NTTと考える日本企業が直面しうるサイバー空間をめぐる脅威情勢

拡大するランサムウェア被害とサプライチェーンリスク

村上：
最初に松原さんの現在のお立場と、活動内容を教えてください。

松原：
私は2018年より、NTTのサイバーセキュリティ専門チームで対外発信を担当しています。私の役割は、日本国内における最新のサイバー脅威やその対策を、経営層から一般層の方々に至るまでそれぞれの視点に合わせて最適化した形で、記事執筆や講演活動を通じて広く社会へ発信していくことです。

村上：
早速ですが、実際に国内外でどのような脅威が拡大しているのか、その背景に何があるのか、そして企業は何に備えるべきかを見ていきます。

図表1：ランサムウェア被害の状況​

^{出所：Ransomware report – 2025 Issue 10 (CTO-CTS-20251014-01A), PwC Theat Intelligence​}

近年特に深刻化しているのがランサムウェア被害です。上図はリークサイトへの掲載件数を基に、2024年と2025年の被害件数を比較したものです。2024年は4,837件でしたが、2025年は9月時点で5,219件と、すでに前年通年を上回っています。被害は年々増加しており、過去最多のペースで推移している状況です。

「ランサムウェア」という名称からはコンピューターウイルスを想起しがちですが、背後ではランサムウェアグループと呼ばれるサイバー犯罪集団が活動しています。右側のグラフにあるように、「Akira」「Play」など、さまざまなグループが継続的に確認されています。つまり現在のランサムウェアは単発の攻撃ではなく、組織化・分業化された犯罪ビジネスへと変化しているのです。松原さんは、最近のランサムウェア被害をどのようにご覧になっていますか。

松原：
報道されている件数を見るだけでも、ランサムウェア攻撃被害の激増が分かります。

ランサムウェア攻撃被害が激増していることが分かります。

日本企業の被害には、二つの大きな特徴があります。一つ目は、日本の本社ではなく海外支社から侵入されるケースの増加。二つ目は、サプライチェーンへの打撃の深刻化です。

一つ目の背景には、少子高齢化と国内市場の縮小を受け、日本企業が海外企業の買収や海外マーケットの拡大を加速させていることがあります。その結果、海外拠点ごとにIT環境やセキュリティ対策の水準がばらつき、本社を含めたグローバル全体で統一的なガバナンスを維持することが難しくなっているのです。実際、米国、ベトナム、タイ、シンガポール、台湾などの海外拠点を起点に侵入されるケースが増えています。

二つ目は、サプライチェーン全体へ被害が波及するケースです。ランサムウェア攻撃では被害企業単体にとどまらず、関連する小売、医療、物流、製造など幅広い業種へ影響が拡大する事例が目立っています。日本企業への大規模攻撃の事例では、製品・サービスの提供遅延が発生し、取引先各社の事業活動に大きな支障が生じました。現在のランサムウェアは、一企業を狙った攻撃であっても、サプライチェーン全体の事業継続を脅かすリスクへ変化していると言えます。

VPNとリモートデスクトップ、なぜ最大の侵入経路であり続けるのか

村上：
次に、ランサムウェアの主な侵入経路について見ていきます。

下図は警察庁の公開データを基に、国内のランサムウェア被害における侵入経路をまとめたものです。2023年から2025年にかけて傾向は大きく変わっておらず、VPN（Virtual Private Network）やリモートデスクトップ経由が大半を占めています。

図表2：ランサムウェア攻撃の侵入経路​

^{出所：令和5年、6年、7年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁）に基づいて作成​
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf​
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R5/R05_cyber_jousei.pdf}

従来は標的型メールやフィッシングが注目されてきました。しかし、近年のランサムウェア被害では、外部公開された機器の脆弱性や認証管理の不備が主要な侵入経路になっています。つまり、パッチ適用や認証管理といった基本対策の徹底が、依然として重要だと言えます。この点について、松原さんはどのようにご覧になっていますか。

松原：
注意喚起が繰り返されてもなお、なぜこの状況が続いているのか。その要因は二つあります。一つ目は、コロナ禍以降のリモートワーク拡大によって、VPNやリモートデスクトップの利用が急増したこと。二つ目は、デジタルトランスフォーメーション（DX）の進展とグローバル化によって管理すべきIT資産が増え、セキュリティガバナンスが複雑化していることです。

VPNやリモートデスクトップは、外部ネットワークにつながる企業の「玄関口」です。攻撃者は、最も侵入しやすい場所を狙います。守るべきIT資産が増えるほど、全てを完全に管理する難易度も上がり、「鍵の甘い箇所」がどうしても残ってしまいます。多要素認証が導入されていない、脆弱なパスワードが使われている、セキュリティパッチの適用が遅れている――。攻撃者はその管理の難しさを熟知しているからこそ、管理の取りこぼしが侵入経路であり続けているのです。

「突破する」から「ログインする」へ、アイデンティティを狙う新たな脅威

村上：
ここまでランサムウェアを中心に見てきましたが、最近はそれに加えて、さらに注意すべき攻撃トレンドが広がっています。それが「アイデンティティ（ID）」を狙う攻撃です。

従来は、マルウェアや脆弱性を悪用してシステムへ侵入する攻撃が中心でした。しかし最近は、EDR（Endpoint Detection and Response）やMFA（Multi-Factor Authentication：多要素認証）の導入も進み、対策も強化されています。その結果、攻撃者はシステムを「突破する」のではなく、正規ユーザーとして「ログインする」方向へとシフトしています。

下図はアイデンティティを狙う代表的な攻撃対象を、「人間」「設定」「デバイス」「トークン」の4つに分類したものです。

図表3：アイデンティティを狙った攻撃へのシフト​

^{出所：Logged in: The rise of identity-centric intrusions (CTO-TIB-20251031-01A), PwC Theat Intelligence​}

「人間」を狙う手法では、正規の認証システムとユーザーの間に介在してMFAのコードを盗むAiTM（Adversary-in-the-Middle）攻撃、生成AIで本人を騙る音声フィッシング、認証承認の通知を大量送付して根負けを誘うMFA疲労攻撃、携帯回線を乗っ取るSIMスワップ・eSIM乗っ取り、外部要員になりすました不正オンボーディングなどが確認されています。

また、「設定」では流出したID・パスワードやアクセス設定不備、「デバイス」ではインフォスティーラー、「トークン」ではOAuthアプリケーション^※1に付与された認可権限の悪用などが挙げられます。

つまり現在は「システム侵入」ではなく、「正規アカウントの悪用」が攻撃の中心になりつつあると言えます。こうした攻撃について、国内外で特に注視されている代表的な事例を教えてください。

松原：
多くの企業では、自社を狙ったサイバー攻撃への警戒が高まっています。一方、アイデンティティを狙う攻撃が、社長や役員自身を直接標的にしているという認識は、まだ十分に広がっていません。

例えば、ディープフェイク音声や動画を駆使して経営者からの指示であると現場に信じ込ませ、送金させる攻撃手法があります。日本企業を標的とした事例や未遂事案が、国内でも確認され始めてきました。特に大手企業の経営層は、講演やメディア出演などを通じて映像や音声が公開される機会が多く、ディープフェイクの標的になりやすい立場にあります。

経営層の権威が攻撃に悪用される時代です。本社のCFOから「緊急案件だ」と言われれば、現場の担当者が焦るのは無理もありません。騙されて送金してしまう事態を回避するには、通常とは異なる送金先への振り込み依頼や高額送金指示があった場合、別経路での確認や複数承認を必須化するなど、社内手続きを改めて見直す必要があります。

^※1 ユーザーに代わってメールやファイルなどへアクセスする権限を持つアプリケーション