国内のランサムウェア被害は過去最多 サイバー攻撃への対処が遅い業界はどこ？：セキュリティニュースアラート

Trend Microは2025年の年間サイバーリスクレポートを公表した。国内でのランサムウェア被害が2024年に過去最多の84件に達したという。VPNやRDPの脆弱性を突いた攻撃や、委託先経由の情報漏えいが多発していることも報告している。

[後藤大地，有限会社オングス]

　Trend Microは2025年4月16日、国内外のサイバーリスク動向を分析した「年間サイバーリスクレポート2025年版」を公開した。国内で観測したランサムウェア被害の公表件数が2024年に84件に達し、過去最多を記録したことを明らかにしている。

日本企業のランサム調査　サイバー攻撃への対処が遅い業界はどこ？

　Trend Microによると、国内では組織規模を問わずランサムウェア被害が相次いでおり、企業や団体への攻撃が継続しているという。特に注目事例として、イセトーへのランサムウェア攻撃を挙げている。このインシデントでは同社と業務委託関係にあった50以上の組織から150万件に及ぶ情報が漏えいした。こうした事例は委託先を経由して委託元のデータが流出する「データサプライチェーン」のリスクを改めて浮き彫りにしている。

　ランサムウェア被害の多くはVPNやRDPなどネットワークの脆弱（ぜいじゃく）性を突かれて発生している。攻撃を未然に防ぐにはネットワークの攻撃対象領域（アタックサーフェス）と潜在的な弱点を可視化し、リスクの最小化に向けた対策を講じることが必要となる。

　個人利用者に関しては、2024年のネット詐欺の誘導件数は約160万件に上った。件数自体は減少傾向にあるが、詐欺手法の巧妙化が進んでいる。特にネットバンキングやクレジットカードの不正利用を狙ったリアルタイムフィッシングを多数観測しており、大手都市銀行から地方銀行、信託銀行まで攻撃対象が拡大している。

　注目すべきサイバー攻撃として地方銀行を装ったスミッシングにおいて、旧NTT地域会社に割り当てられていた電話番号を標的としたケースを挙げている。この攻撃では特定地域のユーザーにメッセージが届く確率を高めようとする意図がうかがえる。フィッシング対策としては手口に対する知識の習得に加え、偽サイトや詐欺メッセージを識別・遮断する技術的対策が重要となる。

　レポートでは日本企業のパッチ適用までの平均修正時間（MTTP）が27.5日であることも報告している。欧州地域はより迅速にパッチを適用しており、日本はそれに次いで速い対応を見せている。業界別では非営利団体やサービス業、テクノロジー業界が比較的早く対応していることが分かった。逆にヘルスケア分野ではMTTPが41.5日に達しており、業界として脆弱性対策に課題がある。さらに企業規模が大きくなるほどパッチ適用に時間を要する傾向も明らかになった。従業員数が1万人を超える企業ではMTTPが41.3日に達しており、脆弱性を長期間放置してしまう傾向がある。

　Trend Microは全ての脆弱性に即時対応することは現実的ではないとした上で、自社にとってビジネスクリティカルな資産に関連する脆弱性を優先的に対処する戦略の必要性を訴えている。継続的なリスク評価と能動的なアプローチにより、組織全体のセキュリティレジリエンスを向上できる。