サイバー攻撃の主な手口を、一通り整理する｜フィッシングからランサムウェアまで

2026年8月31日 23:17

「セキュリティ対策をしましょう」と言われても、何から守ればいいのかが分からない。
そう感じたことはありませんか。

守り方の話をする前に、まず何が来るのかを知らないと、対策は選べません。
フィッシング、ランサムウェア、標的型攻撃、DDoS。
名前は聞いたことがあっても、それぞれが「誰を、何のために、どうやって」狙う攻撃なのかまで整理されている機会は、意外と多くありません。

この記事では、主要な攻撃手口を一通り、実際の製品名・企業名・数字を挙げながら整理します。
対策編は別の記事にまとめています。

https://note.com/yunta_fukurou/n/nfe61bcc9fc3c

この記事は、警察庁・IPAなどの一次資料をもとに、2026年9月時点の内容にしています。

サイバー攻撃とは何か、攻撃者は何を狙っているのか

サイバー攻撃とは

サイバー攻撃とは、インターネットやコンピューターの仕組みを悪用して、他人のパソコンやスマホ、会社のシステムなどに不正に侵入したり、データを盗んだり、壊したりする行為のことです。

空き巣が家に侵入して物を盗むのと似ていますが、サイバー攻撃は物理的な鍵を壊すのではなく、パスワードの盗み見や、システムの弱点（脆弱性）を突くことで侵入してきます。

攻撃者は何のために攻撃するのか

攻撃者の目的は一つではありません。
代表的なものを整理すると、次の4つになります。

金銭目的：データを暗号化して身代金を要求する、口座から不正に送金するなど、お金を得ることが目的
情報の窃取（諜報）：企業の機密情報や技術情報、個人情報を盗み出すことが目的
破壊工作：システムを止めたり壊したりすること自体が目的（社会インフラや工場の制御システムなどが狙われることもあります）
ハクティビズム：政治的・思想的な主張を目的として、特定の組織のサイトを攻撃するもの

一つの攻撃が複数の目的を兼ねていることも多く、たとえば金銭目的の攻撃が結果的に情報漏えいにもつながる、というケースも少なくありません。

攻撃の一般的な流れ

サイバー攻撃は、いきなり侵入して終わり、というものではなく、多くの場合いくつかの段階を踏んで進みます。
空き巣に例えると分かりやすくなります。

偵察：狙う相手（企業や個人）の情報を事前に調べる段階。空き巣で言えば「留守にする時間帯を下見する」ことに近い
侵入：フィッシングメールや脆弱性を悪用して、実際にシステムに入り込む段階。空き巣で言えば「鍵をこじ開けて家に入る」段階
潜伏：侵入後すぐに行動を起こさず、気づかれないように内部に留まり、さらに情報を集める段階
目的遂行：データの窃取、暗号化、破壊など、本来の目的を実行する段階

この流れを知っておくと、「入り口で防ぐ対策」と「侵入されたあとに被害を広げない対策」の両方が必要だということが理解しやすくなります。

IPA「情報セキュリティ10大脅威 2026」から見る全体傾向

日本国内の状況を知るうえで参考になるのが、IPA（独立行政法人情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」です。
2026年版（組織向け）は2026年1月29日に公表されました。

1位：ランサム攻撃による被害（11年連続11回目）
2位：サプライチェーンや委託先を狙った攻撃（8年連続8回目）
3位：AIの利用をめぐるサイバーリスク（初選出）
4位：システムの脆弱性を悪用した攻撃（6年連続9回目）
5位：機密情報を狙った標的型攻撃（11年連続11回目）

ランサム攻撃と標的型攻撃が11年連続、サプライチェーン攻撃が8年連続と、上位の顔ぶれは長年ほとんど動いていません。
そのなかで、生成AIの普及にともなう新しいリスクが2026年版で初めてランクインした点が、今回の大きな特徴です。

なお9位にDDoS攻撃（2年連続7回目）、10位にビジネスメール詐欺（9年連続9回目）が入っており、この記事で扱う手口はいずれも上位10件に含まれています。

フィッシングとビジネスメール詐欺（BEC）

フィッシングの実態：かたられているのは具体的にどのブランドか

フィッシング対策協議会には、毎月膨大な数の報告が寄せられています。
2026年4月の報告件数は151,112件で、前月より28,731件、約23.5％増加しました。
3年前には月間10万件を下回っていたことを踏まえると、被害の裾野は数年で大きく広がっています。

重要なのは、かたられているのが「知らない会社」ではないという点です。
2026年4月の内訳を見ると、Amazonをかたるフィッシングが約14.4％、Appleをかたるものが約11.6％で、これに楽天カード・セゾンカード・PayPayカードを加えた上位5ブランドだけで、報告全体の約47.8％を占めました。

分野別では、クレジット・信販系が約33.1％、EC系が約31.3％、証券系が約7.9％。
悪用されたブランド数は117にのぼります。

つまり「怪しいメール」ではなく、自分が実際に使っているサービスとほぼ同じ名前で届くのが実態です。
だからこそ、名前だけで信じず、送信元アドレスやリンク先URLを確認する習慣が重要になります。

また、メールだけでなくSMS経由で偽サイトに誘導する「スミッシング」も増加しています。
宅配便の不在通知やキャリア決済の利用確認を装ったSMSが典型例で、協議会はPayPayや東京電力をよそおった文面の報告を多く受領しているとしています。

フィッシングメールの見分け方

「アカウントが停止されます」「至急対応が必要です」など、不安をあおって急がせる文面になっている
送信元のメールアドレスをよく見ると、正規のドメインと微妙に違う（例：本来「rakuten.co.jp」のところ、余分な文字列やハイフンが入っている等）
メール本文中のリンク先URLをよく見ると、正規サイトと違うドメインになっている
日本語の言い回しが不自然、または妙に丁寧すぎる

迷った場合は、メール内のリンクを直接タップせず、普段使っているアプリやブックマークからそのサービスに直接アクセスして確認するのが安全です。

ビジネスメール詐欺（BEC）とは：狙い撃ちにされる企業

ビジネスメール詐欺（BEC：Business E-mail Compromise）は、取引先や自社の経営者になりすまして偽のメールを送り、担当者に指定した口座へ送金させる手口です。
フィッシングが不特定多数を狙うのに対し、BECは特定の企業・担当者を狙い撃ちにする点が特徴です。

代表的な手口は大きく2パターンあります。

取引先担当者になりすまして偽の請求書を送り、振込先口座の変更を装って不正送金させるパターン
自社の経営者（社長）になりすまして経理担当者にメールを送り、M&Aや極秘案件を口実に至急の送金を指示するパターン（いわゆる「CEOなりすまし詐欺」）

実際に報告されている手口はさらに巧妙です。
日本の金融庁のドメインに似せたアドレスを使い、さらに弁護士を装ったアドレスをCC（同報先）に入れて信憑性を演出したケースや、人事部担当者になりすまして給与振込先の変更を指示する英文メールが送られたケースも確認されています。

実際の被害額

2026年1月には、社長を名乗る人物からSNS経由で送金指示を受けた北海道の企業が、あわせて8,000万円をだまし取られる被害が報告されています。
トレンドマイクロの調査によると、2025年12月から2026年2月の間だけで、日本国内の6,000以上の法人組織がCEOなりすまし詐欺の標的になったとされています。

被害は国内にとどまりません。
FBI（米連邦捜査局）の調査機関IC3の発表では、2025年における世界全体のBEC被害総額は約30億4,600万米ドルにのぼるとされています。

BECの見分け方

普段と違う口座への振込を、メールだけで急に依頼された
「至急」「他言無用」など、確認や相談をさせない言い回しが使われている
普段はメールでのやり取りをしない相手から、SNSや個人アドレスで連絡が来た
返信先のドメインに、本来の会社ドメインと同じ文字列を含みつつハイフンが多用されている、あるいはnetworkやmobileなど紛らわしい単語が入っている

最大のポイントは、メールだけで判断せず、電話など別の手段で本人に確認することです。
実際に、やり取りの中で不審な点に気づき、電話で本人確認をしたことで被害を未然に防げたという事例も、IPAから報告されています。

共通する基本対策

メールやSMS内のリンクを安易にクリックせず、正規のアプリ・ブックマークからアクセスする
振込や送金にかかわる依頼は、メール以外の手段（電話など）で必ず本人確認を行う
多要素認証（MFA）を設定し、パスワードが漏れても不正ログインされにくくしておく
少しでも不審に感じたら、一人で判断せず周囲や上司に相談する

マルウェアとランサムウェア

マルウェアとは

マルウェアとは、パソコンやサーバーに不正な動作をさせる目的で作られた悪意のあるソフトウェア全般のことです。

ウイルス：他のファイルに寄生して感染を広げる
ワーム：単体でネットワークを通じて自己増殖する
トロイの木馬：正規ソフトを装って侵入する
スパイウェア：気づかれずに情報を収集する

この中でも、近年もっとも被害が深刻なのがランサムウェアです。

ランサムウェアの感染経路：狙われているのは「あの機器」

警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年（2025年）の国内企業・団体等におけるランサムウェア被害の報告件数は226件でした。

感染経路として突出して多いのがVPN機器で、被害組織へのアンケート結果によると侵入経路の6割以上を占めています。
インターネットに露出した箇所から、攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占める、というのが警察庁の分析です。

「VPN機器」と一括りにされがちですが、実際に脆弱性が繰り返し狙われてきた具体的な製品としては、Fortinet社の「FortiOS／FortiProxy」、Ivanti社（旧Pulse Secure）の「Ivanti Connect Secure／Policy Secure」、Citrix社の「NetScaler ADC／Gateway」、Palo Alto Networks社の製品などが挙げられます。

たとえば2024年1月には、Ivanti Connect Secureのゼロデイ脆弱性（CVE-2023-46805、CVE-2024-21887）が公開直後から悪用され、米国の政府機関にも緊急対応指示が出される事態となりました。
2024年後半にはFortinet社のFortiOSの脆弱性（CVE-2024-55591）についても、国内の警察から利用企業への注意喚起が出されています。

つまり「よく分からないVPN機器の弱点」ではなく、自社が使っている機器のメーカー名・製品名を把握し、そのメーカーが脆弱性情報を出したらすぐ確認するという、非常に具体的な行動が求められるということです。

「二重恐喝」という手口

近年主流になっているのは「二重恐喝」と呼ばれる手口です。
まずデータを盗み出したうえで、二段階で脅迫します。

暗号化したデータを復号してほしければ身代金を支払え
支払わない場合は、盗み出したデータを公開する

さらに、データを暗号化せず盗み出すだけで対価を要求する「ノーウェアランサム」という手口も確認されています。
これは令和5年上半期から警察庁が集計を始めた、比較的新しい分類です。

RaaS：誰でも攻撃者になれてしまう仕組み

「RaaS（Ransomware as a Service）」は、ランサムウェアを開発した犯罪者グループが、その利用権を他の攻撃者に貸し出す仕組みです。
月額課金のソフトウェアサービス（SaaS）のランサムウェア版と考えると分かりやすく、高度な技術がない攻撃者でも簡単に攻撃を仕掛けられるようになった点が、被害件数が高止まりしている一因とされています。

実際の被害事例

2025年9月29日、大手飲料メーカーであるアサヒグループホールディングス株式会社がランサムウェア攻撃を受け、大規模なシステム障害が発生しました。
同社の発表によれば、外部の攻撃者がグループ内の拠点にあるネットワーク機器を経由して侵入し、パスワードの脆弱性をついて管理者権限を奪取したうえで、ネットワーク内部を探索していたとされています。

この事案の情報漏えい規模は、公表後も更新され続けています（詳しくは後述の「2026年8月時点の最新状況」で扱います）。

もう一つの例が、2024年に印刷会社の株式会社イセトーで発生した不正アクセス被害です。
VPNが侵入経路になった可能性が指摘されており、被害は同社1社にとどまらず、業務委託元54社・約150万件規模の情報に影響が及んだと報じられています。
1社のセキュリティ事故が、取引先企業へ連鎖的に波及した典型例です。

復旧にかかる費用：「数百万円」では済まない

警察庁の令和7年の調査では、ランサムウェア被害からの調査・復旧に総額1,000万円以上を要した組織の割合は全体の5割を超えています。
復旧期間については、1か月未満で復旧した組織の割合が全体の5割強でした。

別の調査（JNSA：日本ネットワークセキュリティ協会）では、2017年から2022年までの5年半における平均被害額は約2,386万円と発表されています。
業務停止や機会損失を含めれば、さらに膨らむ可能性があります。

また見落とされがちなのが、「バックアップを取っていれば安心」とは限らない点です。
警察庁の過去の調査（令和4年時点）では、バックアップを取得していた組織は83％にのぼった一方、実際に復元を試みたもののうち、被害直前の水準まで戻せなかったケースが81％にのぼりました。
バックアップは「取得しているか」だけでなく「本当に復元できるか」を定期的にテストしておくことが重要です。

今すぐ見直したい基本対策

自社で使用しているVPN機器・リモートアクセス機器のメーカー名・製品名・バージョンを一覧化しておく
Fortinet、Ivanti、Citrix、Palo Alto Networksなど、該当メーカーが脆弱性情報を公開した際に、速やかに情報を確認できる体制を作る
重要なデータのバックアップは、ネットワークから切り離した場所（オフライン媒体や書き換え不可のクラウドストレージなど）に保管し、年に一度は実際に復元テストを行う
可能であれば、ウイルス対策ソフトに加えてEDR（端末の不審な挙動を検知するソフト）の導入を検討する

ここで挙げた手口のうち、ランサムウェアの被害が出た朝の手順を、別の記事で配っています。
時間帯ごとの動きと、報告書式6種をまとめています。

標的型攻撃とサプライチェーン攻撃

標的型攻撃（APT）とは

APT（Advanced Persistent Threat）とは、特定の組織を標的に定め、時間をかけて執拗に侵入・潜伏を続ける攻撃のことです。

多くの場合、国家の関与が疑われるグループによって行われ、金銭目的というより、機密情報の窃取やスパイ活動（諜報）を目的としています。
侵入してからすぐに行動を起こさず、気づかれないまま社内ネットワークに留まり続ける期間は「滞留時間」と呼ばれ、数か月から数年に及ぶこともあります。

実際に日本を狙っている攻撃グループ

「得体の知れない攻撃者」ではなく、セキュリティ企業や警察庁によって具体的に名前が特定されているグループが日本を狙っています。

MirrorFace（別名：Earth Kasha）：中国を背景とするとされるグループ。2019年から2023年にかけて日本の個人・組織へのスピアフィッシング攻撃を継続し、2023年以降はネットワーク機器の脆弱性を悪用した侵入も行っていると警察庁が報告しています。2024年には「Operation AkaiRyū（アカイリュウ）」と呼ばれる攻撃キャンペーンが発見され、2025年の大阪・関西万博の話題を使ったフィッシングメールで、日本の研究機関や中央ヨーロッパの外交機関が狙われました
TraderTraitor：北朝鮮を背景とするとされるグループ。2024年12月、警察庁と米FBIが連名で、国内の暗号資産取引所を狙った攻撃について注意喚起を行っています
Earth Kumiho（別名：Kimsuky）：北朝鮮を背景とするグループで、2024年に日本国内での活動が観測されています
Earth Koshchei（別名：APT29）：ロシアを背景とするグループ。2024年、正規サイトへのなりすましで偽のCloudflare認証画面に誘導し、盗んだ認証情報でクラウド基盤（Azure・AWS）に侵入する手口が確認されています

これらは民間セキュリティ企業の調査に基づく情報であり、公式な「この国が関与している」という断定（パブリックアトリビューション）が全て行われているわけではない点には注意が必要です。

サプライチェーン攻撃とは

サプライチェーン攻撃とは、標的とする企業そのものではなく、その取引先・委託先・子会社など「サプライチェーン上の弱い輪」を経由して侵入する攻撃です。
大企業が自社のセキュリティ対策を強化しても、取引先の対策が手薄であれば、そこが侵入口になってしまいます。

実例：トヨタ自動車・小島プレス工業のケース

2022年2月26日夜、トヨタ自動車のTier1サプライヤーである小島プレス工業（愛知県豊田市）の社内サーバーがランサムウェアに感染しました。
英文で「3日以内に連絡しなければデータを公開する」という趣旨の脅迫メッセージが確認されており、二重恐喝の手口だったと見られています。

小島プレス工業は影響拡大を防ぐため全サーバーを停止する判断を下しましたが、この影響でトヨタ自動車は2022年3月1日、国内全14工場28ラインという、同社にとって初めてとされる全工場一斉停止に踏み切りました。
日野自動車やダイハツ工業の工場にも影響が及び、約13,000台（1日分の国内生産台数に相当）の生産が遅延しました。
試算されたコストは約3億7,500万ドルにのぼり、小島プレス工業が通常の事業体制に戻るまでには数か月を要したとされています。

従業員約1,600名、売上高約1,400億円という中堅企業への攻撃が、日本を代表する自動車メーカーの生産ラインを1日止めた。
これがこの事例の恐ろしさです。

前述した印刷会社イセトーの事例（2024年、業務委託元54社・約150万件規模に影響）も、サプライチェーン攻撃の典型例です。
1社の被害が取引先企業へ連鎖的に波及する構造は、小島プレスの事例と共通しています。

標的型攻撃・サプライチェーン攻撃への対策

自社が使っているリモートアクセス機器・ネットワーク機器の脆弱性情報を、メーカーごとに定期的にチェックする体制を作る
取引先・委託先とのセキュリティ対策状況を定期的に確認する仕組みを持つ
自社が攻撃の踏み台になった場合に備え、取引先への連絡体制・エスカレーションフローをあらかじめ決めておく
話題性のあるニュース（万博、大規模イベントなど）に便乗したフィッシングメールにも注意を払う

標的型攻撃もサプライチェーン攻撃も、「自社さえ守れば安心」という考え方が通用しない攻撃です。
特にサプライチェーン攻撃は、自社が「加害者側」になってしまう可能性がある点を、経営層にも理解しておいてもらう必要があります。

DDoS攻撃・不正アクセスと認証情報窃取

DDoS攻撃とは

DDoS攻撃（分散型サービス拒否攻撃）とは、多数の端末から標的のサーバーへ大量のアクセスを送りつけ、サーバーの処理能力を超えさせることでサービスを利用できなくする攻撃です。

攻撃には、乗っ取られた家庭用ルーターやネットワークカメラなどのIoT機器が「ボットネット」として悪用されるケースが多く見られます。

実際に日本で起きたDDoS攻撃

2025年1月、NTTドコモが提供する「goo」「OCN」などの複数サービスが大規模なDDoS攻撃を受け、ポータルサイト「goo.ne.jp」が長時間アクセスしづらい状態となったほか、動画配信サービス「Lemino」の検索機能や「dメニューニュース」にも障害が発生しました。

2024年末から2025年初頭にかけては、国内の金融機関や航空会社も標的となり、空港で手荷物の自動チェックイン機が使えなくなる、インターネットバンキングにログインできなくなるといった、生活に直結する障害が発生しています。
攻撃者は一つの通信方式で防御されると、別の通信方式に切り替えて攻撃を継続するなど、手口を変えながら攻撃を仕掛けていたと警察庁が報告しています。

IIJ（インターネットイニシアティブ）の観測では、2024年は年間を通じて1日あたり平均9件のDDoS攻撃が日本国内で検出されており、報道されるのはそのごく一部にすぎません。

また2025年には、Microsoft社が運用するAzureネットワークを標的とした大規模DDoS攻撃が観測されており、家庭用ルーターやカメラを乗っ取ったMirai系のIoTボットネット「Aisuru」が悪用されていたことも報告されています。

不正アクセス・認証情報窃取とは

不正アクセスとは、他人のID・パスワードを不正に使って、本来アクセス権限のないシステムやアカウントに侵入する行為です。

中でも「パスワードリスト攻撃（クレデンシャルスタッフィング）」は、別のサービスから流出したID・パスワードの組み合わせをそのまま他のサービスに試す手口で、パスワードを使い回しているユーザーが標的になります。

この攻撃の成功率は一般的に1〜2％程度とされていますが、攻撃者は自動化ツール（ボット）で膨大な数のアカウントに一斉に試行するため、少ない成功率でも被害件数は大きくなります。
ある調査では、平均的なユーザーは約47個のオンラインアカウントを持ちながら、使用しているパスワードは3種類以下というデータもあり、この「使い回し率」の高さが被害を拡大させる土壌になっています。

実際の被害件数・事例

IPA情報セキュリティ安心相談窓口には不正ログインに関する相談が多く寄せられており、2025年7月には過去最多となる月間144件の相談が寄せられました。
InstagramやFacebookに不正ログインされ、自分ではログインできなくなったという相談が中心です。

2025年上半期には、ある地方銀行でパスワードリスト攻撃により複数の顧客アカウントが不正アクセスされ、総額約2,000万円の不正送金被害が発生した事例も報告されています。

また2025年には、中高生3人が他人の楽天モバイルアカウントに不正アクセスし、通信回線を不正契約・転売したとして逮捕される事件も発生しました。
報道によれば、生成AIやインターネット上の公開情報を使って攻撃用プログラムを作成していたとされています。
かつては高度な技術者しか実行できなかった攻撃が、生成AIの普及によって未成年でも実行できる時代になっているという点は、見過ごせません。

対策：企業側・個人側でできること

パスワードはサービスごとに異なるものを設定し、使い回さない（パスワード管理ツールの活用が有効です）
多要素認証（MFA）を設定できるサービスは必ず有効にする
企業側は、ログイン試行回数の制限やWAF（Webアプリケーションファイアウォール）の導入により、不審なログイン試行を検知・遮断する仕組みを整える
DDoS対策としては、通信事業者が提供するDDoS対策サービスの利用や、攻撃時の切り分け・エスカレーション手順をあらかじめ決めておく

2026年8月時点の最新状況

ここからは、2026年に入ってから動いた点をまとめます。

フィッシング報告件数は、春のピークから半減以下に

本文で挙げた2026年4月の151,112件は、この年の高い水準を示す数字でした。
その後は減少に転じ、2026年7月の報告件数は66,119件（前月比8.6％減）まで下がっています。

一方で、かたられるブランドの集中度は上がりました。
7月はAmazonをかたるフィッシングが約37.0％と突出し、Apple約11.8％、セゾンカード約7.7％と続き、上位5ブランドで全体の約68.6％を占めています。
4月時点の上位5ブランド47.8％と比べると、件数は減ったが、狙われるブランドは絞り込まれているという構図です。

数が減ったからといって安心はできません。
むしろ、通販で日常的に使うサービスに的が絞られているぶん、引っかかりやすくなっているとも言えます。

アサヒの情報漏えいは「229万件」に上方修正された

本文で触れたアサヒグループホールディングスの事案は、公表後も規模が更新され続けています。

同社は2026年2月18日に、漏えいが確認された個人情報として、従業員（退職者含む）5,117件、取引先関係者110,396件、あわせて115,513件を公表しました。

しかしその後、2026年7月17日の発表で、漏えいのおそれがある個人情報の件数を約229万件に修正しています。
内訳は顧客相談室への問い合わせ者152.5万件、取引先の役員・従業員など37.8万件、従業員家族16.2万件、慶弔対応の社外関係先11.7万件、従業員（退職者含む）10.7万件です。

同社は、個人情報保護委員会との協議を踏まえ、二次被害防止の観点から「漏えいのおそれを完全には否定できないもの」まで対象範囲を広げたと説明しています。

ここから読み取るべきは、インシデントの被害規模は初報では確定しないということです。
「確認された件数」と「おそれがある件数」は別物で、調査が進むほど後者は膨らみます。
自社で事故が起きた場合の広報も、この前提で設計しておく必要があります。

証券口座の乗っ取りは沈静化に向かっている

2025年春、証券会社のインターネット取引サービスへの不正アクセスが急増し、社会問題になりました。
金融庁はこの被害状況を毎月集計・公表しており、2026年8月10日更新の資料では、2025年3月から8月にかけて被害が集中していたことが確認できます。

その後は大きく減少し、2026年に入ってからは月あたりの不正アクセスが数百件規模、直近では二桁台まで落ち着いています。
背景には、業界を挙げたパスキー（FIDO2）への移行があります。

この数字は毎月更新されるため、最新値は金融庁のページで確認してください。

警察庁データから読み取れる「誰が狙われているか」

2026年3月公表の警察庁資料からは、被害の分布についても具体的な傾向が読み取れます。

ランサムウェア被害を受けた組織のうち、中小企業が約6割
業種別では製造業が約4割、続いて卸売・小売業、サービス業、情報通信業
一方で、BCP（事業継続計画）を策定済みの組織は約18％にとどまる

「大企業が狙われる」というイメージとは逆で、実際に報告しているのは中小企業のほうが多い。
そして、その多くが事業継続計画を持たないまま被害に遭っています。

明るい材料もあります。
国際的な取締り（テイクダウン）の効果として、LockBitによる被害は31件から19件へ、Phobos／8Baseによる被害は23件から1件へと減少しました。
攻撃基盤を潰す取り組みには、実際に効果が出ています。

まとめ

主要な攻撃手口を一通り見てきました。
整理すると、こうなります。

攻撃者の目的は金銭・諜報・破壊・主張の4つ。攻撃は偵察→侵入→潜伏→目的遂行の段階を踏む
フィッシングはAmazon・Apple・カード会社など、あなたが実際に使っているブランドの名前で届く
BECは不特定多数ではなく、あなたの会社の経理担当者を狙い撃ちにする
ランサムウェアの侵入経路はVPN機器が6割以上。狙われているのはFortinet・Ivanti・Citrixといった具体的な製品
サプライチェーン攻撃では、自社が加害者側になる可能性がある
パスワードリスト攻撃の成功率は1〜2％だが、自動化されているので絶対数は大きくなる

共通しているのは、どれも「得体の知れない何か」ではなく、製品名・ブランド名・手口が具体的に分かっている攻撃だということです。
分かっているということは、備えようがあるということでもあります。

その備えについては、対策編で扱います。

皆さんの会社では、使っているVPN機器のメーカー名と製品名、すぐに出てきますか。

参考・引用元

IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026」（2026年1月29日公表）
　https://www.ipa.go.jp/security/10threats/10threats2026.html
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）
　https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
フィッシング対策協議会「2026/04 フィッシング報告状況」
　https://www.antiphishing.jp/report/monthly/202604.html
フィッシング対策協議会「2026/07 フィッシング報告状況」
　https://www.antiphishing.jp/report/monthly/202607.html
アサヒグループホールディングス「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日）
　https://www.asahigroup-holdings.com/newsroom/detail/20260218-0101.html
アサヒグループホールディングス「サイバー攻撃に係る漏えいのおそれがある個人情報について」（2026年7月17日）
　https://www.asahigroup-holdings.com/newsroom/detail/20260717-0101.html
金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」
　https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html
IPA「ビジネスメール詐欺（BEC）対策特設ページ」
　https://www.ipa.go.jp/security/bec/index.html

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40