2024年のサイバー犯罪検挙は13,164件、10年連続増加中1)。他人事ではありません。なぜ攻撃は止まらないのか？2025年の最新被害事例が示す脅威とは？本記事では、攻撃の本質から具体的な対策まで、初心者でも実践できる情報を網羅的に解説します。
※出典:「令和7年版警察白書」(警察庁)
「サイバー攻撃はなぜなくならないのか？」その答えは、攻撃者にとってサイバー攻撃が極めて『儲かる』ビジネスになっているからです。攻撃は高度に組織化・産業化され、明確な目的を持って実行されています。
攻撃者の目的は、身代金などを狙う①金銭の窃取、競合他社の技術情報などを狙う②機密情報の窃取、政治的主張を掲げる③ハクティビズムなどに大別されます。これらを実行するのは、利益を最大化する犯罪組織、国家の支援を受ける攻撃者グループ、そして正規の権限を悪用する内部不正者です。
監修：増井さん
近年は「RaaS（Ransomware as a Service）」に代表されるように、攻撃手法がサービスとして提供されていることから、専門知識がない者でも容易に攻撃を仕掛けられるようになりました。彼らはROI（投資対効果）を計算し、対策が手薄な企業を意図的に狙う傾向が強まっています。
2025年に日本国内で公表された被害事例をご紹介します。これらは明日にでも自社に起こりうる現実の脅威です。
| 被害企業・組織 | 攻撃手口 | 被害内容 |
|---|---|---|
| アサヒグループHD | ランサムウェア | 最大191万件の個人情報漏えいの可能性、受注・出荷業務の停止 |
| アスクル | ランサムウェア | 約74万件の個人情報流出、受注・出荷業務の全面停止、無印良品・ロフトなどの取引先へ波及 |
| 保険見直し本舗 | ランサムウェア | 最大約510万件の契約者情報漏えいの恐れ |
| 近鉄エクスプレス | ランサムウェア | 基幹システムの障害、大規模な物流の遅延・停止 |
| 宇都宮セントラルクリニック | ランサムウェア | 最大約30万件の患者情報漏えいの可能性、電子カルテが利用不可に |
| 快活CLUB | DDoS攻撃 | ネットワーク障害、会員アプリの機能制限 |
これらの事例からわかるように、攻撃者は業種や組織の大小を問わず、あらゆる組織を標的にしています。特にランサムウェアによる被害は、事業の根幹を揺るがす業務停止や大規模な情報漏えいに直結しており、その脅威は計り知れません。
監修：増井さん
最近では、被害に遭った企業がその情報を積極的に公表するようになりました。こういった事例は教訓の宝庫であり、これらの被害に共通する状況やトレンドに注目し、それを自社に置き換えて考えることが重要です。さらに、被害に遭うことを想定し、被害を最小限に抑えるための対策を実施しなければなりません。
あなたの会社は、どんな攻撃手口で狙われる可能性があるかご存じですか？攻撃者は目的に応じて巧妙に手口を使い分け、セキュリティの穴を突いてきます。ここでは、企業が特に警戒すべき代表的な攻撃手法と、その対策のポイントを解説します。
| 攻撃の種類 | 概要と手口 | 対策のポイント |
|---|---|---|
| ランサムウェア | データを暗号化し身代金を要求。近年はデータを窃取し「公開する」と脅す二重脅迫が主流。 | 定期的なバックアップ、不審メール注意、OS・ソフトの最新化。 |
| 標的型攻撃 | 巧妙な偽装メールでマルウェアに感染させる。 | 従業員教育、多要素認証、不審メールの報告体制。 |
| サプライチェーン攻撃 | 対策が脆弱な取引先を踏み台に、本命のターゲット企業へ侵入する。 | 取引先を含めたセキュリティレベルの向上、アクセス管理の徹底。 |
| DDoS攻撃 | 大量の処理負荷をかけ、Webサイトやサービスを停止に追い込む。 | DDoS攻撃対策サービスの導入、トラフィック監視。 |
近年は、データを暗号化せず窃取したものを公開すると脅すノーウェアランサムや、生成AIを悪用した巧妙なフィッシングメールなども登場しており、複数の防御策を組み合わせた「多層防御」が不可欠です。
巧妙化する攻撃には、「侵入させない」「拡大させない」「持ち出させない」という「多層防御」の考え方が重要です。
▼3ステップで実現する情報漏えい対策の概念図
脅威が社内ネットワークに侵入することを防ぐ対策です。
万が一侵入された場合に、被害が内部で拡大するのを防ぐ対策です。
攻撃者が機密情報を外部に持ち出すことを防ぐ最後の砦です。
監修：増井さん
対策しても効果がよくわからない、という声をよく聞きます。対策を実施したときには、その効果を測定するようにしてください。例えば、入口対策ではパッチ適用率や脆弱性残件数、内部対策では特権アカウントの把握率、不審なログの件数推移、出口対策では暗号化対象データ比率やDLPの誤検知率など、自社に合った項目で数値として把握するとよいでしょう。
「うちは大企業ではないから狙われない」これは最も危険な誤解です。
実際には、セキュリティ対策に十分な予算や人材を割けない中小企業こそ、攻撃者にとって格好のターゲットになります。「予算がない」「何から始めればいいかわからない」という声をよく耳にしますが、高額な投資や専門知識がなくても、今日から始められる対策があります。
ここでは、コストパフォーマンスが高く、初心者でも実践できる対策を優先順位順にご紹介します。
最も基本的かつ重要な対策です。WindowsやOfficeの自動更新を有効にし、常に最新の状態を保つだけで、多くの攻撃を防げます。Adobe Acrobat ReaderやZoomなど、使用している全てのソフトも同様に自動更新を設定しましょう。
全ての業務用PCに、法人向けの有償ソフトを導入してください。トレンドマイクロ、ESET、マカフィーなどが代表的です。無料ソフトと比べ、複数台のPCの一括管理機能やサポート体制が充実しており、ビジネスのリスク管理として必要不可欠な投資です。
パスワードは12文字以上、英数字と記号を組み合わせ、使い回しは厳禁です。パスワード管理ツール（1Password、Bitwardenなど）を活用し、複雑なパスワードを自動生成・保管する方法が考えられます。メールやクラウドストレージなど重要なデータを扱うシステムには、スマホでの認証コード入力を求めるなどの多要素認証（MFA）やパスキーの設定を検討してください。
ランサムウェア対策の最後の切り札です。「3-2-1ルール」（3つのコピーを、2種類の媒体で、1つは遠隔地に保管）を意識し、定期的にバックアップを取得しましょう。Google WorkspaceやMicrosoft 365などのクラウドサービスを活用すれば、自動バックアップも可能です。ただし、リアルタイムのバックアップだけでは、元データが暗号化されたときにバックアップも暗号化されてしまうため、パソコンから取り外して保管することも必要です。年に1回は、実際に復旧できるかテストすることも重要です。
IPAの「SECURITY ACTION」は、中小企業が無料で参加できる自己宣言制度です。「情報セキュリティ5か条」という明確な行動指針が得られ、ロゴマークを名刺やWebサイトに掲載できます。IT導入補助金で加点される場合もあるため、まずは登録から始めてみましょう。
これら5つの対策を順番に実施するだけで、セキュリティレベルは格段に向上します。完璧を目指す必要はありません。まずは優先度1から、できることを一つずつ始めてみてください。
監修：増井さん
セキュリティは体制を一度整えただけで終わりではありません。脅威は常に変化するため、世の中のトレンドに合わせて対策を更新するとともに、従業員の訓練、対策効果の評価を続ける必要があります。
A. OSの最新化、複雑なパスワード設定、定期的なバックアップなど、コストをかけずに実施できる対策から始めましょう。
A. 企業の重要な情報を守るためには、複数台のPCの一括管理機能やサポート体制が充実している法人向けの有償ソフトの導入が望ましいでしょう。万が一の際の迅速なサポートは、ビジネスのリスク管理という観点から重要な投資といえます。
A. 「ルールを作って終わり」にしないことが重要です。実際に国内で起きた被害事例を定期的に共有して当事者意識を持たせる、不審なメールを見分けるための「標的型攻撃メール訓練」を四半期ごとに実施する、不審なメールや事象を報告しやすい窓口を設ける、経営層が率先してセキュリティの重要性を発信するなど、複数の施策を組み合わせることが効果的です。研修と訓練、報告体制の整備を継続的に行うことで、組織全体のセキュリティ文化が醸成されます。
A. まずは感染が疑われるPCをネットワークから隔離し、システム管理者や経営層に報告。その後、IPAの相談窓口などの専門機関に速やかに連絡しましょう。個人情報が漏えいした場合は個人情報保護委員会への届出や本人通知が必要になるケースがあるため、法務部門や弁護士と連携して対応してください。
監修：増井さん
社員が報告しやすい雰囲気を作ることも重要です。「報告すると怒られる」「知識がないことが知られて恥ずかしい」などと考えて隠そうとすると、発覚が遅れたり、被害が拡大したりする可能性が高まるため、小さなことから気軽に報告できる環境を作りましょう。
サイバー攻撃は、企業の存続を脅かす身近な経営リスクです。本記事で解説した「多層防御」の考え方を基本に、脅威を正しく理解し、自社の状況に合わせてできることから対策を進めることが重要です。この記事をきっかけに自社のセキュリティ体制を見直し、未来のビジネスを守る第一歩を踏み出しましょう。
ユービーセキュアでは、専門家が貴社のセキュリティ診断や対策、内製化について無料でご相談を承っております。お気軽にお問い合わせください。