タグ: 脆弱性

投稿日:

CVSSスコアの正しい使い方 ―脆弱性対応の判断にどう活かすべきか―

Share
CVSSスコアの正しい使い方 ―脆弱性対応の判断にどう活かすべきか―アイキャッチ画像

脆弱性対応を検討する際、多くの担当者が参考にする指標が CVSSスコアです。しかし、CVSSは正しく理解して使わなければ、かえって判断ミスを招いてしまう原因になります。本記事では、CVSSスコアの基本的な考え方と、企業の脆弱性対応判断にどう活かすべきかを整理します。

CVSSスコアとは何か

CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を数値で表すための共通指標です。多くの場合、0.0〜10.0のスコアで示され、数値が高いほど深刻とされます。

【深刻度（例）】

  • 低（Low）
  • 中（Medium）
  • 高（High）
  • 緊急（Critical）

重要なのは、CVSSは「脆弱性そのものの性質」を評価する指標であり、個々の企業環境を前提としていないという点です。本来の目的は、脆弱性の危険度を関係者間で共通認識として共有することにあります。

CVSSスコアが「分かりやすいが危険」な理由

CVSSは便利な指標ですが、これだけで対応の優先順位を決めるのは危険です。なぜならCVSSは自社環境を前提にしておらず、その脆弱性が実際に攻撃されるかどうかを保証していないためです。同じCVSSスコアでも、「インターネットから誰でもアクセスできるWebサービス」と「内部ネットワークでしか使われていない管理系システム」では、実際のリスクは大きく異なります。CVSSは「脆弱性そのものの性質」を示すものであり、「自社にとっての危険度」そのものではないことを理解しておく必要があります。

CVSSを構成する3つの要素

CVSSは主に次の3要素で構成されています。

  1. ベーススコア
    脆弱性が持つ本質的な深刻度を表します。多くの脆弱性情報で表示されるのがこのスコアです。
  2. Temporalスコア
    攻撃コード（PoC）の公開状況や対策情報の有無など、時間とともに変化する要素を反映します。
  3. Environmentalスコア
    実際の利用環境や影響度を考慮したスコアです。企業の判断に最も近いのはこの要素ですが、実際には十分に使われていないことが多いのが実情です。

CVSSスコアだけで判断してはいけない理由

CVSSスコアが高くても、必ずしも「今すぐ対応すべき」とは限りません。例えば、内部ネットワーク限定で利用されている、認証が必須で、悪用難易度が高い、該当機能が実際には使われていない、などの場合、実際のリスクは限定的です。逆に、CVSSスコアが中程度でも、「インターネットから直接アクセス可能」「既に攻撃事例が出ている」「業務停止に直結する」といったケースでは、優先度は高くなります。

脆弱性対応判断におけるCVSSの正しい位置づけ

CVSSスコアは、次のように使うのが現実的です。

候補の洗い出し：スコアが高い脆弱性を把握する
自社環境への当てはめ：実際の優先順位は「利用状況 × 公開範囲 × 業務影響」で決める
対応方法の検討：即時対応か、回避策か、計画対応かを判断

CVSSが高い脆弱性は、「詳細に確認すべき候補」として扱うのが適切です。

CVSSスコアを見るときのチェックポイント

実務では、CVSSスコアに加えて以下を確認します。これらを組み合わせることで、「今すぐ対応すべきか」「計画対応でよいか」の判断材料が見えてきます。

  • 攻撃条件は現実的か（認証不要／公開範囲）
  • 攻撃コード（PoC）は出回っているか
  • 悪用された場合の影響はどこまで及ぶか
  • 一時的な回避策でリスクを下げられるか

CVSSとあわせて確認すべき情報

CVSSだけでなく、次の情報もあわせて確認することが重要です。

  • 実際の攻撃事例や観測情報
  • ベンダーのアドバイザリ内容
  • 自社システム構成・利用実態
  • 業務影響や復旧にかかるコスト

これらを総合的に見ることで、自社にとっての“本当の優先度”が見えてきます。

本記事は、脆弱性対応全体の考え方を整理した
「脆弱性対応の優先順位と判断基準｜すべてを今すぐ直す必要はあるのか？」
の中で、CVSSという判断材料を深掘りした位置づけです。 CVSSはあくまで道具の一つであり、最終判断は全体像を踏まえて行う必要があります。

まとめ：CVSSは「判断を助ける指標」として使う

CVSSスコアは非常に便利ですが、万能ではありません。「CVSSは優先順位判断の補助として使い、スコアだけで判断を出さない」「自社環境を考慮する」「攻撃されやすさ × 影響度」で判断する」―この考え方を持つことで、脆弱性対応の精度は大きく向上します。

脆弱性対応全体の判断基準については、
「脆弱性対応の優先順位と判断基準―限られたリソースでリスクを下げる考え方」 の記事で詳しく解説しています。

次の記事は…
「緊急パッチ適用の判断基準 ―業務影響を抑えるにはどうすべきか―」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

資料ダウンロードボタン

年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。

お問い合わせボタン

サービスに関する疑問や質問はこちらからお気軽にお問合せください。

Security Serviceへのリンクバナー画像
BBSecコーポレートサイトへのリンクバナー画像
セキュリティ緊急対応のバナー画像
ウェビナーアーカイブ動画ページバナー画像
投稿日:

【速報版】情報セキュリティ10大脅威 2026 -脅威と対策を解説-

Share
【速報版】情報セキュリティ10大脅威 2026 -脅威と対策を解説-アイキャッチ画像

2026年1月29日、独立行政法人情報処理推進機構（IPA）は「情報セキュリティ10大脅威 2026」（組織編）を公表しました。各脅威が自身や自組織にどう影響するかを確認することで、様々な脅威と対策を網羅的に把握できます。多岐にわたる脅威に対しての対策については基本的なセキュリティの考え方が重要です。本記事では、脅威の項目別に攻撃手口や対策例をまとめ、最後に組織がセキュリティ対策へ取り組むための考え方について解説します。

「情報セキュリティ10大脅威 2025」の解説はこちら。ぜひあわせてご覧ください。
「【速報版】情報セキュリティ10大脅威 2025 -脅威と対策を解説-」

情報セキュリティ10大脅威 2026概要

出典：独立行政法人情報処理推進機構（IPA）
「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/pressrelease/2025/press20260129.html）（2026年1月29日）組織向け脅威

独立行政法人情報処理推進機構（IPA）は「情報セキュリティ10大脅威 2026」を発表しました。「組織」向けの脅威では、1位に「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」が前年と同じ順位を維持。3位には「AIの利用をめぐるサイバーリスク」が初選出にして上位にランクインし、AIの利活用におけるリスクが無視できないものであることを示しています。また、6位の「地政学的リスクに起因するサイバー攻撃」には「情報戦を含む」と追記され、偽情報などの影響工作も含む脅威と明示化されました。昨年では10位にランクインしていた「不注意による情報漏えい等」が圏外となりました。

2025年度版との比較

昨年との比較でまず注目したいのは、「AIの利用におけるサイバーリスク」が初選出にして3位という上位にランクインしたことです。生成AI（LLM：大規模言語モデル）の急速な普及に伴い、「AIを利用した際の情報漏えいや権利侵害」、「AIが生成した誤情報を鵜呑みにすることで生じる問題」、そして「AIの悪用におけるサイバー攻撃の容易化・高度化」と多岐にわたるリスクが現実的な脅威となっています。

新規項目のランクインに伴い、「不注意による情報漏えい等」が圏外となりましたが、不注意による情報漏えいは引き続き発生しており、対策が必要な脅威です。その他の項目については大きな変化はなく、「ランサム攻撃による被害」と「サプライチェーンや委託先を狙った攻撃」は、例年通り不動の1位2位となっています。

日本の大手企業も被害にあった「ランサム攻撃による被害」「サプライチェーンや委託先を狙った攻撃」

2025年版に続き、「ランサムウェアによる被害」と「サプライチェーンの弱点を悪用した攻撃」が1位・2位を占めました。これは2023年以降4年連続となっており、情報処理推進機構（IPA）によると、2025年もランサムウェア被害が多発し、取引先を含むサプライチェーン全体へ深刻な影響が及んだ事実が、この順位の不動ぶりを表しているとのことです。

ランサムウェア攻撃は、データを暗号化して復旧と引き換えに身代金を要求する手口に加え、窃取情報の公開をちらつかせる「二重脅迫」が主流です。2025年の象徴的な事例として、アサヒグループホールディングスへのランサムウェア攻撃がありました。これにより、受注・出荷システムに障害が発生し、一部商品の品薄など消費者にも影響が波及しました。また国内飲料事業では、昨年10月の暫定売上が前年同月比で約6割に落ち込むなど、事業面に大きな爪痕を残しています。*1

アサヒグループホールディングスへのランサムウェア攻撃をはじめとした、国内のランサムウェア被害の事例については、以下の記事でも解説しています。ぜひあわせてご覧ください。
・【速報】アサヒグループホールディングス社長会見、犯行は「Qilin」―サイバー攻撃の全貌とセキュリティの盲点（https://www.sqat.jp/kawaraban/40295/）
・アサヒグループを襲ったランサムウェア攻撃（https://www.sqat.jp/kawaraban/39292/）
・アサヒグループも被害に ―製造業を揺るがすランサムウェア攻撃（https://www.sqat.jp/kawaraban/39672/）
・【2025年最新】日本国内で急増するランサムウェア被害-無印良品・アスクル・アサヒグループの企業の被害事例まとめ-（https://www.sqat.jp/kawaraban/39635/）

ランサムウェア攻撃は有名企業に限らず、体制が手薄な中小企業も広く標的とします。ひとたびシステムが完全に暗号化されると、復旧には多大な時間とコストを要します。そのため、侵入を防ぐ観点では、外部公開されたVPN機器等の棚卸しによる不要な経路の閉鎖、必要な経路への多要素認証の徹底、そして機器の脆弱性管理を継続することが重要です。あわせて、侵入されても業務を止めないために、ネットワークから切り離したバックアップの確保や復元訓練、ログ監視、初動手順の整備を行い、平時から「短期間で業務を戻せる設計」を作っておくことが求められます。

一方、サプライチェーン攻撃は、標的企業への直接侵入が難しい場合に、セキュリティ対策が手薄な取引先や委託先を足がかりに侵入する点が特徴です。多くの企業がクラウドサービスや外部ベンダーに依存する現在、攻撃者はその隙を狙っています。2025年の事例として、アスクル株式会社のシステムへのランサムウェア攻撃がありました。例外的に多要素認証を適用していなかった業務委託先の管理者アカウントが侵入経路になったとされています。*2 その結果、出荷業務の停止に追い込まれ、約52億円を特別損失に計上する事態へと発展しました。*3

サプライチェーン攻撃は自社の努力だけでは防ぎきれず、委託先を含む全体での統制が必要です。契約時にセキュリティ要件を明確にし、例外運用を恒常化させない仕組み作りが不可欠です。加えて、ゼロトラストアーキテクチャを採用し、すべてのアクセスを検証する仕組みを構築することも有効な対策となります。

急速な普及と共に顕在化している「AIの利用をめぐるサイバーリスク」

「情報セキュリティ10大脅威 2026」では、新たに「AIの利用をめぐるサイバーリスク」が3位にランクインしました。ここでのリスクとは、AIへの理解不足に起因する情報漏えいや権利侵害、誤情報の鵜呑みによる判断ミス、さらにAI悪用によるサイバー攻撃の容易化・巧妙化など多岐にわたります。例えば、英国企業ArupではAI技術（ディープフェイク）で生成された偽のCFOや従業員とのビデオ会議により、2,500万ドルの詐欺被害に遭ったと発表されました。「映像や音声で会話ができるなら本人に間違いない」という心理的な隙を突いた攻撃手法です。*4また、「KawaiiGPT」のような攻撃用にカスタマイズされた悪性AIの登場により、経験の浅い攻撃者でも、従来は数時間〜数日かかっていた攻撃サイクルをわずか数分で実行できる環境が整備されつつあります。また、「KawaiiGPT」のような攻撃用にカスタマイズされた悪性AIの登場により、経験の浅い攻撃者でも、従来は数時間〜数日かかっていた攻撃サイクルをわずか数分で実行できる環境が整備されつつあります。*5

攻撃を受けるリスクだけでなく、AIの「利用者側」のリスクも無視できません。米国企業Teslaは、発表イベントで使用したAI生成画像が既存映画の場面に酷似しているとして、制作会社から提訴されました。*6自社生成した画像であっても、意図せず既存作品に似てしまい法的リスクを招く一例です。また、生成AIが捏造した判例や引用を、弁護士が検証不足のまま提出して懲戒処分などに発展した事例も複数報じられています。*7これは法務だけの問題ではなく、AIによる「もっともらしい誤情報」が人の判断ミスを誘発するという重要な示唆を含んでいます。基本的なセキュリティ対策の徹底はもちろんですが、不十分な理解のままAIを利用するリスクを認識し、教育を通じてAIリテラシーを強化することも重要となっています。

情報戦への拡大「地政学的リスクに起因するサイバー攻撃（情報戦を含む）」

「地政学的リスクに起因するサイバー攻撃」とは、国際情勢の緊張や対立が、直接的にサイバー空間の脅威へと波及するリスクを指します。今回、項目名に「情報戦を含む」と明示されたように、国家が支援するサイバー攻撃は、システムの破壊や金銭の窃取に留まりません。偽情報の流布や情報操作を通じて、選挙への介入や社会の混乱を狙うケースが増加しています。英国では、現職議員が「離党を宣言する」かのようなAI生成の偽動画（ディープフェイク）が拡散され、本人が警察に通報する事態が報じられました。*8これは、AIによって「本物に見える偽情報」の作成コストが劇的に低下し、政治家を標的とした情報工作が、選挙制度や民主主義にとって深刻な脅威となりつつあることを示しています。

このように、地政学的リスクに伴うサイバー攻撃において、情報戦や影響工作のリスクが今後も高まると予測されることが、今回あえて「情報戦を含む」と明記された背景にあると考えられます。

その他の脅威

ここからは、これまでに述べた4つ以外の脅威について説明します。

4位「システムの脆弱性を悪用した攻撃」

ソフトウェアやシステムの脆弱性が発見されると、攻撃者は修正プログラムが提供される前に攻撃を仕掛ける「ゼロデイ攻撃」を行うことがあります。また、修正プログラム公開後であっても、適用の遅れている企業や組織を狙い、既知の脆弱性を悪用するケースも後を絶ちません。2025年に報告されたNext.jsの脆弱性「React2Shell」の事例（※ページ下部に参考情報記載）では、公表からわずか二日後に実際の攻撃が確認され、一週間以内に観測された攻撃試行回数は約140万回にも及んだとされています。*9このように攻撃者は脆弱性公開から直ちに悪用を開始するため、最新情報を常に追跡し、迅速に対応することが求められます。

対策： 最新のセキュリティパッチを迅速に適用することが不可欠です。また、どこにどのソフトウェアが使われているかを把握するため、SBOM（ソフトウェア部品表）の導入など、脆弱性管理体制の強化が有効です。

5位「機密情報を狙った標的型攻撃」

標的型攻撃とは、明確な意思と目的を持った攻撃者が、特定の企業・組織・業界を狙い撃ちにするサイバー攻撃です。不特定多数への無差別な攻撃とは異なり、機密情報の窃取やシステムの破壊・停止といったゴールを定め、執拗に実行される点が特徴です。攻撃は長期間継続することが多く、ターゲットのネットワーク内部に数年間にわたり潜伏して活動する事例も確認されています。

対策： 従業員への標的型攻撃メール訓練、メールセキュリティの強化、多要素認証の実施などが基本的です。加えて、侵入を前提とした「ゼロトラストモデル」の導入やネットワーク監視、アプリケーション許可リストの活用により、侵入の防止だけでなく早期発見と対処を可能にする体制づくりが有効です。

7位「内部不正による情報漏えい等」

組織の従業員や元従業員など、内部関係者による機密情報の持ち出しや削除といった不正行為を指します。これには、組織への不満や金銭目的による「悪意ある犯行」だけでなく、ルールに違反して持ち出したデータの紛失・誤操作といった、第三者への漏えいにつながる「過失」も含まれます。発生すれば、社会的信用の失墜、損害賠償、顧客離れや取引停止に加え、技術情報の流出による競争力低下など、組織に甚大な損害をもたらす恐れがあります。

対策： アクセス権限の最小化、ログ監視の強化、定期的な従業員教育、退職者のアカウント管理徹底、そして機密情報の持ち出しルールの策定などが有効です。これらを組み合わせ、不正行為の「抑止」と「早期発見」を図ることが重要です。

内部不正による情報漏えいついては以下の記事でも解説しています。ぜひあわせてご覧ください。「内部不正による情報漏えい-組織全体で再確認を！-」

8位「リモートワーク等の環境や仕組みを狙った攻撃」

新型コロナウイルス対策を契機にテレワークが急速に普及し、社外からVPN経由でシステムへアクセスしたり、オンライン会議を行ったりする機会が定着しました。その結果、セキュリティ対策が不十分な自宅ネットワークや私物PCの業務利用に加え、従来は出張時や緊急時のみの使用を想定していたVPN機器等が、恒常的に使われるようになりました。こうしたテレワーク環境に脆弱性が残っていると、社内システムへの不正アクセスやマルウェア感染、Web会議の盗聴といった深刻なリスクにつながります。トレンドマイクロによれば、過去2年間に行ったランサムウェア被害に対するインシデント対応支援の中でも、およそ7割がVPN経由の事例とのことであり、VPN機器の徹底した管理が求められます。*10

対策： ゼロトラストセキュリティの導入、VPN装置等のネットワーク機器に対するセキュリティ強化とパッチ適用、多要素認証の徹底、そして従業員へのセキュリティ教育の実施などが有効です。

9位「DDoS攻撃（分散型サービス妨害攻撃）」

攻撃者が乗っ取った複数の機器（ボットネット）から、特定のサーバやネットワークに対して大量の通信を送り付け、サービスを停止に追い込む攻撃です。近年は、セキュリティ対策が手薄なIoT機器が悪用され、攻撃規模が巨大化しています。また、単なる愉快犯的な妨害だけでなく、攻撃停止と引き換えに金銭を要求する「ランサムDDoS」が増加傾向にあります。これにより、ECサイトの長時間のダウンによる金銭や顧客の離脱などの機会損失や、クラウドサービスの従量課金制を悪用し、数千万円規模の過大請求を発生させる（EDoS攻撃）等、事業継続に直結する深刻な被害が発生しています。

対策：自社設備だけでの防御は困難なため、CDN（Contents Delivery Network）やWAF（Web Application Firewall）などの対策サービスを導入し、負荷分散と遮断を行うことが基本です。あわせて、攻撃の影響を受けない非常用回線の確保やシステムの冗長化、停止時の代替サーバや告知手段を事前に整備することが重要です。

DoS攻撃/DDoS攻撃については以下の記事でも解説しています。ぜひあわせてご覧ください。「DoS攻撃のリスクと対策：アクセス急増の原因と見分け方、サービス停止を防ぐ初動対応」

10位「ビジネスメール詐欺」

ビジネスメール詐欺（BEC：Business Email Compromise）は、業務連絡を装った巧妙な偽メールを組織・企業に送り付け、従業員を騙して資金を詐取するサイバー攻撃です。攻撃者は準備段階として、企業内の情報を狙ったり、ウイルスを使用して業務メールを盗み見たりすることで、本物そっくりの文面やタイミングを作り上げます。

対策： 送信ドメイン認証（DMARC・SPF・DKIM）の導入やセキュリティソフトによるフィルタリング強化といった技術的対策に加え、不審な送金依頼に対する複数人確認ルールの徹底、従業員への訓練を行い、被害の防止と早期発見を図ることが有効です。

ビジネスメール詐欺については以下の記事でも解説しています。ぜひあわせてご覧ください。 「ビジネスメール詐欺（BEC）の脅威と企業に求められる対策」

【参考情報】

BBSecでは

当社では様々なご支援が可能です。お客様のご状況に合わせて最適なご提案をいたします。当当サイトSQAT® jpのお問い合わせページよりお気軽にお問い合わせください。後日営業担当者よりご連絡させていただきます。

SQAT® 脆弱性診断

BBSecの脆弱性診断は、精度の高い手動診断と独自開発による自動診断を組み合わせ、悪意ある攻撃を受ける前にリスクを発見し、防御するための問題を特定します。Webアプリケーション、ネットワークはもちろんのこと、ソースコード診断やクラウドの設定に関する診断など、診断対象やご事情に応じて様々なメニューをご用意しております。

SQAT脆弱性診断サービスバナー画像

SQAT® ペネトレーションテスト

「ペネトレーションテスト」では実際に攻撃者が侵入できるかどうかの確認を行うことが可能です。脆弱性診断で発見したリスクをもとに、実際に悪用可能かどうかを確認いたします。

ウェビナー開催のお知らせ

  • 2026年4月15日（水）14:00～15:00
    「AI時代のサイバー脅威最前線 ― IPA『情報セキュリティ10大脅威2026』から学ぶ防御戦略 ―」

    • 最新情報はこちら

    編集責任：木下

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    ウェビナーアーカイブ動画ページバナー画像
    投稿日:

    CWE Top 25 2025年版（後編）– メモリ安全性が上位に増えた理由と対策の要点

    Share
    CWE Top 25 2025年版– メモリ安全性が上位に増えた理由と対策の要点アイキャッチ画像

    「CWE Top 25:2025」では、もう一つ見逃せない特徴があります。それが、メモリ領域の安全性に関わる弱点が複数上位に含まれている点です。本記事では、CWE Top 25 2025年版で目立つメモリ系弱点を整理したうえで、なぜ上位に増えているのか、Webサービス運用の観点でどのように備えるべきかを解説します。

    はじめに：前編の振り返り（Web/API 12項目）

    前編では、CWE Top 25 2025年版のうち、WebアプリケーションやAPIで特に問題になりやすい弱点をピックアップし、リスクと診断観点を整理しました。具体的には、XSSやCSRFといった入力・リクエスト起点の脆弱性に加え、「認可の欠如不備」のようにログインしていても不正操作が成立するタイプの脆弱性が、実被害につながりやすいポイントとして挙げられます。Web/APIは機能追加や仕様変更が多いため、対策しているつもりでも抜けが生まれやすく、定期的な点検が重要です。

    前編の記事はこちらからご覧いただけます。
    「CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント」（https://www.sqat.jp/kawaraban/41257/）

    前編で取り上げたWeb/APIの脆弱性は、日々の開発や運用の中で発生しやすく、脆弱性診断でも頻出する領域です。一方で、CWE Top 25 2025年版を俯瞰すると、もう一つ見逃せない特徴があります。それが、メモリ領域の安全性に関わる脆弱性が複数上位に含まれている点です。

    メモリ系の脆弱性は、C/C++など低レベル言語で起きやすい印象が強く、「Webアプリ中心の開発では関係が薄い」と思われることもあります。しかし実際には、Webサービスを支える基盤やOSS、ミドルウェア、各種ライブラリにはネイティブ実装が含まれることも多く、アプリケーションの外側でリスクが顕在化するケースも少なくありません。また、メモリ破壊系の脆弱性は、単なるサービス停止（DoS）に留まらず、条件次第では任意コード実行など深刻な侵害につながる可能性があります。攻撃の影響が大きく、対応にも専門性が求められることから、近年あらためて注目されている領域といえます。

    そこで後編では、CWE Top 25 2025年版で目立つメモリ系弱点を整理したうえで、なぜ上位に増えているのか、Webサービス運用の観点でどのように備えるべきかを解説します。

    メモリ領域の安全に関する脆弱性が上位に増えている理由

    CWE Top 25 2025年版ではメモリ安全性に関わる脆弱性が複数ランクインしている傾向もみてとれます。一見すると「これはC言語など低レベル言語の話で、Webアプリ開発とは関係が薄いのでは？」と思われるかもしれません。しかし実際には、Webサービスを提供する側にとっても無視できないテーマになっています。ここでは、2025年版で目立つメモリ系の脆弱性と、上位に増えている背景を整理します。

    2025年に目立つメモリ系6項目

    CWE Top 25 2025年版の中で、特にメモリ領域の安全性に関連する項目としては以下が挙げられます。

    1. CWE-787：範囲外の書き込み
    2. CWE-416：解放したメモリの使用
    3. CWE-125：範囲外の読み取り
    4. CWE-476：NULLポインター逆参照
    5. CWE-121：スタックベースバッファオーバーフロー
    6. CWE-122：ヒープベースバッファオーバーフロー

    これらは主にC/C++言語などで発生しやすい脆弱性で、メモリ破壊を起点としてアプリケーションの異常動作やクラッシュ、条件次第では任意コード実行にまでつながる可能性があります。

    メモリ系が“ランク上昇”した背景

    OSS・ミドルウェア・実行環境の影響が大きい

    近年のシステム開発では、自社でゼロからすべてを実装することはほとんどありません。
    Webアプリケーション自体は高水準言語（Java、PHP、Python、Ruby、JavaScriptなど）で書かれていたとしても、実際には裏側で多くのソフトウェア資産に依存しています。 例えば、以下のような領域はネイティブ実装（C/C++など）が含まれることが多く、メモリ安全性の影響を受けやすい代表例です。

    • 画像・動画の変換や解析
    • 圧縮・解凍処理
    • 暗号処理
    • OSやコンテナの周辺コンポーネント
    • Webサーバやロードバランサなどの基盤ソフトウェア

    つまり「アプリはWebだからメモリ破壊は関係ない」と切り分けるのではなく、サービス全体を構成する要素としてメモリ安全性の弱点が影響し得る、という視点が必要になります。

    「攻撃が成立した時のインパクト」が大きい

    メモリ破壊系の脆弱性は、単にアプリがダウンする（DoS攻撃等の影響による）だけでなく、条件がそろうと攻撃者にとって非常に強力な結果につながることがあります。たとえば、任意コード実行や権限奪取の足がかりになるケースもあり、被害の深刻度が高くなりやすい点が特徴です。

    Webアプリケーションの脆弱性は「データが漏れる」「不正操作される」といった被害が中心になりやすい一方で、メモリ系は侵害の方向性が変わり、“システムそのものの制御”に影響する可能性がある点で性質が異なります。このインパクトの大きさが、ランキング上でも目立ちやすい要因の一つです。

    “開発者の気付き”だけでは防ぎにくい

    XSSやSQLインジェクションは、実装者の意識と共通部品の整備で減らしていける領域です。一方でメモリ安全性の弱点は、そもそも自社コードではなく、依存しているライブラリやミドルウェアの脆弱性として露出することも少なくありません。この場合、開発者が気を付けて実装していても防ぎきれず、必要になるのは次のような対策です。

    • 利用コンポーネントの把握（棚卸し）
    • 脆弱性情報の継続的な収集
    • バージョンアップ・パッチ適用の判断と運用
    • 影響範囲の評価（どの機能が影響を受けるか）

    つまり、メモリ系の脆弱性は「作り込みで防ぐ」だけではなく、運用で守る力も問われる領域だと言えます。

    脆弱性対応は「作り込み」＋「運用」の両輪

    Webアプリケーションのセキュリティ対策というと、入力チェックや認可実装など“作り込み”に注目が集まりがちです。もちろんこれは重要ですが、メモリ系の弱点が示すように、脆弱性対応には運用面の強さも求められます。

    運用面で意識したいポイントは、以下のように整理できます。

    • 利用しているライブラリ／ミドルウェアの把握（棚卸し）
    • 脆弱性情報の継続的な収集と影響評価
    • パッチ適用・アップデートの判断と実施
    • 監視・ログによる異常兆候の検知
    • 必要に応じた防御策（WAFなど）による被害軽減

    特に「アップデートできる体制があるか」「影響範囲を素早く見積もれるか」は、脆弱性が公開された際の対応スピードに直結します。メモリ系の脆弱性は影響が大きくなりやすい分、発覚後の初動が被害を左右するため、日頃から“運用で守る仕組み”を整えておくことが重要です。

    脆弱性診断でどう確認するか（診断観点の例）

    メモリ領域の安全性の脆弱性は、Web/APIの脆弱性とは性質が異なり、「画面やAPIを触るだけでは見えにくい」ケースもあります。そのため、脆弱性診断ではアプリケーションの挙動確認に加えて、実装・構成・依存関係といった複数の観点からリスクを洗い出すことが有効です。

    Webアプリケーション診断/API診断

    実際の画面・APIに対して攻撃パターンを当て、脆弱性が成立するかどうかを確認します。
    メモリ系の弱点そのものを直接検出するのは難しい場合もありますが、前編で整理した認可不備・IDOR・SSRF・ファイル関連など、実被害につながりやすい脆弱性を網羅的に確認できる点が強みです。

    ソースコード診断（SAST）

    危険な実装パターンや、入力値の扱い方、権限判定の実装の偏りなどを、コードレベルで洗い出せる手法です。メモリ領域の安全性の観点でも、ネイティブコードを含む箇所や危険APIの利用状況、例外処理の不足などを確認することで、潜在的なリスクを把握しやすくなります。特に、開発を継続しながら対策を積み上げる場合、設計や共通部品の見直しにも活用できます。

    プラットフォーム診断／OSS観点（依存関係・構成）

    メモリ系の脆弱性を含む“依存資産のリスク”に対応するには、構成・依存関係の観点が欠かせません。アプリケーションの外側に原因がある場合、どれだけアプリの実装を直してもリスクが残るためです。「脆弱性が出たときに、すぐ把握できる・すぐ対応できる」状態を作ることが、結果的にリスクを下げる近道になります。

    まとめ

    CWE Top 25 2025年版から読み取れるのは、Webアプリ・APIで頻出する脆弱性が依然として事故につながりやすい一方で、メモリ安全性のように“アプリの外側”に潜むリスクも無視できない存在になっているという点です。この2つを両立できるかどうかが、2025年のセキュリティ対策の分かれ道になると言えます。

    “定期的な診断＋改善”でリスクを下げる

    脆弱性対策は、一度対応して終わりではなく、仕様変更・機能追加・依存資産の更新によって状況が変化します。だからこそ、CWE Top 25のような指標を参考にしながら、第三者視点の脆弱性診断で現状を確認し、優先度を付けて改善していくことが有効です。Webアプリケーション診断・API診断・ソースコード診断を組み合わせることで、「攻撃が成立するポイント」と「根本原因」を整理しやすくなり、修正の手戻りを減らしながら安全性を高められます。継続的な診断と改善を通じて、インシデントの予防と品質向上につなげていきましょう。

    BBSecでは

    「どこが危ないのか」を把握しないまま対策を進めると、重要な弱点が残ったり、修正の手戻りが増えたりすることがあります。Webアプリケーション／APIの脆弱性診断により、実際に攻撃が成立するポイントを洗い出し、優先度を付けて改善につなげることが可能です。まずは現状の課題や診断範囲について、お気軽にご相談ください。

    限定キャンペーン実施中！

    ソースコード診断 アップチャージプランのご案内

    Web診断に加えて、アプリケーション内部の脆弱性を確認できるソースコード診断（アップチャージプラン）もご用意しています。

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント

    Share
    「CWE Top 25 2025年版（前編）– Web/APIで狙われやすい弱点12項目と診断ポイント」アイキャッチ画像

    2025年12月、MITREより「CWE Top 25:2025」が公開されました。本記事では、CWE Top 25 2025年版のうち、WebアプリケーションやAPIに直結する12項目をピックアップし、リスクと診断観点を整理します。

    CWE Top 25とは

    Webアプリケーションや業務システムを狙った攻撃は年々巧妙化していますが、実は“よく悪用される脆弱性”には一定の傾向があります。限られた工数の中で効果的に対策を進めるには、脆弱性を闇雲に潰すのではなく、被害につながりやすい弱点から優先して対応することが重要です。そこで参考になるのが、MITREが公開している「CWE Top 25」です。CWE（Common Weakness Enumeration、共通脆弱性タイプ）は、ソフトウェアに潜む弱点を体系的に整理したもので、CWE Top 25はその中でも特に危険度が高く、実際の攻撃にもつながりやすい弱点をランキング形式でまとめたものです。開発・運用の現場で「どこから手を付けるべきか」を判断するための指標として活用できます。

    CWE Top 25は毎年アップデートされるため、年ごとの傾向を追うことで「長年狙われ続けている脆弱性」や「新たに注目されているリスク」も見えやすくなります。2024年版の内容は過去記事でも解説していますので、あわせてご覧ください。
    「【CWE TOP 25 2024年版】にみる新たなセキュリティ脅威と指針」（https://www.sqat.jp/kawaraban/33156/）

    CWE Top 25 2025年版

    順位CWE ID脆弱性名称
    1CWE-79入出力の不適切な無害化（クロスサイトスクリプティング（XSS））
    2CWE-89SQLコマンドの特殊要素の不適切な無害化（SQLインジェクション）
    3CWE-352クロスサイトリクエストフォージェリ（CSRF）
    4CWE-862認可の欠如
    5CWE-787範囲外の書き込み
    6CWE-22制限ディレクトリへのパス制限不備（パストラバーサル）
    7CWE-416解放したメモリの使用
    8CWE-125範囲外の読み取り
    9CWE-78OSコマンドで使用される特殊要素の不適切な無効化(OSコマンドインジェクション)
    10CWE-94コード生成の不適切な制御（コードインジェクション）
    11CWE-120入力サイズチェックなしのバッファコピー(古典的バッファオーバーフロー)
    12CWE-434危険なタイプのファイルのアップロード許可
    13CWE-476NULLポインター逆参照
    14CWE-121スタックベースバッファオーバーフロー
    15CWE-502不適切なデータ逆シリアル化
    16CWE-122ヒープベースバッファオーバーフロー
    17CWE-863不適切な認可
    18CWE-20不適切な入力検証
    19CWE-284不適切なアクセス制御
    20CWE-200権限を持たないユーザへの機密情報の漏洩
    21CWE-306重要な機能の使用に対する認証の欠如
    22CWE-918サーバサイドリクエストフォージェリ（SSRF）
    23CWE-77コマンドで使用される特殊要素の不適切な無害化（コマンドインジェクション）
    24CWE-639ユーザ制御キーによる認可バイパス
    25CWE-770制限やスロットリングなしのリソース割当

    Web/APIに直結する“狙われやすい12項目”

    CWE Top 25 2025年版には、メモリ安全性の弱点など幅広い項目が含まれていますが、脆弱性診断会社の視点で特に注目したいのは、WebアプリケーションやAPIに直結し、実被害につながりやすい脆弱性です。Web/APIは外部からアクセス可能な入口が多く、仕様変更や機能追加も頻繁に発生します。その結果、実装ミスや設計の抜けが生まれやすく、攻撃者にとっても狙いやすい領域になりがちです。ここでは、Top 25のうちWeb/APIに絡む以下の12項目をピックアップし、リスクと脆弱性診断の観点を整理します。

    Web/APIで特に重要な12項目一覧

    1. CWE-79
    2. CWE-352
    3. CWE-862
    4. CWE-22
    5. CWE-434
    6. CWE-863
    7. CWE-20
    8. CWE-284
    9. CWE-200
    10. CWE-306
    11. CWE-918
    12. CWE-639

    入力・出力の不備（攻撃の入口になりやすい）

    CWE-79：クロスサイトスクリプティング（XSS）

    コメント欄のような分かりやすい入力欄だけでなく、検索結果、プロフィール、管理画面のメモ欄など「入力した内容が表示される場所」全般が対象になります。XSSが成立すると、セッション情報の窃取によるアカウント乗っ取り、偽画面による情報詐取、管理者権限での操作悪用などにつながる可能性があります。特に管理画面で発生した場合、被害が大きくなりやすい点が特徴です。

    脆弱性診断では、入力点の洗い出しに加え、“どこで入力が表示されるか（出力箇所）” を意識して確認します。実装側で「入力チェックをしている」つもりでも、表示時のエスケープが不十分なケースは多く、テンプレートの扱いや出力文脈（HTML/属性/JavaScript）まで含めた確認が重要になります。

    SQAT.jpでは過去にもクロスサイトスクリプティングについて、初心者向けの解説記事を公開しています。こちらもあわせてご覧ください。
    「クロスサイトスクリプティング（XSS）の脆弱性 -Webアプリケーションの脆弱性入門 1-」（https://www.sqat.jp/tamatebako/27269/）

    CWE-20：不適切な入力検証

    入力検証不備は、受け取った値が想定どおりかどうかの確認が不足している状態です。一見すると地味な問題に見えますが、WebアプリやAPIでは、入力値がそのままDB検索、権限判定、外部連携、ファイル処理などに渡ることが多く、他の脆弱性の引き金になりやすい“起点”です。特にAPIでは、フォーム入力だけでなくJSON形式のリクエスト、配列やネスト構造、数値・文字列の型違いなど、入力のバリエーションが増えます。その結果、「画面側では弾けているのにAPI直叩きで通ってしまう」「境界値や異常値で想定外の挙動になる」といった事故が起きやすくなります。

    脆弱性診断では、正常系だけでなく、境界値・異常系・型違い・過剰な長さ・未定義パラメータなどを含めて入力を揺さぶり、想定外の処理やエラー露出が起きないかを確認します。

    リクエスト偽装・処理のすり抜け（攻撃者が「操作」を作る）

    CWE-352：クロスサイトリクエストフォージェリ（CSRF）

    CSRFは攻撃者が用意したページやリンクを踏ませることで、ユーザ本人が操作したように見えるリクエストが送信され、設定変更や登録情報更新などが実行されてしまう可能性があります。特に危険なのは、パスワード変更、メールアドレス変更、権限変更、退会処理など「状態を変える操作」です。攻撃が成立しても操作主体が正規ユーザに見えるため、被害に気づきにくい点もCSRFの厄介なところです。

    脆弱性診断では、重要操作にCSRFトークンが実装されているか、SameSite属性が適切か、Origin/Refererの扱いがどうなっているかなどを確認します。SPAやAPI中心の構成では「CSRFは関係ない」と思われがちですが、認証方式によっては成立するため、設計前提から整理して確認することが重要です。

    SQAT.jpでは過去にもクロスサイトリクエストフォージェリについて、初心者向けの解説記事を公開しています。こちらもあわせてご覧ください。
    「クロスサイトリクエストフォージェリ（CSRF/XSRF）とは？狙われやすいWebアプリケーションの脆弱性対策」（https://www.sqat.jp/tamatebako/12249/）

    CWE-918：サーバサイドリクエストフォージェリ（SSRF）

    SSRFは、サーバ側が外部へアクセスする仕組みを悪用され、攻撃者が任意の宛先にリクエストを送らせる脆弱性です。たとえば「指定したURLから画像を取得する」「外部APIのURLを登録する」といった機能がある場合、入力値の制御が不十分だとSSRFにつながる可能性があります。SSRFが危険なのは、外部から直接アクセスできない内部ネットワークや管理系サービスに到達できてしまう点です。環境によっては、クラウドのメタデータ（認証情報）取得など、重大な侵害につながるケースもあります。

    脆弱性診断では、URL入力や外部通信の機能を洗い出し、許可リスト制御があるか、名前解決やリダイレクトがどう扱われるか、内部アドレス（localhostやプライベートIP）へのアクセスが可能かなどを確認します。外部連携機能は便利な反面、攻撃の入口になりやすいため、重点的な確認が必要です。

    認証・認可の不備（ログインしていても守れていない）

    CWE-306：重要な機能の使用に対する認証の欠如

    重要な機能の使用に対する認証の欠如は、本来ログインが必要な操作が、認証なしで実行できてしまう状態です。代表例としては、管理者向けのAPIや運用機能が「画面からは触れない」ために見落とされ、URL直叩きで実行できてしまうケースが挙げられます。 この弱点があると、攻撃者はアカウントを用意する必要すらなく、いきなり機能を悪用できてしまいます。影響範囲は機能次第で、情報閲覧だけでなく、設定変更やデータ削除などにつながる可能性もあります。

    脆弱性診断では、ログイン前に到達できるURL・APIを洗い出し、認証が正しくかかっているかを横断的に確認します。特に、管理系の機能や“メンテナンス用”に追加されたエンドポイントは、抜けが起きやすいポイントです。

    CWE-862：認可の欠如

    認可の欠如は、「ログインしているユーザが、その操作をしてよいか」の判定が不足している状態です。認証が正しく実装されていても、認可が抜けていると、一般ユーザが管理機能を実行できたり、他人の情報にアクセスできたりするリスクが生まれます。現代のWebアプリはAPI化が進み、画面とAPIが分離されているケースも多くあります。その結果、「画面上ではボタンが表示されないが、APIを直接叩くと通ってしまう」といった問題が発生しやすくなります。認可は“画面制御”ではなく“サーバ側判定”が必須です。

    脆弱性診断では、ユーザ権限を切り替えながら同じAPIを試す、IDを変更して他人データに触れないか確認するなど、権限境界を意識したテストを行います。認可不備は事故につながりやすい一方で見落とされやすいため、重点的に確認すべき項目です。

    CWE-863：不適切な認可

    誤った認可は、認可チェック自体は存在するものの、判定条件が不十分・誤っている状態です。たとえば「ロール（一般/管理者）は見ているが、所属組織や契約単位の制御が抜けている」「閲覧は制御できているが更新だけ抜けている」など、複雑な仕様ほど起きやすい傾向があります。このタイプの問題は、単純な“認可チェックの抜け”よりも発見が難しく、機能仕様を理解したうえでテストしないと見落とされがちです。結果として、公開後に利用者からの指摘やインシデントで発覚することもあります。

    脆弱性診断では、ロールだけでなく、組織・契約・所有権などの境界を整理し、境界を跨ぐ操作ができてしまわないかを確認します。実装だけでなく、設計段階での権限モデルの整理が重要になります。

    CWE-284：不適切なアクセス制御

    不適切なアクセス制御は、認証・認可・制限の仕組み全体が適切に機能していない状態を指す、非常に重要なカテゴリです。CWE-862やCWE-863、CWE-639などと密接に関係し、実際のインシデントでは“アクセス制御の穴”としてまとめて問題になるケースも少なくありません。アクセス制御の難しさは、実装ミスだけでなく、仕様変更や機能追加によって整合性が崩れやすい点にあります。APIが増えるほど確認対象も増え、権限チェックの一貫性を保つのが難しくなります。

    脆弱性診断では、画面・API・直接URLアクセスなど複数経路からの到達性を確認し、「見えないはずの機能が触れてしまう」「アクセスできないはずの情報が見えてしまう」といった問題を洗い出します。アクセス制御は“守りの土台”であり、最優先で見直すべき領域です。

    CWE-639：ユーザ制御キーによる認可バイパス

    ユーザ制御キーによる認可バイパスは、ユーザが指定できるIDやキーを悪用し、認可を回避できてしまう問題です。いわゆるIDOR（Insecure Direct Object Reference）として知られるケースが多く、例えば「注文ID」「請求書ID」「ユーザID」などを変更するだけで他人の情報にアクセスできてしまうといった形で発生します。この脆弱性が厄介なのは、画面上では正しく動いて見えることが多い点です。正規ルートでは問題がなくても、パラメータを改ざんすると成立してしまうため、悪意ある操作を前提にした確認が欠かせません。

    脆弱性診断では、IDやキーを意図的に変更し、他人データの閲覧・更新・削除ができないかを確認します。設計としては、IDを推測しにくくするだけでなく、サーバ側で必ず所有権チェックを行うことが重要です。

    情報の露出（「次の攻撃」の起点になる）

    CWE-200：権限を持たないユーザへの機密情報の漏洩

    機密情報の露出は、権限のない相手に情報が見えてしまう状態です。例としては、APIレスポンスに不要な項目が含まれている、エラーメッセージに内部情報が出ている、管理画面の情報が一般ユーザから参照できる、といったケースが挙げられます。情報漏洩は、それ単体でも重大な事故ですが、攻撃者にとっては“次の攻撃を成功させる材料”になります。たとえば、ユーザ情報や内部構成が漏れることで、なりすましや権限突破、別の脆弱性悪用が容易になることがあります。

    脆弱性診断では、画面表示だけでなくAPIレスポンスの内容、エラー出力、ログ出力の扱いまで含めて確認します。「返さなくてもよい情報を返していないか」を見直すことは、対策コストに対して効果が大きいポイントです。

    ファイル・パスの取り扱い（“便利機能”が事故の原因になる）

    CWE-22：パストラバーサル

    パストラバーサルは、ファイル・パスの指定を悪用され、想定外のファイルにアクセスされてしまう脆弱性です。例えば、ダウンロード機能や画像表示機能で、パラメータがそのままファイル・パスに使われている場合に発生しやすく、設定ファイルや機密ファイルの閲覧につながる可能性があります。この問題は、アプリケーション内部の設定情報や秘密鍵などの露出を招くことがあり、被害が“情報漏えい”に留まらず、侵入やなりすましの起点になることもあります。

    脆弱性診断では、パス指定のパラメータを揺さぶり、制限ディレクトリ外の参照ができないかを確認します。設計としては、ファイルはIDで管理し、サーバ側で実体パスに変換する方式が安全です。

    CWE-434：危険なタイプのファイルのアップロード許可

    危険なファイルアップロードは、攻撃者が悪意あるファイルをアップロードできてしまう脆弱性です。拡張子チェックだけで判定している場合、実体がスクリプトや実行形式であってもすり抜けられることがあり、Webシェル設置やマルウェア配布などにつながる危険があります。また、アップロードしたファイルがそのまま公開ディレクトリに置かれている場合、アクセスされるだけで攻撃が成立するケースもあります。ファイル機能はユーザにとって便利な一方で、攻撃者にとっても“侵入口”になりやすい領域です。

    脆弱性診断では、アップロード可能な拡張子・MIME・実体判定、保存先、参照方法、実行可否などを確認します。特に「アップロード後にどう扱われるか（公開されるか、変換されるか）」まで含めて評価することが重要です。

    【補足】なぜこの12項目が脆弱性診断で重要なのか
    ここまで見てきた12項目は、いずれもWebアプリやAPIで発生しやすく、攻撃者が外部から試行しやすい弱点です。また、認可やアクセス制御のように、仕様・設計・実装が絡み合う領域は、チェック漏れが起きやすい一方で、発見が遅れると影響が大きくなりがちです。 そのため、開発時のレビューや自動テストだけでなく、第三者視点での脆弱性診断によって「実際に攻撃が成立するか」を確認し、優先度を付けて改善していくことが有効です。

    現場での優先度付け（Web/API向け）

    CWE Top 25に含まれる弱点は幅広く、すべてを一度に潰すのは現実的ではありません。そこで重要になるのが、「被害が大きいもの」「攻撃者が試しやすいもの」から優先して対策する考え方です。ここでは、WebアプリケーションやAPIを前提に、現場で取り組みやすい優先順位を整理します。

    認可

    まず最優先に見直したいのは、認可（Authorization）に関する脆弱性です。認証（ログイン）が正しく動いていても、「そのユーザがその操作をしてよいか」の判定が甘いと、他人の情報閲覧や不正更新、管理機能の悪用につながります。特にAPIが増えるほど、権限チェックの抜けや判定ミスが起きやすく、事故の原因になりがちです。認可の問題は、攻撃が成立すると影響範囲が大きく、かつログ上は正規ユーザの操作に見えることもあります。Web/APIにおけるセキュリティの土台として、まずは認可を最優先で点検することが重要です。

    入出力・CSRF

    次に優先したいのは、入出力の取り扱い（XSSや入力検証不備など）と、CSRFです。
    入力値は、画面表示・DB操作・外部連携など多くの処理に影響するため、わずかな実装ミスが攻撃の入口になりやすい領域です。またXSSは、利用者のアカウント乗っ取りや管理画面の悪用につながる可能性があり、優先度の高い脆弱性です。CSRFについても、状態変更系の操作（変更・更新・削除）がある限り、対策の抜けがあると被害につながります。「ログインしているから安全」ではなく、“正しい意図の操作かどうか”を担保できているかを確認する必要があります。

    SSRF・ファイル関連

    SSRFやファイル関連の脆弱性は、システムに該当機能がある場合、優先度を一段階上げて確認すべき項目です。たとえば、URL入力を受け付ける機能（外部連携、Webhook、画像取得など）がある場合、SSRFが成立すると内部ネットワークへのアクセスや情報取得につながる可能性があります。また、ファイルアップロード／ダウンロード機能がある場合は、危険なファイルの混入やパストラバーサルによる情報漏えいなど、攻撃の入口になりやすい要素が揃っています。利便性の高い機能ほどリスクも増えやすいため、仕様として存在するなら“重点確認対象”として扱うのが安全です。

    情報露出・認証の欠如

    最後に、見落とし厳禁として挙げたいのが「情報露出」と「認証欠如」です。機密情報の露出は、単体でも重大な事故ですが、攻撃者にとっては次の攻撃を成立させるための材料にもなります。APIレスポンスの過剰返却やエラーメッセージの出し方など、“つい残ってしまう情報”が原因になることも少なくありません。また、重要機能の認証欠如は、成立すると攻撃者がログインすらせずに機能を悪用できてしまいます。管理用のエンドポイントや運用機能など、「利用者が限られるから大丈夫」と思われがちな部分ほど抜けが起きやすいため、公開前後での棚卸しが重要です。

    Web/APIは定期診断が有効

    Web/APIは機能追加や仕様変更が多く、開発時点で対策していたとしても、改修のたびに新しい抜けが生まれる可能性があります。だからこそ、開発段階での対策に加えて、第三者視点の脆弱性診断で「実際に攻撃が成立するか」を確認し、優先度を付けて改善することが効果的です。定期的に診断を実施することで、仕様変更による取りこぼしを早期に発見し、インシデントを未然に防ぐことにつながります。

    後編では、CWE Top 25 2025年版で目立つもう一つのポイントとして、メモリ領域の安全に関わる脆弱性が上位に増えている背景を整理します。なぜ今メモリ系が注目されているのか、どのように備えるべきかを、診断・運用の観点も含めて解説します。

    ―後編に続く―

    BBSecでは

    「どこが危ないのか」を把握しないまま対策を進めると、重要な弱点が残ったり、修正の手戻りが増えたりすることがあります。Webアプリケーション／APIの脆弱性診断により、実際に攻撃が成立するポイントを洗い出し、優先度を付けて改善につなげることが可能です。まずは現状の課題や診断範囲について、お気軽にご相談ください。

    限定キャンペーン実施中！

    今なら新規お申込みで 初回診断料金 10％OFF！
    短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    ダークウェブとは―サイバー攻撃の“起点”となる危険性と企業が知るべきリスク

    Share

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    ダークウェブとは―サイバー攻撃の“起点”となる危険性と企業が知るべきリスクアイキャッチ画像

    「ダークウェブ」は、検索エンジンからは見えない匿名性の高い領域で、サイバー攻撃の準備や情報流通の場として悪用されることが増えています。漏洩した認証情報や企業データ、攻撃ツールが売買され、攻撃者が初期アクセスを確保する“出発点”となるケースも少なくありません。一方で、プライバシー保護や検閲回避など正当な利用も存在します。本記事では、このダークウェブの二面性と、企業が直面するリスクをわかりやすく解説します。

    ダークウェブとは

    ダークウェブとは、通常の検索エンジンでは見つからず、特別な環境を用いなければアクセスできない匿名性の高い領域を指します。一般的なWebサイトと異なり、通信経路や利用者の識別情報を秘匿しながら利用することを前提としているため、不正情報や犯罪サービスの流通が問題となる一方、言論統制が厳しい地域での情報アクセス手段として活用されるなど、正当な目的でも利用されています。

    インターネットはしばしば「氷山」に例えられます。水面上に見えているのが、検索エンジンに表示される「サーフェスウェブ」です。私たちが普段日常的に利用しているニュースサイトやECサイト、SNSなどがここに含まれます。水面下にはより広大な領域が広がっており、ログインが必要な企業システムや会員制サービス、学術データベースなど、検索エンジンに表示されない「ディープウェブ」が存在します。そして、そのさらに奥深く、通常のブラウザではアクセスできない領域が「ダークウェブ」です。氷山のもっとも深い部分に該当するこの領域は、一般のユーザからは見えにくく、匿名性が極めて高いことが特徴です。

    ダークウェブへのアクセスには、「Tor（The Onion Router）」と呼ばれる匿名化技術が代表的に利用されます。Torは通信を複数のノードに中継しながら多層的に暗号化することで、アクセス元や通信経路の特定を困難にする仕組みを提供します。この技術により高い匿名性が実現され、プライバシー保護や検閲回避という正当な用途も存在します。しかし、その匿名性は同時にサイバー犯罪者にも利用しやすい環境となり、違法取引や不正ツールの販売が横行する温床にもなっています。

    ダークウェブで取得可能な情報

    ダークウェブ上では、漏洩したアカウント情報やクレジットカード番号、企業の機密データなどが売買されています。これらは不正アクセスや詐欺に悪用され、被害を拡大させる原因となっています。

    ダークウェブで取得可能な情報について、SQAT.jpでは以下の記事でもご紹介しています。ぜひあわせてぜひご覧ください。「RaaSの台頭とダークウェブ～IPA 10大セキュリティ脅威の警告に備える」
    https://www.sqat.jp/kawaraban/30031/

    もっとも、ダークウェブ自体は必ずしも犯罪利用だけを目的としたものではありません。前述のとおり、プライバシー保護や検閲回避など、匿名性が求められる正当な利用も確かに存在します。ただし現実には、攻撃者がこの匿名性を悪用することでサイバー攻撃の高度化が進み、被害が拡大している状況があります。

    ダークウェブのリスク

    ダークウェブは企業にとって重大なセキュリティリスクの「起点」となり得ます。匿名性の高い環境であるがゆえに、企業の認証情報や内部文書、VPN設定情報といった攻撃に直結するデータが流通しやすく、これらがサイバー攻撃の初期侵入の足掛かりとなるためです。

    まず、ダークウェブ上では盗難されたクレジットカード情報のみならず、企業のアカウント情報、リモートデスクトップ（RDP）接続情報、脆弱性のあるVPN機器の一覧、組織の内部文書までもが売買されています。これらは攻撃者にとって「侵入の材料」と言えるものです。一度流出した情報は、長期間にわたって攻撃者たちの間で再利用される可能性があります。結果、企業は何度も攻撃対象となってしまい、インシデントが繰り返される恐れがあります。

    また、ダークウェブは攻撃ツールやゼロデイ脆弱性情報、マルウェア作成キットが流通する場でもあり、攻撃者が侵入準備を整える“リソース供給源”としても機能しています。専門知識の乏しい攻撃者でも、こうしたリソースを利用することで容易に侵入手口を確立できるため、攻撃の裾野が広がっています。また、攻撃者が用意した偽のダウンロードサイトや広告に誘導されると、社員の端末に不正なツールやマルウェアが入り込むことがあります。そこから社内システムの認証情報が盗まれ、組織内部への“入口”として悪用されてしまうケースもあります。

    加えて、ダークウェブ上で自社に関わるデータが公開されれば、個人情報保護法や各種ガイドラインに基づく報告義務が生じ、監督機関・取引先への説明責任が発生します。情報が悪用されれば、さらに追加の攻撃や詐欺被害が広がり、企業の信頼低下といった経営リスクにもつながります。

    ダークウェブとサイバー攻撃

    ダークウェブは単なる違法取引の場ではなく、攻撃者が侵入の準備を進め、企業への攻撃が連鎖的に発生する「起点」としても作用しています。サイバー攻撃は準備なくして行われるものではありません。攻撃者はその前段階として、標的に近づくための「足掛かり」を用意します。ここでいう足掛かりとは、攻撃者が後の侵入や攻撃準備に使うために確保しておく「侵入の入口（初期アクセス）」や「攻撃に使う基盤（インフラ）」のことです。具体的には、アカウント情報やアクセス権といった入口に相当するものに加え、攻撃用のサーバやドメイン、不正ツールなどのインフラが含まれます。

    サイバー攻撃の準備段階

    足掛かりには、大きく分けて二つの種類があります。「侵入の入口（初期アクセス）の確保」と「攻撃に使う基盤（インフラ）の準備」です。

    1. 侵入の入口（初期アクセス）の確保
      これは標的やその周辺へのアクセス手段を手に入れることを指します。たとえば、メールやクラウドサービスのアカウントを盗む、なりすましで新しいアカウントを作る、VPNやリモートデスクトップの接続情報を手に入れる、といった行為です。こうして得たアカウントは、すぐに攻撃に使われる場合もあれば、「信頼できる人」を装うための材料として、フィッシングメールやSNSでのだまし（ソーシャル・エンジニアリング）の起点に使われることもあります。管理者アカウントの認証情報を盗まれ、それを悪用されてランサムウェアを侵入させられた事例があります。また、別人の身分証やディープフェイク画像を使って採用面接をすり抜け、正規の手順を踏んで組織に入り込もうとした事例もありました。
    2. 攻撃に使う基盤（インフラ）の準備
      こちらは偵察や攻撃に使うためのインフラや機能を準備することです。攻撃者は、自分たちの正体を隠しながら活動するために、正規のドメインやそれに似せたドメインを取得し、そこに不正なサイトやマルウェア配布用のサーバを用意します。見た目は普通のサービスにしか見えないダウンロードサイトや、検索結果や広告を悪用して利用者を誘導する偽サイトが、その一例です。

    オープンソースソフトウェアの開発コミュニティに長期間関わり、信頼を得たうえで、正規の更新（アップデート）に見せかけてバックドアを仕込もうとしたソフトウェアサプライチェーン攻撃の事例があります。また、ランサムウェアの攻撃グループが、正規のVPNサービスやVPSサービスを使って通信経路を隠し、さらに偽のインストールサイトを用意して、正規ツールに見せかけたマルウェアを配布するといった手口も確認されています。

    攻撃者はアカウントや認証情報などの「侵入の入口（初期アクセス）」、ドメイン・サーバ・攻撃ツールなどの「攻撃に使う基盤（インフラ）」をあらかじめ用意し、これらから攻撃を組み立てていきます。足掛かりは、その後に続く偵察や侵入、情報窃取のスタート地点であり、企業からみれば、どのような足掛かりが自社に対して用意され得るのかを理解しておくことが、リスク評価と対策の前提になります。では、サイバー攻撃者による足掛かり作りや偵察行為は、どのような被害をもたらしているのでしょうか。

    ダークウェブによる被害事例

    ダークウェブ上への情報掲載は、ランサムウェア攻撃や情報窃取の「最終段階」であり、公開された情報は長期的なリスクを生み続けます。以下で、近年日本企業が経験した主な事例を、時系列および性質別に整理します。

    報告年月企業名概要ダークウェブでの公開状況
    2025年11月アサヒグループホールディングス（アサヒGHD）最大191万4,000件の個人情報が漏洩、または漏洩の可能性あり*11未確定
    2025年8月ニッケグループ管理権限IDが不正利用され、社員情報・顧客情報など数千件規模が窃取される*2公開を確認済み
    2024年9〜11月日本海建設電気VPN機器の脆弱性を突かれて侵害。ランサムウェアによりデータ暗号化後、一部情報が公開*3公開を確認済み
    2024年6月KADOKAWAグループフィッシングで従業員アカウントが窃取され、ランサムウェア被害。1.5TB、25万件超の情報が外部漏洩*4一部公開を確認
    主な被害事例一覧（時系列順）

    事例詳細

    2025年11月　アサヒGHD

    最大191万4,000件規模の個人情報が漏洩および漏洩の可能性

    アサヒGHDは、2025年11月27日の記者会見で、グループ各社の顧客・従業員などに関わる最大191万4,000件の個人情報が流出した可能性があると公表しました。攻撃者はグループ拠点のネットワーク機器やVPNの脆弱性・パスワード管理の不備またはダークウェブで入手した認証情報をもとにデータセンターのネットワークに侵入したと主張しています。 今回の事案は、従業員個人がだまされる形で攻撃が始まった可能性も指摘されており、初期アクセスとしての入口確保が企業にとってどれほど重大なリスクとなるかが示された例といえるでしょう。情報の真偽確定前であっても、詐欺・なりすまし・取引先への不安拡大など、周辺リスクが即座に発生し得る点にも注目すべきです。

    2025年8月　ニッケグループ

    管理権限IDの侵害からの個人情報のダークウェブ露出

    ニッケグループの事例では、管理権限IDが不審なログインにより悪用され、複数のサーバが侵害されました。調査の結果、従業員情報や取引関連データを含む情報が外部に持ち出されていたことが判明し、その後、攻撃者がダークウェブ上のリークサイトにデータを公開したことが確認されています。管理権限IDの奪取を起点に、横断的にサーバへアクセスされるという典型的な「初期アクセス悪用型」攻撃であり、1つの管理アカウントが侵害されるだけで、被害が拡大してしまうというリスクを示す事例です。

    2024年9〜11月　日本海建設電気

    VPN機器の更新不足が招いた侵害からの情報漏洩

    日本海建設電気の事例では、更新されていなかったVPN機器に残っていた既知の脆弱性を攻撃者に突かれ、ネットワークへの侵入を許しました。内部サーバがランサムウェアにより暗号化され、のちの調査でダークウェブ上のリークサイトに一部の個人情報を含む取引情報が掲載されていることが確認されました。 VPN機器のメンテナンス不足という、比較的「基本的な更新作業の遅れ」が重大インシデントに発展した例であり、境界に存在するシステムの脆弱性管理が、依然として最大の侵入要因になり続けていることを象徴するケースです。

    2024年6月　KADOKAWAグループ

    従業員アカウントのフィッシング被害からのランサムウェア被害　個人情報25万件漏洩

    KADOKAWAグループの事例では、従業員アカウント情報がフィッシングにより窃取されたと推測されています。そのアカウントを入口に社内ネットワークへ侵入され、ランサムウェア展開と情報窃取が行われました。結果として1.5TB、25万件超の個人情報が外部に漏洩し、犯行グループ「Black Suit」を名乗る組織がダークウェブ上のリークサイトにデータを公開しました。その後、漏洩データがSNSや匿名掲示板などで拡散され、KADOKAWA側は削除要請や発信者情報開示請求、悪質な投稿に対する法的措置を進めるなど、技術対応を超えた負荷も発生しています。

    ダークウェブを悪用した攻撃への予防策

    ダークウェブを悪用した攻撃は、企業にとって重大なリスクの起点となります。被害を防ぐためには、従業員レベルの対策と、組織としての基盤整備を並行して進めることが重要です。

    ユーザ（従業員）向けの対策

    まず、従業員が不用意にダークウェブへアクセスしないことが大切です。アクセス先でマルウェアに感染すれば、認証情報が窃取され、企業ネットワークへの“初期アクセス”として悪用される可能性があります。また、ID・パスワードの管理や多要素認証（MFA）の導入は全社共通の必須対策です。近年はAIによって高度化したフィッシングが増加しており、従業員の注意力だけで防ぐことは困難です。そのため、メールフィルタリング、URL検査、なりすまし検知などの機械的防御と、ソーシャル・エンジニアリング対策を含む継続的な教育の両方が必要です。

    企業向けの対策

    企業が取り組むべき対策は、企業規模や環境に応じて段階的に強化していくことが重要です。まずは、アクセス制御の適正化、脆弱性管理、ログ監視など、基本的なセキュリティ施策を継続的に行うことが肝要です。

    さらに昨今のインシデントでは、攻撃者が高度な手口を用いることで、既存の防御が想定どおり機能しなかった事例も見受けられます。先述のアサヒグループの事例では、EDRを導入していたものの、攻撃者が巧妙に活動していたため早期検知が難しかったとされています。この事例が示すのは「EDRが無力だった」ということではなく、検知ルールの設計や運用の質、継続的な監視体制の重要性です。企業規模を問わず、導入した製品を“そのまま”ではなく、自社環境に合わせて適切に運用できる体制づくりが欠かせません。

    またアサヒグループは再発防止策として、VPN接続を廃止し、ゼロトラストの考え方に基づいたネットワーク再設計を行ったことを公表しており、これは境界防御だけに依存しない環境づくりの重要性を示唆しています。すぐに完全なゼロトラストを導入することが難しい企業でも、段階的にアクセス制御の厳格化やリスクベース認証などを取り入れることで、防御の底上げにつながるでしょう。 また、弊社が提供する「サイバー脅威情報調査（ダークウェブ調査）」は自社や関連組織のアカウント情報・ドメイン名がダークウェブ上で取引されていないかを監視するものであり、ダークウェブのリスクに備えるうえで有効です。

    サイバー脅威情報調査

    攻撃者の準備段階で兆候を把握できれば、被害を未然に防ぐ大きな助けになります。BBSecがご提供する「サイバー脅威情報調査」は、不正アクセス被害が発生したり、情報漏えいの恐れが懸念されたりした場合に、ダークWeb上で機密情報が公開されているか調査して報告するサービスです。詳細はこちら。
    https://www.sqat.jp/cyberthreat-ir/

    万が一インシデントが起きてしまったら

    サイバー攻撃や情報漏洩が発生した際は、被害を最小化し、事業への影響を抑えるための迅速な対応が求められます。特にランサムウェアやダークウェブへの情報の流出が関係する場合、初動対応の遅れが二次被害の拡大につながるため、初動対応～再発防止策を実施することが重要です。

    インシデント発生時の対応について、SQAT.jpでは以下の記事でご紹介しています。こちらもあわせてぜひご覧ください。「セキュリティインシデントの基礎から対応・再発防止まで 第2回：セキュリティインシデント発生時の対応 ─初動から復旧まで」
    https://www.sqat.jp/tamatebako/39262/

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    限定キャンペーン実施中！

    今なら新規お申込みで 初回診断料金 10％OFF！
    短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

    詳細・お申し込みボタン

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    Swift Delivery Web診断キャンペーン案内バナー画像
    投稿日:

    最短7営業日で診断完了 — 脆弱性診断サービス「SQAT® with Swift Delivery」で企業セキュリティを強化

    Share

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    SQAT with Swift Delivery瓦版アイキャッチ画像

    デジタル化が進む今、企業を狙うサイバー攻撃はかつてないほど高度化、巧妙化しています。 法規制やコンプライアンスの強化も相まって、「自社システムの安全性」は経営リスクそのもの。 そこで注目されるのが、短期間でセキュリティの脆弱性を“洗い出す”脆弱性診断サービスです。 本記事では、最短7営業日で診断可能な「SQAT® with Swift Delivery」について、その特長と導入メリットをご紹介します。

    なぜ今、企業に「脆弱性診断」が求められているのか

    サイバー攻撃の高度化 — 増え続ける脅威

    企業を狙う攻撃は、従来のフィッシングやマルウェアにとどまりません。サプライチェーンを狙った攻撃、ゼロデイ攻撃、AI を悪用したフィッシングなど、手口は年々進化。これにより、既存の防御だけでは不十分なケースが増えています。

    製造業

    • 製造業へのサイバー攻撃が前年比で 30％増加。週あたり平均攻撃件数が 1,585件という調査報告あり
    • ランサムウェアの被害件数でも産業別で「製造業」が上位に定着
    • 事例：日本の大手飲料メーカー「アサヒグループ」でも Qilin ランサムグループによる攻撃があり、生産ラインに影響。

    参考：Check Point Research「The State of Ransomware Q3 2025」（https://research.checkpoint.com/2025/the-state-of-ransomware-q3-2025/）

    法規制とコンプライアンス対応の強化

    個人情報保護法の改正や国際的なデータ保護規制の拡大により、企業には厳格なセキュリティ対策と定期的な診断が求められています。これを怠ると、情報漏えいや監査リスク、企業イメージの毀損につながる可能性があります。

    事業継続性と企業信用を守るためのリスク管理

    万が一のインシデントが発生した際、対応が遅れれば復旧までに大きな時間とコストがかかります。脆弱性診断で潜在的リスクを洗い出し、事前に対策することは、「ビジネスの継続性」と「顧客・取引先の信頼維持」に直結します。

    多くの企業が抱える「脆弱性管理」の課題

    多くの企業が抱える脆弱性管理の課題は、次の3点に集約されます。

    1. 脆弱性の発見遅延：新規脆弱性の平均発見所要時間は205日（出典：Ponemon Institute 2023 Vulnerability Report）、重大な脆弱性の見落とし率は約27%（出典：Cybersecurity Ventures）
    2. 対応の遅延：脆弱性の発見から修正までの平均所要時間は67日（出典：Verizon Data Breach Investigations Report 2023）、クリティカルな脆弱性の放置率は約21%（出典：Gartner Security Trends 2023）
    3. リソースの不足：セキュリティ人材不足率は約64%（出典：ISC2「Cybersecurity Workforce Study 2023」）、予算不足を報告する企業は68%に上る（出典：Deloitte Cyber Risk Report 2023）

    事例から見る被害の実態

    事例1: 大手小売業A社
    被害額：約8.5億円。原因は既知の脆弱性の放置で、顧客情報320万件が流出。

    事例2: 製造業B社
    被害額：約12億円。新規サービス展開時の脆弱性を突かれ、生産ラインが14日間停止。

    「SQAT® with Swift Delivery」が選ばれる理由

    最短7営業日で診断結果をスピード提供

    通常の診断サービスでは数週間〜数ヶ月かかることも多いところ、SQAT® with Swift Delivery なら最短 7営業日 で報告書を納品。タイムリーな意思決定と迅速な対策を可能にします。

    明確かつ分かりやすい料金体系

    診断日数に応じた料金設定で、予算も立てやすく、コスト管理が容易。セキュリティ対策費用の導入障壁を下げます。

    60,000件超の診断実績と信頼性

    多様な業種・規模の企業での診断実績をもとに、高い汎用性と信頼性を確保。初めて脆弱性診断を導入する企業にも安心感があります。

    わかりやすい報告書で改善対応がスムーズ

    専門用語をできるだけ排し、改修のための情報を整理・整理。技術部門だけでなく、経営層や広報部門にも説明しやすい形で報告します。

    サービスご提供の流れ

    1. 初期相談：要件をヒアリングし、基点URLを基に診断の準備を開始。スケジュール確定が重視される
    2. 診断の実施：優先順位をつけて重要な部分から診断を行い、全体を効率よくカバー
    3. 報告書の提出：診断終了から2営業日以内に提出
    4. フォローアップ：報告書の内容についての質問対応を行い、次の対策につなげるサポートを実施

    導入企業が期待できる効果

    • セキュリティ強化による情報漏えい／不正アクセスの防止
    • 法規制・コンプライアンスへの対応と監査対策の効率化
    • システム障害やインシデント発生時の影響最小化 — 事業継続性の確保
    • 顧客や取引先、ステークホルダーからの信頼維持／向上

    まとめ

    サイバー攻撃の脅威が増す現代において、ただ “守る” だけではもはや不十分。スピーディで高品質な診断を実行できる 「SQAT® with Swift Delivery」 のような、短納期 × 高信頼の脆弱性診断サービスが、企業の安全性と成長を支える鍵となります。サイバー攻撃の脅威が増す中、迅速かつ効果的な脆弱性診断は企業の存続に不可欠です。

    今こそ、自社のセキュリティ体制を見直し、“攻撃される前” の対策を。

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    限定キャンペーン実施中！

    今なら新規お申込みで 初回診断料金 10％OFF！
    短期間での診断が可能な「SQAT® with Swift Delivery」で、あなたの企業をサイバー脅威から守りませんか？

    詳細・お申し込みボタン

    ウェビナー開催のお知らせ

    最新情報はこちら

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    【速報】アサヒグループホールディングス社長会見、犯行は「Qilin」―サイバー攻撃の全貌とセキュリティの盲点

    Share

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    【速報】アサヒグループホールディングス社長会見、犯行は「Qilin」―サイバー攻撃の全貌とセキュリティの盲点アイキャッチ画像

    2025年11月27日、東京都内でアサヒグループホールディングス（以下、アサヒGHD）の勝木敦志社長らが記者会見を開き、同年9月に発生した大規模なアサヒグループへのサイバー攻撃の詳細と今後の復旧見通しを初めて公にしました*5。現場で明かされたのは、ロシア系ランサムウェア集団「Qilin」（キリン）による容赦のない犯行手口と、日本企業が直面する「境界型防御」の限界でした。セキュリティアナリストの視点から、今回の事件が投げかける教訓を解説します。

    なぜ侵入を許したのか？ロシア系ランサムウェア「Qilin」の執拗な手口

    会見で最も注目されたのは、攻撃の実行犯とその侵入経路の特定でした。アサヒGHDへの攻撃を行ったのは、医療機関や重要インフラを標的にすることで悪名高いランサムウェアグループ、Qilin（キリン）であることが判明しました。

    彼らの手口は極めて巧妙でした。攻撃者はまず、アサヒグループ内の一拠点にあるネットワーク機器の脆弱性を突き、そこを足場にVPN（仮想プライベートネットワーク）を経由して内部ネットワークへ侵入しました。一度内部に入り込むと、特権IDを奪取し、データセンター内のサーバーや端末を一気に暗号化。まさに電光石火のランサムウェア攻撃です。アサヒグループ側は「NIST（米国国立標準技術研究所）基準に基づいた防御策を講じていた」としていますが、攻撃者はその防御網のわずかな隙間―パッチ未適用の機器や古いVPN設定―を見逃しませんでした。

    今回のQilin（キリン）のような攻撃手口を通じて、従来の境界防御（社内は安全、社外は危険という考え方）のみでは限界がある、ということが改めて浮き彫りになりました。なお、アサヒグループ側は攻撃者からの身代金要求には一切応じておらず、支払いを拒否したという毅然とした対応を見せています。

    191万件の情報漏洩リスクと復旧までの長い道のり

    被害の規模は甚大です。会見では、顧客や従業員を含む最大191万件の個人情報が漏洩した可能性があると発表されました。これには氏名や住所などが含まれている恐れがあり、企業としての信頼に直結する重大なインシデントです。

    また、実体経済への影響も深刻です。現在もアサヒグループでは電話やFAXによるアナログな受注対応を余儀なくされており、物流の一部に遅延が生じています。勝木社長は「システムの完全な正常化は2026年2月になる」との見通しを示しました。攻撃発生から実に半年近くを要することになり、ランサムウェア被害からの復旧がいかに困難で、ビジネスを長期停滞させるかを物語っています。

    「境界防御」から「ゼロトラスト」へ―学ぶべき教訓

    今回のアサヒGHDの事例から、私たちセキュリティ担当者が学ぶべき最大の教訓は、侵入されることを前提とした対策へのシフトです。同社は再発防止策として、従来のVPNに依存した境界防御を廃止し、ゼロトラストアーキテクチャ（すべてのアクセスを疑い、検証する仕組み）への移行を明言しました。これは正しい方向性ですが、同時に多大なコストと時間を要する決断でもあります。

    Qilin（キリン）のような脅威アクターは、明日にもあなたの組織を狙うかもしれません。

    • 公開されているVPN機器の脆弱性パッチは即時適用されているか？
    • 多要素認証（MFA）はすべての外部アクセスに強制されているか？
    • 「侵入された後」の検知体制は整っているか？

    ―今回の会見は、これらを再点検するための警鐘として捉えるべきでしょう。アサヒGHDの事例を対岸の火事とせず、自組織のセキュリティ態勢を見直す契機としてください。

    【参考情報】

    技術解説・背景情報（Qilinの手口）

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    ウェビナー開催のお知らせ

  • 2025年12月3日（水）14:00～15:00
    「【最新事例解説】Qilin攻撃に学ぶ！組織を守る“サイバーレジリエンス強化のポイント”喫緊のランサムウェア被害事例からひも解く ― 被害を最小化するための“備えと対応力”とは？」
  • 2025年12月10日（水）14:00～15:00
    「【最短7営業日で報告書納品】短納期で実現するWeb脆弱性診断の新提案-SQAT® with Swift Delivery紹介セミナー」

    • 最新情報はこちら

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    企業がランサムウェアに感染したら？被害事例から学ぶ初動対応と経営者が取るべき対策

    Share

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    企業がランサムウェアに感染したら？被害事例から学ぶ初動対応と経営者が取るべき対策アイキャッチ画像

    近年、企業を狙ったサイバー攻撃は巧妙化・高度化し、なかでも「ランサムウェア」被害は深刻さを増しています。業務停止や顧客情報の漏えい、取引先・株主からの信頼低下など、企業経営を直撃するリスクが現実のものとなっています。もし企業がランサムウェアに感染したら、対応の遅れは損害の拡大を招きます。経営層こそ、リスクを正しく理解し、事前の備えと発生時の迅速な意思決定を行う必要があります。本記事では、企業向けにランサムウェアの最新動向と、感染した際に最優先で行うべき初動対応、そして再発防止策について解説します。

    ランサムウェアとは

    ランサムウェアは企業の重要データを暗号化し、復元と引き換えに身代金（Ransom）を支払うよう要求するマルウェアの一種です。

    かつては個人を標的とするケースが中心でしたが、近年では高額な金銭を得られる企業が主な攻撃対象となっています。製造、医療、インフラ、小売、自治体など業界を問わず被害が発生しており、サプライチェーン全体に影響を与えるケースも増加しています。

    身代金はビットコインなどの仮想通貨で要求されることがほとんどです。ただし、支払ってもデータ等が必ず元に戻るとは限りません。また、暗号化されたファイルのパスワードを解析して、自力で元に戻すことは、ほぼ不可能です。

    なぜ企業が狙われるのか

    企業が持つデータは攻撃者にとって高い価値を持ちます。特に以下の理由が挙げられます。

    • 業務停止を避けるため、身代金が支払われやすい
    • 顧客・取引先データなど外部へ悪用できる情報を保有している
    • セキュリティレベルのばらつきがある
    • クラウド移行、DX加速に伴い防御範囲が拡大している

    攻撃者は従業員のメールや脆弱なVPNを突破口として企業ネットワークに侵入し、内部に潜伏しながらバックアップ破壊など周到な準備を行った上で暗号化を実行します。

    被害を拡大させる「二重脅迫」が主流

    従来はファイルを暗号化して身代金を要求するだけだったランサムウェア攻撃ですが、近年主流となっているのが「二重脅迫（二重恐喝）」型です。これは、暗号化する前にデータを盗み出し、身代金の要求に加え、企業の機密情報をインターネットに公開するぞと、二重に脅迫を行う手法です。

    復旧可能なバックアップがあったとしても、情報漏えいリスクから身代金の支払いに追い込まれるケースが後を絶ちません。また、支払い後もデータ公開を止めない犯罪グループも存在します。

    企業のランサムウェア被害がもたらす影響

    ランサムウェア感染により、企業は多面的な損害を受けます。

    影響範囲内容
    業務面生産ライン停止、受注業務・物流遅延、顧客対応停止
    経済面身代金、復旧費、情報漏えい対応費、機会損失
    信頼面顧客・取引先・株主・社会的信用の失墜
    法的責任個人情報保護法、業界規制等による報告義務

    被害の総額は数千万円〜数十億円規模にのぼる例もめずらしくありません。

    どこから感染するのか（ランサムウェアの主な感染経路）

    多くは企業のセキュリティ対策が不十分な“穴”（＝セキュリティホール）をついて侵入されます。

    • 標的型攻撃メール（添付ファイル・悪意あるリンク）
    • 脆弱性のあるVPN装置・リモート環境
    • 不正なソフトウェア・USBデバイス
    • サプライチェーンを介した侵入
    • 不正アクセスにより管理権限を奪取

    「メールを開いただけ」といった小さな油断から大被害へと発展します。このように、1つのマルウェアに感染することで様々なランサムウェアに感染する可能性があり、攻撃のパターンも複数あるということを認識しておく必要があります。

    企業がランサムウェアに感染したら：最初の72時間で何をすべきか

    感染発覚後の初動対応が、復旧の成否と被害額を大きく左右します。以下は企業が取るべき基本手順です。

    1. 被害範囲の特定と隔離
      ネットワークから切り離し、被害が拡大しないよう封じ込めます。
    2. 外部専門機関への早期連絡
      フォレンジック調査、インシデントレスポンス（CSIRT）と連携し、被害を技術的に分析します。
    3. 重要関係者への状況共有
      経営層／法務／広報／顧客／取引先／監督官庁など、情報開示を適切に実施します。
    4. バックアップからの復旧検討
      データの安全性を確認した上で、段階的に業務を再開します。
    5. 法的観点に基づく対応
      情報漏えいが発生した場合は報告義務が生じる可能性があります。

    “自社だけで判断しない”ことが極めて重要です。

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    身代金を支払えば解決するのか？

    結論から言えば、身代金支払いは推奨されません。その主な理由は以下の通りです。

    • 復号ツールを受け取れる保証がない
    • データ公開を止める保証がない
    • 再び標的にされる可能性が高まる
    • 資金が犯罪組織の活動に利用される
    • 法令や国際規制に抵触するリスク

    国際的にも支払いは原則「NG」とされており、法務と専門家の判断を必須とすべき領域です。

    企業が導入すべきランサムウェア対策

    感染防止と被害最小化は両輪で取り組む必要があります。

    予防策（侵入させない）

    • EDR／XDRの導入
    • 脆弱性管理・パッチ適用
    • ゼロトラスト型アクセス制御
    • メール訓練と従業員教育

    ランサムウェアの対策として、EDR（Endpoint Detection and Response）やSIEM（Security Information and Event Management）製品を活用して、早期検知とブロックを行う方法がよく知られていますが、最大の感染経路のひとつである「メール」を対象にした訓練を行うことも有効でしょう。

    ランサムウェア対策のメール訓練としては、「定型のメールを一斉送信し、部署毎に開封率のレポートを出す」ことに加え、事前に会社の組織図や業務手順等のヒアリングを行ったうえで、よりクリックされやすいカスタマイズした攻撃メールを作成し、添付ファイルや危険なURLをクリックすることで最終的にどんな知財や資産に対してどんな被害が発生するか、具体的なリスク予測までを実施することをおすすめします。

    標的型メール訓練

    https://www.bbsec.co.jp/service/training_information/mail-practice.html
    ※外部サイトへリンクします。

    被害軽減策（侵入されても止める）

    • 隔離可能なネットワーク構成
    • 攻撃検知・自動遮断システム
    • 権限最小化・多要素認証

    復旧策（迅速に回復する）

    • オフライン・多重バックアップ
    • 復旧手順の事前検証
    • インシデント対応訓練

    経営者が担うべき役割

    ランサムウェアはIT部門だけでは対応できません。経営者視点で求められるのは以下です。

    • セキュリティ投資判断と優先順位付け
    • リスクを踏まえた継続的な管理体制の構築
    • 社内文化としてのセキュリティ意識向上
    • インシデント発生時の意思決定と情報開示方針の確立

    セキュリティは経営課題であり、企業価値を守るための投資です。

    まとめ：感染したら“すぐ動ける企業”へ

    企業がランサムウェアに感染したら、時間との戦いが始まります。初動が遅れるほど被害は拡大し、業務停止や情報漏えい、社会的信用喪失といった影響は深刻さを増します。だからこそ、「事前の備え（体制・技術・教育）」「迅速な判断（経営レベル）」「確実な復旧（検証された手順）」が不可欠です。

    攻撃はいつ起きてもおかしくありません。“感染したらどうするか”ではなく、“必ず起きる前提で備える”―それが企業のセキュリティ対策の出発点です。

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像

    投稿日:

    サイバーレジリエンスとは何か―ランサムウェア時代の企業が取るべき対策と実践ガイド
    第2回：Qilinサイバー攻撃に学ぶサイバーレジリエンス

    Share

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    サイバーレジリエンスとは何か 第2回：Qilinサイバー攻撃に学ぶサイバーレジリエンス

    攻撃されても事業を継続できる力「サイバーレジリエンス」を解説。シリーズ第2回は、ランサムウェア攻撃グループ「Qilin」による攻撃の経緯と影響を解説します。被害状況を整理し、企業が得られる教訓と、サイバーレジリエンス強化のポイントを示します。

    アサヒグループへの攻撃事例

    2025年9月、日本を代表する食品・飲料メーカー、アサヒグループホールディングスは、ランサムウェア集団「Qilin（キリン）」の大規模サイバー攻撃の被害に遭いました。これにより、同社の統合システムが停止し、受注や出荷だけでなく、会計や人事、顧客対応までが全面的に麻痺しました。新商品の発売延期や決算発表の遅延、数カ月単位のビジネスインパクトが現実となり、日本社会にも サイバーレジリエンスと情報セキュリティの再認識を促す事態が生まれました。

    ランサムウェア攻撃グループ「Qilin」の特徴

    Qilinはロシア語圏を拠点とするランサムウェア集団で、2022年に「Agenda」から改称・拡張した犯罪組織です。2025年だけで700件超もの犯行声明を出し、暗号化ツールや恐喝サイトを第三者に提供する「 RaaS（Ransomware as a Service）」モデルを主力に展開。技術力に乏しい攻撃者でも、サービスとして提供される攻撃ツールを利用して、企業システムへの侵入・データ窃取・身代金要求が可能となりました。今回のアサヒグループへの攻撃では、財務情報や従業員の個人情報を含む9300ファイル以上、計27GB超の機密データを盗んだと主張しています。

    攻撃の手口については公式発表では明らかにされていませんが、一般的にランサムウェアでは、以下のような経路が考えられます。フィッシングメールやVPN脆弱性の悪用、認証情報の窃取から正規アクセスの確立、そしてシステム内へのラテラルムーブメント（水平展開）です。特にQilinは二重脅迫型で被害企業に身代金の支払いを強く迫り、支払い拒否時には盗んだデータの公開や発注先・顧客への連絡まで講じる、三重・四重の多重脅迫へと進化しています。バックアップの破壊、サプライチェーンや経営層への直接圧力まで、RaaSによるサイバー攻撃の悪質化・高度化が進んでいます。

    従来型セキュリティの限界とゼロトラストセキュリティ

    サイバー攻撃に対しては、従来型の情報セキュリティ対策のみでは防御しきれません。定期的なセキュリティ教育と、VPN・認証情報・アクセス権限の適切管理、多層防御（EDR/XDR、ネットワーク監視、オフラインバックアップ）の導入、そして暗号化による”システムへの侵入前提の対策“が不可欠です。完全防御は不可能であり、いかに早く侵入検知し、適切なインシデント対応計画のもと事業復旧を果たすかがサイバーレジリエンスの本質となります。

    アサヒグループのケースでは、緊急事態対策本部の設置、手作業による一部業務継続、新商品の発売延期、個人情報流出の公表、そして復旧宣言までの透明かつ迅速な情報公開が、関係者との信頼維持に大きく寄与しました。政府の施策としても、重要インフラなど15業種に義務化されているActive Cyber Defense（ACD）制度拡充など、日本社会全体でのサイバー攻撃リスクへの対応強化が模索されています。

    事例から学ぶサイバーレジリエンス強化のポイント

    事例から学ぶべき教訓は、攻撃を未然に防ぐだけでなく”侵入前提”に立った情報セキュリティ体制の整備と、サイバーレジリエンス強化への継続的な投資・教育の重要性です。組織文化としての危機管理、復旧方針の明確化、経営陣の強いコミットメントが不可欠となります。また、暗号化やゼロトラスト、防御・検知・復旧サイクルを確立し、被害時に迅速に情報公開と初動対応が行える体制づくりが、企業の信頼回復・競争力強化に直結することを改めて理解すべきでしょう。

    高度化するランサムウェア攻撃と情報セキュリティリスクを前に、企業・組織は一時的な対策の実施に留まらず、「いかに早く立ち直るか」「次の攻撃にどう備えるか」に重点を置く必要があります。サイバーレジリエンスの本質、それは「攻撃されても倒れない」現実的な強さであり、アサヒグループへのランサムウェア攻撃事例はその象徴的な例として日本社会全体に警鐘を鳴らしています。

    ―第3回へ続く―

    【参考情報】

    【関連ウェビナー開催情報】
    弊社では12月3日（水）14:00より、「【最新事例解説】Qilin攻撃に学ぶ！組織を守る“サイバーレジリエンス強化のポイント”喫緊のランサムウェア被害事例からひも解く ― 被害を最小化するための“備えと対応力”とは？」と題したウェビナーを開催予定です。最新のランサムウェア被害事例をもとに、攻撃の実態と被害を最小化するための具体的な備えについて解説します。ぜひご参加ください。詳細・お申し込みはこちら。

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    ウェビナー開催のお知らせ

  • 2025年11月26日（水）13:00～14:00
    【好評アンコール配信】「クラウド設定ミスが招く情報漏洩リスク -今こそ取り組むべき「クラウドセキュリティ設定診断」の重要性-」
  • 2025年12月3日（水）14:00～15:00
    「【最新事例解説】Qilin攻撃に学ぶ！組織を守る“サイバーレジリエンス強化のポイント”喫緊のランサムウェア被害事例からひも解く ― 被害を最小化するための“備えと対応力”とは？」
  • 2025年12月10日（水）14:00～15:00
    「【最短7営業日で報告書納品】短納期で実現するWeb脆弱性診断の新提案-SQAT® with Swift Delivery紹介セミナー」

    • 最新情報はこちら

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像
    投稿日:

    世界で多発するゼロデイ攻撃とは？Apple・Google・Ciscoを襲った脆弱性の実態と対策

    Share

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    ゼロデイ攻撃とは？Apple・Google・Ciscoを襲った脆弱性の実態と対策アイキャッチ画像

    2025年9月、世界各地で「ゼロデイ脆弱性」を悪用したサイバー被害が相次ぎました。ゼロデイ攻撃とは、まだ修正プログラム（パッチ）が公開されていない未知の脆弱性を突く攻撃であり、検知や防御が極めて困難です。今、ゼロデイ攻撃は誰にとっても避けて通れないサイバーリスクとなっているのです。本記事では、最新のゼロデイ攻撃の事例、被害の傾向、そして今すぐ取るべき対策について解説します。ゼロデイ脆弱性の脅威を正しく理解し、被害を防ぐための第一歩にしましょう。

    世界各地でゼロデイ脆弱性が続発

    2025年9月、世界中でゼロデイ脆弱性をめぐる一連のサイバー攻撃が相次いで報告されました。ゼロデイ脆弱性とは、ソフトウェアやOSに潜む修正前のバグ、つまり開発元ですら把握していない段階で第三者によって悪用される脆弱性のことであり、攻撃者は一般公開前・パッチ適用前にこれを利用して侵入や情報搾取、システム乗っ取りを仕掛けます。2025年9月には、AppleのiPhoneやiPad、GoogleのAndroid端末、CiscoルーターやVPN装置、SAPやAdobe、SonicWallなど多岐にわたるプロダクトが標的となりました。

    Apple・Googleのゼロデイ脆弱性が顕在化

    Apple関連では、「CVE-2025-43300」「CVE-2025-55177」という画像解析に関するゼロクリック型脆弱性が公表され、iPhoneやiPadが世界的な攻撃対象になりました。Apple社は直ちに150ヶ国以上のユーザーへ警告通知を送り、Lockdown Modeの利用を強く推奨しました。実際に攻撃が検知された端末も多く、海外では医療機関や金融サービスを狙った“標的型ゼロデイ攻撃”の発生も確認されています。

    Android端末でも深刻な脆弱性（CVE-2025-38352など）が確認されており、カーネルやランタイム部分の権限誤取得によって、スマートフォンが遠隔操作される事例が増加しました。Chromeブラウザでもゼロデイ脆弱性が発見され、公式パッチのリリースを急いだ流れがあります。これらの技術情報は国際的なセキュリティ速報サイトや公式ベンダーのアドバイザリが一次情報となっており、日々関係者向けに更新されています。

    ビジネスシステムも標的に

    さらに、Windowsのファイル圧縮ソフトWinRARでは「CVE-2025-8088」の脆弱性が報告され、悪意を持ったファイル一つでシステム内部に侵入されるリスクが浮上しました。Citrix NetScalerにおいてはリモートコード実行（RCE）を許す「CVE-2025-7775」、企業内パスワード管理ツールPasswordstateでもゼロデイ攻撃による被害が発生しています。こうしたビジネス系システムでは、管理画面だけで全システムが乗っ取られる危険性が顕在化しており、複数企業が業務停止・復旧対応に追われています。

    ゼロデイ攻撃の基本的な流れ

    ゼロデイ攻撃の基本的な流れは、メール・Web・ファイルアップロードなどを入り口として、権限昇格の脆弱性を突き、最終的に情報搾取や遠隔操作へと至るという流れです。特に企業ユーザーはパッチ適用・監視強化・多層防御など、従来型のセキュリティ運用だけでは防ぎきれない時代に直面しています。一般のエンドユーザーも自らが使うスマートフォンやタブレットがゼロデイ脆弱性を抱えている可能性を念頭に、定期的なアップデートや公式情報の取得を習慣化する必要があります。

    ゼロデイ脆弱性は誰もが直面する脅威

    ゼロデイ脆弱性は一部の大企業だけの問題ではありません。個人が使うアプリやデバイスにもリスクが存在し、誰もが常に脅威に晒される現状が2025年の特徴です。正確な情報源に基づき、自分自身と組織の防御体制を早急に見直すことが求められているのです。

    【参考情報】

    BBSecでは

    サイバーインシデント緊急対応

    セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

    サイバーセキュリティ緊急対応電話受付ボタン
    SQAT緊急対応バナー

    Security NEWS TOPに戻る
    バックナンバー TOPに戻る

    ウェビナー開催のお知らせ

  • 2025年11月12日（水）14:00～15:00
    「なぜ今“脆弱性診断”が必要なのか?実績データで見る検出傾向とサービス比較」
  • 2025年11月26日（水）13:00～14:00
    【好評アンコール配信】「クラウド設定ミスが招く情報漏洩リスク -今こそ取り組むべき「クラウドセキュリティ設定診断」の重要性-」

    • 最新情報はこちら

    資料ダウンロードボタン
    年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。
    お問い合わせボタン
    サービスに関する疑問や質問はこちらからお気軽にお問合せください。
    Security Serviceへのリンクバナー画像
    BBsecコーポレートサイトへのリンクバナー画像
    セキュリティ緊急対応のバナー画像