今週のセキュリティニュース - 2025年2月7日

東京商工リサーチは、上場企業とその子会社における2024年に発生した情報漏洩に関しての調査結果を公表しました。
このレポートによると、情報漏洩を公表した上場企業等は合計150社以上、漏洩した個人情報は1,500万人を超えることがわかりました。情報漏洩の原因としてはウイルス感染や不正アクセスによるものが6割を超えるとのことで、2024年最大の個人情報漏洩となったのはインフラ企業グループへの不正アクセスで、400万件超の個人情報が漏洩する事態へと発展しました。
なお、現時点で調査中や不明等のインシデントも60件ほどあるとされており、実態はさらに膨らむことが推測されます。

内閣サイバーセキュリティセンター（NISC）は、昨年末から航空事業者・金融機関・通信事業者等を標的に相次いで発生したDDoS攻撃について注意喚起を行いました。
NISCは今後さらに大規模な攻撃が行われる可能性もあるとして、事業者にまずは導入している機器やシステムの設定見直し及び脆弱性の有無の確認、ソフトウェアの更新などの身近な対策を進めるよう呼びかけています。
同時に、インターネット利用者に向けてはルータやIPカメラといったIoTデバイスがマルウェアに感染し、ボットネットに組み込まれてサイバー攻撃に加担することのないよう、デバイスの設定やアップデートを適切に行うよう求めています。

地方自治体の外郭団体は1月下旬、運営するサーバに対して第三者から不正アクセスが行われ、団体のホームページが改ざんされたほか、問い合わせフォーム等から個人情報が漏洩した可能性があると公表しました。
漏洩した可能性のある個人情報は企業名や住所、氏名、メールアドレスなど計7項目、合計約7,600件に及ぶとしています。
同団体は原因や再発防止策などについては「随時お知らせする」としており、1月末時点ではメールシステムが復旧したものの、ホームページはまだ復旧が完了していないとしています。

サイバーセキュリティのコンサルティング企業であるNCC Groupによると、2024年のランサムウェア攻撃は2021年以来最多となり、合計5,263件のインシデントが発生しました。
2024年は、国家によるスパイ活動キャンペーンに関連した影響の大規模な攻撃をはじめ、深刻なサイバー脅威が目立つ年となりました。
ランサムウェア攻撃のほとんどは北米で発生しており、全体の55%を占めています。また、世界経済にとって不可欠な産業部門は、全ランサムウェア攻撃の27%（1,424件）を占め、前年から15%の増加が確認されました。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ネットワークエッジデバイスの保護を目的とした包括的なガイダンスを発表しました。
このガイダンスは、ファイアウォール、ルーター、VPNゲートウェイ、IoTデバイス、インターネットに接続されたサーバー、運用技術（OT）システムなどのエッジネットワークデバイスを対象としています。これらのデバイスはオープンなインターネットに接続されているため、脆弱性を悪用され、機密性の高いネットワークに不正アクセスが試みられるケースが頻発しています。
CISAのガイドでは、エッジデバイスを悪用から保護するためのベストプラクティスとして、定期的な監査を実施し、サポート終了となったデバイスを特定・交換することや、購入時からセキュリティ機能を備えたセキュア・バイ・デザインの原則を順守するメーカーのデバイスを選定することを推奨しています。