サイバー攻撃関連
今週のセキュリティニュース - 2025年12月12日
セキュリティニュース一覧に戻る
ポストはじめに
週刊インシデントまとめへようこそ！
ここでは、国内・国外で過去数日間に起こったサイバーセキュリティ関連のニュースやレポートなど、知っておくべきことをお伝えします。ぜひご覧ください。
業界
学術研究
教育
攻撃分類
フィッシング
目次
専門家が解説！今週のサイバーセキュリティの脅威と対策のポイント
今週のハイライト
- 認証情報・セッション窃取型の攻撃が国内外で急増
- 米大学への長期フィッシングで複数組織に被害が拡大
- AI攻撃増で企業の損害が価格に転嫁され消費者負担に
国内外の事例から明らかになったのは、攻撃者が「いかに認証を乗っ取るか」に戦略を集中させている点です。国内では、電話と偽サイトを組み合わせて法人口座を狙うボイスフィッシングが再び拡大し、地域団体のように認証情報窃取が起点となるスパムメールの踏み台も続いています。国外でも、米大学を標的とした長期攻撃ではEvilginxにより多要素認証後のセッションCookieまで奪われ、従来の認証を突破される深刻な事案が報告されています。
さらに中小企業調査では、AIを活用した攻撃がサイバー攻撃の40%超を占めます。攻撃の高度化は企業の防御を無力化し、短期間で広範な被害を発生させるため、企業の経済的損害が拡大していることが示されました。結果として、そのコストが価格引き上げを通じて消費者の実質的な負担増へと波及する新たな社会的負担も生まれています。
こうした動向を踏まえると、特に認証の領域においては単に認証要素を増やすだけでは不十分です。フィッシング耐性を前提としたFIDO2（パスキー）認証の導入や、公式サイト・アプリ経由のアクセス徹底、海外からのログインを自動検知する仕組みなど、認証基盤そのものを「だまされても破られない設計」へ移行する必要があります。攻撃の自動化が進む今こそ、利用者の判断に依存しない防御が企業に求められます。
認証セキュリティの強化をご検討中でしたら、ぜひ弊社までご相談ください。クラウドサービスへの多要素認証（MFA）導入やパスワードレス認証に関するオンライン無料相談を受け付けております。
国内の主なインシデント
ボイスフィッシング被害が再急増 - 警察庁が注意喚起
警察庁は12月4日、サイバー警察局便りを公開し電話を利用する「ボイスフィッシング」被害についての注意喚起を行いました。
法人口座を狙った不正送金被害が再発・急増しているといいます。犯人は銀行関係者を装って企業へ電話をかけ、メールアドレスを聞き出し、偽サイトへ誘導するメールを送信してネットバンクの認証情報を入力させ、企業の資産を不正送金する手口が悪用されているといいます。特徴としては発信元が国際電話番号であること、自動音声から人間の声に切り替わることが挙げられています。
同庁は対策として、代表電話等へ折り返して確認する、公式サイト・アプリからアクセスする、また国際電話着信ブロックの活用などを推奨しています。
地域支援団体で不正アクセス被害、認証情報窃取され海外からログイン
12月上旬、地域の企業のサポートなどを行う団体は職員の業務アカウントが不正アクセスを受けたと発表しました。
発表された内容によると、認証情報が第三者により窃取され、海外から不正なアクセス及びログインが行われ、当該アカウントから大量の不審なメールが送信されていたといいます。また、この被害により一部の宛先で同団体からのメールが届きにくい状況が発生していることも公表しました。
当該団体は調査の結果、個人情報の流出は確認されなかったとしていますが、今後はセキュリティ水準の見直しや職員のセキュリティ意識向上により再発防止に努めるとしています。
国外の主なインシデント
70以上のドメインを悪用、米大学18校を襲った長期フィッシング攻撃
セキュリティ企業Infobloxの報告によると、2025年4月から11月にかけて、米国の18大学が長期にわたり組織的なフィッシング攻撃の標的となっていたことが明らかになりました。
この攻撃では、「Evilginx」というオープンソースのフィッシングキットが使用され、AiTM（中間者攻撃）の手法でパスワードだけでなく多要素認証後のセッションCookieまで奪取されました。
Infobloxの調査では約70の関連ドメインが確認され、最初の被害はサンディエゴ大学で発生しました。特にカリフォルニア大学サンタクルーズ校やサンタバーバラ校、ミシガン大学などが集中的に標的となり、ワシントン大学では博物館のデジタル標本データが破壊される被害も報告されたとのことです。
AI攻撃が急増し、サイバー犯罪コストは消費者に転嫁へ
米国の非営利団体Identity Theft Resource Center (ITRC)が公表した「2025 Business Impact Report」によると、調査対象の中小企業の81%が過去1年間にサイバー犯罪の被害を受け、AIを活用した攻撃がサイバー攻撃の40%超の原因となっていることが判明しました。
被害企業のうち62.5%が25万ドル超、36.7%が50万ドル超の経済的被害を被るなど、コストが増大しています。この影響に対処するため、38.3%の企業が価格引き上げで対応しており、結果としてコストが消費者へ転嫁され、インフレを助長する「隠れたサイバー税」が生じています。
サイバー対策への自信は大きく低下し、多要素認証などの基本的なセキュリティ対策の実施率も低下しています。ITRCは、公的政策による中小企業の負担軽減こそが、国家的な経済的責務だと警鐘を鳴らしています。
