2025年上半期、日本企業を襲った深刻なサイバー攻撃の実態
2025年も半年が経過し、またしても多くの企業がサイバー攻撃の被害に遭っています。警察庁の発表によれば、2024年のサイバー犯罪検挙件数は13,164件に達し、10年連続で増加中という恐ろしい現状です。
フォレンジック調査を行う立場として、ここ数年の攻撃手法の変化を間近で見てきました。特に気になるのは、リモートワークの普及に伴うVPN脆弱性を狙った攻撃や、生成AI技術を悪用した新しいタイプの攻撃の増加です。
今回は「2025年上半期サイバー攻撃被害ランキング」として、実際に発生した重大インシデントを分析し、個人や中小企業の皆さんにも役立つセキュリティ対策をご紹介します。
【情報漏えい件数ランキング】大手企業でも防げなかった被害実態
1位：保険ショップ大手A社 – 510万件の個人情報漏えい
2025年4月末、大手保険ショップがランサムウェア攻撃により、なんと510万件もの個人情報が漏えいした可能性があると発表しました。漏えいした情報には、保険契約者の氏名、住所、電話番号などが含まれています。
フォレンジック分析から見た攻撃の特徴：
– 2月16日の発覚から4月末の発表まで2ヶ月以上の調査期間
– 関連サーバーの即座なネットワーク切り離し対応
– 幸い、外部への公開事実は未確認
保険業界は金融情報を大量に保有しているため、攻撃者にとって「宝の山」です。特に事業規模の大きな企業は、サプライチェーン攻撃の入り口としても狙われやすい傾向にあります。
2位：テーマパーク運営会社B社 – 200万件の個人情報漏えい
都内有数の人気テーマパークを運営するB社が、1月のランサムウェア攻撃により最大200万件の個人情報が漏えいした可能性があると発表しました。年間パスポート購入者の情報に加え、従業員や取引先の契約情報も含まれています。
さらに深刻なのは、1月21日に発生したシステム障害により、テーマパークの来場予約システムが利用できなくなったことです。繁忙期にこうした事態が発生すると、企業の損失は計り知れません。
3位：広報プラットフォーム会社C社 – 90万件の情報漏えい
企業の広報・PR活動支援を行うC社では、複数要素認証を導入していたにも関わらず、経緯不明のIPアドレスからの侵入を許してしまいました。これは、従来のVPN（境界型アクセス制御）の限界を示す事例といえます。
注目すべき点：
– 多要素認証を導入していても侵入を許した
– 経緯不明のIPアドレスからの攻撃
– VPN接続のみでは不十分な現実
4位：専門小売店チェーンD社 – 12万件の情報漏えい
人気専門小売店チェーンのD社では、公式アプリの脆弱性を狙われ、12万件の顧客情報が漏えいしました。特に注意すべきは、昨年11月頃から複数回の不正アクセスを確認していたという点です。
継続的な攻撃を受けていたにも関わらず、十分な対策を講じられなかったことが、今回の大規模漏えいにつながったと考えられます。
5位：大手損害保険会社E社 – 7万5,000件の情報漏えい
E社の事例は、典型的な「サプライチェーン攻撃」です。直接的な攻撃対象は業務委託先の運送会社でしたが、結果として保険会社の顧客情報が流出しました。
これは非常に重要な教訓で、自社のセキュリティがどんなに強固でも、取引先の脆弱性から被害を受ける可能性があることを示しています。
【業務影響度ランキング】事業継続を脅かした深刻な被害
1位：大手航空会社F社 – 年末年始のシステム障害
帰省や旅行シーズンである年末年始に、大手航空会社がDDoS攻撃を受けました。羽田空港でのチェックインや手荷物預かりに大幅な遅れが発生し、多くの利用客に影響が及びました。
攻撃者の狙い：
– 利用者が集中する時期を狙った確信犯的な攻撃
– 社会的影響の最大化を目的とした犯行
– 企業イメージへの深刻なダメージ
2位：地域密着型スーパーG社 – 全店舗の臨時休業
九州のスーパーマーケットチェーンでは、POSシステムへのランサムウェア攻撃により、全23店舗が臨時休業に追い込まれました。商品の受発注や売上集計ができなくなり、事業継続が困難になったのです。
地域密着型の小売業では、1日の休業でも地域社会への影響が大きく、信頼回復には長期間を要します。
3位：バイオテクノロジー企業H社 – 1,300万円の資金流出
H社では、製造委託先担当者のメールアカウント乗っ取りにより、虚偽の請求書で1,300万円相当の資金を騙し取られました。この事例は、メールを使った巧妙な詐欺手法の典型例です。
個人・中小企業が今すぐできる実践的セキュリティ対策
これらの大手企業の事例を見ると、「うちは大丈夫」と思われるかもしれませんが、実際には個人や中小企業の方がより深刻な被害を受ける可能性があります。
1. 基本的なセキュリティ環境の構築
まず最低限必要なのは、信頼できるアンチウイルスソフト
の導入です。Windows Defenderだけでは不十分で、特にランサムウェア対策機能を持つソフトウェアを選ぶことが重要です。
選ぶべき機能：
– リアルタイム保護
– ランサムウェア対策
– フィッシング詐欺対策
– 定期的な自動アップデート
2. 通信の暗号化とプライバシー保護
リモートワークや外出先でのインターネット利用が増える中、通信の暗号化は必須です。特にWi-Fi環境では、信頼できるVPN
を使用することで、通信内容の盗聴や改ざんを防げます。
VPNを使うべき場面：
– 公共Wi-Fi利用時
– 重要な業務データの送受信
– オンラインバンキング利用時
– 機密情報を含むメール送信時
3. 多要素認証の徹底
パスワードだけでは不十分です。可能な限り多要素認証（MFA）を有効にしましょう。特に以下のサービスでは必須です：
– メールアカウント
– クラウドストレージ
– オンラインバンキング
– 業務システム
4. 定期的なバックアップ
ランサムウェア攻撃を受けても、適切なバックアップがあれば身代金を払わずに済みます。3-2-1ルール（3つのコピー、2つの異なる媒体、1つはオフサイト）を実践しましょう。
2025年のサイバー攻撃トレンドと今後の対策
急増するAI悪用攻撃
2025年は、AI技術を悪用した攻撃が本格化しています。特に注意すべきは：
– ディープフェイクによるなりすまし詐欺
– AI生成フィッシングメール
– 音声合成による電話詐欺
サプライチェーン攻撃の常態化
取引先や委託先を経由した攻撃が増加しています。信頼できるパートナーとの連携においても、セキュリティレベルの確認が必要です。
ランサムウェア攻撃の巧妙化
単純なファイル暗号化だけでなく、機密情報の窃取と公開を脅迫材料とする「二重恐喝」が主流となっています。
まとめ：今こそ行動を起こす時
2025年上半期の事例を見ると、サイバー攻撃はもはや「他人事」ではありません。大手企業でも防げない攻撃が、個人や中小企業を狙わないはずがありません。
特に重要なのは：
1. 基本的なセキュリティ対策の徹底
2. 定期的な脆弱性チェック
3. 従業員教育の実施
4. インシデント対応計画の策定
「いつかやろう」ではなく、「今すぐ」行動を起こしてください。被害を受けてからでは遅いのです。
フォレンジック調査の現場で見てきた数々の事例から言えることは、適切な対策を講じていた企業ほど被害を最小限に抑えられているということです。あなたの大切な情報とビジネスを守るために、今すぐセキュリティ対策を見直してください。
一次情報または関連リンク
IIJ – 2025年セキュリティインシデントランキング【上半期の最新事例からサイバー攻撃対策を学ぶ】
