ホーム > blog > サイバーインシデント対策：近年の脅威と組織的対応策

サイバーインシデント対策：近年の脅威と組織的対応策

2025.10.20UP!

• blog
• APT
• GDPR
• インシデント対応
• ガバナンス
• サイバーセキュリティ
• サイバー法務
• サプライチェーン攻撃
• ランサムウェア
• 個人情報保護法
• 経営リスク

1 はじめに

近年、サイバーインシデントは複雑化し、多くの組織が対応に苦慮しています。AIの悪用や国家関与の攻撃（APT）など、脅威は深刻さを増すばかりです。

この記事では、近年の深刻なインシデント事例を多角的に分析し、実践的な防御策と対応能力を構築するヒントを提供します。本記事を読み、貴社のセキュリティ戦略を見直すための具体的な洞察を得てください。

現代のサイバー脅威は、かつてないほど複雑化しています。国家の関与が疑われるAPT攻撃や、組織化されたサイバー犯罪、AIの悪用といった新たな脅威が次々と出現しています。

これらの攻撃は、単なる情報漏えいでは終わりません。企業の事業継続や経済安全保障、ひいては国家の安全保障にまで重大な影響を及ぼします。

警察庁の報告（出典：警察庁）でも、国や重要インフラへの攻撃は安全保障上の懸念と認識されています。

本記事では、まず主要なインシデントを「ランサムウェア」「国家関与の攻撃」「サプライチェーン攻撃」「金融犯罪」の４つのカテゴリーに分類します。そして、その手口と影響を分析します。次に、インシデNT対応のプロセスを検証し、被害を最小化する方策を探ります。最後に、これらの分析から得られた教訓に基づき、具体的かつ多層的な再発防止策を提言します。

2 近年の主要サイバーインシデント事例分析

このセクションでは、近年の代表的なインシデント事例を深掘りし、その戦略的な意味合いを分析します。攻撃者の手口、標的、特徴を明らかにすることは、自社の防御態勢を評価し、優先的に対処すべきリスクを特定する上で非常に重要です。

2.1 ランサムウェア攻撃の高度化と二重恐喝

近年のランサムウェア攻撃は、データを暗号化するだけではありません。情報を盗み出し「公開する」と脅す「二重恐喝」へと進化しています。これにより、被害組織はデータ復旧と情報漏えいの二重の圧力に晒されます。

この脅威をさらに深刻化させているのが、「RaaS（Ransomware as a Service）」というビジネスモデルの台頭です。これは、ランサムウェア開発者が攻撃ツールをサービスとして提供し、身代金の一部を報酬として受け取る仕組みです。RaaSにより、高度な専門知識を持たない攻撃者でも、容易にランサムウェア攻撃を実行できるようになりました。

警察庁の最新報告は、このRaaSモデルの広がりが中小企業（SME）の被害増加に直結していると分析しています。報告された全１１６件の被害のうち、７７件（約３分の２）を中小企業が占めており、件数・割合ともに過去最多となりました。

被害は身代金の支払いだけではありません。調査・復旧費用も高額化しています。例えば、１,０００万円以上を要した組織の割合は、前年の５０％から５９％に増加しました。この傾向は、攻撃の経済的影響が悪化していることを示す重要な指標です。さらに、これに事業停止による機会損失が加わるため、組織の経営に計り知れない打撃を与えています。

2.2 国家が関与するサイバー攻撃（APT）

国家が関与する攻撃（APT）は、軍事技術や機密情報を盗む「サイバーエスピオナージ」や、重要インフラの停止を目的とします。検知を避けるため、OS標準ツールを悪用する「LotL」戦術が特徴です。

例えば、中国が背景にあるとされる攻撃グループ「MirrorFace」は、日本のシンクタンクや政府関係者を標的とした情報窃取活動が確認されています。また、「Volt Typhoon」は、米国の重要インフラ事業者へ侵入し、有事の攻撃に備えてネットワークへのアクセス権限を確保していると指摘されています。

これらの攻撃グループが用いる手口は極めて巧妙です。検知を回避するために長期間ネットワーク内に潜伏します。特に近年注目されているのが、「Living Off The Land（LotL）」戦術です。

これは、OSに標準搭載されている正規の管理ツール（PowerShellなど）を悪用する手法です。マルウェアのような異質なプログラムを使わないため、従来のシグネチャベースの検知をすり抜けます。その結果、異常として検知することが非常に困難になります。

この戦術の台頭は、防御側に戦略の転換を強いています。つまり、従来の境界防御だけでは不十分です。内部の不審な挙動を検知する振る舞い検知や、Endpoint Detection and Response (EDR)といったソリューションへの移行が不可欠であることを示唆しています。

また、国家が関与する攻撃は、機密情報の窃取だけを目的としません。北朝鮮を背景とするグループ「TraderTraitor」は、外貨獲得を目的として暗号資産関連事業者を標的にしています。日本国内でも約４８２億円相当の暗号資産を窃取した事例が報告されています。このように、国家の戦略的目的は多様であり、その脅威は経済安全保障にも直接的な影響を及ぼしています。

2.3 サプライチェーンを標的とした攻撃

サプライチェーン攻撃は、標的企業本体ではなく、セキュリティが脆弱な取引先やITサービスを踏み台にする攻撃手法です。一度の侵害でサプライチェーン全体に被害が連鎖する「増幅効果」が最大のリスクです。

この攻撃の最大の特徴は、一度の侵害がサプライチェーン全体に連鎖的な被害をもたらす「増幅効果」を持つ点です。セキュリティ対策が強固な大企業であっても、信頼する取引先が侵害されれば、その取引関係を通じて間接的に被害を受ける脆弱性が存在します。

したがって、防御戦略は自社の境界線を越え、サプライチェーン全体を包含する必要があります。特に、委託先の選定・管理におけるデューデリジェンス（適正評価手続き）が不可欠です。具体的には、以下のような実践的な対策を講じるべきです。

• ① 第三者機関による監査報告書の要求
  委託先候補に対し、SOC 2レポートのような外部監査結果や、ISO/IEC 27001などの認証取得状況の開示を求めます。
• ② セキュリティ体制の評価
  標準化されたチェックリスト（CAIQなど）を用いて、委託先のセキュリティ対策状況を定量的に評価し、リスクレベルを判断します。
• ③ 契約によるセキュリティ要件の義務付け
  業務委託契約書に、インシデント発生時の報告義務や、遵守すべきセキュリティ基準などを明確に規定し、法的拘束力を持たせます。

サプライチェーン全体でセキュリティレベルの底上げを図ることこそが、この複合的な脅威に対する唯一有効な防御戦略です。

2.4 金融システムを狙ったサイバー犯罪

金融システムを狙う犯罪は、依然として深刻です。特に電話とサイバー攻撃を組み合わせ、被害者の心理を操る「ボイスフィッシング」が巧妙化しています。偽の警告で冷静さを奪い、遠隔操作ソフトを導入させて不正送金を行います。

金融機関やその利用者を狙ったサイバー犯罪は、依然として深刻な脅威です。警察庁の資料によれば、インターネットバンキングにおける不正送金被害は高水準で推移しています。そして、フィッシングサイトへの誘導がその主要な手口となっています。

特に近年、手口が巧妙化しているのが「ボイスフィッシング」です。これは、電話という古典的な手段とサイバー攻撃を組み合わせ、被害者の心理を巧みに操る社会的エンジニアリングの一種です。

攻撃の心理的戦術

1. 偽りの緊急事態を創出: PC画面に「ウイルスに感染しました」といった偽の警告と警告音を突然表示します。これにより被害者の冷静な判断力を奪い、即座の行動（偽のサポート窓口への電話）を促します。
2. 偽りの権威を確立: 被害者が電話をかけると、サポート担当者を装った攻撃者が専門用語を交えて応対し、自身が問題を解決できる唯一の権威であると信じ込ませます。
3. 信頼関係を悪用: 「問題を解決するため」と称して遠隔操作ソフトのインストールを誘導します。被害者の「助けてもらいたい」という心理を利用し、PCの制御権を奪取します。
4. 欺瞞と支配の維持: 攻撃者が不正送金操作を行う間、被害者が疑問を呈しても「これはウイルス駆除プロセスの一部です」などと説明します。こうして最後まで状況を支配下に置き、送金を完了させます。

また、令和７年３月から５月にかけては、証券会社をかたるフィッシングメールが急増しました。それに伴い証券口座への不正アクセスや不正な株式売買が多発しました。被害額は約５,７８０億円にものぼり、フィッシング攻撃が直接的かつ甚大な金銭被害に繋がる深刻な脅威であることを改めて示しました。

これは、インシデントの発生が「もしも」の問題ではなく「いつ」の問題であることを示唆しています。したがって、組織のレジリエンスは、インシデント発生後の対応の迅速性と実効性によって最終的に定義されるのです。次章では、そのインシデント対応について分析します。

3 インシデント対応と時系列分析

サイバーインシデントが発生した際、被害を最小限に抑え、事業を迅速に復旧させるためには、定められたプロセスに従って冷静かつ的確に対応することが不可欠です。インシデント発生後の対応プロセスを時系列で分析することは、組織の対応能力を評価し、改善点を明らかにする上で極めて重要です。

3.1 検知と初動対応（トリアージ）

インシデント対応の第一歩は「検知」です。検知後は、限られたリソースで対応の優先順位を決める「トリアージ」を直ちに実施します。事業への影響が最も大きいインシデントから優先的に対処します。

検知のきっかけは、自社の監視システムからの警告や、外部からの通報など様々です。特に、セキュリティ専門機関や専門家など、外部の第三者から一定の根拠に基づく連絡を受けた場合は、インシデント発生の可能性が高いと判断し、迅速な調査を開始する必要があります。

3.2 封じ込め、根絶、復旧のプロセス

対応プロセスは「封じ込め」「根絶」「復旧」の３フェーズで進めます。①被害拡大を防ぎ（封じ込め）、②原因を根本的に排除し（根絶）、③クリーンなバックアップからシステムを戻します（復旧）。

トリアージで方針が決定すると、対応は国際標準である３つのフェーズに移行します。このプロセス全体を通して、事後の原因究明や法的手続きに不可欠な証拠を保全する「デジタル・フォレンジック」の観点を維持することが極めて重要です。

① 封じ込め (Containment)
インシデントの範囲を限定し、さらなる被害を防ぐ行動です。例えば、感染端末をネットワークから隔離する、不正アクセスされたアカウントを無効化する、といった措置が含まれます。

② 根絶 (Eradication)
攻撃の原因を根本的に排除するフェーズです。脆弱性にパッチを適用する、マルウェアを完全に駆除する、不正なアカウントを削除するなど、根本原因を取り除き、再発を防ぎます。

③ 復旧 (Recovery)
システムやサービスを正常な状態に戻す最終フェーズです。ランサムウェア攻撃ではオフライン保管された、クリーンなバックアップからシステムを復旧させることが極めて重要です。復旧後は、安全性を十分に監視し、通常運用へ戻します。

3.3 関係各所への報告と連携

インシデント対応は組織内部で完結しません。法規制（【個人情報保護法】や【GDPR】）に基づく報告義務、警察などの専門機関との連携、そして顧客や株主への透明性ある情報開示が求められます。

法的報告義務（国際）: 個人情報の漏えいが発生した場合、日本の【個人情報保護法】に基づき、個人情報保護委員会および本人への通知義務が生じます。同様に、EU市民のデータを扱う場合は【GDPR】（一般データ保護規則）、米国では各州のデータ侵害通知法など、遵守すべき法規制が異なります。なぜなら、これらの規制は報告期限（例：【GDPR】では７２時間以内）が厳格であり、違反した場合は高額な罰金が科される可能性があるためです。

法的報告義務（国内新法）: また、日本が欧米主要国と同等以上にサイバー安全保障分野での対応能力を向上させるという目標（国家安全保障戦略に基づく）を実現するため、【サイバー対処能力強化法】（仮称）も検討されています。これは、特に基幹インフラ事業者におけるサイバー攻撃への対応と、政府との情報連携を強化することを目的としています。

新法では、基幹インフラ事業者に対し、導入した一定の電子計算機の届出や、サイバー攻撃によるインシデント報告が義務付けられる見込みです。これは、官民連携の強化の柱の一つと位置づけられています。

専門機関との連携: 警察（都道府県警察のサイバー犯罪対策課など）や、一般財団法人日本サイバー犯罪対策センター（JC3）といった機関との連携は、犯人の特定や被害拡大の防止に大きく貢献します。

ステークホルダーへの情報開示: 顧客、取引先、株主に対し、インシデントの発生事実、影響範囲、対応状況などを迅速かつ透明性をもって公表することは、組織の信頼を維持するために不可欠です。不誠実な対応は、二次的なレピテーションリスクを招きます。

4 根本原因分析と影響評価

インシデント対応が一段落した後、なぜそのインシデントが発生したのかという根本原因を技術的・組織的側面から深く分析することが、真の再発防止と組織のレジリエンス（回復力）向上に不可欠です。

4.1 技術的脆弱性

技術的な根本原因の多くは、脆弱なパスワード管理、パッチ未適用の脆弱性、不適切なアクセス権限、暗号化の不備といった基本的なセキュリティ対策の欠如にあります。これらが攻撃者に侵入の扉を開けてしまいます。

• 脆弱な認証情報管理: 推測されやすいパスワードや、機器の初期設定のまま使われているデフォルトパスワードは、攻撃者に容易に突破されます。
• ソフトウェアの脆弱性: VPN製品やOSに存在する脆弱性を修正パッチを適用せずに放置することは、侵入の扉を開けておくようなものです。多くのAPT攻撃やランサムウェア攻撃は、既知の脆弱性を悪用します。
• 不適切なアクセス制御: 従業員のアカウントに必要以上の権限が付与されていると、侵害された場合に被害が広範囲に及びます。「最小権限の原則」の不徹底は重大なリスクです。
• 暗号化の不備: 機密データが暗号化されていない、または不十分である場合、データが窃取された際の被害が甚大になります。

4.2 人的・組織的要因

技術対策だけでは不十分です。フィッシングメールをクリックする「ヒューマンエラー」や、経営層の認識不足による予算・リソース不足、実効性のないセキュリティポリシーや対応計画の未整備といった組織的課題が根本原因となります。

• ヒューマンエラー: 従業員がフィッシングメールのリンクをクリックしてしまう、不審な添付ファイルを開いてしまうといった「ヒューマンエラー」は、多くのサイバー攻撃の起点となっています。
• 組織全体の課題: 経営層のセキュリティに対する認識不足は、不十分なセキュリティ予算やリソース不足に直結します。また、明確なセキュリティポリシーが存在しない、あるいは形骸化しているケースも少なくありません。インシデント対応計画が未整備であると、いざという時に混乱し、被害を拡大させる原因となります。

4.3 事業への影響評価

サイバーインシデントが事業に与える影響は、金銭的な損失だけに留まらず、信用の失墜や法的な責任など、多岐にわたります。その影響は、以下の３つのカテゴリーに分類できます。

これらの影響は相互に関連し、負の連鎖を引き起こす可能性があります。実効性のある再発防止策を講じることが不可欠です。

5 教訓と再発防止策

これまでの分析から得られた教訓は、サイバーセキュリティが断片的な技術対策の寄せ集めでは実現できないということです。したがって、組織は、技術的・組織的・法的側面を統合した多層的なリスクマネジメント体制を構築し、継続的な改善サイクル（PDCA）を内在化することが求められます。

5.1 技術的対策の強化

（1）セキュリティ基準の導入

NISC（内閣サイバーセキュリティセンター）による「政府機関等の情報セキュリティ対策基準」や、NISTサイバーセキュリティフレームワーク（CSF）、ISO/IEC 27001といった国際標準を参照し、組織全体で一貫性あるセキュリティ管理体制を構築します。なにより、単なる技術導入ではなく、経営層を含む「ガバナンスと説明責任の仕組み化」が不可欠です。

（2）脆弱性管理の徹底

定期的な脆弱性スキャンを行い、発見されたリスクをリスク評価（Criticality）に基づき優先度付けし、迅速なパッチ適用と検証を実施します。特に、サプライチェーン上のソフトウェア更新管理も含めた「継続的脆弱性対応プロセス（Continuous Vulnerability Management）」の確立が求められます。

（3）多要素認証（MFA）の導入

ID・パスワードのみの認証はもはや防御になりません。特にリモートアクセス・管理者権限・重要システムに対しては、多要素認証を必須とし、利便性と安全性を両立させます。

（4）データの暗号化とバックアップ

機密データは保存時・通信時の双方で暗号化し、鍵管理体制を明確化します。ランサムウェア対策としては、オフライン環境またはクラウドの不変（immutable）ストレージでのバックアップ保管を義務化することが望ましいです。

（5）アクセス制御の厳格化

職務・役割に応じて必要最小限の権限のみを付与する「最小権限の原則（Least Privilege Principle）」を徹底します。また、退職・異動時には自動的に権限を剥奪・更新する「ライフサイクル型アクセス管理（Identity Lifecycle Management）」の導入が推奨されます。

5.2 組織的・人的対策の推進

どれほど高度な技術を導入しても、それを運用する「人」の意識と行動が伴わなければ防御は成立しません。そのため、組織文化・教育・シミュレーションを一体化した「ヒューマンセキュリティ・マネジメント」が重要です。

（1）継続的なセキュリティ意識向上トレーニング

全従業員を対象に、定期的なセキュリティ教育を実施します。特に、実際の攻撃手法を再現した疑似フィッシング訓練やケーススタディ型演習が有効です。また、経営層・管理職に対しては、経営判断や危機対応の観点からの教育（Board-level Cyber Training）が求められます。

（2）実効性のある情報セキュリティポリシーの策定

単なる規程文書ではなく、組織の行動規範として機能するポリシー体系を整備します。策定後は経営層が自らその重要性を発信し、周知・遵守状況をKPI化することで、実効性を担保します。

（3）インシデント対応計画（IRP）の策定と演習

サイバー攻撃発生時に「誰が・いつ・何をするか」を明確に定めたインシデント対応計画（Incident Response Plan）を整備します。計画の有効性は定期的に演習で検証し、サプライヤー・関係当局・保険会社を含めたクロスセクター連携訓練を行うことが望ましいです。

5.3 法的・規制遵守体制の構築

サイバーセキュリティはもはやIT部門の課題ではありません。法的責任と経営判断を伴うガバナンス領域です。違反・漏えい時の法的・財務的インパクトを踏まえた「コンプライアンス・バイ・デザイン」への移行が不可欠です。

（1）関連法規制の遵守体制の整備

国内では【個人情報保護法】【不正アクセス禁止法】、国際的には【EU GDPR】【米国 CCPA】【中国個人情報保護法（PIPL）】など、データ保護法制が急速に多極化しています。各国の域外適用リスクを分析し、「法域マッピング（Regulatory Mapping）」と継続的モニタリング体制を整備すべきです。

（2）サイバー保険の活用

100％の防御は不可能であり、万が一の損害を財務的に管理するためには、**サイバー保険（Cyber Insurance）**の導入が有効です。保険契約時には、補償範囲（データ復旧費用・業務中断損害・第三者賠償など）を精査し、インシデント対応プロセスとの連携を明文化しておく必要があります。

（3）法務・経営・技術部門の統合体制

法的リスク、契約対応、情報管理、システム運用をそれぞれ別部署が管轄する日本企業では、縦割り構造が脆弱性を生みます。したがって、「サイバー・リスク統合委員会」など、法務・IT・経営企画が横断的に連携するガバナンスモデルを構築することが望まれます。

5.4 総括：再発防止の鍵は「統合」と「継続」

サイバー攻撃の高度化・多層化に対応するためには、技術・組織・法務の3軸を統合した持続的改善体制が必要です。最も重要なのは、システム防御ではなく「組織の学習能力（Cyber Resilience）」を高めることです。すなわち、

“防ぐ”から“耐え、回復し、学ぶ”へ。
これこそが、現代のサイバーセキュリティ経営の本質です。

6 結論

本記事の分析を通じて、現代のサイバー脅威が多様化・高度化していることが明らかになりました。これらの脅威は、業種や規模を問わず、全ての組織が直面する経営上のリスクです。

インシデント対応においては、技術的な観点からの迅速な検知・封じ込めはもちろん重要です。同時に、【個人情報保護法】や【GDPR】といった国内外の法規制に基づく報告義務を遵守し、警察やJC3などの関係機関と緊密に連携することが、社会的信用の維持に不可欠です。

本記事が導き出す最も重要な結論は、効果的なセキュリティ対策は「多層防御」のアプローチによってのみ実現可能である、ということです。技術的対策、組織的・人的対策、そして法的遵守体制が一体となって初めて、組織は強靭なレジリエンスを獲得できます。

サイバーセキュリティは、解決すべきITの問題ではなく、管理すべき事業リスクです。経営層のリーダーシップのもと、継続的な投資と組織全体の改善努力を続けることこそが、予測不可能な脅威に満ちたデジタル社会を生き抜くための唯一の道です。

ご相談はこちらから