深刻度“中”の脆弱性でも放置してはいけない
アサヒGHDも標的に 被害1200％増のランサムウェア集団「Qilin」急拡大の裏側
ランサムウェア集団「Qilin」は、2024年から2025年にかけて急速に活動を拡大させている。トレンドマイクロの調査から見えてきた、企業が放置している致命的な不備とは何か。
トレンドマイクロは、企業におけるリスク動向を分析した「TrendAI 2026 サイバーリスクレポート」を公開した。本調査は、同社の統合セキュリティサービス「TrendAI Vision One」を利用するユーザー企業を対象に、主として2025年通年のテレメトリーデータから数千に及ぶシステムの観測結果を分析したものだ。
企業全体のセキュリティリスクを定量化する「サイバーリスクインデックス」（CRI）の世界平均は、2024年の38.5から2025年は35.8へと低下し、数値上は改善傾向を示した。しかし、その実態は決して楽観視できるものではない。
脅威グループの活動を追跡したデータによると、確認済みのランサムウェア侵害件数は2024年比で236.0％の増加を記録した。中でも目を引くのが、同年比1270.0％増という驚異的な伸びを示して、活動ランキングの首位に躍り出たランサムウェア（身代金要求型マルウェア）グループ「Qilin」の急拡大だ。
Qilinは2025年、国内大手飲料メーカーであるアサヒグループホールディングスへのサイバー攻撃でも名が挙がり、大きな注目を集めた。なぜQilinのような特定グループがこれほどまでに被害を拡大させられるのか。データから見えてきた「深刻度評価のわな」と、企業が気付かない攻撃の出発点を深掘りする。
ランサムウェア被害を招く「単純な隙」
こうしたQilinの急成長は、ランサムウェアのエコシステムがより高度に細分化し、活発化していることを示している。同グループはサイバー攻撃をサービスとして提供する「Ransomware as a Service」（RaaS）を展開しており、その勢いは「アフィリエイト」と呼ばれる実行役ネットワークの大幅な拡大を反映したものだ。主要グループが法執行機関に摘発される中で生じた空白を、複数の新興グループが埋め合わせている。
Qilinが企業のネットワークに侵入する手口は、攻撃経路予測のデータセットによって明らかになった。231万7503件の攻撃経路予測の中で、起点として最も多く悪用されていたのは「未修正の脆弱（ぜいじゃく）性」だった。これに続くのが、推測しやすいパスワードを狙い撃ちにする「パスワードスプレー」（113万5327件）や「パスワード推測」（88万0527件）といった、アイデンティティーに対する攻撃だ。攻撃者は、多要素認証（MFA）が無効化されたアカウントなど、管理の不備を徹底的に突いている。
さらに深刻な問題として浮上したのが、脆弱性の「深刻度」に対する企業の思い込みだ。未修正のまま放置されている脆弱性の上位10件のうち、3件は共通脆弱性評価システム（CVSS）のスコアが「4.3」「5.5」「6.5」という中程度の深刻度に分類されるものだった。
これらは単体では致命的な被害をもたらしにくいが、ローカルマシンでの情報漏えいを引き起こす可能性がある。攻撃者はこれらの「中程度の脆弱性」を足掛かりにして、同じシステムに存在するリモートコード実行や権限昇格といった深刻度がより高い脆弱性の悪用を容易にしている。CVSSスコアが低いという理由でパッチ適用の優先度を下げている企業は、致命的な攻撃を成功させるための条件を自ら放置していることになる。
デジタルトランスフォーメーション（DX）が急速に進む業界でのリスクが高止まりしていることも判明した。2025年に最も高い平均CRIを記録したのは鉱業（42.5）であり、ヘルスケア（40.3）、農業（40.3）が続いた。鉱業では地理的に分散した拠点でのセンサーや自律走行車両の導入が進む一方、標的型フィッシングが初期侵入の主要な経路となっており、基本的な対策が追い付いていない。
企業規模別に見ても、従業員1万人を超える大規模企業のCRIが40.4であるのに対し、従業員5001人から1万人の中堅企業は41.5と、全規模の中で最も高いリスクスコアを記録している。大企業に匹敵する複雑なネットワークを持ちながら、専任の運用チームやシステムへの投資が追い付いていないことが要因だとトレンドマイクロは推測する。
特定攻撃グループの戦術に特化した事後対処型の防衛策では、絶えず形を変える脅威には対抗できない。企業は、中程度の脆弱性が連鎖するリスクを正しく評価し、アカウント管理を自動化するなど、自社のシステムに内在する根本的なリスク要因を削減する取り組みを継続的に実施すべきだ。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。
TechTarget ニュースプラス
国内のIT業界ニュースを迅速に報道します。企業動向から導入事例、市場トレンドまで幅広く取り上げ、実務に直結する情報をタイムリーに提供する連載です。
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
事例
[Wrike Japan 株式会社] 世界的な家電メーカーが実践する「クリエイティブプロセス効率化」の方法とは？ -
事例
[Wrike Japan 株式会社] 世界的テクノロジー企業に学ぶ、プロセス標準化とプロジェクト納品自動化の秘訣 -
事例
[Wrike Japan 株式会社] ソニー・ピクチャーズ テレビジョンに学ぶ、次世代サービスデリバリーのヒント -
事例
[Wrike Japan 株式会社] ソミック石川に学ぶ、ICT浸透後に直面した「工数管理」の課題と解決策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
2
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
3
「データストレージの活用方法」に関するアンケート
-
4
なぜOpenAIやAnthropicのAIは「脱走」したのか 情シスが迫られるエージェント統制
-
5
【基本情報技術者試験】「デュプレックスシステム」と「デュアルシステム」の違いは？
-
6
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
7
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
8
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
9
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
10
「プログラマー不要論」にThe Linux Foundationが示した答え
ホワイトペーパーランキング PR
-
1
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
4
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
5
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
9
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
10
少額減価償却資産が40万円未満へ拡大、令和8年度税制改正で押さえるべき変更点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー