TECH INSIGHT // DEEP DIVE
サイバーセキュリティ
読了時間：約8分（約2,800字）
「今回はマジで次元が違う」世界を揺るがす新世代サイバー猛攻撃と、今すぐ全企業がやるべき“IT資産の総点検”
なぜ名だたる大企業や病院、インフラまでもが連鎖的に沈んでいるのか？従来の境界防御を軽々と無力化する「最新の手口」と、今この瞬間に狙われている「自社の盲点」を解き明かします。
毎日のように目にする「不正アクセス」「システム障害」「情報漏洩」のニュース。「またどこかの会社がやられたのか……」と、どこか画面の向こう側の出来事のように感じてはいないでしょうか。
しかし、最前線でインシデント対応に当たるセキュリティエンジニアやアナリストたちの危機感は、これまでのそれとは全く異なります。彼らは異口同音にこう囁いています。
「悪いことは言わない。今回の猛攻撃は、過去の波とは根本的に次元が違う」と。
かつてのように「怪しいメールのURLをクリックしなければ安全」だった時代は完全に終わりました。攻撃者は今、企業自身すら把握していない「放置された裏口」をAIで自動探索し、侵入から暗号化・情報窃取までをわずか数十分で完了させています。
【図解】なぜ「今回は違う」のか？攻撃モデルの激変
城壁を守る発想（境界防御）がなぜあっけなく崩壊したのかを比較
従来型アタック（〜数年前）
人間 vs 人間
不特定多数へのばらまき型メールやフィッシング。引っかかった端末からじわじわ潜入。
侵入から偵察、権限奪取まで攻撃者が手動で試行錯誤。対応の時間的猶予が存在した。
社内ネットワーク（内側）とインターネット（外側）の境界を固めれば概ね防げた。
新世代猛攻撃（現在進行形）
自律型・全方位
海外子会社のVPN、野良クラウド、退職者ID、取引先サプライチェーンの「隙間」。
脆弱性公開からわずか数時間でボットが世界中をスキャン。侵害まで全自動化。
データ暗号化＋顧客情報暴露＋DDoS攻撃＋取引先への直接通知による包囲網。
企業の「死角（アタックサーフェス）」はどこにあるのか？
パッチ未適用のままネット公開されたテレワーク用中継機
マーケや開発部門が情シスに無断で立てて放置した検証環境
本社のセキュリティ監視の目が届かない地方・海外サーバー
退職者や元委託業者のIDが特権権限を持ったまま残存
1 何が「今回」を決定的に変えたのか？ 3つの異変
セキュリティ関係者がかつてないほどの警鐘を鳴らす背景には、攻撃側のエコシステム（産業構造）が劇的に進化したことがあります。特に以下の3つの要素が掛け合わさることで、防御側の常識は通用しなくなっています。
① 脆弱性公開から悪用までの「猶予ゼロ秒（Zero-Day化）」
ソフトウェアの脆弱性情報（CVE）が公開された瞬間、攻撃組織は生成AIや自律スキャンボットを活用し、全世界のIPアドレス空間を数分〜数時間で走査します。「来週の定例パッチ適用日にアップデートしよう」という従来の運用サイクルでは、スキャンと侵入のスピードに到底追いつけません。
② ランサムウェアの分業化（RaaS）と「多重脅迫」の凶悪化
現代の攻撃は単一のハッカーではなく、侵入専門のブローカー（IAB: Initial Access Broker）、ランサムウェア開発元、交渉担当者などが役割分担する巨大ビジネス組織です。データを復旧不能にするだけでなく、「身代金を払わなければ顧客情報をダークウェブで公開する」「メディアや取引先へ直ちに暴露メールを送りつける」といった多重脅迫で経営陣を心理的に追い詰めます。
③ サプライチェーンを踏み台にする「迂回侵入」
大企業本体が強固なセキュリティを敷いていても、部品供給元の中小サプライヤー、ビル管理システムの保守用回線、あるいは海外の小規模な現地法人が狙われます。最も警戒が薄い結節点から侵入し、正規の業務接続ルートを通じて中枢システムへと水平展開（ラテラルムーブメント）するのです。
2 最大の脆弱性は「存在すら知らなかったIT資産」にある
ここで冷酷な現実をお伝えしなければなりません。侵入を受けた企業の多くが、決してセキュリティ対策をサボっていたわけではないということです。最新のEDR（エンドポイント検知ソフト）を数億円かけて導入し、社員研修も毎年実施していた企業が、いとも簡単に大規模侵害を許しています。
「守るべき対象を正確に100%把握していない限り、防御の壁をいくら高くしても意味をなさない。攻撃者は、情シスが把握している本館の門扉ではなく、誰も見回っていない裏庭の壊れた勝手口から入ってくる。」
米国のセキュリティ調査機関のデータによると、一般企業が保有する外部公開IT資産のうち、約30%〜40%はIT部門の管理台帳から抜け落ちている（シャドーIT化している）と推計されています。
- 数年前にキャンペーン用途で急遽立ち上げ、そのまま解約を忘れていたWebサーバー
- コロナ禍のテレワーク急拡大時に暫定導入され、保守契約が切れたルーターやVPN装置
- 開発チームがテスト目的でオープンにしたままのAmazon S3バケットやAzure仮想マシン
- M&Aで買収した子会社が独自に契約していたクラウドストレージ
こうした「存在を忘れ去られた資産（Orphaned Assets）」こそが、今まさに新世代サイバー攻撃の格好の標的となっています。
3 今すぐ会社を守る！「IT資産の総点検」実践ロードマップ
「では、具体的に何から始めればいいのか？」
莫大な追加予算をかけずとも、明日から経営層とIT・セキュリティ担当者が一体となって着手すべき4つのアクションをまとめました。
外部アタックサーフェス（EASM）の即時スキャン
社内の管理台帳を見るのではなく、「インターネット側（攻撃者の視点）」から自社のドメインやIPアドレス帯にどのようなサービスが露出しているかを外部調査ツールやスキャナーで可視化します。身に覚えのないポート開放や旧世代のSSL設定が即座にあぶり出されます。
ネットワーク境界機器（VPN・ゲートウェイ）のファームウェア確認
侵入経路の第1位であり続けているのが、SSL-VPNやファイアウォール製品の脆弱性です。各ベンダーから緊急リリースされているセキュリティパッチが全て適用されているか、再起動まで完了しているかを今夜にでも総チェックしてください。
休眠アカウントの完全停止＆多要素認証（MFA）の義務化
直近1年以内に退職した社員、業務終了した外部パートナーのIDが残っていませんか？また、管理者権限を持つアカウントにおいて「パスワードのみ」でログインできる抜け穴をゼロにします。認証の突破は、脆弱性突入と並ぶ侵入の二大巨頭です。
「バックアップの孤立化（オフライン化）」の検証
万が一侵入された際、新世代ランサムウェアは真っ先にバックアップサーバーを暗号化・削除しに行きます。基幹データがメインネットワークから物理的・論理的に切り離された「イミュータブル（書き換え不能）バックアップ」になっているか、リストア訓練を半年以内に実施したかを確認してください。
おわりに：セキュリティの第一歩は「知ること」に勝る薬なし
サイバー攻撃のニュースを見るたび、「自社のような中堅企業は狙われないだろう」「専門部署がないから手の打ちようがない」と諦めてしまう声も少なくありません。
しかし、攻撃者が狙っているのは企業の知名度や事業規模ではなく、単に「最も防御が甘く、インターネット上に放置された穴」です。攻撃の自動化が進んだ今、規模の大小による免罪符は一切存在しません。
総点検を先送りにしてはならない理由
インシデントが起きた後の損害額（事業停止損失、フォレンジック調査費用、賠償金、信用の失墜）は、平時の点検コストの数十倍〜数百倍に膨れ上がります。「自社にはどんな資産があり、どれが外に繋がっているのか」を把握する総点検こそ、最もコストパフォーマンスの高い最強の防衛投資です。
明日の朝礼や経営会議で、ぜひこの問いを投げかけてみてください。
「いま私たちの会社がネットに公開しているサーバーや機器のリスト、本当に最新ですか？」
Tech Insight Editorial Team
最新テクノロジー動向とサイバーレジリエンスを追う専門ライターチーム
#情シス
コメント