2025年1月30日に、IPAのプレスリリースにて「情報セキュリティ10大脅威 2025」が発表されました。

本記事では、各脅威の解説と2024年に実際に発生した代表的な事例（利用されたCVE-IDを含む）を踏まえ、脆弱性管理目線での対策について具体的な対策方法を紹介します。

1. ランサム攻撃による被害

企業のシステムがランサムウェアに感染すると、データの暗号化や窃取により業務停止と莫大な身代金請求のリスクにさらされます。ランサム攻撃は、長年にわたり最も深刻な脅威として位置づけられており、2024年にも国内外で実際の被害が報告されています。

2024年の主な事例：2024年も国内外で多数のランサム被害が報告されました。国内では、6月に大手企業グループのKADOKAWAがランサム攻撃を受けたことを公表、自社データセンター内のファイルサーバが侵害され「ニコニコ動画」を始めとするサービス群に障害が発生しました。また同時期には、印刷業のイセトー社や複数の自治体などが同様の被害に遭い、大量の個人情報流出につながる深刻な事態となりました。参考: “KADOKAWA事件”で企業の尻に火がついた　重大事例から考える2025年からのランサムウェア対策 | ASCII.jp

対策と脆弱性管理の活用：ランサム攻撃への最大の対策は、「侵入させないこと」と「侵入されても被害を最小化すること」です。侵入経路として悪用されることの多いVPNやRDP、各種サーバOS・ミドルウェアの既知脆弱性は、脆弱性管理ツールで漏れなく検出し速やかに修正することが重要です。また、初期侵入後も脆弱性を悪用してネットワークの広がっていきます。その際に放置された権限昇格などの脆弱性が悪用されますので、外部に公開してる部分だけでなくシステム全体の管理が必要です。

FutureVulsの例:FutureVuls のような脆弱性管理サービスを導入することで、システム内のソフトウェアやネットワーク機器に存在する脆弱性を定期的にスキャンし、早期にパッチ適用や設定変更を促すことが可能です。これにより、ランサムウェアの侵入口となる既知の脆弱性を未然に潰すことができ、攻撃リスクを大幅に低減できます。

FutureVulsのランサムウェア対策機能の詳細は、“ゼロデイ”だけじゃない！ランサムウェア・キャンペーンで狙われる既知の脆弱性と実践対策 | CODEBLUE 2024をお読みください（CODEBLUEの講演動画、スライド、全文解説を掲載しています）

ランサムウェア: システム内のデータを不正に暗号化し、復旧のために金銭を要求するマルウェア。侵入経路としてはリモートアクセス機器の脆弱性などが悪用されやすい。

2. サプライチェーンや委託先を狙った攻撃

自社だけでなく、取引先や委託先のセキュリティホールを突くことで、間接的に自社へ被害が波及する攻撃です。

2024年の主な事例：国内では前述のイセトー社の事例が、「委託先経由の被害」の典型例となりました。イセトーは銀行や自治体から帳票印刷業務等を請け負う委託先企業ですが、2024年5月に同社がサイバー攻撃を受け業務停止したことを公表。複数の取引先（地方自治体や金融機関など）に対して「自社がランサムウェアに感染し、取引先データの漏えいの可能性がある」旨の報告を行う事態となりました。参考：イセトーのランサムウエア感染についてまとめてみた | piyolog

最終的に被害調査により、取引先約 150万人分の個人情報が流出した 可能性があるとされ、サプライチェーンリスクの深刻さを示すケースとなっています。攻撃者がまず狙ったのはイセトー社のネットワークで、その侵入には社外との接点であるVPN装置の脆弱性が悪用されました。参考: イセトー発表。このVPN装置とは社外から社内ネットワークに接続するための機器ですが、もしそのソフトウェアに既知の脆弱性が残されたままだと、攻撃者にとっては社内への玄関ドアが開いた状態となってしまいます。

対策と脆弱性管理の活用：サプライチェーン攻撃への対策は、自組織だけでなく取引先を含めたセキュリティ対策の底上げが求められます。自社システムについては、脆弱性管理の徹底によりVPNや外部公開サーバの脆弱性を迅速に潰しておくことが第一です（攻撃者が侵入経路として狙うポイントは真っ先に防御する）。加えて、主要な取引先に対してもセキュリティ要件を契約に明記し、定期的な脆弱性診断や情報共有を行うなど協力体制を築くことが有効です。セキュリティ要件の具体的な決定に役立つフレームワークとしては、サプライチェーンリスク管理を行セキュリティフレームワーク ASFが参考になるでしょう。

また最近ではSBOM（Software Bill of Materials）の活用も注目されています。これはソフトウェア構成部品表で、サプライチェーン上のどの部品（ライブラリ等）に脆弱性が含まれるか追跡するものです。脆弱性管理ツールとSBOMを連携させることで、自社が使っているソフトウェア（あるいは委託先に提供している製品）に脆弱性が報告された際、即座に影響範囲を把握して対策を講じることが可能になります。

FutureVulsの例：FutureVulsでは、自社内のホストだけでなくクラウド上の仮想マシンやコンテナイメージも含め包括的にスキャン可能なため、委託先に提供しているシステム（例：共同利用のクラウド環境など）があればその脆弱性も一元管理できます。またFutureVulsは、内部システムだけでなく、外部と連携するシステムも包括的にスキャンできるため、サプライチェーン全体のリスク把握に役立ちます。

• SBOM管理
• 内部と外部をつなぐ脆弱性管理｜FutureVulsでASM・Nmap・Nessusなどの診断結果を活用する方法
• 新機能:CIDRレンジ内のネットワーク機器の発見機能と、Fortinet社製品の脆弱性の検知精度が向上しました

サプライチェーン攻撃: 直接の標的ではなく、取引先や委託先を足掛かりに攻撃を仕掛け、最終的に自社に被害を及ぼす手法。

3. システムの脆弱性を突いた攻撃

OSやミドルウェア、業務システムなどの既知または未知の脆弱性を攻撃者が突いて、不正アクセスやマルウェア感染、情報窃取などを行う脅威です。いわゆる「ゼロデイ攻撃」（修正パッチ公開前の脆弱性攻撃）も含まれます。IPA 10大脅威では2022年以降このカテゴリが上位に入っており組織のセキュリティ担当者にとって日々対応が欠かせない分野です。

2024年の主な事例：2024年も大小さまざまな脆弱性が報告され、それを利用した攻撃も確認されています。このような攻撃を防ぐためには、定期的なパッチ適用と脆弱性スキャンによる早期発見が不可欠です。FutureVuls は、システム全体の脆弱性情報を自動的に収集し、深刻度に応じた優先度付けを行うことで、迅速な対策の実施をサポートします。

対策と脆弱性管理の活用：脆弱性を突いた攻撃への最大の対策は、やはり脆弱性そのものをなくす（潰す）ことです。基本に忠実ですが、ソフトウェアのセキュリティ更新プログラムを常に最新状態に保つ運用ができている組織ほど、これらの攻撃を受けるリスクは格段に下がります。脆弱性管理サービスはその運用を支援してくれます。

FutureVulsの例：FutureVulsでは、スキャンで検出した脆弱性情報に対し、SSVCを用いて、「脆弱性」「脅威」「資産のビジネスインパクト」「インターネット公開有無」を組み合わせて「リスク」を自動評価し運用者に自動で対応指示する機能があります。

• バーチャル情シス「須藤あどみん」のYoutubeに出演し、脆弱性管理全般やSSVCの解説などをしました

ただしゼロデイ攻撃のようにパッチが無い場合もあるため、その際は侵入経路を減らすネットワーク対策や検知による迅速な隔離措置が重要です。IPS/IDSやWAFといった境界防御で脆弱性攻撃のシグネチャ検知を行う、EDRで不審な動きを検知したら即座に端末をネットワークから切り離す、といった対応で被害を最小限に留める工夫をしましょう。FutureVulsにはIPSと連携して検知した脆弱性を自動で防御する外部連携機能が存在します。

• IPS連携機能

また、ゼロデイ脆弱性を認識した場合に組織内の全資産を検索して対象を調査することが可能です。

• ソフトウェア検索機能

ゼロデイ攻撃: パッチが公開される前の脆弱性を狙った攻撃で、防御が極めて困難なため、早期検知と多層防御が求められる。

4. 内部不正による情報漏えい等

組織内部の関係者が、意図的または過失により機密情報を外部に流出させるケースです。具体的に想定されるのが、内部ネットワーク内のサーバや端末に放置された権限昇格系の脆弱性を悪用されるケースです。本来一般ユーザ権限しか持たない社員が、脆弱性を突くことで管理者権限を奪取してしまえば、以降は社内のあらゆるデータにアクセスされかねません。

2024年の主な事例：Linuxカーネル nf_tablesのローカル権限昇格脆弱性（CVE-2024-1086）
CVE-2024-1086は、LinuxカーネルのネットワークフィルタフレームワークであるNetfilterのnf_tablesコンポーネントに存在したUse-After-Free（解放済みメモリ使用）の脆弱性です。攻撃者がこの欠陥を利用するとローカルユーザーからroot権限への昇格が可能になります。この問題は2024年1月末に報告・修正され、Linuxカーネルは2月までにパッチ適用されました。CISA（米国サイバーセキュリティ庁）は2024年5月に本脆弱性を「既に悪用が確認された脆弱性」として注意喚起リストに追加し、連邦機関に対し緊急パッチ適用を指示しました。参考：CISA warns of actively exploited Linux privilege elevation flaw

悪用の手口: 本脆弱性自体はリモートから直接悪用できるものではなく、「攻撃者が何らかの方法でターゲットLinuxシステム上に低権限のアカウントまたはコード実行権を得ている」ことが前提条件です。その上で、公開されたエクスプロイトコード（2024年3月末にセキュリティ研究者がPoCを公開）を利用し、一般ユーザー権限のシェルからカーネルメモリの不正操作を行うことでroot（管理者）権限のシェルを取得できます。攻撃の複雑さは低く、公開されたエクスプロイトは99%以上の成功率で権限昇格できることが示されました。そのため、侵入後の手段としてサイバー犯罪者にとって魅力的であり、フォーラム上でも本脆弱性を利用した攻撃手法が話題になりました。例えば、ウェブサーバへの初期侵入（Webシェル設置）後にroot権限を得てバックドアを恒常化したり、コンテナ環境からホストOSへの脱出に用いるといった悪用シナリオが考えられます。

対策と脆弱性管理の活用：

内部不正を防ぐには、単に外部からの攻撃対策だけではなく、アクセス権限の厳格な管理とログの監視、そして脆弱性管理ツールによるシステム内部のリスクチェックが重要です。FutureVuls は、内部ネットワーク内の権限昇格につながる脆弱性も洗い出し、早急な対策を促すことで内部リスクの低減に寄与します。

FutureVulsの例：FutureVulsの SSVC機能 は、リモートから攻撃できない権限昇格系でも実際に悪用が確認されているものは対応優先度が高く判断されます。

権限昇格脆弱性: 本来低い権限のユーザーが、システムの不備を利用して管理者権限などを不正に取得してしまう脆弱性。

5. 機密情報等を狙った標的型攻撃

特定の組織や業界を狙い撃ちして機密情報を盗み出そうとする標的型攻撃です。攻撃者（しばしば国家支援のAPTグループや産業スパイ）は目的の情報を得るまで長期間にわたり潜伏・攻撃を続ける執念深さを持ちます。手口としては、標的社員に巧妙なフィッシングメールを送りウイルス感染させる、ゼロデイ脆弱性を使ってネットワークに侵入する、など高度で多段階な攻撃が特徴です

2024年の主な事例：標的型攻撃では、標的組織に入り込むためにあらゆる脆弱性や手段が利用される点に注意が必要です。たとえばJPCERT/CCの調査によれば、国内組織を狙ったあるサイバー攻撃キャンペーンでは、VPNアプライアンス製品「Array Networks社 Array AGシリーズ」の既知の脆弱性が集中的に悪用されていました。同製品のSSL-VPN機能に存在するリモートコード実行の脆弱性（CVE-2023-28461）について、少なくとも2022年5月以降複数の攻撃グループがこれを突いて日本企業への侵入を試みていたとのことです。参考: JPCERT/CC

対策と脆弱性管理の活用：標的型攻撃の対策は難易度が高いですが、基本に忠実な体制整備が被害を防ぐ土台となります。まず、外部公開サーバやVPNなど境界の脆弱性を常に最新に保つことは必須です。脆弱性管理ツールで外周のサーバを定期スキャンし、深刻な脆弱性を検知したら即対処する運用を回しましょう。またメール経由の攻撃に備え、エンドポイント（PC）の脆弱性管理も重要です。例えばWindowsやOfficeのゼロデイ攻撃に晒されないよう、月例パッチを欠かさず適用する、旧式OSやソフトは使わない、といった基本対応です。

APT（Advanced Persistent Threat）: 国家支援などで高度な技術と長期的な戦略をもって標的に攻撃を仕掛ける脅威グループ。

6. リモートワーク等の環境や仕組みを狙った攻撃

テレワーク・在宅勤務の普及に伴い、リモート接続環境やクラウドサービスを標的とする攻撃が増えています。自宅や外出先から社内システムにアクセスするためのVPN（仮想私設網）やリモートデスクトップ、クラウドの業務アプリ等が攻撃対象となり、従来社内だけで閉じていれば生じなかったリスクが顕在化しています。コロナ禍以降、このカテゴリの脅威がIPA 10大脅威にも登場し始め（2021年から5年連続ランクイン）、新たな課題となっています。

2024年の主な事例：リモートワーク環境を狙った攻撃で特に多いのが、前述のVPN経由の侵入です。実はランサムウェアの侵入経路の約6割がVPN経由だったという警察庁の調査結果があります。こうしたリスクに対しては、VPNやリモートアクセス機器の最新パッチ適用、多要素認証（MFA）の導入、そしてネットワークのセグメント分割が重要です。

FutureVulsの例：FutureVuls は、リモートアクセス対象の機器についても定期スキャンを実施し、パッチ未適用の脆弱性を迅速に洗い出すため、リモートワーク環境のセキュリティ強化に貢献します。

• 新機能:CIDRレンジ内のネットワーク機器の発見機能と、Fortinet社製品の脆弱性の検知精度が向上しました
• 内部と外部をつなぐ脆弱性管理｜FutureVulsでASM・Nmap・Nessusなどの診断結果を活用する方法

VPN（Virtual Private Network）: 公衆回線を用いて安全に拠点間や在宅端末を接続する技術。設定不備や既知脆弱性が攻撃に利用されるリスクがある。

7. 地政学的リスクに起因するサイバー攻撃

国際的な政治・軍事上の対立や緊張を背景に発生するサイバー攻撃です。2025年版の10大脅威で初めてランク入りした新しいカテゴリであり、まさに現在進行系の脅威と言えます。具体的には、国家支援のハッカー集団が地政学的な目的（スパイ活動や牽制行為、インフラ破壊等）で行う攻撃や、ハクティビスト（政治的ハッカー集団）による報復的な攻撃などが該当します。ウクライナ情勢や東アジアの緊張など、世界情勢の変化に呼応してサイバー攻撃の標的や手法が変化することが近年顕著になっています。

2024年の主な事例：前述のように、ウクライナ侵攻を巡っては2022年以降ロシア系ハッカーによる政府機関への破壊工作（ワイパーマルウェアの展開など）が多数報告されました。また日本でも、ロシアへの経済制裁に加わった直後に政府系サイトがDDoS攻撃で一時閲覧不能になる事案が発生しています。中国に関連しては、2023年9月に日本政府が中国サイバー攻撃グループによる日本の研究機関等への不正アクセスに公式非難声明を出すなど(参考: サイバー攻撃に対する日本政府のパブリック・アトリビューション事例についてまとめてみた | piyolog)、国家レベルでの摩擦がサイバー空間にも波及する傾向が見られます。実際、前述の中国APTによる外交文書漏えいはその一例であり、ここ数年の中国によるサイバー諜報活動の先鋭化が指摘されています

対策と脆弱性管理の活用：地政学的リスク起因の攻撃は、その動機や対象が政治情勢によって流動的であり、全てを防ぐのは困難です。しかし、基本的なセキュリティ対策を固めておけば被害を受けにくくできる点は他の脅威と共通です。特に国家支援の攻撃グループは既知の深刻な脆弱性を素早く悪用してくる傾向があります。

FutureVulsの例： FutureVuls は、国際的な脅威情報と脆弱性情報を自動的に取り込み、該当するリスクの早期検知と対応を支援します。

地政学的リスク: 国際情勢や政治的対立に起因して発生するサイバー攻撃リスク。攻撃の動機や対象が流動的なため、常に最新情報の把握が求められる。

8. 分散型サービス妨害攻撃（DDoS攻撃）

大量のデータ通信を送りつけてサーバやネットワークを過負荷状態にし、サービスをダウンさせるDDoS（Distributed Denial of Service）攻撃です。古典的な攻撃手法ではありますが依然として猛威を振るっており、IPA 10大脅威でも5年ぶりにトップ10に再登場しました。近年はIoT機器を乗っ取った巨大ボットネットからのDDoS攻撃や、金銭目的のDDoS恐喝（ランサムDDoS）も増えています。

2024年の主な事例：2024年末、日本国内で大規模なDDoS攻撃が相次ぎました。12月下旬から年明けにかけて、政府機関や大手企業のウェブサイトが軒並みDDoSの標的となり、一時的にサービス停止や表示障害が発生しています。具体的な被害例として、日本航空(JAL)のWebサイト、三菱UFJ銀行のネットバンキング各種オンラインサービス等が影響を受けたことが報じられました。セキュリティ企業の分析によると、国内46の企業・団体が同時期に攻撃対象となっており、いずれも特定のIoTボットネットから発せられたトラフィックが原因とみられています。このボットネットはウイルス感染させたIoT機器群で構成されており、おそらく世界中のルータや防犯カメラ等の脆弱な機器を踏み台にして組織されたものです。近年、国内企業を狙うDDoS攻撃は増加傾向にあり、特に金融機関やECサイトなどサービス停止で経済的ダメージの大きい業種が狙われる傾向があります。また前項の地政学的リスクとも関連し、国際情勢へのスタンスを理由に日本企業が海外のハクティビストから攻撃されるケースもありました。

対策と脆弱性管理の活用：DDoS攻撃そのものを完全に防ぐことは困難ですが、被害を軽減する対策は存在します。専門のDDoS防御サービス（クラウドプロキシや高帯域のトラフィック洗浄サービス）を導入すれば、攻撃トラフィックを肩代わりしてもらい自社サーバのダウンを防ぐことが可能です。また自社ネットワーク機器でのレート制限設定や、プロバイダ提供のフィルタリングなども基本対策となります。一方で脆弱性管理の観点からは、「自社がDDoS攻撃の踏み台にされないこと」も重要です。攻撃者は脆弱なIoT機器やサーバを次々と乗っ取りボット化してDDoSに利用します。

FutureVulsの例： FutureVuls は、自社ネットワーク内の不適切な設定や旧式の機器を検出する機能を持ち、結果として第三者への攻撃拡散リスクを低減する手助けをします。

DDoS攻撃: 複数のマシン（ボットネット等）から標的のサーバに一斉に大量のリクエストやパケットを送りつけ、ネットワークやサーバ資源を枯渇させてサービス提供を妨害する攻撃。正規利用者がサービスを受けられなくすることが目的。
ボットネット: 複数の感染済み機器を統制して一斉に攻撃を行う仕組み。主にIoT機器やパッチ適用が不十分なPCが悪用される。

9. ビジネスメール詐欺（BEC）

経営者や取引先になりすました偽のメールで従業員を騙し、企業の金銭を詐取したり送金させたりするビジネスメール詐欺（BEC: Business Email Compromise）です。巧妙ななりすましとソーシャルエンジニアリングにより、不正送金被害が世界中で多発しており、日本でも平均被害額が数千万円にのぼるとの調査があります。参考： ビジネスメール詐欺について | NECセキュリティブログ。マルウェアを使わず「人」を欺く手口のため検知が難しく、IPA 10大脅威でも2018年以降継続的にランクインしています。

対策と脆弱性管理の活用：BEC対策の基本はメールのなりすましを見破る仕組みと、社員への徹底した注意喚起です。技術的には、送信ドメイン認証（SPF, DKIM, DMARC）の導入で偽装メールをブロックしたり、「社長からの送金依頼」を検知するメールフィルタの設定、振込先口座情報を含むメールに自動警告を付与する仕組みなどが考えられます。ただし最終的には人間が判断する必要があるため、「メールでの依頼だけで送金しない」「電話等で必ず本人確認する」などのルールを周知徹底し、疑わしい指示は社内でエスカレーションする文化を築くことが重要です。

脆弱性管理の観点からは、メール基盤自体のセキュリティ強化が対策となります。例えば社内にMicrosoft Exchangeサーバ等を運用している場合、過去に発覚した深刻な脆弱性（CVE-2021-26855など）のパッチ適用漏れがないか確認してください。これらはメールサーバへの不正アクセスやメール閲覧を許す脆弱性であり、攻撃者に悪用されると内部メールの盗聴・改ざんが可能になります。また、Microsoft Outlookクライアントの脆弱性（CVE-2023-23397）では、攻撃者が細工したメールを送り付けるだけで受信者のWindows認証情報（ハッシュ値）を盗み出せることが判明しています。参考: Microsoft Outlook (CVE-2023-23397) | IBM
。このような脆弱性を悪用されると、メール担当者や経理担当者のPCが乗っ取られ、それを起点に社内ネットワークに侵入される恐れもあります。

FutureVulsの例： FutureVuls等でメールサーバやメール関連ソフトの脆弱性を定期的にチェックし、修正パッチの適用を管理しましょう。

BEC（Business Email Compromise）: 経営者や信頼できる取引先を装って送信される不正メールを利用した詐欺手法。人的ミスと技術的脆弱性が組み合わさることで被害が拡大する。

10. 不注意による情報漏えい等

社員や関係者の単純なミスや不注意によって発生する情報漏えい事故です。具体例としては、メールの誤送信で他社宛の機密資料を送り付けてしまった、書類やUSBメモリの紛失・置き忘れ、誤って社外の誰でもアクセスできる場所にファイルを公開してしまった、などが挙げられます。攻撃者による悪意ある行為ではなくヒューマンエラーですが、結果として重大な情報漏えいに繋がるケースも多く、IPA 10大脅威でも2016年以降継続してランクインしています。

2024年の主な事例：2024年も各所で人的ミスによる情報漏えい事故が後を絶ちません。代表例の1つに、記憶媒体の紛失があります。2024年1月、神奈川県の横浜市立みなと赤十字病院で、職員が患者データを保存したUSBメモリを論文作成目的で院外に持ち出したところ紛失してしまう事故が発生しました。USBには循環器内科の患者1092名分の氏名・生年月日・診断名などが入っていました 。問題のUSBは現在も発見されておらず、外部流出の有無は不明ですが、少なくとも第三者の手に渡った可能性を排除できない状況です。当該病院ではマニュアルで個人所有の記録媒体使用を禁じていましたが、そのルールが守られていなかったことも判明し、院内規定の見直しと全職員への再教育が実施されています。参考: 横浜市記者発表資料

不注意による情報漏えいを防ぐためには、社員教育の徹底、誤送信防止ツール、アクセス制御の厳格化、そして万一の事故発生時に備えた迅速なインシデントレスポンス体制が重要です。

ヒューマンエラー: システム自体の欠陥ではなく、操作ミスや設定漏れなど、人間の不注意によって引き起こされるセキュリティリスク。

まとめ

ここまで、IPAが公表した「情報セキュリティ10大脅威 2025」の組織向け10項目を脆弱性管理という切り口でご紹介しました。ランサム攻撃やサプライチェーン攻撃、地政学リスクなど、攻撃者の手口は多岐にわたるものの、共通して狙われるのはシステムや設定に潜む脆弱性やヒューマンエラーです。こうした脅威に対処するためには、単発の対策ではなく、脆弱性を可視化して着実に潰し続ける仕組みが不可欠といえます。

FutureVulsなどの脆弱性管理サービスを活用すれば、常時スキャンと自動優先度付けによる早期発見から、パッチ適用や修正作業の効率的な運用までをワンストップで実現可能です。これからも新たな脅威や脆弱性が次々と登場する中、組織全体で継続的にセキュリティレベルを高め、インシデントを最小限に抑える取り組みを進めていきましょう。

FutureVulsの詳細説明や画面のデモを見たいかたはぜひ一度FutureVulsからお問い合わせください。