サイバー攻撃の事例を解説

サイバー攻撃の事例は、1980年代の個人ハッカーによる侵入実験に始まり、今日では国家が数千億円規模の予算を投じる組織的な戦争行為にまで発展しています。KADOKAWAのニコニコ動画停止、アサヒグループホールディングスの受注・出荷全面停止、ニチレイの冷蔵倉庫業務停止といった国内の大型事案も、この長い歴史の延長線上にあります。本記事では、国内外の重要なサイバー攻撃の事例を年代ごとに整理し、情報システム部門が押さえておくべき変遷と教訓を解説します。

サマリー

• 1988年のモリスワームが最初の大規模インターネットワームとして歴史に刻まれ、ハッカー個人への初の刑事訴追に至った事例です
• 1998〜1999年のMoonlight Mazeは、国家支援型のサイバースパイ活動が公的に認知された最初の事例であり、ロシアとみられる攻撃者が米国防総省やNASAに長期潜伏しました
• 2000年のILOVEYOUワームは世界50か国以上に拡散し1兆円超の損害をもたらした事例で、フィッシングとウイルス拡散を組み合わせた手口の原点です
• 2010年のStuxnetは、デジタル攻撃が物理的なインフラを破壊した史上初の事例として、サイバー兵器という概念を確立しました
• 2017年のWannaCry・NotPetyaは150か国以上に被害をもたらし、ランサムウェアが国家の兵器から犯罪ビジネスへと拡大した転換点となった事例です
• 2020年のSolarWindsは正規のソフトウェア更新を経路として18,000組織に侵入したサプライチェーン攻撃の事例で、防御の前提を根底から揺るがしました
• 2020年代には社長・役員を騙るBEC(ビジネスメール詐欺)が国内で急増し、はてな11億7,900万円・TOA9,000万円など上場企業が相次いで億円単位の損失を計上する事例が続出しました
• GitHubなどのソフトウェア開発基盤を経由した侵害も新たな主要手口となっており、CAMPFIREでは最大22万5,846件の個人情報漏洩の恐れ、マネーフォワードではビジネスカード情報370件とソースコード流出の可能性が生じた事例が発生しています
• 2024年以降は生成AI(LLM)を活用したサイバー攻撃が急速に高度化・量産化しており、AI生成フィッシング・ディープフェイク詐欺・マルウェア製造の自動化が実際の攻撃事例として確認されています
• 2024〜2026年の国内事例では、KADOKAWA(2024年)・アサヒグループホールディングス(2025年)・ニチレイ(2026年)と大企業・社会インフラへの直撃が続いており、業績や取引先サプライチェーンへの波及が社会問題となっています

整理表

年代	主要事例	攻撃手口	被害規模・歴史的意義
1980年代	モリスワーム(1988)	自己増殖型ネットワークワーム	初の大規模インターネットワーム、最初のサイバー犯罪立件
1990年代	Moonlight Maze(1998〜99)	国家支援型長期潜伏スパイ	APTという概念の原点。米軍・NASA・DOEを長期間侵害
2000年代前半	ILOVEYOUワーム(2000)	メール添付自動拡散	世界50か国・損害1兆円超。最初のグローバルサイバーパンデミック
2000年代後半	Operation Aurora(2009〜10)	ゼロデイ悪用・APT	Google含む30社超への中国国家支援型攻撃が初めて公認
2000年代後半	Stuxnet(2010)	PLCターゲット型サイバー兵器	物理インフラを破壊した史上初のデジタル兵器
2010年代前半	Sony Pictures攻撃(2014)	ワイパー+情報漏洩	国家が民間企業に外交的圧力として攻撃した初事例
2010年代前半	OPM侵害(2015)	長期潜伏・AD侵害	連邦職員2,150万人。史上最大の政府機関情報漏洩事例
2010年代後半	WannaCry・NotPetya(2017)	ランサムウェア・ワイパー	150か国以上、推定損害1兆円超。重要インフラへの同時直撃
2020年代前半	SolarWinds(2020)	ソフトウェア更新汚染	IT管理ツールが兵器化。18,000組織・米9省庁が侵害
2020年代〜	BEC・社長詐欺(はてな・TOA他)	なりすましメール・チャット送金指示	はてな11.7億円等、国内上場企業が相次いで億円単位被害
2020年代〜	ソフトウェアサプライチェーン攻撃(GitHub経由)	開発基盤の認証情報窃取・リポジトリ汚染	CAMPFIRE・マネーフォワード・Axios等、開発基盤が侵入経路に直結
2024年以降	生成AIを悪用したサイバー攻撃	AI生成フィッシング・マルウェア自動化・ディープフェイク	攻撃の精度と量産速度が激変。従来の人手による攻撃とは次元が異なる
2024年以降(国内)	KADOKAWA・アサヒ・ニチレイ	ランサムウェア・不正アクセス	国内大企業・社会インフラへ年単位の業績直撃と取引先波及

1980年代のサイバー攻撃事例-最初のワームと個人ハッカーの時代

インターネットがまだ大学・研究機関の限られたネットワークだった1980年代、サイバー攻撃の事例の多くは金銭目的でなく、システムへの好奇心から生まれていました。

1986年にはカッコウの卵事件が発生しています。米ローレンス・バークレー研究所のシステム管理者クリフォード・ストールが75セントの会計上の差異を追跡した結果、西ドイツのハッカーがKGBのために米軍・研究機関を1年以上侵害していた事実を暴きました。この実録は後に書籍化され、インターネットに潜む国家スパイの脅威を広く知らしめた最初の記録となりました。

1988年11月には、コーネル大学の学生ロバート・タッパン・モリスが送り出したモリスワームが、当時のインターネット接続台数の5〜10%にあたる約6,000台のコンピュータに感染し、大量の自己複製でシステムをスローダウン・停止させました。モリスは1986年施行のコンピュータ詐欺・濫用防止法(CFAA)違反で有罪となり、インターネット犯罪で起訴された最初の事例として歴史に名を残しています。小さな実験が世界規模の障害を引き起こしたこのケースは、インターネットの相互接続が持つ脆弱性を初めて現実のものとして示した事例です。

1990年代のサイバー攻撃事例-国家スパイ活動の始まり

1990年代はインターネット商業化の波が押し寄せた一方、水面下では国家による組織的なサイバースパイ活動が始まっていました。

1994〜1995年のケビン・ミトニック事件は、この時代を代表する個人ハッカーの事例です。サン・マイクロシステムズ、ノキア、モトローラなどの企業コンピュータに次々と侵入しながら全米指名手配を受けて逃亡を続けたミトニックは逮捕後5年の懲役刑を受け、サイバー犯罪が社会的に大きな注目を集めるきっかけとなりました。

しかし1990年代の最大の事例は個人ではなく国家によるものです。1998年、Moonlight Maze(ムーンライト・メイズ)と呼ばれる一連の侵入が発覚しました。ロシアのIPアドレスから発信されたとみられる攻撃者が、米国防総省・NASA・エネルギー省のコンピュータに約2年にわたって繰り返しアクセスし、軍事・宇宙研究・外交に関わる機密文書を窃取していたことが確認されました。これは今日のAPT(高度持続的脅威)という概念の原点とされ、米政府が正式調査を開始した初の国家レベルサイバースパイ事例です。

また1998年のSolar Sunrise(ソーラーサンライズ)事件では、イラクとの軍事的緊張が高まる中で米国防総省のコンピュータへの侵入が確認され、当初イラクによる攻撃と疑われました。しかし捜査の結果、実行犯はカリフォルニア在住の10代少年とイスラエルのハッカーであることが判明。地政学的緊張と帰属判断の難しさという、今日まで続く課題を最初に可視化した事例です。

1999年には当サイトでも解説しているNASA・国防総省への10代ハッカーによる侵入事件が発生しています。Jonathan James(cOmrade)はNASAから170万ドル相当のソフトウェアをダウンロードし、国際宇宙ステーション用システムを21日間停止させました。

2000年代前半のサイバー攻撃事例-グローバルパンデミックの衝撃

2000年5月に発生したILOVEYOUワームは、フィリピンの若者が作成したメール添付型ウイルスです。「I Love You」と題された件名のメールの添付ファイルを開くと、Outlookのアドレスブックにあるすべてのアドレスに自動で同じメールを送信し、画像・音楽ファイルを上書き・破壊しました。わずか10日間で50か国以上・5,000万台のコンピュータに感染し、総損害額は1兆円を超えると推定されています。フィリピンには当時コンピュータ犯罪法がなく作成者は不起訴となりましたが、この事例をきっかけに多くの国でサイバー犯罪立法が整備されました。

2001年にはCode Red、続いてNimdaが世界規模で拡散しました。Code Redはわずか14時間で35万台以上のWebサーバーに感染し、米ホワイトハウスのIPアドレスに向けたDDoS攻撃を実行しました。Nimdaは攻撃者・Webサーバー・Webクライアント・メール・ネットワーク共有という5つの感染経路を組み合わせた複合型ウイルスで、2001年9月11日の同時多発テロ直後に拡散したことから世界的な混乱を招きました。

2003年のSQL Slammer(スキャナー)ワームは感染開始からわずか10分でインターネットトラフィックを急増させ、韓国の銀行ATM全台・米国の一部緊急通報システムを機能停止させました。2007〜2008年にかけては米TJXカンパニーズで9,400万件超のクレジットカード情報が不正取得され、当時最大の小売業データ侵害事例となっています。

2000年代後半のサイバー攻撃事例-中国APTとデジタル兵器の登場

2009〜2010年に発覚したOperation Aurora(オペレーション・オーロラ)は、Google・Adobe・Juniper Networksなど30社以上の大企業を標的に、Internet Explorerのゼロデイ脆弱性を悪用して侵入した事例です。Googleは中国人権活動家のGmailアカウントが標的にされたことを公表し、中国政府の関与を示唆したうえで中国での事業方針の見直しを発表しました。APTという概念が世界のセキュリティコミュニティに初めて広く認知された転換点です。

同時期にはGhostNet(ゴーストネット)という大規模スパイウェアネットワークの存在も明らかになっています。103か国・1,295台以上のコンピュータが侵害され、チベット亡命政府、台湾政府機関、人権組織などが被害を受けました。コンピュータのカメラ・マイクを遠隔で起動してリアルタイム監視を行う能力まで確認されています。

2010年に発見されたStuxnetは、イランのナタンツ核施設の産業用制御システムを標的に、ウラン濃縮用遠心分離機を物理的に破壊した史上初のデジタル兵器です。USBメモリで拡散し、Siemens製PLCに感染して制御信号を改ざんしながらオペレータには正常と見せかけるという精巧な設計は、米国とイスラエルが共同開発したと広く伝えられています。デジタルのコードが現実世界の物理インフラを破壊できることを初めて実証したこの事例は、サイバー攻撃の歴史における最大の転換点のひとつです。詳細は既報記事でも解説しています。

2008年には米軍機密ネットワーク(SIPRNet)への侵害が発生しています。中東で拾得されたとみられるUSBメモリ由来のマルウェアが機密ネットワークに侵入するというOperation Buckshot Yankeeは、USBメモリという物理的媒体がサイバー攻撃の経路になることを証明し、米軍のUSBメモリ全面禁止と米サイバー軍創設への布石となりました。

2010年代前半のサイバー攻撃事例-APT全盛期と大規模情報流出

2011年、認証セキュリティ大手RSAのSecurIDトークンシステムが、APT1とみられる中国系グループに侵害された事例があります。多要素認証用ハードウェアトークンの乱数生成の根幹をなすSeedファイルが窃取された可能性が指摘され、数か月後にはロッキード・マーティン、ノースロップ・グラマンなど米国の主要防衛企業への攻撃が相次ぎました。認証基盤そのものを侵害して次の攻撃の踏み台とする手口の先例です。

2013年には米Target社が攻撃を受け、4,000万件のクレジットカード情報と7,000万件の個人情報が盗まれました。この事例で特に注目されるのが侵入経路で、Targetそのものではなく、空調設備の保守を委託していた業者のアカウントが窃取されて踏み台にされました。サプライチェーンの弱点が大企業の牙城を崩した先駆的な事例として、今日も繰り返し引用されています。

2014年末のソニー・ピクチャーズエンタテインメント攻撃は、北朝鮮の金正恩指導者を題材にした映画の公開阻止を目的に、大量の社内文書・映画データを流出させ、HDDデータを完全消去するワイパーマルウェアでシステムを壊滅させた事例です。FBIは北朝鮮のサイバー部隊Lazarusグループ(Hidden Cobra)の関与を公式認定しました。国家がサイバー攻撃を民間企業への打撃・外交的圧力として公然と利用した初の事例です。

2015年に発覚した米国人事管理局(OPM)への侵害は、サイバー攻撃による政府情報漏洩の規模という点では史上最大の事例です。中国系攻撃者とみられるグループが少なくとも18か月にわたって潜伏し、現職・元職の連邦政府職員2,150万人分の個人情報・身元調査記録を窃取しました。米国の情報機関員・機密情報取扱資格保有者の身元情報が含まれ、関係者の海外活動に長期的な影響をもたらしたとされています。

国内では同年、日本年金機構が標的型攻撃メールにより約125万件の年金情報を流出させる事例が発生しました。外部公開メールアドレス宛に届いた「意見募集」を装ったメールを職員が開封したことで感染が始まったこの事例は、標的型攻撃への国内社会の関心を一気に高めました。またJAXAへのサイバー攻撃も2016年から始まり、2024年まで繰り返し侵害を受け続けた事例として継続的に報じられています。

2010年代後半のサイバー攻撃事例-ランサムウェアの産業化と重要インフラ直撃

2015〜2016年のウクライナ電力網攻撃は、サイバー攻撃が電力システムを実際に機能停止させた世界初の事例として記録されています。2015年12月にはBlackEnergyマルウェアで電力会社の制御システムが侵害され、23万人以上が最大6時間の停電を経験しました。翌2016年12月にはより高度なIndustroyerマルウェアがキーウの変電所を直撃し、数十分間の停電を引き起こしました。いずれもロシアのSandwormグループによるものとされています。

2016年2月にはバングラデシュ中央銀行のSWIFT国際送金システムが不正操作され、8,100万ドル(約88億円)が窃取された事例が発生しました。本来9億5,100万ドルの窃取を試みたものの、ニューヨーク連邦準備銀行が38件中5件の送金を実行した時点で不審な点に気づき大半の被害を防ぎました。金融インフラの根幹であるSWIFTネットワーク自体が攻撃対象になりうることを示した事例です。

2017年5月のWannaCryはNSAが開発しShadow Brokersが流出させたEternalBlueを用いて、WindowsのSMB脆弱性を悪用し150か国以上・30万台超のコンピュータに感染しました。英国のNHSでは多数の病院が機能停止し、手術のキャンセルや患者転院を余儀なくされました。日本でも日立製作所、ルノー日産、東芝などが被害を受けています。続く6月のNotPetyaは表面上ランサムウェアを装いながら実態は復号不能なワイパーで、A.P.モラー・マースク、メルク、フェデックス傘下TNTなどに壊滅的な被害をもたらし、推定総損害額は100億ドルを超えます。いずれも北朝鮮(WannaCry)・ロシア(NotPetya)の国家支援型グループによるものとされています。

2017年9月には米国の信用情報大手Equifaxが不正アクセスを受け、米国人の約半数にあたる1億4,700万人の社会保障番号・生年月日・住所が流出する事例が発生しました。Apacheの既知の脆弱性(CVE-2017-5638)が2か月以上放置されていたことが原因で、パッチ管理の重要性を示す典型的な事例として繰り返し引用されます。

国内では2021年10月につるぎ町立半田病院がLockBitによるランサムウェア攻撃を受け電子カルテが閲覧不能となり、外来診療が2か月停止しました。FortiGateのVPN機器で3年間パッチが未適用だったことが原因であり、復旧費用は約3億円に上りました。医療機関がランサムウェアの格好の標的となっていることを国内に広く認知させた事例です。

2020年代のサイバー攻撃事例-サプライチェーン攻撃の台頭

2020年12月に発覚したSolarWindsへの攻撃は、ソフトウェアのサプライチェーンを武器化した事例として歴史に残ります。IT監視ソフトOrionの正規アップデートにロシア対外情報庁(SVR)に関連するCozy BearがSUNBURSTと呼ばれる悪意あるコードを埋め込み、18,000の組織に自動配布されました。米財務省・国務省・国土安全保障省・国防総省・NSAを含む9省庁が実際に侵害されています。信頼できるはずのソフトウェア更新そのものが攻撃経路になるという事実は、防御の根幹となる信頼の概念を揺さぶる衝撃をもたらしました。

2021年にはコロニアル・パイプラインがDarkSideによるランサムウェア攻撃を受け、米国東海岸に燃料を供給する主要パイプラインが5日間停止しました。燃料不足への懸念からガスステーションに長蛇の列が生じ、18州に非常事態が宣言されています。侵入経路は流出した従業員のパスワードで、多要素認証の未設定が被害を招きました。同社は440万ドルの身代金を支払いましたが、FBIが後に大半を回収しています。詳細は既報記事で解説しています。

同年のKaseya VSA攻撃ではITマネージドサービスプロバイダー向け管理ソフトの脆弱性を突いて、REvil(ロシア系)が連鎖的に世界1,500社以上へランサムウェアを展開し7,000万ドルの身代金を要求しました。一点を突破することで数千の組織を同時に攻撃できるというマネージドサービス事業者(MSP)経由のサプライチェーン攻撃を定着させた事例です。

2021年12月に発覚したLog4jの脆弱性(CVE-2021-44228)は、世界中のJavaアプリケーションに使用されるロギングライブラリに存在する認証不要のリモートコード実行の欠陥で、Amazon、AppleのiCloudをはじめ数十億台規模への影響が指摘されました。同じく2023年のMOVEit Transfer脆弱性はClopランサムウェアグループに悪用され、2,500社超・9,400万人以上に影響する事案に発展しています。いずれも当サイトの既報記事で詳述しています。

2023年7月には名古屋港がLockBitによるランサムウェア攻撃を受け、3日間にわたってコンテナの搬出入が全面停止した国内事例が発生しています。VPN機器の既知の脆弱性が悪用されたこの事案は、日本最大の貨物取扱量を誇る港湾が機能停止する事態として、社会インフラへのサイバー攻撃の現実を日本社会に強く印象づけました。

ソフトウェアサプライチェーン攻撃の事例-開発基盤が侵入経路に変わった時代

2020年代に入ってサプライチェーン攻撃は、物理的な機器やVPN経由の侵害にとどまらず、ソフトウェアの開発・配布プロセスそのものを武器化する段階へと進化しています。

前述のSolarWinds(2020年)・Kaseya(2021年)が「IT管理インフラ経由」の事例だとすれば、2020年代中盤以降はより日常的な開発ツールであるGitHubやnpmなどのソフトウェアリポジトリが攻撃経路として定着しました。

2026年3月には、JavaScriptの標準的なHTTPクライアントライブラリとして週3億件以上ダウンロードされているAxiosのnpmパッケージが改ざんされ、悪意あるコードが仕込まれた状態で配布されるという大規模なソフトウェアサプライチェーン攻撃が発生しました。攻撃者は偽のMicrosoft Teams会議を用いたソーシャルエンジニアリングでAxiosのリードメンテナーの端末をリモートアクセスマルウェア(RAT)で乗っ取り、npmアカウントの認証情報を奪取したうえで正規リリースを装って悪意ある依存関係を注入しました。Google Threat Intelligence Groupはこの攻撃を北朝鮮系のUNC1069によるものと分析しています。単一のメンテナーが長年維持してきた著名ライブラリが一夜にして数億台規模の感染経路に転化しうるという事実は、オープンソースエコシステムへの信頼そのものに疑問を投げかけるものでした。

GitHubのリポジトリを経由した認証情報侵害も、この時代の代表的なサプライチェーン攻撃の事例です。マネーフォワードは2026年5月、開発基盤GitHubの認証情報が漏洩し第三者にリポジトリがコピーされたことを公表しました。調査の結果、ビジネスカードに関わる370件のカード保持者名・カード番号下4桁の流出可能性と、顧客固有識別子60,449名分の漏洩が確認されています。CAMPFIREもほぼ同時期に同様の手口でGitHubへの不正アクセスを受け、続報で最大22万5,846件の個人情報が漏洩した恐れがあると発表しました。うち口座情報を含む件数は82,465件に上っています。これらの事例は、セキュリティ製品そのものではなく、日常的に使い続けている開発インフラの認証情報管理の不備が直接的な侵害につながることを示しており、開発者向けツールのアクセス管理に対する認識を根本から改める契機となりました。

社長・役員を騙るBEC詐欺の事例-なりすましメール・チャットによる億円単位の不正送金

ビジネスメール詐欺(BEC)は、高度なマルウェアや脆弱性悪用を一切必要とせず、代表者・役員・取引先になりすましたメールやチャットで偽の送金指示を出す手口です。この攻撃は2016年のバングラデシュ中央銀行SWIFT窃取事件で世界に衝撃を与えましたが、2020年代後半には国内の上場企業がターゲットとなり、一件あたり数千万円から十数億円規模の被害が相次ぎました。

2025年12月頃から、日本国内では「代表や役員を騙るなりすましメール」が急増し、LINEへ誘導してから送金を指示する複合型の手口が確認されています。電子メールで接触した後に「セキュリティ上の理由でLINEで話したい」と誘導し、メッセージアプリ上でのやり取りを通じて送金を指示するという手口は、メールのセキュリティフィルターをすり抜けるとともに、担当者に「社長から直接連絡が来た」という緊張感を与えて判断を鈍らせる効果を持っています。

2026年4月には株式会社はてなが従業員に対する虚偽の送金指示により確定損失額11億7,900万円を計上する事案が発生し、同社の当期純損失7億6,700万円という深刻な業績影響をもたらしました。同年にはほかにも、ジェリービーンズグループが4,500万円、TOAの米国子会社が約9,000万円、ベルトラの子会社が約5,000万円のBEC被害をそれぞれ計上しています。手口自体はマルウェアや脆弱性悪用を伴わないという意味で技術的な洗練度は低く見えますが、EDRやファイアウォールなどの技術的な防御策では検知できないため、「送金は必ず別経路で本人確認する」というルールの徹底が唯一の有効策です。

生成AIを悪用したサイバー攻撃の事例-攻撃の精度・速度・量産性が激変

2024年以降、サイバー攻撃における生成AI(LLM)の悪用が急速に実用化されています。この変化は単に攻撃者が便利なツールを使い始めたというレベルにとどまらず、これまで人手と時間を必要としていた攻撃の準備・実行・スケールが根本的に変わり始めていることを意味します。

当サイトがトレンドマイクロのインタビューで取り上げたとおり、生成AIの悪用は大きく三つの方向で進んでいます。一つ目はフィッシングメール・ルアーの自動生成で、ターゲットのSNSや公開情報を読み込ませてパーソナライズされた説得力の高い文章を大量生成することが可能になっています。二つ目はマルウェアのコード生成で、プログラミングの専門知識を持たない攻撃者でも機能するマルウェアを短時間で作成できるようになりつつあります。三つ目はディープフェイクを利用した詐欺で、実際に2024年には香港の多国籍企業の財務担当者がビデオ通話上で「CFO」に偽装したディープフェイク映像に騙されて約2億5,000万香港ドル(約50億円)を送金する事件が発生しています。

攻撃者がAIをどのように活用しているかを具体的に示す国内外の事例も複数確認されています。Rapid7のMDRチームは2026年7月、たった1件のアラート追跡から1,048ファイルに及ぶ生成AI活用のマルウェア製造ラボを暴露しました。このラボではAIコーディングエージェントCodeRRRを用いて囮コンテンツ・テスト文書・READMEが整然と整備されており、Rapid7は攻撃者がモダンなソフトウェアプロダクトチームのように行動したと評しています。またFakeGitキャンペーンでは、7,600ものGitHubリポジトリにMCPサーバーやAIスキルを装った偽装リポジトリが設置され、Claude CodeやGeminiなどのAIエージェント自身が悪意あるリポジトリを推奨・インストールするよう誘導されるAgentBaitingという新手法が確認されました。

これらはいずれも、生成AIが攻撃者側の生産性を劇的に向上させている実例です。防御側も同様にAIを活用した脅威インテリジェンスや異常検知の強化を進めなければ、この非対称性は拡大する一方となります。

2024年以降の国内主要なサイバー攻撃事例-食品・物流・エンタメへの直撃

2024年以降、日本の大企業に対するサイバー攻撃の事例は質・量ともに深刻さを増しています。

2024年6月、KADOKAWAグループがBlackSuitによるランサムウェア攻撃を受け、ニコニコ動画をはじめとする全サービスが停止しました。ニコニコ動画で活動する著名バーチャルYouTuberや声優、N高等学校生徒らの個人情報を含む約26万件のデータが外部に流出しており、2025年3月期に24億円の特別損失が計上されています。多くの機能が数か月にわたって停止を余儀なくされた国内最大規模のエンタメ系サイバー攻撃事例です。

2025年にはアサヒグループホールディングスがQilinによるランサムウェア攻撃を受け、受注・出荷業務が全面停止し、通期決算発表の延期という異例の事態に至りました。純利益は37%減となり、攻撃に起因する影響は370億円弱に上るとされています。基幹システムが停止することで取引先を含むサプライチェーン全体へ被害が波及した事例として、食品・物流業界のセキュリティ対策を問い直すきっかけとなりました。

2026年7月にはニチレイが不正アクセスによるシステム障害に見舞われ、冷蔵倉庫の入出庫業務と冷凍食品の出荷業務が停止しました。ケンタッキー・フライド・チキン、イオン、くら寿司など多数の外食・小売チェーンでも食材の配送遅延と欠品が発生し、物流インフラへのサイバー攻撃が社会的影響を持つことを改めて示した国内最新の大型事例です。ランサムウェアグループRansomHouseが犯行声明を発表していますが、ニチレイは本稿執筆時点で関与の公式確認を行っておらず継続調査中としています。

これらの国内事例に共通する特徴として、当初は業務停止のみの公表にとどまり、個人情報漏洩の有無については調査に数週間〜数か月を要している点が挙げられます。また被害が自組織にとどまらず、商品供給を依存する取引先・消費者まで波及するという意味で、単なるITシステムの問題ではなく事業継続計画(BCP)そのものの問題として経営層が向き合うべき課題です。2026年の最新事例については当サイトの2026年サイバー攻撃・情報漏洩事例まとめで随時更新しています。

年代を超えて繰り返されるサイバー攻撃のパターンと対策

半世紀近いサイバー攻撃の事例を振り返ると、手口の巧妙さは確かに高まっているものの、攻撃の根底にある弱点の種類は驚くほど変わっていません。

パッチ未適用は繰り返される最大の原因です。1988年のモリスワームが既知のUNIX脆弱性を悪用したことから始まり、2017年のWannaCryが2か月前にパッチが公開されたEternalBlue悪用脆弱性を使い、つるぎ町立半田病院が3年間放置した脆弱性を突かれ、Equifaxが2か月間パッチ適用を怠った結果1億4,700万人の情報が流出したことまで、同じ問題が繰り返されています。脆弱性管理とパッチ適用の迅速化は、年代を問わず最も費用対効果の高い防御策です。

フィッシング・ソーシャルエンジニアリングも一貫して有効な侵入手口であり続けています。2000年のILOVEYOUワームから2015年の日本年金機構の標的型メール、2024年の日本の証券口座大量乗っ取り事件まで、人間の注意の隙を突く手口は技術の進化とは無関係に効果を発揮しています。

サプライチェーン経由の攻撃は、2013年のTarget侵害で業者アカウントが使われて以来、2020年のSolarWindsで正規のソフトウェア更新が武器化され、2026年のAxiosでオープンソースライブラリそのものが汚染されるまで、その規模と巧妙さが増し続けています。GitHubを経由したCAMPFIREやマネーフォワードの侵害事例が示すように、開発基盤の認証情報管理は今やすべての企業にとって基本的な防衛線です。自組織のセキュリティ対策だけでなく、委託先・取引先・利用するオープンソースソフトウェアの管理体制まで含めたサプライチェーン全体のリスク評価が不可欠です。

BEC(ビジネスメール詐欺)・社長詐欺は、2016年のバングラデシュ中央銀行SWIFT事件から続く手口の延長線上にありながら、2026年には国内上場企業を繰り返し標的として数千万円から十数億円規模の被害を生み出しています。マルウェアも脆弱性悪用も使わないこの手口に対しては、送金時の別経路本人確認という運用的なルールの徹底だけが有効です。技術的な対策を積み重ねても、人間の判断プロセスに直接介入するBECを完全に防ぐことはできません。

生成AIの悪用は、攻撃手口の進化において新しい段階に入ったことを示しています。これまで人手と専門知識を必要としていたフィッシング文章の作成・マルウェアのコーディング・ターゲット調査が自動化・量産化されており、攻撃の敷居が下がると同時に攻撃の精度と規模が同時に上がるという新しいフェーズが始まっています。防御側もAIを活用した脅威インテリジェンスや振る舞い検知を積極的に取り入れない限り、この非対称性は拡大する一方です。

出典

• 【2026年】サイバー攻撃・情報漏洩の最新事例 – セキュリティ対策Lab
• サイバー攻撃にAIが悪用されている実態-トレンドマイクロへのインタビュー – セキュリティ対策Lab
• CAMPFIRE、GitHubへの不正アクセスで最大22万5,846件の個人情報漏洩の恐れ – セキュリティ対策Lab
• マネーフォワード、GitHubへの不正アクセスでビジネスカード情報370件・ソースコード流出の可能性 – セキュリティ対策Lab
• はてな、BEC詐欺による不正送金被害で最大損失額1,179百万円確定 – セキュリティ対策Lab
• ジェリービーンズグループ、なりすましメールによるBEC詐欺で4,500万円の資金流出 – セキュリティ対策Lab
• TOA、米国子会社で約9,000万円の資金流出 – セキュリティ対策Lab
• 代表や役員を騙るなりすましメールの実例と注意点 – セキュリティ対策Lab
• FakeGitキャンペーン、7,600のGitHubリポジトリでSmartLoaderを拡散-AgentBaiting手法 – セキュリティ対策Lab
• 1件のMDRアラートが1,048ファイルの生成AI活用マルウェア製造ラボを暴露 – セキュリティ対策Lab
• JAXAへのサイバー攻撃のまとめ – セキュリティ対策Lab
• ニチレイ、不正アクセスによるシステム障害 – セキュリティ対策Lab
• ニチレイへの不正アクセスがケンタッキー・イオン・くら寿司に影響 – セキュリティ対策Lab
• アサヒグループホールディングスへのサイバー攻撃のまとめ – セキュリティ対策Lab
• The Morris Worm – SANS Internet Storm Center
• Operation Aurora – McAfee
• SolarWinds Cyberattack – CISA
• NotPetya: The Cyberweapon That Shook the World – Wired