タグ: サイバー攻撃

投稿日:

サプライチェーン攻撃で委託先が原因の情報漏えい時に企業が取るべき初動対応とFAQ

Share
「サプライチェーン攻撃で委託先が原因の情報漏えい時に企業が取るべき初動対応とFAQ」アイキャッチ画像

委託先や外注先が原因で情報漏えいが起きた場合、「自社は何をすべきか」「どこまで責任を負うのか」といった判断に迷う企業は多くあります。本記事では、サプライチェーン攻撃が疑われる際の初動対応の考え方や、公表判断、委託先との連携のポイントを整理します。あわせて、企業担当者が抱きやすい疑問をFAQ形式でまとめ、実務で迷わないための視点を提供します。

委託先や外注先を起点としたサプライチェーン攻撃の全体像や、なぜこのような事故が起きるのかについては、以下の記事で整理しています。
「サプライチェーン攻撃とは ―委託先・外注先リスクから情報漏えいを防ぐ全体像―」

「原因は委託先です」で終わらない現実

情報漏えいが発覚したとき調査の結果として、「原因は委託先・外注先でした」と判明するケースは、近年珍しくありません。しかし実務の現場では、その事実が分かった瞬間に新たな問題が生じます。それは、「では自社は何をすべきなのか」「どこまで責任を負うのか」という判断です。委託先が原因であっても、情報の管理主体が自社である以上、初動対応を誤れば被害は拡大し、企業の信用は大きく損なわれます。サプライチェーン攻撃が増えている今、外部起因の情報漏えいを前提とした初動対応を理解しておくことは、企業にとって不可欠になっています。

初動対応で最も重要なのは「切り分けを急がない」こと

情報漏えいの疑いが出た直後、多くの現場で起きがちなのが、原因の切り分けを急ぎすぎることです。「本当に漏えいしているのか」「どこから漏れたのか」「委託先の責任なのか」といった点を早く確定させたくなるのは自然な反応です。しかしこの段階で重要なのは、責任の所在を断定することではありません。まず優先すべきなのは、被害が現在も拡大している可能性があるかどうかを見極め、必要に応じて影響範囲を止める判断をすることです。委託先が関係している場合でも、自社システムとの接点や連携は一時的に見直す必要があります。この判断が遅れると、被害が広がり続けるリスクがあります。

サプライチェーン攻撃は経営リスクでもあります。経営視点で整理した記事はこちら。
「サプライチェーン攻撃と経営責任 ―委託先が原因でも問われる企業の判断とは ―」

またそもそも、なぜ取引先や委託先を経由した攻撃は発見が遅れやすいのか、その背景を理解しておくことも重要です。
「なぜ取引先経由で情報漏えいが起きるのか ―国内で相次ぐサプライチェーン攻撃の実態―」

委託先との連携は「確認」ではなく「事実の共有」から始める

初動対応において、委託先への連絡は避けて通れません。ただしここで重要なのは、相手を問い詰めることではなく、事実を正確に共有することです。どの情報に異常が見られたのか、いつ頃から兆候があったのか、現時点で分かっていることと分かっていないことを整理し、共通認識を作ることが先決です。感情的なやり取りや責任追及は、この段階では状況を悪化させるだけになりがちです。委託先が保有しているログや調査状況を早期に把握できるかどうかは、その後の対応スピードを大きく左右します。

社内では「技術対応」と「説明責任」を同時に考える

外部起因の情報漏えいが疑われる場合、社内では複数の視点で同時に動く必要があります。システム部門やセキュリティ担当は技術的な影響範囲の確認を進める一方で、法務や広報、経営層は対外的な説明の準備を始めなければなりません。このとき、「原因が委託先だから自社は関係ない」という認識で対応が遅れると、結果的に説明責任を果たせなくなります。実際には、顧客や取引先から見れば、委託先かどうかは本質的な問題ではなく、「自分の情報がどうなったのか」が最も重要だからです。

公表判断は“事実が揃うまで待つ”ほど危険になる

情報漏えいの公表タイミングは非常に難しい判断です。しかし、すべての事実が揃うまで何も発信しない、という判断はリスクを高めることがあります。特に外部起因の場合、委託先側の調査に時間がかかり、自社で状況を完全に把握できない期間が発生しがちです。その間に情報が外部に漏れたり、第三者から指摘されたりすると、「隠していた」という印象を与えてしまいます。現時点で分かっている事実と、調査中であることを切り分けて伝える姿勢が、結果的に企業の信頼を守ることにつながります。

契約内容は「事後」ではなく「初動」で効いてくる

委託先が原因の情報漏えいでは、契約内容が初動対応に大きく影響します。インシデント発生時の報告義務や対応範囲が明確であれば、調査や情報共有をスムーズに進めることができます。一方で、契約にそうした取り決めがなく、対応が委託先任せになってしまうと、自社として判断すべき情報が集まらず、対応が後手に回ります。このとき初めて「契約を見直しておけばよかった」と気づく企業も少なくありません。

初動対応をスムーズに行うためには、平時から委託先・外注先のセキュリティをどこまで確認しておくべきかを整理しておく必要があります。
「委託先・外注先のセキュリティはどこまで確認すべきか ―サプライチェーン攻撃を防ぐ実務判断―」

まとめ：初動対応で問われるのは“原因”より“姿勢”

委託先が原因で情報漏えいが起きた場合、企業が最初に問われるのは、誰が悪いかではありません。どれだけ早く状況を把握し、被害拡大を防ぎ、関係者に誠実に向き合ったかという姿勢です。外部起因のインシデントは、今後さらに増えていくと考えられます。だからこそ、「委託先が原因だったらどうするか」を平時から想定しておくことが、最大の初動対策になります。

サプライチェーン攻撃は、予防・管理・初動対応のいずれか一つだけでは防ぎきれません。全体像を理解し、実態を知り、現実的な確認と備えを重ねていくことが重要です。
「サプライチェーン攻撃とは ―委託先・外注先リスクから情報漏えいを防ぐ全体像―」

FAQ

▼サプライチェーン攻撃とは何ですか？
▼サプライチェーン攻撃は大企業だけの問題ですか？
▼委託先が原因で情報漏えいが起きた場合、自社に責任はありますか？
▼委託先のセキュリティはどこまで確認すべきですか？
▼セキュリティチェックシートを回収すれば十分ですか？
▼委託先が多すぎて管理しきれない場合はどうすればいいですか？
▼情報漏えいが疑われたとき、最初にやるべきことは何ですか？
▼委託先への連絡はどのタイミングですべきですか？
▼事実がすべて分かるまで公表しない方が良いですか？
▼契約書でセキュリティ対策はどこまで決めるべきですか？
▼サプライチェーン攻撃は完全に防げますか？
▼サプライチェーンリスク対策で最も重要な考え方は何ですか？
▼サプライチェーン全体を考えた対策を進めるには

BBSecでは

委託先が関係する情報漏えいでは、自社だけで完結する対応はほとんどありません。複数の関係者が絡むからこそ、事前の整理や体制づくりが結果を大きく左右します。ブロードバンドセキュリティ（BBSec）では、サプライチェーン全体を前提としたインシデント対応体制の整理や、外部起因の事故を想定した初動対応の支援を行っています。「起きてから考える」のではなく、「起きる前提で備える」ことが、これからの企業に求められる姿勢です。もし、委託先を含めた情報管理やインシデント対応に不安を感じている場合は、一度立ち止まって体制を見直すことが、将来のリスクを減らす確かな一歩になるでしょう。

【参考情報】

Security NEWS TOPに戻る
バックナンバー TOPに戻る

資料ダウンロードボタン

年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。

お問い合わせボタン

サービスに関する疑問や質問はこちらからお気軽にお問合せください。

Security Serviceへのリンクバナー画像
BBSecコーポレートサイトへのリンクバナー画像
セキュリティ緊急対応のバナー画像
ウェビナーアーカイブ動画ページバナー画像
投稿日:

武蔵小杉病院へのランサムウェア攻撃 ―第2報から読み解くランサムウェア侵入経路と影響範囲―

Share
「武蔵小杉病院へのランサムウェア攻撃 ―第2報から読み解くランサムウェア侵入経路と影響範囲―」アイキャッチ画像

2026年2月、日本医科大学武蔵小杉病院は「院内の医療情報システムの一部がランサムウェア攻撃を受け、障害が発生した」こと、そしてそれに伴い患者の個人情報漏洩が確認されたことを公表しました*1。病院の発表は「第2報」という位置づけで、被害範囲、時系列、侵入経路、当面の診療体制、相談窓口までが具体的に示されています。まず強調したいのは、憶測で語られがちな“病院のサイバー攻撃”を、ここでは病院自身が明言した事実ベースで解説する点です。本記事では今回の公表内容（第2報）を中心に、医療機関サイバーセキュリティの観点で「何が起きたのか」「なぜ起きやすいのか」「利用者は何に気を付けるべきか」をわかりやすくまとめます。

侵入経路は“医療機器保守用VPN装置”

病院の第2報で明記された「攻撃を受けたシステム」は、ナースコールシステムのサーバー3台です。ナースコールは入院患者が看護師を呼ぶための仕組みとして広く知られていますが、その裏側では端末やサーバーが稼働し、運用上の都合から患者情報と結び付いているケースも珍しくありません。今回、病院は当該サーバーがランサムウェア攻撃を受けたことを認め、さらに調査の結果として「侵入経路は医療機器保守用VPN装置であった」ことが確認されたとしています。

ここでいうVPN装置は、医療機器メーカーなどが遠隔で保守作業を行う目的で用いられることが多い仕組みです。便利な一方で、通常のIT統制の枠外に置かれやすいのが現実です。たとえば、病院の標準的なIT統制から外れた管理になっていたり、資産管理やパッチ適用、アクセス制御、多要素認証などの基本対策が後回しになっていたりします。厚生労働省も注意喚起の中で、VPN装置を含むゲートウェイ機器の脆弱性対策、管理インターフェースのアクセス制限、認証強化などを重要ポイントとして挙げています。今回の発表内容は、まさにその“急所”が突かれ得ることを示す事例として受け止めるべきでしょう。

漏洩した個人情報

病院は、漏洩が確認された個人情報の項目として、氏名、性別、住所、電話番号、生年月日、患者IDを挙げています。また、漏洩が確認された人数は「約1万人」で、これは2026年2月14日11時時点の確認値だとされています。一方で、患者が特に気にすると考えられる医療内容そのものについて、病院は「カルテ情報」の漏洩は現時点で確認されていないと明記しています。さらに、クレジットカード情報、マイナンバーカード情報についても、現時点では漏洩確認がないとしています。ここは不安を抱く利用者にとって重要なポイントです。ただし、ここでの注意点は「現時点では確認されていない」という表現が示す通り、調査が進む過程で情報が更新される可能性がゼロではないことです。病院も、仮に漏洩拡大が判明した場合はホームページで速やかに報告するとしています。

いつ気づき、どう動いたのか

第2報には、攻撃を認識した日時と経緯が日付単位で整理されています。最初の兆候は2026年2月9日午前1時50分頃、病棟のナースコール端末が動作不良となり障害を把握したことでした。その後、ナースコールシステムのベンダー調査により、サーバーがランサムウェア攻撃を受けたことが判明したとされています。病院は当該システムと関連ネットワークを遮断し、同日に文部科学省、厚生労働省、所轄警察へ報告したと公表しています。

続く2月10日には、厚生労働省の初動対応チームの派遣要請を行い、外部接続ネットワークを遮断してサーバー保全を開始。2月11日には初動対応チームの調査により、当該サーバーが院外と不正通信を行い、患者の個人情報を窃取していたことを確認したとされています。さらに、電子カルテを含む他の医療情報システムへの影響調査、外部接続ネットワーク機器の脆弱性や設定の調査も開始した、と時系列で説明されています。2月12日に個人情報保護委員会へ報告し、2月13日には漏洩した患者へ郵送でのお詫び連絡を開始した、と続きます。

この流れを見ると、ポイントは二つあります。ひとつは「障害として最初に見えた」こと、もうひとつは「通信ログ等の調査で情報窃取の事実確認に至った」ことです。ランサムウェアは“暗号化して身代金要求”のイメージが強い一方で、近年は暗号化だけでなく情報窃取を組み合わせ、二重三重の脅迫に発展するケースが問題視されてきました。今回の発表でも「不正通信」と「窃取」が明確に言及されており、病院がそこを重要事実として公表している点は見落とせません。

病院業務は止まったのか

医療機関へのサイバー攻撃で最も懸念されるのは、診療の停止や救急の受け入れ停止など、医療提供体制への影響です。今回、病院は2026年2月14日時点で、外来、入院、救急受け入れはいずれも通常通り実施していると説明しています。また「他の医療情報システムへの影響は現時点では確認されていない」とし、病院業務は通常通りと明記しています。

ここで大事なのは、“通常通り”という言葉の解釈を膨らませすぎないことです。病院が示したのは、その時点で確認できている範囲の診療体制であり、現場では臨時対応や負荷増が起きている可能性はあります。ただ、少なくとも公表文の事実としては、全面停止や救急停止を示す記述はなく、「止めずに継続している」という説明が中心です。

病院がとった封じ込めと復旧対応

第2報の中で、病院は「当該システム及び外部との通信を一切遮断し、専門家や電子カルテベンダーと共に、他のシステムへの影響について詳細な現況調査を継続して実施しております。」とし、原因となったランサムウェアの特定を完了し、「ウイルス対策ソフト会社より提供された最新のパターンファイルを用いて、現在、院内全域でのウイルス駆除作業を実施しております。」と説明しています。

サイバーインシデント対応として見ると、ここには典型的な優先順位が現れています。まず“広げない”ための遮断、次に“証拠を残す”ための保全、その上で“横展開の確認”として他システム影響調査、そして“回復”のための駆除作業です。特に医療機関では、電子カルテだけ守っても安全とは言い切れません。ナースコールのような周辺系、委託業者や医療機器ベンダーの保守経路、ネットワーク機器設定など、境界にある仕組みが狙われると、想定外の入口になります。私たちが特に注目すべきと考えるのは、医療機器保守用VPN装置が侵入経路として公表された点です。これは医療機関のセキュリティ対策が“例外管理”に弱いことを改めて突き付けています。

詐欺・なりすましへの警戒

今回漏洩が確認された情報には、氏名、住所、電話番号、生年月日が含まれます。これは、金融情報そのものではない一方で、なりすまし、勧誘、フィッシング、特殊詐欺の“材料”として悪用されやすい属性情報です。病院は、漏洩した患者に対して「直接連絡する」とし、実際に2月13日から郵送によるお詫び連絡を開始したと公表しています。したがって利用者側の現実的な対策は、まず「病院から届く郵送物や案内」を冷静に確認し、連絡先や手続きが公表内容と整合するかを見極めることです。そして電話やSMS、メールで“病院を名乗る連絡”が来た場合、いきなり個人情報を追加で伝えたり、リンクを開いて入力したりせず、病院が設置した問い合わせ窓口など、公式に案内された経路へ折り返し確認するのが安全です。病院は本件の相談・問い合わせ専用窓口（専用ダイヤルの複数回線やフリーダイヤル運用開始予定）を案内していますので、確認の際はそうした公式窓口を使うのが基本になります。

よくある疑問：電子カルテは大丈夫なのか、身代金は払ったのか

「電子カルテは大丈夫なのか」という疑問に対しては、病院の公表では、「他の医療情報システムへの影響は現時点では確認されていない」とされています。つまり、“影響なし”と断定しているというより、調査継続の前提で“少なくとも現時点の確認では影響が見つかっていない”という説明です。ここは言葉通りに受け止め、今後の更新を注視するのが適切です。

「身代金を払ったのか」という点については、第2報の本文からは読み取れません。少なくとも病院は、侵入経路、漏洩項目、診療状況、当局報告、遮断・調査・駆除といった事実を中心に説明しており、金銭要求や支払いに関する記載は確認できません。ここで外部の憶測を混ぜると正確性が落ちるため、本記事では触れません。

なぜ医療機関は狙われるのか：つながる医療機器

医療機関のサイバー攻撃を考えるとき、電子カルテだけを守ればよいという発想は危険です。病院には、医療機器、保守用回線、委託業者のネットワーク接続、建物設備、ナースコールのような周辺システムまで、多様な“つながる仕組み”があります。しかも医療の現場は24時間止められず、更新・停止・入れ替えが難しい機器も少なくありません。結果として、VPN装置のような境界機器が古い設定のまま残りやすかったり、管理者が限定されて全体の統制が効きにくかったりします。

厚生労働省の注意喚起でも、VPN装置を含むゲートウェイ機器の脆弱性対策を迅速に行うこと、管理インターフェースのアクセス制限を行うこと、多要素認証などで認証を強化すること、資産（IoT機器を含む）の把握を行うことが示されています。武蔵小杉病院の件で侵入経路が医療機器保守用VPN装置である、と公表されたことは、これらが“机上の理想”ではなく、現実の被害と直結する論点であることを、改めて裏付ける材料になっています。

企業・組織側が学ぶべき教訓：VPNと保守経路の統制はセキュリティの“盲点”

今回の公表内容から読み取れる最大の教訓は、保守のための例外的な経路を放置しないことです。医療機関に限らず、製造業、ビル管理、自治体、教育機関などでも、ベンダー保守用VPNは現場の利便性を理由に残りやすく、監査や更新の網から漏れがちです。だからこそ、ネットワーク図に載っていない接続点、ベンダーしか触れない装置、管理台帳にない機器といった“影の資産”を可視化し、アクセス制御、ログ監視、脆弱性対応、認証強化、契約と運用ルールの整備まで含めて統制する必要があります。また、今回病院が行ったように、初動で外部接続を遮断し、当局に報告し、初動対応チームや専門家と連携しながら調査と封じ込めを進めることは、医療機関のインシデントレスポンスとして重要です。平時から、遮断判断の基準、連絡系統、証拠保全の手順、ベンダー連携の契約条項、代替運用を準備しておかなければ、同じ判断を迅速に実行するのは難しくなります。

まとめ

日本医科大学武蔵小杉病院の公表によれば、今回のサイバー攻撃はナースコールシステムがランサムウェア攻撃を受けたことに端を発し、医療機器保守用VPN装置が侵入経路として確認され、患者の個人情報が窃取されたとされています。漏洩は約1万人、項目は氏名や住所、電話番号、生年月日、患者IDであり、カルテ情報やクレジットカード情報、マイナンバーカード情報の漏洩は現時点で確認されていない、というのが病院の説明です。

“病院のサイバー攻撃”という言葉は刺激的ですが、重要なのは、どのシステムが攻撃され、どの経路が弱点になり、どんな情報が漏洩し、利用者と組織が何に備えるべきかを、事実に即して理解することです。今回の事例は、電子カルテ以外の周辺システムも含めた医療機関サイバーセキュリティの必要性、そしてVPN装置や保守経路を例外扱いしない統制の重要性を、強く示しています。今後も病院の続報で情報が更新される可能性があるため、一次情報の確認を前提に、過度な憶測ではなく、現実的な警戒と備えにつなげることが肝要です。

サイバーインシデント緊急対応

セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

サイバーセキュリティ緊急対応電話受付ボタン
SQAT緊急対応バナー

ウェビナー開催のお知らせ

  • 2026年3月4日（水）14:00～15:00
    「脱PPAP対策、添付ファイル運用、本当に最適ですか？ ―添付するだけで自動分離。運用を変えない選択肢―」
  • 2026年3月18日（水）14:00～15:00
    「2026年、企業が直面するサイバー脅威 ― IPA 『情報セキュリティ10大脅威 2026』から考える対応戦略 ―」
  • 2026年4月15日（水）14:00～15:00
    「AI時代のサイバー脅威最前線 ― IPA『情報セキュリティ10大脅威2026』から学ぶ防御戦略 ―」

    • 最新情報はこちら

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    【速報版】情報セキュリティ10大脅威 2026 -脅威と対策を解説-

    Share
    【速報版】情報セキュリティ10大脅威 2026 -脅威と対策を解説-アイキャッチ画像

    2026年1月29日、独立行政法人情報処理推進機構（IPA）は「情報セキュリティ10大脅威 2026」（組織編）を公表しました。各脅威が自身や自組織にどう影響するかを確認することで、様々な脅威と対策を網羅的に把握できます。多岐にわたる脅威に対しての対策については基本的なセキュリティの考え方が重要です。本記事では、脅威の項目別に攻撃手口や対策例をまとめ、最後に組織がセキュリティ対策へ取り組むための考え方について解説します。

    「情報セキュリティ10大脅威 2025」の解説はこちら。ぜひあわせてご覧ください。
    「【速報版】情報セキュリティ10大脅威 2025 -脅威と対策を解説-」

    情報セキュリティ10大脅威 2026概要

    出典：独立行政法人情報処理推進機構（IPA）
    「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/pressrelease/2025/press20260129.html）（2026年1月29日）組織向け脅威

    独立行政法人情報処理推進機構（IPA）は「情報セキュリティ10大脅威 2026」を発表しました。「組織」向けの脅威では、1位に「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」が前年と同じ順位を維持。3位には「AIの利用をめぐるサイバーリスク」が初選出にして上位にランクインし、AIの利活用におけるリスクが無視できないものであることを示しています。また、6位の「地政学的リスクに起因するサイバー攻撃」には「情報戦を含む」と追記され、偽情報などの影響工作も含む脅威と明示化されました。昨年では10位にランクインしていた「不注意による情報漏えい等」が圏外となりました。

    2025年度版との比較

    昨年との比較でまず注目したいのは、「AIの利用におけるサイバーリスク」が初選出にして3位という上位にランクインしたことです。生成AI（LLM：大規模言語モデル）の急速な普及に伴い、「AIを利用した際の情報漏えいや権利侵害」、「AIが生成した誤情報を鵜呑みにすることで生じる問題」、そして「AIの悪用におけるサイバー攻撃の容易化・高度化」と多岐にわたるリスクが現実的な脅威となっています。

    新規項目のランクインに伴い、「不注意による情報漏えい等」が圏外となりましたが、不注意による情報漏えいは引き続き発生しており、対策が必要な脅威です。その他の項目については大きな変化はなく、「ランサム攻撃による被害」と「サプライチェーンや委託先を狙った攻撃」は、例年通り不動の1位2位となっています。

    日本の大手企業も被害にあった「ランサム攻撃による被害」「サプライチェーンや委託先を狙った攻撃」

    2025年版に続き、「ランサムウェアによる被害」と「サプライチェーンの弱点を悪用した攻撃」が1位・2位を占めました。これは2023年以降4年連続となっており、情報処理推進機構（IPA）によると、2025年もランサムウェア被害が多発し、取引先を含むサプライチェーン全体へ深刻な影響が及んだ事実が、この順位の不動ぶりを表しているとのことです。

    ランサムウェア攻撃は、データを暗号化して復旧と引き換えに身代金を要求する手口に加え、窃取情報の公開をちらつかせる「二重脅迫」が主流です。2025年の象徴的な事例として、アサヒグループホールディングスへのランサムウェア攻撃がありました。これにより、受注・出荷システムに障害が発生し、一部商品の品薄など消費者にも影響が波及しました。また国内飲料事業では、昨年10月の暫定売上が前年同月比で約6割に落ち込むなど、事業面に大きな爪痕を残しています。*2

    アサヒグループホールディングスへのランサムウェア攻撃をはじめとした、国内のランサムウェア被害の事例については、以下の記事でも解説しています。ぜひあわせてご覧ください。
    ・【速報】アサヒグループホールディングス社長会見、犯行は「Qilin」―サイバー攻撃の全貌とセキュリティの盲点（https://www.sqat.jp/kawaraban/40295/）
    ・アサヒグループを襲ったランサムウェア攻撃（https://www.sqat.jp/kawaraban/39292/）
    ・アサヒグループも被害に ―製造業を揺るがすランサムウェア攻撃（https://www.sqat.jp/kawaraban/39672/）
    ・【2025年最新】日本国内で急増するランサムウェア被害-無印良品・アスクル・アサヒグループの企業の被害事例まとめ-（https://www.sqat.jp/kawaraban/39635/）

    ランサムウェア攻撃は有名企業に限らず、体制が手薄な中小企業も広く標的とします。ひとたびシステムが完全に暗号化されると、復旧には多大な時間とコストを要します。そのため、侵入を防ぐ観点では、外部公開されたVPN機器等の棚卸しによる不要な経路の閉鎖、必要な経路への多要素認証の徹底、そして機器の脆弱性管理を継続することが重要です。あわせて、侵入されても業務を止めないために、ネットワークから切り離したバックアップの確保や復元訓練、ログ監視、初動手順の整備を行い、平時から「短期間で業務を戻せる設計」を作っておくことが求められます。

    一方、サプライチェーン攻撃は、標的企業への直接侵入が難しい場合に、セキュリティ対策が手薄な取引先や委託先を足がかりに侵入する点が特徴です。多くの企業がクラウドサービスや外部ベンダーに依存する現在、攻撃者はその隙を狙っています。2025年の事例として、アスクル株式会社のシステムへのランサムウェア攻撃がありました。例外的に多要素認証を適用していなかった業務委託先の管理者アカウントが侵入経路になったとされています。*2 その結果、出荷業務の停止に追い込まれ、約52億円を特別損失に計上する事態へと発展しました。*3

    サプライチェーン攻撃は自社の努力だけでは防ぎきれず、委託先を含む全体での統制が必要です。契約時にセキュリティ要件を明確にし、例外運用を恒常化させない仕組み作りが不可欠です。加えて、ゼロトラストアーキテクチャを採用し、すべてのアクセスを検証する仕組みを構築することも有効な対策となります。

    急速な普及と共に顕在化している「AIの利用をめぐるサイバーリスク」

    「情報セキュリティ10大脅威 2026」では、新たに「AIの利用をめぐるサイバーリスク」が3位にランクインしました。ここでのリスクとは、AIへの理解不足に起因する情報漏えいや権利侵害、誤情報の鵜呑みによる判断ミス、さらにAI悪用によるサイバー攻撃の容易化・巧妙化など多岐にわたります。例えば、英国企業ArupではAI技術（ディープフェイク）で生成された偽のCFOや従業員とのビデオ会議により、2,500万ドルの詐欺被害に遭ったと発表されました。「映像や音声で会話ができるなら本人に間違いない」という心理的な隙を突いた攻撃手法です。*4また、「KawaiiGPT」のような攻撃用にカスタマイズされた悪性AIの登場により、経験の浅い攻撃者でも、従来は数時間〜数日かかっていた攻撃サイクルをわずか数分で実行できる環境が整備されつつあります。また、「KawaiiGPT」のような攻撃用にカスタマイズされた悪性AIの登場により、経験の浅い攻撃者でも、従来は数時間〜数日かかっていた攻撃サイクルをわずか数分で実行できる環境が整備されつつあります。*5

    攻撃を受けるリスクだけでなく、AIの「利用者側」のリスクも無視できません。米国企業Teslaは、発表イベントで使用したAI生成画像が既存映画の場面に酷似しているとして、制作会社から提訴されました。*6自社生成した画像であっても、意図せず既存作品に似てしまい法的リスクを招く一例です。また、生成AIが捏造した判例や引用を、弁護士が検証不足のまま提出して懲戒処分などに発展した事例も複数報じられています。*7これは法務だけの問題ではなく、AIによる「もっともらしい誤情報」が人の判断ミスを誘発するという重要な示唆を含んでいます。基本的なセキュリティ対策の徹底はもちろんですが、不十分な理解のままAIを利用するリスクを認識し、教育を通じてAIリテラシーを強化することも重要となっています。

    情報戦への拡大「地政学的リスクに起因するサイバー攻撃（情報戦を含む）」

    「地政学的リスクに起因するサイバー攻撃」とは、国際情勢の緊張や対立が、直接的にサイバー空間の脅威へと波及するリスクを指します。今回、項目名に「情報戦を含む」と明示されたように、国家が支援するサイバー攻撃は、システムの破壊や金銭の窃取に留まりません。偽情報の流布や情報操作を通じて、選挙への介入や社会の混乱を狙うケースが増加しています。英国では、現職議員が「離党を宣言する」かのようなAI生成の偽動画（ディープフェイク）が拡散され、本人が警察に通報する事態が報じられました。*8これは、AIによって「本物に見える偽情報」の作成コストが劇的に低下し、政治家を標的とした情報工作が、選挙制度や民主主義にとって深刻な脅威となりつつあることを示しています。

    このように、地政学的リスクに伴うサイバー攻撃において、情報戦や影響工作のリスクが今後も高まると予測されることが、今回あえて「情報戦を含む」と明記された背景にあると考えられます。

    その他の脅威

    ここからは、これまでに述べた4つ以外の脅威について説明します。

    4位「システムの脆弱性を悪用した攻撃」

    ソフトウェアやシステムの脆弱性が発見されると、攻撃者は修正プログラムが提供される前に攻撃を仕掛ける「ゼロデイ攻撃」を行うことがあります。また、修正プログラム公開後であっても、適用の遅れている企業や組織を狙い、既知の脆弱性を悪用するケースも後を絶ちません。2025年に報告されたNext.jsの脆弱性「React2Shell」の事例（※ページ下部に参考情報記載）では、公表からわずか二日後に実際の攻撃が確認され、一週間以内に観測された攻撃試行回数は約140万回にも及んだとされています。*9このように攻撃者は脆弱性公開から直ちに悪用を開始するため、最新情報を常に追跡し、迅速に対応することが求められます。

    対策： 最新のセキュリティパッチを迅速に適用することが不可欠です。また、どこにどのソフトウェアが使われているかを把握するため、SBOM（ソフトウェア部品表）の導入など、脆弱性管理体制の強化が有効です。

    5位「機密情報を狙った標的型攻撃」

    標的型攻撃とは、明確な意思と目的を持った攻撃者が、特定の企業・組織・業界を狙い撃ちにするサイバー攻撃です。不特定多数への無差別な攻撃とは異なり、機密情報の窃取やシステムの破壊・停止といったゴールを定め、執拗に実行される点が特徴です。攻撃は長期間継続することが多く、ターゲットのネットワーク内部に数年間にわたり潜伏して活動する事例も確認されています。

    対策： 従業員への標的型攻撃メール訓練、メールセキュリティの強化、多要素認証の実施などが基本的です。加えて、侵入を前提とした「ゼロトラストモデル」の導入やネットワーク監視、アプリケーション許可リストの活用により、侵入の防止だけでなく早期発見と対処を可能にする体制づくりが有効です。

    7位「内部不正による情報漏えい等」

    組織の従業員や元従業員など、内部関係者による機密情報の持ち出しや削除といった不正行為を指します。これには、組織への不満や金銭目的による「悪意ある犯行」だけでなく、ルールに違反して持ち出したデータの紛失・誤操作といった、第三者への漏えいにつながる「過失」も含まれます。発生すれば、社会的信用の失墜、損害賠償、顧客離れや取引停止に加え、技術情報の流出による競争力低下など、組織に甚大な損害をもたらす恐れがあります。

    対策： アクセス権限の最小化、ログ監視の強化、定期的な従業員教育、退職者のアカウント管理徹底、そして機密情報の持ち出しルールの策定などが有効です。これらを組み合わせ、不正行為の「抑止」と「早期発見」を図ることが重要です。

    内部不正による情報漏えいついては以下の記事でも解説しています。ぜひあわせてご覧ください。「内部不正による情報漏えい-組織全体で再確認を！-」

    8位「リモートワーク等の環境や仕組みを狙った攻撃」

    新型コロナウイルス対策を契機にテレワークが急速に普及し、社外からVPN経由でシステムへアクセスしたり、オンライン会議を行ったりする機会が定着しました。その結果、セキュリティ対策が不十分な自宅ネットワークや私物PCの業務利用に加え、従来は出張時や緊急時のみの使用を想定していたVPN機器等が、恒常的に使われるようになりました。こうしたテレワーク環境に脆弱性が残っていると、社内システムへの不正アクセスやマルウェア感染、Web会議の盗聴といった深刻なリスクにつながります。トレンドマイクロによれば、過去2年間に行ったランサムウェア被害に対するインシデント対応支援の中でも、およそ7割がVPN経由の事例とのことであり、VPN機器の徹底した管理が求められます。*10

    対策： ゼロトラストセキュリティの導入、VPN装置等のネットワーク機器に対するセキュリティ強化とパッチ適用、多要素認証の徹底、そして従業員へのセキュリティ教育の実施などが有効です。

    9位「DDoS攻撃（分散型サービス妨害攻撃）」

    攻撃者が乗っ取った複数の機器（ボットネット）から、特定のサーバやネットワークに対して大量の通信を送り付け、サービスを停止に追い込む攻撃です。近年は、セキュリティ対策が手薄なIoT機器が悪用され、攻撃規模が巨大化しています。また、単なる愉快犯的な妨害だけでなく、攻撃停止と引き換えに金銭を要求する「ランサムDDoS」が増加傾向にあります。これにより、ECサイトの長時間のダウンによる金銭や顧客の離脱などの機会損失や、クラウドサービスの従量課金制を悪用し、数千万円規模の過大請求を発生させる（EDoS攻撃）等、事業継続に直結する深刻な被害が発生しています。

    対策：自社設備だけでの防御は困難なため、CDN（Contents Delivery Network）やWAF（Web Application Firewall）などの対策サービスを導入し、負荷分散と遮断を行うことが基本です。あわせて、攻撃の影響を受けない非常用回線の確保やシステムの冗長化、停止時の代替サーバや告知手段を事前に整備することが重要です。

    DoS攻撃/DDoS攻撃については以下の記事でも解説しています。ぜひあわせてご覧ください。「DoS攻撃のリスクと対策：アクセス急増の原因と見分け方、サービス停止を防ぐ初動対応」

    10位「ビジネスメール詐欺」

    ビジネスメール詐欺（BEC：Business Email Compromise）は、業務連絡を装った巧妙な偽メールを組織・企業に送り付け、従業員を騙して資金を詐取するサイバー攻撃です。攻撃者は準備段階として、企業内の情報を狙ったり、ウイルスを使用して業務メールを盗み見たりすることで、本物そっくりの文面やタイミングを作り上げます。

    対策： 送信ドメイン認証（DMARC・SPF・DKIM）の導入やセキュリティソフトによるフィルタリング強化といった技術的対策に加え、不審な送金依頼に対する複数人確認ルールの徹底、従業員への訓練を行い、被害の防止と早期発見を図ることが有効です。

    ビジネスメール詐欺については以下の記事でも解説しています。ぜひあわせてご覧ください。 「ビジネスメール詐欺（BEC）の脅威と企業に求められる対策」

    【参考情報】

    BBSecでは

    当社では様々なご支援が可能です。お客様のご状況に合わせて最適なご提案をいたします。当当サイトSQAT® jpのお問い合わせページよりお気軽にお問い合わせください。後日営業担当者よりご連絡させていただきます。

    SQAT® 脆弱性診断

    BBSecの脆弱性診断は、精度の高い手動診断と独自開発による自動診断を組み合わせ、悪意ある攻撃を受ける前にリスクを発見し、防御するための問題を特定します。Webアプリケーション、ネットワークはもちろんのこと、ソースコード診断やクラウドの設定に関する診断など、診断対象やご事情に応じて様々なメニューをご用意しております。

    SQAT脆弱性診断サービスバナー画像

    SQAT® ペネトレーションテスト

    「ペネトレーションテスト」では実際に攻撃者が侵入できるかどうかの確認を行うことが可能です。脆弱性診断で発見したリスクをもとに、実際に悪用可能かどうかを確認いたします。

    ウェビナー開催のお知らせ

  • 2026年4月15日（水）14:00～15:00
    「AI時代のサイバー脅威最前線 ― IPA『情報セキュリティ10大脅威2026』から学ぶ防御戦略 ―」

    • 最新情報はこちら

    編集責任：木下

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    ウェビナーアーカイブ動画ページバナー画像
    投稿日:

    サイバー攻撃リスク評価を投資判断に活かす：コストから経営戦略へ転換する方法

    Share
    「サイバー攻撃リスク評価を投資判断に活かす：コストから経営戦略へ転換する方法」アイキャッチ画像

    サイバーセキュリティ対策を単なるコストとして捉えている限り、企業は本質的な防御力を高めることができません。サイバー攻撃リスク評価は、被害コストを可視化し、投資対効果を示すことで、経営判断を支える重要なツールになります。近年では、取引条件や企業価値評価の一部としてリスク管理体制が問われるケースも増えています。本記事では、リスク評価を経営戦略やセキュリティ投資にどう活かすべきか、その考え方と実践ポイントを解説します。

    本記事で扱う「投資判断としてのサイバー攻撃リスク評価」は、リスク評価の全体像を理解していることが前提となります。評価の考え方や具体的な進め方については、以下の記事で整理しています。こちらもあわせてぜひご覧ください。
    「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

    なぜ今、サイバー攻撃リスク評価が経営戦略に必要なのか

    サイバー攻撃の脅威は劇的な進化と拡大を続けています。日本の経営現場でもセキュリティ投資を「将来の不確定損失への保険」として扱う潮流は根強く残っていました。しかし今や、サイバー攻撃リスク評価とサイバー攻撃の被害とコストの具体的な計算なしには本気の経営戦略も企業価値向上も語れません。デジタルトランスフォーメーション（DX）が加速する2026年以降、強固なサイバーセキュリティ体制が顧客からの信頼・安定的なサービス・市場競争力の三本柱になる現実を、多くの企業が既に体感し始めています。

    被害コストを起点に考える投資対効果

    これまで企業の経営層がセキュリティ対策費をコスト、いわば”掛け捨ての保険”と見なしていたのは、具体的な被害像や金額イメージが掴めなかったことが大きいでしょう。しかしランサムウェアの急増に象徴されるように、ひとたびサイバー攻撃がヒットすれば、全国で数億円規模のダメージが企業や組織を襲います。一度の攻撃でシステムが10日間停止し、数千万～数億円の売上機会が消失、追加の訴訟・通知・見舞金対応費が膨れ上がる実例も後を絶ちません。サイバー攻撃 被害 コストを具体的な数字で算定し、いかに戦略的に投資配分するか。—この問いへ本質的に向き合う企業のみが、次の時代へ生き残ると言えます。

    このような投資対効果の考え方は、実際にどの程度の被害コストが発生しているのかを把握して初めて成立します。
    「サイバー攻撃被害コストの真実―ランサムウェア被害は平均「2億円」？サイバー攻撃のリスク評価で“事業停止損害”を可視化」

    サイバー攻撃リスク評価を「共通言語」にする

    実際、経営層を動かすには共通言語としてのリスク評価が不可欠です。たとえば担当者が「EDRソリューション導入予算が欲しい」と要望しても、テクニカルな言葉だけでは決裁は通りません。しかしリスク評価とコスト算定を示し、「現状では年間18%の確率で直接被害2億円が発生します。今回の500万円投資で、その確率が2%まで低減し、被害コスト回避インパクトは桁違いです」と数値根拠に基づき説明すれば、経営トップの意思決定を導けます。セキュリティ投資は、単なる損失回避のコストではなく、企業価値や信用、レジリエンス（回復力）向上の“収益性ある施策”として位置付けるべき新時代に来たのです。

    AI時代に求められるリスク評価サイクルの高速化

    サイバー攻撃リスク評価の精度・スピードはAIの登場によって質的な転換点を迎えています。Hornetsecurity社の調査レポートによれば、サイバー攻撃側は生成AIによる偽装メールや未知マルウェア作成など、かつてない速度と精度で攻撃を自動化しているとのデータもあります。実際、前年度比でマルウェア混入メールは131%増加というショッキングな統計も出ています。これに対抗すべく、防御側にもAI型EDRや脅威インテリジェンス、リスク評価自動化プラットフォームの導入が相次いでおり、もはや従来の手動＆記憶頼み、年1回の見直しだけでは攻防サイクルに全く追いつかないのが現実です。セキュリティは攻めのIT、新たな事業基盤であるという認識転換が急務です。

    サプライチェーンリスク評価が企業価値を左右する

    また、近年問題化しているのがサプライチェーン全体のリスク管理です。大手・中小を問わず、委託や取引先からの情報漏洩・部品供給ストップが自社の市場シェアやサービスそのものに致命的な影響を及ぼします。実際、IPAや警察庁など複数の一次資料も、サイバー攻撃リスク評価を取引条件に組み込み、委託先企業を定量的に監査する流れの重要性を強調しています。既存市場では、リスク評価を実施していない企業は受託から外されるリスクも急上昇しているのです。安全なサプライチェーン網の維持こそが、新たな事業参入や大型受注の“入場パス”となりつつあります。

    レジリエンス（回復力）を軸にした経営判断

    最後に、サイバー攻撃対策で企業が真に目指すべきゴールは「レジリエンス＝回復力の獲得」です。全ての攻撃を100%阻止するのは不可能である。—この冷徹な現実を受け容れ、発生時に致命的な被害コストだけは外さない仕組みを整える、そしていざインシデント発生時には準備したBCP（事業継続計画）やプレイブックに即し、冷静かつ迅速に被害最小化策を実行できる現場文化を育てること。その強靭さこそが不確実なデジタル経済を生き残る最大の武器となります。

    こうしたレジリエンス重視の経営判断も、場当たり的に行うことはできません。前提となるのは、自社の資産・脅威・影響度を整理したサイバー攻撃リスク評価です。
    「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

    おわりに：リスク評価を投資サイクルに組み込む経営へ

    繰り返しますが、恐怖や煽りでは企業は変わりません。正確なリスク評価と客観的な投資対効果を土台に、合理的判断によるサイバー攻撃対策投資を経営に実装すること。このサイクルだけが、激変する2026年以降の未来で貴社・貴組織の持続可能な価値創造を支える唯一の道なのです。

    サイバー攻撃リスク評価を経営に活かすためには、まず自社の現状を正しく把握することが不可欠です。具体的な評価プロセスや実践手順については、以下の記事で詳しく解説しています。
    「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

    【参考情報】

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    限定キャンペーン実施中！

    今なら新規お申込みで 初回診断料金 10％OFF！
    短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    2025年4Q KEVカタログ掲載CVEの統計と分析

    Share
    2025年4Q KEVカタログ掲載CVEの統計と分析アイキャッチ画像

    米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）から公開されている「KEVカタログ（Known Exploited Vulnerabilities）」は、実際に攻撃に悪用された脆弱性の権威あるリストとして、組織のセキュリティ対策の優先順位付けに不可欠なツールとなっています。本記事では、KEVカタログに2025年10月1日～12月29日に登録・公開された脆弱性の傾向を整理・分析します。

    本記事は2025年1Q：第1四半期～3Q：第3四半期の分析レポートに続く記事となります。過去記事もぜひあわせてご覧ください。
    「2025年1Q KEVカタログ掲載CVEの統計と分析」
    「2025年2Q KEVカタログ掲載CVEの統計と分析」
    「2025年3Q KEVカタログ掲載CVEの統計と分析」

    はじめに

    2025年第四四半期（10月～12月）における既知の悪用された脆弱性の統計分析レポートです。本記事は最新のデータから見える傾向を解説します。前回までの分析ではMicrosoftやCisco製品への攻撃の多さや古い脆弱性が依然悪用されている実態が明らかとなりました。今回は第四四半期のデータを掘り下げ、攻撃トレンドの変化やリスクの深刻度を検証します。経営層に有用な全体像の把握と、技術担当者向けの詳細な分析を両立させ、組織が取るべき対策についても提言します。

    2025年4Qの統計データ概要

    2025年第四四半期に新たにKEVに追加・公開された脆弱性は62件でした。第三四半期（51件）から増加に転じ、2025年1月～12月29日時点で245件（2024年累計186件から約30%増）となっています。まずは月別推移や脆弱性の種類・深刻度について、データの全体像を俯瞰し、特にランサムウェア関連の脆弱性や影響度の大きい脆弱性、自動化攻撃が可能な脆弱性に着目します。

    登録件数の月別推移

    10月に追加件数が31件と突出し、11月は11件、12月は20件となりました（図1参照）。月ごとのばらつきが大きく、10月に集中して脆弱性が公表・追加されたことが分かります。これは各メーカーの定例アップデート直後に既知悪用事例が判明したケースが多いためと考えられ、特定の月に攻撃が急増する傾向が引き続き見られます。4Q全体では3Qからの増加により、年末にかけて脅威が再び活発化したことを示唆します。

    2025年4Q 月別KEV登録件数の推移グラフ
    図1：2025年4Q 月別KEV登録件数の推移グラフ

    主要ベンダー別の内訳

    4Qに新規追加された脆弱性のベンダーを見ると、Microsoftが10件と突出して最多でした。次いでOracle、Fortinet、Gladinetが各3件、Google、Samsung、Kentico、Android、OpenPLC、Dassault Systèmes、WatchGuardなどが各2件で続きます。3Qで多かったCiscoは1件に留まり、Microsoft製品への攻撃集中が際立つ結果です。一方、新たにGladinet（クラウドストレージ）やOpenPLC（産業制御システム）といったベンダーの脆弱性が複数追加されており、攻撃対象の幅が広がっていることが分かります。これは企業向けソフトウェアから家庭用/産業用機器まで攻撃者の関心が及んでいることを示し、ITインフラ全体で対策が必要です。

    脆弱性タイプ（CWE）の分布

    CWE件数脆弱性タイプ
    CWE-7875範囲外の書き込み
    CWE-784OSコマンドインジェクション
    CWE-8623認可の欠如
    CWE-2843不適切なアクセス制御
    CWE-202不適切な入力検証
    CWE-4162解放済みメモリの使用
    CWE-4342危険なタイプのファイルのアップロード許可
    CWE-222パストラバーサル
    CWE-792クロスサイトスクリプティング (XSS)
    CWE-3062重要な機能の使用に対する認証の欠如
    2025年4Q CWE分布表

    悪用された脆弱性の種類としては、範囲外の書き込み（CWE-787）が5件で最多となりました。次いでOSコマンドインジェクション（CWE-78）が4件で続きます。認証・認可に関わる欠陥（CWE-862, CWE-284, CWE-306）も合計8件と多く、アクセス制御の不備が依然として攻撃者に悪用されやすいことが分かります。また、メモリ管理上の欠陥である解放済みメモリの使用（CWE-416）や範囲外の書き込み（CWE-787）など、低レベルのプログラムバグも上位を占めており、メモリ安全性の欠陥が攻撃に利用されるケースが増えています。

    過去頻出したパストラバーサル（CWE-22）も複数含まれており、データから見ると、入力検証検証の不備を突いた攻撃（インジェクション系）、認証・認可の不備、そしてメモリ安全性の欠如という3つの古典的な脆弱性カテゴリーが依然悪用の中心であることが読み取れます。

    攻撃の自動化容易性（Automatable）

    4Qに登録された脆弱性のうち、約48%（30件）は自動化攻撃が容易である「Yes」と分類されました。これは自動スキャンやマルウェアボットによる大規模攻撃に適した脆弱性が増えたことを意味します。残る52%（32件）は「No」（手動操作や特定条件が必要）ですが、スクリプトキディでも悪用できる脆弱性が半数近くを占める状況は深刻です。（2025年年間累計は図3参照）攻撃者は脆弱性を迅速にスキャン・悪用する自動化ツールを駆使するため、組織側も早期パッチ適用と防御網の自動化で対抗する必要があります。

    攻撃の自動化容易性“Yes/No”割合の円グラフ
    図2：攻撃の自動化容易性“Yes/No”割合の円グラフ(2025年累計）

    技術的影響範囲（Technical Impact）

    62件中55件（約89%）は「Total」（＝脆弱性を突かれるとシステムを完全制御されてしまう深刻な影響を持つもの）でした。（図3参照）。攻撃者がシステム全面乗っ取り可能な脆弱性を優先的に悪用していることがわかります。特に単独で完全権限を奪える脆弱性は魅力的な標的であり、一方部分的な影響に留まる脆弱性も他のTotalな脆弱性と組み合わせて攻撃チェーンに利用される恐れがあります。

    Total/Partial割合の比較チャート
    図3：Total/Partial割合の比較チャート

    ※注）KEVカタログ掲載時点で実害確認済みである以上、CVSSスコアの大小や影響範囲の違いに関わらず優先度高く対処すべきである点に留意が必要です。

    CVSSスコア分布

    4Qに追加された脆弱性のCVSS基本値は、最大が10.0（3件）、9.8が数件含まれ、9.0以上の「Critical（緊急）」帯が約39%（24件）、7.0～8.9の「High（高）」帯が約52%（32件）を占めました。残り約10%がMedium以下です。平均値は8.48で、前四半期同様に高スコアの欠陥が大半を占めています。3QではCVSS10.0が5件含まれていましたが、4QではCritical帯比率は維持しつつ極端に満点の脆弱性は減少しました。それでもなおHigh以上が全体の9割を超えており、KEVカタログに登録される脆弱性がいかに深刻度の高いものに偏っているかを裏付けています。Criticalでなくとも攻撃に利用され得る（実際に悪用された）ことを示すデータでもあり、スコアに油断せず注意が必要です。

    攻撃手法・影響の深掘り分析

    前述の統計情報を踏まえ、4Qに観測された攻撃の特徴や脅威動向をさらに分析します。ランサムウェアなどサイバー犯罪による悪用事例や、国家支援型グループ（APT）の関与、古い脆弱性の再悪用など、データから読み取れるポイントを考察します。

    実際にランサムウェア攻撃に悪用された脆弱性

    3Qと同様、ランサムウェア攻撃での悪用が確認された事例はごく少数に留まります。4Qに追加された62件中、実際にランサムウェアに悪用されたと判明しているのは3件（約5%）でした。具体的にはオラクルの Oracle Concurrent Processing における認証に関する脆弱性／Oracle E-Business Suite（EBS）のSSRF（サーバサイドリクエストフォージェリ）の脆弱性（CVE-2025-61882および61884）やReact Server Componentsにおける認証不要のリモートコード実行の脆弱性（CVE-2025-55182）がランサムウェア攻撃で利用された例です。これらはいずれも企業の基幹システムや広く使われるフレームワークに関わる欠陥で、金銭目的の攻撃者に狙われたと考えられます。ただしKEVカタログ全体で見ると、依然として国家主体・高度なAPT攻撃での悪用例が多く、ランサムウェアによる事例は氷山の一角です。これは、KEVカタログが単なる理論上の危険性ではなく、「現在進行形で利用されている攻撃手法」を反映したリストであることを示しています。高度な攻撃者はゼロデイ脆弱性を含む様々な欠陥を悪用しており、ランサムウェア以外の脅威にも引き続き注意が必要です。

    古い脆弱性の再注目

    4Qに新規登録された脆弱性の中には、2024年以前に発見されたものが17件（約27%）含まれていました。最も古いものは2010年公表のMicrosoft製品の脆弱性（CVE-2010-3962）で、15年以上前の欠陥が今になって攻撃に利用されたことになります。前四半期にも2020年公表のD-Link製品脆弱性が複数追加されており、サポート切れの古い機器・ソフトが依然として攻撃対象になる実態が浮き彫りです。こうした古い脆弱性はパッチ未適用のまま放置されている資産が狙われており、攻撃者は年代を問わず利用可能な欠陥を有効活用しています。組織内に残存するレガシーシステムの脆弱性管理を怠ると、想定外に古いバグで侵入を許すリスクがあることに注意が必要です。

    脆弱性悪用の手口

    攻撃者の手口としては、引き続きリモートコード実行（RCE）や権限昇格といった直接的にシステム乗っ取りに繋がる攻撃が顕著です。例えば前述のCWE分布にあるCWE-787, CWE-416などのメモリ破壊型脆弱性は、悪用された場合、ターゲットプロセス内で任意コード実行やサービス停止を引き起こします。またCWE-78等のコマンドインジェクションは、サーバー上で攻撃者のコマンドを実行させる手段として多用されています。4Qにはこれらテクニカルな攻撃に加え、認証・認可の不備（CWE-306/862等）を突いて管理者権限を不正取得するケースも見られ、攻撃パターンは多岐に及びます。総じて攻撃者は最も効率よく高い権限を得られる脆弱性の組み合わせを模索しており、一つでも未対策の弱点があれば連鎖的に侵入を許す恐れがあります。

    影響とリスクの評価

    攻撃者は完全なシステム制御が可能な脆弱性（＝「Total」）を好んで悪用します。CVSSスコアが「High」や「Critical」の深刻度であればなおさらですが、たとえ中程度でも「KEVカタログに掲載＝実害発生済み」である以上、油断は禁物です。特にランサムウェア攻撃では、初期侵入に使った脆弱性自体はさほど目立たない中～高程度の欠陥であっても、内側で別のCritical脆弱性と組み合わせて横展開・権限昇格することが知られています。部分的な影響の脆弱性であっても他の欠陥と組み合わされば致命傷となり得るため、既知の悪用脆弱性は大小問わず優先的に潰す姿勢が重要です。経営層にとっても、これらの統計が示すリスクの高さを踏まえれば、脆弱性対応に十分なリソース投資と適切な意思決定を行う必要性が理解できるでしょう。

    組織が取るべき対策

    4Qの分析レポートの結果を受け、組織として優先的に講じるべき脆弱性管理策を整理します。経営層は戦略的視点から、現場のセキュリティ担当者は実践的観点から、以下のセキュリティ対策の実施をおすすめします。

    KEV掲載脆弱性の最優先パッチ適用

    CISAは継続的にKEVカタログ掲載項目を優先的に修正するよう勧告しています。自社で利用する製品・システムに該当する脆弱性が公開された場合、定例パッチを待たず緊急で対応する体制を整えましょう。自動アラートによる通知や情報資産との照合などによって見落としを防ぐ運用が有効です。特に公表から日が浅い脆弱性は攻撃者も素早く狙ってくるため、初動対応のスピードが重要になります。

    主要ベンダー製品の迅速なアップデート

    MicrosoftやOracle、Cisco、Googleなど主要ベンダーのソフトウェアや機器は引き続き攻撃者の主要標的です。毎月発表されるセキュリティ更新プログラム（例: Microsoftの月例パッチ）や緊急アップデート情報を速やかに収集し、適用テストを経て迅速に全社展開する習慣をつけましょう。4QではMicrosoft製品の脆弱性が突出しましたが、他ベンダーでもゼロデイが報告されればすぐ悪用される可能性があります。例えば「重要なアップデートは可能な限り2週間以内に適用」などといった内部目標を設定し、経営陣もその重要性を認識すべきでしょう。

    ネットワーク機器・IoT/産業機器の点検

    企業ネットワークや工場内に設置されたルーター、NAS、監視カメラ、制御システム等も忘れてはいけません。4QにもD-LinkルーターやOpenPLCなどIoT/OT機器の脆弱性が含まれており、これらは往々にしてファームウェア更新が滞留しがちです。サポート切れやアップデート未適用の機器がないか棚卸しし、可能な限り最新ファームウェアへの更新や機器リプレースを実施しましょう。どうしても更新できない場合は、ネットワーク分離やアクセス制限など緩和策を講じ、インターネットから直接アクセスできる状態を放置しないことが重要です。

    脅威検知とインシデント対応の強化

    脆弱性への対策だけでなく、悪用された際に速やかに検知・対応する能力も不可欠です。IPS/IDSやエンドポイント検知（EDR）のシグネチャを最新化し、KEVに掲載された脆弱性の既知の攻撃パターンやIoC（Indicators of Compromise）を監視します。CISAやセキュリティベンダーから提供される検知ルールやYARAルールを活用し、ログ分析やトラフィック監視に組み込みましょう。また万一侵入を許した場合でも、早期にそれを発見し被害を最小化できるようインシデント対応訓練を積んでおくことも有効です。

    資産管理と内部教育の徹底

    攻撃者に狙われる脆弱性は多岐にわたるため、まずは自社システムの全容を把握することが出発点です。ハードウェア・ソフトウェア資産の最新インベントリを整備し、使用中の全ての製品についてサポート状況や最新パッチ適用状況をチェックします。使われていないシステムや旧式OSは計画的に撤去し、やむを得ず残す場合もネットワークを分離するなどリスク低減策を講じます。またIT部門や開発部門に対し、「古い脆弱性を放置しない」「定期的なアップデート適用は必須」といった意識付けを行います。定期的なセキュリティ研修や訓練で、脆弱性管理の重要性を全社員と共有することも大切です。

    脆弱性管理プロセスの強化と自動化

    増加する脆弱性に対処するには、属人的な対応から脱却しプロセスとツールの整備を進める必要があります。脆弱性情報収集から評価、パッチ適用状況のトラッキングまで一元管理できる仕組みを整えましょう。例えばKEVカタログのデータを自社資産データベースと照合する自動ツールを導入すれば、新たな緊急欠陥の検知と対応指示を迅速化できます。また定期的に脆弱性対応状況をレビューし、未対応件数や所要日数といったKPIを計測・改善することも効果的です。経営層は必要な人員・予算を投じ、継続的に脆弱性管理体制を進化させることが求められます。

    脆弱性管理プロセスの概要とポイントについては以下の記事でも解説しています。あわせてぜひご覧ください。
    「脆弱性管理とIT資産管理-サイバー攻撃から組織を守る取り組み-」

    まとめ

    2025年4QKEVカタログ分析レポートからは、攻撃者の手口がより広範かつ巧妙になっている実態が浮き彫りになりました。特に今年はKEVカタログへのCVE追加件数が前年より増加し記録更新となったことから、従来以上のハイペースで緊急脆弱性が発生・悪用される可能性が高まっています。侵入前提での備えを強化すべきでしょう。

    2025年を通じて言えることは、脆弱性対応のスピードと徹底度を組織文化として根付かせることです。経営層はリスクと投資対効果を理解し、現場は技術的施策を愚直に実行する。そして最新の脅威情報をキャッチアップし続けることで、組織全体のサイバー耐性を高められるでしょう。来たる2026年も同様のレポートを継続し、変化する攻撃者の戦術に対抗すべく知見をアップデートしていきます。

    BBSecでは

    脆弱性の悪用リスクに迅速に対応するには、専門家の支援を仰ぐことも有効です。ブロードバンドセキュリティ（BBSec）では、発覚した脆弱性への対応支援や緊急インシデント対応サービスをご提供しています。自社だけでは対応が難しいゼロデイ攻撃の発生や、大規模サイバー攻撃の兆候を検知した際はぜひご相談ください。経験豊富なセキュリティ専門チームが、お客様のシステム状況の迅速な把握、攻撃の封じ込め、再発防止策の導入まで包括的にサポートいたします。また、平時からの脆弱性診断サービスやセキュリティ研修なども取り揃えており、脆弱性管理体制の構築から有事の対応までワンストップで支援可能です。BBSecのサービスを活用し、貴社のセキュリティレベル向上にぜひお役立てください。

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    ウェビナー開催のお知らせ

  • 2026年2月4日（水）13:00～14:00
    【好評アンコール配信】「フィッシング攻撃の最新脅威と被害事例〜企業を守る多層防御策〜」
  • 2026年2月10日（火）14:00～15:00
    「Web攻撃の“今”がわかる OWASP Top 10 2025で読み解く脆弱性の狙われ方と対策の考え方」
  • 2026年2月18日（水）14:00～15:00
    「急増する「LINE誘導型」ビジネスメール詐欺の実態 ―社長になりすます最新BEC手口と組織で取るべき対策―」

    • 最新情報はこちら

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    なぜ取引先経由で情報漏えいが起きるのか ―国内で相次ぐサプライチェーン攻撃の実態―

    Share
    なぜ取引先経由で情報漏えいが起きるのか ―国内で相次ぐサプライチェーン攻撃の実態―アイキャッチ画像

    近年、「自社に不正アクセスはなかったのに情報が漏えいした」という状況が増えています。その多くは、取引先や委託先、外部サービスを経由したサプライチェーン攻撃が原因です。本記事では、なぜこうした“取引先経由”の情報漏えいが起きやすいのか、国内で実際に起きている事例や背景をもとに整理します。攻撃の構造を理解することで、見えにくいリスクに気づく視点を持つことができます。

    こうしたリスクを前提に、委託先や外注先のセキュリティをどこまで確認すべきか悩む企業も少なくありません。実務の判断ポイントについては、以下の記事で整理しています。
    「委託先・外注先のセキュリティはどこまで確認すべきか」

    自社が原因でなくても、情報漏えいは起きてしまう時代

    近年、「自社システムに不正アクセスはなかった」と説明される情報漏えい事故が国内で相次いでいます。調査を進めると原因は自社ではなく、取引先や外部サービスを経由した不正アクセスだった、というケースが少なくありません。こうした攻撃はサプライチェーン攻撃と呼ばれ、いま日本企業にとって最も現実的なセキュリティリスクの一つになっています。特にSaaSや外部委託、API連携が当たり前になった現在、このリスクは業種や企業規模を問わず存在します。

    サプライチェーン攻撃とは何か

    サプライチェーン攻撃とは、標的となる企業そのものではなく、取引先・委託先・連携している外部サービスを踏み台に侵入する攻撃手法です。サプライチェーン攻撃の全体像や基本的な考え方については、以下の記事で整理しています。あわせてぜひご覧ください。
    「サプライチェーン攻撃とは ―委託先・外注先リスクから情報漏えいを防ぐ全体像―」

    なぜ今、国内でサプライチェーン攻撃が増えているのか

    背景にあるのは、企業活動のデジタル化と外部依存の加速です。業務効率化のためにSaaSを導入し、外部ツールとAPIで連携し、専門業務を外注することは、今や珍しいことではありません。一方で、こうした外部接点が増えるほど、攻撃者にとっての「侵入口」も増えていきます。特に、委託先や小規模ベンダーでは十分なセキュリティ対策が取られていないケースもあり、結果としてそこが狙われやすくなります。さらに最近では、認証情報の使い回しや権限設定のミスを自動的に探し出す攻撃手法も増えており、従来型の対策だけでは気づかないうちに侵入されるリスクが高まっています。

    国内で実際に起きているサプライチェーン攻撃の特徴

    国内で報告されているサプライチェーン攻撃の多くには共通点があります。それは、自社システムが直接破られたわけではなく、正規の連携機能や委託先のアクセス権限が悪用されている点です。そのため、ログを見ても不正アクセスだと気づきにくく、発覚までに時間がかかることがあります。結果として、数万件から数十万件規模の個人情報や顧客データが流出して初めて問題が表面化する、という事態につながります。サプライチェーン攻撃が怖いのは、まさにこの「想定外の経路」から被害が発生する点にあります。

    サプライチェーン攻撃の国内事例や攻撃手口については、以下の記事でも解説しています。こちらもあわせてぜひご覧ください。
    「事例から学ぶサプライチェーン攻撃 -サプライチェーン攻撃の脅威と対策2-」

    サプライチェーン攻撃が企業にもたらす影響

    この種の攻撃によって発生するのは、単なるシステムトラブルではありません。個人情報漏えいによる顧客からの信頼低下、取引先との関係悪化、場合によっては契約違反や損害賠償の問題に発展することもあります。近年では、「原因が委託先にあった」と説明しても、情報管理責任そのものは発注元企業にあると判断されるケースが増えています。サプライチェーン攻撃は、企業の信用そのものを揺るがすリスクだと言えるでしょう。

    企業が今すぐ考えるべきサプライチェーン対策

    まず重要なのは、自社がどのような外部サービスや委託先とつながっているのかを正確に把握することです。意外と、過去に導入したまま使われていないSaaSや、誰が管理しているのか分からない連携設定が残っていることも少なくありません。そのうえで、外部サービスや委託先に付与している権限が本当に必要最小限になっているかを見直す必要があります。「業務上便利だから」という理由で広い権限を与えたままにしていると、それがそのまま攻撃経路になってしまいます。また、技術的な対策だけでなく、委託契約や運用ルールの見直しも欠かせません。インシデント発生時の報告義務や再委託の条件、セキュリティ対策状況の確認方法などを明確にしておくことで、リスクを大きく下げることができます。

    まとめ：サプライチェーン全体を見る視点が不可欠に

    サプライチェーン攻撃は、もはや一部の大企業だけの問題ではありません。外部サービスを利用し、業務を委託し、クラウド連携を行っている企業であれば、規模に関係なく直面する可能性があります。重要なのは、自社のシステムだけを見るのではなく、自社を取り巻くサプライチェーン全体をどう管理するかという視点です。そこに目を向けない限り、同様の事故は今後も繰り返されるでしょう。

    また、これらの事故は経営判断とも直結します。
    「サプライチェーン攻撃と経営責任 ―委託先が原因でも問われる企業の判断とは ―」

    こうした実態を踏まえると、サプライチェーン攻撃は個別対策だけでは防ぎきれません。委託先や外部サービスを含めた全体像を把握し、どこにリスクが集中しているのかを整理する視点が不可欠です。
    「サプライチェーン攻撃とは ―委託先・外注先リスクから情報漏えいを防ぐ全体像―」

    BBSecでは

    サプライチェーン攻撃への対策では、「何となく不安だが、どこから手を付ければいいか分からない」という声を多く聞きます。外部接点が増えた現代では、勘や経験だけでリスクを把握するのは難しくなっています。ブロードバンドセキュリティ（BBSec）では、外部委託先や連携サービスを含めたセキュリティリスクの可視化や、運用・体制面まで踏み込んだ支援を行っています。サプライチェーン全体を前提とした評価や改善を進めることで、「自社は大丈夫」という思い込みによるリスクを減らすことが可能です。もし、自社のサプライチェーンリスクに少しでも不安を感じているのであれば、一度立ち止まって全体を整理するところから始めてみてはいかがでしょうか。

    【参考情報】

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    CWE Top 25 2025年版（後編）– メモリ安全性が上位に増えた理由と対策の要点

    Share
    CWE Top 25 2025年版– メモリ安全性が上位に増えた理由と対策の要点アイキャッチ画像

    「CWE Top 25:2025」では、もう一つ見逃せない特徴があります。それが、メモリ領域の安全性に関わる弱点が複数上位に含まれている点です。本記事では、CWE Top 25 2025年版で目立つメモリ系弱点を整理したうえで、なぜ上位に増えているのか、Webサービス運用の観点でどのように備えるべきかを解説します。

    はじめに：前編の振り返り（Web/API 12項目）

    前編では、CWE Top 25 2025年版のうち、WebアプリケーションやAPIで特に問題になりやすい弱点をピックアップし、リスクと診断観点を整理しました。具体的には、XSSやCSRFといった入力・リクエスト起点の脆弱性に加え、「認可の欠如不備」のようにログインしていても不正操作が成立するタイプの脆弱性が、実被害につながりやすいポイントとして挙げられます。Web/APIは機能追加や仕様変更が多いため、対策しているつもりでも抜けが生まれやすく、定期的な点検が重要です。

    前編の記事はこちらからご覧いただけます。
    「CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント」（https://www.sqat.jp/kawaraban/41257/）

    前編で取り上げたWeb/APIの脆弱性は、日々の開発や運用の中で発生しやすく、脆弱性診断でも頻出する領域です。一方で、CWE Top 25 2025年版を俯瞰すると、もう一つ見逃せない特徴があります。それが、メモリ領域の安全性に関わる脆弱性が複数上位に含まれている点です。

    メモリ系の脆弱性は、C/C++など低レベル言語で起きやすい印象が強く、「Webアプリ中心の開発では関係が薄い」と思われることもあります。しかし実際には、Webサービスを支える基盤やOSS、ミドルウェア、各種ライブラリにはネイティブ実装が含まれることも多く、アプリケーションの外側でリスクが顕在化するケースも少なくありません。また、メモリ破壊系の脆弱性は、単なるサービス停止（DoS）に留まらず、条件次第では任意コード実行など深刻な侵害につながる可能性があります。攻撃の影響が大きく、対応にも専門性が求められることから、近年あらためて注目されている領域といえます。

    そこで後編では、CWE Top 25 2025年版で目立つメモリ系弱点を整理したうえで、なぜ上位に増えているのか、Webサービス運用の観点でどのように備えるべきかを解説します。

    メモリ領域の安全に関する脆弱性が上位に増えている理由

    CWE Top 25 2025年版ではメモリ安全性に関わる脆弱性が複数ランクインしている傾向もみてとれます。一見すると「これはC言語など低レベル言語の話で、Webアプリ開発とは関係が薄いのでは？」と思われるかもしれません。しかし実際には、Webサービスを提供する側にとっても無視できないテーマになっています。ここでは、2025年版で目立つメモリ系の脆弱性と、上位に増えている背景を整理します。

    2025年に目立つメモリ系6項目

    CWE Top 25 2025年版の中で、特にメモリ領域の安全性に関連する項目としては以下が挙げられます。

    1. CWE-787：範囲外の書き込み
    2. CWE-416：解放したメモリの使用
    3. CWE-125：範囲外の読み取り
    4. CWE-476：NULLポインター逆参照
    5. CWE-121：スタックベースバッファオーバーフロー
    6. CWE-122：ヒープベースバッファオーバーフロー

    これらは主にC/C++言語などで発生しやすい脆弱性で、メモリ破壊を起点としてアプリケーションの異常動作やクラッシュ、条件次第では任意コード実行にまでつながる可能性があります。

    メモリ系が“ランク上昇”した背景

    OSS・ミドルウェア・実行環境の影響が大きい

    近年のシステム開発では、自社でゼロからすべてを実装することはほとんどありません。
    Webアプリケーション自体は高水準言語（Java、PHP、Python、Ruby、JavaScriptなど）で書かれていたとしても、実際には裏側で多くのソフトウェア資産に依存しています。 例えば、以下のような領域はネイティブ実装（C/C++など）が含まれることが多く、メモリ安全性の影響を受けやすい代表例です。

    • 画像・動画の変換や解析
    • 圧縮・解凍処理
    • 暗号処理
    • OSやコンテナの周辺コンポーネント
    • Webサーバやロードバランサなどの基盤ソフトウェア

    つまり「アプリはWebだからメモリ破壊は関係ない」と切り分けるのではなく、サービス全体を構成する要素としてメモリ安全性の弱点が影響し得る、という視点が必要になります。

    「攻撃が成立した時のインパクト」が大きい

    メモリ破壊系の脆弱性は、単にアプリがダウンする（DoS攻撃等の影響による）だけでなく、条件がそろうと攻撃者にとって非常に強力な結果につながることがあります。たとえば、任意コード実行や権限奪取の足がかりになるケースもあり、被害の深刻度が高くなりやすい点が特徴です。

    Webアプリケーションの脆弱性は「データが漏れる」「不正操作される」といった被害が中心になりやすい一方で、メモリ系は侵害の方向性が変わり、“システムそのものの制御”に影響する可能性がある点で性質が異なります。このインパクトの大きさが、ランキング上でも目立ちやすい要因の一つです。

    “開発者の気付き”だけでは防ぎにくい

    XSSやSQLインジェクションは、実装者の意識と共通部品の整備で減らしていける領域です。一方でメモリ安全性の弱点は、そもそも自社コードではなく、依存しているライブラリやミドルウェアの脆弱性として露出することも少なくありません。この場合、開発者が気を付けて実装していても防ぎきれず、必要になるのは次のような対策です。

    • 利用コンポーネントの把握（棚卸し）
    • 脆弱性情報の継続的な収集
    • バージョンアップ・パッチ適用の判断と運用
    • 影響範囲の評価（どの機能が影響を受けるか）

    つまり、メモリ系の脆弱性は「作り込みで防ぐ」だけではなく、運用で守る力も問われる領域だと言えます。

    脆弱性対応は「作り込み」＋「運用」の両輪

    Webアプリケーションのセキュリティ対策というと、入力チェックや認可実装など“作り込み”に注目が集まりがちです。もちろんこれは重要ですが、メモリ系の弱点が示すように、脆弱性対応には運用面の強さも求められます。

    運用面で意識したいポイントは、以下のように整理できます。

    • 利用しているライブラリ／ミドルウェアの把握（棚卸し）
    • 脆弱性情報の継続的な収集と影響評価
    • パッチ適用・アップデートの判断と実施
    • 監視・ログによる異常兆候の検知
    • 必要に応じた防御策（WAFなど）による被害軽減

    特に「アップデートできる体制があるか」「影響範囲を素早く見積もれるか」は、脆弱性が公開された際の対応スピードに直結します。メモリ系の脆弱性は影響が大きくなりやすい分、発覚後の初動が被害を左右するため、日頃から“運用で守る仕組み”を整えておくことが重要です。

    脆弱性診断でどう確認するか（診断観点の例）

    メモリ領域の安全性の脆弱性は、Web/APIの脆弱性とは性質が異なり、「画面やAPIを触るだけでは見えにくい」ケースもあります。そのため、脆弱性診断ではアプリケーションの挙動確認に加えて、実装・構成・依存関係といった複数の観点からリスクを洗い出すことが有効です。

    Webアプリケーション診断/API診断

    実際の画面・APIに対して攻撃パターンを当て、脆弱性が成立するかどうかを確認します。
    メモリ系の弱点そのものを直接検出するのは難しい場合もありますが、前編で整理した認可不備・IDOR・SSRF・ファイル関連など、実被害につながりやすい脆弱性を網羅的に確認できる点が強みです。

    ソースコード診断（SAST）

    危険な実装パターンや、入力値の扱い方、権限判定の実装の偏りなどを、コードレベルで洗い出せる手法です。メモリ領域の安全性の観点でも、ネイティブコードを含む箇所や危険APIの利用状況、例外処理の不足などを確認することで、潜在的なリスクを把握しやすくなります。特に、開発を継続しながら対策を積み上げる場合、設計や共通部品の見直しにも活用できます。

    プラットフォーム診断／OSS観点（依存関係・構成）

    メモリ系の脆弱性を含む“依存資産のリスク”に対応するには、構成・依存関係の観点が欠かせません。アプリケーションの外側に原因がある場合、どれだけアプリの実装を直してもリスクが残るためです。「脆弱性が出たときに、すぐ把握できる・すぐ対応できる」状態を作ることが、結果的にリスクを下げる近道になります。

    まとめ

    CWE Top 25 2025年版から読み取れるのは、Webアプリ・APIで頻出する脆弱性が依然として事故につながりやすい一方で、メモリ安全性のように“アプリの外側”に潜むリスクも無視できない存在になっているという点です。この2つを両立できるかどうかが、2025年のセキュリティ対策の分かれ道になると言えます。

    “定期的な診断＋改善”でリスクを下げる

    脆弱性対策は、一度対応して終わりではなく、仕様変更・機能追加・依存資産の更新によって状況が変化します。だからこそ、CWE Top 25のような指標を参考にしながら、第三者視点の脆弱性診断で現状を確認し、優先度を付けて改善していくことが有効です。Webアプリケーション診断・API診断・ソースコード診断を組み合わせることで、「攻撃が成立するポイント」と「根本原因」を整理しやすくなり、修正の手戻りを減らしながら安全性を高められます。継続的な診断と改善を通じて、インシデントの予防と品質向上につなげていきましょう。

    BBSecでは

    「どこが危ないのか」を把握しないまま対策を進めると、重要な弱点が残ったり、修正の手戻りが増えたりすることがあります。Webアプリケーション／APIの脆弱性診断により、実際に攻撃が成立するポイントを洗い出し、優先度を付けて改善につなげることが可能です。まずは現状の課題や診断範囲について、お気軽にご相談ください。

    限定キャンペーン実施中！

    ソースコード診断 アップチャージプランのご案内

    Web診断に加えて、アプリケーション内部の脆弱性を確認できるソースコード診断（アップチャージプラン）もご用意しています。

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践

    Share
    サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践アイキャッチ画像

    サイバー攻撃対策は、サービスや製品を導入するだけでは十分とは言い切れません。重要なのは、自社がどのような攻撃リスクにさらされ、どこに弱点があり、被害が出た場合にどれほどの影響があるのかを正しく把握することです。サイバー攻撃リスク評価は、限られた予算や人材で最大の防御効果を得るための出発点となります。本記事では、資産の棚卸しから脅威・脆弱性の分析、優先順位付けまで、実務に使えるリスク評価プロセスを体系的に解説します。

    サイバー攻撃リスク評価が重要とされる背景には、実際に企業が被っている被害コストの深刻さがあります。リスク評価の前提として、まずはサイバー攻撃が企業経営にどれほどの損失をもたらしているのかを把握しておくことが重要です。
    「サイバー攻撃被害コストの真実―ランサムウェア被害は平均「2億円」？サイバー攻撃のリスク評価で“事業停止損害”を可視化」（https://www.sqat.jp/tamatebako/41157/）

    なぜ今、サイバー攻撃リスク評価が必要なのか

    サイバー攻撃という言葉を聞いても、多くの経営者やIT担当者は漠然とした脅威を感じながらも、それが具体的に自社経営のどこに、どのようなコストとして跳ね返るのかを十分に自覚できていない現実があります。サイバー攻撃の被害コストが平均で数億円に達する状況下、「とにかく新しいセキュリティ製品を導入すれば安心する」といった対症療法的な取り組みでは、もはや防御しきれない時代へと突入しました。必要なのは「敵を知り、己を知る」戦略的なサイバー攻撃に対するリスク評価、すなわち、自社の弱点と外部の脅威を冷静に見極める経営判断の力です。

    サイバー攻撃リスク評価の本質とは

    敵を知り、己を知る

    IPA「情報セキュリティ白書」をはじめとし、各所で訴えられているのが、「サイバー攻撃に対するリスク評価の重要性」です。ただしその本質は、単なるITシステムのスキャンやツールベースの脆弱性チェックではありません。真のリスク評価とは、経済合理性の観点で、何を守り、何を諦めるのかという意思決定を支える土台なのです。どれほど強力な製品やサービスを導入しても、リスクの本質を社内の誰も把握していなければ、最悪のシナリオを防ぐことはできません。リスクが見えない会社はまるで地図も持たずに夜の海を航海する船と同じです。限られた人材・予算で最大効果を追求するため、全社員が自分ごととしてリスクを理解することが必要不可欠になります。

    ステップ1：守るべき資産の棚卸しから始める

    リスク評価の第一歩は、組織の守るべきものを徹底的に洗い出すことです。単に個人情報やサーバーと抽象的に捉えるのではなく、顧客の個人情報DB、製造業の設計図ファイル、EC企業のオーダー処理システム、医療機関なら電子カルテや診療録など、具体的な業務上の資産を1つ1つリストアップしていきます。この資産の棚卸し作業には経営部門、現場担当、IT管理者それぞれの視点が欠かせません。しばしば現場を訪れてヒアリングすることで、「社内の共有フォルダに重要な決裁書が保管されていた」「知らないうちに外部のクラウドサービスを使っていた」といった予想外のリスクが浮かび上がることも多いのです。

    さらに、一つ一つの資産が「漏洩した場合」「改ざんされた場合」「利用不可になった場合」それぞれでどんな損失が出るかを具体的に算定します。例えば、「受注管理のExcelファイルが消えたら、次月の売上がいくら減るか」「サプライヤーリストが流出したら、競合にどんな損失があるか」など、リアルな金額で被害コストを試算することで、リスク評価の精度は飛躍的に高まります。こうした積み上げが正確なサイバー攻撃リスク評価の基礎となるのです。

    ステップ2：脅威と脆弱性のリアルな分析

    守るべき資産が可視化されたら、同時に「どのような攻撃（脅威）によって、それが被害を受けるのか」「自社のどこに抜け穴（脆弱性）があるのか」という分析を行います。ランサムウェアや標的型攻撃、内部不正やサプライチェーン攻撃など、攻撃手口は年々進化を続けており、特に2025年には生成AIを活用したフィッシングメールの飛躍的高度化や、関連会社を経由したサイバー攻撃が国内外で激増しています*11。この脅威分析は、単なるIT部門の仕事ではありません。現場従業員のうかつなファイル操作、ベンダーから納品されたIoT機器の未対策状態、管理者のミス設定まで、多層的な視点が必要となります。例えば「ファイアウォールは万全だが、受付担当者がメールで来たExcel添付を毎回開いてしまう」、こうした人為的な脆弱性こそが深刻なリスクとなりえるのです。

    さらに、最新の脅威情報をウォッチし、自社の資産一つ一つに「どの攻撃手口がどれだけ現実的なのか」「実際に被害が起きたらどんな損失が発生するか」をひとつずつ当てはめていきます。IPAやJPCERT、経済産業省のガイドライン等で公開されている被害事例も積極的に参照し、決して机上の空論にならないようにすることが重要です。

    ステップ3：リスク値の算定と現実的な対策の選定

    資産の価値、脅威シナリオ、脆弱性の分析がそろったら、それらを掛け合わせて「リスク値」を定量的または定性的に算定します。年に1回は「このシステムが被害を受ける確率」「被害にあった場合の復旧・損失コスト」を具体的に予測し、たとえば年間予想被害額（Annualized Loss Expectancy, ALE）といった尺度で数値化してみます。数値化が難しければ、「この資産は被害が出た場合、顧客離脱や損害賠償リスクが最も高い」といった三段階の定性的評価でも構いません。

    こうした評価から、「このサーバーは古いが利用者が少ないので対応を先送りする」「この顧客データベースは被害時の損害コストが極めて高いため、早急に多要素認証や暗号化を施す」など、リスクごとに優先順位を定めて取り組むことが可能になります。リスクゼロは現実的に不可能ですが、限られたリソースを最大限有効活用し、許容できない損害だけは絶対に回避する。保険・外部委託など、リスクを下げきれない部分のコスト転嫁も積極的な選択肢となります。

    なお、ここで言うリスクとは抽象的な危険性ではなく、実際に発生しうる被害コストや業務停止損害を含んだ現実的な損失を指します。
    「サイバー攻撃被害コストの真実―ランサムウェア被害は平均「2億円」？サイバー攻撃のリスク評価で“事業停止損害”を可視化」

    リスク評価を“一度きり”で終わらせないために

    サイバー攻撃リスク評価は、決して一度やったら終わりではありません。IT環境は日々進化し、新しい脆弱性や攻撃手口が次々に出現します。たった1年で状況が一変するデジタル社会において、リスク評価を定期的な健康診断や棚卸しのようにサイクルに組み込むことの重要性はますます高まっています。たとえばセキュリティインシデントが起こった直後には再評価を実施し、現場の運用ルールやセキュリティ教育もアップデートする、その繰り返しが強靭な組織基盤を作り上げていきます。

    この継続プロセスの副次的な効用として、現場担当者も経営層も含めた当事者意識の醸成という大きな成果も見逃せません。全員が自分たちの業務にどんなサイバー攻撃被害コストが潜んでいるかを肌感覚で理解し、日常業務の中でこのデータの扱い方は安全かと常に問い続ける風土が生まれます。これが最終的には、組織としてのサイバー攻撃耐性・セキュリティ文化の創出へとつながっていくのです。

    まとめ―サイバー攻撃リスク評価が企業を強くする

    「守るべきものの棚卸し」「脅威と脆弱性のリアルな洗い出し」「定量・定性評価による対応策の優先順位付け」、このサイクルの徹底こそが、サイバー攻撃リスク評価の真髄です。安易な製品導入による対策の自己満足から脱却し、本質的な経営判断としてのリスク評価を習慣化すること。―これこそが、2026年を生き抜く企業の競争力を底上げする最短の道となります。サイバー攻撃リスク評価を“実装”すれば、サイバー攻撃の被害コストに怯える毎日から、主体的に未来を選び取る経営へと転換できることでしょう。

    サイバー攻撃リスク評価は、評価して終わりではありません。算出したリスクをどう解釈し、どこに投資し、どのリスクを許容するのかという経営判断に落とし込むことで、初めて意味を持ちます。次の記事では、リスク評価をセキュリティ投資や経営戦略にどのように活かすべきかを解説します。
    「サイバー攻撃リスク評価を投資判断に活かす：コストから経営戦略へ転換する方法」

    【参考情報】

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    限定キャンペーン実施中！

    今なら新規お申込みで 初回診断料金 10％OFF！
    短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント

    Share
    「CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント」アイキャッチ画像

    2025年12月、MITREより「CWE Top 25:2025」が公開されました。本記事では、CWE Top 25 2025年版のうち、WebアプリケーションやAPIに直結する12項目をピックアップし、リスクと診断観点を整理します。

    CWE Top 25とは

    Webアプリケーションや業務システムを狙った攻撃は年々巧妙化していますが、実は“よく悪用される脆弱性”には一定の傾向があります。限られた工数の中で効果的に対策を進めるには、脆弱性を闇雲に潰すのではなく、被害につながりやすい弱点から優先して対応することが重要です。そこで参考になるのが、MITREが公開している「CWE Top 25」です。CWE（Common Weakness Enumeration、共通脆弱性タイプ）は、ソフトウェアに潜む弱点を体系的に整理したもので、CWE Top 25はその中でも特に危険度が高く、実際の攻撃にもつながりやすい弱点をランキング形式でまとめたものです。開発・運用の現場で「どこから手を付けるべきか」を判断するための指標として活用できます。

    CWE Top 25は毎年アップデートされるため、年ごとの傾向を追うことで「長年狙われ続けている脆弱性」や「新たに注目されているリスク」も見えやすくなります。2024年版の内容は過去記事でも解説していますので、あわせてご覧ください。
    「【CWE TOP 25 2024年版】にみる新たなセキュリティ脅威と指針」（https://www.sqat.jp/kawaraban/33156/）

    CWE Top 25 2025年版

    順位CWE ID脆弱性名称
    1CWE-79入出力の不適切な無害化（クロスサイトスクリプティング（XSS））
    2CWE-89SQLコマンドの特殊要素の不適切な無害化（SQLインジェクション）
    3CWE-352クロスサイトリクエストフォージェリ（CSRF）
    4CWE-862認可の欠如
    5CWE-787範囲外の書き込み
    6CWE-22制限ディレクトリへのパス制限不備（パストラバーサル）
    7CWE-416解放したメモリの使用
    8CWE-125範囲外の読み取り
    9CWE-78OSコマンドで使用される特殊要素の不適切な無効化(OSコマンドインジェクション)
    10CWE-94コード生成の不適切な制御（コードインジェクション）
    11CWE-120入力サイズチェックなしのバッファコピー(古典的バッファオーバーフロー)
    12CWE-434危険なタイプのファイルのアップロード許可
    13CWE-476NULLポインター逆参照
    14CWE-121スタックベースバッファオーバーフロー
    15CWE-502不適切なデータ逆シリアル化
    16CWE-122ヒープベースバッファオーバーフロー
    17CWE-863不適切な認可
    18CWE-20不適切な入力検証
    19CWE-284不適切なアクセス制御
    20CWE-200権限を持たないユーザへの機密情報の漏洩
    21CWE-306重要な機能の使用に対する認証の欠如
    22CWE-918サーバサイドリクエストフォージェリ（SSRF）
    23CWE-77コマンドで使用される特殊要素の不適切な無害化（コマンドインジェクション）
    24CWE-639ユーザ制御キーによる認可バイパス
    25CWE-770制限やスロットリングなしのリソース割当

    Web/APIに直結する“狙われやすい12項目”

    CWE Top 25 2025年版には、メモリ安全性の弱点など幅広い項目が含まれていますが、脆弱性診断会社の視点で特に注目したいのは、WebアプリケーションやAPIに直結し、実被害につながりやすい脆弱性です。Web/APIは外部からアクセス可能な入口が多く、仕様変更や機能追加も頻繁に発生します。その結果、実装ミスや設計の抜けが生まれやすく、攻撃者にとっても狙いやすい領域になりがちです。ここでは、Top 25のうちWeb/APIに絡む以下の12項目をピックアップし、リスクと脆弱性診断の観点を整理します。

    Web/APIで特に重要な12項目一覧

    1. CWE-79
    2. CWE-352
    3. CWE-862
    4. CWE-22
    5. CWE-434
    6. CWE-863
    7. CWE-20
    8. CWE-284
    9. CWE-200
    10. CWE-306
    11. CWE-918
    12. CWE-639

    入力・出力の不備（攻撃の入口になりやすい）

    CWE-79：クロスサイトスクリプティング（XSS）

    コメント欄のような分かりやすい入力欄だけでなく、検索結果、プロフィール、管理画面のメモ欄など「入力した内容が表示される場所」全般が対象になります。XSSが成立すると、セッション情報の窃取によるアカウント乗っ取り、偽画面による情報詐取、管理者権限での操作悪用などにつながる可能性があります。特に管理画面で発生した場合、被害が大きくなりやすい点が特徴です。

    脆弱性診断では、入力点の洗い出しに加え、“どこで入力が表示されるか（出力箇所）” を意識して確認します。実装側で「入力チェックをしている」つもりでも、表示時のエスケープが不十分なケースは多く、テンプレートの扱いや出力文脈（HTML/属性/JavaScript）まで含めた確認が重要になります。

    SQAT.jpでは過去にもクロスサイトスクリプティングについて、初心者向けの解説記事を公開しています。こちらもあわせてご覧ください。
    「クロスサイトスクリプティング（XSS）の脆弱性 -Webアプリケーションの脆弱性入門 1-」（https://www.sqat.jp/tamatebako/27269/）

    CWE-20：不適切な入力検証

    入力検証不備は、受け取った値が想定どおりかどうかの確認が不足している状態です。一見すると地味な問題に見えますが、WebアプリやAPIでは、入力値がそのままDB検索、権限判定、外部連携、ファイル処理などに渡ることが多く、他の脆弱性の引き金になりやすい“起点”です。特にAPIでは、フォーム入力だけでなくJSON形式のリクエスト、配列やネスト構造、数値・文字列の型違いなど、入力のバリエーションが増えます。その結果、「画面側では弾けているのにAPI直叩きで通ってしまう」「境界値や異常値で想定外の挙動になる」といった事故が起きやすくなります。

    脆弱性診断では、正常系だけでなく、境界値・異常系・型違い・過剰な長さ・未定義パラメータなどを含めて入力を揺さぶり、想定外の処理やエラー露出が起きないかを確認します。

    リクエスト偽装・処理のすり抜け（攻撃者が「操作」を作る）

    CWE-352：クロスサイトリクエストフォージェリ（CSRF）

    CSRFは攻撃者が用意したページやリンクを踏ませることで、ユーザ本人が操作したように見えるリクエストが送信され、設定変更や登録情報更新などが実行されてしまう可能性があります。特に危険なのは、パスワード変更、メールアドレス変更、権限変更、退会処理など「状態を変える操作」です。攻撃が成立しても操作主体が正規ユーザに見えるため、被害に気づきにくい点もCSRFの厄介なところです。

    脆弱性診断では、重要操作にCSRFトークンが実装されているか、SameSite属性が適切か、Origin/Refererの扱いがどうなっているかなどを確認します。SPAやAPI中心の構成では「CSRFは関係ない」と思われがちですが、認証方式によっては成立するため、設計前提から整理して確認することが重要です。

    SQAT.jpでは過去にもクロスサイトリクエストフォージェリについて、初心者向けの解説記事を公開しています。こちらもあわせてご覧ください。
    「クロスサイトリクエストフォージェリ（CSRF/XSRF）とは？狙われやすいWebアプリケーションの脆弱性対策」（https://www.sqat.jp/tamatebako/12249/）

    CWE-918：サーバサイドリクエストフォージェリ（SSRF）

    SSRFは、サーバ側が外部へアクセスする仕組みを悪用され、攻撃者が任意の宛先にリクエストを送らせる脆弱性です。たとえば「指定したURLから画像を取得する」「外部APIのURLを登録する」といった機能がある場合、入力値の制御が不十分だとSSRFにつながる可能性があります。SSRFが危険なのは、外部から直接アクセスできない内部ネットワークや管理系サービスに到達できてしまう点です。環境によっては、クラウドのメタデータ（認証情報）取得など、重大な侵害につながるケースもあります。

    脆弱性診断では、URL入力や外部通信の機能を洗い出し、許可リスト制御があるか、名前解決やリダイレクトがどう扱われるか、内部アドレス（localhostやプライベートIP）へのアクセスが可能かなどを確認します。外部連携機能は便利な反面、攻撃の入口になりやすいため、重点的な確認が必要です。

    認証・認可の不備（ログインしていても守れていない）

    CWE-306：重要な機能の使用に対する認証の欠如

    重要な機能の使用に対する認証の欠如は、本来ログインが必要な操作が、認証なしで実行できてしまう状態です。代表例としては、管理者向けのAPIや運用機能が「画面からは触れない」ために見落とされ、URL直叩きで実行できてしまうケースが挙げられます。 この弱点があると、攻撃者はアカウントを用意する必要すらなく、いきなり機能を悪用できてしまいます。影響範囲は機能次第で、情報閲覧だけでなく、設定変更やデータ削除などにつながる可能性もあります。

    脆弱性診断では、ログイン前に到達できるURL・APIを洗い出し、認証が正しくかかっているかを横断的に確認します。特に、管理系の機能や“メンテナンス用”に追加されたエンドポイントは、抜けが起きやすいポイントです。

    CWE-862：認可の欠如

    認可の欠如は、「ログインしているユーザが、その操作をしてよいか」の判定が不足している状態です。認証が正しく実装されていても、認可が抜けていると、一般ユーザが管理機能を実行できたり、他人の情報にアクセスできたりするリスクが生まれます。現代のWebアプリはAPI化が進み、画面とAPIが分離されているケースも多くあります。その結果、「画面上ではボタンが表示されないが、APIを直接叩くと通ってしまう」といった問題が発生しやすくなります。認可は“画面制御”ではなく“サーバ側判定”が必須です。

    脆弱性診断では、ユーザ権限を切り替えながら同じAPIを試す、IDを変更して他人データに触れないか確認するなど、権限境界を意識したテストを行います。認可不備は事故につながりやすい一方で見落とされやすいため、重点的に確認すべき項目です。

    CWE-863：不適切な認可

    誤った認可は、認可チェック自体は存在するものの、判定条件が不十分・誤っている状態です。たとえば「ロール（一般/管理者）は見ているが、所属組織や契約単位の制御が抜けている」「閲覧は制御できているが更新だけ抜けている」など、複雑な仕様ほど起きやすい傾向があります。このタイプの問題は、単純な“認可チェックの抜け”よりも発見が難しく、機能仕様を理解したうえでテストしないと見落とされがちです。結果として、公開後に利用者からの指摘やインシデントで発覚することもあります。

    脆弱性診断では、ロールだけでなく、組織・契約・所有権などの境界を整理し、境界を跨ぐ操作ができてしまわないかを確認します。実装だけでなく、設計段階での権限モデルの整理が重要になります。

    CWE-284：不適切なアクセス制御

    不適切なアクセス制御は、認証・認可・制限の仕組み全体が適切に機能していない状態を指す、非常に重要なカテゴリです。CWE-862やCWE-863、CWE-639などと密接に関係し、実際のインシデントでは“アクセス制御の穴”としてまとめて問題になるケースも少なくありません。アクセス制御の難しさは、実装ミスだけでなく、仕様変更や機能追加によって整合性が崩れやすい点にあります。APIが増えるほど確認対象も増え、権限チェックの一貫性を保つのが難しくなります。

    脆弱性診断では、画面・API・直接URLアクセスなど複数経路からの到達性を確認し、「見えないはずの機能が触れてしまう」「アクセスできないはずの情報が見えてしまう」といった問題を洗い出します。アクセス制御は“守りの土台”であり、最優先で見直すべき領域です。

    CWE-639：ユーザ制御キーによる認可バイパス

    ユーザ制御キーによる認可バイパスは、ユーザが指定できるIDやキーを悪用し、認可を回避できてしまう問題です。いわゆるIDOR（Insecure Direct Object Reference）として知られるケースが多く、例えば「注文ID」「請求書ID」「ユーザID」などを変更するだけで他人の情報にアクセスできてしまうといった形で発生します。この脆弱性が厄介なのは、画面上では正しく動いて見えることが多い点です。正規ルートでは問題がなくても、パラメータを改ざんすると成立してしまうため、悪意ある操作を前提にした確認が欠かせません。

    脆弱性診断では、IDやキーを意図的に変更し、他人データの閲覧・更新・削除ができないかを確認します。設計としては、IDを推測しにくくするだけでなく、サーバ側で必ず所有権チェックを行うことが重要です。

    情報の露出（「次の攻撃」の起点になる）

    CWE-200：権限を持たないユーザへの機密情報の漏洩

    機密情報の露出は、権限のない相手に情報が見えてしまう状態です。例としては、APIレスポンスに不要な項目が含まれている、エラーメッセージに内部情報が出ている、管理画面の情報が一般ユーザから参照できる、といったケースが挙げられます。情報漏洩は、それ単体でも重大な事故ですが、攻撃者にとっては“次の攻撃を成功させる材料”になります。たとえば、ユーザ情報や内部構成が漏れることで、なりすましや権限突破、別の脆弱性悪用が容易になることがあります。

    脆弱性診断では、画面表示だけでなくAPIレスポンスの内容、エラー出力、ログ出力の扱いまで含めて確認します。「返さなくてもよい情報を返していないか」を見直すことは、対策コストに対して効果が大きいポイントです。

    ファイル・パスの取り扱い（“便利機能”が事故の原因になる）

    CWE-22：パストラバーサル

    パストラバーサルは、ファイル・パスの指定を悪用され、想定外のファイルにアクセスされてしまう脆弱性です。例えば、ダウンロード機能や画像表示機能で、パラメータがそのままファイル・パスに使われている場合に発生しやすく、設定ファイルや機密ファイルの閲覧につながる可能性があります。この問題は、アプリケーション内部の設定情報や秘密鍵などの露出を招くことがあり、被害が“情報漏えい”に留まらず、侵入やなりすましの起点になることもあります。

    脆弱性診断では、パス指定のパラメータを揺さぶり、制限ディレクトリ外の参照ができないかを確認します。設計としては、ファイルはIDで管理し、サーバ側で実体パスに変換する方式が安全です。

    CWE-434：危険なタイプのファイルのアップロード許可

    危険なファイルアップロードは、攻撃者が悪意あるファイルをアップロードできてしまう脆弱性です。拡張子チェックだけで判定している場合、実体がスクリプトや実行形式であってもすり抜けられることがあり、Webシェル設置やマルウェア配布などにつながる危険があります。また、アップロードしたファイルがそのまま公開ディレクトリに置かれている場合、アクセスされるだけで攻撃が成立するケースもあります。ファイル機能はユーザにとって便利な一方で、攻撃者にとっても“侵入口”になりやすい領域です。

    脆弱性診断では、アップロード可能な拡張子・MIME・実体判定、保存先、参照方法、実行可否などを確認します。特に「アップロード後にどう扱われるか（公開されるか、変換されるか）」まで含めて評価することが重要です。

    【補足】なぜこの12項目が脆弱性診断で重要なのか
    ここまで見てきた12項目は、いずれもWebアプリやAPIで発生しやすく、攻撃者が外部から試行しやすい弱点です。また、認可やアクセス制御のように、仕様・設計・実装が絡み合う領域は、チェック漏れが起きやすい一方で、発見が遅れると影響が大きくなりがちです。 そのため、開発時のレビューや自動テストだけでなく、第三者視点での脆弱性診断によって「実際に攻撃が成立するか」を確認し、優先度を付けて改善していくことが有効です。

    現場での優先度付け（Web/API向け）

    CWE Top 25に含まれる弱点は幅広く、すべてを一度に潰すのは現実的ではありません。そこで重要になるのが、「被害が大きいもの」「攻撃者が試しやすいもの」から優先して対策する考え方です。ここでは、WebアプリケーションやAPIを前提に、現場で取り組みやすい優先順位を整理します。

    認可

    まず最優先に見直したいのは、認可（Authorization）に関する脆弱性です。認証（ログイン）が正しく動いていても、「そのユーザがその操作をしてよいか」の判定が甘いと、他人の情報閲覧や不正更新、管理機能の悪用につながります。特にAPIが増えるほど、権限チェックの抜けや判定ミスが起きやすく、事故の原因になりがちです。認可の問題は、攻撃が成立すると影響範囲が大きく、かつログ上は正規ユーザの操作に見えることもあります。Web/APIにおけるセキュリティの土台として、まずは認可を最優先で点検することが重要です。

    入出力・CSRF

    次に優先したいのは、入出力の取り扱い（XSSや入力検証不備など）と、CSRFです。
    入力値は、画面表示・DB操作・外部連携など多くの処理に影響するため、わずかな実装ミスが攻撃の入口になりやすい領域です。またXSSは、利用者のアカウント乗っ取りや管理画面の悪用につながる可能性があり、優先度の高い脆弱性です。CSRFについても、状態変更系の操作（変更・更新・削除）がある限り、対策の抜けがあると被害につながります。「ログインしているから安全」ではなく、“正しい意図の操作かどうか”を担保できているかを確認する必要があります。

    SSRF・ファイル関連

    SSRFやファイル関連の脆弱性は、システムに該当機能がある場合、優先度を一段階上げて確認すべき項目です。たとえば、URL入力を受け付ける機能（外部連携、Webhook、画像取得など）がある場合、SSRFが成立すると内部ネットワークへのアクセスや情報取得につながる可能性があります。また、ファイルアップロード／ダウンロード機能がある場合は、危険なファイルの混入やパストラバーサルによる情報漏えいなど、攻撃の入口になりやすい要素が揃っています。利便性の高い機能ほどリスクも増えやすいため、仕様として存在するなら“重点確認対象”として扱うのが安全です。

    情報露出・認証の欠如

    最後に、見落とし厳禁として挙げたいのが「情報露出」と「認証欠如」です。機密情報の露出は、単体でも重大な事故ですが、攻撃者にとっては次の攻撃を成立させるための材料にもなります。APIレスポンスの過剰返却やエラーメッセージの出し方など、“つい残ってしまう情報”が原因になることも少なくありません。また、重要機能の認証欠如は、成立すると攻撃者がログインすらせずに機能を悪用できてしまいます。管理用のエンドポイントや運用機能など、「利用者が限られるから大丈夫」と思われがちな部分ほど抜けが起きやすいため、公開前後での棚卸しが重要です。

    Web/APIは定期診断が有効

    Web/APIは機能追加や仕様変更が多く、開発時点で対策していたとしても、改修のたびに新しい抜けが生まれる可能性があります。だからこそ、開発段階での対策に加えて、第三者視点の脆弱性診断で「実際に攻撃が成立するか」を確認し、優先度を付けて改善することが効果的です。定期的に診断を実施することで、仕様変更による取りこぼしを早期に発見し、インシデントを未然に防ぐことにつながります。

    後編では、CWE Top 25 2025年版で目立つもう一つのポイントとして、メモリ領域の安全に関わる脆弱性が上位に増えている背景を整理します。なぜ今メモリ系が注目されているのか、どのように備えるべきかを、診断・運用の観点も含めて解説します。

    ―後編に続く―

    BBSecでは

    「どこが危ないのか」を把握しないまま対策を進めると、重要な弱点が残ったり、修正の手戻りが増えたりすることがあります。Webアプリケーション／APIの脆弱性診断により、実際に攻撃が成立するポイントを洗い出し、優先度を付けて改善につなげることが可能です。まずは現状の課題や診断範囲について、お気軽にご相談ください。

    限定キャンペーン実施中！

    今なら新規お申込みで 初回診断料金 10％OFF！
    短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    サイバー攻撃被害コストの真実―ランサムウェア被害は平均2億円？サイバー攻撃のリスク評価で“事業停止損害”を可視化

    Share

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    「サイバー攻撃被害コストの真実―ランサムウェア被害は平均2億円？サイバー攻撃のリスク評価で“事業停止損害”を可視化」アイキャッチ画像

    サイバー攻撃による被害は、もはや一部の大企業だけの問題ではありません。ランサムウェア被害を中心に、日本企業が被るサイバー攻撃の被害コストは平均で2億円規模に達しています。復旧費用や身代金だけでなく、業務停止による機会損失、信用低下、取引停止など、被害は連鎖的に拡大します。本記事では、最新データと事例をもとに、企業経営に直結するサイバー攻撃の被害コストの実態を整理し、なぜ今リスク評価が欠かせないのかを解説します。

    サイバー攻撃は「ITトラブル」ではなく財務リスク

    現在私たちを取り巻くビジネス環境において、「サイバー攻撃」という言葉の響きは劇的に変化しました。かつて、それはIT部門のサーバールームの中だけで処理される技術的なトラブルであり、ファイアウォールやウイルス対策ソフトを導入していれば済む「対岸の火事」でした。しかし、デジタルトランスフォーメーション（DX）が企業の隅々まで浸透した今、その認識は致命的な時代錯誤と言わざるを得ません。サイバー攻撃は、もはやシステムのエラーではなく、明日の決算書を赤字に転落させ、積み上げてきたブランドを一瞬で崩壊させる、極めて現実的な「財務リスク」へと変貌を遂げたのです。

    多くの経営者が「セキュリティ対策はコストだ」と嘆きます。確かに、何も起きなければ利益を生まない投資に見えるかもしれません。しかし、ひとたびセキュリティインシデントが発生した際に企業が支払うことになるコストの総額は、事前対策費の数十倍、場合によっては数百倍に膨れ上がるのが現実です。本記事では、感情的な脅威論ではなく、最新の統計データと実際の事例に基づいた数字を用いて、企業が直面しているリスクの正体を解き明かしていきます。なぜ、セキュリティベンダーやコンサルタントが口を酸っぱくしてサイバー攻撃対策とリスク評価の重要性を説くのか。その答えは、これから提示する衝撃的な金額の中にあります。

    ランサムウェア被害額の現実：平均2億2千万円

    まず、私たちが直視しなければならないのは、具体的な金銭的被害の規模です。セキュリティベンダー大手のトレンドマイクロ社が2024年末に公表した調査データ*2によると、過去3年間において日本国内の組織が経験したサイバー攻撃による累積被害額は、平均で約1億7千万円に達しています。これだけでも中小企業の年間利益を吹き飛ばすには十分な金額ですが、さらに深刻なのは、データを暗号化し身代金を要求するランサムウェアによる被害に限定した場合です。この場合、被害総額の平均は約2億2千万円にまで跳ね上がります。

    この2億円という数字を聞いて、多くの経営者は耳を疑うかもしれません。「たかがウイルスの除去に、なぜビルが建つほどの金がかかるのか」と。しかし、ここには大きな誤解があります。サイバー攻撃における被害とコストの構造は、氷山のようなものです。海面にみえている身代金の支払いやシステムの初期復旧費用は、全体の一部に過ぎません。水面下には、より巨大で複雑なコストが潜んでいます。

    例えば、攻撃の侵入経路や被害範囲を特定するためのデジタルフォレンジック調査費用です。高度な専門知識を持つスペシャリストを数週間拘束するこの調査だけで、多額の請求書が届くことはめずらしくありません。さらに、個人情報が漏洩した場合の対応コストも莫大です。顧客への詫び状の発送、専用コールセンターの設置、見舞金の支払い、そして法的責任を問われた際の弁護士費用や損害賠償金―これらが積み重なった結果が、2億円という冷酷な数字なのです。

    2億円という金額は、多くの中堅・中小企業にとって、単なる特別損失として処理できる範囲を遥かに超えており、場合によっては事業継続そのものを断念せざるを得ない致命傷となり得ます。「うちは盗まれて困るような重要データはないから大丈夫だ」と語る経営者にも、警鐘を鳴らさなければなりません。近年の攻撃者が狙っているのは、情報の機密性（データの価値）だけではありません。彼らのビジネスモデルは、業務の可用性（システムが動いていること）を人質に取ることにシフトしています。あなたの会社のデータに市場価値がなくても、そのデータが使えなくなることで業務が止まり、あなたが困るなら、そこには「身代金を払う動機」が生まれます。つまり、事業活動を行っているすべての組織が、例外なく標的とされているのです。

    こうした被害は、運任せで発生するものではありません。多くの場合、事前のリスク評価によって発生確率や影響度を見積もり、優先的に対策すべきポイントを絞り込むことが可能です。
    「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

    最大の盲点は業務停止損害（機会損失）

    被害コストを算出する際、我々はつい、財布から出ていく現金（キャッシュアウト）だけに目を奪われがちです。しかし、真に恐ろしいのは機会損失という形で見えないコストが積み上がっていく業務停止損害です。

    前述したトレンドマイクロ社による2024年の調査データによれば、ランサムウェア攻撃を受けた際の平均的な業務停止期間は、約10.2日にも及ぶことが明らかになっています。10日間、会社の機能が完全に停止する状況を具体的に想像してみましょう。まず、受発注システムが画面にロック画面を表示したまま動かなくなります。倉庫の在庫データにはアクセスできず、どの商品をどこへ出荷すべきかわからなくなります。メールサーバーもダウンし、取引先との連絡手段は個人の携帯電話だけになります。製造ラインの制御システムが感染していれば、工場の稼働音は止まり、静寂が支配することになるでしょう。この10日間の空白が生み出すサイバー攻撃の被害とコストは計り知れません。本来得られるはずだった売上高が消滅するだけではありません。納期遅延によって取引先からの信頼を失い、契約解除や損害賠償請求を受けるリスクも発生します。

    さらに、腐敗しやすい商品を扱う食品業界や、ジャストインタイムで部品を供給する製造業界においては、たった数日の停止がサプライチェーン全体を麻痺させ、億単位のペナルティに発展することさえあります。実際に、九州地方の地域密着型スーパーマーケットチェーンでは、システム障害により全店舗が数日間にわたって臨時休業に追い込まれる事態が発生しました。新鮮な食材を求める地域住民の期待を裏切り、廃棄処分となる商品の山を築いてしまったこの事例は、サイバー攻撃が単なるデジタル空間の出来事ではなく、物理的な生活インフラを破壊する脅威であることを如実に物語っています。

    また、復旧後も影響は長く尾を引きます。「あの会社はセキュリティが甘い」という評判は、SNS時代においては瞬く間に拡散し、デジタルタトゥーとして残り続けます。新規顧客の獲得コストは高騰し、既存顧客の離脱を食い止めるためのマーケティング費用も嵩みます。上場企業であれば、インシデント公表直後の株価下落による時価総額の毀損も、広義の被害コストに含まれるでしょう。このように、業務停止が引き起こす連鎖的な損害は、表面的な復旧費用の数倍、時には数十倍に膨れ上がるのです。

    「中小企業は関係ない」という神話の崩壊とサプライチェーンリスク

    「サイバー攻撃は大企業が狙われるもので、我々のような中小企業は関係ない。」―2025年において、この認識は完全に誤った神話であり、極めて危険なバイアスであると断言できます。警察庁が公表する「サイバー空間をめぐる脅威の情勢等」によれば、ランサムウェア被害の報告件数のうち、実に約6割が中小企業で占められているのが実情です。なぜ、資金力のある大企業ではなく、中小企業が狙われるのでしょうか。そこには、攻撃者側の明確な戦略的合理性が存在します。

    第一の理由は、サプライチェーン攻撃の踏み台としての利用です。セキュリティ予算が潤沢で、強固な防御壁を築いている大企業を正面から突破するのは、攻撃者にとっても骨の折れる作業です。そこで彼らは、大企業の取引先でありながら、セキュリティ対策が比較的脆弱な中小企業に狙いを定めます。まず中小企業のネットワークに侵入し、そこから正規の取引メールを装ってマルウェアを送りつけたり、VPN（仮想専用線）接続を通じて大企業の本丸へ横移動したりするのです。もしあなたの会社が踏み台にされ、取引先の大企業に被害を与えてしまった場合、その損害賠償請求額は自社の存続を揺るがす規模になるでしょう。そして何より、長年築き上げてきたビジネスパートナーとしての信用は地に落ち、取引停止という最悪の結末を招きかねません。

    第二の理由は、攻撃の自動化と無差別化です。攻撃者はAIを駆使したツールを用いて、インターネット上の脆弱なサーバーを24時間365日、休むことなくスキャンし続けています。そこに大企業か中小企業か、という選別はありません。カギの開いているドアがあれば、誰の家であろうと入ってくる空き巣と同じです。セキュリティパッチ（修正プログラム）の適用が遅れているVPN機器や、パスワード設定が甘いリモートデスクトップ機能などは、格好の餌食となります。

    “数打ちゃ当たる”戦法で無差別にばら撒かれたウイルスに感染し、暗号化されたデータを人質に取られてしまう。―中小企業における平均被害額も数千万円規模に達することがありますが、資金的体力の乏しい企業にとって、このサイバー攻撃の被害とコストのインパクトは大企業以上に甚大です。さらに、中小企業では「ひとり情シス」や「兼任担当者」が一般的で、セキュリティの専門家が不在であるケースが大半です。日々の業務に追われ、サイバー攻撃 リスク評価を行う余裕もないまま放置されたシステムは、攻撃者にとって宝の山に見えていることでしょう。攻撃者は、あなたが「自分は狙われない」と思っているその隙を、虎視眈々と狙っているのです。

    数値化しづらい“人的コスト”が復旧を遅らせる

    金銭的なコストや信用の失墜に加え、もう一つ忘れてはならないのが、現場で対応にあたる従業員の疲弊という「人的コスト」です。インシデントが発生した瞬間から、IT担当者や経営幹部は不眠不休の対応を強いられます。原因究明、システム復旧、関係各所への連絡、殺到する問い合わせ対応。極度のプレッシャーの中で行われる意思決定の連続は、担当者のメンタルヘルスを確実に蝕んでいきます。

    さらに、事態が収束した後も現場には深い爪痕が残ります。「自分のせいで会社に損害を与えてしまった」という自責の念から、優秀なエンジニアが退職してしまうケースも後を絶ちません。また、再発防止策として導入される厳格すぎるセキュリティルールが、日々の業務効率を低下させ、従業員のモチベーションを下げる要因となることもあります。このように、サイバー攻撃は組織の「人」という資産をも毀損し、長期的な成長力を奪っていくのです。これもまた、決算書には表れない重大なサイバー攻撃の被害とコストの一部と言えるでしょう。

    サイバー攻撃リスク評価で何を可視化するのか

    ここまで述べてきたように、サイバー攻撃による被害は、もはや運が悪かったで済ませられる事故ではなく、現代のビジネスを行う上で避けては通れない発生しうる経営コストとして、あらかじめ計算に含めておくべき確定的なリスクです。平均2億2千万円という衝撃的な被害額は、適切なセキュリティ投資を怠った場合に市場から請求される高すぎる授業料と言い換えることもできるでしょう。

    では、この破滅的なコストを回避し、持続可能な経営を行うためにはどうすればよいのでしょうか。その唯一の解は、漠然とした不安を具体的なアクションに変えることにあります。すなわち、自社のどこに弱点があり、どのような脅威に晒されているのかを客観的に可視化するリスク評価の実施です。「敵を知り、己を知る」。孫子の兵法にも通じるこのアプローチこそが、限られた予算で最大の防御効果を生み出すための出発点となります。

    サイバー攻撃による被害コストは決して偶発的なものではなく、事前に把握・管理できるリスクでもあります。では、こうした被害を未然に防ぐために、企業はどこから手を付けるべきなのでしょうか。次の記事では、サイバー攻撃リスク評価の考え方と具体的な進め方について、実務視点で詳しく解説します。
    「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

    【参考情報】

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    限定キャンペーン実施中！

    今なら新規お申込みで 初回診断料金 10％OFF！
    短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像