国内サイバーインシデントが過去最多 過去3年分の集計から見えたこと：セキュリティニュースアラート

デジタルアーツの調査によると、2025年の国内セキュリティインシデントは過去最多の1782件に達したことが分かった。公開情報や報道資料を基に国内組織における情報漏えいなどの事案を整理した結果から分かったこととは。

[ITmedia エンタープライズ編集部]

　デジタルアーツは2026年1月27日、過去3年分となる2023〜2025年までの国内セキュリティインシデントを独自に集計したセキュリティレポートを公開した。公開情報や報道資料を基に国内組織における情報漏えいなどの事案を整理したもので、2025年のインシデント総数は1782件に達し、同社の集計開始以降で最多となった。

2025年の国内サイバー被害は1782件、過去3年分の調査から見えたこと

　同レポートによると、2025年の件数は前年の1344件を上回った。内容別では不正アクセスの782件が最多で、全体の約4割を占めた。上半期にはサプライチェーンを狙った攻撃に起因する事案が多く報告され、不正アクセスやマルウェア感染を起点に外部サービスの脆弱（ぜいじゃく）性悪用やランサムウェア被害など波及性の高い事案が相次いだ。

　下半期は委託元側での情報漏えい報告は減少したが、酒類事業を営む企業やオフィス用品通販企業でのランサムウェア被害により、自社情報の漏えいやシステム障害が発生し、事業活動に影響が及んだ事例が確認された。

　具体例として酒類事業企業においては、拠点のネットワーク機器への侵入を契機にデータセンターまで被害が拡大し、認証管理の不十分さを突かれて管理者権限が奪われた結果、基幹システムが暗号化され停止した。長期間にわたる業務への影響に加え、従業員データが流出した可能性も生じたという。

　オフィス用品通販企業では多要素認証が適用されていない委託先の管理者アカウントが悪用され、侵害が基幹システムや物流、クラウド環境に広がった。監視体制や権限管理、バックアップ設計の不備も重なり、業務停止や取引先を含む広範な影響に至ったとされた。

　業界別の動向として、保険分野ではサプライチェーンを起点とする情報漏えいの公表が相次いだ。保険会社での不正アクセスにより顧客情報を含む約1740万件の情報漏えいの可能性が示された事例や、保険代理店でのランサムウェア被害に伴い約510万件分の情報漏えいの可能性が公表された事例が確認されている。保険事故調査会社でもサイバー攻撃によって一部ファイルが暗号化され、委託元の個人情報を含む情報漏えいが明らかになった。

　学校や教育機関に関連するインシデントも増加し、同社集計で最多となった。中でも「マルウェア感染」が増えており、卒業アルバム制作業務を担う事業者で発生したランサムウェア被害が件数増加の要因とされた。委託先の設定不備による脆弱性を突かれ、卒業アルバム関連のクラウドに不正アクセスが発生し、約7万件の画像や氏名が外部から閲覧された可能性が判明した事例も含まれる。別の事業者ではVPNの認証情報漏えいを起点に侵入が広がり、大規模な個人情報漏えいの可能性が生じたとされる。

　インフォスティーラーなどによって窃取された認証情報が不正アクセスやランサムウェア攻撃に利用され、設定や認証管理の不備を通じて被害が拡大する構図が指摘された。対策として、Webやメールの段階で不正通信や悪性ファイルを遮断し、認証情報の窃取を防ぐことに加え、重要情報の利用制御や最小権限の考え方を取り入れたアクセス管理を組み合わせる必要性を示している。システム、利用者、取引関係を横断した実効性のある体制整備が今後の課題になるとしている。