脅威アクターの動向
昨今では、サイバー攻撃によって基幹システムが停止し、事業継続に大きな影響を受けた日本企業の事例が多く見られます。今後も、ビジネスに多大な影響を及ぼすサイバー攻撃は継続すると予想されるため、日本企業にとっては入念な対策が欠かせません。PwCのサイバー脅威インテリジェンスチームは、今後の動向として、「正規アカウントの悪用（アイデンティティに対する脅威）」「正規ツールの悪用（環境寄生型攻撃：LotL攻撃）」「AIを用いたソーシャルエンジニアリング」に注視する必要があると分析しています。これらは正規の操作を装った攻撃であるため、従来の検知ソリューションでは把握しづらいという特徴があります。脅威アクターが、どのような背景や目的で攻撃手法を変えてきているのか、その動向を見ていきましょう（図表4）。
図表4：主な脅威アクターの動向
出所：PwCサイバー脅威インテリジェンスチーム作成
- ロシアを背景とする脅威アクター
マルウェアへの依存を減らし、クラウド環境の正規アカウントを初期侵入時に悪用する手口に軸足を移しています。また、親ロシア派ハクティビストによる産業制御システム（ICS／OT）を狙った破壊活動は継続的に報告されており、日本企業もサプライチェーンを通じて影響を受けるリスクが常に存在します。 - 中国を背景とする脅威アクター
中国が重視する産業分野（防衛、エネルギー、通信など）と、中国拠点の脅威アクターが標的とする分野には関連性が指摘されており、こうした分野に対する長期潜伏型攻撃（APT攻撃）は今後も継続する可能性があります。また、侵入したネットワーク機器を悪用し、LotL攻撃をすることで、有事の際の破壊活動も視野に入れ、攻撃活動を活発化させる可能性もあります。特に、台湾海峡をめぐる地政学的緊張の高まりが、情報操作やサイバー攻撃の活性化につながる可能性が懸念されています。 - 北朝鮮を背景とする脅威アクター
外貨獲得のための「サイバー金融犯罪」と、国家安全保障に関わる「諜報活動」の二軸で攻撃を展開し続けると見られています。また、AIを用いたフィッシングやディープフェイクを多用し、その手口はさらに巧妙になると予測されます。引き続き、金融業界や防衛分野が主要なターゲットとなる可能性があります。
このように、今後のサイバー攻撃は、正規アカウントの悪用（アイデンティティに対する脅威）、APT攻撃やLotL攻撃による潜伏活動、AIを用いた高度なソーシャルエンジニアリングなどの攻撃が多用され、従来のセキュリティ対策では検知が難しい巧妙なサイバー攻撃が増加すると予測されます。この傾向に対して、日本企業は十分な準備ができているでしょうか。PwC Japanグループは、日本企業のサイバーセキュリティの意思決定や企画に携わる300人を対象に調査（以降、本調査）を実施し、各企業の実態を分析しました。
注視すべき3つのサイバー脅威
正規アカウントの悪用（アイデンティティに対する脅威）に対する日本企業の現状
企業を狙ったサイバー攻撃は、メール経由でのスピアフィッシング、VPN製品などのインターネットに露出しているアタックサーフェスに対する脆弱性攻撃が主流でした。こうした傾向は依然として存在するものの、昨今は「アイデンティティ」を狙った攻撃へのシフトが徐々に進行しています。つまり、ユーザーIDやパスワードといった認証情報に加え、デジタルアイデンティティ情報を悪用し、システムへの不正アクセスや個人情報の窃取を狙うサイバー攻撃が増えることが予想されます。
実際のインシデント事例としては、多要素認証を例外的に無効化した委託先社員の正規アカウントや、闇サイトで販売されていた認証情報が悪用され、初期侵入を許したケースがありました。攻撃手法も多様化しており、以下のような巧妙な手口が確認されています（図表5）。
図表5：主なアイデンティティに対する攻撃手法
出所：公開情報を基にPwC作成
攻撃の矛先が「アイデンティティ」へシフトしているにもかかわらず、本調査では、いまだに多要素認証・多段階認証を導入していない企業が一定数あることが分かりました。多要素認証・多段階認証の導入状況では36.7%が未導入であり（図表6の左側）、組織外ネットワークからのアクセスに対する条件付きアクセスやリスクベース認証の実施状況は50.2%が未実施でした（図表6の右側）。
図表6：認証システムの導入状況
出所：PwC「2026年 Cyber IQ調査」
正規ツールを悪用するLotL攻撃は重大インシデントの84%で利用
LotL攻撃は、異常な振る舞いを検知することが極めて困難です。標準コマンドなどの企業内に必ず存在する機能を悪用するため、業務の一環として行われた操作なのか、サイバー攻撃なのかを判別することが難しいからです。Bitdefender Labsの2025年の調査によると、重大インシデントの84%でLotL攻撃が行われており、これは脅威アクターが常套手段としてLotL攻撃を用いていることを示しています※1。
ITヘルプデスクを狙ったサイバー攻撃の懸念
生成AIによって自然な日本語のフィッシングメールや巧妙な偽画像・偽動画が量産される中、従業員やヘルプデスク担当者を標的としたソーシャルエンジニアリングが確認されています。特にITヘルプデスクは、顧客や従業員からの依頼に基づき、パスワードリセットやアカウントのロック解除など、特権的な操作を行う権限を持つため、攻撃者にとって非常に魅力的な標的となります。攻撃者が一度ここを突破すれば、基幹システムへのアクセスも可能になり、ビジネスに甚大な被害をもたらす恐れがあります。
本調査では、ITヘルプデスクを内製している日本企業の61.4%が、サイバー攻撃を想定したテストを「実施していない」と回答しました（図表7）。これは、外部委託している企業（14.2%）と比較して著しく高い水準です。外部委託している企業は、委託先との契約の中でサイバー攻撃テストを含むセキュリティ対策を要件として求めますが、内製化している企業は身内への信頼感から、攻撃を受けるリスクへの感度が低くなっていると考えられます。
図表7：ITヘルプデスクでのサイバー攻撃テスト実施状況
出所：PwC「2026年 Cyber IQ調査」
Attack Flowを用いた文脈に基づく新たなアプローチ
このように、攻撃者が巧妙な攻撃に重点を置くことで、従来のセキュリティ対策では検知が難しいサイバー攻撃がさらに増加すると予測されます。検知困難なサイバー攻撃に対処するための銀の弾丸と言えるセキュリティソリューションは存在しないため、直近で発生したサイバー攻撃の文脈（コンテキスト）を可視化・形式知化することが重要です。つまり、最新の攻撃事例を分析し、攻撃者が「どの局面で何を判断し、なぜその手法を選択したのか」という意思決定プロセスを組織の知識として蓄積・共有し、組織のセキュリティ対策を継続的に進化させることが必要となります。
サイバー攻撃の文脈を可視化・形式知化するための手法の1つに、「Attack Flow」の活用があります。Attack Flowとは、過去に発生した、あるいは今後想定されるサイバー攻撃について、攻撃者がどのような目的を持ち、どのような戦術・技術・手順（TTPs：Tactics, Techniques, and Procedures）を、どのような順番で実行し、攻撃が失敗した際にどのように行動を変えるかをフローチャート形式で描き出すツールです。MITRE ATT&CKは「どのTTPsが使われたか」をカタログやリストで示しますが、攻撃者の思考や判断の流れまでは把握できませんでした。一方、Attack Flowは「攻撃者の意思決定プロセスや攻撃の流れ」を可視化・形式知化することができます（図表8）。
図表8：Attack Flowによる攻撃プロセスの可視化の例
出所：Attack Flow公開情報よりPwC作成
Attack Flowを活用することで、「なぜ攻撃者はこのサーバーに侵入した後、このツールを実行したのか」「次に狙われる可能性が最も高い資産は何か」といった問いに、根拠となる事例をベースに答えることが可能になります。攻撃者の意思を可視化・形式知化することで、攻撃を予測し先手を打つ「プロアクティブ」なサイバーセキュリティへの転換につなげられます（図表9）。
Attack Flowによって可視化された攻撃の文脈は、既存のセキュリティソリューションの能力向上に役立ちます。攻撃文脈を基にしたセキュリティ対策例を3つ挙げます。
- SIEM／XDRの高度化：Attack Flowで示されるTTPsの流れや分岐条件は、SIEMやXDRにおける高度な検知シナリオ（相関ルール）の作成に活用できます。例えば、「VPNでのログイン後、30分以内に特定のコマンドが実行され、かつファイルサーバーへのアクセスが急増した」といった、単体では見過ごされがちな事象の連鎖を1つの攻撃活動として捉えることで、インシデントの検知精度を高められます。
- Deception（おとり技術）の設置：Attack Flow上の重要な分岐点、例えば攻撃者が認証情報を窃取した後に必ず試みるであろうディレクトリサービスへのアクセス経路上に、おとり（デコイ）となるファイルやアカウントを意図的に配置します。これにより、攻撃者の行動を誘発し、使用ツールや行動をリアルタイムで把握することが可能になります。
- 脅威ハンティングでの活用：Attack Flowを「当社には脅威アクターが既に潜伏しているのではないか」という仮説検証に活用します。この仮説に基づき、不審な挙動の痕跡（IoA：Indicator of Attack）を探索する「脅威ハンティング」を実施することで、侵害が深刻化する前に発見・駆除が期待できます。
図表9：Attack Flowを基にしたセキュリティ対策例
出所：Attack Flow公開情報よりPwC作成
このように、従来のセキュリティ対策では検知が難しいサイバー攻撃に対処するためには、最新の攻撃事例をAttack Flowを用いて分析し、得られた知見を組織の知識として蓄積・共有した上で、組織のセキュリティ対策を継続的に進化させることが重要です。そのためには、3カ月に一度のペースでレビューを実施し、自組織の対策が最新の攻撃に対して有効か、検知が難しい攻撃に対応できているか、過去に見逃された潜伏がないかを継続的に確認することが求められます。こうした取り組みを通じて、組織としての知見を深め、セキュリティ対策を継続的に高度化していくことが必要となります。
※1 「Bitdefender 2025 Cybersecurity Assessment Report」、Bitdefender、2025年
https://www.bitdefender.com/en-us/business/campaign/2025-cybersecurity-assessment
