「自覚症状なし」でも社内にはもう入られている ― セキュリティにも定期診断を

健康診断は、自覚症状がなくても受けることに意味があるというのは、多くの方が理解されていることだと思います。痛みが出てから病院に駆け込んだのでは手遅れになることがあるからこそ、私たちは定期的に健康診断を受けているわけです。情報セキュリティについても、これは同じことが言えると考えています。インシデントが起きて業務が止まってから対策を始めるのでは遅く、手遅れになる前に組織のセキュリティホールを可視化しておくことが、企業存続のカギになってきます。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、ランサムウェアが組織向け脅威の1位を11年連続で維持し、サプライチェーンや委託先を狙った攻撃が2位となりました。これらの攻撃が何年も続けて上位に入っていることからも、一時の流行で終わる話ではないということが分かります。

会社の規模についても同じことが言えます。警察庁が発表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」の統計によれば、令和7年に報告されたランサムウェア被害226件のうち、中小企業は143件で全体の約63％を占めています。「規模が小さいから狙われない」という感覚は、公的なデータを見る限り、残念ながら当てはまらないということになります。しかも同統計では、復旧に1,000万円以上を要した組織が全体の5割を超え、1ヶ月未満で復旧できた組織も5割強にとどまっており、一度被害に遭えば、中小企業にとっては会社の存続に関わる規模の損害になるということも分かります。 

攻撃者の行動を体系化した代表的なモデルに、MITRE ATT&CK（マイターアタック）と呼ばれるものがあります。攻撃者の行動は、偵察と呼ばれる情報収集から始まり、初期アクセス、実行、持続化、権限昇格、回避、認証情報の窃取、横移動、そして最終的なインパクト（暗号化や情報持ち出しといった目的達成）へと進んでいくのですが、その各段階でどのような手口が使われるかを一覧化したものだと思っていただければと思います。

このマトリクスを眺めてみると、攻撃者がいったんネットワーク内部に入り込むと、その後に使える手口の選択肢が徐々に増えていくことがお分かりいただけると思います。攻撃手法は非常に多様化しており、セキュリティツールを回避する方法も攻撃者によって綿密に研究されています。そのため、防御側にとって検知や封じ込めは一層難しくなっています。

つまり、攻撃者がいったん内部に入った後は、先へ進ませるほど手口が増え、止めにくくなるということです。だからこそ、被害の大きさを分けるのは、入られた直後の動きをどれだけ早く捉えられるかになります。そして、それが自社の環境で本当にできているのかは、平時に確かめておかなければ分かりません。

「AIの時代になって攻撃が高度化した以上、入口も複雑になったのではないか」と思われるかもしれません。確かに、先ほどのIPAの「10大脅威」でも、「AIの利用をめぐるサイバーリスク」が初登場で3位に入りました。攻撃メールの文面は以前より自然になり、なりすましも見分けにくくなっています。

ところが、肝心の侵入経路そのものは、実はほとんど変わっていません。警察庁が発表した「令和7年における サイバー空間をめぐる脅威の情勢等について」の統計でも、ランサムウェアの侵入経路はVPN機器が6割以上を占めています。つまり、インターネットに公開された機器へ、攻撃者が遠隔から侵入する手口が大半なのです。侵入の足がかりになっているのは、未修正の脆弱性、漏えいした認証情報や安易なパスワード、設定不備といった、いずれも基本的な問題です。多くの被害は、未知の脆弱性を突くゼロデイ攻撃のような高度な手口ではなく、このような放置された「負の資産」から始まっています。

もちろん、新しい入口が登場していないわけではありません。代表的なものが、ClickFix（クリックフィックス）と呼ばれる手口です。偽のCAPTCHA認証や「エラーを修正するには」といった画面を表示し、利用者自身にPowerShellなどへコマンドを貼り付けて実行させます。「ESETの2026年上半期の脅威レポート」によれば、この手口の検出数は2025年下半期から2026年上半期にかけて108％増加しました。検出数が最も多かった国は日本で、全体の14％を占めています。

しかも、この手口はAI時代に合わせて姿を変えています。AI-fix と呼ばれる亜種では、Anthropic の Artifacts や OpenAI の Canvas、Microsoft の Copilot Pages といった正規のAIサービスのドメイン上に、実際には存在しない問題の解決ページを作成します。そして、「AIが示した手順」だと信じ込ませ、コマンドを実行させます。偽のブルースクリーンを表示する手口や、Microsoft アカウントの認可トークンをコピーさせる ConsentFix も確認されています。ConsentFix では、パスワードや多要素認証を使わずにアカウントを乗っ取られるおそれがあるとのことです。

ただ、見た目がどれだけ変わっても、中身は従来の ClickFix の流れと同じだとESETは指摘しています。攻撃の中で送り込まれる代表的なマルウェアは、InfoStealerと呼ばれる情報窃取型のマルウェアです。そこで盗まれる認証情報こそ、警察庁が侵入の足がかりとして挙げている「漏えいした認証情報」そのものであり、攻撃者にとってこの上なくおいしい情報なわけです。

入口対策を固めることがとても重要ですが、どれほど対策をしても、侵入を100％防ぐことはできません。だからこそ、「侵入されること」を前提に、攻撃が内部で広がる前に検知できるかという二段構えが必要になってきます。

侵入した直後の攻撃者がまず行うのは、再起動後も居座り続けるための仕込み（持続化や永続化と呼ばれます）と、他の端末やサーバーへ広がるための認証情報の収集です。そのうえで、集めた認証情報を使って内部を横移動していくわけですが、この一連の動きは PowerShell などOS標準の正規ツールだけでも進められます。派手なマルウェアを使わず、正規のツールと盗んだ正規のアカウントで静かに動くため、既知のマルウェアを探す従来型の対策では網に掛かりにくく、「正常な運用」と見分けがつきにくいのがこの段階の特徴です。

そのため、入口の穴を塞ぐだけでなく、入られた後の動きを自社の環境で本当に捉えられるのかまで含めて、平時から第三者の目で点検しておくことが重要になってきます。

ここまで述べてきたとおり、攻撃の入口はVPNのような「変わらない場所」にあり、入られた後の動きは正常な運用と見分けがつきにくく、しかも被害の多くは中小企業に集中しています。だからこそ、自社の状態を客観的に確かめておくことが対策の第一歩になると考えていますが、一口に「セキュリティ診断」といっても、見ている場所はそれぞれ違います。

脆弱性診断は、WebサイトやVPN機器、サーバーといった外から見える部分に既知の穴がないかを網羅的に洗い出すもので、いわば「入口の点検」です。パッチの当て忘れや設定不備をつぶすには最も効率が良く、放置された脆弱性をなくす意味で、まず受けておきたい診断になります。

一方、ペネトレーションテストは、実際に攻撃者の目線で侵入を試み、入った後にどこまで行けるのかを検証するものです。持続化や横移動といった侵入後の動きを自社の環境で再現し、それを既存の対策で検知・阻止できるのかを確かめられるのはこちらになります。網羅性よりも、実際に起きたらどうなるかを見るテストなので、脆弱性診断とは目的がそもそも違うということです。

セキュリティ診断は、専門会社に依頼するほか、ツールを使って自社で行う方法もあります。Webアプリケーションの診断では、有償の「Burp Suite（バープスイート）」が定番です。無償で使えるツールでは、「ZAP（ザップ）」がよく知られています。また、「Nuclei（ヌクレイ）」のように、既知の脆弱性や設定不備をテンプレートに沿って機械的に洗い出すツールもあります。

ただし、ツールが示せるのは、「ここに問題があるかもしれない」という可能性までです。それが本当に危険なのか、誤検知なのか、どの問題から直すべきかを判断するのは人です。診断結果を読み解ける担当者がいるなら、内製は費用対効果の高い選択肢になります。逆に、判断できる仕組みがないままツールだけを導入すると、警告は見つかるものの、何をどう対策したらよいのかが分からず、何も進まなくなりがちです。

どの方式がいちばん良いというものではなく、目的に応じて選ぶものだと考えています。入口の穴を知りたいのか、侵入された後の耐性を知りたいのか、それとも何十万円、何百万円も診断にかけられないため、まずは自分たちで分かる範囲だけでも確認したいのか。健康診断と同じで、何を確かめたいのかを先に決め、その後で方式を選びます。そのうえで順番を挙げるなら、まずは外部に公開している資産を脆弱性診断で点検し、次に、侵入後の動きを捉えられるかどうかをペネトレーションテストで確かめる流れが現実的だと思います。

折しも、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度」の2026年度中の運用開始を目指して検討を進めており、取引先からセキュリティ水準を問われる時代はもう目前に来ています。「客観的に測る」文化を、今のうちに根付かせておきたいところです。