2015年〜2025年 セキュリティインシデントの変遷

10年間のサイバー攻撃から読み解く、企業と社会が直面したセキュリティリスク

はじめに

この10年間、サイバー攻撃は大きく変化してきました。

かつては、コンピューターウイルスへの感染やWebサイトの改ざん、フィッシング詐欺など、比較的個別の端末やサービスを対象とする攻撃が目立っていました。

しかし、近年では企業ネットワーク全体への侵入、ランサムウェアによる事業停止、クラウドサービスの設定不備、ソフトウェア開発・運用委託先を経由したサプライチェーン攻撃など、被害が組織全体や社会インフラに波及するケースが増えています。

特に注目すべきなのは、攻撃者が必ずしも高度な技術を使ってシステムの防御を突破する必要がなくなっていることです。

認証情報の窃取、VPN機器の脆弱性、管理者権限の悪用、委託先のセキュリティ管理不足など、企業が日常的に運用している仕組みの隙が攻撃の入口になっています。

本記事では、2015年から2025年までの主なセキュリティインシデントを振り返りながら、攻撃手法の変化と、企業が取り組むべきセキュリティ対策について整理します。

※本記事は主な事例を選定したものであり、各年のすべてのインシデントを網羅するものではありません。被害件数や原因については、各組織の公表資料を優先しています。

1. 2015年〜2025年 主なセキュリティインシデント一覧

2015年

日本年金機構

• 攻撃手法： 標的型メール攻撃

• 主な被害： 約125万件の個人情報流出

2016年

米国Yahoo!

• 攻撃手法： 不正アクセス・認証情報侵害

• 主な被害： 約30億アカウントに影響

JTBグループ

• 攻撃手法： 標的型メール攻撃

• 主な被害： 約793万人分の個人情報を含むデータの流出可能性

Miraiボットネット

• 攻撃手法： IoT機器への不正侵入・DDoS攻撃

• 主な被害： 大規模なインターネットサービス障害

2017年

WannaCry

• 攻撃手法： 脆弱性悪用型ランサムウェア

• 主な被害： 世界150カ国以上に感染拡大

2018年

Coincheck

• 攻撃手法： 暗号資産交換所への不正アクセス

• 主な被害： 約580億円相当のNEM流出

宅配業者を装う偽SMS

• 攻撃手法： フィッシング・不正アプリ配布

• 主な被害： スマートフォンの不正操作・SMS悪用

2019年

神奈川県庁HDD転売事件

• 攻撃手法： 内部不正・記憶媒体の不正持ち出し

• 主な被害： 行政情報を含むHDDの外部流出

7pay

• 攻撃手法： 認証・アカウント管理の設計不備

• 主な被害： 約3,800万円の不正利用

2020年

カプコン

• 攻撃手法： ランサムウェア（Ragnar Locker）

• 主な被害： 情報流出・社内システム障害

ドコモ口座不正引き出し

• 攻撃手法： 認証・本人確認の不備

• 主な被害： 約2,885万円の不正引き出し

SolarWinds

• 攻撃手法： サプライチェーン攻撃

• 主な被害： 米政府機関・企業への侵入

2021年

Colonial Pipeline

• 攻撃手法： ランサムウェア（DarkSide）

• 主な被害： 石油パイプラインの操業停止

Kaseya VSA

• 攻撃手法： サプライチェーン型ランサムウェア

• 主な被害： 多数の企業でシステム障害

2022年

小島プレス工業

• 攻撃手法： 取引先経由のランサムウェア被害

• 主な被害： トヨタ国内全工場の一時停止

大阪急性期・総合医療センター

• 攻撃手法： ランサムウェア（LockBit）

• 主な被害： 電子カルテ停止・診療制限

2023年

名古屋港統一ターミナルシステム

• 攻撃手法： ランサムウェア（LockBit 3.0）

• 主な被害： コンテナ搬入出業務の停止

NTT西日本子会社

• 攻撃手法： 内部不正・情報持ち出し

• 主な被害： 約900万件の個人情報不正流出

MOVEit Transfer

• 攻撃手法： ゼロデイ脆弱性悪用

• 主な被害： 世界規模の情報流出

LINEヤフー

• 攻撃手法： 委託先経由の不正アクセス

• 主な被害： 約51万件の情報流出可能性

2024年

KADOKAWAグループ

• 攻撃手法： ランサムウェア攻撃

• 主な被害： ニコニコ等の長期サービス停止・情報流出

2025年

IIJセキュアMXサービス

• 攻撃手法： 第三者製ソフトウェアのゼロデイ脆弱性

• 主な被害： メールアカウント等の情報流出

アスクル

• 攻撃手法： ランサムウェア攻撃

• 主な被害： 受注・物流システム停止、情報流出

※「影響」は公表時点の情報に基づきます。可能性を含む件数と、実際に流出が確認された件数は異なります。

2. 年代別の主なインシデントと攻撃手法

2015年：標的型メール攻撃と組織的な情報窃取

日本年金機構 個人情報流出事件

2015年に発生した日本年金機構の情報流出事件は、日本国内における大規模な標的型サイバー攻撃として知られています。

事件の概要

職員に送信された標的型攻撃メールの添付ファイルを開いたことをきっかけに、端末がマルウェアに感染しました。

攻撃者は内部ネットワークに侵入し、複数の端末や共有ファイルサーバーにアクセスして個人情報を窃取しました。

約125万件の個人情報が外部に流出したことが確認されています。

主な経緯

• 2015年5月8日：標的型メールが送信され、職員の端末が感染。

• 2015年5月18日〜20日：複数の端末への感染が発生。

• 2015年5月28日：個人情報の流出が判明。

• 2015年6月1日：日本年金機構が公表。

問題点

この事件では、単にメールの添付ファイルを開いてしまったことだけが問題だったわけではありません。

重要なのは、感染した端末から組織内部の情報にアクセスできる状態だったことです。

また、個人情報の管理ルールや暗号化運用、組織的な情報セキュリティ管理体制にも問題がありました。

教訓

• 標的型攻撃メールへの対策

• ネットワークの適切な分離

• アクセス権限の最小化

• 端末の異常動作を検知する仕組み

• インシデント発生時の迅速な対応体制

参考：厚生労働省 日本年金機構における情報流出事案

2016年：大規模アカウント情報漏えいとIoT攻撃

米国Yahoo! 約30億アカウントに影響した情報流出

Yahoo!では、2013年および2014年に発生した不正アクセスについて、2016年から2017年にかけて段階的に公表されました。

当初は約5億件、続いて約10億件と発表されましたが、2017年の再調査により、最終的に約30億アカウントすべてが影響を受けていたことが明らかになりました。

問題点

• 大規模な不正侵入

• 認証情報やアカウント情報の侵害

• 不正な認証Cookieの作成

• 長期間にわたる侵害の発見・公表の遅れ

この事件は、アカウント情報の管理だけでなく、セッション管理や侵入検知の重要性を示しました。

JTBグループ 個人情報流出の可能性

JTBグループでは、2016年3月に取引先を装ったメールの添付ファイルを開いたことをきっかけに、グループ会社の端末がウイルスに感染しました。

その後、内部サーバーから外部への不審な通信が確認され、調査の結果、約793万人分の個人情報を含むデータファイルが確認されました。

ただし、JTBの当初の公表では、個人情報の流出そのものは確認されておらず、流出の可能性があるという説明でした。

教訓

標的型攻撃は、特定の従業員を入口として、組織内部に侵入する攻撃です。

メール対策だけでなく、侵入後の横移動（Lateral Movement）を防止・検知する仕組みが重要になります。

参考：JTB 2016年6月14日公表資料

Miraiボットネット

2016年にはIoT機器を標的としたマルウェア「Mirai」が大きな問題となりました。

Miraiは、初期設定のまま運用されているルーターやネットワークカメラなどに対して、既定のID・パスワードを利用して侵入します。

感染した機器を大量に集めてボットネットを構築し、標的に対して大規模なDDoS攻撃を行いました。

2016年10月にはDNS事業者Dynが攻撃を受け、Twitter、Netflixなど複数のサービスにアクセスしにくくなる障害が発生しました。

教訓

IoT機器も通常のPCと同様に、セキュリティ管理が必要です。

• 初期パスワードの変更

• ファームウェアの更新

• 不要な外部接続の停止

• 管理インターフェースのインターネット公開禁止

2017年：ランサムウェアの世界的な感染拡大

WannaCry（ワナクライ）

2017年5月、世界規模で感染が拡大したランサムウェアがWannaCryです。

WindowsのSMBv1に存在した脆弱性を悪用し、ネットワーク経由で自己増殖するワーム型の特徴を持っていました。

主な経緯

• 2017年3月14日：MicrosoftがMS17-010の修正プログラムを公開。

• 2017年5月12日：WannaCryの感染が世界規模で拡大。

• 2017年5月：英国NHSなどの医療機関で業務に影響。

感染したPCではファイルが暗号化され、復号のための身代金が要求されました。

この攻撃の特徴は、メール添付ファイルを開かなくても、脆弱性が残る端末間で感染が拡大する可能性があったことです。

教訓

• OSやソフトウェアの修正プログラムを迅速に適用する。

• SMBv1など不要なプロトコルを無効化する。

• ネットワークを適切に分割する。

• バックアップをネットワークから隔離する。

参考：JPCERT/CC ランサムウェアに関する注意喚起

2018年：暗号資産の窃取とスマートフォンを狙う攻撃

Coincheck 暗号資産NEM流出事件

2018年1月、暗号資産交換業者Coincheckから、約580億円相当のNEMが不正に流出しました。

当時の暗号資産市場に大きな衝撃を与えた事件です。

主な問題点

• インターネットに接続されたホットウォレットでの資産管理

• 秘密鍵の管理体制

• マルチシグ（複数署名）による保護の不足

暗号資産は、秘密鍵を保有する者が資産を移転できる仕組みです。

そのため、秘密鍵が攻撃者に取得されると、通常の銀行口座のように取引を簡単に取り消すことができません。

この事件は、暗号資産の保管方法と秘密鍵管理の重要性を広く認識させました。

宅配業者を装う偽SMS

2018年には、佐川急便などの宅配業者を装った不在通知SMSが広がりました。

SMSに記載されたURLを開かせ、偽サイトから不正なAndroidアプリをインストールさせる手口です。

感染すると、端末内の情報窃取や、利用者の端末を使った不正SMS送信などに悪用される可能性がありました。

教訓

スマートフォンも攻撃対象です。

アプリのインストール元を確認し、SMSやメールに記載されたURLを安易に開かないことが重要です。

2019年：認証設計の不備と内部不正

神奈川県庁 廃棄HDD転売事件

2019年、神奈川県庁が使用していた行政情報を含むHDDが、廃棄を委託された事業者の従業員によって不正に持ち出され、インターネットオークションで転売されていたことが発覚しました。

主な問題点

• 廃棄業務の委託先に対する管理不足

• 記憶媒体の物理的な管理不足

• データ消去・破壊工程の確認不足

• 委託先従業員による内部不正

この事件で重要なのは、ネットワークへの不正侵入がなくても、情報漏えいが発生するということです。

情報セキュリティは、システムの防御だけでなく、機器の廃棄や委託業務を含む情報のライフサイクル全体を対象にする必要があります。

7pay 不正アクセス事件

2019年7月にサービスを開始した7payでは、第三者による不正ログインと不正チャージが相次ぎ、約3,800万円の被害が発生しました。

サービス開始から間もなく問題が発覚し、同年9月末にサービスが終了しました。

主な問題点

• パスワード再設定機能の設計不備

• 認証・本人確認の不足

• 多要素認証の不十分さ

• サービス全体のセキュリティ設計・検証不足

特に重要なのは、個々の機能だけでなく、サービス全体の認証設計が安全である必要があるという点です。

2020年：ランサムウェアとサプライチェーン攻撃

カプコン ランサムウェア攻撃

2020年11月、カプコンがランサムウェア攻撃を受け、社内システムの一部に障害が発生しました。

攻撃者はRagnar Lockerを名乗り、情報公開を示唆して身代金を要求しました。

調査の結果、北米子会社に残っていた旧型VPN機器が侵入経路となったことが判明しています。

主な問題点

• 更新・管理が不十分な旧型VPN機器の残存

• VPNを経由した社内ネットワークへの侵入

• 内部ネットワークにおける被害拡大

この事件では、既に新しいVPN機器へ移行していたにもかかわらず、緊急時の予備機として旧型機器が残っていたことが問題となりました。

使われていない機器であっても、ネットワークに接続されていれば攻撃の入口になる可能性があります。

参考：カプコン 2021年4月 調査結果

ドコモ口座 不正引き出し事件

2020年9月、ドコモ口座と一部金融機関との連携を悪用した不正引き出し事件が発生しました。

攻撃者は第三者の銀行口座情報等を悪用し、ドコモ口座を経由して預金を不正に引き出しました。

被害額は約2,885万円と公表されています。

主な問題点

• 決済サービス側の本人確認

• 銀行側の認証方式

• サービス間連携における本人確認の不十分さ

これは単一のサービスだけを安全にすればよいわけではないことを示す事件です。

銀行、決済事業者、認証基盤など、複数のサービスを連携させる場合には、全体として適切な認証・認可が成立している必要があります。

SolarWinds サプライチェーン攻撃

2020年末に明らかになったSolarWinds事件は、ソフトウェアの開発・配布プロセスそのものが攻撃対象になった代表例です。

攻撃者はSolarWinds社のソフトウェア開発・ビルド環境に侵入し、正規の更新プログラムに悪意あるコードを混入させました。

その更新プログラムを利用した組織が、知らないうちにバックドアを導入する結果となりました。

重要なポイント

正規のソフトウェアを利用していても、その開発元や配布経路が侵害されれば安全とは限りません。

この事件は、ソフトウェアサプライチェーン全体の安全性を考える必要性を示しました。

2021年：重要インフラとIT管理事業者への攻撃

Colonial Pipeline ランサムウェア攻撃

2021年5月、米国の石油パイプライン事業者Colonial Pipelineが、DarkSideによるランサムウェア攻撃を受けました。

攻撃を受けた同社は、被害の拡大を防ぐためにパイプラインの操業を停止しました。

この影響により、米国東部で燃料供給に大きな混乱が発生しました。

教訓

サイバー攻撃は、単にPCやサーバーのデータを失わせるだけではありません。

エネルギー、交通、医療などの重要インフラを停止させ、社会生活そのものに影響を与える可能性があります。

Kaseya VSA サプライチェーン攻撃

2021年7月、IT管理ソフトウェアを提供するKaseya社のVSAが攻撃されました。

VSAは、MSP（Managed Service Provider）などが複数の顧客環境を管理するために利用するソフトウェアです。

攻撃者はVSAの脆弱性を悪用し、管理ソフトウェアを経由して多数の顧客環境へランサムウェアを展開しました。

教訓

管理者が利用するツールは、非常に強い権限を持つことがあります。

そのため、管理ツール自体が侵害されると、管理対象の組織全体に被害が波及する可能性があります。

2022年：サプライチェーン攻撃と医療機関への攻撃

小島プレス工業 ランサムウェア被害

2022年2月、トヨタ自動車の主要取引先である小島プレス工業がサイバー攻撃を受けました。

この影響により、トヨタ自動車は部品供給への影響を考慮し、国内全14工場の操業を一時停止しました。

主な問題点

• 取引先のネットワークへの侵入

• リモート接続環境のセキュリティ

• 取引先と自社システムの接続管理

• サプライチェーン全体の事業継続性

この事件は、自社のセキュリティ対策だけでは事業を守り切れないことを示しました。

自社が十分な対策を実施していても、取引先のシステムが侵害されれば、業務に影響が及ぶ可能性があります。

大阪急性期・総合医療センター ランサムウェア感染

2022年10月、大阪急性期・総合医療センターがランサムウェア攻撃を受け、電子カルテシステムなどが利用できなくなりました。

診療や救急患者の受け入れに大きな影響が発生し、通常の診療機能が完全に復旧するまでには時間を要しました。

調査報告書では、給食事業者のシステムから病院側へ侵入が広がった経緯が示されています。

主な問題点

• 委託先のVPN機器の脆弱性

• 委託先ネットワークの認証情報管理

• サーバー間での認証情報の共通利用

• 委託先と病院ネットワークの接続管理

特に注目すべきなのは、医療機関そのものではなく、業務委託先を起点として攻撃が拡大した点です。

参考：大阪急性期・総合医療センター 調査報告書

2023年：内部不正とソフトウェアの脆弱性悪用

名古屋港 統一ターミナルシステムへの攻撃

2023年7月、名古屋港のコンテナ管理システム「NUTS」がランサムウェア攻撃を受けました。

この影響により、コンテナの搬入・搬出業務が約3日間停止しました。

港湾物流という社会インフラが、サイバー攻撃によって停止した事例です。

教訓

物流システムは、単なる業務用ITシステムではありません。

その停止は、製造業や流通業など、広範囲の経済活動に影響を及ぼします。

NTT西日本 子会社の内部不正による情報流出

2023年、NTT西日本の子会社において、元派遣社員による大規模な顧客情報の不正持ち出しが明らかになりました。

約900万件の個人情報が不正に持ち出されていたことが公表されています。

主な問題点

• 運用保守担当者による過剰な権限利用

• 外部記録媒体の管理不足

• 操作ログの監視・検証不足

• 委託先を含めた内部統制の不備

この事件は、外部からの攻撃だけでなく、正規の権限を持つ人物による不正行為への対策が必要であることを示しました。

MOVEit Transfer ゼロデイ攻撃

2023年5月、ファイル転送ソフトウェアMOVEit Transferの脆弱性が悪用され、世界中の企業や政府機関から情報が窃取されました。

攻撃にはClopと呼ばれるサイバー犯罪グループが関与したとされています。

脆弱性はCVE-2023-34362として公表されました。

主な問題点

• インターネットに公開されたファイル転送サーバー

• SQLインジェクションの脆弱性

• 脆弱性公表前からの攻撃

• ファイル転送サービスに集約された大量の情報

この事件は、ファイル転送システムのように外部とのデータ交換を担うサービスが、攻撃者にとって大きな標的となることを示しました。

LINEヤフー 委託先経由の不正アクセス

2023年10月、LINEヤフーにおいて、委託先企業の端末感染をきっかけとした不正アクセスが発生しました。

調査の結果、約51万件のユーザー・関係者情報等について流出の可能性が公表されました。

2024年には総務省から複数回の行政指導を受けています。

教訓

委託先やグループ会社とのネットワーク接続、認証基盤の共有などは、セキュリティ上の重要な管理対象です。

自社のネットワークだけを守るのではなく、外部組織との接続関係も含めてリスクを評価する必要があります。

2024年：大規模サービス停止とデータ侵害

KADOKAWAグループ ランサムウェア攻撃

2024年6月、KADOKAWAグループが大規模なサイバー攻撃を受けました。

ニコニコ動画などのサービスが長期間停止し、社内システムや関連サービスにも広範囲な影響が発生しました。

その後、社内文書や個人情報などの流出が公表されました。

主な経緯

• 2024年6月8日：複数のサーバーにアクセスできない障害が発生。

• 2024年6月：ニコニコを中心とするサービス群を停止。

• 2024年7月：情報漏えいについて追加公表。

• 2024年8月：情報漏えいに関する調査状況を公表。

この事件では、サービスの復旧だけでなく、情報流出への対応、利用者への説明、業務継続など、多方面にわたる対応が必要となりました。

教訓

ランサムウェア対策は、マルウェアの感染を防止することだけでは不十分です。

• システム間の分離

• バックアップの独立性

• 管理者権限の適切な管理

• 復旧手順の整備

• 事業継続計画（BCP）

などを組み合わせた対策が必要です。

参考：KADOKAWA システム障害・情報漏えいに関する情報

2025年：ゼロデイ攻撃とランサムウェアによる事業停止

IIJセキュアMXサービス 不正アクセス・情報流出

2025年4月、IIJが法人向けに提供するメールセキュリティサービス「IIJセキュアMXサービス」において、不正アクセスと情報流出が公表されました。

原因は、サービスで利用していた第三者製ソフトウェアの未知の脆弱性でした。

攻撃は2024年8月3日以降に発生していたことが確認されています。

影響

当初、漏えいの可能性があるメールアカウントは約407万件と公表されました。

その後の調査では、次の情報について流出が確認されました。

• メールアカウント・パスワード：132契約、対象アカウント311,288件

• メール本文・ヘッダー情報：6契約

• 連携する他社クラウドサービスの認証情報：488契約

ここで注意したいのは、約407万件すべてについて流出が確認されたわけではないという点です。

教訓

外部ソフトウェアを利用するサービスでは、自社で開発していないコンポーネントの脆弱性も管理する必要があります。

また、脆弱性が公表される前から攻撃が行われているゼロデイ攻撃では、通常のパッチ管理だけでは対応できない場合があります。

参考：IIJ 公式発表 2025年4月22日

アスクル ランサムウェア攻撃

2025年10月19日、アスクルは外部からの不正アクセスによるランサムウェア感染を公表しました。

この攻撃によって、ASKUL、ソロエルアリーナ、LOHACOなどのサービスに影響が発生し、受注や物流業務が停止しました。

10月31日の公表では、一部の顧客情報や仕入先情報などが外部に流出したことが確認されています。

主な影響

• ECサービスの受注停止

• 物流・出荷業務への影響

• 顧客・取引先情報の流出

• システム復旧と事業再開への長期的な対応

教訓

この事例では、ランサムウェア攻撃が単なるデータ暗号化にとどまらず、受注・在庫・物流などの事業活動全体に影響を及ぼしました。

企業のセキュリティ対策は、情報漏えい防止だけでなく、事業を継続するための仕組みとして考える必要があります。

参考：アスクル 2025年10月31日 情報流出に関する公表資料

3. 10年間のインシデントから見える攻撃手法の変化

ここまでの事例を整理すると、サイバー攻撃にはいくつかの大きな変化が見られます。

3-1. 標的型攻撃から組織全体への侵入へ

2015年の日本年金機構や2016年のJTBの事例では、標的型メールが攻撃の入口となりました。

当時は、メールの添付ファイルを開かせてマルウェアに感染させる手法が大きな脅威でした。

しかし、その後の攻撃では、侵入後に内部ネットワークを探索し、認証情報を窃取し、サーバーや管理システムへ侵入するなど、攻撃が複雑化しています。

現在では、端末単体のウイルス対策だけで組織全体を守ることは困難です。

3-2. ランサムウェアの二重恐喝化

従来のランサムウェアは、ファイルを暗号化し、復号と引き換えに身代金を要求する手法が中心でした。

しかし、現在では暗号化する前に情報を窃取し、身代金を支払わなければ情報を公開すると脅迫する手法が一般化しています。

これを二重恐喝（Double Extortion）と呼びます。

つまり、バックアップからデータを復旧できたとしても、情報流出の問題は解決しないということです。

そのため、ランサムウェア対策では次の両方が必要です。

• データを暗号化・破壊されないための対策

• 情報を窃取されないための対策

3-3. サプライチェーン攻撃の拡大

近年、特に重要性が高まっているのがサプライチェーン攻撃です。

自社のシステムが強固であっても、取引先や業務委託先、ソフトウェア開発元が侵害されれば、自社にも被害が及ぶ可能性があります。

小島プレス工業、SolarWinds、Kaseya、MOVEit、LINEヤフーなどの事例は、その危険性を示しています。

企業は、自社のネットワークだけでなく、外部組織との接続やデータ共有の仕組みについても管理する必要があります。

3-4. クラウド・API・認証基盤が新たな攻撃対象に

クラウドサービスの普及に伴い、システムの構築・運用方法も大きく変わりました。

一方で、クラウドストレージの公開設定ミス、過剰なアクセス権限、APIの認証・認可不備など、新たなリスクも発生しています。

クラウドを利用すれば自動的に安全になるわけではありません。

特に、APIについては認証だけでなく、利用者が対象データにアクセスする権限を持っているかという認可の検証が重要です。

3-5. 内部不正への対策も欠かせない

NTT西日本の事例や神奈川県庁のHDD転売事件が示すように、情報漏えいは必ずしも外部の攻撃者によって発生するわけではありません。

正規の権限を持つ従業員や委託先スタッフによる不正行為も、重大なセキュリティリスクです。

最小権限の原則、操作ログの監視、データ持ち出し制御、職務分掌など、技術面と組織面の両方から対策する必要があります。

4. 企業が取り組むべきセキュリティ対策

これまでのインシデントを踏まえると、企業が優先的に取り組むべき対策は次のとおりです。

対策領域主な対策ID・認証管理MFA、パスキー、特権ID管理、条件付きアクセスエンドポイントEDR、XDR、OS・ソフトウェアの更新ネットワークセグメント分離、VPN管理、通信制御クラウドCSPM、アクセス権限監査、設定の継続的な確認アプリケーションセキュア開発、API認証・認可の検証データ保護暗号化、DLP、アクセスログ監査サプライチェーン委託先評価、接続制御、契約・監査の強化バックアップオフライン・イミュータブルバックアップインシデント対応CSIRT、SOC、対応訓練、BCP

特に重要なのは、個々の製品やサービスを導入するだけでなく、それらを組み合わせて継続的に運用することです。

例えば、EDRを導入していても、アラートを監視・分析する体制がなければ十分な効果は得られません。

また、MFAを導入していても、脆弱なアカウント管理や過剰な権限付与が残っていれば、別の経路から侵入される可能性があります。

セキュリティは、製品導入だけで完結するものではなく、組織全体で継続的に管理するものです。

5. まとめ：セキュリティはIT部門だけの問題ではない

2015年から2025年までのインシデントを振り返ると、攻撃手法は大きく変化しています。

しかし、個々の事件を詳しく見ていくと、共通する問題も見えてきます。

• 古い機器やソフトウェアが放置されている。

• アカウントやアクセス権限の管理が不十分である。

• 委託先や取引先との接続が適切に管理されていない。

• 異常な通信や操作を検知できない。

• インシデント発生時の対応・復旧体制が整備されていない。

これらは、必ずしも高度なサイバー攻撃だけが原因で発生する問題ではありません。

むしろ、日常的なIT運用や組織管理の不備が、重大なインシデントにつながっているケースも少なくありません。

今後、クラウドサービスや生成AI、IoT、APIなどの利用がさらに拡大するにつれて、企業が管理すべきセキュリティ領域も広がっていくでしょう。

重要なのは、攻撃を完全に防ぐことだけを目標にするのではなく、侵入される可能性を前提に、被害を最小限に抑え、迅速に検知・対応・復旧できる体制を構築することです。

セキュリティ対策は、単なるIT投資ではありません。

企業の事業継続、顧客からの信頼、そして社会インフラを守るための経営課題なのです。

参考資料・情報源

本記事の事例確認にあたり、以下の公的機関・企業の資料を参考にしています。

公的機関

• IPA 情報セキュリティ10大脅威

• JPCERT/CC

• 警察庁 サイバー警察局

• CISA（米国サイバーセキュリティ・インフラ安全保障庁）

企業・組織の公式発表

• 日本年金機構

• カプコン

• 大阪急性期・総合医療センター

• NTT西日本

• KADOKAWA

• IIJ

• アスクル

※各事例の被害規模や調査結果は、発表時期によって更新される場合があります。最新の状況については、各組織の公式発表をご確認ください。