2025年7月18日、総務省がIIJ（株式会社インターネットイニシアティブ）に行政指導を実施したニュースが、IT業界に大きな衝撃を与えています。法人向けメールホスティングサービス「IIJセキュアMXサービス」で発生したサイバー攻撃により、約31万件のメールアカウント情報が漏洩するという深刻な事態となりました。
現役CSIRTメンバーとして数々のサイバー攻撃事案を調査してきた立場から、今回の事件は単なる「システムの脆弱性を突かれた事故」ではなく、現代のサイバー犯罪の巧妙さを象徴する典型的な事例だと感じています。
事件の概要：8ヶ月間にわたる潜伏型攻撃
今回の攻撃で特に注目すべきは、その潜伏期間の長さです。2024年8月3日から2025年4月17日まで、実に約8ヶ月間にわたって攻撃者はシステム内に潜伏し、密かに情報を窃取し続けていました。
攻撃の手口は、サードパーティ製メールソフト「Active! mail」に存在していたゼロデイ脆弱性（CVE-2025-42599）を悪用したものです。CVSSスコア9.8（緊急）という最高レベルの危険度を持つこの脆弱性は、まさに「防ぎようのない攻撃」と言えるでしょう。
漏洩した情報の詳細
- メールアドレス＋パスワード：132契約・約31万件
- メール本文・ヘッダ情報：6契約分
- クラウド連携の認証情報：488契約分
- 影響を受けた契約総数：586契約（重複除く）
当初は最大407万件に影響があると報告されていましたが、詳細調査により実被害が確定されました。それでも31万件という規模は、個人情報保護の観点から極めて深刻です。
CSIRTが見る攻撃手法の分析
フォレンジック調査の経験から言えば、今回の攻撃はAPT（Advanced Persistent Threat）の典型的なパターンを示しています。
1. 初期侵入（Initial Access）
攻撃者はActive! mailのゼロデイ脆弱性を発見・悪用してシステムに侵入しました。ゼロデイ攻撃の恐ろしさは、既知の対策では防げないという点にあります。
2. 権限昇格・横展開（Privilege Escalation & Lateral Movement）
一度システム内に入り込んだ攻撃者は、8ヶ月という長期間をかけて段階的に権限を拡大し、様々な情報にアクセス可能な状態を構築していったと推測されます。
3. データ収集・外部送信（Data Exfiltration）
メールアカウント情報、メール本文、認証情報など、価値の高い情報を選別して収集・外部送信していました。
企業が直面する現実的な脅威
IIJほどの大手IT企業でも、このような攻撃を完全に防ぐことは困難でした。では、個人や中小企業はどう対策すべきでしょうか？
実際の被害事例から学ぶ
私が調査した中小企業の事例では、メールアカウントが乗っ取られたことで以下のような被害が発生しました：
- 取引先への偽装メール送信：「振込先変更」を装った詐欺メールが送信され、数百万円の被害
- 機密情報の流出：顧客リストや財務情報が競合他社に渡り、営業活動に大きな支障
- ランサムウェア感染の踏み台：乗っ取られたメールアカウントを通じて、社内システム全体にマルウェアが拡散
特に怖いのは、メールアカウントの乗っ取りが「入口」に過ぎないという点です。攻撃者は盗んだ認証情報を使って、さらに重要なシステムへの侵入を試みます。
個人・企業が取るべき具体的対策
1. 多層防御の構築
今回のようなゼロデイ攻撃に対しては、単一の防御手段では限界があります。複数の防御層を組み合わせることが重要です。
個人の方には、信頼性の高いアンチウイルスソフト
の導入をお勧めします。従来のシグネチャベースの検知だけでなく、行動分析や機械学習を活用した次世代の防御機能を持つ製品を選ぶことが大切です。
2. 通信経路の暗号化
メール通信やWeb閲覧時の通信を暗号化することで、仮に通信内容を傍受されても情報を保護できます。特にリモートワークが増えた現在、VPN
の使用は必須と言えるでしょう。
VPNは通信内容を暗号化するだけでなく、IPアドレスを隠すことで攻撃者からの追跡を困難にする効果もあります。
3. 企業向け包括的セキュリティ診断
中小企業の経営者の方には、定期的なWebサイト脆弱性診断サービス
の実施を強く推奨します。今回のIIJ事案も、事前に脆弱性診断を行っていれば、被害を最小限に抑えられた可能性があります。
特に以下のような企業は、早急な診断が必要です：
- 顧客の個人情報を扱う企業
- オンラインでサービスを提供している企業
- サードパーティ製のソフトウェアを多用している企業
- リモートワークを導入している企業
総務省の行政指導が示す重要性
今回、総務省がIIJに対して電気通信事業法第4条第1項に基づく行政指導を実施したことは、通信事業者に対する国の姿勢の厳格化を示しています。
具体的な指導内容は以下の4点です：
- 通信の秘密保護体制の再点検と強化
- 未知の脆弱性に対する防御能力の向上
- インシデントの早期検知能力の確立
- 業界全体への波及を見据えたセキュリティ水準の底上げへの取組
これらの指導は、通信事業者だけでなく、すべての企業が参考にすべき対策指針と言えるでしょう。
今後の展望：サイバー攻撃はさらに巧妙化する
CSIRTとして様々な事案を見てきた経験から言えば、サイバー攻撃の手法は今後さらに巧妙化していくでしょう。AIを活用した攻撃手法の登場により、従来の防御手段では対応が困難な事案も増加しています。
特に注意すべきは、今回のようなサプライチェーン攻撃です。直接的な攻撃が困難な大手企業に対して、その取引先やサービス提供企業を経由して攻撃を行う手法が主流になりつつあります。
ゼロデイ攻撃への備え
ゼロデイ攻撃は「完全に防ぐ」ことは不可能ですが、被害を最小限に抑えることは可能です。そのためには：
- 異常検知システムの導入：通常とは異なる通信パターンやアクセス行動を素早く検知
- 権限分離の徹底：一つのアカウントが乗っ取られても、全システムにアクセスできないよう権限を細分化
- 定期的なバックアップとリストア訓練：万が一の際の迅速な復旧体制の構築
- インシデント対応計画の策定：被害発生時の初動対応を明確化
まとめ：今すぐ始められる対策から
今回のIIJ事案は、どんな大手企業でもサイバー攻撃の被害者になりうることを示しています。しかし、適切な対策を講じることで、被害を大幅に軽減することは可能です。
個人の方は、まず信頼できるアンチウイルスソフト
とVPN
の導入から始めてください。これらの基本的な対策だけでも、多くの攻撃を防ぐことができます。
企業の方は、Webサイト脆弱性診断サービス
を定期的に実施し、自社のセキュリティ状況を客観的に把握することが重要です。特にメールシステムやWebアプリケーションは、攻撃者の主要な標的となりやすいため、重点的なチェックが必要でしょう。
サイバーセキュリティは「投資」ではなく「保険」と考えるべきです。被害が発生してからでは遅いのです。今回の事案を他人事と考えず、自社・自身のセキュリティ対策を見直すきっかけにしていただければと思います。
