「2025年ベライゾン・データ侵害調査報告書：サードパーティによる侵害が倍増」
ベライゾンは、2023年11月から2024年10月にかけて発生したサイバーインシデントを対象とし、139カ国の被害者を網羅した「データ侵害調査報告書（DBIR）」の第18版を発表しました。
2025年の報告書において、ベライゾンのチームは、あらゆる規模や業種にわたる組織で発生した12,000件以上の確認済みデータ侵害を含む、計22,052件のセキュリティインシデントを分析している。著者らは、この2025年の報告書が「単一の報告書として分析されたデータ侵害件数としては過去最多」であると指摘している。
組織の規模、業務内容、所在地によって脅威の状況は多少異なるものの、こうした変数にかかわらず、データセット全体を通じて常に支配的な傾向として浮かび上がる共通のテーマが存在します。今年も例外ではありません。その中でもおそらく最も明白かつ注目すべき点は、情報漏洩がどのように、そしてなぜ発生するかという点において、サードパーティとの関係が果たす役割です。
ベライゾン「2025年データ侵害調査報告書」
第三者との提携に関する違反
昨年比で2倍となり、データ漏洩の30％がサードパーティに関連していました。組織が利用するサードパーティ製ソフトウェアやベンダーは、一般的にデータ漏洩の経路を増やす要因となり、ベンダーに関連する漏洩事例の報告もますます増えています。大規模なSolarWindsやKaseyaへのサプライチェーン攻撃を覚えている方もいるでしょう。多くの組織が、依然として金銭的・評判的な損害からの回復に努めている状況です。
これらの情報漏洩事件において、研究者らは、その相当数がサードパーティのエコシステムにおける認証情報の再利用を特徴としていることを突き止めた。たとえ特定の組織が理想的なサイバーセキュリティ対策を実施していたとしても、その組織の耐性は、請求書発行サービス、ファイル転送ソフトウェア、あるいはマネージドサービスプロバイダーなど、連携しているサードパーティベンダーの耐性次第である。
サプライチェーン攻撃が増加している中、サプライチェーンを構成する各組織は、フィッシング攻撃から自社のドメインを確実に保護することが極めて重要です。
脆弱性の悪用
着実に増加している脅威として、侵害を実行するために初期のネットワークアクセスを得る目的で脆弱性を悪用する犯罪者が34％増加しました。 「脆弱性の悪用とは何なのか？」と疑問に思う方もいるかもしれません。これは、犯罪者がソフトウェア、ハードウェア、またはネットワークの欠陥（特に、まだ知られていないものや修正されていないもの）を発見し、それを利用してシステムやデータへのアクセス権を得ることを指す、かなり広範な用語です。この手法は、侵害の主要な初期侵入経路となっており、全インシデントの20％を占めています。
ランサムウェアの定着と拡大
残念ながら、もう一つの増加傾向が見られる分野がランサムウェアです。後ほどお伝えする良いニュースもありますが、ベライゾンの調査によると、昨年の報告書と比較してランサムウェアの検出率が37％増加したことが判明しました。調査対象となった情報漏洩事例の44％でランサムウェアが確認されており、2024年の32％から増加しています。
朗報として、ランサムウェアの被害を受けた組織の64％が身代金の支払いを拒否しました。これは2023年比で50％の増加です。さらに、身代金の支払額の中央値は、2024年の15万ドルから11万5,000ドルへと減少しました。
ランサムウェアは、小規模な組織に特に大きな影響を与えています。大企業では、情報漏洩の39%にランサムウェアが関与しているのに対し、中小企業では、情報漏洩全体の88%がランサムウェアに関連するものでした。
—ベライゾン・データ侵害調査報告書
DBIRの執筆者は、ランサムウェアがシステムへのアクセス権の金銭的利用に他ならないと指摘している。データ侵害の約42％は、認証情報の漏洩、脆弱性の悪用、あるいはフィッシングの利用を伴っている。
CISAは 「Stop Ransomware」ガイドにおいて、「有効なドメインから送信されたメールがなりすまされたり改ざんされたりするリスクを低減するため、DMARCポリシーと検証を導入すること」を推奨しています。DMARCは、広く導入されているSPFおよびDKIMプロトコルを基盤とし、送信者と受信者が不正なメールからドメインを保護するための対策を改善・監視できるレポート機能を追加したものです。
DMARCを利用することで、ドメイン所有者は、ランサムウェアがメールを介して拡散するという一般的な手口に対抗し、ドメインの不正利用から保護することができます。
ビジネスメール詐欺
当然のことながら、ビジネスメール詐欺（BEC）は、依然として資金移動詐欺の主要な手口となっている。ベライゾン社の報告によると、BEC攻撃の件数は増加しているものの、被害額の中央値は約5万ドルで横ばい状態にある。しかし、BECの手口は進化しており、犯罪者たちは関係を築くために時間をかけて、それを悪用しようとしている。
我々の見解では、こうした攻撃の真に興味深い点は、その規模だけでなく、攻撃者が被害者について理解を深めるために費やしていると思われる時間の長さにもある。もちろん、AI愛好家たちは、これはもっぱらAIツールのおかげだと強く主張するだろう。しかし実際には、この傾向はすでにあまりにも長く続いているため、すべてをAIの功績とするには無理がある。
—ベライゾン「2025年データ侵害調査報告書」
BECによる収益の大部分（88％）は銀行振込によるもので、仮想通貨などの他の金銭的手段の利用は減少傾向にある。
DMARCは、偽装メールを阻止する仕組みであり、これにより、受信者がそのメールが本物か詐欺かを見極める必要がなくなります。
EMEA地域におけるサイバー犯罪
欧州・中東・アフリカ（EMEA）地域における主な侵害の種類は、2024年のDBIRと一貫していたものの、その分布には変動が見られた。「システム侵入」は増加し、侵害全体の53％を占めた。これは昨年の報告書の27％から上昇した数値である。
この増加の背景には、ランサムウェア攻撃、認証情報の盗難、および脆弱性の悪用が挙げられるだろう。ささやかながらも朗報として、ソーシャルエンジニアリングによる攻撃は2ポイント減少し、22％となった。
アジア太平洋地域におけるサイバー犯罪
アジア太平洋地域では、認証情報の盗難と脆弱性の悪用が、情報漏洩の主な原因として上位を占めています。フィッシング攻撃によって盗まれることが多い認証情報は、情報漏洩事例の55％で利用されていました。
パッチが適用されていないシステム、ソフトウェアのバグ、設定ミスといった脆弱性が悪用され、情報漏洩の37％を占めました。犯罪者は、ランサムウェア攻撃を実行する際、一般的にこれら2つの侵入手法を利用しています。
アジア太平洋地域（APAC）における情報漏洩の25％は、ソーシャルエンジニアリングによるものでした。ソーシャルエンジニアリングによる侵害のうち、ビジネスメール詐欺（BEC）が40％を占め、プロンプト爆撃が34％に関与していました。また、フィッシングは相変わらず広範に見られ、ソーシャルエンジニアリングによるインシデントの26％を占めました。
DMARCとdmarcianがどのように役立つか
DMARCは、ソーシャルエンジニアリングやフィッシング攻撃を行う犯罪者からインターネットドメインを保護する役割を果たします。結果として、組織がメールをドメインベースのサービスとして管理するための基盤となるのです。
DMARCがなりすまし対策技術として有用である理由は、はるかに重要な革新にある。悪意のあるメールをフィルタリングして排除しようとするのではなく、正当なメールを簡単に識別できる手段を運用者に提供してはどうか、という発想だ。DMARCが約束するのは、「悪質なメールを排除する」という従来のセキュリティモデルに、「正当なメールを許可する」というモデルを組み合わせることである。
dmarcianの使命は、DMARCの普遍的な導入を実現することです。私たちは、この技術を推進し、あらゆる規模や形態の組織がDMARCを導入できるよう支援することで、その発展に貢献しています。適切に構築されたDMARC環境は、組織の信頼できるオンラインプレゼンスの基盤となります。
当社は、お客様のドメインカタログの評価を支援し、DMARCの導入および長期的な運用管理をサポートいたします。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
