IPA（情報処理推進機構）から今年も「情報セキュリティ10大脅威」が公開されました。これは2024年に発生した情報セキュリティにおける事案から、社会的な影響が大きい脅威を有識者がランキング形式で選出したレポートです。

本レポートは立場ごとに注意すべき脅威も異なるという考え方に基づき、「個人」と「組織」という2つの立場で脅威を解説しています。ここでは「情報セキュリティ10大脅威 2025」のうち、組織の立場での脅威について解説していきます。

組織における最新の情報セキュリティ10大脅威

2025年に公開された組織における情報セキュリティ10大脅威は以下の通りです。

順位	情報セキュリティ脅威	10大脅威での取り扱い
1位	ランサム攻撃による被害	10年連続10回目
2位	サプライチェーンや委託先を狙った攻撃	7年連続7回目
3位	システムの脆弱性を突いた攻撃	5年連続8回目
4位	内部不正による情報漏えい等	10年連続10回目
5位	機密情報等を狙った標的型攻撃	10年連続10回目
6位	リモートワーク等の環境や仕組みを狙った攻撃	5年連続5回目
7位	地政学的リスクに起因するサイバー攻撃	NEW
8位	分散型サービス妨害攻撃（DDoS攻撃）	5年ぶり6回目
9位	ビジネスメール詐欺	8年連続8回目
10位	不注意による情報漏えい等	7年連続8回目

出典：IPA「情報セキュリティ10大脅威 2025」

多少の順位の変動は見られますが、ほぼ2024年と同じ脅威が挙げられています。ランサム攻撃は相変わらず猛威を振るっていることがよくわかります。しかしながら、7位の「地政学的リスクに起因するサイバー攻撃」が初選出となったほか、久しぶりに「分散型サービス妨害攻撃（DDoS攻撃）」も上位に返り咲いています。

なお、IPAでは10大脅威を公表するだけではなく、その内容や対策を解説する各種資料も公開しています。以下のURLからもダウンロード可能ですので参考にしてください。

情報セキュリティ10大脅威 2025 [組織編]｜IPA 独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/kaisetsu2025soshiki.pdf

情報セキュリティ10大脅威 2025 情報セキュリティ10大脅威の活用法 [組織編]｜IPA 独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/katsuyouhou2025soshiki.pdf

ランサム攻撃による被害

今年も1位となった脅威はランサムウェアによる攻撃です。メールやWebサイトを経由してウイルス（マルウェア）に感染させてデータを暗号化し、復号（復旧）と引き換えに身代金（ランサム）を要求する脅威です。感染したデバイスをロックすることもあります。

近年はデータの暗号化だけでなく、個人情報や設計データなど企業の機密情報を窃取し、金銭を支払わなければ窃取した情報を公開するという手口が主流になりつつあります。

ランサム攻撃は、要求に従うことで発生する金銭の損失だけではなく、情報漏洩による信用の失墜につながる可能性があります。しかしながら、金銭を支払ったとしても復旧される保証もなければ、情報が公開されない保証もないため、企業は毅然とした態度でサイバー攻撃には屈しない姿勢が重要です。

もしもランサム攻撃の被害に遭ってしまった場合、普段からセキュリティ対策を依頼しているベンダーにランサムウェア攻撃の被害に遭ったことを報告し、次のアクションを相談してください。また、ランサム攻撃は犯罪行為であるため、管轄の警察に被害を届け出ることも重要です。

サプライチェーンや委託先を狙った攻撃

セキュリティ対策にはコストがかかるため、中小規模の組織では大規模組織ほど充実したセキュリティ対策はできません。しかし、多くの組織は原材料や部品の調達、製造、在庫管理、物流、販売、業務委託先など一連の商流（サプライチェーン）で繋がっています。そのため、いきなり大規模な企業を狙うのではなく、サプライチェーンで繋がった子会社や海外拠点、あるいは規模の小さな取引先などセキュリティ対策が甘い組織を足掛かりすることも、サイバー攻撃の常套手段となりつつあります。

サプライチェーン全体に高度なセキュリティ対策を施すことは難しく、サプライチェーン攻撃の対策は困難であると言わざるを得ません。取引先や委託先のセキュリティ対応を確認するとともに、自社においてもセキュリティ対策を怠ると取引先など他の組織に被害を与える可能性があることを自覚することが大切です。

システムの脆弱性を突いた攻撃

デバイス、OS、アプリケーションなどの脆弱性を悪用するサイバー攻撃です。ベンダーは、自社製品の脆弱性が発見されると、速やかにセキュリティパッチを用意するなど脆弱性への対策を実施してから情報を公開します。しかしながら、脆弱性情報が公開されても、対象となる製品やサービスを利用している組織の管理者が対策するまでには時間がかかります。このタイムラグを攻撃者は悪用します。

脆弱性情報が公開されてから、本格的に攻撃用のコードが開発されるまでの時間はどんどん短くなる傾向にあります。特に攻撃者が生成AIを悪用するようになったことで、ますますその傾向が高まっています。

なお、脆弱性情報が公開される前に発見された脆弱性を狙った攻撃もあり、これらは「ゼロデイ攻撃」と呼ばれています。ゼロデイ攻撃の場合、ベンダーが脆弱性を認識して対応するまで、対象となる製品やサービスは無防備な状態にさらされ続けることになります。ゼロデイ攻撃は確実な対応は非常に難しいのですが、近年ではシステム全体の挙動を監視するようなセキュリティソリューションによって発見・対策されるケースも増えています。

いずれにしても、脆弱性を突いた攻撃からの被害を最小限に食い止めるには、自社が利用している製品やサービスを正確に把握して常に情報を収集し、いざという時に情報を即座に周知して対策できる体制を整えることが重要です。

地政学的リスクに起因するサイバー攻撃

地政学的リスクとは、国家間の政治的・経済的な関係や地域紛争、資源争奪など、地理的要因に起因するリスクを意味しています。ロシアによるウクライナ侵攻を始め、近年は国家間の政治的あるいは経済的な問題によって世界情勢は不安定です。

こうしたリスクは、国家やその支援を受けた組織によるサイバー攻撃が増加させることに繋がります。自国の優位性を高めることを目的に、他国の政府機関や企業の機密情報の窃取、金銭の窃取、国家や企業の信頼度低下、インフラ破壊など多様なサイバー攻撃が活発になります。攻撃手法も、ランサム攻撃、標的型攻撃、DDoS攻撃などさまざまです。

また、警察庁および内閣サイバーセキュリティセンターは、2019年頃から日本国内の組織や個人を対象としたサイバー攻撃キャンペーンが、「MirrorFace (別名：Earth Kasha（アースカシャ）) 」と呼ばれるサイバー攻撃グループによって実行されていることを公表しています。このMirrorFaceは、中国の関与が疑われる組織的なサイバー攻撃であると評価しており、2023年には日本だけではなく台湾やインドでの攻撃も観測されています。

MirrorFaceによるサイバー攻撃について（注意喚起）｜警察庁
https://www.npa.go.jp/bureau/cyber/koho/caution/caution20250108.html

分散型サービス妨害攻撃（DDoS攻撃）

DDoS攻撃(Distributed Denial of Service Attack)とは、特定のサイトに大量のアクセスを集中させて処理が間に合わない状態に追い込むサイバー攻撃です。攻撃者は不正に乗っ取った複数のデバイスを用いて、一斉に異なるIPアドレスから大量のリクエストを送り付け、対象サービスを利用できない状態に追い込みます。

今回DDoS攻撃が10大脅威にランクインした背景には、前述した地政学的リスクにも大きく影響されています。既に社会インフラにはITが欠かせないため、インフラ破壊を目的としたDDoS攻撃が日本のみならず世界中で散見されるようになっています。

国内の事例だけでも2024年12月26日、日本航空 (JAL) は大規模なDDoS攻撃を受けて一部のシステムに障害が発生しています。この障害により当日の国内線、国際線のチケット販売が一時停止するなどの影響が出ています。

また、年末にかけて金融機関のインターネットバンキングが利用できない事態も発生しました。2024年26日には三菱 UFJ 銀行、29 日にはりそな銀行、31日にはみずほ銀行と続きました。いずれも外部から大量データが送付されるDDoS攻撃が原因とみられています。

なお、Googleは世界で発生しているDDoS攻撃をリアルタイムで可視化するサービスとして、「Digital Attack Map」を提供しています。

Digital Attack Map｜Google
https://www.digitalattackmap.com/

多くの脅威は例年通りだが引き続き注意が必要

情報セキュリティ10大脅威 2025に挙げられている脅威は、多くが例年通りです。しかし、見る角度を変えれば、多くの組織がセキュリティ対策をしているにもかかわらず、被害に遭うケースが多いということでもあります。

他の脅威についても検討してみましょう。

内部不正による情報漏えい

内部の人間による情報漏洩は、防ぐことが難しい脅威です。情報リテラシーや情報モラルの向上などセキュリティ教育の充実は必要ですが、悪意をもった人間には効果がありません。そのため、アクセス権限の最小化と適切な運用、システム操作履歴などの監視による犯罪特定の確立、そして罰則をきちんと設けることが重要です。

機密情報等を狙った標的型攻撃

特定の組織を狙って、機密情報の窃取、業務妨害、社会的な信用の失墜などを目的とした攻撃を「標的型攻撃」と呼びます。中でも特に多いのが「機密情報の窃取」を目的とした攻撃です。

標的型攻撃には、マルウェアによるもの、不正アクセスによる直接的な窃取などさまざまな手口があります。組織内の人物を特定して狙いを定め、SNSやECサイトから認証情報を窃取して不正アクセスに悪用されることもあります。

ビジネスメール詐欺

ビジネスメール詐欺にはいくつかのパターンがありますが、取引先になりすまして架空の請求書を送付し、攻撃者が用意した口座に送金させるという被害が多く見られます。中には経営者や社外の権威ある人物になりすましてメールをやり取りし、金銭をだまし取るという被害も報告されています。

手口は単純であることから、メールの真正性を確認する体制を確立することがもっとも簡単な対策方法です。また、送金を急がせる、いつものドメインとは異なるなど「違和感」をおぼえたら、すぐに報告できるようにすることも重要です。

また、実際に存在する組織のアカウントを乗っ取って攻撃に悪用しているケースも報告されており、やり取りする内容もかなり巧妙化しています。自組織のアカウントが乗っ取られて取引先への攻撃に使われた場合、責任問題に発生する可能性も否定できませんので、アカウント適切な管理を心がけましょう。

不注意による情報漏えい等の被害

不注意による情報漏洩は、常に起こり得る脅威です。情報リテラシーやモラル不足からの不注意、組織の管理体制の不備などが原因になることもありますが、体調不良などで注意力が散漫になった結果というケースもあります。不注意によって何らかの情報漏洩が発生した場合、その原因を必ず確認し、どのように防げるかを検討するようにしましょう。

関連記事：【2024年最新】「情報セキュリティ10大脅威 2024」発表！企業が認識すべき脅威と対策
https://hypervoice.jp/ipathreat2024

まとめ

2025年も「情報セキュリティ10大脅威」の1位は昨年と同じランサム攻撃
世界情勢が不安定になったことで、「地政学的リスクに起因するサイバー攻撃」がランクイン
多くの脅威が例年と同じであり、基本的な対策の重要性は長年変わっていない