攻撃する側が低コストで何度も試せる一方、守る側は多数のシステムを継続して管理する必要があるからです。 日本では、人材不足や取引先を通じた侵入も、この難しさを増しています。
日本の企業や自治体がサイバー攻撃の被害に遭う事件が頻発し、個人情報の流出が相次いでいる。米紙「ニューヨーク・タイムズ」もこの一連の攻撃に注目して被害状況を伝えた。
Proofpointの調査では、2025年1月に同社が観測した新種のメール攻撃の69.5％、2月には80.2％が日本を標的としていた。ただし、世界中のサイバー攻撃の8割が日本に向けられたという意味ではない。なぜ攻撃者が日本を選ぶのか。
国民性として、世界と比較して、詐欺の被害に遭う危機意識に乏しいということは否めない。盗まれた氏名、住所、電話番号、メールアドレスなどは、それ自体が犯罪者にとって価値を持つ。複数の情報を組み合わせれば、相手の勤務先や家族構成まで把握し、本人の事情を熟知した人物を装う詐欺にも利用できる。
攻撃側の技術も変わった。生成AIによって自然な日本語の詐欺メールを容易に作れるようになり、脆弱性の発見にもAIが使われ始めている。Microsoftが今年10月に修正した脆弱性は、同社製品全体で約1400件に達した。近年の年間修正件数に匹敵する規模である。
サイバー能力は世界最低レベル
世界4位の経済規模を誇り、ロボットや自動車、電子機器の生産国である日本は、かねてよりハッカーにとって格好の標的となってきた。専門家らによると、日本はテクノロジーの早期導入国であるにもかかわらず、サイバーセキュリティのインフラは発展途上にあるという。
マイクロソフトの報告書では、2026年のアジアにおいて、日本は台湾に次いでサイバー攻撃の脅威に最も頻繁にさらされている国となった。
英シンクタンク「国際戦略研究所（IISS）」は2021年、各国のサイバー能力を3段階で評価したうちの最下位グループに日本を位置づけた。
止まらない理由は、主に次の5つです。
- お金になるため、攻撃者が入れ替わっても続く。 データを使えなくするだけでなく、「盗んだ情報を公開する」と脅す手口があります。業務停止と情報流出の両方を圧力にできます。警察庁
- 侵入口を完全にはなくせない。 ソフトの欠陥、設定ミス、盗まれたアカウントなど、入口は複数あります。修正前に悪用される欠陥もあり、対策は一度導入して終わりにはできません。IPA・2026年の脅威解説
- 自社を守っても、委託先から入られる。 保守会社や取引先の弱い部分が足掛かりになります。IPAは「サプライチェーンや委託先を狙った攻撃」を2026年版の組織向け脅威の2位に挙げています。IPA
- 守る人と運用体制が足りない。 製品を買うだけでは不十分で、更新、権限管理、監視、復旧訓練を続ける人が必要です。経産省も、中小企業から高度専門職までの人材不足を課題にしています。経済産業省
- 取り締まりが国境をまたぐ。 海外の攻撃者やインフラが関わり、捜査には国際協力が必要です。また、金銭目的だけでなく国家の関与が疑われる攻撃もあり、動機を一つ取り除けば終わる問題ではありません。国家公安委員会の会見
これらを踏まえると、「攻撃をゼロにする」ことと「侵入・被害を減らす」ことを分けて考える必要があります。 更新や多要素認証で侵入を減らし、ネットワークの分離で被害の広がりを抑え、切り離したバックアップと復旧訓練で停止期間を短くする。攻撃が続いていることは、対策が無意味ということではありません。IPAの対策解説
典型的には、次のような穴があります。
| 対策の不備 | 起きること |
|---|---|
| VPN機器やサーバーを更新していない | 公開済みの欠陥を突かれ、社内ネットワークに侵入される |
| 多要素認証がない・退職者のアカウントが残っている | 流出したパスワードや不要なアカウントでログインされる |
| 管理者権限を広く与えている | 一人のアカウントが乗っ取られるだけで、多くのサーバーが操作される |
| 社内ネットワークを適切に分離していない | 一台の感染が、共有ファイルや基幹システムに広がる |
| 委託先の接続権限を把握していない | 保守会社などのアカウントが侵入口になる |
| ログや警報を確認する担当がいない | 侵入後の不審な操作やデータ持ち出しを見逃す |
| バックアップが常時接続され、復元も未確認 | 本番データと一緒に破壊される、または復旧時に使えない |
これらは、IPAの脅威解説で取り上げられている侵入・被害拡大の問題と対応します。IPA・2026年の脅威と対策
なぜ企業は穴を放置してしまうのか。
運用面では、次のように整理できます。
- 更新で業務が止まるのを恐れ、先送りする。 更新の影響確認や停止時間の調整が必要で、そのまま古い状態が残る。
- 誰が責任を持つか曖昧。 社内は「業者がやっているはず」、業者は「契約範囲外」と考え、作業が抜け落ちる。
- 担当者に時間も専門性も足りない。 通常のITサポートと兼務し、監視や改善まで手が回らない。人材不足は経産省も課題として挙げています。経済産業省
- 導入したことを、対策完了だと考える。 ウイルス対策ソフトやバックアップがあっても、設定・監視・復旧確認がなければ効果は限定的です。
例えば、**「古いVPNから侵入 → 過大な権限を奪われる → 分離されていない社内に拡散 → バックアップも破壊」**という連鎖です。一つの不備だけでなく、複数の不備が重なると全社停止に発展します。
ただし、被害が発生しただけで、その企業の怠慢と断定はできません。 個別企業の不備を評価するには、侵入経路、当時利用できた修正、権限設定、検知・復旧体制まで確認する必要があります。
日本企業で実際に情報漏洩が公表された代表的な5事例
2026年に調査結果が公表された事件も含め、発生・発覚時期を区別しました。全件を網羅した一覧ではありません。
LINEのトーク内容は含まれない委託先従業者のPC感染を起点に、NAVER Cloud側のシステムを介して侵入。
| 企業名 | 発生・発覚時期 | 漏洩した情報・規模 | 公表された侵入経路や対策上の問題 |
|---|---|---|---|
| アサヒグループHD | 2025年9月／2026年に調査結果公表 | 漏洩確認：従業員等5,117件、取引先関係者等110,396件。氏名・連絡先など。これとは別に漏洩のおそれがある情報も公表 | 拠点のネットワーク機器から侵入。パスワードの弱点を突かれて管理者権限を奪われたと説明。公式発表 |
| アスクル | 2025年10月／2026年も情報更新 | 顧客情報・一部取引先情報の外部流出を確認。ランサムウェアにより受注・出荷にも影響 | 外部からの不正アクセス。対応として管理アカウントへの多要素認証、認証情報のリセット、監視強化などを実施。公式説明 |
| IIJ（インターネットイニシアティブ） | 2025年4月公表 | 586契約で漏洩確認。メールアカウント・パスワード、メール本文、連携先クラウドの認証情報など。アカウント関連は311,288件が該当 | メールサービスで利用していた第三者製ソフトの当時未発見だった脆弱性を悪用。単純な更新放置とは区別が必要。公式発表 |
| KADOKAWAグループ／ドワンゴ | 2024年6月 | 254,241人の個人情報の漏洩を確認。取引先・クリエイター、従業員などの氏名・住所・口座情報等 | ドワンゴのファイルサーバーなどへのランサムウェア攻撃。引用した発表では、具体的な設定不備までは特定されていない。公式発表 |
| LINEヤフー | 2023年／2024年に最終調査結果 | ユーザー情報・取引先情報・従業者情報。ユーザー分は302,980件〈漏洩の可能性を含む〉。 | 共通の認証基盤とネットワーク接続が侵入経路に関係。公式発表 |
