Verizonがデータ侵害調査報告書（DBIR）の第19版を公開しました。2024年10月から2025年11月までに145か国で記録された31,000件超のセキュリティ事案が対象です。この中のいくつかの数字は、中小企業こそ丁寧に読む価値があります。最も多い弱点が、高価な技術の欠如ではないことを示しているからです。
注目すべき四つの数字
- ランサムウェアが分析対象の侵害の48%に関与。前年の44%から上昇しました。もはや大企業だけの問題ではありません。
- 被害者の69%は身代金を支払わなかった。この割合は年々上がっています。使えるバックアップがあれば交渉の必要はない、という裏返しです。
- 脆弱性の悪用が侵害の31%を占め、認証情報の悪用は13%に低下。さらに気になるのは、CISAの既知悪用脆弱性カタログに載る重大な脆弱性のうち、2025年中に完全に修正されたのは26%にとどまり、修正完了までの中央値が43日に延びたことです。
- 第三者が関与した侵害は48%、サプライチェーン関連の事案は60%増加。ソフトウェアベンダー、会計事務所、物流業者、いずれも侵入経路になり得ます。
もうひとつ考えさせられる数字があります。人的要素は侵害の62%に関与していました。またAIについて、企業の端末からAIサービスへアクセスした利用者の67%が、会社管理外のアカウントを使っていたと報告されています。つまり会社のデータが、会社の管理が及ばないアカウントを通っているということです。
従業員50〜300名の企業にとっての意味
四つの数字を行動の観点から読むと、三つの結論が出ます。
第一に、ランサムウェア対策として最も効くのはバックアップです。高価なファイアウォールではありません。条件は二つ。主系統の管理者アカウントから手が届かない場所に置くこと、そして最低一度は実際に復元を試していること。復元したことのないバックアップは、計画ではなく願望です。
第二に、修正プログラムの適用は日常業務であって、プロジェクトではありません。報告書の43日という中央値は、専任のセキュリティ部門を持つ大組織の数字です。専任がいない企業にはもっと簡素な運用が要ります。月に一度、サーバー・ライブラリ・境界機器を更新する時間を確保し、インターネットに露出しているものから優先する。それだけです。
第三に、取引先は自社の攻撃対象領域の一部です。パートナーがVPNアカウントやシステムへのアクセス権を持つなら、従業員アカウントと同様に扱ってください。範囲を限定し、期限を設け、契約終了時に確実に回収します。
今月できる五つのこと
- インターネットに露出しているものを洗い出す。ウェブサーバー、VPN、カメラ、NAS。不要なものは止める。
- メール、VPN、管理者アカウントに二要素認証を有効にする。
- バックアップを点検する。周期、保管場所、そして時間を計った復元テストを一度。
- アカウント一覧を見直す。退職者、共用アカウント、誰もパスワードを覚えていないサービス用アカウント。
- AI利用の規定を決める。どのツールを使ってよいか、どのデータを貼り付けてはいけないか。
多くの事故は高度な手口から始まりません。始まりはごく日常的なものです。先送りにした修正、回収し忘れたアカウント、誰も復元を試していないバックアップ。
参考資料
- Verizon — 2026 Data Breach Investigations Report
- Help Net Security — Lessons for organizations from the Verizon 2026 DBIR
数値はDBIR 2026およびHelp Net Securityの要約からの引用で、解説と提言はNinePlusによるものです。
