情報セキュリティ

2025年12月5日2025年12月5日

OWASP Top 10 2025：OWASP Top 10 2021からの変更点と企業が取るべきセキュリティ強化ポイント

Security NEWS TOPに戻る
バックナンバー TOPに戻る

OWASP Top 10はWebアプリケーションの主要なセキュリティリスクをまとめた世界的な基準です。2025年版では、ソフトウェアサプライチェーンに起因する問題や例外処理の不備など、新たなリスク項目が追加され、順位も変動しています。本記事ではこれらの新しい動向も踏まえ、各項目を平易に解説し、企業が取るべきセキュリティ対策の方向性を提示します。

はじめに

2025年11月、国際的なセキュリティ啓発コミュニティであるOWASP（オワスプ：Open Web Application Security Project）から、「OWASP Top 10 2025」が公開されました。前回の「OWASP Top 10 2021」より4年ぶりの公開となります。本記事ではOWASP Top 10 2025から追加された新たなリスク項目や順位変動を踏まえ、企業が取るべきセキュリティ対策の方向性を提示します。

OWASP Top 10とは

Webアプリケーションの代表的なセキュリティリスクをまとめた国際的なガイドラインで、意識向上を目的とする啓発資料です。全てのセキュリティ要件を網羅する標準というより、優先的な対策項目を示すリストと考えます。

OWASP Top 10 2025の特徴

今回の「OWASP Top 10 2025」では、ソフトウェア開発の全工程にわたる新しいリスクが反映されました。特に、依存ライブラリやCI/CD環境を含む「ソフトウェアサプライチェーンの不備」や、「例外処理（エラー処理）の不備」という2つの新カテゴリが追加されています。これにより、従来のコード脆弱性に加え、開発・運用プロセス全体に起因するリスクが明確に強調されました。

また、2021年版まで独立項目だった「サーバーサイドリクエストフォージェリ（SSRF）」はA01（アクセス制御）に統合され、権限回避系の攻撃に含まれるようになっています。

OWASP Top 10の概要、「OWASP Top 10 2021」のリスク項目一覧について、以下の記事で解説しています。あわせてぜひご覧ください。
OWASP Top 10―世界が注目するWebアプリケーションの重大リスクを知る―

OWASP Top 10 2021からの主な変更点

A01: アクセス制御の不備 (Broken Access Control)

引き続き1位です。従来のアクセス制御不備に加え、サーバーサイドリクエストフォージェリ（SSRF）攻撃がこのカテゴリに含まれるようになりました。

A02: セキュリティ設定のミス (Security Misconfiguration)

2021年5位から2025年2位に上昇しました。サーバやアプリの初期設定ミスや不要なサービス公開など、設定不備のリスクが増加しています。

A03: ソフトウェアサプライチェーンの不備 (Software Supply Chain Failures)

2021年版のA06「脆弱で古くなったコンポーネント」から大幅に拡張され、2025年版に新設されたカテゴリです。依存パッケージやビルド環境への攻撃を含み、開発～配布の全過程におけるマルウェア侵入のリスクを扱います。

A04: 暗号化の失敗 (Cryptographic Failures)

前回2位から今回は4位に下降しました。古い暗号方式や不適切な暗号設定によって、機密データ漏洩のリスクが引き続き高い項目です。

A05: インジェクション (Injection)

前回3位から5位に下降しました。依然として多く検出されるリスクですが、他カテゴリの変動により相対的に順位が変わりました。

A06: セキュアでない設計 (Insecure Design)

2021年に新設された項目で、前回4位から6位になりました。設計段階でセキュリティを考慮しないことによるリスクを指し、脅威モデル不足などが該当します。最近は設計レビューや脅威モデルの導入が増えつつあります。

OWASP Top 10 2021およびセキュアなWebアプリケーション開発にむけてどのように取り組むべきかについて、以下の記事で解説しています。あわせてぜひご覧ください。
Webアプリケーション開発プロセスをセキュアに ―DevSecOps実現のポイント―

A07: 認証の失敗 (Authentication Failures)

名称が「識別と認証の不備」から若干変更され、順位は7位で維持されました。ログイン機能やパスワード管理の不備などが含まれ、標準的な認証フレームワークの利用増加でやや改善傾向にあります。

A08: ソフトウェアとデータの整合性の不備(Software or Data Integrity Failures)

前回同様8位です。ソフトウェア更新時やデータ伝送時の改ざん検知の欠如を扱い、サプライチェーンより下層でのデータ改ざんリスクが対象です。

A09: ログ監視・アラートの不備 (Logging & Alerting Failures)

同じく9位を維持しました。ログ監視や侵入検知の仕組みが不十分で、攻撃検知が遅れるリスクを指します。名称も「セキュリティログとモニタリングの不備」から変更されています。

A10: 例外処理の不備 (Mishandling of Exceptional Conditions)

2025年に新設された新しいカテゴリです。エラー発生時の不適切な処理（例：内部情報露出やセーフティネットの欠如）により、システム全体の安全性が損なわれるリスクを扱います。

OWASP Top 10 2025のリスク項目詳細解説

A01: アクセス制御の不備 (Broken Access Control)

攻撃者が本来許可されていない操作やデータにアクセスできる脆弱性です。例として、URLやパラメータを操作して他ユーザーの情報を取得したり、管理者権限を取得したりする攻撃が挙げられます。

A02: セキュリティ設定のミス (Security Misconfiguration)

システムやアプリの初期設定・構成に誤りがある状態です。脆弱なデフォルト設定や、不要なサービスの有効化、パッチ未適用のサーバ起動などにより、本来防げる攻撃を許してしまいます。

A03: ソフトウェアサプライチェーンの不備 (Software Supply Chain Failures)

外部ライブラリやパッケージ管理システムが攻撃され、正規ソフトウェアにマルウェアが混入するリスクです。開発者の環境やCI/CDパイプラインを介して侵入するため、従来型のコード診断だけでは検知しづらい問題となっています。

A04: 暗号化の失敗 (Cryptographic Failures)

古い暗号方式や誤った暗号設定によって、暗号化すべきデータの機密性が損なわれるリスクです。例えば、弱い鍵長の使用や最新プロトコルの不採用により、攻撃者に通信内容を解読される危険があります。

A05: インジェクション (Injection)

ユーザ入力を十分に検証せずにSQL文やOSコマンド等に含めて実行することで、不正なコードが実行される脆弱性です。SQLインジェクションやクロスサイトスクリプティング（XSS）などが代表例で、攻撃者がデータベース改ざんやセッションハイジャックを実行します。

A06: セキュアでない設計 (Insecure Design)

設計段階でセキュリティが考慮されておらず、必要な防御策（脅威モデルやセキュアアーキテクチャ）が欠落しているリスクです。実装以前の段階で脆弱性を取り除かないと、後工程では完全対応できない欠陥を内包します。

A07: 認証の失敗 (Authentication Failures)

ログインやセッション管理に欠陥があり、不正ログインを許してしまう脆弱性です。例えば、パスワードポリシー不備やセッションIDの固定化、二要素認証不備などにより、攻撃者が他人の権限を奪取する可能性があります。

A08: ソフトウェアとデータの整合性の不備(Software or Data Integrity Failures)

ソフトウェア更新やデータ取得時に改ざんを検知できない状態で、不正なコードやデータが実行されてしまうリスクです。例えば、更新ファイルやコンテナイメージが攻撃者によって差し替えられても気づかない場合が該当します。

A09: ログ監視・アラートの不備 (Logging & Alerting Failures)

インシデント発生時に監査ログが残らない、またはアラートが機能しない状態で、攻撃を見逃してしまうリスクです。攻撃検知や対策対応が遅れるため、被害が拡大する可能性があります。

A10: 例外処理の不備 (Mishandling of Exceptional Conditions)

エラー・例外発生時に適切な対処がされず、システムが想定外の動作をしたり機密情報を漏洩したりする脆弱性です。具体例として、エラーメッセージで内部情報を出力するものや、例外処理のループ抜けでシステム停止しないなどがあります。

OWASP Top 10 2025で注目すべきポイント

サプライチェーンリスクの急浮上
例外処理カテゴリの新設が示す業界動向
コード脆弱性から“開発プロセスの安全性”への時代変化

OWASP Top 10 2025は、従来の入力検証など個別コード脆弱性に加え、サプライチェーンや設計、例外処理といったシステム全体に関わる根本原因を重視しています。企業はこれを踏まえ、開発プロセスや設計段階からの脆弱性予防策を強化する必要があります。

企業が取るべき対応（例）

開発プロセス全体のセキュリティレビュー
サプライチェーン管理の強化
設計段階のセキュリティ確保（脅威モデリング等）
ログ・アラート体制の見直し

情報システム部門やセキュリティ担当者は、今回のリスク項目をセキュリティ教育・セキュリティ診断・セキュリティ監査項目に組み込み、継続的な対策に活用しましょう。特にサプライチェーンや例外処理の項目は従来対応が十分でないことも多く、注力すべきポイントです。

まとめ

OWASPはTop 10に加え、SAMMやASVSなどのフレームワーク活用も推奨しています。OWASP Top 10は優先対策項目の一助と位置付け、組織全体のセキュリティ成熟度を高める施策を並行して検討することが望まれます。

脆弱性診断の活用

では、意図せず作りこまれてしまう脆弱性に、どう対処すればいいでしょうか。それには脆弱性診断を実施することが、最も有効な手段の一つと言えます。

脆弱性診断によって、システムにどのような脆弱性があり、どの程度のリスクがあるのか可視化され、その優先度に応じてセキュリティ対策を検討・実施することができます。

脆弱性診断を効果的に活用するには、システムの機能や取り扱う情報の重要度に応じて、実施時期や頻度を考慮することも大切です。セキュリティ事情は常に変化しています。日々新たな脆弱性が発見され、サイバー攻撃も巧妙化する一方です。また、何年も前に報告されたのに放置されがちな脆弱性が、改めて悪用されることもあります。健康診断と同様、脆弱性診断も定期的に実施することが重要なのです。

また、「SQAT^® Security Report」では、セキュリティ事情に関するトピックをお伝えしております。情報収集の一助としてご活用ください。

【参考情報】

OWASP Top 10 2025リリースノート／Aikidoブログ（https://www.aikido.dev/blog/owasp-top-10-2025-changes-for-developers#:~:text=OWASP%20emphasizes%20that%20the%20Top,Application%20Security%20Verification%20Standard）

BBSecの脆弱性診断サービス

弊社では、お客様のニーズに合わせて、様々な脆弱性診断サービスを提供しております。システムの特徴やご事情に応じてどのような診断を行うのが適切かお悩みの場合も、ぜひお気軽にご相談ください。

「毎日/週など短いスパンで定期診断して即時に結果を知りたい」

デイリー自動脆弱性診断「Cracker Probing-Eyes^®」は、脆弱性の検出結果を、お客様側での簡単な操作で、日々確認できます。導入のための設備投資が不要で、コストを抑えつつ手軽に診断できます。世界的なセキュリティ基準をベースにした弊社独自基準を設け、シグネチャの見直しも弊社エンジニアが定期的に行うことで、信頼性の高い診断を実現しております。

「システム特性に応じた高精度な診断をしたい」

対象システムの機能が複雑である、特にミッションクリティカルであるなどの理由により、広範囲かつより網羅性の高い診断をご希望の場合は、弊社エンジニアが手動で実施する「SQAT^®脆弱性診断サービス」をおすすめします。 Webアプリケーション、ネットワークはもちろんのこと、ソースコード診断やクラウドの設定に関する診断など、診断対象やご事情に応じて様々なメニューをご用意しております。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年11月27日2025年11月27日

サイバーレジリエンスとは何か―ランサムウェア時代の企業が取るべき対策と実践ガイド
第3回：企業のサイバーレジリエンス強化策の実践ガイド

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーレジリエンスとは何か―第3回：企業のサイバーレジリエンス強化策の実践ガイドアイキャッチ画像

攻撃されても事業を継続できる力「サイバーレジリエンス」を解説。シリーズ最終回では、企業が実務で取り組むべきサイバーレジリエンス強化策を整理。実践的な対策を通じて攻撃を受けても事業を継続できる体制づくりのポイントを解説します。

企業に求められるサイバーレジリエンスの実践とは

サイバー攻撃が高度化し、「Qilin」のようなランサムウェア集団による被害が日々報道され続ける現代において、「情報セキュリティ」と「サイバーレジリエンス」の強化は全ての企業が無視できない経営課題となっています。技術・人・組織の三位一体で高めるべき実践策について、国内外の情報を基に解説します。

情報資産の可視化とリスク評価の重要性

まずは、情報資産の洗い出しとリスク評価を徹底することが不可欠です。守るべき顧客情報・機密文書・基幹システムを特定し、サイバー攻撃や内部不正といった脅威、それに対する脆弱性を明確化しましょう。何が狙われやすいのかを組織全体で可視化し、優先順位を定めて防御層を構築することが「情報セキュリティ」の基本です。

多層防御とインシデント対応の統合的アプローチ

次に、多層防御の考え方を導入する必要があります。ゼロトラストモデルの推進を軸に、ネットワーク分離・EDR/XDRの活用・多要素認証（MFA）・適切なパッチ運用・権限管理の最小化・継続的なログ監視…など現代的な技術群は、それぞれ単独で機能するものではなく、総合的なセキュリティ対策のクッションとなります。QilinによるアサヒGHD攻撃のように、日常的なパッチ未適用や不十分なアクセス管理が被害の拡大要因となるため、運用面まで踏み込んだ点検・改善が求められています。

インシデント対応計画の策定

備えとして最も重要視したいのはインシデント対応計画の策定と日常的な訓練です。攻撃を受けた際に何を優先し、誰がどのように動くか、社内外への情報発信のタイミングや判断軸をあらかじめ決めておくことで、初動の混乱や判断遅延を最小限にできます。アサヒGHDの復旧例や国のBCPガイドラインでも、緊急時の透明な情報公開や顧客・関係先への真摯な対応が信頼維持の基盤として重視されています。

バックアップ戦略と復旧体制の確立

バックアップ戦略もサイバーレジリエンスにおいて必須の柱です。オフラインバックアップやイミュータブルバックアップは、ランサムウェアによる暗号化やデータ消去、さらにはバックアップ自体への攻撃を見越した対策となっています。バックアップのリストア手順まで普段から検証を重ね、実際の危機局面で「使えるバックアップ」を運用できる体制づくりが現場の情報セキュリティ課題として浮き彫りになっています。

サプライチェーン攻撃への備え

サプライチェーン攻撃にも注意が必要です。自社だけでなく、取引先や委託先ネットワーク経由で侵入・拡大するケースが増えているため、サイバーセキュリティ要件の明文化や、委託先を含めたインシデント報告ルール整備、サプライヤー監査などもレジリエンス強化の一角をなします。

従業員教育と組織文化の醸成

従業員のセキュリティ教育と、組織文化としての危機意識の醸成も長期的な強さにつながります。フィッシング訓練や定期的なアップデート研修、違反事例の共有など、形式だけでなく“自分ごと”として取り組める日常の習慣化が狙いです。経営層の率先垂範と現場への権限委譲を通じ「脅威に正直で、復元力のある組織こそが選ばれる時代」であることを社内外に示すことが、競争力確保にも直結します。

まとめ：サイバーレジリエンス強化は企業価値創出につながる

このような総合的なサイバーレジリエンス強化策の実践は、単なるコストではなく”持続的な企業価値創出”そのものであり、Qilin事件を始めとした最新インシデントが繰り返し教えている最重要原則です。企業規模や業種を問わず、一人ひとり・一社ごとに最適な情報セキュリティ対策とレジリエンス文化の醸成が社会的責任であること―これこそが、本連載を通じて読者の皆様にお伝えしたいメッセージとなります。

【連載一覧】
第1回：サイバーレジリエンスの重要性：攻撃を前提とした“事業を守る防御”とは
 第2回：Qilinサイバー攻撃に学ぶサイバーレジリエンス

【参考情報】

【関連ウェビナー開催情報】
弊社では12月3日（水）14:00より、「【最新事例解説】Qilin攻撃に学ぶ！組織を守る“サイバーレジリエンス強化のポイント”喫緊のランサムウェア被害事例からひも解く ― 被害を最小化するための“備えと対応力”とは？」と題したウェビナーを開催予定です。最新のランサムウェア被害事例をもとに、攻撃の実態と被害を最小化するための具体的な備えについて解説します。ぜひご参加ください。詳細・お申し込みはこちら。

サイバーインシデント緊急対応

セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年11月26日（水）13:00～14:00
【好評アンコール配信】「クラウド設定ミスが招く情報漏洩リスク -今こそ取り組むべき「クラウドセキュリティ設定診断」の重要性-」

2025年12月3日（水）14:00～15:00
「【最新事例解説】Qilin攻撃に学ぶ！組織を守る“サイバーレジリエンス強化のポイント”喫緊のランサムウェア被害事例からひも解く ― 被害を最小化するための“備えと対応力”とは？」

2025年12月10日（水）14:00～15:00
「【最短7営業日で報告書納品】短納期で実現するWeb脆弱性診断の新提案-SQAT^® with Swift Delivery紹介セミナー」

最新情報はこちら

2025年11月20日2025年11月20日

サイバーレジリエンスとは何か―ランサムウェア時代の企業が取るべき対策と実践ガイド
第2回：Qilinサイバー攻撃に学ぶサイバーレジリエンス

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーレジリエンスとは何か第2回：Qilinサイバー攻撃に学ぶサイバーレジリエンス

攻撃されても事業を継続できる力「サイバーレジリエンス」を解説。シリーズ第2回は、ランサムウェア攻撃グループ「Qilin」による攻撃の経緯と影響を解説します。被害状況を整理し、企業が得られる教訓と、サイバーレジリエンス強化のポイントを示します。

アサヒグループへの攻撃事例

2025年9月、日本を代表する食品・飲料メーカー、アサヒグループホールディングスは、ランサムウェア集団「Qilin（キリン）」の大規模サイバー攻撃の被害に遭いました。これにより、同社の統合システムが停止し、受注や出荷だけでなく、会計や人事、顧客対応までが全面的に麻痺しました。新商品の発売延期や決算発表の遅延、数カ月単位のビジネスインパクトが現実となり、日本社会にもサイバーレジリエンスと情報セキュリティの再認識を促す事態が生まれました。

ランサムウェア攻撃グループ「Qilin」の特徴

Qilinはロシア語圏を拠点とするランサムウェア集団で、2022年に「Agenda」から改称・拡張した犯罪組織です。2025年だけで700件超もの犯行声明を出し、暗号化ツールや恐喝サイトを第三者に提供する「 RaaS（Ransomware as a Service）」モデルを主力に展開。技術力に乏しい攻撃者でも、サービスとして提供される攻撃ツールを利用して、企業システムへの侵入・データ窃取・身代金要求が可能となりました。今回のアサヒグループへの攻撃では、財務情報や従業員の個人情報を含む9300ファイル以上、計27GB超の機密データを盗んだと主張しています。

攻撃の手口については公式発表では明らかにされていませんが、一般的にランサムウェアでは、以下のような経路が考えられます。フィッシングメールやVPN脆弱性の悪用、認証情報の窃取から正規アクセスの確立、そしてシステム内へのラテラルムーブメント（水平展開）です。特にQilinは二重脅迫型で被害企業に身代金の支払いを強く迫り、支払い拒否時には盗んだデータの公開や発注先・顧客への連絡まで講じる、三重・四重の多重脅迫へと進化しています。バックアップの破壊、サプライチェーンや経営層への直接圧力まで、RaaSによるサイバー攻撃の悪質化・高度化が進んでいます。

従来型セキュリティの限界とゼロトラストセキュリティ

サイバー攻撃に対しては、従来型の情報セキュリティ対策のみでは防御しきれません。定期的なセキュリティ教育と、VPN・認証情報・アクセス権限の適切管理、多層防御（EDR/XDR、ネットワーク監視、オフラインバックアップ）の導入、そして暗号化による”システムへの侵入前提の対策“が不可欠です。完全防御は不可能であり、いかに早く侵入検知し、適切なインシデント対応計画のもと事業復旧を果たすかがサイバーレジリエンスの本質となります。

アサヒグループのケースでは、緊急事態対策本部の設置、手作業による一部業務継続、新商品の発売延期、個人情報流出の公表、そして復旧宣言までの透明かつ迅速な情報公開が、関係者との信頼維持に大きく寄与しました。政府の施策としても、重要インフラなど15業種に義務化されているActive Cyber Defense（ACD）制度拡充など、日本社会全体でのサイバー攻撃リスクへの対応強化が模索されています。

事例から学ぶサイバーレジリエンス強化のポイント

事例から学ぶべき教訓は、攻撃を未然に防ぐだけでなく”侵入前提”に立った情報セキュリティ体制の整備と、サイバーレジリエンス強化への継続的な投資・教育の重要性です。組織文化としての危機管理、復旧方針の明確化、経営陣の強いコミットメントが不可欠となります。また、暗号化やゼロトラスト、防御・検知・復旧サイクルを確立し、被害時に迅速に情報公開と初動対応が行える体制づくりが、企業の信頼回復・競争力強化に直結することを改めて理解すべきでしょう。

高度化するランサムウェア攻撃と情報セキュリティリスクを前に、企業・組織は一時的な対策の実施に留まらず、「いかに早く立ち直るか」「次の攻撃にどう備えるか」に重点を置く必要があります。サイバーレジリエンスの本質、それは「攻撃されても倒れない」現実的な強さであり、アサヒグループへのランサムウェア攻撃事例はその象徴的な例として日本社会全体に警鐘を鳴らしています。

―第3回へ続く―

【参考情報】

サイバーインシデント緊急対応

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年12月10日（水）14:00～15:00
「【最短7営業日で報告書納品】短納期で実現するWeb脆弱性診断の新提案-SQAT^® with Swift Delivery紹介セミナー」

最新情報はこちら

2025年11月17日2025年11月20日

サイバーレジリエンスとは何か―ランサムウェア時代の企業が取るべき対策と実践ガイド
第1回：サイバーレジリエンスの重要性：攻撃を前提とした“事業を守る防御”とは

Security NEWS TOPに戻る
バックナンバー TOPに戻る

攻撃されても事業を継続できる力「サイバーレジリエンス」を解説。シリーズ第1回では、2025年のランサムウェア攻撃の事例をもとに、従来の防御型セキュリティの限界を整理。攻撃を前提とした強靭な防御策や、技術・人・組織を融合させた総合的な情報セキュリティ体制の重要性を解説します。

サイバーレジリエンスの必要性が高まる背景

2020年代半ばにおいては、「情報セキュリティ」という言葉が単なる防御策やリスク回避という意味合いを超えて、新たな時代へと突入しました。その象徴的な出来事が、2025年秋に発生したアサヒグループHDへのランサムウェア集団Qilin(キリン)によるサイバー攻撃です。日本を代表する食品・飲料メーカーが標的となり、情報システムの停止、新商品の発売延期、受注や出荷業務の停滞、さらに決算発表の延期にまで発展したこの事件は、社会全体に深刻な影響をもたらしました。この出来事は、従来型の「守るための情報セキュリティ」だけでは不十分であり、「サイバーレジリエンス」、すなわち「攻撃を受けても事業を継続するための強さ」が必要不可欠であることを多くの日本企業に示しました。

サイバーレジリエンスとは何か

サイバーレジリエンスとは、米国NISTなどが提唱している、「攻撃を受けても迅速に回復し、事業運営を継続できる能力」のことです。情報セキュリティにおいても、技術対策の積み重ねだけでは完璧な防御は難しく、ランサムウェアやAPT（Advanced Persistent Threat）のような高度な攻撃に突破される可能性は常に存在します。そのため、企業はどのように復旧し、どのように事業を再開するかに知恵を絞り、BCP（事業継続計画）やリスク評価のサイクルの中にサイバーレジリエンスを組み込むことが不可欠となっています。

2025年、ランサムウェア市場で主要な犯罪ビジネス「RaaS」

QilinによるアサヒGHDへの情報セキュリティ上の課題は多様です。同グループは「RaaS（Ransomware as a Service）」、すなわち攻撃ツールやノウハウを提供しビジネス化したモデルを採用しており、技術力が高くない実行者でも大規模な攻撃を行える点が脅威となっています。実際の攻撃手法としては、フィッシングメールやVPNの脆弱性を突いた侵入が多く、内部侵入後は認証情報の窃取や水平展開、情報漏洩と二重脅迫が展開されます。アサヒGHDでは、27GB以上、9300ファイルに及ぶ機密情報が流出し、従業員の個人情報が公開されるリスクも現実化しました。復旧には数ヶ月を要すると見込まれています。

企業が取るべき防御と対応の考え方

情報セキュリティを考える際、システムに侵入されないことを前提にする従来のアプローチは、もはや限界を迎えています。特に製造業など基幹産業では、デジタルシフトによりサイバー攻撃の影響範囲が拡大しつつあります。今求められているのは、ゼロトラストモデル、EDR・XDR、オフラインバックアップを中心とした多層防御、現実の攻撃を想定したインシデント対応計画、従業員教育や情報共有を含めた総合的な情報セキュリティ体制です。技術だけでは乗り越えられない脅威に備え、組織のガバナンスと人材育成が融合した「組織としてのレジリエンス」が、真の競争力となり、顧客や関係者からの信頼にも直結します。

組織としてのレジリエンスと競争力への影響

企業・組織としてサイバーレジリエンスを高めるためには、下記の要素が重要です。

リスク評価と資産洗い出しによる保護対象の明確化
インシデント対応計画（IRP）と定期的な訓練による実践力の強化
速やかに復旧できるバックアップ体制と、復旧目標（RTO／RPO）の設計
技術と人、両面からの多層防御策（EDR、MFA、多層アクセス制御など）と、従業員への情報セキュリティ教育・組織のガバナンス強化と、早期発見
報告を促す風通しの良い社内文化

Qilin事件を機に、多くの日本企業は情報セキュリティ戦略を再構築し、「攻撃を防ぐ」だけでなく「攻撃されても事業継続できる」レジリエンス思考へのシフトを迫られています。サイバー攻撃の高度化と社会的インパクトは、すでに企業の枠を超え、日本社会全体の重要課題となっています。「情報セキュリティ」と「サイバーレジリエンス」が両軸として不可分であることを、今こそ再認識すべき時代に突入しています。

次回、第2回では、QilinによるアサヒGHD攻撃の詳細と、技術的・組織的インパクト、企業が得るべき教訓について、さらに深く掘り下げます。

―第2回へ続く―

【参考情報】

サイバーインシデント緊急対応

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年12月10日（水）14:00～15:00
「【最短7営業日で報告書納品】短納期で実現するWeb脆弱性診断の新提案-SQAT^® with Swift Delivery紹介セミナー」

最新情報はこちら

2025年10月20日2025年10月20日

サイバーセキュリティとは-情報セキュリティとの違いと目的・対策・重要性を解説-

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバーセキュリティとは-情報セキュリティとの違いと目的・対策・重要性_アイキャッチ画像

サイバーセキュリティとは、インターネットやデジタル技術を利用する社会で欠かせない「防犯」の仕組みです。情報セキュリティとの違いを正しく理解し、その目的や重要性を把握することは、セキュリティ担当者だけでなくすべての利用者に求められます。本記事では、サイバーセキュリティの基本から具体的な対策、最新トレンドまでをわかりやすく整理し、日常業務や企業活動に活かせる実践的なポイントを解説します。

サイバーセキュリティという言葉を初めて耳にすると、多くの人が「何か難しそう」「専門家向けでは？」と思ってしまうかもしれません。しかし、インターネットやスマートフォンを使って日常生活を送る現代において、サイバーセキュリティは私たちにとっても実は身近な存在です。

サイバーセキュリティとは？日常とのつながり

たとえば、「情報セキュリティ」という言葉の通り、サイバーセキュリティは個人や企業が保有する情報を、外部の攻撃や内部の不正から守るためのあらゆる取り組み——つまり「デジタル社会の防犯」と言ってもいい存在です。特別なものではなく、日々のネット利用やデバイス操作そのものがサイバーセキュリティと密接に関わっているのです。現代はスマートフォンやパソコンだけでなく、テレビや冷蔵庫までがネットにつながる”IoT社会”。SNSでのコミュニケーションやオンラインショッピング、各種アプリの利用など、「サイバー空間」と呼ばれるインターネットの世界は生活の一部になっています。この便利さの裏には、見えないサイバー攻撃のリスクが潜んでいます。ここを知ることが、サイバーセキュリティへの第一歩です。

サイバー攻撃とは何か

サイバー攻撃とは、インターネットやネットワークを通じてコンピュータやスマートフォンなどのデバイス、Webサービスなどに損害を与える行為を指します。ニュースでは「ウイルス」「マルウェア」「フィッシング詐欺」「ランサムウェア」「不正アクセス」などの言葉が頻繁に登場しますが、これらはすべてサイバー攻撃の一種です。たとえば、フィッシング詐欺は本物そっくりの偽メールや偽サイトに誘導し、パスワードやクレジットカード情報を盗み取る手口です。マルウェアは悪意をもったプログラムで、感染することで大切なデータの流出や端末の壊滅的な損害につながります。ランサムウェアは、データを人質に身代金を要求する攻撃手法です。

攻撃名	主な手口	被害の特徴	主な被害対象
マルウェア感染	メール添付や危険なサイトからのダウンロード	情報漏洩、コンピュータの乗っ取り、不正操作	個人・企業全般
フィッシング詐欺	偽サイトや偽メールで認証情報取得	ID・パスワード盗難、金銭的被害	個人ユーザー、ネットバンキング利用者
ランサムウェア	メール・ウェブ経由で感染しデータ暗号化し身代金要求	データ利用不可能、金銭的要求、業務停止	企業・医療機関・自治体等
不正アクセス	弱いパスワードや設定ミスを悪用	機密情報の漏洩、なりすまし被害	企業システム・個人サービスアカウント

サイバーセキュリティの目的

サイバーセキュリティの目的は、単に攻撃を防ぐことにとどまりません。情報セキュリティの3要素、「機密性」「完全性」「可用性」を合わせて「CIA」と呼びます。つまり「誰にでも見せていい内容か」「内容が改ざんされていないか」「必要な時に使えるか」を守り抜くことこそ、サイバーセキュリティの本懐です。たしかな一次情報によれば、この三要素は、世界中でセキュリティを考えるときの共通する普遍的な指針となっています。このCIAを守るためには、実に幅広い知識と対応策が必要とされます。企業だけでなく、個人が日々の生活でできるセキュリティ対策もたくさん存在します。

要素	概要	リスク例
機密性 (Confidentiality)	許可された人だけが情報にアクセスできる状態を保つ	情報漏洩、不正閲覧
完全性 (Integrity)	情報が正しく保たれ、改ざんされていない状態を維持	データの改ざん、不正操作
可用性 (Availability)	必要な時に情報やシステムが利用できる状態を保つ	システム障害、サービス停止

なぜサイバーセキュリティが重要なのか

インターネットに依存する現代社会では、サイバー攻撃の被害はもはや特殊な例ではありません。たとえば、企業で情報漏洩が起きれば信用失墜や巨額賠償の問題が発生します。個人の場合でも、SNSの乗っ取りやネットショッピングでの不正利用、クレジットカード情報の流出など、誰もが被害者になりかねません。さらに、近年は、サプライチェーン攻撃、ゼロデイ攻撃など、従来の対策では防ぎきれない高度な手口も拡大。セキュリティ対策のトレンドや法規制（サイバーセキュリティ基本法、GDPRなど）の最新動向をしっかりと抑えることも必須となっています。

こうした被害や課題を正しく理解するためにも、具体的な被害事例や判例、世界的な潮流は表にまとめて学ぶことが効果的です。業界団体や行政機関（総務省やIPAなど）が公開している公的なデータやレポートを活用することで、サイバーセキュリティに対する理解を深めることができます。

サイバーセキュリティにおける基本対策

「何をすればいいのか？」と悩む方に向けて、まずは日常生活で実践できる初歩的な対策からスタートするのが推奨されます。総務省が示す三原則は、すぐにでも始められる実践的なセキュリティ対策の例です。

ソフトウェアは常に最新版に保つ
強固なパスワードの設定と多要素認証の活用
不用意なメール・ファイルを開かない、アプリをインストールしない

これらに加え、「ウイルス対策ソフトの導入」「ネットショッピングサイトのURL確認」「Wi-Fiルーターの設定見直し」「スマートフォンのOSアップデートの定期的な実施」なども効果的です。企業で働く場合は、「アクセス権限の制御」「重要データのバックアップ」「ログ管理」など、さらに高度な対策が求められます。こうした対策の具体例や実践ポイントは、図表やチェックリスト形式でまとめると自己点検にも役立ちます。セキュリティ対策チェック表や安全なパスワードの選び方、多要素認証の設定ガイド等の図解は、初心者が最初に取り組むべき項目を可視化できるため推奨されます。

セキュリティ対策チェックリストの例

以下はチェックリストの一例です。実際に運用する際には業務や使用しているシステムに合わせてより細かく作成していく必要があります。

やるべきこと	重要度	対応状況
OSやアプリの定期的なアップデート	高	実施/未実施
ウイルス対策ソフトの導入・更新	高	実施/未実施
強固なパスワード設定と多要素認証の利用	高	実施/未実施
不用意なメールや添付ファイルを開かない	中	実施/未実施
バックアップの定期実施	中	実施/未実施
ネットワーク機器の初期設定見直し	中	実施/未実施
従業員向けセキュリティ教育・研修	低	実施/未実施

サイバーセキュリティと情報セキュリティの違い

初学者からよくある質問の一つが「サイバーセキュリティと情報セキュリティは同じですか？」という点です。情報セキュリティは、あらゆる情報（紙媒体、物理的なデータも含む）を対象にしますが、サイバーセキュリティは特にインターネットやデジタル技術が関与する電子的な情報・デバイス・システムにフォーカスしています。つまり、インターネットやIT機器を使って情報をやり取りする現代において、サイバーセキュリティの重要性は年々増しています。サイバー攻撃に対応するためには、技術だけでなく利用者の意識も不可欠です。

サイバーセキュリティの最新トレンド

2025年現在、ゼロトラストモデルやEDR・SOC・MFA（多要素認証）など新しいサイバーセキュリティ技術・サービスの導入が進んでいます。AI技術の進化により、攻撃側・防御側ともに手法が高度化し、サイバー攻撃事例、セキュリティインシデント、情報漏洩等のニュースが増加傾向にあります。また、テレワークの普及やIoT機器の急増は新たなセキュリティリスクを生み出しつつあり、最新のサイバーセキュリティ関連キーワード（ゼロデイ、サプライチェーン、ランサムウェア、フィッシング、VPN、SOC、EDR）は、入門段階から意識して覚えておくべきです。こうした最新動向は、企業サイト、行政レポート、業界ニュースなど一次情報を出す信頼できる媒体で確認することを強く推奨します。

サイバーセキュリティの相談窓口・一次情報へのアクセス

一歩踏み込んで「どこに相談すればいいの？」と感じたら、総務省やIPA（情報処理推進機構）など、一次情報を発信している公的機関の情報を閲覧することからはじめてみましょう。また今皆様が記事を読んでいる弊社SQAT.jpサイトをはじめとした、サイバーセキュリティ情報を扱ったWebサイトから一次情報を確認するのも一つの手段です。独自の見解や推測ではなく、根拠となるニュースリリース、ガイドライン、最新動向をもとに判断するのが大切です。また、さらに一歩踏み込んで対策を始めていきたい、指針がほしいと思ったらセキュリティベンダーを頼ってかかりつけ医のように利用してみてはいかがでしょうか。

BBSecでは

サイバーインシデント緊急対応

まとめ：誰もが守るべきデジタル時代の「防犯」

サイバーセキュリティは社会のインフラを守る防犯意識に他なりません。スマートフォン、パソコン、ネットショッピングやSNSなど身近な存在を守るために、まずは基礎を知り、簡単な対策から一歩踏み出してみることが重要です。専門家の世界だけでなく、どなたでも役立つ情報を、身の回りのことからオンラインサービスの使い方まで、生活目線で学ぶ姿勢がセキュリティレベルの向上につながります。今後もサイバー攻撃や新しいリスクは進化を続けますが、一次情報に基づいた正しい知識をもとに、日々小さな工夫から実践を積み重ねていくことこそ、自身と社会を守る最良の方法です。サイバーセキュリティは難しいものではなく、まずは「知る」「見直す」「具体的に始める」―その小さな一歩から、身近な世界に安心と安全をもたらすことができるでしょう。

【参考情報】

総務省サイバーセキュリティポータル（基礎・初心者向けガイド、三原則）
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/intro/beginner/
東京都サイバーセキュリティサイト（対策全般・攻撃例・用語解説）
https://www.cybersecurity.metro.tokyo.lg.jp/security/KnowLedge/594/index.html
IPA（情報処理推進機構）「情報セキュリティ10大脅威」
https://www.ipa.go.jp/security/10threats/10threats2025.html
サイバーセキュリティ基本法および要点解説
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/basic/legal/02
https://laws.e-gov.go.jp/law/426AC10000001

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年10月22日（水）14:00～15:00
「ランサムウェア対策セミナー2025 ～被害を防ぐための実践的アプローチ～」

2025年10月29日（水）13:00～14:00
【好評アンコール配信】「フィッシング攻撃の最新脅威と被害事例〜企業を守る多層防御策〜」

2025年11月5日（水）13:00～14:00
【好評アンコール配信】「SQAT^®ペネトレーションテスト実演付き!-攻撃の“成立”を見極めるペネトレーションテストとは-」

2025年11月12日（水）14:00～15:00
「なぜ今“脆弱性診断”が必要なのか?実績データで見る検出傾向とサービス比較」

最新情報はこちら

2025年10月6日2025年10月14日

アサヒグループを襲ったランサムウェア攻撃

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年9月29日午前7時頃、日本を代表する飲料メーカー、アサヒグループホールディングス株式会社が大規模なサイバー攻撃を受けました*1 。サイバー攻撃を受け、アサヒグループの業務システムが全面的に停止する事態に陥り、ビジネスの根幹を揺るがす重大なインシデントとなりました。本記事では、公式発表をもとに攻撃の概要と影響範囲、今後の課題について解説します。

【関連ウェビナー開催情報】
弊社では10月22日（水）14:00より、「ランサムウェア対策セミナー2025 ～被害を防ぐための実践的アプローチ～」と題したウェビナーを開催予定です。最新のランサムウェア攻撃手口と国内外の被害事例を解説するとともに、企業が取るべき実践的な「防御の仕組み」を具体的に紹介します。ご関心がおありでしたらぜひお申込みください。

事件の概要

2025年9月29日午前7時頃、アサヒグループホールディングス株式会社が突如として大規模なサイバー攻撃を受けました。サイバー攻撃を受け、アサヒグループの業務システムが全面的に停止する事態に陥り、ビジネスの根幹を揺るがす重大なインシデントとなりました。アサヒグループは国内外で事業を展開する巨大企業であり、日本市場での売り上げが全体の約半分を占めています。そのため今回の攻撃は業界内外に大きな波紋を広げています。事件は単なる技術的問題にとどまらず、日本企業が直面するサイバーセキュリティの現状と課題を象徴するものであることを強調しておきたいところです。

攻撃の影響範囲

今回のサイバー攻撃は日本国内の事業に限定されており、特に受注や出荷をはじめとした物流業務、さらに顧客対応を担うコールセンター、さらには生産活動にまで深刻な影響を与えました。受注および出荷業務のシステム停止は全国内のグループ各社に及び、ビールや清涼飲料水などの商品供給が一時的に滞ったことは想像に難くありません。生産面では国内約30の工場の多くが停止し、供給網全体が断絶寸前の状況に追い込まれました。一方で、欧州やオセアニア、東南アジアなどの海外事業には影響がなく、地域単位でセキュリティ境界を設計していたことが一定の防御効果をもたらした可能性が示唆されています。

情報漏洩の現状とリスク

アサヒグループは公式声明で、現段階で個人情報や顧客データ、企業情報の漏洩は確認されていないと発表しているものの、詳細な調査は継続中であるとしています。サイバー攻撃の被害調査は時間を要するものであり、新たな事実が明らかになる可能性を完全には否定できません。この点は、情報管理が企業の信用維持に直結する食品・飲料業界において特に重要なポイントです。これまでのところ、流出がないことは幸いですが、それでも引き続き厳密な対応が求められています。

サーバへのランサムウェア攻撃であることを確認

これまでの調査で明らかにされている事実は、攻撃開始が9月29日の早朝であり、標的は日本国内の主要業務システムに絞られていることです。攻撃により業務システムの完全停止という被害をもたらしているものの、サイバー攻撃の詳細なシナリオは現時点（2025年10月3日時点）で非公表となっています。専門家たちはアサヒグループのサーバに対するランサムウェア攻撃である、と確認しましたが、犯行グループからの声明がなく、ダークウェブでの脅迫サイトにもアサヒの名はみられないため、具体的な状況は流動的です。身代金の要求自体も公にされていない中で、交渉が進行中であるとの報告もあり、今後の展開に注目が集まっています。

巨大企業に与えたビジネスインパクトと市場への影響

アサヒグループは従業員約3万人、年間で1億ヘクトリットルもの飲料を生産する日本最大級の飲料メーカーです。2024年の売上高は約2兆9,394億円に達し、日本のビール市場の約3分の1を占めています。今回のサイバー攻撃による業務停止は、たんにアサヒグループの損失にとどまらず、同業界全体に波及するリスクを含んでいます。食品・飲料業界はダウンタイムに対して極めて厳しい規制や慣習があり、1時間の停止だけで数億円の損失が発生するケースも珍しくありません。過去の類似事例では、Marks & Spencerが約3億ドル、Co-operative Groupが約1億8百万ドルの損失を出したことからも、アサヒグループの被害がいかに大きいか推測できます。

システム復旧対応の状況と今後の課題

2025年10月3日現在、アサヒグループは依然として復旧の見通しが立っておらず、生産再開が遅れている状況を公表しています。10月1日に予定されていた新商品発表会も中止され、事態の深刻さがうかがえます。今後の最大の課題は迅速な復旧とビジネス継続性の確保であり、これと並行してセキュリティ対策の抜本的な見直しと強化、顧客信頼の回復、そしてサプライチェーン全体の再構築が急務です。これらは単に企業の情報システムの問題のみにとどまらず、社会的信用や取引先との関係維持に直結する重要なポイントです。

日本企業を襲うサイバー攻撃の波

今回の事件は、日本企業全体が直面するサイバー脅威の一例に過ぎません。実際、日本国内ではランサムウェア攻撃が増加しており、特に中小企業は脆弱な体制のために深刻なリスクに晒されています。さらに、サプライチェーン経由の攻撃も増えており、2022年に起きた小島プレス工業株式会社の攻撃によりトヨタの国内14工場が操業停止に追い込まれたケース*2 は記憶に新しいです。これらの事例は、業界全体や取引先と連携した包括的なセキュリティ対策の必要性を企業に対して訴えています。

迅速な対応と長期的セキュリティ対策の重要性

アサヒグループをはじめとする日本企業は、今回の事件を踏まえて即時的な対策を講じる必要があります。インシデント対応計画の見直しやバックアップ体制の強化、サプライチェーンのリスク評価は最低限必須です。また、危機時の情報伝達（Crisis communication）体制も整備し、ステークホルダーへの透明で迅速な対応が求められます。長期的にはゼロトラストアーキテクチャの導入、定期的なセキュリティ訓練、業界横断での脅威情報共有、さらにサイバー保険によるリスクの財務的緩和といった多層的な防御策を推進することが望まれます。

食品・飲料業界全体への提言と未来への展望

食品・飲料業界はその性質上、ダウンタイムに対する許容度が非常に低く、今回のアサヒグループの事件が業界全体に警鐘を鳴らすこととなりました。業界標準のセキュリティフレームワークを策定し、サプライチェーン全体での防御態勢を強化するとともに、官民が連携して新たな脅威に対抗するための研究開発へ投資を行うべきでしょう。こうした取り組みが、将来的な安全性の担保やブランド価値の維持に不可欠となります。アサヒグループの早期復旧と、事件を契機とした日本企業全体のセキュリティレベルの向上が期待されます。

【関連情報】

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年10月8日（水）14:00～15:00
ウェビナー参加者限定特典付き！
「ソースコード診断で実現する安全な開発とは？脆弱性対策とDevSecOps実践」

2025年10月22日（水）14:00～15:00
「ランサムウェア対策セミナー2025 ～被害を防ぐための実践的アプローチ～」

2025年10月29日（水）13:00～14:00
【好評アンコール配信】「フィッシング攻撃の最新脅威と被害事例〜企業を守る多層防御策〜」

最新情報はこちら

2025年10月2日2025年10月2日

セキュリティインシデントの基礎から対応・再発防止まで
第2回：セキュリティインシデント発生時の対応 ─初動から復旧まで

セキュリティインシデントは、発生した瞬間から組織に深刻な影響を及ぼす可能性があります。そのため、どれほど迅速かつ的確に対応できるかが被害の拡大を防ぐ鍵となります。特に初動対応の遅れは、情報漏洩の範囲拡大やシステム停止の長期化といった二次被害を招きかねません。本記事では、セキュリティインシデントが発生した際に組織が取るべき対応を、初動から原因調査、復旧、そして報告体制まで段階的に解説します。

インシデント対応が遅れると被害が拡大する―「初動対応」の重要性

セキュリティインシデントが発生した際、最初に求められるのは「被害の拡大を防ぐこと」です。具体的には、該当システムのネットワーク接続を遮断する、影響範囲を限定する、ログを確保して証拠を保存するといった行動が挙げられます。ここで重要なのは、焦ってシステムを完全に停止させたり証拠を消去したりしてしまわないことです。例えば、感染が疑われるPCを慌てて初期化すると、攻撃経路やマルウェアの痕跡といった重要な調査情報を失うことになり、後続の対応が困難になります。そのため、インシデント発生時には「まず拡大防止と証拠保全を優先する」という基本原則を徹底する必要があります。初動段階での判断ミスが、被害規模や復旧にかかる時間を大きく左右するのです。

セキュリティインシデント対応の基本フロー

社内連携と報告体制

セキュリティインシデントが発生した際、技術的な対応と同じくらい重要なのが「社内連携と報告体制」です。現場担当者が異常を検知した場合、直属の上司や情報システム部門への迅速な報告はもちろん、経営層へのエスカレーションルートを明確にしておくことが不可欠です。さらに、インシデント対応を一部門だけに任せるのではなく、法務・広報・総務など関連部門との連携が欠かせません。例えば、法務部門は法的リスクの確認や外部機関への届出判断を担い、広報部門は顧客や取引先への適切な情報発信を行います。これらが連携できていないと、組織全体としての対応が後手に回り、混乱や信頼失墜を招く恐れがあります。そのため、平常時から「誰が・どのタイミングで・誰に報告するか」を明文化したインシデント対応計画を整備しておくことが重要です。

被害範囲の特定

セキュリティインシデントが発生した際に、初動対応で重要なのが「被害範囲の特定」です。単なる障害や一時的な不具合と、外部からの不正アクセスやマルウェア感染といったインシデントを明確に区別する必要があります。具体的には、ログの解析やネットワーク監視、ユーザ報告などを通じて、侵入経路や影響を受けたシステム、漏洩が疑われる情報を洗い出します。この段階で誤った判断を下すと、被害を過小評価して対応が遅れたり、逆に過大評価して不要な混乱を招いたりするリスクがあります。そのため、迅速かつ客観的に状況を評価できる仕組みを整えておくことが欠かせません。

被害の封じ込め・拡大防止

被害範囲を特定した後は、被害の「封じ込め」が必要です。これは、インシデントの拡大を防ぎ、さらなる被害を最小限に抑えるための重要なプロセスです。例えば、侵害を受けたサーバをネットワークから切り離す、攻撃者が利用したアカウントを即座に無効化する、通信を一時的に遮断するなどの対応が考えられます。ただし、封じ込めの方法を誤ると、証拠が失われたり、攻撃者に異変を察知されて活動を隠蔽されたりする恐れもあります。そのため、封じ込めの対応はセキュリティチーム内で役割を明確にし、優先順位を付けて慎重に進めることが求められます。

原因調査・ログ解析・フォレンジック調査

封じ込めが完了した後は、インシデントの原因を突き止める「原因調査」が不可欠です。攻撃者がどのように侵入したのか、どの脆弱性を悪用したのか、内部関係者の過失や不正が関与していないかなど、多角的な視点から調査を進める必要があります。ログ解析やフォレンジック調査を通じて、攻撃経路や被害状況を正確に把握することが求められます。この段階で調査が不十分だと、再発防止策が不完全となり、再び同様の被害を招く可能性が高まります。そのため、外部のセキュリティ専門家の協力を得るケースも少なくありません。

復旧対応

原因が特定された後は、システムやサービスの復旧作業に移ります。ただ単に停止したサービスを再開させるのではなく、原因を取り除き、安全性を確認したうえで再稼働することが重要です。例えば、脆弱性が悪用されていた場合はセキュリティパッチを適用し、不正アクセスで改竄されたデータがあればバックアップから復旧します。また、復旧の際には「段階的な再開」を意識することが推奨されます。いきなり全システムを戻すのではなく、優先度の高いシステムから順に稼働させ、監視を強化しながら正常性を確認することで、再度の障害発生や攻撃再開のリスクを軽減できます。

関係者への報告・情報共有

復旧作業と並行して、関係者への適切な報告や情報共有も欠かせません。セキュリティインシデントは自社だけの問題ではなく、取引先や顧客、さらには規制当局にまで影響が及ぶ可能性があります。そのため、影響範囲を正確に把握したうえで、必要な関係者に迅速かつ誠実に情報を提供することが求められます。特に個人情報漏洩が発生した場合、法令やガイドラインに従った報告が義務付けられているケースも多く、対応を怠れば法的リスクや企業の信頼失墜につながります。また、社内向けの情報共有も重要であり、従業員が不安や誤情報に惑わされないよう、明確なメッセージを発信する体制を整えることが望まれます。

再発防止策の検討

インシデント対応の最終段階は、再発を防ぐための改善策を講じることです。単に原因を修正するだけでなく、組織全体のセキュリティ体制を見直す機会として活用することが重要です。例えば、脆弱性管理の仕組みを強化する、アクセス制御のルールを見直す、ログ監視やアラートの精度を高めるなど、技術的な改善が挙げられます。また、従業員へのセキュリティ教育や定期的な訓練を実施し、人為的なミスや不注意を減らす取り組みも効果的です。さらに、インシデント対応の流れを記録し、振り返り（ポストモーテム）を行うことで、今後同様の事態が発生した際に迅速かつ適切に対処できる体制を構築できます。

BBSecでは

セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスも提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

サイバーインシデント緊急対応

まとめ

本記事では、セキュリティインシデントが発生した際に組織が取るべき対応を、初動から原因調査、復旧、関係者への報告、そして再発防止まで段階的に解説しました。インシデント対応は単なる技術的作業ではなく、社内連携や外部機関との調整、法令遵守、そして企業全体の信頼維持といった広範な要素が関わります。特に初動対応の速さや正確さは被害の拡大を防ぐ鍵となるため、日頃からの対応体制の整備や訓練が欠かせません。次回第3回では、インシデントの発生を未然に防ぐ取り組みや、組織全体でのセキュリティ強化策について詳しく解説し、実践的な予防策のポイントを紹介します。

―第3回へ続く―

【参考情報】

NIST SP 800-61 Rev. 2（https://csrc.nist.gov/pubs/sp/800/61/r2/final）
経済産業省「サイバー攻撃の被害に遭ってしまったら御活用を！―中小企業のためのセキュリティインシデント対応の手引き―」（https://www.meti.go.jp/policy/netsecurity/sme_incident.html）
独立行政法人情報処理推進機構(IPA)セキュリティセンター「中小企業のためのセキュリティインシデント対応の手引き」2024年7月（https://www.ipa.go.jp/security/sme/f55m8k0000001wpz-att/outline_guidance_incident.pdf）

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年10月8日（水）14:00～15:00
ウェビナー参加者限定特典付き！
「ソースコード診断で実現する安全な開発とは？脆弱性対策とDevSecOps実践」

2025年10月22日（水）14:00～15:00
「ランサムウェア対策セミナー2025 ～被害を防ぐための実践的アプローチ～」

2025年10月29日（水）13:00～14:00
【好評アンコール配信】「フィッシング攻撃の最新脅威と被害事例〜企業を守る多層防御策〜」

最新情報はこちら

2025年9月30日2025年9月30日

セキュリティインシデントの基礎から対応・再発防止まで
第1回：セキュリティインシデントとは何か？基礎知識と代表的な事例

Security NEWS TOPに戻る
バックナンバー TOPに戻る

近年、企業や組織を取り巻くサイバー攻撃はますます巧妙化しており、「セキュリティインシデント」が発生した場合、情報漏洩や不正アクセスなどによって、金銭的損失だけでなく企業の信用失墜にも直結します。本記事では、セキュリティインシデントの定義や種類、実際に発生した事例を取り上げ、その影響とリスクを理解するための基礎知識を解説します。

セキュリティインシデントの定義

セキュリティインシデントとは、情報システムやネットワークにおいて、情報のセキュリティの3要素、「機密性」「完全性」「可用性」を脅かす事象の総称です。具体的には、不正アクセスや情報漏洩、マルウェア感染、サービス運用妨害（DoS）攻撃などが含まれます。近年はクラウドやリモートワークの普及により、攻撃対象や被害の範囲が広がり、セキュリティインシデントの発生リスクは増大しています。国内外で大規模な事件が相次いで報道されるなか、インシデントの発生はもはや大企業に限られた問題ではなく、中小企業や自治体、教育機関に至るまで幅広い組織が直面しています。そのため、経営層から現場担当者に至るまで、セキュリティインシデントへの理解と備えが求められているのです。

セキュリティインシデントの種類（例）

一口にセキュリティインシデントといっても、その内容は多岐にわたります。代表的なものとしては、まず「不正アクセス」が挙げられます。攻撃者が外部からシステムに侵入し、機密情報を窃取したり改竄したりするケースです。次に「マルウェア感染」があります。ウイルスやランサムウェアなどの悪意あるソフトウェアにより、データが暗号化され業務が停止する被害が増えています。また、従業員による「内部不正」も見逃せません。権限を持つ社員が意図的に情報を持ち出すケースや、誤操作による情報流出が問題化しています。さらに「情報漏洩」や「サービス停止（DoS/DDoS攻撃など）」も、企業活動を直撃する深刻なインシデントです。このようにセキュリティインシデントは外部攻撃だけでなく、内部要因やシステム障害など多面的に発生し得るため、幅広い視点での備えが不可欠です。

実際に発生した主なセキュリティインシデント事例

セキュリティインシデントは国内外で日々多発しています。この表は2025年8月から9月にかけて発生した主要な国内インシデント事例をまとめたものです。ランサムウェア攻撃や不正アクセスによる被害が多く、特に製造業や重要インフラへの影響が深刻化している傾向が見られます。

被害報告日	被害企業	概要	主な原因	影響範囲
2025年9月	国内ガス・電力会社	人為的ミス	LPガス検針端末の紛失	顧客情報6,303件の漏洩等のおそれ*3
2025年9月	国内デジタルサービス運営委託事業者	個人情報漏洩	受講状況管理ツールへの登録作業ミス	リスキリングプログラム受講者1名の個人情報が他の受講者1名に閲覧可能に*2
2025年9月	国内食料品小売業	個人情報漏洩	サーバへの第三者からの不正アクセス	企業情報及び個人情報が流出した可能性*3
2025年9月	委託事業者	操作・管理ミス	オペレーターの利用者情報取り違い	高齢者の見守り・安否確認が行われず*4
2025年9月	国内オフィス機器販売会社	個人情報漏洩	第三者による不正アクセス	カード支払い顧客の情報漏洩の可能性*5
2025年8月	ハウステンボス株式会社	システム障害	第三者による不正アクセス	一部サービスが利用できない状況に*6
2025年8月	国内電力関連会社	不正ログイン	リスト型攻撃（複数IPアドレスから大量ログイン試行）	ポイント不正利用444件*7
2025年8月	国内機器メーカー企業	不正アクセス	海外グループ会社を経由した第三者の不正アクセス	一部サービス提供停止（8月16日復旧）*8
2025年8月	医療用メーカー企業	マルウェア感染	システムのランサムウェア感染	2日間出荷停止、その後再開*9
2025年8月	国内建設事業者	マルウェア感染	システムのランサムウェア感染	海外グループ会社の一部サーバが暗号化*10
2025年8月	国内外郭団体	乗っ取り	第三者による一部メールアドレスの乗っ取り	迷惑メール送信元として悪用*11
2025年8月	暗号資産交換事業者	クラウド設定ミス	顧客データ移転作業中のクラウド設定ミス	海外メディアの報道で発覚、アクセス制限不備*12
2025年8月	国内銀行	元従業員による情報の不正取得	出向職員による電子計算機使用詐欺	アコムから出向の元行員が逮捕・懲戒解雇*13
2025年8月	国内病院	個人情報不正利用	委託職員が診療申込書から電話番号を不正入手	LINEで患者に私的メッセージを送付*14
2024年12月	国内総合印刷事業者	マルウェア感染	VPNからの不正アクセス（パスワード漏洩または脆弱性悪用）	複数のサーバが暗号化される被害*15https://maruni.jp/notice_20250809/

これらの事例は「セキュリティインシデントは特定の大企業だけの問題ではない」という現実を示しており、規模や業種にかかわらず備えが不可欠であることを強調しています。

セキュリティインシデントが企業に与える影響

セキュリティインシデントが発生すると、企業は多方面に深刻な影響を受けます。最もわかりやすいのは、システム停止や情報漏洩に伴う金銭的損失です。業務が一時的に止まることで売上が減少し、復旧作業や調査にかかる費用も膨大になります。さらに、顧客情報や取引先情報が流出すれば、企業の信頼性が大きく揺らぎ、契約解除や取引停止に直結する可能性があります。また、個人情報保護法や業界ごとのセキュリティ基準に違反すれば、法的責任や行政処分を受けるリスクも高まります。株式市場に上場している企業であれば、セキュリティインシデントの公表によって株価が急落するケースも少なくありません。このように、単なるシステム障害にとどまらず、企業経営全体に打撃を与える点がセキュリティインシデントの恐ろしさといえます。

まとめ

本記事では、セキュリティインシデントの定義や種類、実際に発生した事例、そして企業に及ぼす影響について解説しました。改めて強調すべきは、セキュリティインシデントは大企業だけでなく、中小企業や自治体、教育機関などあらゆる組織にとって現実的な脅威であるという点です。しかも一度発生すると、金銭的損失だけでなく、顧客や取引先からの信頼低下、法的リスク、社会的信用の失墜といった連鎖的な被害を引き起こします。こうした背景から、セキュリティインシデントを「発生してから考える」姿勢ではなく、「発生する前提で備える」姿勢が求められています。次回は、実際にインシデントが発生した際にどのような対応が必要なのか、初動から復旧までの流れを詳しく解説します。

【参考情報】

NIST SP 800-61 Rev. 2（https://csrc.nist.gov/pubs/sp/800/61/r2/final）
ScanNetSecurity,（https://scan.netsecurity.ne.jp/category/incident/latest/?page=1）

―第2回へ続く―

サイバーインシデント緊急対応

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年10月1日（水）13:00～14:00
「2025年10月Windows10サポート終了へ今知るべきサポート切れのソフトウェアへのセキュリティ対策ガイド」

2025年10月8日（水）14:00～15:00
ウェビナー参加者限定特典付き！
「ソースコード診断で実現する安全な開発とは？脆弱性対策とDevSecOps実践」

2025年10月22日（水）14:00～15:00
「ランサムウェア対策セミナー2025 ～被害を防ぐための実践的アプローチ～」

2025年10月29日（水）13:00～14:00
【好評アンコール配信】「フィッシング攻撃の最新脅威と被害事例〜企業を守る多層防御策〜」

最新情報はこちら

2025年7月10日2025年8月14日

ドメイン名偽装で検知を回避するWordPressマルウェアの脅威と対策

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年7月、セキュリティ企業SucuriがWordPressを狙う新たなマルウェア攻撃を発見・公表しました。今回公表された「SEOスパム型WordPressプラグイン」による攻撃は従来の攻撃と比較して手口が巧妙化しており、世界中のWebサイト管理者にとって深刻な脅威となっています。本記事では、攻撃の手口と被害の特徴、そして有効な対策について解説します。

お問い合わせ

お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。

攻撃手法

ドメイン偽装によるマルウェア検知回避

今回発見されたマルウェアは、感染したWordPressサイトのドメイン名をそのままプラグイン名やフォルダ名に偽装して設置されます。これにより、管理者や一般ユーザーがファイル一覧を確認しても、正規のプラグインと見分けがつきにくい構造になっています。この偽プラグインは高度に難読化されたコードで構成されており、セキュリティ対策ソフトによる検知も困難です。

検索エンジン限定のSEOスパム注入

SEOスパムの注入は、Googleなどの検索エンジンのクローラを検知した場合のみ実行されます。通常の訪問者には正規のページが表示されるため、管理者も異常に気付きにくく、発見が遅れる原因となります。検索エンジンのみにスパムコンテンツを返すことで、検索順位の操作や不正なトラフィック誘導が行われます。

C2サーバとの通信と外部指令の受信

この偽プラグインの内部には、base64で難読化されたC2（コマンド＆コントロール）サーバ※ のドメイン情報が隠されています。偽プラグインは定期的にC2サーバへ外部リクエストを送り、攻撃者からの指示を受け取ります。これにより、スパム内容の動的な更新や追加のマルウェア配布など、攻撃の手口が柔軟に変化する仕組みが実装されています。

※C2（コマンド＆コントロール）サーバ…サイバー攻撃者が外部から侵害システムと通信を行い、命令と制御を行う目的で用いられる。

マルウェアによる被害と影響

この種のマルウェアは、通常の利用者やサイト管理者が直接アクセスした場合には一切異常を示さないため、発見が遅れがちです。Googleなどの検索エンジン経由でのみスパムが表示されるため、被害に気付いたときにはすでに検索結果にスパムページが表示されていたり、検索順位が大幅に下落しているケースも多く、ブランドイメージや集客に深刻な影響を与えたりするおそれがあります。また今回の例は、WordPressのプラグインエコシステムを悪用したサプライチェーン攻撃の一例とも言えます。公式リポジトリを介さず、外部から導入されたプラグインやテーマを通じて感染が広がるため、信頼できる配布元からのみソフトウェアを導入することが重要です。

有効な対策と管理者が取るべき予防措置

Webサイト管理は特に以下のような対策を取り、異常が見られた場合は速やかに専門家へ相談することをおすすめします。

WordPressのプラグインやテーマは必ず公式リポジトリや信頼できるベンダーからのみ入手する
不審なファイルや見覚えのないプラグインが存在しないか、定期的にサーバ内を確認する
セキュリティプラグインやWebアプリケーションファイアウォール（WAF）、管理画面への多要素認証を導入する
Google Search Console等で検索結果の異常を監視する

まとめ

SEOスパム型の偽装WordPressプラグインは、検索エンジンのクローラを標的にしてスパムコンテンツを注入し、通常の訪問者には正規ページを返すという極めて巧妙な手口です。攻撃者は感染サイトのドメイン名をそのままプラグイン名やフォルダ名に偽装し、管理者の目を欺きます。さらに、コード内部にはbase64で難読化されたC2サーバ情報が隠され、外部からの指令に応じて動的にスパム内容を更新できる仕組みも組み込まれています。

このような手法は、発見が遅れやすく、検索順位の下落やサイトの信頼性低下など、経営や運営に深刻な影響を及ぼすリスクがあります。特に、公式リポジトリを介さないプラグインやテーマの導入が感染経路となるケースが多いため、日常的なセキュリティ意識と運用管理の徹底が不可欠です。

被害を最小限に抑えるためには、信頼できる配布元からのみソフトウェアを導入する、サーバ内の不審なファイルやプラグインを定期的に点検する、Google Search Consoleなどで検索結果の異常を監視するなど、複数の対策を組み合わせることが重要です。

BBSecでは：セキュリティソリューションの活用

高度なサプライチェーン攻撃や難読化マルウェアに対抗するため、ブロードバンドセキュリティでは多層防御の観点から次のようなソリューションを強くおすすめします。

エージェント型Webサイトコンテンツ改ざん検知サービス

WordPressサイトのファイルやディレクトリの改ざんをリアルタイムで監視し、異常があれば即座にアラートを発します。正規のプラグイン名を偽装した不審なファイルの追加や書き換えも検知しやすく、被害の早期発見に役立ちます。

https://www.bbsec.co.jp/service/vd-maintenance/manipulation.html
※外部サイトにリンクします。

脆弱性診断サービス

WordPress本体やプラグイン、テーマの設定や実装に潜む既知の脆弱性を定期的に洗い出すサービスです。悪用されやすい箇所を事前に把握し、攻撃の入り口を減らします。診断結果に基づき、不要なプラグインの削除や設定の見直しを行うことで、リスク低減につながります。

ペネトレーションテスト

実際の攻撃者の視点でお客様のシステムに実装済みのセキュリティを検証するサービスです。自動化された攻撃だけでなく、手動による高度な手法も用いるため、通常の診断では見つけにくいサプライチェーンリスクや運用上の盲点も洗い出すことが可能です。

これらのサービスを組み合わせて導入することで、巧妙化するマルウェア攻撃などへの対応力を大幅に高めることができます。BBSecとしては、エージェント型改ざん検知、脆弱性診断、ペネトレーションテストをパッケージ化した多層防御ソリューションを強くご提案いたします。これにより、WordPressサイト運営者の方が安心してビジネスを継続できる環境づくりをサポートいたします。ご希望の方には、無料相談や初回診断も承っております。お気軽にご相談ください。

お問い合わせ

お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。

【参考情報】

ウェビナー開催のお知らせ

2025年7月16日（水）14:00～15:00
「進化するランサムウェア攻撃-国内最新事例から学ぶ！被害を防ぐ実践ポイント10項目を解説-」

2025年7月23日（水）14:00～15:00
「急増するフィッシング攻撃の実態と対策〜企業を守る多層防御とは〜」

2025年7月30日（水）13:00～13:50
「Webサイトの脆弱性はこう狙われる！OWASP Top 10で読み解く攻撃と対策」

2025年8月5日（火）14:00～15:00
「企業サイトオーナー向けユーザーからのレピュテーションを高めるWebサイトの在り方-Webサイトを取り巻くリスク・規制・要請とユーザビリティ向上-」

最新情報はこちら

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2024年10月10日2025年9月3日

あなたの情報は大丈夫？
人気コーヒーショップのオンラインストアで約9万件の個人情報流出！事件から学ぶ情報セキュリティの重要性

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2024年5月、大手コーヒーショップの公式オンラインストアで大規模な個人情報漏洩事件が発生しました。この事件により、約9万2685件の個人情報と5万2958件のクレジットカード情報が漏洩した可能性が明らかになりました。本記事では、事件の内容と顧客への影響、そして企業がとるべきセキュリティ対策についてご紹介します。

事件の概要

2024年5月、大手コーヒーショップの公式オンラインストアで大規模な個人情報漏洩事件が発生しました。この事件により、約9万2685件の個人情報と5万2958件のクレジットカード情報が漏洩した可能性が明らかになりました。

事件の経緯

2024年5月20日：警視庁からの連絡により事態を認識、オンラインストアでのクレジットカード決済を停止

5月23日：オンラインストアを一時閉鎖

5月30日：不正アクセスによるシステム侵害を公表

この事件は、2020年10月1日から2024年5月23日までの期間に会員登録したユーザーに影響を及ぼしました。特に、2021年7月20日から2024年5月20日までの間にクレジットカード決済を利用した顧客のカード情報が漏洩の対象となっています。重要なのは、この漏洩が公式オンラインストアに限定されており、楽天市場や公式アプリでの購入には影響がないことです。

漏洩した情報の詳細

今回の事件で漏洩した可能性のある情報は、以下の通りです。

個人情報

氏名

住所

電話番号

性別

生年月日

メールアドレス

ログインID

ログインパスワード

配送先情報

クレジットカード情報

クレジットカード番号

カード名義人名

有効期限

セキュリティコード（CVV/CVC）

特に注目すべきは、クレジットカードのセキュリティコードが漏洩している点です。セキュリティコードは通常、オンライン決済の際に使用される3桁または4桁の数字で、カード裏面に記載されています。この情報が漏洩すると、不正利用のリスクが大幅に高まります。一般的に、PCI DSS（Payment Card Industry Data Security Standard）という国際的なセキュリティ基準では、セキュリティコードを保存することは禁止されています。そのため、公式オンラインストアがこの情報を保存していた事実自体が、セキュリティ管理の甘さを示しているといえるでしょう。

影響を受けた顧客数

この事件で影響を受けた顧客数は以下の通りです。

個人情報漏洩

約9万2685人対象期間：2020年10月1日～2024年5月23日に会員登録した顧客

クレジットカード情報漏洩

約5万2958人対象期間：2021年7月20日～2024年5月20日にクレジットカード決済を利用した顧客

この数字は、公式オンラインストアの利用者の大部分を占めると考えられます。特に、クレジットカード情報の漏洩は深刻な問題で、不正利用による金銭的被害のリスクが高まっています。

漏洩の原因と手口

今回の情報漏洩の主な原因は、公式オンラインストアのシステムに対する不正アクセスです。攻撃者はシステムの脆弱性を突き、特にペイメントアプリケーションを改ざんすることで情報を盗み取りました。使用された手口は「Webスキミング」と呼ばれるもので、以下のような手順で実行されます。

攻撃者がウェブサイトのコードに不正なスクリプトを埋め込む

ユーザーがフォームに入力した情報（クレジットカード情報など）が攻撃者のサーバーに送信される

正規の決済処理と並行して、情報が盗まれる

この手法の危険性は、ユーザー側では異常を検知しにくい点にあります。正規のウェブサイトを利用しているように見えるため、被害に気付くのが遅れる可能性が高くなります。

Webスキミング攻撃は近年増加傾向にあり、2018年から2019年にかけて大手通販サイトBritish Airwaysが同様の攻撃を受け、約38万人の顧客情報が漏洩する事件が発生しています。このような攻撃を防ぐためには、以下のようなセキュリティ対策を実施することが必要になります。

定期的なセキュリティ監査の実施

ウェブアプリケーションファイアウォール（WAF）の導入

コンテンツセキュリティポリシー（CSP）の適切な設定

従業員に対するセキュリティ教育の徹底

今回の事件のケースでは、これらの対策が十分でなかった可能性が高いといえるでしょう。

対応と今後の対策

事態の発覚後、企業は迅速な対応をとりました。

オンラインストアの一時閉鎖

クレジットカード決済の停止

影響を受けた顧客への個別連絡

クレジットカード会社との連携による不正利用の監視

第三者調査機関によるフォレンジック調査の実施

また今後の対策として、以下の取り組みを行う方針を示しています。

システムの脆弱性の完全修正

定期的なセキュリティ監査の実施

リアルタイム監視システムの導入

従業員に対するセキュリティ教育の強化

外部専門家によるセキュリティ診断の定期実施

特に重要なのは、PCI DSSへの準拠です。これにより、クレジットカード情報の取り扱いに関する国際的な基準を満たすことができます。また、今回の事件について、企業は顧客とのコミュニケーションを重視し、説明動画の公開や定期的な情報更新を行っています。この透明性の高い対応は、信頼回復に向けた重要なステップといえるでしょう。

SQAT.jpではPCI DSS準拠について、以下の記事で紹介しています。ぜひあわせてご覧ください。
「PCI DSSとは ―12の要件一覧とPCI DSS準拠―」

顧客がとるべき対策

公式オンラインストアを利用した顧客は、以下の対策をとることが推奨されます。

クレジットカードの利用明細を定期的に確認し、不審な取引がないか注意する

不審な取引を発見した場合は、直ちにクレジットカード会社に連絡する

公式オンラインストアで使用したパスワードを他のサービスでも使用している場合は、速やかに変更する

不審なメールや電話に注意し、個人情報の追加提供を求められても応じない

クレジットカード会社が提供する不正利用補償サービスの内容を確認し、必要に応じて利用する

また今後、オンラインショッピングを利用する上では以下の点に注意することが重要です。

信頼できるサイトでのみ買い物をする

クレジットカード情報を入力する際は、URLが「https」で始まっていることを確認する（=暗号化通信の導入）

公共のWi-Fiでのオンラインショッピングは避ける

異なるサービスごとに別々のパスワードを使用する

二段階認証が利用可能な場合は積極的に活用する

情報セキュリティの重要性

今回の事例は、企業における情報セキュリティの重要性を改めて浮き彫りにしました。今後企業は以下のような点を考慮し、常にセキュリティ対策を見直し、強化していく必要があるでしょう。

継続的なセキュリティ対策の実施

一度だけの対策では不十分で、常に最新の脅威に対応できる体制が必要です。

従業員教育の徹底

技術的対策だけでなく、人的要因によるセキュリティリスクも軽減する必要があります。

インシデント対応計画の策定

事件発生時に迅速かつ適切に対応できるよう、事前に計画を立てておくことが重要です。
外部専門家の活用自社だけでなく、専門知識を持つ外部の目を通してセキュリティを評価することが有効です。

法令遵守の徹底

個人情報保護法やPCI DSSなど、関連する法令や基準を厳守する必要があります。

まとめ

今回の大手コーヒーショップの公式オンラインストアにおける個人情報漏洩事件は、現代のデジタル社会が直面するセキュリティリスクを如実に示しています。約9万人以上の顧客情報が漏洩し、そのうち5万人以上のクレジットカード情報も危険にさらされました。事件の主な原因は、Webスキミングと呼ばれる攻撃手法によるものでした。企業はシステムの脆弱性を突かれ、ペイメントアプリケーションが改ざんされる結果となりました。事態発覚後、企業は迅速な対応を取り、オンラインストアの一時閉鎖やクレジットカード決済の停止、影響を受けた顧客への個別連絡などを行いました。今後は、システムの脆弱性修正や定期的なセキュリティ監査など、再発防止に向けた取り組みを強化する方針です。顧客側も、クレジットカードの利用明細の確認や不審な取引への警戒など、自己防衛策を講じる必要があります。また、オンラインショッピング全般において、セキュリティ意識を高めることが重要です。この事件は、企業における情報セキュリティの重要性を改めて認識させるものとなりました。継続的なセキュリティ対策の実施、従業員教育の徹底、インシデント対応計画の策定など、包括的なアプローチが求められています。デジタル化が進む現代社会において、個人情報の保護は企業の重要な責務です。今回の事例を教訓に、企業はセキュリティ対策を強化し、顧客の信頼を守り続けることが求められています。同時に、利用者側もセキュリティ意識を高め、自己防衛策を講じることが大切です。官民一体となったサイバーセキュリティの向上が、安全なデジタル社会の実現につながります。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

BBSecでは

サイバーインシデント緊急対応

突然の大規模攻撃や情報漏えいの懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

SQAT^® 脆弱性診断サービス

サイバー攻撃に対する備えとして、BBSecが提供する、SQAT脆弱性診断サービスでは、攻撃者の侵入を許す脆弱性の存在が見逃されていないかどうかを定期的に確認することができます。自組織の状態を知り、適切な脆弱性対策をすることが重要です。