こんにちは。現役のCSIRTメンバーとして日々サイバー攻撃と向き合っている私が、2025年6月に発生した衝撃的な情報漏えい事件について解説します。
正直言って、この数字を見たときは背筋が凍りました。なんと、たった1か月で**904万件**もの個人情報が漏えいした可能性があるんです。これは東京23区の人口973万人に迫る規模で、まさに日本全体を揺るがす大事件です。
## 2025年6月の情報漏えい被害の実態
### 被害規模ワースト3
**1位：損害保険ジャパン株式会社**
– 被害件数：約904万件
– 原因：不正アクセス
– 内容：顧客や代理店データの漏えい可能性
**2位：「Fujisan.co.jp」**
– 被害件数：最大252万8,500人
– 原因：不正アクセス
– 内容：マイページへの不正ログイン
**3位：フォーデイズ**
– 被害件数：134万7,445件
– 原因：不正アクセス（約560万回の異常アクセス）
– 内容：会員の個人情報漏えい可能性
私がフォレンジック調査で実際に扱った事例を振り返ると、これらの数字がいかに異常かがわかります。通常、中小企業での被害は数千件から数万件規模が多いのですが、今回は桁が違います。
### 攻撃手法の傾向分析
2025年6月に報告された76件のインシデントを分析すると：
– **不正アクセス：53件（69.7%）**← 圧倒的多数
– システム管理上のミス：9件（11.8%）
– 誤送信ほか操作ミス：6件（7.8%）
この数字から見えるのは、**攻撃者による意図的な侵入が主流**ということです。これは偶発的なミスではなく、組織的なサイバー犯罪が横行している証拠です。
## 現場で見た実際の被害パターン
私がCSIRTで対応した実際のケースをいくつか紹介しましょう（もちろん機密情報は除きます）。
### ケース1：地方の中小製造業A社
– **被害内容**：顧客データベース全件（約3万件）が暗号化
– **攻撃手法**：メール添付ファイルからのランサムウェア感染
– **復旧期間**：2週間
– **損失額**：約500万円（業務停止コスト含む）
この会社の社長さんは「うちみたいな小さな会社が狙われるなんて思わなかった」と言っていました。でも実は、中小企業こそ狙われやすいんです。セキュリティ対策が手薄だから。
### ケース2：個人経営のオンラインショップB店
– **被害内容**：クレジットカード情報121件が不正利用
– **攻撃手法**：ECサイトの脆弱性を突いた侵入
– **復旧期間**：1か月
– **損失額**：約200万円（損害賠償含む）
オーナーは「専門知識がないから、どこから手をつけていいかわからない」と途方に暮れていました。
## 日本体操協会の事例が示す深刻な現実
特に印象的だったのが、日本体操協会の被害です。同協会は公式発表で**「残念ながら不正アクセスに対抗できない状況が続いております」**と率直に述べています。
これ、実は多くの組織が抱えている本音なんです。攻撃が高度化する一方で、防御側のリソースや知識が追いついていない。
協会のWebサイトにアクセスすると：
– 外部の販売サイトを装った偽サイトに誘導
– Google Chromeアップデートを装った偽サイトに接続
こうした手口は「水飲み場攻撃」と呼ばれ、最近特に増えています。信頼できるサイトが乗っ取られて、そこを訪れた人が被害に遭う手法です。
## 個人ができる具体的な対策
### すぐにできる基本対策
**1. アンチウイルスソフト
の導入**
– リアルタイム検知機能付きのものを選ぶ
– 定期的な自動スキャン設定
– Web保護機能は必須
**2. VPN
の活用**
– 公衆Wi-Fi利用時は必須
– 通信の暗号化で情報漏えいを防ぐ
– 海外サーバー経由で匿名性も確保
**3. パスワード管理の徹底**
– 使い回し絶対禁止
– 12文字以上の複雑なパスワード
– パスワード管理ツールの活用
### 実際の攻撃を想定した対策
私の経験から言うと、多くの個人が見落としがちなのが「フィッシング対策」です。
**よくある騙しのパターン：**
– 「Amazonアカウントがロックされました」
– 「クレジットカードの不正利用を検知しました」
– 「システムアップデートが必要です」
これらのメールやポップアップは、99%偽物です。絶対にリンクをクリックしないでください。
## 企業・組織が取るべき対策
### 基本的なセキュリティ対策
**1. Webサイト脆弱性診断サービス
の実施**
– 定期的な脆弱性診断
– ペネトレーションテスト
– 第三者による客観的評価
**2. 従業員教育の強化**
– 月1回のセキュリティ研修
– フィッシング耐性テスト
– インシデント報告体制の整備
**3. インシデント対応計画の策定**
– 72時間以内の初動対応手順
– 関係者への連絡体制
– メディア対応方針
### 実際の事例から学ぶポイント
ソフトバンクの事例（UFジャパン関連）では、業務委託先の管理不備が問題となりました：
– 個人情報取扱いフロアへの第三者入室許可
– 警備員未配置
– セキュリティ監査への虚偽報告
これは「サプライチェーン攻撃」のリスクを示しています。自社だけでなく、委託先のセキュリティ管理も重要です。
## 最新の攻撃トレンドと対策
### 2025年に急増している攻撃手法
**1. AIを活用したフィッシング**
– より巧妙な日本語でのメール作成
– 個人の行動パターンを分析した標的型攻撃
– 音声合成による電話詐欺
**2. クラウドサービスを狙った攻撃**
– 設定ミスを狙った侵入
– 認証情報の総当たり攻撃
– API経由での不正アクセス
**3. ランサムウェアの進化**
– データ暗号化前の情報窃取
– 二重脅迫（暗号化＋情報公開脅迫）
– 復旧ツールの偽装配布
## 被害に遭ってしまった場合の対処法
### 個人の場合の緊急対応
**1. 被害範囲の確認**
– クレジットカード利用明細の確認
– 銀行口座の不正利用チェック
– SNSアカウントの乗っ取り確認
**2. 関係機関への連絡**
– クレジットカード会社への利用停止依頼
– 警察への被害届提出
– 信用情報機関への照会
**3. 証拠保全**
– 不審なメール・SMSの保存
– 通信履歴の記録
– 被害状況の写真撮影
### 企業の場合の初動対応
**72時間以内にやるべきこと：**
1. **被害範囲の特定**（最優先）
2. **関係者への連絡**（顧客・取引先・監督官庁）
3. **証拠保全**（ログ・通信記録・システム状態）
4. **外部専門家への相談**（フォレンジック会社・弁護士）
私の経験では、初動対応の遅れが被害を拡大させるパターンが非常に多いです。「様子を見る」のは絶対にダメ。すぐに専門家に相談してください。
## まとめ：今すぐ行動を起こそう
2025年6月だけで904万件という驚異的な情報漏えい被害が発生している現実を前に、「自分は大丈夫」と思っているあなた、それは危険な錯覚です。
**個人の方へ：**
– アンチウイルスソフト
とVPN
の導入は必須
– パスワード管理の見直し
– 怪しいメール・サイトへの警戒
**企業・組織の方へ：**
– Webサイト脆弱性診断サービス
による定期チェック
– 従業員教育の強化
– インシデント対応体制の整備
サイバー攻撃は「もしも」ではなく「いつ」の問題です。被害に遭ってから後悔するのではなく、今すぐ対策を始めましょう。
私たちCSIRTメンバーは日々、被害に遭った組織や個人をサポートしていますが、正直言って「もう少し早く対策していれば…」と思うケースがほとんどです。
あなたの大切な情報を守るために、今日から行動を始めてください。
## 一次情報または関連リンク
2025年6月情報漏えい動向レポート – ScanNetSecurity
損害保険ジャパンへの不正アクセス事件 – ScanNetSecurity
Fujisan.co.jp不正アクセス事件 – ScanNetSecurity
フォーデイズ不正アクセス事件 – ScanNetSecurity
日本体操協会不正アクセス事件 – ScanNetSecurity
