ガートナー、日本国内におけるセキュリティインシデントの傾向を発表

　ガートナージャパンは4月14日、日本国内におけるセキュリティインシデントの傾向を発表した。同社は直近のセキュリティインシデント傾向を以下の10パターンに分類している。

1. サプライチェーン・サイバーリスクの拡大

　2030年までにサイバーセキュリティインシデントの60％以上が、サードパーティー／サプライチェーンに起因するものになるとみている。

2. AIエージェントのリスクと脅威

　内部脅威としては、実際にビジネス損失につながるインシデントも発生。エージェントハイジャックなどの外部脅威では、ラボでの実験検証や関連ベンダーによるブログ発信などの事例も増加している。AIブラウザーやPCインストール型のAIエージェントも新たなリスクとなる。

3. ランサムウェア攻撃

　2026年も頻発しており、業務委託先が攻撃を受けたために自社の個人情報が漏えいしたケースも見られた。既存機器の脆弱（ぜいじゃく）性の悪用や正規のツールを悪用する「Living off the Land（LotL：環境寄生型）攻撃」、マルウェア使用など、複数の攻撃手法を組み合わせる傾向にあり、被害が続く可能性が高い。

4. DDoS攻撃

　クラウドサービスやウェブメールサービス、レンタルサーバーなどが狙われ、直近で大きな被害はないものの、生活インフラに影響する企業が攻撃を受けた例もあるため、留意する必要がある。

5. 外部公開アプリケーションへの攻撃

　ECサイトへの攻撃では、クレジットカード情報の不正利用の可能性があると公表された例がある一方で、ECサイト・サーバー内にそうした情報は保管していないという例も存在。情報を保有するリスクという観点からシステムとセキュリティを再考する必要が求められる。

6. ビジネス・メール詐欺（BEC）／フィッシング詐欺

　AIの活用など、詐欺の手法は進化しており、すべてのBECやフィッシング詐欺を技術的に防御することはできないため、多額の送金を1人の従業員で行えないようにワークフローを強化する対策が必要となる。

7. 内部不正／組織ガバナンスの崩壊

　退職者による顧客情報の持ち出しは継続的に発生している。物理的な立ち入りやUSBメモリー、個人メールへのリンク送信など、情報漏えいの経路は以前と変わらない。リスク・ポイントを明確にし、漏えいの検知を再点検する必要がある。

8. 作業や設定のミス

　臨時作業中のミスで個人情報が長時間閲覧可能になったケースなど、人的ミスが漏えいにつながる場合もある。ミスを防止・検知できるように複数名が関与する業務フローの構築やミス発覚時の行動についてのセキュリティアウェアネスも必要となる。

9. プライバシー問題／デジタル倫理

　画像／映像のAI分析でのプライバシーへの不適切な対応などプライバシーとセキュリティ倫理については議論が起きている。AI活用によるビジネス推進は、法規制上の問題だけでなく、倫理的に社会が許容するかも検討する必要がある。

10. フェイクインシデント

　実際には起きていないセキュリティインシデント情報の拡散や、事実と異なる企業の公表内容が結果的にフェイクインシデントとなる事例が見られる。

　今回の発表で、同社のシニアプリンシパルアナリストの木村陽二氏は、「サイバーセキュリティリーダーは、日本で直近に発生しているセキュリティインシデントや新たに出現している脅威の傾向を俯瞰（ふかん）的に把握し、多様なリスクに備える必要がある。その際に、社会的インパクトの大きいものだけに気を取られることなく、日々発生するインシデントを理解し、備えるべきリスクを把握することが重要だ」とコメントしている。