なぜ今、情報漏えいは同時多発するのか──AI時代の攻撃構造とランサムウェアとの「時間差」、いまできる最低限の対策

いまできる最低限の対策

レガシーな対策の再重要化

　前述の「攻撃は、新規手法よりも既知の脆弱性の悪用が中心」にて日本の実害につながる入口の多くは、既知の脆弱性、弱い認証、そして設定不備だと説明しました。効果が最も大きいのは新しいソリューションではなく、昔から言われてきた基本対策の徹底です。警察庁も基本的なセキュリティ対策の徹底を継続することが最も重要とし、ソフトウェア更新、パスワード管理、そしてアクセス権限の設定を挙げたうえで、VPN機器などは速やかな対応が必要だと明記しています。

　AI時代でもレガシーな対策が必要な理由は、攻撃の高速化と表裏一体です。既知の脆弱性を探して試すコストが下がるほど、パッチ未適用の機器が見つかるまでの時間は短くなります。公開から悪用までに数週間の猶予があるという前提は成り立たず、基本対策の価値は、むしろ上がっています。

　対策は次の三層で整理できます。

ガバナンス

　インターネットに露出している資産（VPN、RDP、管理画面、クラウド設定）の台帳を作り、責任者を決めます。委託先・子会社を含めた管理も欠かせません。TSRの集計でも、委託先が侵害されて委託元の顧客情報が流出した事例が挙げられています。サイバー攻撃を想定したBCP（事業継続計画）も必要ですが、警察庁の調査ではランサムウェア被害組織のうちBCP策定済みは約18％にとどまります。

バージョン管理・脆弱性管理

　境界機器のファームウェアとOS・ミドルウェアの更新を、優先度をつけて期限内に適用します。判断にはCISAのKEVのような実際に悪用が確認された脆弱性のリストを使うのが実務的です。リモートアクセスへのMFA（多要素認証）導入と、不要アカウントの棚卸しも同時に進めます。

AV/EDR

　エンドポイントで不審な挙動を検知・遮断します。検知の82％がマルウェアを使わないという数字が示すように、シグネチャ型のAVだけでは足りず、挙動ベースのEDR（Endpoint Detection and Response：端末の挙動を監視・記録し対応する仕組み）が必要な場面が増えています。

EDRの限界と、インシデント対応・フォレンジックでの価値

　EDRは万能ではありません。Kasperskyは2025年の傾向として、エンドポイントセキュリティを無効化するEDRキラーが攻撃の標準的な構成要素になったと指摘しています。CrowdStrikeも、攻撃者が監視の厚いエンドポイントを避け、アイデンティティやクラウドなど可視性の隙間を渡り歩いていると報告しています。

　それでもEDRの価値は大きいと言えます。特にインシデント事後の対応の際に価値があります。警察庁は被害時に慌てて電源を切るとログなどの痕跡が失われ、フォレンジック調査が難しくなると注意を促し、侵害範囲の特定に不可欠なログの取得を求めています。EDRが記録するプロセス実行、ネットワーク接続、ファイル操作のテレメトリは、侵入経路や横展開の経路、持ち出されたデータの範囲を特定する重要な材料となります。漏えいの公表では何がどれだけ漏れたかの説明が求められますが、その根拠を示せるかどうかはログの有無で大きく変わります。ログが残っていなければ、実際には漏れていない範囲まで漏えいの可能性があるとして公表せざるを得ず、顧客対応や調査の負担が膨らみます。EDRを導入する際は、検知性能だけでなくログをどれだけの期間保存できるか、外部の調査会社に提供できる形式で取り出せるかも確認しておくとよいでしょう。

攻撃者の動向を見る脅威インテリジェンス

　一方、「IABによる分業と時間差」で示したように侵入と被害の間にIABという市場が挟まると、自社のアクセス権がすでに売られている状態に気づかないまま時間が過ぎることがあります。たとえば次のようなものは社内の資産管理やEDRだけでは見えません。パッチ適用前に盗まれた認証情報、委託先経由で流出したVPNアカウント、そしてインフォスティーラー（情報窃取型マルウェア）に感染した従業員の私物端末から抜き取られたセッション情報です。よって、侵入後の検知では間に合わない場面もあります。だからこそ、アクセスが売りに出された段階、認証情報が流出した段階で気づくための外部の視点、すなわち脅威インテリジェンスが必要です。

　その際は、攻撃者のTTP（Tactics, Techniques, and Procedures：戦術・技術・手順）の把握が重要です。たとえば警察庁が示した、VPNの既知脆弱性を突いて侵入し、正規ツールで横展開し、EDRキラーで防御を止め、そしてクラウドストレージにデータを上げてから暗号化するという典型的な流れは、ランサムウェアアクターをはじめとする金銭を目的とした攻撃の典型例です。自社がどのようなアクターに狙われうるのか、アクターが狙いやすい資産はどれか、を洗い出すことにより対策の優先順位も明確になります。

最低限行うべき二つの脅威インテリジェンス

　予算や人員が限られていても、少なくとも次の二つは行う価値があります。

（1）自社が誰に攻撃されうるかの調査

　自社の業種、地域、規模、取引関係から、どの攻撃者グループが関心を持ちうるかを整理します。国内統計では製造業が漏えい公表でもランサムウェア被害でも最多です。CrowdStrikeは中国系による物流業界への標的化が85％増えたと報告し、Rapid7はIABが政府、小売、ITを多く狙っていると分析しています。Kasperskyのデータではアクセス販売の6割が中小企業でした。こうした公開情報と自社の外部公開資産（どのVPN製品のどのバージョンを使っているか）を照らし合わせるだけでも、備えるべき攻撃者と手口はかなり絞り込むことができます。

（2）Telegramを含むダークウェブ調査（既漏えいクレデンシャルの有無）

　自社ドメインのメールアドレスや認証情報、VPNや社内環境へのアクセス権が、ダークウェブのフォーラム、マーケット、Telegramチャネルで流通していないかを定期的に確認します。Kasperskyが指摘するように、Telegramは漏えいデータや認証情報の配布・販売の場として使われ続けており、主要フォーラムが摘発されても代わりの場が現れます。ZeroFoxが示した非公開チャネルへの移行を踏まえると、従来のダークウェブ監視に加えてTelegramを含めた調査が欠かせません。流出が見つかった場合に備え、パスワードのリセット、セッションの無効化、該当アカウントのログ確認といった手順も事前に決めておくと良いです。見つけてから対応方法を考えていては、現代の高速化している攻撃への対策が間に合わない恐れがあります。

まとめ

　本稿の要点として次の三点が挙げられます。

• AIによる低コスト化で隙のある組織を機械的に探して入る攻撃が増え、日本では既知の脆弱性と弱い認証が主な侵入口になっている（攻撃は、新規手法よりも既知の脆弱性の悪用が中心）
• IABによる分業や暗号化なき恐喝により、侵入・漏えい・ランサムウェアは必ずしも一続きに現れなくなっている（IABによる分業と「時間差」）
• 防御は、入口をふさぎ被害後に説明できる土台をつくる基本対策と、売りに出された入口に先に気づくための脅威インテリジェンスとの両輪で考える必要がある

　攻撃の高速化そのものを止めることはできませんが、探索の足掛かりを減らすことができれば機械的な探索の対象から外れやすくなります。まずは自社の外部公開資産の棚卸しやパッチ適用、続いてリモートアクセスへのMFA導入等の着実な基盤を作るための対策から始め、そのうえで外部の脅威インテリジェンスによって見えない場所の動きを補います。この順序で取り組むことが、限られた予算と人員で現実的に被害を減らす近道だと言えます。

備考・出典

備考

数値は2026年10月25日時点で参照した公開情報に基づきます。

出典

• CrowdStrike「2026 Global Threat Report」2026年2月
• Google Cloud / Mandiant「M-Trends 2026」2026年3月
• SecurityWeek「M-Trends 2026: Initial Access Handoff Shrinks From Hours to 22 Seconds」2026年3月23日
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」2026年
• 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026年
• 警察庁「警察白書 令和7年版 ランサムウェアの情勢」2025年
• 警察庁「サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策」2026年1月
• 国家公安委員会「委員長記者会見要旨」2026年3月12日
• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」2025年
• NRIセキュアテクノロジーズ「企業におけるサイバーセキュリティ実態調査2025」2026年2月12日
• 東京商工リサーチ「2025年 上場企業の個人情報漏えい・紛失事故 調査」2026年1月30日
• 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」2026年10月7日
• Kaspersky「International Anti-Ransomware Day 2026」2026年5月12日
• NewsBytes.PH「SMEs account for 60% of dark Web access offers, Kaspersky says」2026年7月18日
• Rapid7「Initial Access Brokers have Shifted to High-Value Targets and Premium Pricing」2026年
• Rapid7「Quarterly Threat Landscape Report Q2 2026」2026年
• ZeroFox「The Role of Initial Access Brokers in Ransomware Operations」2026年