セキュリティ | SQAT®.jp

2026年2月8日2026年2月9日

サイバー攻撃リスク評価を投資判断に活かす：コストから経営戦略へ転換する方法

サイバーセキュリティ対策を単なるコストとして捉えている限り、企業は本質的な防御力を高めることができません。サイバー攻撃リスク評価は、被害コストを可視化し、投資対効果を示すことで、経営判断を支える重要なツールになります。近年では、取引条件や企業価値評価の一部としてリスク管理体制が問われるケースも増えています。本記事では、リスク評価を経営戦略やセキュリティ投資にどう活かすべきか、その考え方と実践ポイントを解説します。

本記事で扱う「投資判断としてのサイバー攻撃リスク評価」は、リスク評価の全体像を理解していることが前提となります。評価の考え方や具体的な進め方については、以下の記事で整理しています。こちらもあわせてぜひご覧ください。
「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

なぜ今、サイバー攻撃リスク評価が経営戦略に必要なのか

サイバー攻撃の脅威は劇的な進化と拡大を続けています。日本の経営現場でもセキュリティ投資を「将来の不確定損失への保険」として扱う潮流は根強く残っていました。しかし今や、サイバー攻撃リスク評価とサイバー攻撃の被害とコストの具体的な計算なしには本気の経営戦略も企業価値向上も語れません。デジタルトランスフォーメーション（DX）が加速する2026年以降、強固なサイバーセキュリティ体制が顧客からの信頼・安定的なサービス・市場競争力の三本柱になる現実を、多くの企業が既に体感し始めています。

被害コストを起点に考える投資対効果

これまで企業の経営層がセキュリティ対策費をコスト、いわば”掛け捨ての保険”と見なしていたのは、具体的な被害像や金額イメージが掴めなかったことが大きいでしょう。しかしランサムウェアの急増に象徴されるように、ひとたびサイバー攻撃がヒットすれば、全国で数億円規模のダメージが企業や組織を襲います。一度の攻撃でシステムが10日間停止し、数千万～数億円の売上機会が消失、追加の訴訟・通知・見舞金対応費が膨れ上がる実例も後を絶ちません。サイバー攻撃被害コストを具体的な数字で算定し、いかに戦略的に投資配分するか。—この問いへ本質的に向き合う企業のみが、次の時代へ生き残ると言えます。

このような投資対効果の考え方は、実際にどの程度の被害コストが発生しているのかを把握して初めて成立します。
「サイバー攻撃被害コストの真実―ランサムウェア被害は平均「2億円」？サイバー攻撃のリスク評価で“事業停止損害”を可視化」

サイバー攻撃リスク評価を「共通言語」にする

実際、経営層を動かすには共通言語としてのリスク評価が不可欠です。たとえば担当者が「EDRソリューション導入予算が欲しい」と要望しても、テクニカルな言葉だけでは決裁は通りません。しかしリスク評価とコスト算定を示し、「現状では年間18%の確率で直接被害2億円が発生します。今回の500万円投資で、その確率が2%まで低減し、被害コスト回避インパクトは桁違いです」と数値根拠に基づき説明すれば、経営トップの意思決定を導けます。セキュリティ投資は、単なる損失回避のコストではなく、企業価値や信用、レジリエンス（回復力）向上の“収益性ある施策”として位置付けるべき新時代に来たのです。

AI時代に求められるリスク評価サイクルの高速化

サイバー攻撃リスク評価の精度・スピードはAIの登場によって質的な転換点を迎えています。Hornetsecurity社の調査レポートによれば、サイバー攻撃側は生成AIによる偽装メールや未知マルウェア作成など、かつてない速度と精度で攻撃を自動化しているとのデータもあります。実際、前年度比でマルウェア混入メールは131%増加というショッキングな統計も出ています。これに対抗すべく、防御側にもAI型EDRや脅威インテリジェンス、リスク評価自動化プラットフォームの導入が相次いでおり、もはや従来の手動＆記憶頼み、年1回の見直しだけでは攻防サイクルに全く追いつかないのが現実です。セキュリティは攻めのIT、新たな事業基盤であるという認識転換が急務です。

サプライチェーンリスク評価が企業価値を左右する

また、近年問題化しているのがサプライチェーン全体のリスク管理です。大手・中小を問わず、委託や取引先からの情報漏洩・部品供給ストップが自社の市場シェアやサービスそのものに致命的な影響を及ぼします。実際、IPAや警察庁など複数の一次資料も、サイバー攻撃リスク評価を取引条件に組み込み、委託先企業を定量的に監査する流れの重要性を強調しています。既存市場では、リスク評価を実施していない企業は受託から外されるリスクも急上昇しているのです。安全なサプライチェーン網の維持こそが、新たな事業参入や大型受注の“入場パス”となりつつあります。

レジリエンス（回復力）を軸にした経営判断

最後に、サイバー攻撃対策で企業が真に目指すべきゴールは「レジリエンス＝回復力の獲得」です。全ての攻撃を100%阻止するのは不可能である。—この冷徹な現実を受け容れ、発生時に致命的な被害コストだけは外さない仕組みを整える、そしていざインシデント発生時には準備したBCP（事業継続計画）やプレイブックに即し、冷静かつ迅速に被害最小化策を実行できる現場文化を育てること。その強靭さこそが不確実なデジタル経済を生き残る最大の武器となります。

こうしたレジリエンス重視の経営判断も、場当たり的に行うことはできません。前提となるのは、自社の資産・脅威・影響度を整理したサイバー攻撃リスク評価です。
「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

おわりに：リスク評価を投資サイクルに組み込む経営へ

繰り返しますが、恐怖や煽りでは企業は変わりません。正確なリスク評価と客観的な投資対効果を土台に、合理的判断によるサイバー攻撃対策投資を経営に実装すること。このサイクルだけが、激変する2026年以降の未来で貴社・貴組織の持続可能な価値創造を支える唯一の道なのです。

サイバー攻撃リスク評価を経営に活かすためには、まず自社の現状を正しく把握することが不可欠です。具体的な評価プロセスや実践手順については、以下の記事で詳しく解説しています。
「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

【参考情報】

トレンドマイクロ社、プレスリリース（2024年12月10日）「過去3年間で70.9％がサイバー攻撃を経験、3年間の累計被害額は平均1.7億円、ランサムウェア被害経験企業では平均2.2億円～セキュリティ成熟度と被害の実態調査 2024～」（https://www.trendmicro.com/ja_jp/about/press-release/2024/pr-20241210-01.html）
金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月4日）（https://www.fsa.go.jp/common/law/cybersecurity_guideline.pdf）

サイバーインシデント緊急対応

セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

限定キャンペーン実施中！

今なら新規お申込みで 初回診断料金 10％OFF！
短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2026年1月29日2026年1月30日

2025年4Q KEVカタログ掲載CVEの統計と分析

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）から公開されている「KEVカタログ（Known Exploited Vulnerabilities）」は、実際に攻撃に悪用された脆弱性の権威あるリストとして、組織のセキュリティ対策の優先順位付けに不可欠なツールとなっています。本記事では、KEVカタログに2025年10月1日～12月29日に登録・公開された脆弱性の傾向を整理・分析します。

本記事は2025年1Q：第1四半期～3Q：第3四半期の分析レポートに続く記事となります。過去記事もぜひあわせてご覧ください。
「2025年1Q KEVカタログ掲載CVEの統計と分析」
「2025年2Q KEVカタログ掲載CVEの統計と分析」
「2025年3Q KEVカタログ掲載CVEの統計と分析」

はじめに

2025年第四四半期（10月～12月）における既知の悪用された脆弱性の統計分析レポートです。本記事は最新のデータから見える傾向を解説します。前回までの分析ではMicrosoftやCisco製品への攻撃の多さや古い脆弱性が依然悪用されている実態が明らかとなりました。今回は第四四半期のデータを掘り下げ、攻撃トレンドの変化やリスクの深刻度を検証します。経営層に有用な全体像の把握と、技術担当者向けの詳細な分析を両立させ、組織が取るべき対策についても提言します。

2025年4Qの統計データ概要

2025年第四四半期に新たにKEVに追加・公開された脆弱性は62件でした。第三四半期（51件）から増加に転じ、2025年1月～12月29日時点で245件（2024年累計186件から約30%増）となっています。まずは月別推移や脆弱性の種類・深刻度について、データの全体像を俯瞰し、特にランサムウェア関連の脆弱性や影響度の大きい脆弱性、自動化攻撃が可能な脆弱性に着目します。

登録件数の月別推移

10月に追加件数が31件と突出し、11月は11件、12月は20件となりました（図1参照）。月ごとのばらつきが大きく、10月に集中して脆弱性が公表・追加されたことが分かります。これは各メーカーの定例アップデート直後に既知悪用事例が判明したケースが多いためと考えられ、特定の月に攻撃が急増する傾向が引き続き見られます。4Q全体では3Qからの増加により、年末にかけて脅威が再び活発化したことを示唆します。

主要ベンダー別の内訳

4Qに新規追加された脆弱性のベンダーを見ると、Microsoftが10件と突出して最多でした。次いでOracle、Fortinet、Gladinetが各3件、Google、Samsung、Kentico、Android、OpenPLC、Dassault Systèmes、WatchGuardなどが各2件で続きます。3Qで多かったCiscoは1件に留まり、Microsoft製品への攻撃集中が際立つ結果です。一方、新たにGladinet（クラウドストレージ）やOpenPLC（産業制御システム）といったベンダーの脆弱性が複数追加されており、攻撃対象の幅が広がっていることが分かります。これは企業向けソフトウェアから家庭用/産業用機器まで攻撃者の関心が及んでいることを示し、ITインフラ全体で対策が必要です。

脆弱性タイプ（CWE）の分布

CWE	件数	脆弱性タイプ
CWE-787	5	範囲外の書き込み
CWE-78	4	OSコマンドインジェクション
CWE-862	3	認可の欠如
CWE-284	3	不適切なアクセス制御
CWE-20	2	不適切な入力検証
CWE-416	2	解放済みメモリの使用
CWE-434	2	危険なタイプのファイルのアップロード許可
CWE-22	2	パストラバーサル
CWE-79	2	クロスサイトスクリプティング (XSS)
CWE-306	2	重要な機能の使用に対する認証の欠如

2025年4Q CWE分布表

悪用された脆弱性の種類としては、範囲外の書き込み（CWE-787）が5件で最多となりました。次いでOSコマンドインジェクション（CWE-78）が4件で続きます。認証・認可に関わる欠陥（CWE-862, CWE-284, CWE-306）も合計8件と多く、アクセス制御の不備が依然として攻撃者に悪用されやすいことが分かります。また、メモリ管理上の欠陥である解放済みメモリの使用（CWE-416）や範囲外の書き込み（CWE-787）など、低レベルのプログラムバグも上位を占めており、メモリ安全性の欠陥が攻撃に利用されるケースが増えています。

過去頻出したパストラバーサル（CWE-22）も複数含まれており、データから見ると、入力検証検証の不備を突いた攻撃（インジェクション系）、認証・認可の不備、そしてメモリ安全性の欠如という3つの古典的な脆弱性カテゴリーが依然悪用の中心であることが読み取れます。

攻撃の自動化容易性（Automatable）

4Qに登録された脆弱性のうち、約48%（30件）は自動化攻撃が容易である「Yes」と分類されました。これは自動スキャンやマルウェアボットによる大規模攻撃に適した脆弱性が増えたことを意味します。残る52%（32件）は「No」（手動操作や特定条件が必要）ですが、スクリプトキディでも悪用できる脆弱性が半数近くを占める状況は深刻です。（2025年年間累計は図3参照）攻撃者は脆弱性を迅速にスキャン・悪用する自動化ツールを駆使するため、組織側も早期パッチ適用と防御網の自動化で対抗する必要があります。

技術的影響範囲（Technical Impact）

62件中55件（約89%）は「Total」（＝脆弱性を突かれるとシステムを完全制御されてしまう深刻な影響を持つもの）でした。（図3参照）。攻撃者がシステム全面乗っ取り可能な脆弱性を優先的に悪用していることがわかります。特に単独で完全権限を奪える脆弱性は魅力的な標的であり、一方部分的な影響に留まる脆弱性も他のTotalな脆弱性と組み合わせて攻撃チェーンに利用される恐れがあります。

※注）KEVカタログ掲載時点で実害確認済みである以上、CVSSスコアの大小や影響範囲の違いに関わらず優先度高く対処すべきである点に留意が必要です。

CVSSスコア分布

4Qに追加された脆弱性のCVSS基本値は、最大が10.0（3件）、9.8が数件含まれ、9.0以上の「Critical（緊急）」帯が約39%（24件）、7.0～8.9の「High（高）」帯が約52%（32件）を占めました。残り約10%がMedium以下です。平均値は8.48で、前四半期同様に高スコアの欠陥が大半を占めています。3QではCVSS10.0が5件含まれていましたが、4QではCritical帯比率は維持しつつ極端に満点の脆弱性は減少しました。それでもなおHigh以上が全体の9割を超えており、KEVカタログに登録される脆弱性がいかに深刻度の高いものに偏っているかを裏付けています。Criticalでなくとも攻撃に利用され得る（実際に悪用された）ことを示すデータでもあり、スコアに油断せず注意が必要です。

攻撃手法・影響の深掘り分析

前述の統計情報を踏まえ、4Qに観測された攻撃の特徴や脅威動向をさらに分析します。ランサムウェアなどサイバー犯罪による悪用事例や、国家支援型グループ（APT）の関与、古い脆弱性の再悪用など、データから読み取れるポイントを考察します。

実際にランサムウェア攻撃に悪用された脆弱性

3Qと同様、ランサムウェア攻撃での悪用が確認された事例はごく少数に留まります。4Qに追加された62件中、実際にランサムウェアに悪用されたと判明しているのは3件（約5%）でした。具体的にはオラクルの Oracle Concurrent Processing における認証に関する脆弱性／Oracle E-Business Suite（EBS）のSSRF（サーバサイドリクエストフォージェリ）の脆弱性（CVE-2025-61882および61884）やReact Server Componentsにおける認証不要のリモートコード実行の脆弱性（CVE-2025-55182）がランサムウェア攻撃で利用された例です。これらはいずれも企業の基幹システムや広く使われるフレームワークに関わる欠陥で、金銭目的の攻撃者に狙われたと考えられます。ただしKEVカタログ全体で見ると、依然として国家主体・高度なAPT攻撃での悪用例が多く、ランサムウェアによる事例は氷山の一角です。これは、KEVカタログが単なる理論上の危険性ではなく、「現在進行形で利用されている攻撃手法」を反映したリストであることを示しています。高度な攻撃者はゼロデイ脆弱性を含む様々な欠陥を悪用しており、ランサムウェア以外の脅威にも引き続き注意が必要です。

古い脆弱性の再注目

4Qに新規登録された脆弱性の中には、2024年以前に発見されたものが17件（約27%）含まれていました。最も古いものは2010年公表のMicrosoft製品の脆弱性（CVE-2010-3962）で、15年以上前の欠陥が今になって攻撃に利用されたことになります。前四半期にも2020年公表のD-Link製品脆弱性が複数追加されており、サポート切れの古い機器・ソフトが依然として攻撃対象になる実態が浮き彫りです。こうした古い脆弱性はパッチ未適用のまま放置されている資産が狙われており、攻撃者は年代を問わず利用可能な欠陥を有効活用しています。組織内に残存するレガシーシステムの脆弱性管理を怠ると、想定外に古いバグで侵入を許すリスクがあることに注意が必要です。

脆弱性悪用の手口

攻撃者の手口としては、引き続きリモートコード実行（RCE）や権限昇格といった直接的にシステム乗っ取りに繋がる攻撃が顕著です。例えば前述のCWE分布にあるCWE-787, CWE-416などのメモリ破壊型脆弱性は、悪用された場合、ターゲットプロセス内で任意コード実行やサービス停止を引き起こします。またCWE-78等のコマンドインジェクションは、サーバー上で攻撃者のコマンドを実行させる手段として多用されています。4Qにはこれらテクニカルな攻撃に加え、認証・認可の不備（CWE-306/862等）を突いて管理者権限を不正取得するケースも見られ、攻撃パターンは多岐に及びます。総じて攻撃者は最も効率よく高い権限を得られる脆弱性の組み合わせを模索しており、一つでも未対策の弱点があれば連鎖的に侵入を許す恐れがあります。

影響とリスクの評価

攻撃者は完全なシステム制御が可能な脆弱性（＝「Total」）を好んで悪用します。CVSSスコアが「High」や「Critical」の深刻度であればなおさらですが、たとえ中程度でも「KEVカタログに掲載＝実害発生済み」である以上、油断は禁物です。特にランサムウェア攻撃では、初期侵入に使った脆弱性自体はさほど目立たない中～高程度の欠陥であっても、内側で別のCritical脆弱性と組み合わせて横展開・権限昇格することが知られています。部分的な影響の脆弱性であっても他の欠陥と組み合わされば致命傷となり得るため、既知の悪用脆弱性は大小問わず優先的に潰す姿勢が重要です。経営層にとっても、これらの統計が示すリスクの高さを踏まえれば、脆弱性対応に十分なリソース投資と適切な意思決定を行う必要性が理解できるでしょう。

組織が取るべき対策

4Qの分析レポートの結果を受け、組織として優先的に講じるべき脆弱性管理策を整理します。経営層は戦略的視点から、現場のセキュリティ担当者は実践的観点から、以下のセキュリティ対策の実施をおすすめします。

KEV掲載脆弱性の最優先パッチ適用

CISAは継続的にKEVカタログ掲載項目を優先的に修正するよう勧告しています。自社で利用する製品・システムに該当する脆弱性が公開された場合、定例パッチを待たず緊急で対応する体制を整えましょう。自動アラートによる通知や情報資産との照合などによって見落としを防ぐ運用が有効です。特に公表から日が浅い脆弱性は攻撃者も素早く狙ってくるため、初動対応のスピードが重要になります。

主要ベンダー製品の迅速なアップデート

MicrosoftやOracle、Cisco、Googleなど主要ベンダーのソフトウェアや機器は引き続き攻撃者の主要標的です。毎月発表されるセキュリティ更新プログラム（例: Microsoftの月例パッチ）や緊急アップデート情報を速やかに収集し、適用テストを経て迅速に全社展開する習慣をつけましょう。4QではMicrosoft製品の脆弱性が突出しましたが、他ベンダーでもゼロデイが報告されればすぐ悪用される可能性があります。例えば「重要なアップデートは可能な限り2週間以内に適用」などといった内部目標を設定し、経営陣もその重要性を認識すべきでしょう。

ネットワーク機器・IoT/産業機器の点検

企業ネットワークや工場内に設置されたルーター、NAS、監視カメラ、制御システム等も忘れてはいけません。4QにもD-LinkルーターやOpenPLCなどIoT/OT機器の脆弱性が含まれており、これらは往々にしてファームウェア更新が滞留しがちです。サポート切れやアップデート未適用の機器がないか棚卸しし、可能な限り最新ファームウェアへの更新や機器リプレースを実施しましょう。どうしても更新できない場合は、ネットワーク分離やアクセス制限など緩和策を講じ、インターネットから直接アクセスできる状態を放置しないことが重要です。

脅威検知とインシデント対応の強化

脆弱性への対策だけでなく、悪用された際に速やかに検知・対応する能力も不可欠です。IPS/IDSやエンドポイント検知（EDR）のシグネチャを最新化し、KEVに掲載された脆弱性の既知の攻撃パターンやIoC（Indicators of Compromise）を監視します。CISAやセキュリティベンダーから提供される検知ルールやYARAルールを活用し、ログ分析やトラフィック監視に組み込みましょう。また万一侵入を許した場合でも、早期にそれを発見し被害を最小化できるようインシデント対応訓練を積んでおくことも有効です。

資産管理と内部教育の徹底

攻撃者に狙われる脆弱性は多岐にわたるため、まずは自社システムの全容を把握することが出発点です。ハードウェア・ソフトウェア資産の最新インベントリを整備し、使用中の全ての製品についてサポート状況や最新パッチ適用状況をチェックします。使われていないシステムや旧式OSは計画的に撤去し、やむを得ず残す場合もネットワークを分離するなどリスク低減策を講じます。またIT部門や開発部門に対し、「古い脆弱性を放置しない」「定期的なアップデート適用は必須」といった意識付けを行います。定期的なセキュリティ研修や訓練で、脆弱性管理の重要性を全社員と共有することも大切です。

脆弱性管理プロセスの強化と自動化

増加する脆弱性に対処するには、属人的な対応から脱却しプロセスとツールの整備を進める必要があります。脆弱性情報収集から評価、パッチ適用状況のトラッキングまで一元管理できる仕組みを整えましょう。例えばKEVカタログのデータを自社資産データベースと照合する自動ツールを導入すれば、新たな緊急欠陥の検知と対応指示を迅速化できます。また定期的に脆弱性対応状況をレビューし、未対応件数や所要日数といったKPIを計測・改善することも効果的です。経営層は必要な人員・予算を投じ、継続的に脆弱性管理体制を進化させることが求められます。

脆弱性管理プロセスの概要とポイントについては以下の記事でも解説しています。あわせてぜひご覧ください。
「脆弱性管理とIT資産管理-サイバー攻撃から組織を守る取り組み-」

まとめ

2025年4QKEVカタログ分析レポートからは、攻撃者の手口がより広範かつ巧妙になっている実態が浮き彫りになりました。特に今年はKEVカタログへのCVE追加件数が前年より増加し記録更新となったことから、従来以上のハイペースで緊急脆弱性が発生・悪用される可能性が高まっています。侵入前提での備えを強化すべきでしょう。

2025年を通じて言えることは、脆弱性対応のスピードと徹底度を組織文化として根付かせることです。経営層はリスクと投資対効果を理解し、現場は技術的施策を愚直に実行する。そして最新の脅威情報をキャッチアップし続けることで、組織全体のサイバー耐性を高められるでしょう。来たる2026年も同様のレポートを継続し、変化する攻撃者の戦術に対抗すべく知見をアップデートしていきます。

BBSecでは

脆弱性の悪用リスクに迅速に対応するには、専門家の支援を仰ぐことも有効です。ブロードバンドセキュリティ（BBSec）では、発覚した脆弱性への対応支援や緊急インシデント対応サービスをご提供しています。自社だけでは対応が難しいゼロデイ攻撃の発生や、大規模サイバー攻撃の兆候を検知した際はぜひご相談ください。経験豊富なセキュリティ専門チームが、お客様のシステム状況の迅速な把握、攻撃の封じ込め、再発防止策の導入まで包括的にサポートいたします。また、平時からの脆弱性診断サービスやセキュリティ研修なども取り揃えており、脆弱性管理体制の構築から有事の対応までワンストップで支援可能です。BBSecのサービスを活用し、貴社のセキュリティレベル向上にぜひお役立てください。

サイバーインシデント緊急対応

ウェビナー開催のお知らせ

2026年2月4日（水）13:00～14:00
【好評アンコール配信】「フィッシング攻撃の最新脅威と被害事例〜企業を守る多層防御策〜」

2026年2月10日（火）14:00～15:00
「Web攻撃の“今”がわかる OWASP Top 10 2025で読み解く脆弱性の狙われ方と対策の考え方」

2026年2月18日（水）14:00～15:00
「急増する「LINE誘導型」ビジネスメール詐欺の実態 ―社長になりすます最新BEC手口と組織で取るべき対策―」

最新情報はこちら

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2026年1月29日2026年3月2日

なぜ取引先経由で情報漏えいが起きるのか ―国内で相次ぐサプライチェーン攻撃の実態―

近年、「自社に不正アクセスはなかったのに情報が漏えいした」という状況が増えています。その多くは、取引先や委託先、外部サービスを経由したサプライチェーン攻撃が原因です。本記事では、なぜこうした“取引先経由”の情報漏えいが起きやすいのか、国内で実際に起きている事例や背景をもとに整理します。攻撃の構造を理解することで、見えにくいリスクに気づく視点を持つことができます。

こうしたリスクを前提に、委託先や外注先のセキュリティをどこまで確認すべきか悩む企業も少なくありません。実務の判断ポイントについては、以下の記事で整理しています。
「委託先・外注先のセキュリティはどこまで確認すべきか」

自社が原因でなくても、情報漏えいは起きてしまう時代

近年、「自社システムに不正アクセスはなかった」と説明される情報漏えい事故が国内で相次いでいます。調査を進めると原因は自社ではなく、取引先や外部サービスを経由した不正アクセスだった、というケースが少なくありません。こうした攻撃はサプライチェーン攻撃と呼ばれ、いま日本企業にとって最も現実的なセキュリティリスクの一つになっています。特にSaaSや外部委託、API連携が当たり前になった現在、このリスクは業種や企業規模を問わず存在します。

サプライチェーン攻撃とは何か

サプライチェーン攻撃とは、標的となる企業そのものではなく、取引先・委託先・連携している外部サービスを踏み台に侵入する攻撃手法です。サプライチェーン攻撃の全体像や基本的な考え方については、以下の記事で整理しています。あわせてぜひご覧ください。
「サプライチェーン攻撃とは ―委託先・外注先リスクから情報漏えいを防ぐ全体像―」

なぜ今、国内でサプライチェーン攻撃が増えているのか

背景にあるのは、企業活動のデジタル化と外部依存の加速です。業務効率化のためにSaaSを導入し、外部ツールとAPIで連携し、専門業務を外注することは、今や珍しいことではありません。一方で、こうした外部接点が増えるほど、攻撃者にとっての「侵入口」も増えていきます。特に、委託先や小規模ベンダーでは十分なセキュリティ対策が取られていないケースもあり、結果としてそこが狙われやすくなります。さらに最近では、認証情報の使い回しや権限設定のミスを自動的に探し出す攻撃手法も増えており、従来型の対策だけでは気づかないうちに侵入されるリスクが高まっています。

国内で実際に起きているサプライチェーン攻撃の特徴

国内で報告されているサプライチェーン攻撃の多くには共通点があります。それは、自社システムが直接破られたわけではなく、正規の連携機能や委託先のアクセス権限が悪用されている点です。そのため、ログを見ても不正アクセスだと気づきにくく、発覚までに時間がかかることがあります。結果として、数万件から数十万件規模の個人情報や顧客データが流出して初めて問題が表面化する、という事態につながります。サプライチェーン攻撃が怖いのは、まさにこの「想定外の経路」から被害が発生する点にあります。

サプライチェーン攻撃の国内事例や攻撃手口については、以下の記事でも解説しています。こちらもあわせてぜひご覧ください。
「事例から学ぶサプライチェーン攻撃 -サプライチェーン攻撃の脅威と対策2-」

サプライチェーン攻撃が企業にもたらす影響

この種の攻撃によって発生するのは、単なるシステムトラブルではありません。個人情報漏えいによる顧客からの信頼低下、取引先との関係悪化、場合によっては契約違反や損害賠償の問題に発展することもあります。近年では、「原因が委託先にあった」と説明しても、情報管理責任そのものは発注元企業にあると判断されるケースが増えています。サプライチェーン攻撃は、企業の信用そのものを揺るがすリスクだと言えるでしょう。

企業が今すぐ考えるべきサプライチェーン対策

まず重要なのは、自社がどのような外部サービスや委託先とつながっているのかを正確に把握することです。意外と、過去に導入したまま使われていないSaaSや、誰が管理しているのか分からない連携設定が残っていることも少なくありません。そのうえで、外部サービスや委託先に付与している権限が本当に必要最小限になっているかを見直す必要があります。「業務上便利だから」という理由で広い権限を与えたままにしていると、それがそのまま攻撃経路になってしまいます。また、技術的な対策だけでなく、委託契約や運用ルールの見直しも欠かせません。インシデント発生時の報告義務や再委託の条件、セキュリティ対策状況の確認方法などを明確にしておくことで、リスクを大きく下げることができます。

まとめ：サプライチェーン全体を見る視点が不可欠に

サプライチェーン攻撃は、もはや一部の大企業だけの問題ではありません。外部サービスを利用し、業務を委託し、クラウド連携を行っている企業であれば、規模に関係なく直面する可能性があります。重要なのは、自社のシステムだけを見るのではなく、自社を取り巻くサプライチェーン全体をどう管理するかという視点です。そこに目を向けない限り、同様の事故は今後も繰り返されるでしょう。

また、これらの事故は経営判断とも直結します。
「サプライチェーン攻撃と経営責任 ―委託先が原因でも問われる企業の判断とは ―」

こうした実態を踏まえると、サプライチェーン攻撃は個別対策だけでは防ぎきれません。委託先や外部サービスを含めた全体像を把握し、どこにリスクが集中しているのかを整理する視点が不可欠です。
「サプライチェーン攻撃とは ―委託先・外注先リスクから情報漏えいを防ぐ全体像―」

BBSecでは

サプライチェーン攻撃への対策では、「何となく不安だが、どこから手を付ければいいか分からない」という声を多く聞きます。外部接点が増えた現代では、勘や経験だけでリスクを把握するのは難しくなっています。ブロードバンドセキュリティ（BBSec）では、外部委託先や連携サービスを含めたセキュリティリスクの可視化や、運用・体制面まで踏み込んだ支援を行っています。サプライチェーン全体を前提とした評価や改善を進めることで、「自社は大丈夫」という思い込みによるリスクを減らすことが可能です。もし、自社のサプライチェーンリスクに少しでも不安を感じているのであれば、一度立ち止まって全体を整理するところから始めてみてはいかがでしょうか。

【参考情報】

独立行政法人情報処理推進機構（IPA）「サプライチェーンリスクマネジメント」（https://www.ipa.go.jp/security/reports/economics/scrm/index.html）
CISA（米国サイバーセキュリティ・社会基盤安全保障庁）,Hardware Bill of Materials Framework (HBOM) for Supply Chain Risk Management (SCRM) （https://www.cisa.gov/news-events/news/cisa-releases-hardware-bill-materials-framework-hbom-supply-chain-risk-management-scrm）
NIST（米国国立標準技術研究所）,Cybersecurity Framework（https://www.nist.gov/cyberframework）

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2026年1月28日2026年3月2日

サプライチェーン攻撃とは ―委託先・外注先リスクから情報漏えいを防ぐ全体像―

近年、企業の情報漏えい事故の原因として増えているのが、委託先や取引先、外部サービスを経由したサプライチェーン攻撃です。自社のシステムが直接攻撃されていなくても、外部との連携を足がかりに被害が発生するケースは珍しくありません。本記事では、サプライチェーン攻撃とは何かという基本的な考え方から、なぜ企業規模を問わずリスクが高まっているのか、全体像を整理します。まず全体を理解することで、断片的な対策に終わらない判断の土台をつくります。

サプライチェーン攻撃がどのように起きているのか、攻撃の特徴や背景を知りたい方は、次の記事もあわせてご覧ください。
なぜ取引先経由で情報漏えいが起きるのか ―国内で増えるサプライチェーン攻撃の実態―

情報漏えいは「自社の外」から起きる時代へ

近年、企業の情報漏えい事故を調査すると、必ずしも自社システムが直接攻撃されているわけではないケースが増えています。原因として多く挙げられるのが、委託先や外注先、外部サービスを経由した不正アクセスです。こうした攻撃はサプライチェーン攻撃と呼ばれ、いまや企業規模や業種を問わず直面する可能性のある現実的なリスクになっています。クラウドサービスやSaaSの利用、業務委託の拡大によって、企業のセキュリティ境界は大きく広がりました。その結果、自社だけを守っていれば安全、という考え方は通用しなくなっています。

サプライチェーン攻撃とは何か

サプライチェーン攻撃とは、標的企業そのものではなく、その周囲に存在する取引先や委託先、連携サービスを足がかりに侵入する攻撃手法です。攻撃者は、比較的対策が弱い外部事業者を狙い、正規の権限や接続経路を利用して本来の標的へと近づきます。この攻撃の特徴は、正規の仕組みが悪用される点にあります。そのため、不正侵入として検知されにくく、被害が表面化したときにはすでに多くの情報が流出しているケースも少なくありません。

なぜサプライチェーンリスクの管理は難しいのか

サプライチェーンリスクの管理が難しい最大の理由は、管理対象が自社のコントロール外にある点です。委託先や外注先ごとにセキュリティ対策の成熟度は異なり、すべてを同じ基準で把握することは簡単ではありません。また、契約内容や運用ルールが曖昧なまま業務が進んでいることも多く、インシデントが起きて初めて問題に気づくケースもあります。こうした背景から、「何をどこまで確認すべきか分からない」という声が現場で多く聞かれます。

委託先・外注先のセキュリティはどこまで確認すべきか

サプライチェーンリスクを考えるうえで重要なのは、すべてを完璧に監査しようとしないことです。まずは、委託先がどの情報にアクセスできるのか、どの業務を担っているのかを整理することが出発点になります。扱う情報の重要度が高いほど、確認すべき範囲も広がります。技術的な対策の有無だけでなく、運用体制やインシデント時の対応ルールが整っているかどうかを見ることが、現実的なセキュリティ確認につながります。

委託先が原因で情報漏えいが起きた場合の初動対応

どれだけ対策を講じていても、サプライチェーン攻撃のリスクを完全にゼロにすることはできません。そのため重要なのは起きない前提ではなく、起きたときにどう対応するかを想定しておくことです。委託先が原因で情報漏えいが疑われる場合でも、企業としての説明責任は免れません。初動対応では、原因の切り分けよりも被害拡大の防止と事実整理を優先し、社内外への対応を並行して進める必要があります。

サプライチェーンリスク対策で本当に重要な視点

サプライチェーン攻撃への対策は、単なるセキュリティ技術の問題ではありません。委託先との関係性、契約内容、社内体制、インシデント対応の準備といった、組織全体のリスク管理の問題です。「自社の中は守ることができている」という安心感が、かえってリスクを見えにくくしてしまうこともあります。だからこそ、自社を取り巻く外部環境も含めて全体を把握し、どこにリスクが集中しているのかを整理する視点が欠かせません。

サプライチェーン攻撃は経営リスクでもあります。経営視点で整理した記事はこちら。
「サプライチェーン攻撃と経営責任 ―委託先が原因でも問われる企業の判断とは ―」

まとめ：まず“全体像”を理解することが最大の対策

サプライチェーン攻撃は、今後も増えていくと考えられます。委託先や外注先を活用する限り、すべての企業が無関係ではいられません。重要なのは、断片的な対策に終始するのではなく、サプライチェーン全体を一つのシステムとして捉えることです。全体像を理解したうえで、確認・対応・改善を積み重ねていくことが、結果的に最も効果的なリスク対策になります。

BBSecでは

サプライチェーンリスクは、属人的な判断や部分的な対応では管理しきれなくなっています。委託先の数が増えるほど、リスクの把握と対応は複雑になります。株式会社ブロードバンドセキュリティ（BBSec）では、サプライチェーン全体を視野に入れたセキュリティリスクの整理や、委託先管理、インシデント対応体制の支援を行っています。「どこにリスクがあるのか分からない」という段階からでも、現状に合わせた整理と改善を進めることが可能です。サプライチェーンを含めた情報管理に不安を感じている場合は、まず全体を俯瞰するところから始めてみてはいかがでしょうか。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。

サービスに関する疑問や質問はこちらからお気軽にお問合せください。

2026年1月26日2026年1月28日

CWE Top 25 2025年版（後編）– メモリ安全性が上位に増えた理由と対策の要点

CWE Top 25 2025年版– メモリ安全性が上位に増えた理由と対策の要点アイキャッチ画像

「CWE Top 25:2025」では、もう一つ見逃せない特徴があります。それが、メモリ領域の安全性に関わる弱点が複数上位に含まれている点です。本記事では、CWE Top 25 2025年版で目立つメモリ系弱点を整理したうえで、なぜ上位に増えているのか、Webサービス運用の観点でどのように備えるべきかを解説します。

はじめに：前編の振り返り（Web/API 12項目）

前編では、CWE Top 25 2025年版のうち、WebアプリケーションやAPIで特に問題になりやすい弱点をピックアップし、リスクと診断観点を整理しました。具体的には、XSSやCSRFといった入力・リクエスト起点の脆弱性に加え、「認可の欠如不備」のようにログインしていても不正操作が成立するタイプの脆弱性が、実被害につながりやすいポイントとして挙げられます。Web/APIは機能追加や仕様変更が多いため、対策しているつもりでも抜けが生まれやすく、定期的な点検が重要です。

前編の記事はこちらからご覧いただけます。
「CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント」（https://www.sqat.jp/kawaraban/41257/）

前編で取り上げたWeb/APIの脆弱性は、日々の開発や運用の中で発生しやすく、脆弱性診断でも頻出する領域です。一方で、CWE Top 25 2025年版を俯瞰すると、もう一つ見逃せない特徴があります。それが、メモリ領域の安全性に関わる脆弱性が複数上位に含まれている点です。

メモリ系の脆弱性は、C/C++など低レベル言語で起きやすい印象が強く、「Webアプリ中心の開発では関係が薄い」と思われることもあります。しかし実際には、Webサービスを支える基盤やOSS、ミドルウェア、各種ライブラリにはネイティブ実装が含まれることも多く、アプリケーションの外側でリスクが顕在化するケースも少なくありません。また、メモリ破壊系の脆弱性は、単なるサービス停止（DoS）に留まらず、条件次第では任意コード実行など深刻な侵害につながる可能性があります。攻撃の影響が大きく、対応にも専門性が求められることから、近年あらためて注目されている領域といえます。

そこで後編では、CWE Top 25 2025年版で目立つメモリ系弱点を整理したうえで、なぜ上位に増えているのか、Webサービス運用の観点でどのように備えるべきかを解説します。

メモリ領域の安全に関する脆弱性が上位に増えている理由

CWE Top 25 2025年版ではメモリ安全性に関わる脆弱性が複数ランクインしている傾向もみてとれます。一見すると「これはC言語など低レベル言語の話で、Webアプリ開発とは関係が薄いのでは？」と思われるかもしれません。しかし実際には、Webサービスを提供する側にとっても無視できないテーマになっています。ここでは、2025年版で目立つメモリ系の脆弱性と、上位に増えている背景を整理します。

2025年に目立つメモリ系6項目

CWE Top 25 2025年版の中で、特にメモリ領域の安全性に関連する項目としては以下が挙げられます。

CWE-787：範囲外の書き込み
CWE-416：解放したメモリの使用
CWE-125：範囲外の読み取り
CWE-476：NULLポインター逆参照
CWE-121：スタックベースバッファオーバーフロー
CWE-122：ヒープベースバッファオーバーフロー

これらは主にC/C++言語などで発生しやすい脆弱性で、メモリ破壊を起点としてアプリケーションの異常動作やクラッシュ、条件次第では任意コード実行にまでつながる可能性があります。

メモリ系が“ランク上昇”した背景

OSS・ミドルウェア・実行環境の影響が大きい

近年のシステム開発では、自社でゼロからすべてを実装することはほとんどありません。
Webアプリケーション自体は高水準言語（Java、PHP、Python、Ruby、JavaScriptなど）で書かれていたとしても、実際には裏側で多くのソフトウェア資産に依存しています。例えば、以下のような領域はネイティブ実装（C/C++など）が含まれることが多く、メモリ安全性の影響を受けやすい代表例です。

画像・動画の変換や解析
圧縮・解凍処理
暗号処理
OSやコンテナの周辺コンポーネント
Webサーバやロードバランサなどの基盤ソフトウェア

つまり「アプリはWebだからメモリ破壊は関係ない」と切り分けるのではなく、サービス全体を構成する要素としてメモリ安全性の弱点が影響し得る、という視点が必要になります。

「攻撃が成立した時のインパクト」が大きい

メモリ破壊系の脆弱性は、単にアプリがダウンする（DoS攻撃等の影響による）だけでなく、条件がそろうと攻撃者にとって非常に強力な結果につながることがあります。たとえば、任意コード実行や権限奪取の足がかりになるケースもあり、被害の深刻度が高くなりやすい点が特徴です。

Webアプリケーションの脆弱性は「データが漏れる」「不正操作される」といった被害が中心になりやすい一方で、メモリ系は侵害の方向性が変わり、“システムそのものの制御”に影響する可能性がある点で性質が異なります。このインパクトの大きさが、ランキング上でも目立ちやすい要因の一つです。

“開発者の気付き”だけでは防ぎにくい

XSSやSQLインジェクションは、実装者の意識と共通部品の整備で減らしていける領域です。一方でメモリ安全性の弱点は、そもそも自社コードではなく、依存しているライブラリやミドルウェアの脆弱性として露出することも少なくありません。この場合、開発者が気を付けて実装していても防ぎきれず、必要になるのは次のような対策です。

利用コンポーネントの把握（棚卸し）
脆弱性情報の継続的な収集
バージョンアップ・パッチ適用の判断と運用
影響範囲の評価（どの機能が影響を受けるか）

つまり、メモリ系の脆弱性は「作り込みで防ぐ」だけではなく、運用で守る力も問われる領域だと言えます。

脆弱性対応は「作り込み」＋「運用」の両輪

Webアプリケーションのセキュリティ対策というと、入力チェックや認可実装など“作り込み”に注目が集まりがちです。もちろんこれは重要ですが、メモリ系の弱点が示すように、脆弱性対応には運用面の強さも求められます。

運用面で意識したいポイントは、以下のように整理できます。

利用しているライブラリ／ミドルウェアの把握（棚卸し）
脆弱性情報の継続的な収集と影響評価
パッチ適用・アップデートの判断と実施
監視・ログによる異常兆候の検知
必要に応じた防御策（WAFなど）による被害軽減

特に「アップデートできる体制があるか」「影響範囲を素早く見積もれるか」は、脆弱性が公開された際の対応スピードに直結します。メモリ系の脆弱性は影響が大きくなりやすい分、発覚後の初動が被害を左右するため、日頃から“運用で守る仕組み”を整えておくことが重要です。

脆弱性診断でどう確認するか（診断観点の例）

メモリ領域の安全性の脆弱性は、Web/APIの脆弱性とは性質が異なり、「画面やAPIを触るだけでは見えにくい」ケースもあります。そのため、脆弱性診断ではアプリケーションの挙動確認に加えて、実装・構成・依存関係といった複数の観点からリスクを洗い出すことが有効です。

Webアプリケーション診断/API診断

実際の画面・APIに対して攻撃パターンを当て、脆弱性が成立するかどうかを確認します。
メモリ系の弱点そのものを直接検出するのは難しい場合もありますが、前編で整理した認可不備・IDOR・SSRF・ファイル関連など、実被害につながりやすい脆弱性を網羅的に確認できる点が強みです。

ソースコード診断（SAST）

危険な実装パターンや、入力値の扱い方、権限判定の実装の偏りなどを、コードレベルで洗い出せる手法です。メモリ領域の安全性の観点でも、ネイティブコードを含む箇所や危険APIの利用状況、例外処理の不足などを確認することで、潜在的なリスクを把握しやすくなります。特に、開発を継続しながら対策を積み上げる場合、設計や共通部品の見直しにも活用できます。

プラットフォーム診断／OSS観点（依存関係・構成）

メモリ系の脆弱性を含む“依存資産のリスク”に対応するには、構成・依存関係の観点が欠かせません。アプリケーションの外側に原因がある場合、どれだけアプリの実装を直してもリスクが残るためです。「脆弱性が出たときに、すぐ把握できる・すぐ対応できる」状態を作ることが、結果的にリスクを下げる近道になります。

まとめ

CWE Top 25 2025年版から読み取れるのは、Webアプリ・APIで頻出する脆弱性が依然として事故につながりやすい一方で、メモリ安全性のように“アプリの外側”に潜むリスクも無視できない存在になっているという点です。この2つを両立できるかどうかが、2025年のセキュリティ対策の分かれ道になると言えます。

“定期的な診断＋改善”でリスクを下げる

脆弱性対策は、一度対応して終わりではなく、仕様変更・機能追加・依存資産の更新によって状況が変化します。だからこそ、CWE Top 25のような指標を参考にしながら、第三者視点の脆弱性診断で現状を確認し、優先度を付けて改善していくことが有効です。Webアプリケーション診断・API診断・ソースコード診断を組み合わせることで、「攻撃が成立するポイント」と「根本原因」を整理しやすくなり、修正の手戻りを減らしながら安全性を高められます。継続的な診断と改善を通じて、インシデントの予防と品質向上につなげていきましょう。

BBSecでは

「どこが危ないのか」を把握しないまま対策を進めると、重要な弱点が残ったり、修正の手戻りが増えたりすることがあります。Webアプリケーション／APIの脆弱性診断により、実際に攻撃が成立するポイントを洗い出し、優先度を付けて改善につなげることが可能です。まずは現状の課題や診断範囲について、お気軽にご相談ください。

限定キャンペーン実施中！

ソースコード診断アップチャージプランのご案内

Web診断に加えて、アプリケーション内部の脆弱性を確認できるソースコード診断（アップチャージプラン）もご用意しています。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2026年1月26日

サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践

サイバー攻撃対策は、サービスや製品を導入するだけでは十分とは言い切れません。重要なのは、自社がどのような攻撃リスクにさらされ、どこに弱点があり、被害が出た場合にどれほどの影響があるのかを正しく把握することです。サイバー攻撃リスク評価は、限られた予算や人材で最大の防御効果を得るための出発点となります。本記事では、資産の棚卸しから脅威・脆弱性の分析、優先順位付けまで、実務に使えるリスク評価プロセスを体系的に解説します。

サイバー攻撃リスク評価が重要とされる背景には、実際に企業が被っている被害コストの深刻さがあります。リスク評価の前提として、まずはサイバー攻撃が企業経営にどれほどの損失をもたらしているのかを把握しておくことが重要です。
「サイバー攻撃被害コストの真実―ランサムウェア被害は平均「2億円」？サイバー攻撃のリスク評価で“事業停止損害”を可視化」（https://www.sqat.jp/tamatebako/41157/）

なぜ今、サイバー攻撃リスク評価が必要なのか

サイバー攻撃という言葉を聞いても、多くの経営者やIT担当者は漠然とした脅威を感じながらも、それが具体的に自社経営のどこに、どのようなコストとして跳ね返るのかを十分に自覚できていない現実があります。サイバー攻撃の被害コストが平均で数億円に達する状況下、「とにかく新しいセキュリティ製品を導入すれば安心する」といった対症療法的な取り組みでは、もはや防御しきれない時代へと突入しました。必要なのは「敵を知り、己を知る」戦略的なサイバー攻撃に対するリスク評価、すなわち、自社の弱点と外部の脅威を冷静に見極める経営判断の力です。

サイバー攻撃リスク評価の本質とは

敵を知り、己を知る

IPA「情報セキュリティ白書」をはじめとし、各所で訴えられているのが、「サイバー攻撃に対するリスク評価の重要性」です。ただしその本質は、単なるITシステムのスキャンやツールベースの脆弱性チェックではありません。真のリスク評価とは、経済合理性の観点で、何を守り、何を諦めるのかという意思決定を支える土台なのです。どれほど強力な製品やサービスを導入しても、リスクの本質を社内の誰も把握していなければ、最悪のシナリオを防ぐことはできません。リスクが見えない会社はまるで地図も持たずに夜の海を航海する船と同じです。限られた人材・予算で最大効果を追求するため、全社員が自分ごととしてリスクを理解することが必要不可欠になります。

ステップ1：守るべき資産の棚卸しから始める

リスク評価の第一歩は、組織の守るべきものを徹底的に洗い出すことです。単に個人情報やサーバーと抽象的に捉えるのではなく、顧客の個人情報DB、製造業の設計図ファイル、EC企業のオーダー処理システム、医療機関なら電子カルテや診療録など、具体的な業務上の資産を1つ1つリストアップしていきます。この資産の棚卸し作業には経営部門、現場担当、IT管理者それぞれの視点が欠かせません。しばしば現場を訪れてヒアリングすることで、「社内の共有フォルダに重要な決裁書が保管されていた」「知らないうちに外部のクラウドサービスを使っていた」といった予想外のリスクが浮かび上がることも多いのです。

さらに、一つ一つの資産が「漏洩した場合」「改ざんされた場合」「利用不可になった場合」それぞれでどんな損失が出るかを具体的に算定します。例えば、「受注管理のExcelファイルが消えたら、次月の売上がいくら減るか」「サプライヤーリストが流出したら、競合にどんな損失があるか」など、リアルな金額で被害コストを試算することで、リスク評価の精度は飛躍的に高まります。こうした積み上げが正確なサイバー攻撃リスク評価の基礎となるのです。

ステップ2：脅威と脆弱性のリアルな分析

守るべき資産が可視化されたら、同時に「どのような攻撃（脅威）によって、それが被害を受けるのか」「自社のどこに抜け穴（脆弱性）があるのか」という分析を行います。ランサムウェアや標的型攻撃、内部不正やサプライチェーン攻撃など、攻撃手口は年々進化を続けており、特に2025年には生成AIを活用したフィッシングメールの飛躍的高度化や、関連会社を経由したサイバー攻撃が国内外で激増しています*1。この脅威分析は、単なるIT部門の仕事ではありません。現場従業員のうかつなファイル操作、ベンダーから納品されたIoT機器の未対策状態、管理者のミス設定まで、多層的な視点が必要となります。例えば「ファイアウォールは万全だが、受付担当者がメールで来たExcel添付を毎回開いてしまう」、こうした人為的な脆弱性こそが深刻なリスクとなりえるのです。

さらに、最新の脅威情報をウォッチし、自社の資産一つ一つに「どの攻撃手口がどれだけ現実的なのか」「実際に被害が起きたらどんな損失が発生するか」をひとつずつ当てはめていきます。IPAやJPCERT、経済産業省のガイドライン等で公開されている被害事例も積極的に参照し、決して机上の空論にならないようにすることが重要です。

ステップ3：リスク値の算定と現実的な対策の選定

資産の価値、脅威シナリオ、脆弱性の分析がそろったら、それらを掛け合わせて「リスク値」を定量的または定性的に算定します。年に1回は「このシステムが被害を受ける確率」「被害にあった場合の復旧・損失コスト」を具体的に予測し、たとえば年間予想被害額（Annualized Loss Expectancy, ALE）といった尺度で数値化してみます。数値化が難しければ、「この資産は被害が出た場合、顧客離脱や損害賠償リスクが最も高い」といった三段階の定性的評価でも構いません。

こうした評価から、「このサーバーは古いが利用者が少ないので対応を先送りする」「この顧客データベースは被害時の損害コストが極めて高いため、早急に多要素認証や暗号化を施す」など、リスクごとに優先順位を定めて取り組むことが可能になります。リスクゼロは現実的に不可能ですが、限られたリソースを最大限有効活用し、許容できない損害だけは絶対に回避する。保険・外部委託など、リスクを下げきれない部分のコスト転嫁も積極的な選択肢となります。

なお、ここで言うリスクとは抽象的な危険性ではなく、実際に発生しうる被害コストや業務停止損害を含んだ現実的な損失を指します。
「サイバー攻撃被害コストの真実―ランサムウェア被害は平均「2億円」？サイバー攻撃のリスク評価で“事業停止損害”を可視化」

リスク評価を“一度きり”で終わらせないために

サイバー攻撃リスク評価は、決して一度やったら終わりではありません。IT環境は日々進化し、新しい脆弱性や攻撃手口が次々に出現します。たった1年で状況が一変するデジタル社会において、リスク評価を定期的な健康診断や棚卸しのようにサイクルに組み込むことの重要性はますます高まっています。たとえばセキュリティインシデントが起こった直後には再評価を実施し、現場の運用ルールやセキュリティ教育もアップデートする、その繰り返しが強靭な組織基盤を作り上げていきます。

この継続プロセスの副次的な効用として、現場担当者も経営層も含めた当事者意識の醸成という大きな成果も見逃せません。全員が自分たちの業務にどんなサイバー攻撃被害コストが潜んでいるかを肌感覚で理解し、日常業務の中でこのデータの扱い方は安全かと常に問い続ける風土が生まれます。これが最終的には、組織としてのサイバー攻撃耐性・セキュリティ文化の創出へとつながっていくのです。

まとめ―サイバー攻撃リスク評価が企業を強くする

「守るべきものの棚卸し」「脅威と脆弱性のリアルな洗い出し」「定量・定性評価による対応策の優先順位付け」、このサイクルの徹底こそが、サイバー攻撃リスク評価の真髄です。安易な製品導入による対策の自己満足から脱却し、本質的な経営判断としてのリスク評価を習慣化すること。―これこそが、2026年を生き抜く企業の競争力を底上げする最短の道となります。サイバー攻撃リスク評価を“実装”すれば、サイバー攻撃の被害コストに怯える毎日から、主体的に未来を選び取る経営へと転換できることでしょう。

サイバー攻撃リスク評価は、評価して終わりではありません。算出したリスクをどう解釈し、どこに投資し、どのリスクを許容するのかという経営判断に落とし込むことで、初めて意味を持ちます。次の記事では、リスク評価をセキュリティ投資や経営戦略にどのように活かすべきかを解説します。
「サイバー攻撃リスク評価を投資判断に活かす：コストから経営戦略へ転換する方法」

【参考情報】

独立行政法人情報処理推進機構（IPA）「情報セキュリティ白書2023」（https://www.ipa.go.jp/publish/wp-security/t6hhco00000014r1-att/2023_Chap1.pdf）
SentinelOne「サイバーセキュリティリスク評価：ステップバイステップの手順」（https://www.sentinelone.com/ja/cybersecurity-101/cybersecurity/cyber-security-risk-assessment/）
金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月4日）（https://www.fsa.go.jp/common/law/cybersecurity_guideline.pdf）

サイバーインシデント緊急対応

限定キャンペーン実施中！

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2026年1月23日2026年1月26日

CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント

2025年12月、MITREより「CWE Top 25:2025」が公開されました。本記事では、CWE Top 25 2025年版のうち、WebアプリケーションやAPIに直結する12項目をピックアップし、リスクと診断観点を整理します。

CWE Top 25とは

Webアプリケーションや業務システムを狙った攻撃は年々巧妙化していますが、実は“よく悪用される脆弱性”には一定の傾向があります。限られた工数の中で効果的に対策を進めるには、脆弱性を闇雲に潰すのではなく、被害につながりやすい弱点から優先して対応することが重要です。そこで参考になるのが、MITREが公開している「CWE Top 25」です。CWE（Common Weakness Enumeration、共通脆弱性タイプ）は、ソフトウェアに潜む弱点を体系的に整理したもので、CWE Top 25はその中でも特に危険度が高く、実際の攻撃にもつながりやすい弱点をランキング形式でまとめたものです。開発・運用の現場で「どこから手を付けるべきか」を判断するための指標として活用できます。

CWE Top 25は毎年アップデートされるため、年ごとの傾向を追うことで「長年狙われ続けている脆弱性」や「新たに注目されているリスク」も見えやすくなります。2024年版の内容は過去記事でも解説していますので、あわせてご覧ください。
「【CWE TOP 25 2024年版】にみる新たなセキュリティ脅威と指針」（https://www.sqat.jp/kawaraban/33156/）

CWE Top 25 2025年版

順位	CWE ID	脆弱性名称
1	CWE-79	入出力の不適切な無害化（クロスサイトスクリプティング（XSS））
2	CWE-89	SQLコマンドの特殊要素の不適切な無害化（SQLインジェクション）
3	CWE-352	クロスサイトリクエストフォージェリ（CSRF）
4	CWE-862	認可の欠如
5	CWE-787	範囲外の書き込み
6	CWE-22	制限ディレクトリへのパス制限不備（パストラバーサル）
7	CWE-416	解放したメモリの使用
8	CWE-125	範囲外の読み取り
9	CWE-78	OSコマンドで使用される特殊要素の不適切な無効化(OSコマンドインジェクション)
10	CWE-94	コード生成の不適切な制御（コードインジェクション）
11	CWE-120	入力サイズチェックなしのバッファコピー(古典的バッファオーバーフロー)
12	CWE-434	危険なタイプのファイルのアップロード許可
13	CWE-476	NULLポインター逆参照
14	CWE-121	スタックベースバッファオーバーフロー
15	CWE-502	不適切なデータ逆シリアル化
16	CWE-122	ヒープベースバッファオーバーフロー
17	CWE-863	不適切な認可
18	CWE-20	不適切な入力検証
19	CWE-284	不適切なアクセス制御
20	CWE-200	権限を持たないユーザへの機密情報の漏洩
21	CWE-306	重要な機能の使用に対する認証の欠如
22	CWE-918	サーバサイドリクエストフォージェリ（SSRF）
23	CWE-77	コマンドで使用される特殊要素の不適切な無害化（コマンドインジェクション）
24	CWE-639	ユーザ制御キーによる認可バイパス
25	CWE-770	制限やスロットリングなしのリソース割当

Web/APIに直結する“狙われやすい12項目”

CWE Top 25 2025年版には、メモリ安全性の弱点など幅広い項目が含まれていますが、脆弱性診断会社の視点で特に注目したいのは、WebアプリケーションやAPIに直結し、実被害につながりやすい脆弱性です。Web/APIは外部からアクセス可能な入口が多く、仕様変更や機能追加も頻繁に発生します。その結果、実装ミスや設計の抜けが生まれやすく、攻撃者にとっても狙いやすい領域になりがちです。ここでは、Top 25のうちWeb/APIに絡む以下の12項目をピックアップし、リスクと脆弱性診断の観点を整理します。

Web/APIで特に重要な12項目一覧

CWE-79
CWE-352
CWE-862
CWE-22
CWE-434
CWE-863
CWE-20
CWE-284
CWE-200
CWE-306
CWE-918
CWE-639

入力・出力の不備（攻撃の入口になりやすい）

CWE-79：クロスサイトスクリプティング（XSS）

コメント欄のような分かりやすい入力欄だけでなく、検索結果、プロフィール、管理画面のメモ欄など「入力した内容が表示される場所」全般が対象になります。XSSが成立すると、セッション情報の窃取によるアカウント乗っ取り、偽画面による情報詐取、管理者権限での操作悪用などにつながる可能性があります。特に管理画面で発生した場合、被害が大きくなりやすい点が特徴です。

脆弱性診断では、入力点の洗い出しに加え、“どこで入力が表示されるか（出力箇所）” を意識して確認します。実装側で「入力チェックをしている」つもりでも、表示時のエスケープが不十分なケースは多く、テンプレートの扱いや出力文脈（HTML/属性/JavaScript）まで含めた確認が重要になります。

SQAT.jpでは過去にもクロスサイトスクリプティングについて、初心者向けの解説記事を公開しています。こちらもあわせてご覧ください。
「クロスサイトスクリプティング（XSS）の脆弱性 -Webアプリケーションの脆弱性入門 1-」（https://www.sqat.jp/tamatebako/27269/）

CWE-20：不適切な入力検証

入力検証不備は、受け取った値が想定どおりかどうかの確認が不足している状態です。一見すると地味な問題に見えますが、WebアプリやAPIでは、入力値がそのままDB検索、権限判定、外部連携、ファイル処理などに渡ることが多く、他の脆弱性の引き金になりやすい“起点”です。特にAPIでは、フォーム入力だけでなくJSON形式のリクエスト、配列やネスト構造、数値・文字列の型違いなど、入力のバリエーションが増えます。その結果、「画面側では弾けているのにAPI直叩きで通ってしまう」「境界値や異常値で想定外の挙動になる」といった事故が起きやすくなります。

脆弱性診断では、正常系だけでなく、境界値・異常系・型違い・過剰な長さ・未定義パラメータなどを含めて入力を揺さぶり、想定外の処理やエラー露出が起きないかを確認します。

リクエスト偽装・処理のすり抜け（攻撃者が「操作」を作る）

CWE-352：クロスサイトリクエストフォージェリ（CSRF）

CSRFは攻撃者が用意したページやリンクを踏ませることで、ユーザ本人が操作したように見えるリクエストが送信され、設定変更や登録情報更新などが実行されてしまう可能性があります。特に危険なのは、パスワード変更、メールアドレス変更、権限変更、退会処理など「状態を変える操作」です。攻撃が成立しても操作主体が正規ユーザに見えるため、被害に気づきにくい点もCSRFの厄介なところです。

脆弱性診断では、重要操作にCSRFトークンが実装されているか、SameSite属性が適切か、Origin/Refererの扱いがどうなっているかなどを確認します。SPAやAPI中心の構成では「CSRFは関係ない」と思われがちですが、認証方式によっては成立するため、設計前提から整理して確認することが重要です。

SQAT.jpでは過去にもクロスサイトリクエストフォージェリについて、初心者向けの解説記事を公開しています。こちらもあわせてご覧ください。
「クロスサイトリクエストフォージェリ（CSRF/XSRF）とは？狙われやすいWebアプリケーションの脆弱性対策」（https://www.sqat.jp/tamatebako/12249/）

CWE-918：サーバサイドリクエストフォージェリ（SSRF）

SSRFは、サーバ側が外部へアクセスする仕組みを悪用され、攻撃者が任意の宛先にリクエストを送らせる脆弱性です。たとえば「指定したURLから画像を取得する」「外部APIのURLを登録する」といった機能がある場合、入力値の制御が不十分だとSSRFにつながる可能性があります。SSRFが危険なのは、外部から直接アクセスできない内部ネットワークや管理系サービスに到達できてしまう点です。環境によっては、クラウドのメタデータ（認証情報）取得など、重大な侵害につながるケースもあります。

脆弱性診断では、URL入力や外部通信の機能を洗い出し、許可リスト制御があるか、名前解決やリダイレクトがどう扱われるか、内部アドレス（localhostやプライベートIP）へのアクセスが可能かなどを確認します。外部連携機能は便利な反面、攻撃の入口になりやすいため、重点的な確認が必要です。

認証・認可の不備（ログインしていても守れていない）

CWE-306：重要な機能の使用に対する認証の欠如

重要な機能の使用に対する認証の欠如は、本来ログインが必要な操作が、認証なしで実行できてしまう状態です。代表例としては、管理者向けのAPIや運用機能が「画面からは触れない」ために見落とされ、URL直叩きで実行できてしまうケースが挙げられます。この弱点があると、攻撃者はアカウントを用意する必要すらなく、いきなり機能を悪用できてしまいます。影響範囲は機能次第で、情報閲覧だけでなく、設定変更やデータ削除などにつながる可能性もあります。

脆弱性診断では、ログイン前に到達できるURL・APIを洗い出し、認証が正しくかかっているかを横断的に確認します。特に、管理系の機能や“メンテナンス用”に追加されたエンドポイントは、抜けが起きやすいポイントです。

CWE-862：認可の欠如

認可の欠如は、「ログインしているユーザが、その操作をしてよいか」の判定が不足している状態です。認証が正しく実装されていても、認可が抜けていると、一般ユーザが管理機能を実行できたり、他人の情報にアクセスできたりするリスクが生まれます。現代のWebアプリはAPI化が進み、画面とAPIが分離されているケースも多くあります。その結果、「画面上ではボタンが表示されないが、APIを直接叩くと通ってしまう」といった問題が発生しやすくなります。認可は“画面制御”ではなく“サーバ側判定”が必須です。

脆弱性診断では、ユーザ権限を切り替えながら同じAPIを試す、IDを変更して他人データに触れないか確認するなど、権限境界を意識したテストを行います。認可不備は事故につながりやすい一方で見落とされやすいため、重点的に確認すべき項目です。

CWE-863：不適切な認可

誤った認可は、認可チェック自体は存在するものの、判定条件が不十分・誤っている状態です。たとえば「ロール（一般/管理者）は見ているが、所属組織や契約単位の制御が抜けている」「閲覧は制御できているが更新だけ抜けている」など、複雑な仕様ほど起きやすい傾向があります。このタイプの問題は、単純な“認可チェックの抜け”よりも発見が難しく、機能仕様を理解したうえでテストしないと見落とされがちです。結果として、公開後に利用者からの指摘やインシデントで発覚することもあります。

脆弱性診断では、ロールだけでなく、組織・契約・所有権などの境界を整理し、境界を跨ぐ操作ができてしまわないかを確認します。実装だけでなく、設計段階での権限モデルの整理が重要になります。

CWE-284：不適切なアクセス制御

不適切なアクセス制御は、認証・認可・制限の仕組み全体が適切に機能していない状態を指す、非常に重要なカテゴリです。CWE-862やCWE-863、CWE-639などと密接に関係し、実際のインシデントでは“アクセス制御の穴”としてまとめて問題になるケースも少なくありません。アクセス制御の難しさは、実装ミスだけでなく、仕様変更や機能追加によって整合性が崩れやすい点にあります。APIが増えるほど確認対象も増え、権限チェックの一貫性を保つのが難しくなります。

脆弱性診断では、画面・API・直接URLアクセスなど複数経路からの到達性を確認し、「見えないはずの機能が触れてしまう」「アクセスできないはずの情報が見えてしまう」といった問題を洗い出します。アクセス制御は“守りの土台”であり、最優先で見直すべき領域です。

CWE-639：ユーザ制御キーによる認可バイパス

ユーザ制御キーによる認可バイパスは、ユーザが指定できるIDやキーを悪用し、認可を回避できてしまう問題です。いわゆるIDOR（Insecure Direct Object Reference）として知られるケースが多く、例えば「注文ID」「請求書ID」「ユーザID」などを変更するだけで他人の情報にアクセスできてしまうといった形で発生します。この脆弱性が厄介なのは、画面上では正しく動いて見えることが多い点です。正規ルートでは問題がなくても、パラメータを改ざんすると成立してしまうため、悪意ある操作を前提にした確認が欠かせません。

脆弱性診断では、IDやキーを意図的に変更し、他人データの閲覧・更新・削除ができないかを確認します。設計としては、IDを推測しにくくするだけでなく、サーバ側で必ず所有権チェックを行うことが重要です。

情報の露出（「次の攻撃」の起点になる）

CWE-200：権限を持たないユーザへの機密情報の漏洩

機密情報の露出は、権限のない相手に情報が見えてしまう状態です。例としては、APIレスポンスに不要な項目が含まれている、エラーメッセージに内部情報が出ている、管理画面の情報が一般ユーザから参照できる、といったケースが挙げられます。情報漏洩は、それ単体でも重大な事故ですが、攻撃者にとっては“次の攻撃を成功させる材料”になります。たとえば、ユーザ情報や内部構成が漏れることで、なりすましや権限突破、別の脆弱性悪用が容易になることがあります。

脆弱性診断では、画面表示だけでなくAPIレスポンスの内容、エラー出力、ログ出力の扱いまで含めて確認します。「返さなくてもよい情報を返していないか」を見直すことは、対策コストに対して効果が大きいポイントです。

ファイル・パスの取り扱い（“便利機能”が事故の原因になる）

CWE-22：パストラバーサル

パストラバーサルは、ファイル・パスの指定を悪用され、想定外のファイルにアクセスされてしまう脆弱性です。例えば、ダウンロード機能や画像表示機能で、パラメータがそのままファイル・パスに使われている場合に発生しやすく、設定ファイルや機密ファイルの閲覧につながる可能性があります。この問題は、アプリケーション内部の設定情報や秘密鍵などの露出を招くことがあり、被害が“情報漏えい”に留まらず、侵入やなりすましの起点になることもあります。

脆弱性診断では、パス指定のパラメータを揺さぶり、制限ディレクトリ外の参照ができないかを確認します。設計としては、ファイルはIDで管理し、サーバ側で実体パスに変換する方式が安全です。

CWE-434：危険なタイプのファイルのアップロード許可

危険なファイルアップロードは、攻撃者が悪意あるファイルをアップロードできてしまう脆弱性です。拡張子チェックだけで判定している場合、実体がスクリプトや実行形式であってもすり抜けられることがあり、Webシェル設置やマルウェア配布などにつながる危険があります。また、アップロードしたファイルがそのまま公開ディレクトリに置かれている場合、アクセスされるだけで攻撃が成立するケースもあります。ファイル機能はユーザにとって便利な一方で、攻撃者にとっても“侵入口”になりやすい領域です。

脆弱性診断では、アップロード可能な拡張子・MIME・実体判定、保存先、参照方法、実行可否などを確認します。特に「アップロード後にどう扱われるか（公開されるか、変換されるか）」まで含めて評価することが重要です。

【補足】なぜこの12項目が脆弱性診断で重要なのか
ここまで見てきた12項目は、いずれもWebアプリやAPIで発生しやすく、攻撃者が外部から試行しやすい弱点です。また、認可やアクセス制御のように、仕様・設計・実装が絡み合う領域は、チェック漏れが起きやすい一方で、発見が遅れると影響が大きくなりがちです。そのため、開発時のレビューや自動テストだけでなく、第三者視点での脆弱性診断によって「実際に攻撃が成立するか」を確認し、優先度を付けて改善していくことが有効です。

現場での優先度付け（Web/API向け）

CWE Top 25に含まれる弱点は幅広く、すべてを一度に潰すのは現実的ではありません。そこで重要になるのが、「被害が大きいもの」「攻撃者が試しやすいもの」から優先して対策する考え方です。ここでは、WebアプリケーションやAPIを前提に、現場で取り組みやすい優先順位を整理します。

認可

まず最優先に見直したいのは、認可（Authorization）に関する脆弱性です。認証（ログイン）が正しく動いていても、「そのユーザがその操作をしてよいか」の判定が甘いと、他人の情報閲覧や不正更新、管理機能の悪用につながります。特にAPIが増えるほど、権限チェックの抜けや判定ミスが起きやすく、事故の原因になりがちです。認可の問題は、攻撃が成立すると影響範囲が大きく、かつログ上は正規ユーザの操作に見えることもあります。Web/APIにおけるセキュリティの土台として、まずは認可を最優先で点検することが重要です。

入出力・CSRF

次に優先したいのは、入出力の取り扱い（XSSや入力検証不備など）と、CSRFです。
入力値は、画面表示・DB操作・外部連携など多くの処理に影響するため、わずかな実装ミスが攻撃の入口になりやすい領域です。またXSSは、利用者のアカウント乗っ取りや管理画面の悪用につながる可能性があり、優先度の高い脆弱性です。CSRFについても、状態変更系の操作（変更・更新・削除）がある限り、対策の抜けがあると被害につながります。「ログインしているから安全」ではなく、“正しい意図の操作かどうか”を担保できているかを確認する必要があります。

SSRF・ファイル関連

SSRFやファイル関連の脆弱性は、システムに該当機能がある場合、優先度を一段階上げて確認すべき項目です。たとえば、URL入力を受け付ける機能（外部連携、Webhook、画像取得など）がある場合、SSRFが成立すると内部ネットワークへのアクセスや情報取得につながる可能性があります。また、ファイルアップロード／ダウンロード機能がある場合は、危険なファイルの混入やパストラバーサルによる情報漏えいなど、攻撃の入口になりやすい要素が揃っています。利便性の高い機能ほどリスクも増えやすいため、仕様として存在するなら“重点確認対象”として扱うのが安全です。

情報露出・認証の欠如

最後に、見落とし厳禁として挙げたいのが「情報露出」と「認証欠如」です。機密情報の露出は、単体でも重大な事故ですが、攻撃者にとっては次の攻撃を成立させるための材料にもなります。APIレスポンスの過剰返却やエラーメッセージの出し方など、“つい残ってしまう情報”が原因になることも少なくありません。また、重要機能の認証欠如は、成立すると攻撃者がログインすらせずに機能を悪用できてしまいます。管理用のエンドポイントや運用機能など、「利用者が限られるから大丈夫」と思われがちな部分ほど抜けが起きやすいため、公開前後での棚卸しが重要です。

Web/APIは定期診断が有効

Web/APIは機能追加や仕様変更が多く、開発時点で対策していたとしても、改修のたびに新しい抜けが生まれる可能性があります。だからこそ、開発段階での対策に加えて、第三者視点の脆弱性診断で「実際に攻撃が成立するか」を確認し、優先度を付けて改善することが効果的です。定期的に診断を実施することで、仕様変更による取りこぼしを早期に発見し、インシデントを未然に防ぐことにつながります。

後編では、CWE Top 25 2025年版で目立つもう一つのポイントとして、メモリ領域の安全に関わる脆弱性が上位に増えている背景を整理します。なぜ今メモリ系が注目されているのか、どのように備えるべきかを、診断・運用の観点も含めて解説します。

―後編に続く―

BBSecでは

限定キャンペーン実施中！

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2026年1月8日2026年3月10日

脆弱性対応の優先順位と判断基準―限られたリソースでリスクを下げる考え方

Security NEWS TOPに戻る
バックナンバー TOPに戻る

脆弱性情報は日々公開されており、セキュリティ担当者は常に、何を優先して対応すべきかという判断を求められます。しかし、すべての脆弱性に即座に対応することは、現実的にもリソース的にも困難です。重要なのは、脆弱性の数に振り回されるのではなく、どこを優先すべきかを合理的に判断することです。本記事では、企業が脆弱性対応の優先順位を決めるための考え方と、実務で使える判断基準を整理します。

なぜ脆弱性対応の「優先順位」が重要なのか

ソフトウェアやシステムの脆弱性は、日々新しく公開されています。すべての脆弱性に即座に対応できれば理想的ですが、現実には人員・時間・業務影響の制約があり、全件即対応は困難です。このとき重要になるのが、どれから対応するか、という優先順位の判断です。優先順位を誤ると、次のような事態が起こりがちです。

実際に攻撃されやすい脆弱性を後回しにしてしまう
影響の小さいものに工数を取られ、本当に危険な対応が遅れる
パッチ適用による業務影響ばかりが増える

脆弱性対応は数をこなす作業ではありません。限られたリソースでリスクを下げるための“判断”が重要なのです。

なぜ脆弱性対応の判断はここまで難しいのか

脆弱性対応の判断が難しい理由は、単に技術的な問題だけではありません。多くの企業では、脆弱性情報の量が増え続ける一方で、対応に使える時間や人員は限られています。さらに、セキュリティ担当者は「万が一事故が起きたら責任を問われる」という心理的プレッシャーを受けやすく、結果として“安全側に倒しすぎる判断”をしてしまうことも少なくありません。その結果、本来は様子見でよい脆弱性に工数を割き、本当に危険なものへの対応が後回しになるケースもみられます。

脆弱性対応でよくある判断ミス

実務の現場では、次のような判断ミスがよく見られます。

CVEが公開された＝すぐ全環境に適用する
CVSSスコアが高い＝最優先と決めつける
影響範囲を確認せずにパッチを適用して障害を起こす
「忙しいから後で対応」が常態化する

これらは一見、真面目な対応にみえますが、実際にはリスク低減につながっていないケースも少なくありません。大切なのは、ルールどおり動くことではなく、自社にとって本当に危険なものは何かを見極めることです。

脆弱性対応で実際に起きがちな判断ミスの例

実際の現場では、次のような判断ミスがよく見られます。例えば、「CVSSスコアが高い」という理由だけで、業務時間中に十分な検証を行わずパッチを適用し、結果として業務システムが停止してしまうケースです。この場合、セキュリティ事故は防げたとしても、別の重大な業務影響を引き起こしてしまいます。一方で、「内部システムだから安全」と判断し、外部から到達可能な経路を見落としたまま脆弱性を放置し、後から攻撃を受けるケースもあります。これらに共通するのは、脆弱性そのものではなく「判断プロセス」に問題がある点です。

脆弱性対応の優先順位を決める基本的な考え方

技術的深刻度だけでは判断できない

脆弱性情報をみると、まず目に入るのがCVSS(Common Vulnerability Scoring System)ベーススコアです。しかし、CVSSはあくまで技術的な深刻度を数値化した指標であり、そのまま自社のリスクを表すものではありません。同じCVSSスコアでも、「インターネットから誰でもアクセスできるシステム」や「内部ネットワークでしか使われていないシステム」では、実際のリスクは大きく異なります。CVSSは判断材料の一つであり、絶対的な基準ではない、という前提を押さえることが重要です。

優先順位は「攻撃されやすさ × 影響度」で考える

優先順位を決める際は、次の2点を掛け合わせて考えることが重要です。

攻撃されやすさ

外部公開されているか
認証が必要か
実際に攻撃コード（Poc（Proof of Concept）：概念実証）が出回っているか

影響度

業務停止の影響はどれくらいか
顧客や取引先への影響はあるか
情報漏洩につながる可能性はあるか

この視点を持つことで、実際に危険な脆弱性がみえてきます。

企業が確認すべき4つの判断基準（チェックリスト）

実務では、次の4点をチェックリストとして活用すると対応の優先順位はかなり整理されるでしょう。

インターネットから到達可能か
外部公開されている場合、攻撃リスクは一気に高まります
実際に利用されている機能か
使われていない機能の脆弱性は、リスクが低い場合があります
既に攻撃事例・PoCが存在するか
実証コードや攻撃事例が出ているものは、優先度が高まります
代替策（回避策・設定変更）があるか
一時的に無効化・制限できる場合、緊急度を下げられることがあります

これらを整理することで、「今すぐ対応すべきか」「計画的に対応すべきか」を判断できます。

CVSSスコアはどう使うべきか

CVSSスコアは脆弱性対応の参考になりますが、スコアだけで優先順位を決めるべきではありません。ベーススコアは共通指標であり、個々の環境を考慮していないためです。重要なのは、自社環境に合わせてリスクを評価することです。CVSSは「判断材料の一つ」として使い、実際の利用状況と組み合わせて評価する必要があります。

CVSSを具体的にどのように読み取り、優先順位判断に活かすべきかについては、以下の記事で詳しく解説しています。
「CVSSスコアの正しい使い方―脆弱性対応の判断にどう活かすべきか」

緊急対応が必要なケース／様子見でよいケース

緊急パッチ対応が必要なケース

外部公開されており、認証なしで悪用可能
すでに攻撃が観測されている
ンサムウェアなど深刻な被害につながる可能性が高い

様子見が許容されるケース

内部システム限定で利用されている
使用されていない機能に関する脆弱性
一時的な回避策でリスクを抑えられる

特に悩みやすいのが、緊急パッチをどこまで適用すべきか、という点です。業務影響とのバランスをどう考えるかについては、以下の記事で詳しく整理しています。
「緊急パッチはどこまで適用すべきか―業務影響を抑える判断基準」

脆弱性対応の判断を属人化させないために

脆弱性対応の判断は、特定の担当者の経験や勘に依存しがちです。しかしこの状態が続くと、担当者の不在時に判断が止まったり、対応方針がぶれたりする原因になります。判断を属人化させないためには、今回紹介したような判断基準を文書化し、関係者間で共有することが重要です。また、定期的に判断結果を振り返り、なぜこの対応を選んだのかを言語化することも判断精度の向上につながります。セキュリティはツールだけでなく、判断プロセスそのものを整備することが重要です。

脆弱性対応を継続的に回すための運用ポイント

脆弱性対応は一度きりではなく、継続的な運用が重要です。情報収集、資産管理、定期的な棚卸しを仕組み化し、属人化を防ぐことで、判断の精度とスピードが向上します。

自社判断が難しい場合の考え方

次のようなケースでは、判断が難しくなりがちです。

システム構成が複雑
業務影響の見積もりができない
攻撃リスクと業務影響のバランスに迷う

このような場合、第三者の視点で整理することが有効です。定期的なセキュリティ診断の実施や評価を受けることは、自社のリスクをすべて解消するため、ではなく、判断材料を増やすためのものと考えるとよいでしょう。

まとめ―脆弱性対応で迷ったときの判断フロー

脆弱性対応では、すべてを今すぐ直す必要はありません。重要なのは、「どれが自社にとって本当に危険か」を見極めることです。

技術情報だけで判断しない
攻撃されやすさと影響度を確認する
判断に迷ったらチェックリストに立ち返る

この考え方を持つことで、脆弱性対応はより現実的で効果的なものになります。

「CVSSスコアの正しい使い方―脆弱性対応の判断にどう活かすべきか」へ続く

【関連記事】

「脆弱性診断は受けたけれど～脆弱性管理入門」CVSSとSSVC
「脆弱性評価の新しい指標、LEV」

サイバーインシデント緊急対応

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2026年1月8日2026年1月26日

サイバー攻撃被害コストの真実―ランサムウェア被害は平均2億円？サイバー攻撃のリスク評価で“事業停止損害”を可視化

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバー攻撃による被害は、もはや一部の大企業だけの問題ではありません。ランサムウェア被害を中心に、日本企業が被るサイバー攻撃の被害コストは平均で2億円規模に達しています。復旧費用や身代金だけでなく、業務停止による機会損失、信用低下、取引停止など、被害は連鎖的に拡大します。本記事では、最新データと事例をもとに、企業経営に直結するサイバー攻撃の被害コストの実態を整理し、なぜ今リスク評価が欠かせないのかを解説します。

サイバー攻撃は「ITトラブル」ではなく財務リスク

現在私たちを取り巻くビジネス環境において、「サイバー攻撃」という言葉の響きは劇的に変化しました。かつて、それはIT部門のサーバールームの中だけで処理される技術的なトラブルであり、ファイアウォールやウイルス対策ソフトを導入していれば済む「対岸の火事」でした。しかし、デジタルトランスフォーメーション（DX）が企業の隅々まで浸透した今、その認識は致命的な時代錯誤と言わざるを得ません。サイバー攻撃は、もはやシステムのエラーではなく、明日の決算書を赤字に転落させ、積み上げてきたブランドを一瞬で崩壊させる、極めて現実的な「財務リスク」へと変貌を遂げたのです。

多くの経営者が「セキュリティ対策はコストだ」と嘆きます。確かに、何も起きなければ利益を生まない投資に見えるかもしれません。しかし、ひとたびセキュリティインシデントが発生した際に企業が支払うことになるコストの総額は、事前対策費の数十倍、場合によっては数百倍に膨れ上がるのが現実です。本記事では、感情的な脅威論ではなく、最新の統計データと実際の事例に基づいた数字を用いて、企業が直面しているリスクの正体を解き明かしていきます。なぜ、セキュリティベンダーやコンサルタントが口を酸っぱくしてサイバー攻撃対策とリスク評価の重要性を説くのか。その答えは、これから提示する衝撃的な金額の中にあります。

ランサムウェア被害額の現実：平均2億2千万円

まず、私たちが直視しなければならないのは、具体的な金銭的被害の規模です。セキュリティベンダー大手のトレンドマイクロ社が2024年末に公表した調査データ*2によると、過去3年間において日本国内の組織が経験したサイバー攻撃による累積被害額は、平均で約1億7千万円に達しています。これだけでも中小企業の年間利益を吹き飛ばすには十分な金額ですが、さらに深刻なのは、データを暗号化し身代金を要求するランサムウェアによる被害に限定した場合です。この場合、被害総額の平均は約2億2千万円にまで跳ね上がります。

この2億円という数字を聞いて、多くの経営者は耳を疑うかもしれません。「たかがウイルスの除去に、なぜビルが建つほどの金がかかるのか」と。しかし、ここには大きな誤解があります。サイバー攻撃における被害とコストの構造は、氷山のようなものです。海面にみえている身代金の支払いやシステムの初期復旧費用は、全体の一部に過ぎません。水面下には、より巨大で複雑なコストが潜んでいます。

例えば、攻撃の侵入経路や被害範囲を特定するためのデジタルフォレンジック調査費用です。高度な専門知識を持つスペシャリストを数週間拘束するこの調査だけで、多額の請求書が届くことはめずらしくありません。さらに、個人情報が漏洩した場合の対応コストも莫大です。顧客への詫び状の発送、専用コールセンターの設置、見舞金の支払い、そして法的責任を問われた際の弁護士費用や損害賠償金―これらが積み重なった結果が、2億円という冷酷な数字なのです。

2億円という金額は、多くの中堅・中小企業にとって、単なる特別損失として処理できる範囲を遥かに超えており、場合によっては事業継続そのものを断念せざるを得ない致命傷となり得ます。「うちは盗まれて困るような重要データはないから大丈夫だ」と語る経営者にも、警鐘を鳴らさなければなりません。近年の攻撃者が狙っているのは、情報の機密性（データの価値）だけではありません。彼らのビジネスモデルは、業務の可用性（システムが動いていること）を人質に取ることにシフトしています。あなたの会社のデータに市場価値がなくても、そのデータが使えなくなることで業務が止まり、あなたが困るなら、そこには「身代金を払う動機」が生まれます。つまり、事業活動を行っているすべての組織が、例外なく標的とされているのです。

こうした被害は、運任せで発生するものではありません。多くの場合、事前のリスク評価によって発生確率や影響度を見積もり、優先的に対策すべきポイントを絞り込むことが可能です。
「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

最大の盲点は業務停止損害（機会損失）

被害コストを算出する際、我々はつい、財布から出ていく現金（キャッシュアウト）だけに目を奪われがちです。しかし、真に恐ろしいのは機会損失という形で見えないコストが積み上がっていく業務停止損害です。

前述したトレンドマイクロ社による2024年の調査データによれば、ランサムウェア攻撃を受けた際の平均的な業務停止期間は、約10.2日にも及ぶことが明らかになっています。10日間、会社の機能が完全に停止する状況を具体的に想像してみましょう。まず、受発注システムが画面にロック画面を表示したまま動かなくなります。倉庫の在庫データにはアクセスできず、どの商品をどこへ出荷すべきかわからなくなります。メールサーバーもダウンし、取引先との連絡手段は個人の携帯電話だけになります。製造ラインの制御システムが感染していれば、工場の稼働音は止まり、静寂が支配することになるでしょう。この10日間の空白が生み出すサイバー攻撃の被害とコストは計り知れません。本来得られるはずだった売上高が消滅するだけではありません。納期遅延によって取引先からの信頼を失い、契約解除や損害賠償請求を受けるリスクも発生します。

さらに、腐敗しやすい商品を扱う食品業界や、ジャストインタイムで部品を供給する製造業界においては、たった数日の停止がサプライチェーン全体を麻痺させ、億単位のペナルティに発展することさえあります。実際に、九州地方の地域密着型スーパーマーケットチェーンでは、システム障害により全店舗が数日間にわたって臨時休業に追い込まれる事態が発生しました。新鮮な食材を求める地域住民の期待を裏切り、廃棄処分となる商品の山を築いてしまったこの事例は、サイバー攻撃が単なるデジタル空間の出来事ではなく、物理的な生活インフラを破壊する脅威であることを如実に物語っています。

また、復旧後も影響は長く尾を引きます。「あの会社はセキュリティが甘い」という評判は、SNS時代においては瞬く間に拡散し、デジタルタトゥーとして残り続けます。新規顧客の獲得コストは高騰し、既存顧客の離脱を食い止めるためのマーケティング費用も嵩みます。上場企業であれば、インシデント公表直後の株価下落による時価総額の毀損も、広義の被害コストに含まれるでしょう。このように、業務停止が引き起こす連鎖的な損害は、表面的な復旧費用の数倍、時には数十倍に膨れ上がるのです。

「中小企業は関係ない」という神話の崩壊とサプライチェーンリスク

「サイバー攻撃は大企業が狙われるもので、我々のような中小企業は関係ない。」―2025年において、この認識は完全に誤った神話であり、極めて危険なバイアスであると断言できます。警察庁が公表する「サイバー空間をめぐる脅威の情勢等」によれば、ランサムウェア被害の報告件数のうち、実に約6割が中小企業で占められているのが実情です。なぜ、資金力のある大企業ではなく、中小企業が狙われるのでしょうか。そこには、攻撃者側の明確な戦略的合理性が存在します。

第一の理由は、サプライチェーン攻撃の踏み台としての利用です。セキュリティ予算が潤沢で、強固な防御壁を築いている大企業を正面から突破するのは、攻撃者にとっても骨の折れる作業です。そこで彼らは、大企業の取引先でありながら、セキュリティ対策が比較的脆弱な中小企業に狙いを定めます。まず中小企業のネットワークに侵入し、そこから正規の取引メールを装ってマルウェアを送りつけたり、VPN（仮想専用線）接続を通じて大企業の本丸へ横移動したりするのです。もしあなたの会社が踏み台にされ、取引先の大企業に被害を与えてしまった場合、その損害賠償請求額は自社の存続を揺るがす規模になるでしょう。そして何より、長年築き上げてきたビジネスパートナーとしての信用は地に落ち、取引停止という最悪の結末を招きかねません。

第二の理由は、攻撃の自動化と無差別化です。攻撃者はAIを駆使したツールを用いて、インターネット上の脆弱なサーバーを24時間365日、休むことなくスキャンし続けています。そこに大企業か中小企業か、という選別はありません。カギの開いているドアがあれば、誰の家であろうと入ってくる空き巣と同じです。セキュリティパッチ（修正プログラム）の適用が遅れているVPN機器や、パスワード設定が甘いリモートデスクトップ機能などは、格好の餌食となります。

“数打ちゃ当たる”戦法で無差別にばら撒かれたウイルスに感染し、暗号化されたデータを人質に取られてしまう。―中小企業における平均被害額も数千万円規模に達することがありますが、資金的体力の乏しい企業にとって、このサイバー攻撃の被害とコストのインパクトは大企業以上に甚大です。さらに、中小企業では「ひとり情シス」や「兼任担当者」が一般的で、セキュリティの専門家が不在であるケースが大半です。日々の業務に追われ、サイバー攻撃リスク評価を行う余裕もないまま放置されたシステムは、攻撃者にとって宝の山に見えていることでしょう。攻撃者は、あなたが「自分は狙われない」と思っているその隙を、虎視眈々と狙っているのです。

数値化しづらい“人的コスト”が復旧を遅らせる

金銭的なコストや信用の失墜に加え、もう一つ忘れてはならないのが、現場で対応にあたる従業員の疲弊という「人的コスト」です。インシデントが発生した瞬間から、IT担当者や経営幹部は不眠不休の対応を強いられます。原因究明、システム復旧、関係各所への連絡、殺到する問い合わせ対応。極度のプレッシャーの中で行われる意思決定の連続は、担当者のメンタルヘルスを確実に蝕んでいきます。

さらに、事態が収束した後も現場には深い爪痕が残ります。「自分のせいで会社に損害を与えてしまった」という自責の念から、優秀なエンジニアが退職してしまうケースも後を絶ちません。また、再発防止策として導入される厳格すぎるセキュリティルールが、日々の業務効率を低下させ、従業員のモチベーションを下げる要因となることもあります。このように、サイバー攻撃は組織の「人」という資産をも毀損し、長期的な成長力を奪っていくのです。これもまた、決算書には表れない重大なサイバー攻撃の被害とコストの一部と言えるでしょう。

サイバー攻撃リスク評価で何を可視化するのか

ここまで述べてきたように、サイバー攻撃による被害は、もはや運が悪かったで済ませられる事故ではなく、現代のビジネスを行う上で避けては通れない発生しうる経営コストとして、あらかじめ計算に含めておくべき確定的なリスクです。平均2億2千万円という衝撃的な被害額は、適切なセキュリティ投資を怠った場合に市場から請求される高すぎる授業料と言い換えることもできるでしょう。

では、この破滅的なコストを回避し、持続可能な経営を行うためにはどうすればよいのでしょうか。その唯一の解は、漠然とした不安を具体的なアクションに変えることにあります。すなわち、自社のどこに弱点があり、どのような脅威に晒されているのかを客観的に可視化するリスク評価の実施です。「敵を知り、己を知る」。孫子の兵法にも通じるこのアプローチこそが、限られた予算で最大の防御効果を生み出すための出発点となります。

サイバー攻撃による被害コストは決して偶発的なものではなく、事前に把握・管理できるリスクでもあります。では、こうした被害を未然に防ぐために、企業はどこから手を付けるべきなのでしょうか。次の記事では、サイバー攻撃リスク評価の考え方と具体的な進め方について、実務視点で詳しく解説します。
「サイバー攻撃リスク評価の進め方：見えない脅威を可視化するプロセスと実践」

【参考情報】

Hornetsecurity,プレスリリース（2025.11.20）「マルウェア攻撃が前年比131％増加 Hornetsecurityの2025年版年次調査で明らかに」（https://www.hornetsecurity.com/ja/blog/cybersecurity-report-2026-press-release/）

サイバーインシデント緊急対応

限定キャンペーン実施中！

Security NEWS TOPに戻る
バックナンバー TOPに戻る

2025年12月24日2025年12月24日

【注意喚起】「業務上の理由で…」そのメール、本当に上司ですか？―年末年始を狙うLINE誘導型ソーシャルエンジニアリングの実態

Security NEWS TOPに戻る
バックナンバー TOPに戻る

慌ただしい年末、皆様が突然上司から業務上の理由で…―というメールが来たらどうしますか？今回は年末のこの忙しい時期を狙った、詐欺と思われるメールについての注意喚起です。

【注意喚起】「業務上の理由で…」そのメール、本当に上司ですか？―年末年始を狙うLINE誘導型ソーシャルエンジニアリングの実態アイキャッチ画像

年末に増加する「上司なりすましメール」とは

企業のとある社員にこんなメール（下図参照）が届きました。

実はこのメールは、社員が受信する前日にIPAから注意喚起が出されていた事例と、内容が全く同じものでした。

参考情報：独立行政法人情報処理推進機構（IPA）Xアカウント（情報セキュリティ安心相談窓口）の投稿（2025年12月22日付）（https://x.com/IPA_anshin/status/2002941037422203120）

実在する社員名・社名を使った信頼性の偽装

本メールでは実際に存在する弊社の社員名をかたっているほか、弊社の社名も記載されています。しかし、送信元のメールアドレスはフリーメールで、メールヘッダでたどれる限りでは日本国内から送信されていることがわかりました。なお、ここで表示されている会社名はいわゆるFromヘッダのところに付加する表示名となっています。これはソーシャルエンジニアリングでよく使われる手法で、正規の社名や実在する人物名を使い、受信者の信頼感を高める狙いがあると考えられます。しかし、よく表示を見ると明らかにメールアドレスがフリーメールのものなのでおかしい？と気づく可能性は高いです。

ソーシャルエンジニアリングの手口について詳しく知りたい方はこちらの記事もぜひあわせてご覧ください。

またSNSなどの情報によると、このような形式のメールが2025年12月に入ってから急増しているといいます。年末の繁忙期、また年末年始休暇で会社から切り離される時期を狙って送信されているものと考えられます。

企業がサポートしていないコミュニケーションツールの危険性

さらに今回の攻撃におけるソーシャルエンジニアリングのポイントは、メールから舞台をLINEに移していることにあります。多くの企業ではLINEを業務ツールとして採用していません。もし採用している企業があったとしてもLINE Worksの方を利用していることが多いと思われます。また、小売業などでアルバイト従業員との連絡ツールとしてLINEを利用している場合でも、企業ごとに利用ガイドラインを作成しており、ガイドラインに従って運用されていることでしょう。つまり、IT部門やセキュリティ部門からするとサポート外の全く見えないところが今回のLINEのグループとなります。

年末年始休暇を控え、社員が社内システムや公式コミュニケーションツールに触れない期間が発生します。その直前にこのようなメールで、会社がサポートしていないコミュニケーションプラットフォームへ誘導されることで、被害の発覚が遅れ、詐欺が遂行されるリスクが高まる点にも注意が必要です。今回のフィッシングメールは、おそらくLINEに誘導した後に何らかの詐欺などのスキームに巻き込むことを想定したフィッシングメールではないかと推測されます。

LINEを悪用した詐欺は若年層もターゲットに

LINEを悪用した特殊詐欺はご高齢の方だけではなく昨今は若年層もターゲットとなっています。LINE側でも対策は行っていますが、アプリ側の判定基準自体が過去の事例によるもので、後追いになっている可能性も否めません。

参考情報：

MSN 東海テレビ「20代の特殊詐欺被害者「お年寄りがターゲットだと…」80万円はこうして騙し取られた若者も狙われる実態」
産経新聞（2025年12月5日付）「LINE、警官かたる詐欺に警告　音声やビデオ通話画面、アプリ側が判定　水際で被害抑止 – 産経ニュース」

まとめ：年末こそ“いつもと違う連絡”に要注意！

今後は、所属している会社側から推奨されているコミュニケーションプラットフォームのみ利用し、それ以外のプラットフォームは利用しないことを徹底することをおすすめいたします。また、今回のフィッシングメールに関しては、日常的にもSNSからLINE、メールからLINEへの誘導で詐欺が行われている事例があることから、場面の切り替えが行われる場合は十分に警戒し、信頼できる家族や知人に相談するのが良いでしょう。

本年もSQAT.jpをご愛読くださいましてありがとうございました。2026年も引き続き皆様の役に立つセキュリティの話題をお届けしてまいります。今後ともご愛顧のほどよろしくお願いいたします。

サイバーインシデント緊急対応

限定キャンペーン実施中！

Security NEWS TOPに戻る
バックナンバー TOPに戻る