Gartner、日本国内におけるセキュリティ・インシデントの傾向を発表

ビジネスおよびテクノロジのインサイトを提供するガートナージャパン株式会社 (以下Gartner) は、日本国内におけるセキュリティ・インシデントの傾向を発表しました。

シニア プリンシパル アナリストの木村 陽二は次のように述べています。「サイバーセキュリティ・リーダーは、日本で直近に発生しているセキュリティ・インシデントや新たに出現している脅威の傾向を俯瞰的に把握し、多様なリスクに備える必要があります。その際に、社会的インパクトの大きいものだけに気を取られることなく、日々発生するインシデントを理解し、備えるべきリスクを把握することが重要です」

Gartnerは、直近のセキュリティ・インシデント傾向を10パターンに分類しています。

1. サプライチェーン・サイバーリスクの拡大

サプライチェーン・サイバーリスクが急速に拡大しており、Gartnerは、2030年までに、サイバーセキュリティ・インシデントの60%以上がサードパーティ／サプライチェーンに起因するものとなるとみています。組織は、サードパーティ／サプライチェーンに起因するインシデントがさまざまなパターンのセキュリティ・インシデントに影響を及ぼすことを前提に、セキュリティ対策をデザインする必要があります。

2. AIエージェントのリスクと脅威

企業におけるAIエージェントの取り組みが増えつつある中、リスクや脅威に関するGartnerへの問い合わせが増加傾向にあります。AIエージェントに起因する内部脅威として、データ消失／漏洩や間違った取引のほか、実際にビジネス損失につながるプロセス停止を引き起こしたインシデントも起きています。外部脅威の側面 (例：エージェント・ハイジャック) では、ラボでの実験検証や関連ベンダーによるブログ発信など、現実的な観察事例としても増えつつあります。AIブラウザやPCインストール型のAIエージェントも注目を浴び、新たなリスクを生み出しています。

3. ランサムウェア攻撃

ランサムウェア攻撃は、2026年に入ってからも頻発しています。業務委託先がランサムウェア攻撃を受けたことで、自社 (業務委託元) の個人情報が漏洩したケースも見られます。ランサムウェア攻撃は、攻撃者による既存機器の脆弱性悪用、正規のツールを悪用するLoTL (Living off the Land) 攻撃、マルウェア使用など、複数の攻撃手法を組み合わせて目的達成を図る傾向があります。拠点やVPNの脆弱性や認証情報の管理不足といった問題を抱えている企業はいまだに多いと考えられるため、当面は被害が継続する可能性が高いでしょう。

4. DDoS攻撃

クラウド・サービスやWebメール・サービス、レンタル・サーバなどを狙ったDDoS攻撃が散見されます。直近で被害の大きなものはないものの、過去に生活インフラに影響する企業が短期集中的にDDoS攻撃を受けた事例もあり、そのような兆候には留意する必要があります。

5. 外部公開アプリケーションへの攻撃

ランサムウェア以外にもE-Commerce (EC) サイトが数カ月にわたって停止する事例が見られます。ECサイトへの攻撃では、過去に使われたクレジットカード情報が不正利用された可能性があると公表されたケースがある一方で、ECサイト・サーバ内にクレジットカード情報は保管していないと明確に公表した事例も存在しました。組織は「情報を保有するリスク」という観点からシステムとセキュリティのデザインを再考することが求められます。

6. ビジネス・メール詐欺／フィッシング詐欺

インターネット証券口座を悪用したフィッシング詐欺の被害が、顧客および企業の双方に多大な影響を及ぼしました。ボイス・フィッシング詐欺も頻発しています。ビジネス・メール詐欺 (BEC) は、AIで自然なメール文面を生成する、不正アクセスを通じて事前に業務内容を把握し巧みに偽装するなど、手法は進化しており、被害は後を絶ちません。すべてのBECやフィッシング詐欺を技術的に防御することはできないため、多額の送金を1人の従業員で行えないようにワークフローを強化し、それを遵守する対策が必要となります。

7. 内部不正／組織ガバナンスの崩壊

転職先での営業利用を目的とした退職者による顧客情報持ち出しの内部不正は継続的に発生しています。また、業務委託先が発注元に無断で契約した再委託先が不正を行ったケースや、セキュリティ監査に虚偽の報告を行っていたケースに代表される、組織ガバナンスの崩壊とも言える状況が見られています。

木村は次のように述べています。「情報漏洩の経路は、物理的な立ち入り、USBメモリ、クラウド・サービスの外部連携機能による個人メール・アドレスへのリンク送信など、高度な手法というより何年も前から変わらないものです。サードパーティやAIなど情報の移動範囲が増える中で情報漏洩のリスク・ポイントは明確か、適時に検知できるか再点検する必要があります」

8. 作業や設定のミス

臨時作業時のミスに気づかず、インターネット上で個人情報が長期間閲覧可能になっていたケースやメール誤送信など、作業や設定のミスが情報漏洩につながる事例も継続的に発生しています。業務委託先社員がミスの発覚を恐れ、アクセス・ログを削除した事例もあります。

1つのミスが重大なセキュリティ・インシデントにつながるような業務においては、ミスを防止、検知できるよう複数名が関与する業務フローが必要となります。ミスの発覚時に社員 (業務委託先を含む) がどのようなアクションを取るかのセキュリティ・アウェアネスも必要です。

9. プライバシー問題／デジタル倫理

画像／映像のAI分析において発生するプライバシーへの不適切な対応やデータ漏洩などのセキュリティ・インシデント、当事者が意図しないところで情報が利用されるリスク、第三者への提供など、プライバシー問題とデジタル倫理については、しばしば議論が起きています。

木村は次のように述べています。「AI活用によるビジネス推進や、社員が引き起こすリスクを防ぐ施策も、事前の説明や周知は十分か、法規制上の問題の有無を確認するのは当然として、問題がなくとも倫理的に社会が許容するかを、慎重に検討することが求められます」

10. フェイク・インシデント

実際は起きていないセキュリティ・インシデント情報の拡散や、事実と異なる企業の公表内容が結果的にフェイク・インシデントとなる事例が見られます。

セキュリティ・インシデントの対外的な公表の範囲やタイミングは企業によってさまざまであり、正解はありません。方針や判断フローを定めておき、サイバー攻撃やレピュテーション・リスクに過度に敏感にならず、冷静に十分な事実確認を行うことが必要となります。

Gartnerのサービスをご利用のお客様は、日本におけるセキュリティ・インシデント傾向 (2026年4月) で詳細をご覧いただけます。
日本で提供しているサービスについては、こちらよりご参照ください。https://www.gartner.co.jp/ja/products