重大なリスクをもたらす」と警鐘を鳴らしており*33cisa.gov、各組織に対し迅速な修正を促しています。KEVカタログへの追加は、実際に攻撃で悪用された証拠に基づいて行われるため、当該期間中に登録された脆弱性は現在進行形で脅威となっているものばかりです。

2025年Q1の登録件数トレンド

Q1単体で73件というKEV追加件数は、昨年までのペースと比べても非常に多い数字です。実際、2023年および2024年通年の追加件数は各約180件程度で推移していました*34cyble.com。単純計算で1四半期あたり45件前後のペースだったものが、2025年Q1は73件と約1.6倍に跳ね上がった形です。もしこのペースが年間を通じて維持されるとすれば、年間200件超はおろか300件近くに達する可能性もあり、前年までの安定推移を大きく上回る勢いです。

この増加傾向の背景としては、考えられる要因がいくつかあります。一つは攻撃側の活発化です。実際、別の調査では「2025年Q1に新たに公表された“悪用された脆弱性”は159件にのぼる」とする報告もあり*35vulncheck.com、脅威アクターが引き続き多数の新旧脆弱性を素早く攻撃に利用している状況が伺えます。もう一つは検知と公表の強化です。CISAやセキュリティ各社が脆弱性悪用の検知能力を高め、迅速に公表・警告する体制が整ってきたことで、KEVへの追加報告が増えている可能性もあります。いずれにせよ、今年は昨年以上に「既知の悪用脆弱性」が頻出している兆候であり、組織としてはこのペースに備えた体制強化が求められます。

なお、KEVの新規追加は年間を通じて均一ではなく、特定の時期に集中する場合もあります。2025年は年始こそ緩やかな増加でしたが、2月後半から3月にかけて急増した週もありました（例: 3月前半の1週間で7件追加されたとの分析もあります）。このように脆弱性の悪用動向は季節や攻撃キャンペーンの状況によって変動するため、常に最新情報をウォッチする姿勢が重要です。

ベンダー別登録状況

2025年Q1に新規追加されたKEV脆弱性をベンダー別に見ると、Microsoft製品の脆弱性が最も多く含まれていました。これは毎年の傾向でもあり、Windowsをはじめとする同社製品が広範に使われ攻撃対象になりやすいことを反映しています*36cyble.com。実際、1月にはMicrosoft WindowsのHyper-Vに関する未修正のカーネル脆弱性（Heap OverflowおよびUse-After-Free）が3件まとめて悪用確認されKEVに追加されました*37cisa.gov。また3月にはAppleのWebKitブラウザエンジンに起因するiPhone/iPad向けのゼロデイ脆弱性や、Juniper Networksのネットワーク機器OSの脆弱性が追加されており*38cisa.gov、Appleやネットワーク機器ベンダー（JuniperやCiscoなど）も上位に顔を出しています。

特に注目すべきはIvanti（旧Pulse Secure等を含む）とMitelの台頭です。Ivantiについては、VPNアプライアンス「Connect Secure」やエンドポイント管理製品「Endpoint Manager」など複数の製品で脆弱性が相次ぎ悪用されました。例えば1月にはIvanti Connect Secure（旧Pulse Connect Secure）の深刻なバッファオーバーフロー欠陥（CVE-2025-0282）が国家規模の攻撃で使われた可能性が浮上し、KEV入りしています*39cisa.gov。さらに3月にはIvanti Endpoint Manager（EPM）に存在するパストラバーサル脆弱性3件が追加されました*40thehackernews.com。Ivantiは2024年通年でも11件とMicrosoftに次ぐ数の脆弱性がKEV入りしており*41cyble.com、2025年も引き続き注意が必要なベンダーと言えます。

Mitel（通信機器メーカー）も昨年までKEV追加はごくわずかでしたが、2025年Q1には複数の脆弱性が一気に表面化しました。1月にはMitelの企業向けコラボレーション製品「MiCollab」の脆弱性が2件（認証不要のパストラバーサル[CVE-2024-41713]と管理者認証が必要なパストラバーサル[CVE-2024-55550]）追加され*42computing.co.ukcomputing.co.uk、3月にはMitel製IP電話（SIP Phone）の管理インターフェースにおけるコマンドインジェクション脆弱性[CVE-2024-41710]も加わりました*43securityaffairs.com。Mitelのような中規模ベンダー製品でも攻撃対象になる事例が増えており、「自社には関係ない」と見落とさないよう注意が必要です。

その他、VMware（仮想化ソフト）やFortinet（ファイアウォール）、Oracle（ミドルウェア）といったベンダーの脆弱性も複数登場しました。例えばFortinetのファイアウォールOSにおける認証バイパス欠陥*44cisa.govや、Oracle WebLogic Serverの過去の未修正RCE（2020年にパッチは提供済みだが未適用サーバーが狙われた）*45computing.co.ukがKEV入りしています。このように、上位はMicrosoftやAppleといった大手ですが、それ以外にも多彩なベンダーに攻撃が及んでいる点がQ1の特徴です。自組織で利用しているソフトウェアのベンダーがリストに含まれていれば要警戒ですし、たとえ主要ベンダー以外でも油断できません。

自動化可能性 (Automatable) の分析

興味深いことに、2025年Q1のKEV脆弱性の多くは「Automatable（攻撃自動化の容易性）= No」と評価されていました。これは「この脆弱性の悪用には何らかの手動操作や特別な条件が必要で、スクリプトによる大規模自動攻撃には向かない」という意味です*46cisa.gov。実際、Q1に追加された事例を見ると、攻撃者が悪用するにはユーザーの操作や物理アクセス、事前に認証情報を得ていること等が必要なケースが多く含まれていました。
例えばAppleのiOS/iPadOSにおけるゼロデイ脆弱性（CVE-2025-24200）は「USB制限モード」を無効化するもので、攻撃にはターゲット端末への物理的なアクセスが必要でした*47securityaffairs.comsecurityaffairs.com。またMitelのIP電話機器の脆弱性（CVE-2024-41710）は管理者権限でログインできる攻撃者でなければ悪用できない設計でした*48securityaffairs.com。これらはインターネット越しに無差別スキャンで即座に攻撃できるタイプの脆弱性ではなく、限定的な条件下でのみ成立するものです。したがって攻撃の自動化は難しく、「Automatable = No」と判断されたのでしょう。

この点は2024年の傾向と対照的です。昨年追加されたKEV脆弱性の多くは遠隔からスクリプトで容易に悪用可能なもので、「Automatable = Yes」が圧倒的多数を占めていました。たとえば2024年には認証不要のリモートコード実行や初期アクセスに使える脆弱性（OSコマンドインジェクション等）が多く含まれており、攻撃者はこれらをインターネット全体にスキャンをかけて自動的に侵入試行することができました*49cyble.com。一方2025年Q1は、攻撃がより標的型（ターゲットを絞った手動攻撃）の様相を帯びているとも言えます。ただし注意すべきは、「Automatableでない」＝安全という意味では決してないことです。たとえば前述のMitel MiCollabのケースでは、認証不要で自動悪用可能な脆弱性（CVSS 9.1）*50computing.co.ukと認証必須で一見自動化が難しい脆弱性（CVSS 2.7）*51computing.co.ukが組み合わさって使われました。後者単体では被害が限定的でも、前者で侵入した攻撃者が続けて後者を利用すれば権限あるユーザーになりすまし追加攻撃が可能になる、といった具合です*52computing.co.ukcomputing.co.uk。このように自動化が難しい脆弱性も、手動操作や他の欠陥との組み合わせで十分悪用され得るため、放置は禁物です。

Technical Impact（技術的影響範囲）の傾向

Technical Impactは「その脆弱性が与えるシステムへの影響範囲」の大きさを指し、CISAの基準では完全なシステム乗っ取りに至るものを“Total”（全面的影響）、情報漏えいや一部機能停止に留まるものを“Partial”（部分的影響）と分類しています*53cisa.gov。2025年Q1に追加された脆弱性のTechnical Impactをみると、“Total”が大半を占めていました。これは2024年通年の傾向とも一致しており、攻撃者が狙う脆弱性は基本的に「悪用すればシステムを完全制御できる」類のものが多いことを意味します。実際、Q1のKEVにはリモートコード実行（RCE）や認証回避による管理者権限奪取、任意コード実行といった致命的な影響をもたらす脆弱性が多数含まれました。例えばMicrosoft Hyper-Vのカーネル脆弱性は悪用によりホストOSを乗っ取れる（=Total）ものですし、FortinetやCiscoの認証バイパス欠陥も攻撃者にシステム完全制御を許します。

一方で一部には“Partial”に分類される例も存在します。典型は情報漏えい型やサービス妨害型の脆弱性です。Q1では、例えばIvanti EPMのパストラバーサル脆弱性3件がSensitive情報の読み取りに利用できる（設定ファイル等の漏えい）ものでした*54thehackernews.com。これらは直接コード実行はできないため影響範囲は限定的ですが、漏えいした情報（例えばパスワードハッシュ等）を足掛かりに別の攻撃を仕掛けられる可能性があります。また前述のMitelの例のように、一見Partialな脆弱性も他のTotalな脆弱性と組み合わせて利用され、結果的に全面的な被害に繋がるケースもあります*55computing.co.ukcomputing.co.uk。総じて、2025年Q1も“Total”な影響を与える脆弱性が主流ではありますが、Partialであっても油断はできません。影響範囲が限定的でもKEVに載るということは「現実に悪用された」ことを意味し、攻撃者にとって十分利用価値があるからです。

CVSSスコア分布

脆弱性の深刻度を表す指標として知られるCVSSスコア（基本値）について、2025年Q1のKEV追加分の分布を見てみましょう。CVSSでは一般にスコア7.0以上を“High”（高）、9.0以上を“Critical”（深刻）と分類します。Q1の73件を大まかに俯瞰すると、High帯（7.0–8.9）の脆弱性が相当数を占め、Critical帯（9.0以上）も一定数存在するといったバランスでした。つまり「深刻度がとても高いものばかり」ではなく、「高めだがCritical未満」の脆弱性も多数悪用されている状況です。

実例を挙げると、Mitel MiCollabの2件の脆弱性はCVSSスコアが9.1（Critical）と2.7（Low相当）という極端な差がありながら、双方とも実際に攻撃に利用されています*56computing.co.uk。Lowの方は「スコア2.7だから安全」では決してなく、前述のように他の脆弱性と組み合わされて攻撃チェーンの一部として悪用されました。加えて、2024年のKEV全体でも、CVSSスコアと実被害リスクが必ずしも比例しないことが指摘されています。たとえば2024年にKEV入りしたVersa社の脆弱性はCVSS7.2（High）の中程度スコアでしたが、実際にはISPやMSPに対する深刻なサプライチェーン攻撃に使われ得るものでした*57cyble.com。このようにCVSSがCriticalでなくとも攻撃者にとって価値があれば悪用されること、逆にCriticalスコアでも条件付きでしか攻撃できないものもあることに留意が必要です。

2024年通年と比べると、2025年Q1はCriticalの占める割合がやや低めだった可能性があります。2024年はLog4Shell（CVSS10.0）やProxyShell/ProxyLogon（9点台後半）など極めて高スコアの脆弱性が脚光を浴びましたが、2025年Q1はそれらに匹敵するような10.0満点のものは新規には見られませんでした（既存ではあるものの、新規追加分としてはなかった）。むしろCVSS7～8台の“High”クラスの脆弱性が広く悪用されていた印象です。これは、「攻撃者はCritical評価の脆弱性だけを狙うわけではない」ことの表れとも言えます。日々の運用ではどうしてもCVSSに目が行きがちですが、たとえCritical未満でもKEVに掲載された時点で放置すれば深刻なリスクとなるため、優先的に対策を講じるべきです。

ランサムウェア悪用・APT攻撃の動き

脆弱性が悪用される脅威として大きく分けると、金銭目的のランサムウェア攻撃と、スパイ活動やサイバー破壊を狙うAPT（国家・高度な持続的脅威）攻撃があります。2025年Q1のKEV脆弱性を見る限り、ランサムウェアによる悪用が判明している事例はごく少数でした。一方で、多くの脆弱性は国家主体のスパイ活動や高度な標的型攻撃（APT）での悪用、もしくはそれが強く疑われるケースが目立ちます。

重要なのは、だからといってランサムウェア対策を後回しにしてよい訳ではないことです。脆弱性そのものにランサム攻撃の使用実績がなかったとしても、悪用方法が広まればサイバー犯罪集団が追随する可能性は十分にあります。またAPT攻撃経路として使われた脆弱性から情報を窃取され、その情報が二次被害として金銭目的に悪用されるリスクもあります。結局のところ、KEVに載るような脆弱性は攻撃者にとって価値が高いからこそ使われているのであり、それがAPT系かランサム系かを問わず、迅速な対応が必要である点に違いはありません。

今後の展望と留意点

(1). Q2以降で注視すべきCWE動向
2025年Q1の時点で目立った脆弱性の種別（CWE）としては、OSコマンドインジェクション（CWE-78）やパストラバーサル（CWE-22）、不適切な認証（CWE-287）といったカテゴリが挙げられます*58cyble.com。これらは2024年にも頻出した攻撃手法であり、引き続き「攻撃者が好む弱点」と言えるでしょう。特にコマンドインジェクションは遠隔から任意コード実行が可能になるため依然として人気が高く、Q2以降も各種ソフトウェアで類似の脆弱性が報告されれば迅速に悪用されるリスクがあります。同様に、パストラバーサルや認証回避の欠陥もVPN機器やWebアプリ等で報告が続くようなら注意が必要です。また、メモリ破壊系の脆弱性（Use-After-Freeやバッファオーバーフロー等）も依然無視できません。Q1にはMicrosoft Hyper-VやApple WebKitのゼロデイなどでメモリエラーに起因する脆弱性が悪用されました。これらは高度な攻撃者（APT等）がまず利用し、やがて犯罪集団にも手法が広まる傾向があるため、特にOSやブラウザ、主要ソフトのメモリ安全性に関する脆弱性情報には今後もアンテナを張っておくべきです。

(2). 年間登録件数のペース
すでに述べた通り、Q1の時点で昨年までの年間半分近い73件がKEV追加されています。このペースが維持・加速すれば年間200件を大幅に超える見込みで、仮に上振れすれば300件近くに達する可能性も否定できません*59cyble.com。もっとも、Q2以降に減速する可能性もありますが、現状では少なくとも前年以上のハイペースであることは確かです。したがって組織としては「今年は昨年までよりも多くの緊急脆弱性が飛び出すかもしれない」という前提で計画を立てることが重要です。具体的には、増加する脆弱性通報に対応できるよう社内体制やプロセスの見直しを検討しましょう（後述の対策参照）。

(3). 自組織での脆弱性管理に向けたポイント
最後に、増え続けるKEVへの実践的な備えについて整理します。まず基本は、KEVカタログを自社の優先パッチ適用リストに組み込むことです。KEV掲載項目は、その脆弱性が未修正のままだと「深刻なリスクにさらされている」状態と言えます*60cyble.com。自社で使っているシステムについてKEV該当の脆弱性がないか定期的にチェックし、該当があれば最優先でアップデートや緩和策適用を行う体制を整えましょう。可能であれば脆弱性管理ツールやスクリプトを用いて、KEVリストとの突合による影響調査を自動化すると効率的です。また、パッチ適用がすぐにできない事情がある場合でも、ベンダー提供の緩和策（設定変更や一時的無効化措置など）を講じる、該当システムへのアクセス経路を制限する（ネットワーク分離やWAF導入）など、被害を防ぐ工夫を行いましょう。

加えて、脆弱性悪用の「検知」と「インシデント対応」も強化が必要です。既知悪用脆弱性は攻撃者が実際に使っているため、侵入の痕跡（IoC）がセキュリティベンダー等から提供されている場合があります。シグネチャベースの侵入検知システム(IDS)やエンドポイント検知（EDR）のルールを最新化し、該当する脆弱性攻撃の兆候を見逃さないようにしましょう。例えばCISAは悪用されたIvanti脆弱性に関してマルウェア解析レポートを公表し、YARAルールやSnortシグネチャを提示しています*61cisa.govcisa.gov。こうした公開情報を活用し、もし自組織が既に攻撃を受けていないか（脆弱性が悪用された痕跡がないか）もチェックすることが望まれます。

最後に、サプライチェーンや他社製品のリスクにも目配りしましょう。自社で使っていないソフトの脆弱性であっても、取引先や委託先のシステムが影響を受ければ、自社への間接的な被害につながる可能性があります*62cyble.com。KEVカタログに重要取引先の製品が載った場合などは、その企業と連携して対策状況を確認するなど、協力体制を築くこともセキュリティリスク低減に有効です。

まとめ

2025年上半期（Q1時点）を振り返ると、脆弱性攻撃の脅威は昨年以上に増大し、多様化していることが分かります。攻撃者は依然としてシステム乗っ取り可能な深刻な欠陥（Technical Impactが“Total”のもの）を好んで悪用していますが、そのアプローチは巧妙化し、自動スキャンで一斉攻撃できないようなゼロデイも含め標的に応じて使い分けています。ランサムウェアなど金銭目的の攻撃だけでなく、国家絡みのスパイ攻撃でも新たな脆弱性が次々と悪用されました。

こうした状況下で実務担当者が取るべき具体的アクションは、何より既知悪用脆弱性への迅速な対応です。KEVカタログは「サイバー攻撃者が現に使っている脆弱性」のリストであり、これを活用すればパッチ適用や緩和策の優先順位付けを的確に行えます。ぜひ社内の脆弱性管理プロセスにKEVチェックを組み込み、定期的に最新脆弱性情報をモニタしてください。また、開発部門にとってもKEVの傾向は示唆的です。どのような弱点（CWE）が現実に攻撃されやすいのか把握することで、ソフトウェア開発時のセキュリティ設計やテストにフィードバックできます。たとえば入力検証の不足（コマンドインジェクション）や認証周りの不備がどれほど危険か、KEV事例は警鐘を鳴らしています。

最後に経営層の方々へ強調したいのは、脆弱性対策への投資は喫緊かつ最善のリスクヘッジであるという点です。2025年は脆弱性攻撃のペースがさらに加速する可能性があり、待ったなしの状況です。幸いKEVカタログをはじめ有益な情報源やツールも整いつつあります。これらをフル活用し、組織横断で脆弱性管理に取り組むことで、サイバー攻撃による甚大な被害を未然に防ぐことができるでしょう。「脅威のいま」を正しく把握し、迅速かつ着実な対策を講じて、2025年後半以降の更なる脅威にも備えていきましょう。

【参考情報】

Known Exploited Vulnerabilities Catalog (CISA), wilderssecurity.com

CISA Alerts and VulnCheck Reports, channele2e/comvulncheck.com

Binding Operational Directive 22-01, cisa.gov

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年6月4日（水）13:00～14:00
「知っておきたいIPA『情報セキュリティ10大脅威 2025』～セキュリティ診断による予防的コントロール～」

2025年6月11日（水）13:50～15:00
「DDoS攻撃から守る！大規模イベント時のセキュリティ-大規模イベント開催中に急増するDDoS攻撃の事例と防御策を解説-
」

最新情報はこちら

2025年5月27日2025年5月28日

「脆弱性（ぜいじゃくせい）」とは？意味・読み方・活用方法を解説

Security NEWS TOPに戻る
バックナンバー TOPに戻る

「脆弱性（ぜいじゃくせい）」という言葉を見かけても、正確な読み方や意味を知らない方も多いかもしれません。特にITやセキュリティの分野ではよく使われる専門用語ですが、近年では一般的なニュースや記事でも登場するようになってきました。この記事では、「脆弱性　読み方」をはじめ、「脆弱性」の意味、使い方、ビジネスやセキュリティでの重要性について、わかりやすく解説します。

「脆弱性」の読み方は？

「脆弱性」は「ぜいじゃくせい」と読みます。

「脆」（ぜい）：もろい、こわれやすいという意味
「弱」（じゃく）：よわい、力が足りないという意味
「性」（せい）：性質や特徴を示します

つまり、「脆弱性」とは「もろくて弱い性質」という意味を持ちます。

「脆弱性」の意味とは？

脆弱性は英語で「Vulnerability」（「攻撃を受けやすいこと」の意）といいます。脆弱性とは、不正アクセスやコンピュータウイルスなどの攻撃により、その機能や性能を損なう原因となり得るセキュリティ上の問題箇所のことです。

IT分野では、システムやソフトウェアに存在するセキュリティ上の弱点を意味します。たとえば、プログラムの不備や設定ミスなどにより、外部から不正アクセスを許してしまうような状態が「脆弱性」です。

脆弱性の多くは、「プログラムの設計ミスやコーディングミスなどによるバグ」になります。バグが存在せず正しく動作するプログラムやWebアプリケーションであっても、設計者が想定しないやり方で機能が悪用され、結果としてサイバー攻撃が成立する場合には、その「悪用されうる機能設計」が脆弱性とみなされます。

脆弱性を悪用した攻撃の事例とその後の企業の対応について

脆弱性への対応を怠り社長が辞任に追い込まれたケースも

脆弱性への対応を誤ることは、しばしば事業の運営に甚大な影響をもたらします。典型的な事例をご紹介しましょう。2017年、クレジットカード等の与信に関わるアメリカの大手消費者情報調査会社がサイバー攻撃を受け、自社で保有していた4億件の個人の信用情報の約3分の1にあたる、1億4,000万件もの情報が盗まれました。この攻撃は、Webアプリケーションの開発フレームワークであるApache Strutsの脆弱性を、脆弱性情報とパッチの公開後速やかに修正できなかったことに起因するものです。

攻撃の端緒となった脆弱性に対しては、2017年3月にパッチや対策方法が公開されました。会社側では公開を受けて修正を図ったものの、組織体制の不備等もあいまって修正は不完全な形となり、結果、システムへの不正アクセスを許すことになりました。さらに、攻撃は同年5月から確認されていたにもかかわらず同社が事件を公表したのは9月。4か月もの間事態が公表されなかったことが大きな批判を浴び、CEOなど一部の幹部は辞任に追い込まれ、格付けも引き下げられたのです。脆弱性が引き金となり、このように甚大な影響がもたらされることは少なくないのです。

脆弱性を悪用したセキュリティ事故は日々発生しています。
SQAT.jpでは以下の記事でも取り上げていますので、ぜひあわせてご参考ください。

●　「定期的な脆弱性診断でシステムを守ろう！-放置された脆弱性のリスクと対処方法-」
●　「備えあれば憂いなし！サイバー保険の利活用」

脆弱性情報はWebサイトでチェックできる

脆弱性は、さまざまなソフトウェアやプラットフォームで日々発見されています。そうした情報は、多くの場合、ソフトウェアやプラットフォーム提供元のWebサイトに掲載されます。
少なくとも、自組織で利用している主要なプラットフォームに関しては、緊急性が高い脆弱性が出現していないかどうかを、提供元のWebサイトで定期的にチェックするとよいでしょう。

JVNを利用した脆弱性情報の正確な情報収集と活用法

一般社団法人JPCERTコーディネーションセンターとIPA（独立行政法人情報処理推進機構）では、公表された脆弱性情報を収集して公開するサービス「JVN（Japan Vulnerability Notes）」を共同運営しています。日本で利用されている大半のソフトウェアの脆弱性の情報は、このサイトでチェックできます。

脆弱性情報ソースと活用

インシデントやゼロデイの発生情報については、セキュリティ専門のニュースサイト、セキュリティエバンジェリストのSNSなどからも情報をキャッチできます。

情報の裏取りとして、セキュリティベンダからの発表やtechブログ等を参照することもと重要となります。攻撃の影響範囲や危険度を確認するには、Exploitの有無を技術者のPoC検証ブログやNVD等で確認することも有効です。

「脆弱性」はサイバー攻撃の端緒となる

サイバー攻撃の数は年々増加し続けており、その手口は高度化・巧妙化しています。このため、あらゆる企業・組織がサイバー攻撃の脅威にさらされています。そして、そして残念ながら、多くのWebアプリケーションやシステムには脆弱性が存在している可能性があります。情報漏えいなどの被害をもたらすサイバー攻撃の多くは、この「脆弱性」を悪用して行われます。脆弱性の放置は、サイバー攻撃を誘発し、事業活動に甚大な影響を及ぼしかねません。

脆弱性を突かれた場合のリスク

悪意のある第三者によって脆弱性を突かれてしまった場合、問題箇所の悪用、コンピュータ内部データ（情報）の盗取・改竄・削除、また他のコンピュータへの同様の悪事が可能になります。その結果、不正アクセスや自動的に動作させるウイルスやボットに感染する恐れもあります。また、システムやサービス全体という視点からは、設定に関して何らかの誤りがある場合など、設定ミスが脆弱性とみなされます。たとえば、ポートの開放に関する設定、権限管理、AWSをはじめとするクラウドサービスの設定ミスがセキュリティ事故を招いた例は枚挙に暇がありません。

「脆弱性が多い」と言われるソフトウェアの傾向

脆弱性が数多く報告されているのは、一体どんなソフトウェアでしょう。ひとつ共通することは「ユーザが多い」ということです。たとえば、皆さんがこのサイトをご覧になっているWebブラウザ、そのWebブラウザが動作するMicrosoft WindowsなどのOS、ビジネスでよく使われるPDFファイルを扱うAdobe Acrobat、WebサーバソフトのApache、データベースアプリケーションのMySQLなどです。いずれも、全世界に膨大な数のユーザを持つソフトウェアであり、規模のインパクトという点から、攻撃者にとって極めて魅力的、いわば人気があるのです。かつ、このようなソフトウェアでは、開発元において、脆弱性を早期に発見し、修正プログラムの公開、所定機関への報告を迅速に行う必要性が高いことから、報告件数が当然ながら多くなる傾向がみられます。

わかりやすい例としては、オンライン会議ソフトのZoomがあります。Zoomでは、2020年になって脆弱性が次々と発見されていますが、そこには、新型コロナウイルス対策の一環でテレワーク化が進み、Zoom利用者が爆発的に増えたという背景があります。攻撃者の格好のターゲットになったことと、Zoomの脆弱性の増加は、連動した現象なのです。

ここまでの説明でお気づきかもしれませんが、「脆弱性が多く報告されている」ことは必ずしも「品質が悪い」ことを意味するのではありません。脆弱性が存在してもそのことが報告・公表されていなければ、「脆弱性がある」とは認知されないわけです。

なぜ「脆弱性対策」が重要なのか？

現代の企業活動において、ITシステムは欠かせない存在です。そのため、システムの脆弱性を放置することは、情報漏えいやサービス停止といった重大なリスクにつながります。サイバー攻撃の多くは、脆弱性を狙って行われます。つまり、脆弱性を特定・対処することが、企業の情報資産を守る第一歩なのです。

脆弱性対策の基本と企業での実践方法

脆弱性対策の基本的な考え方としては、システムの欠陥をつぶし、脆弱性を無くすこと（「攻撃の的」を無くすこと）が最も重要です。企業での実践方法としては以下の項目があげられます。

修正パッチの適用

衣服等の破れを補修する「継ぎ当て」や傷口に貼る「絆創膏」のことを英語で「パッチ（patch）」と言いますが、脆弱性を修正するプログラムも「パッチ」と呼ばれます。修正プログラムを適用することは「パッチをあてる」と言われたりします。パッチをあてることにより、システムに影響が及ぶ場合があります。適用にあたっては事前に調査を行い、必要に応じて十分な検証を実施してください。なお、自組織で開発したシステムに関しては、必ずテスト環境を用意し、パッチ適用による整合性チェックを行いましょう。

ソフトウェアやOSの定期的なアップデート

アップデートされた最新バージョンでは既知の脆弱性や不具合が修正されていますので、後回しにせずに更新を行うようにしてください。

セキュアプログラミングで脆弱性を作りこまない体制に

自組織で開発したソフトウェアやWebアプリケーション等の場合は、サービスが稼働する前の上流工程（開発段階）から、そもそも脆弱性を作り込まない体制を構築することが大切です。

また、テレワーク環境では、以上の項目に加え、クライアントサイドでのパッチ適用が適切に行われているかをチェックする体制を構築することも重要です。また、シャドーITの状況把握も厳格に実施する必要があります。

「IT部門が知らないサービスを勝手に利用され、結果として脆弱性の有無について未検証のクライアントソフトやブラウザプラグインが使われていた」という事態は防がねばなりません。

ツールを使って脆弱性を見つける

脆弱性を発見するためのソフトウェアは「チェックツール」「スキャンツール」「スキャナ」などと呼ばれます。以下に、代表的なものをご紹介しましょう。有償、無償のさまざまなツールが提供されていますので、機能や特徴を知り、ニーズに合致するものを試してみてはいかがでしょうか。

	有償ツール	無償ツール
Webアプリケーション向け	AppScan、Burp Suite、WebInspect など	OWASP ZAP など
サーバ、ネットワーク向け	Nessus（一部無償）、nmap など	Nirvana改弐、Vuls など

「脆弱性診断」サービスで自組織のソフトウェアの脆弱性を見つける

上記でご紹介したツールを使えば、脆弱性のチェックを自組織で行うことが可能です。しかし、前述の通り、「脆弱性が存在するのに報告されていない」ために情報がツールに実装されていないソフトウェアも数多くあります。また、一般に広く利用されているソフトウェアであれば次々に脆弱性が発見、公開されますが、自組織で開発したWebアプリケーションの場合は、外部に頼れる脆弱性ソースはありません。さらに、実施にあたっては相応の技術的知識が求められます。そこで検討したいのが脆弱性診断サービスの利用です。脆弱性の有無を確認するには、脆弱性診断が最も有効な手段です。

脆弱性診断サービスでは、システムを構成する多様なソフトウェアやWebアプリケーション、API、スマホアプリケーション、ネットワークなどに関し、広範な知識を持つ担当者が、セキュリティ上のベストプラクティス、システム独自の要件などを総合的に分析し、対象システムの脆弱性を評価します。組織からの依頼に応じて、「自組織で気付けていない脆弱性がないかどうか」を調べる目的のほか、「脆弱性に対して施した対策が充分に機能しているか」を検証する目的で実施することもできます。

対策が正常に機能しているかの検証を含めた確認には専門家の目線をいれることをおすすめしています。予防的にコントロールをするといった観点も含め、よりシステムを堅牢かしていくために脆弱性診断をご検討ください。

脆弱性との共存（？）を図るケースもある

最後に、診断で発見された脆弱性にパッチをあてることができないときの対処法をご紹介しましょう。

まず、「パッチを適用することで、現在稼働している重要なアプリケーションに不具合が起こることが事前検証の結果判明した」場合です。このようなケースでは、システムの安定稼働を優先し、あえてパッチをあてずに、その脆弱性への攻撃をブロックするセキュリティ機器を導入することで攻撃を防ぎます。セキュリティ機器によって「仮想的なパッチをあてる」という対策になるため、「バーチャルパッチ」とも呼ばれます。

また、脆弱性が発見されたのがミッションクリティカルなシステムではなく、ほとんど使われていない業務アプリであった場合は、脆弱性を修正するのではなく、そのアプリ自体の使用を停止することを検討できるでしょう。これは、運用によってリスクを回避する方法といえます。

なお、前項でご紹介した脆弱性診断サービスの利用は、脆弱性に対して以上のような回避策をとる場合にも、メリットがあるといえます。発見された脆弱性について、深刻度、悪用される危険性、システム全体への影響度といった、専門サービスならではのより詳細な分析結果にもとづいて、対処の意思決定を行えるためです。

まとめ

・サイバー攻撃の端緒となる脆弱性はプログラムの設計ミスなどによって生まれます。
・海外では脆弱性への対応を怠ったことで発生した情報漏えい事故で社長が辞任に追い込まれた事例もあります。
・脆弱性情報はベンダのWebサイトやJVNなどで公開されています。
・自組織のネットワークやソフトウェアなどの棚卸しを行い、それぞれのバージョンを把握しましょう。
・利用者が多いソフトウェアほど脆弱性が発見されます。必ずしも「脆弱性の報告数が多い＝品質が低い」というわけではありません。
・脆弱性診断サービスは、自組織で開発したWebアプリケーションなどの脆弱性を発見するのに有効です。

CVEスキャン誤検知を防ぐ！セキュリティアラート疲れ解消策4選

Security NEWS TOPに戻る
バックナンバー TOPに戻る

企業のセキュリティチームに所属するシステム開発担当者や情報システム担当者の皆様、日々のCVEスキャンから大量に届く誤検知セキュリティアラートに疲弊していませんか？本記事では、セキュリティアラートのノイズを抑えつつ真のリスクを見極める4つの解消策をご紹介します。

contents

お問い合わせ

お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。

夜な夜な鳴りやまぬアラートの洪水 ―その深刻度とは

セキュリティチームのもとに届くアラートは、現代の組織にとってまさに“第二のメール地獄”です。OX Security「2025 Application Security Benchmark」によると、178社を対象に90日間で収集したアプリケーションセキュリティ検出は1億1,344万件。組織当たり平均56万9,354件のアラートが発生し、そのうち97.92％が情報提供レベルの”ノイズ”と判定されていました。しかしこのノイズを「完全無視」していいわけではありません。“98％ノイズ”の山が、まさに今日のセキュリティ担当者に襲いかかる「アラート疲れ」の正体です。

アラートノイズの裏側 ―過剰検知はなぜ起きるのか

自動化されたCVEスキャンは、不用意な誤検知を生む温床でもあります。たとえば、実際には運用環境でまったく使われていないライブラリに含まれるCVEが検出されるケースは後を絶ちません。パッケージ名の不一致や一時的なテスト用モジュールまでスキャン対象になることで、対応すべき脆弱性は雪だるま式に膨らみます。しかもその大半は、理論上は脆弱だが現実には悪用困難という状態であることも多いのです。

さらに、全警告のうち修正プログラムが提供されている緊急（Critical）または高（High）レベルの脆弱性でも、本番環境で実際にシステムに読み込まれているケースは15％にすぎないという調査結果もあります。これは「コードが稼働していない部分にまで対応コストをかける必要はない」というフィルタリングの重要性を裏付けています。

危機回避の“4つのロジック” ―全アラートを見逃さない仕組み

脅威の対応優先度付け（インテリジェント・トリアージシステム）

単にCVSSやCVEの有無で判断せず、実際に稼働中のパッケージか、修正プログラムが公開済みか、さらにCISA「Known Exploited Vulnerabilities Catalog」（KEVカタログ）に含まれるかを加味したスコアリングを実施します。これにより、“実際に悪用観測済みの脆弱性”を浮き彫りにします。また、その脆弱性が業務サービスに与える影響度やEPSS（Exploit Prediction Scoring System）スコアなども考慮することで、真のリスクを見極めることができます。

関連記事：
「CVEとは？共通脆弱性識別子の基本と管理方法を徹底解説」

継続的モニタリングとサンプリング検証

「低リスク」と判定された98％のノイズアラート群も完全に放置せず、週次または月次でランダムに抽出して再評価するプロセスを自動化します。依存関係の更新や新たなエクスプロイトコードの公開時など、環境変化を捉えて警戒レベルの見直しを行うことが重要です。

開発者担当者への具体的な修正内容の提示

抽象的なアラート表示ではなく、「どのファイル／行に、どういうコード修正を行うべきか」「修正後に再スキャンする手順まで」をワンストップで提示する仕組みを構築します。これにより、実装者の心理的負荷とやり取りコストを大幅に削減できます。

ノイズ検証率のKPI化

リスクレベル低のアラートのうち、何％が再評価済みかをダッシュボード化し、未検証の放置時間がどれくらいかを把握しておきます。これは経営層への報告資料としても説得力を持ち、ただ脆弱性を放置しているわけではない、ということを定量的に示す指標になります。

“放置”ではなく“最適化” ―次世代アラート管理へ

Cybereasonが警鐘*2を鳴らすように、アラート疲れは「静かなる流行病」として組織の防御力をじわじわ蝕みます。しかし、適切なフィルタリングと分析を体系化し、継続的に検証する仕組みを整えれば、98％の“ノイズ”も真のリスクになる前に安全性を担保でき、残り2-5％のより緊急性の高いアラートへの対応を優先することができます。

今日からでも始められるのは、AI／ルールベースの自動トリアージツールの導入と、ノイズ検証サイクルの設計です。これこそが、セキュリティチームと開発チーム双方の疲弊を防ぎ、アプリケーションの安全性を確実に高める鍵となるでしょう。

【参考情報】

Scribe Security,「脆弱性スキャンでCVEバーンアウトとアラート疲労を回避するには?」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年5月28日（水）13:00～14:00
「脆弱性診断の新提案！スピード診断と短納期で解決する「SQAT® with Swift Delivery」セミナー」

最新情報はこちら

2025年5月15日2025年5月21日

オンライン広告を悪用するマルバタイジング攻撃とは？ -攻撃の手法や事例、基本的な対策例を解説-

Security NEWS TOPに戻る
バックナンバー TOPに戻る

企業の広告戦略において、オンライン広告の活用は今や不可欠です。しかし、近年ではそうしたオンライン広告の信頼性を悪用した「マルバタイジング（Malvertising）」攻撃の脅威が高まっており、企業のブランド毀損や利用ユーザへの被害が懸念されています。本記事では、企業の情報システム部門やデジタルマーケティング担当者に向けて、マルバタイジング攻撃の仕組み・手口・具体的な事例、そして取るべき対策について解説します。

マルバタイジング攻撃とは

マルバタイジングの概要

「マルバタイジング」という言葉は悪意のある広告を意味します。そして「マルバタイジング攻撃」とは、正規のオンライン広告ネットワークを利用して、悪意のあるコンテンツやマルウェアを配布するサイバー攻撃です。攻撃者は主要なネットワークを通じて、広告利用者や顧客となるユーザを偽のサポートページ、フィッシングサイト、マルウェア配布ページなどに誘導します。

主な手法・特徴

・検索エンジン広告の上位表示を利用し、正規サイトよりも上に悪意のある広告を掲載させる
・クローキング技術で、広告審査時には正常なページを見せ、ユーザには悪意あるコンテンツを表示
・多段階リダイレクトを通じ、攻撃の追跡や遮断を困難にする
・マルウェアをダウンロードするように誘導する

さらに不正なストリーミングや違法コンテンツを利用し、ユーザの心理的なガードが下がっているタイミングを狙って攻撃者が攻撃を仕掛ける点や、偽の著名人広告を使ってリアリティを演出する点など、ソーシャルエンジニアリング攻撃としてのアプローチも確認できます。

攻撃手法（広告主のアカウントの乗っ取り）

近年特に問題視されているのが、広告アカウント自体の乗っ取りや悪用です。Malwarebytesの報告によれば、攻撃者はまず広告主を狙い、偽のGoogle広告やフィッシングページを通じて、認証情報を詐取します。これにより、正規の広告主のアカウントが乗っ取られ、「偽の広告出稿に使われる（正規アカウントゆえ審査を通過しやすい）」や「広告費が犯罪活動に使われ、別の被害につながる」「違法な目的で利用されたことで、正規アカウントのブランド価値が毀損される」といったことに繋がります。また、広告主からすると、被害者であると同時に加害者になってしまうリスクがあるため、その点にも留意が必要です。

ClickFix

マルバタイジング攻撃の中核ともいえるのが、広告から遷移した先での悪意ある操作です。最近では「ClickFix」と呼ばれる手法が注目されています。これは一見してCaptcha画面やトラフィック認証のように見えるページで、ユーザ自身に悪意あるコマンドをコピー＆ペーストさせ、実行させるというものです。

代表的な手法

偽のCaptcha画面を通じてコピー＆ペーストした内容により、悪意あるコマンドをユーザ自身の手で実行させる

PayPalの「no-code checkout」リンクを悪用し、偽のサポートを通じて個人情報を詐取する*3

Semrushを装った偽の広告をGoogle広告に出稿し、ユーザを偽のログインページに誘導するフィッシング*2

難読化により、解析やブロックの回避を狙う

こうして細工されたページは、一見、信頼感のあるドメインやUIを装い、ユーザを安心させることで、警戒心をくぐり抜けています。企業が提供している正規ブランドやツールの名前が使われるケースも多く、こうした事情を知った上での警戒が必要です。

マルバタイジング攻撃の事例

2023年、米セキュリティ企業SentinelOneは、攻撃者がGoogle広告を利用して、Amazon Web Services（AWS）のログインページを模倣したフィッシングサイトへの誘導を行ったとの報告を行いました。手順は下図の通りです。

攻撃の流れ

フィッシングサイトには「Webページのコンテンツコピーを阻害するためにマウスクリックが無効とされている」「キーボードショートカットを無効にするために、ショートカットを押すと『#』にリダイレクトされる」「ブラジル納税者番号等を装うためにポルトガル語を使用している」といった細工が施されていました。

その他にも様々な攻撃事例があります。その一部を参考までに以下に記載します。

事例1：米Yahoo広告ネットワークを悪用した大規模感染（2014年）
2014年、米Yahooの広告ネットワークを通じて配信されたマルバタイジング攻撃では、ユーザが広告をクリックしなくても、広告が表示されるだけでマルウェアが自動的にインストールされる事例が報告されました。この攻撃は、数百万人のユーザに影響を及ぼしました。*3

事例2：日本を標的とした「Cinobi」マルバタイジングキャンペーン（2021年）
2021年8月、トレンドマイクロは、日本のユーザを標的としたマルバタイジングキャンペーンを報告しました。この攻撃では、「Cinobi」と呼ばれるトロイの木馬型マルウェアが使用され、暗号通貨関連のWebサイトを模倣した広告を通じて感染が拡大しました。

事例3：Google広告アカウントの乗っ取りとフィッシング（2025年）
2025年3月、Malwarebytesにより、SEOツール「Semrush」を装ったフィッシング広告がGoogle検索結果に表示され、ユーザを偽のログインページに誘導する事例が報告されました。これらの広告は、正規のSemrushサイトを模倣し、Googleアカウントの認証情報を盗み取ることを目的としていました。*4

マルバタイジング攻撃への対策

マルバタイジング攻撃は、攻撃者が合法的な広告経路を悪用する、ユーザに攻撃を実行させる、という手法を取る性質上、防御が難しい面があります。しかし、基本的な対策の徹底と、いくつかの技術的および運用上の対策により、そのリスクを大きく軽減することが可能です。

マルバタイジング攻撃対策の基本

すべてのソフトウェア（特にウェブブラウザとその拡張機能）を常に最新の状態に保つ

アンチマルウェアソリューションや広告ブロッカーの導入によって攻撃リスクを抑制

FlashやJavaなどのプラグインを無効化し、ウェブ上で自動実行されないようにする*5

WAF（Web Application Firewall）を導入し、広告を通じた外部からの侵入リスクを防ぐ

多要素認証（MFA）の導入により、アカウント乗っ取り被害を防止

API連携部分も含めたセキュリティ設計を検討

多層防御とインシデント対応

・資産管理、脆弱性管理、ネットワーク分離などの複数対策を組み合わせた「多層防御」体制の構築
・攻撃の「侵入を前提」とした対応方針の確立と運用（ゼロトラスト）
・インシデントが発生した場合の備えとして、CSIRTの整備や初動手順の明文化を推奨

サイバーインシデント緊急対応

企業が行うべきセキュリティ対策の実効性評価

ランサムウェア対策総点検

「ランサムウェア対策総点検」では現状のリスクの棚卸を行うことが可能です。システム環境の確認や、環境内で検知された危険度（リスクレベル）を判定いたします。

ペネトレーションテスト

まとめ

広告はもはや「見せるもの」というだけでなく、「狙われるもの」である
――そのような認識が今、求められています。

オンライン広告の世界における「信頼」は、もはや絶対的なものではありません。広告インフラを突いたマルバタイジング攻撃は、今後も進化を続けていくと考えられ、企業・広告主・マーケターはより一層の警戒が求められます。

本記事で紹介した事例や対策は、すべてのWebマーケティングに関わる組織が当事者であるといえる内容となります。攻撃の侵入を前提として何も信用しない「ゼロトラスト」の思考と、多層的なセキュリティ戦略のもと、日々の業務と広告展開の両面において、安全性を担保する取り組みが不可欠です。

BBSecでは

サイバー保険付帯脆弱性診断サービスの紹介

サイバー保険付帯の脆弱性診断サービスへのバナー — ※外部サイトにリンクします。

サイバー保険付帯の対象となる脆弱性診断

BBSecのSQAT^® 脆弱性診断サービスすべてが対象となります。また、複数回脆弱性診断を実施した場合、最新の診断結果の報告日から1年間有効となります。

WEBアプリケーション脆弱性診断－SQAT^® for Web－

ネットワーク脆弱性診断 SQAT^® for Network

スマホアプリ脆弱性診断 SQAT^® for Smartphone

クラウドセキュリティ設定診断

ソースコード診断 SQAT^® Core

SQAT^® ペネトレーションテスト

IoTセキュリティ診断

アタックサーフェス調査 SQAT® ASM

SQAT® with Swift Delivery

脆弱性診断とは、企業・組織のシステムに存在する既知のセキュリティ上の欠陥（＝脆弱性）を検出するための検査です。情報漏洩やサービス停止などの重大なセキュリティインシデントを未然に防ぐため、システム全体の問題点を可視化します。これにより、リスクに優先順位をつけて対策を講じることが可能です。また、継続的な診断の実施により、新しい脅威や構成変更、経年による新たな脆弱性の発露といった脅威にも柔軟に対応できるため、企業のセキュリティレベルを継続的に改善する基盤として重要な役割を果たします。

関連記事：
「脆弱性診断の必要性とは？ツールなど調査手法と進め方」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年5月21日（水）14:00～15:00
「Webサイト改ざん攻撃の手口と防御策とは？リアルタイム検知で守るセキュリティ」

2025年5月28日（水）13:00～14:00
「脆弱性診断の新提案！スピード診断と短納期で解決する「SQAT® with Swift Delivery」セミナー」

2025年6月4日（水）13:00～14:00
「知っておきたいIPA『情報セキュリティ10大脅威 2025』～セキュリティ診断による予防的コントロール～
」

最新情報はこちら