標的型攻撃とは？仕組みや手口、事例を解説|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年04月18日更新日時: 2026年08月02日

標的型攻撃は、特定の企業、官公庁、研究機関、重要インフラ、個人を狙って、事前調査から侵入、権限昇格、横展開、情報窃取、破壊工作までを組み合わせるサイバー攻撃です。以前は、標的型メールやAPTという言葉で語られることが多かったのですが、現在はもう少し広く見る必要があります。

実務で厄介なのは、攻撃者が必ずしも最初から高度なゼロデイを使うわけではない点です。取引先を装ったメール、LinkedInでの採用勧誘、VPNやルーターなどエッジ機器の脆弱性、クラウドの設定不備、委託先のアカウント、退職者アカウントなど、入口はかなり地味です。侵入後に長く潜み、機密情報、認証情報、通信経路、業務フローを把握してから動くため、単発のマルウェア感染として見ると本質を見誤ります。

近年は、ロシアによるウクライナ侵攻、イスラエルとイランを含む中東情勢、中国による重要インフラへの事前侵入、北朝鮮による暗号資産窃取など、軍事・外交・経済制裁と標的型攻撃が強く結び付いています。日本企業にとっても、標的型攻撃は海外の政府機関だけの話ではありません。防衛、宇宙、通信、半導体、物流、金融、暗号資産、クラウド、委託開発、製造業のサプライチェーンまで、攻撃対象はかなり広がっています。

標的型攻撃のサマリー

標的型攻撃は、特定の組織や人物を事前調査し、目的達成まで継続的に侵入を試みる攻撃です。
代表的な入口は、標的型メール、ソーシャルエンジニアリング、VPNやルーターなどエッジ機器の悪用、クラウド認証情報の窃取、委託先経由の侵入です。
IPAの情報セキュリティ10大脅威 2026では、組織向け脅威として機密情報を狙った標的型攻撃が5位に位置付けられ、2016年以降11年連続で取り上げられています。
米英の公的機関は、中国、ロシア、イラン、北朝鮮の国家支援型アクターが政府、重要インフラ、防衛、通信、物流、研究機関を継続的に狙っていると警告しています。
戦争時のサイバー空間では、国家支援アクター、軍情報機関、親国家ハクティビスト、犯罪グループが緩く連動し、軍事支援網や世論形成、重要インフラを狙う傾向が強まります。
日本企業は、自社が直接の軍事・外交当事者でなくても、取引先、技術、物流、クラウド、製品供給網を通じて標的化される可能性があります。

標的型攻撃の整理表

観点	内容
攻撃の目的	機密情報の窃取、認証情報の奪取、長期潜伏、重要インフラへの事前侵入、破壊工作、経済制裁回避、資金獲得
主な標的	官公庁、防衛・宇宙・通信・電力・物流・金融・暗号資産・研究機関・IT企業・委託先・クラウド管理者
主な手口	スピアフィッシング、採用・取引先を装う接触、認証情報窃取、Living off the Land、エッジ機器悪用、サプライチェーン侵害、クラウド権限悪用
国内事例	JAXA、NEC、三菱電機、富士通、DMM Bitcoin関連事案など
海外事例	SolarWinds、Volt Typhoon、Salt Typhoon、ロシアGRUによるウクライナ支援網標的化、イラン系アクターによる重要インフラ狙い、北朝鮮ITワーカー・暗号資産窃取
戦時の特徴	軍事作戦、制裁、外交対立、情報戦と連動し、軍・政府だけでなく物流、通信、クラウド、民間技術企業が狙われる
企業側の重点対策	フィッシング耐性MFA、EDR/XDR、ログ保全、特権ID管理、委託先管理、外部公開資産の棚卸し、インシデント対応訓練、地政学リスクを踏まえた脅威インテリジェンス

標的型攻撃とは何か

標的型攻撃とは、攻撃者が特定の組織や人物を狙い、事前に対象を調査したうえで実行する攻撃です。無差別にばらまかれるマルウェアや一般的なフィッシングと違い、攻撃者は対象組織の業務、取引先、メール文面、利用サービス、公開された人事情報、採用情報、技術スタックを調べます。そのうえで、相手が開いてしまいそうな文面、信じてしまいそうな人物、通ってしまいそうな業務フローを突いてきます。

一昔前の標的型攻撃は、添付ファイル付きメールを受け取った従業員がファイルを開き、端末がマルウェアに感染する、という説明で済む部分がありました。現在はそれだけでは足りません。攻撃者はクラウドID、VPN、SaaS、ソースコード管理、CI/CD、リモートデスクトップ、ネットワーク機器、委託先の端末まで使います。メール訓練だけを続けていても、実際の入口がLinkedIn、業務委託、採用課題、クラウドOAuthアプリ、ネットワーク機器だった場合は防げません。

標的型攻撃の本質は、単に侵入することではなく、目的を達成するまで攻撃者が粘ることです。最初の侵入に失敗しても別の社員を狙い、VPNが堅ければ委託先を狙い、EDRでマルウェアが止められればOS標準機能や正規管理ツールを悪用します。サーバーサイドやネットワークの運用経験があるとよく分かりますが、環境が複雑な組織ほど、攻撃者が身を隠せる場所も増えます。Active Directory、VPN、ファイルサーバー、メール、クラウド監査ログ、プロキシ、EDRの検知を一枚絵で見られなければ、点では異常に見えない活動が線になりません。

APTと標的型攻撃の違い

APTはAdvanced Persistent Threatの略で、高度で持続的な脅威と訳されます。標的型攻撃とほぼ同じ文脈で使われることもありますが、APTという言葉には、国家支援型アクターや長期的なサイバースパイ活動というニュアンスが強くあります。

標的型攻撃は攻撃の形式を表す言葉です。特定の企業や人物を狙い、相手に合わせた侵入手段を使う攻撃全般を指します。一方、APTは攻撃主体や活動の性質を含む言葉です。国家機関と関係する組織、軍情報機関、情報機関、あるいは国家の利益に沿って活動するグループが、長期的に標的へ侵入し、情報収集や破壊工作を行う場合に使われます。

ただし、現場では線引きが難しくなっています。ランサムウェアグループが国家の黙認下で動くケースもあれば、国家支援型アクターが金銭目的の窃取を行うケースもあります。セキュリティ対策Labの既報で扱った国家とハッカー/ランサムウェアグループの結託-ロシア・中国・イランによるサイバーグレーゾーン戦略と日本企業への示唆でも、この境界の曖昧さが重要な論点でした。攻撃者を犯罪者か国家支援アクターかに二分して考えるより、攻撃目的、対象業界、時期、地政学的背景、使われたインフラを合わせて見る必要があります。

なぜ標的型攻撃が深刻なのか

標的型攻撃が厄介なのは、防御側がすべてを守らなければならないのに対し、攻撃者は一点でも突破できればよいからです。しかも、突破後すぐに派手な動きをするとは限りません。MandiantのM-Trends 2025では、対象となった調査案件におけるグローバル中央値の滞留期間が11日とされています。以前に比べると短くなっていますが、11日あれば認証情報の収集、端末間の移動、重要サーバーの把握、クラウド環境の確認には十分です。

標的型攻撃は、情報漏えいだけで終わりません。防衛装備や宇宙開発、半導体、医薬品、AI、通信、物流の情報は、そのまま経済安全保障上の価値を持ちます。企業の図面、設計データ、研究資料、顧客一覧、調達先、輸送ルート、VPN構成、クラウド権限は、攻撃者にとって軍事・外交・産業競争の材料になります。

IPAの情報セキュリティ10大脅威 2026で、機密情報を狙った標的型攻撃が組織向け脅威として11年連続で取り上げられている点も、この問題が一過性ではないことを示しています。毎年のランキングは多少変わりますが、標的型攻撃そのものは企業の基礎リスクとして残り続けています。

国内事例から見る標的型攻撃

日本国内の事例を見ると、標的型攻撃は防衛、宇宙、社会インフラ、ITサービス、金融・暗号資産に広がっています。

JAXAは2024年7月、外部機関からの通報を受けて不正アクセスを確認し、攻撃元との通信遮断やサーバー切断などの対応を行ったことを公表しました。同公表では、本年1月以降にも複数回の不正アクセスを確認し、その中にはゼロデイ攻撃も含まれていたと説明されています。JAXAのような宇宙開発機関は、衛星、ロケット、通信、地上局、共同研究先を含む広いエコシステムを持つため、単独組織の問題にとどまりません。

NECは2020年、防衛事業部門で利用していた社内サーバーの一部が第三者による不正アクセスを受けたことを公表しました。NECの発表では、2016年12月以降に行われた攻撃の初期侵入や早期の内部感染拡大を検知できなかったと説明されています。これは、標的型攻撃の典型的な難しさを示しています。侵入された瞬間に派手な障害が起きるのではなく、攻撃者が内部で静かに移動し、後になって調査で分かることがあります。

三菱電機の不正アクセスでは、防衛省が2021年12月に関連文書を公表し、三菱電機から安全保障上の影響を及ぼすおそれのある情報が外部に流出した可能性のある不正アクセスが発生したことを深刻に受け止めるとしました。防衛関連企業や社会インフラ関連企業は、自社単体ではなく、政府調達、共同研究、取引先、関連会社を含む情報の結節点です。攻撃者から見れば、そうした企業に侵入することで、複数の組織にまたがる情報を得られます。

富士通の2024年の事案では、複数の業務パソコンでマルウェアが確認され、個人情報や顧客に関する情報を含むファイルを不正に持ち出すことができる状態だったと公表されました。

セキュリティ対策Labでも、富士通サイバー攻撃による個人情報漏えいについて続報を発表標的型攻撃かとして取り上げています。富士通の続報では、感染が確認された業務パソコンや、そこから複製指示のコマンドが実行され情報転送された端末範囲が説明されています。ここで重要なのは、業務端末1台の侵害が、社内の他端末や顧客関連ファイルへの影響に広がり得る点です。

暗号資産分野では、DMM Bitcoinから約482億円相当の暗号資産が窃取された事案について、警察庁、FBI、DC3が北朝鮮を背景とするTraderTraitorによる攻撃と特定しています。発表では、LinkedIn上でリクルーターになりすまし、関係者に接触した手口が説明されています。これは典型的な標的型ソーシャルエンジニアリングです。セキュリティ対策Labの北朝鮮のハッカー集団 Lazarus（ラザルス）とは？攻撃手法や日本での被害実例や北朝鮮偽装 IT労働者によるAI技術の悪用事例ともつながる事案であり、採用、業務委託、開発者コミュニティが攻撃経路になり得ることを示しています。

海外事例から見る標的型攻撃

海外では、標的型攻撃は政府機関、重要インフラ、通信、クラウド、ソフトウェアサプライチェーンを中心に深刻化しています。

SolarWinds事件は、サプライチェーン攻撃の代表例です。IT管理ソフトウェアの更新経路が悪用され、米国政府機関や大企業に影響が及びました。この事例は、正規アップデートや信頼済みベンダー経由の通信であっても、無条件に信じられないことを示しました。日本企業でも、EDR、MDM、VPN、監視ツール、バックアップ、リモート保守ツールは強い権限を持ちます。攻撃者がこうした管理基盤を狙うのは、最短距離で広範囲にアクセスできるためです。

中国系アクターの動向では、Volt TyphoonとSalt Typhoonが象徴的です。米CISA、NSA、FBIなどは、Volt Typhoonが米国重要インフラのIT環境に侵入し、有事や危機時にOT機能を妨害するための事前配置を行っていると警告しました。ここでいう事前配置は、すぐに破壊するのではなく、将来の危機に備えて潜伏するという考え方です。セキュリティ対策Labでも、JPCERTがVolt Typhoonの攻撃キャンペーン「Operation Blotless」に関して注意喚起として取り上げています。

Salt Typhoonについては、通信事業者や政府、運輸、軍事関連ネットワークへの継続的な侵入が問題になっています。既報の米国や日本、中国の国家支援サイバー攻撃集団ソルト・タイフーンの注意喚起や中国系サイバー攻撃集団ソルトタイフーンの持続的潜入手口と概要で触れた通り、通信インフラへの侵入は単なる情報漏えいより重い意味を持ちます。通信経路、メタデータ、認証、ルーティング情報、管理者アカウントは、外交・軍事・経済活動の全体像を把握する材料になります。

中国系APTでは、中国系APTグループUNC3886がシンガポール重要インフラへサイバー攻撃も重要です。UNC3886はネットワーク機器、仮想化基盤、エッジ機器を狙う高度な活動で知られ、従来の端末中心の防御だけでは見つけにくい攻撃を行います。ネットワーク機器や仮想化基盤は、EDRが入りにくく、ログの取り方も組織ごとにばらつきます。攻撃者にとっては、目立たず長く潜るのに都合がよい場所です。

北朝鮮の事例では、暗号資産窃取だけでなく、偽装ITワーカーや採用詐欺が大きな論点です。米英などは、北朝鮮のITワーカーが身分を偽り、海外企業に入り込んで収入を得たり、ソースコードや内部情報にアクセスしたりするリスクを繰り返し警告しています。これは外部から侵入するサイバー攻撃というより、採用・委託・リモートワークの仕組みを使った標的型侵入です。既報の北朝鮮 ITワーカー、ソーシャルエンジニアリングで企業に潜り込み、給与と情報を窃取は、日本企業にもそのまま当てはまります。

戦争時のサイバー空間と標的型攻撃

戦争や軍事衝突が起きると、サイバー攻撃は軍や政府だけに向かうわけではありません。物流、通信、クラウド、決済、報道、衛星、港湾、鉄道、電力、燃料、医療、NGO、シンクタンク、研究機関まで対象になります。軍事作戦を支える民間インフラが増えたためです。

ロシアによるウクライナ侵攻では、サイバー空間が軍事作戦、諜報活動、破壊工作、情報戦と並行して使われています。CISAや英国NCSCなどの共同アドバイザリは、ロシアGRUのUnit 26165が、ウクライナ支援に関与する西側の物流企業やテクノロジー企業を標的にしていると警告しています。これは、戦場で戦っている相手の軍だけでなく、武器、物資、通信、支援の流れを支える企業を狙う発想です。

セキュリティ対策Labの既報ロシアがウクライナ軍の新兵へAndroidとWindowsのマルウェアを活用しサイバー攻撃では、ウクライナ軍の新兵を狙った攻撃を取り上げました。軍人、兵站関係者、支援団体、家族、採用対象者、通信アプリ利用者が標的になる点は、戦時の標的型攻撃を理解するうえで重要です。攻撃者は、軍事ネットワークに直接侵入できなくても、周辺の人間関係やスマートフォン、SNS、メッセージングアプリを足場にできます。

ロシア系では、ロシア政府支援のハッカー集団「StarBlizzard」がWhatsAppから外交官を狙う事例も分かりやすいものです。外交官、防衛研究者、ウクライナ支援関係者を狙う活動は、純粋な金銭目的ではありません。外交交渉、制裁、軍事支援、世論形成に関わる情報を得るためのサイバースパイ活動です。

イスラエルとイランを含む中東情勢でも、サイバー攻撃は軍事・外交の流れと連動しています。CISAは、IRGCと関連するCyberAv3ngersがイスラエル製のUnitronics Vision Series PLCを標的にした活動を警告しました。米国政府機関は2025年6月にも、イラン国家支援または関連アクターによる米国重要インフラや関心対象組織へのサイバー活動に警戒を求めています。英国NCSCのAnnual Review 2025も、イランが中東危機に関連する軍事・地政学的目的を支える形でサイバー作戦を集中させている可能性に言及しています。

イスラエル側でも、2025年の国家サイバーセキュリティ戦略は、2023年10月7日の攻撃とその後のIron Swords戦争を背景に策定されています。戦争が起きると、サイバー空間は軍や情報機関だけの領域ではなく、民間企業、自治体、病院、通信事業者、クラウド事業者、スタートアップまで巻き込む安全保障領域になります。既報のイラン系APTが対イラン米軍作戦 Operation Epic Furyに連動し航空・ソフトウェア企業へサイバー攻撃やイスラエル系ハッカーがイランの大手銀行にサイバー攻撃、イラン国内のATMが停止も、軍事・政治イベントとサイバー攻撃の近さを示すものです。

ここで注意したいのは、親国家ハクティビストと国家機関の関係です。すべての攻撃を国家の直接命令と断定するのは危険ですが、戦時には国家の利益に沿う攻撃を行う非国家アクターが増えます。英国NCSCは、ロシアによるウクライナ侵攻やイスラエル・ガザ紛争が、親ロシア系ハクティビストによる英国、欧州、米国、NATO諸国への攻撃を刺激していると説明しています。国家の明示的な指揮命令がなくても、政治的メッセージ、DDoS、OT機器への低スキル攻撃、情報漏えいの主張が安全保障上の圧力になります。

国家支援アクターが狙う対象は変わってきている

国家支援型アクターは、昔から政府機関や防衛企業を狙っていました。ただ、現在は標的がかなり広がっています。

中国系アクターは、政府、通信、重要インフラ、研究開発、技術企業、海外拠点を継続的に狙います。Volt Typhoonのように、有事に備えた重要インフラへの事前侵入が疑われる活動もあります。Salt Typhoonのように、通信インフラや大規模ネットワークの継続的侵害が問題化するケースもあります。通信やルーティングを押さえられると、個別企業の情報だけでなく、誰が誰とつながっているかという関係性まで見えてしまいます。

ロシア系アクターは、ウクライナとその支援国を中心に、政府、外交、防衛、物流、テクノロジー企業、メディア、シンクタンクを狙います。破壊型マルウェア、情報窃取、漏えい、偽情報、DDoSが組み合わさる点が特徴です。戦場での状況、制裁、支援物資の流れ、政治的意思決定とサイバー攻撃が近い距離にあります。

イラン系アクターは、中東情勢、イスラエル、米国、湾岸諸国、重要インフラ、航空、防衛、通信、医療、産業制御機器を狙う傾向があります。CyberAv3ngersのような活動は、実際の産業制御機器やインターネット接続された機器が政治的メッセージの対象になることを示しています。組織側から見ると、古いPLC、公開された管理画面、初期パスワードのままの機器が、そのまま国家間対立の舞台に置かれてしまうわけです。

北朝鮮系アクターは、資金獲得と情報収集が強く結び付いています。暗号資産、金融、Web3、開発者、委託先、求人、リモートワークを狙い、得た資金が核・ミサイル開発を含む国家プログラムに使われる可能性が指摘されています。DMM Bitcoinの事案は、日本企業がこの構図の中にいることをはっきり示しました。

標的型攻撃の主な手口

標的型攻撃の入口として最も分かりやすいのは、スピアフィッシングです。攻撃者は、部署名、取引先名、実在する担当者名、過去のイベント、採用情報、プレスリリースを調べ、本人が反応しそうなメールを作ります。添付ファイルではなく、クラウドストレージ、認証ページ、TeamsやSlackの招待、電子契約、請求書、採用課題を装うこともあります。

ソーシャルエンジニアリングも増えています。DMM Bitcoin関連事案のように、LinkedInでリクルーターを装ってエンジニアに接触する手口は、攻撃メール訓練だけでは防ぎにくいものです。Web3やAI、セキュリティ人材、フリーランス開発者は、外部とのやり取りが多いため、攻撃者が自然に近づきやすい領域です。

認証情報の窃取も中心的な手口です。パスワードスプレー、MFA疲労攻撃、AiTM、OAuthアプリの悪用、セッショントークン窃取、メール転送ルールの設定など、攻撃者は正規アカウントとして入り込もうとします。MFAを導入していても、SMS、TOTP、プッシュ通知だけではAiTMやセッション窃取に弱い場合があります。重要アカウントにはパスキーやFIDO2セキュリティキーなど、フィッシング耐性のあるMFAを優先すべきです。

Living off the Landは、侵入後の隠密行動でよく使われます。PowerShell、WMI、PsExec、リモートデスクトップ、正規の管理ツール、OS標準コマンドを使うため、単純なマルウェア検知では見つけにくくなります。Volt Typhoon関連の注意喚起でも、こうした手口が大きな論点でした。ログを見る側も、マルウェアの有無だけではなく、通常と違う管理操作、管理者アカウントの利用時間、ネットワーク機器へのログイン、クラウド権限変更を見る必要があります。

エッジ機器の悪用も増えています。VPN、ファイアウォール、ルーター、ロードバランサー、メールゲートウェイ、仮想化基盤は、外部から到達でき、かつ権限が大きい機器です。EDRを入れにくく、ログの保全が甘く、パッチ適用に業務影響があるため、攻撃者にとって魅力的です。サポート終了機器や管理画面の露出は、国家支援アクターにも犯罪グループにも狙われます。

サプライチェーン攻撃では、標的企業そのものではなく、委託先、ソフトウェアベンダー、クラウド連携、保守会社、開発会社、MSPが狙われます。標的企業のセキュリティが堅くても、委託先の認証情報や保守経路が弱ければ侵入できます。近年の標的型攻撃を考えるうえで、自社の境界だけを見る考え方は通用しにくくなっています。

AIが標的型攻撃をどう変えるか

AIは、標的型攻撃の世界でも効率化の道具として使われています。英国NCSCのAnnual Review 2025は、中国、ロシア、イラン、北朝鮮に関連するアクターが、大規模言語モデルを使って偵察、検知回避、窃取データの処理、ソーシャルエンジニアリング、脆弱性調査やエクスプロイト開発を支援していると説明しています。

ここで重要なのは、AIがすぐにまったく新しい攻撃を生んでいるというより、既存の攻撃を速く、安く、自然にしている点です。日本語の不自然なメール文面が減り、ターゲット企業のプレスリリースに沿った誘導文が作りやすくなり、SNSや登壇資料から個人ごとの関心事項を拾いやすくなります。攻撃者が日本語を母語としなくても、日本企業向けの標的型メールや採用メッセージを以前より自然に作れるようになります。

防御側もAIを使えますが、AI製品を入れれば標的型攻撃に勝てるわけではありません。ログが取れていない、ID管理が崩れている、退職者アカウントが残っている、委託先アカウントの棚卸しがない、ネットワーク機器の管理ログがない環境では、AIに見せる材料が足りません。AI時代ほど、地味な資産管理、ID管理、ログ管理が効いてきます。

日本企業が巻き込まれるシナリオ

日本企業が標的型攻撃を受けるシナリオは、いくつかに分けられます。

防衛・宇宙・半導体・通信・エネルギー企業は、技術情報そのものが狙われます。設計資料、調達先、研究テーマ、共同研究先、輸出管理対象技術、特許化前のノウハウは、経済安全保障上の価値が高い情報です。攻撃者は、研究者、海外拠点、子会社、共同研究先、委託開発会社、展示会で接点を持った担当者を狙う可能性があります。

物流、商社、海運、航空、倉庫、ITベンダーは、有事や制裁局面で狙われやすくなります。ウクライナ支援に関連する西側物流企業がロシアGRUの標的になったように、物資や技術がどこを通って移動するかは軍事的にも外交的にも価値があります。日本企業が直接の当事者でなくても、部材、設備、クラウドサービス、保守、輸送を通じて支援網の一部に入る可能性があります。

金融・暗号資産・Web3企業は、北朝鮮系アクターにとって資金獲得の標的です。採用や業務委託、GitHub、開発者コミュニティ、リモートワーク経由で接触される可能性があります。採用時の本人確認、開発環境の分離、コードレビュー、秘密鍵管理、署名フロー、権限分離が甘いと、単なる人事リスクでは済みません。

一般企業でも、政府・重要インフラ・大企業との取引があれば、踏み台として狙われます。攻撃者にとって、直接本丸を攻めるより、関連会社や委託先から入る方が簡単なことがあります。取引先から見ると、メールの送信元が本物のアカウントであれば、怪しい添付ファイルでも開いてしまう可能性があります。日本無線のように、侵害されたアカウントが標的型攻撃メールの踏み台になるケースもあります。

防御は侵入前提で考える

標的型攻撃への対策は、侵入させない対策と、侵入された後に広げない対策を分けて考える必要があります。メールゲートウェイやEDRだけでは足りません。攻撃者が正規アカウントで入ってきたとき、業務委託先の端末からアクセスしてきたとき、VPNアカウントを使ったとき、クラウドOAuthアプリを承認したときに気づけるかが重要です。

ID管理では、特権ID、退職者アカウント、委託先アカウント、共有アカウント、非常用アカウントを洗い出すべきです。MFAは全社導入が前提ですが、経営層、情シス、開発者、クラウド管理者、財務、法務、防衛・研究部門には、フィッシング耐性のあるMFAを優先して適用する方が現実的です。

ログ管理では、認証ログ、VPNログ、EDR、DNS、プロキシ、メール、クラウド監査ログ、ID基盤、ネットワーク機器の管理ログを横断的に見られる状態にします。標的型攻撃では、ひとつのログだけを見ると普通の操作に見えることがあります。深夜の管理者ログイン、普段使わない国・地域からのアクセス、メール転送ルールの作成、短時間の大量ファイルアクセス、クラウド権限の変更、エッジ機器へのログインをつなげて見る必要があります。

ネットワーク面では、エッジ機器と管理基盤が重要です。VPN、ファイアウォール、ルーター、仮想化基盤、バックアップ、監視ツール、MDM、RMMは、攻撃者が狙う管理者側のインフラです。これらは業務影響を恐れてパッチ適用が遅れがちですが、攻撃者から見ると格好の入口です。管理画面の公開範囲、MFA、ログ送信、不要アカウント、サポート期限を定期的に確認すべきです。

委託先管理では、契約書のセキュリティ条項だけでは足りません。どの委託先がどのシステムに、どの権限で、どの端末からアクセスできるかを把握する必要があります。開発委託先、保守会社、クラウド運用代行、採用代行、BPO、コールセンター、海外拠点は、標的型攻撃の入口になり得ます。委託先に事故が起きた場合、自社側でアクセス停止、ログ確認、証跡保全、顧客説明ができるかまで決めておくべきです。

経営層が理解すべき標的型攻撃の見方

標的型攻撃は、情シスだけで完結する問題ではありません。攻撃者は、経営判断、提携、M&A、研究開発、採用、広報、法務、調達、物流、海外展開を見ています。攻撃の入口が採用担当者や経理担当者で、目的が研究情報や決済承認であることもあります。

経営層が理解すべきなのは、標的型攻撃が単なるIT障害ではなく、競争力、信用、供給責任、安全保障に直結する点です。防衛・宇宙・重要インフラに関わる企業なら、インシデントは顧客企業だけでなく、官公庁、規制当局、取引先、海外パートナーにも波及します。暗号資産や金融なら、信頼を失えば事業継続そのものが難しくなることがあります。

標的型攻撃対策では、経営判断が必要な場面が多くあります。全社MFAの例外を認めるのか、古いVPNを止めるのか、委託先のアクセスを制限するのか、海外拠点のネットワークを分離するのか、監視ログをどこまで長期保管するのか、インシデント時にどの段階で公表するのか。これらは技術担当者だけでは決めきれません。

情報システム部門への示唆

情報システム部門にとって、標的型攻撃対策の出発点は、自社が何を持っているかを現実的に見ることです。高度な防衛情報を持っていない企業でも、顧客データ、設計情報、認証情報、取引先とのメール、クラウド管理権限、ソースコード、物流情報、金融情報を持っています。攻撃者は、直接の価値がある情報だけでなく、次の攻撃に使える情報も狙います。

優先すべきは、ID、エッジ機器、ログ、委託先、訓練です。全社員へのMFA導入は当然として、重要アカウントはフィッシング耐性MFAへ移行します。VPNやファイアウォールなどの外部公開機器は、脆弱性管理だけでなく、サポート期限、管理画面の公開範囲、ログの外部転送を確認します。EDRの導入だけで安心せず、ネットワーク機器やクラウド監査ログのように、EDRが見えない領域の証跡も残します。

標的型メール訓練は続ける価値がありますが、それだけでは現在の攻撃には不足します。LinkedInや採用、委託先、GitHub、クラウド共有、チャットツール、電子契約を使った攻撃も訓練対象に含めるべきです。開発者、経理、法務、役員秘書、広報、海外営業、調達部門は、攻撃者に狙われやすいにもかかわらず、技術部門ほど訓練されていないことがあります。

地政学リスクも、情シスの管理対象に入ってきています。ウクライナ支援、中東情勢、台湾海峡、対ロ制裁、対中輸出管理、北朝鮮制裁に関係する事業を持つ企業は、平時よりも標的型攻撃の可能性が高まると見た方がよいです。事業部や経営企画が把握している海外案件や取引先情報と、情シスが見ている脅威情報をつなげる仕組みが必要です。

最後に、標的型攻撃は完全防御を前提にしない方が現実的です。侵入される可能性を認めたうえで、早く気づき、横展開を止め、証跡を残し、顧客や当局へ説明できる状態を作ることが大切です。ネットワークエンジニアやサーバーサイドの現場感で言えば、障害対応と同じで、普段から見ていないログは事故時にも見られません。平時に見える化していない経路は、有事に切り離せません。標的型攻撃対策は、特別な製品を買う前に、自社の運用の穴をどこまで潰せるかにかかっています。