サイバー攻撃関連
今週のセキュリティニュース - 2025年12月5日
セキュリティニュース一覧に戻る
ポストはじめに
週刊インシデントまとめへようこそ！
ここでは、国内・国外で過去数日間に起こったサイバーセキュリティ関連のニュースやレポートなど、知っておくべきことをお伝えします。ぜひご覧ください。
業界
製造業
教育
攻撃分類
ランサムウェア
フィッシング
ソーシャルエンジニアリング
目次
専門家が解説！今週のサイバーセキュリティの脅威と対策のポイント
今週のハイライト
- 国内中小企業の8割がサイバー攻撃リスクを不安視
- 飲料大手や米大学で情報漏洩、サプライチェーン被害も
- サイバー犯罪のサブスク化で高度攻撃が誰でも可能に
国内では、多くの中小企業が攻撃リスクを強く認識しながらも、体制整備が追いつかない現状が明らかになりました。一方、国外では攻撃ツールやアクセス権が月額で入手できる「攻撃のサブスク化」が進み、技術を持たない攻撃者でも高度な手法を使える状況が拡大しています。国外で攻撃コストが下がり、手口が巧妙化するほど、国内企業の準備不足との間に生じるセキュリティ格差は、将来的に大規模な被害に直結する危険性を高めます。
また、飲料メーカーの事例や米大学のOracle E-Business Suite (EBS) 侵害のように、単一点の弱点が複数組織へ波及するサプライチェーン型の構図が国内外で共通して見られます。共通で利用される重要なソフトウェアや外部提供サービスに依存する現代のIT環境では、一度侵入を許した瞬間に広域的な被害へ発展する可能性が高まっています。
こうした国内外で共通するリスク構造を踏まえると、求められる対策は脆弱性管理や侵入検知で初期侵入を防ぐ努力を続けつつ、「侵入を前提とした」防御に軸足を移すことが不可欠です。そして、不正アクセス後の被害拡大を防ぐ鍵は、ID管理とアクセス制限の強化にあります。「侵入されても、IDと権限がなければ機能しない」環境の整備は、不正なアクセス試行を監視・制御し、適切なユーザーにのみ最小限の権限を与えるゼロトラストネットワークアクセスの本質であり、サプライチェーン化・サブスク化が進む攻撃に対する現実的で持続可能な防御基盤となります。
認証セキュリティの強化をご検討中でしたら、ぜひ弊社までご相談ください。クラウドサービスへの多要素認証（MFA）導入やパスワードレス認証に関するオンライン無料相談を受け付けております。
国内の主なインシデント
中小企業の8割がサイバー攻撃に不安
中小企業の経営者などを対象に実施した、サイバー攻撃対応力と復旧体制に関する調査結果が11月下旬に発表されました。
調査結果によると、約8割の企業が直近のサイバー攻撃報道を受けて「自社にも起こり得る」と不安視しており、主な理由として「顧客・取引先の信頼失墜」や「法的リスク」を挙げています。しかし一方で、人材不足などを背景に、対応体制が十分に整備されている企業は少数にとどまる実態も明らかになりました。
こうした現状を受け、対応体制整備の中で重視している点としては「データバックアップ・復旧体制の見直し」や「BCP（事業継続計画）の策定」が挙げられています。サイバー攻撃を完全に防御することが難しい現状を踏まえ、被害後の早期復旧を重視する意識が高まっていることが伺えます。
飲料大手のシステム障害、調査結果を公表
11月末、飲料メーカーグループ企業は9月下旬のシステム障害に関する調査結果を発表しました。
攻撃者はネットワーク機器を経由してデータセンターのネットワークに侵入、ランサムウェアが実行されたとのことです。この攻撃により、顧客や取引先、従業員など約191万件の個人情報の漏洩のおそれがあると公表しました。
同社はこれまでもセキュリティ対策を実施していましたが、通信経路やネットワーク制御を再設計し、接続制限をさらに厳しくするなど対策をより徹底し、再発防止に努めるとしています。
国外の主なインシデント
サイバー犯罪はサブスク時代へ 月額で攻撃ツールやアクセスをレンタル
近年、サイバー犯罪はクラウドのサブスクリプション型サービスに近い形へと進化し、犯罪未経験者でも必要なツールやアクセスを月額課金で利用できるようになっています。
特にフィッシングは高度なPhaaS化が進み、AIによるスパム生成ツールや、悪意のある文書ビルダーなどが提供され、専門知識がなくても高度なフィッシング攻撃を容易に展開できるようになりました。
さらに、TelegramのAPIを利用したワンタイムパスワードボットなど、自動化されたソーシャルエンジニアリング詐欺のツールも週単位・月単位で手軽にレンタルされています。さらに、盗まれた認証情報は、犯罪者向けのサイトに最新ログとして次々と追加され、利用者はサブスク形式でそれらを入手できるようになっており、攻撃の敷居はこれまでになく低下しています。
米ペンシルベニア大とフェニックス大、Oracle EBS攻撃による情報漏洩を公表
米国のペンシルベニア大学（Penn）とフェニックス大学（UoPX）は、10月上旬に広く知られるようになったOracle E-Business Suite (EBS)へのサイバー攻撃の被害を公表しました。
Pennは総勘定元帳などに使うEBSが侵害されたとして通知を開始し、UoPXは11月21日に侵害を把握、氏名や社会保障番号、銀行口座情報などへのアクセスを確認しました。この攻撃は複数の大学に及び、ハーバード大学やダートマス大学など複数の大学に及び、キヤノンやマツダを含む100以上の組織に影響を与えています。
現在も悪用されたゼロデイ脆弱性は不明ですが、犯行声明はCl0pランサムウェアグループが出しています。
