サイバー犯罪の事例まとめ｜企業・個人・国家の最新事例と警察庁統計から学ぶ対策【2026年最新】|セキュリティ対策Lab

投稿日時: 2025年07月18日更新日時: 2026年07月24日

サイバー犯罪の事例を調べている方の多くは、実際にどのような被害が起きているのか、自社や自分が同じ手口に遭わないためにどう備えればよいのかを知りたいのではないでしょうか。本記事では、企業・個人・国家レベルという3つの視点から実際に起きたサイバー犯罪の事例を体系的に整理し、警察庁が公表した2025年の最新統計データと、当サイトが独自に取材・追跡してきた国内の最新事例を交えて解説します。ランサムウェア、BEC（ビジネスメール詐欺）、フィッシング、ディープフェイク、投資詐欺、サプライチェーン攻撃まで、手口別に被害の実態と具体的な対策を網羅します。

サマリー

2025年のサイバー犯罪検挙件数は15,108件（過去最多）、ランサムウェア被害報告は226件（警察庁）
ランサムウェア被害の復旧費用は「1,000万円以上」が5割超、侵入経路はVPN機器が6割超
SNS型投資・ロマンス詐欺の被害額は約1,827億円、証券口座乗っ取りによる不正取引は累計約5,710億円規模
特殊詐欺の被害額は約1,414億円で前年比ほぼ倍増、フィッシング報告は245万件超で過去最多
企業向けの代表的手口：ランサムウェア・BEC・サプライチェーン攻撃
個人向けの代表的手口：フィッシングSMS・SNS投資詐欺・証券口座乗っ取り
国家レベルの攻撃：重要インフラ・核施設・情報窃取を狙う破壊型攻撃
背景にはRaaS（サービスとしてのランサムウェア）の横行による攻撃者の裾野拡大

サイバー犯罪の事例を理解する前に――2025年の最新統計

個別の事例を見る前に、日本におけるサイバー犯罪の全体像を警察庁の公式データから把握しておきましょう。数字を押さえておくことで、各事例が特殊なケースではなく、誰にでも起こりうる普遍的なリスクであることが理解できます。

警察庁が2026年3月に公表した「令和7年（2025年）におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年のサイバー犯罪の検挙件数は15,108件で過去最多を記録しました。企業・団体におけるランサムウェア被害の報告件数は226件で、過去最多だった2022年の230件に次ぐ高水準です。ノーウェアランサム（データを暗号化せず窃取のみで脅迫する手口）の被害報告も17件ありました。

被害の傾向として見逃せない点が3つあります。第一に、ランサムウェア被害からの復旧に総額1,000万円以上を要した組織が全体の5割を超えていること。第二に、侵入経路のうちVPN機器・リモートデスクトップが6割を超えていること。第三に、被害企業の6割以上が中小企業であることです。「うちは大企業ではないから狙われない」という認識は、統計上まったくの誤りです。

詐欺被害も深刻です。特殊詐欺の被害額は約1,414億円で前年比ほぼ倍増、SNS型投資・ロマンス詐欺の被害額は約1,827億円に達しました。フィッシング対策協議会への報告件数は245万4,297件と前年比42.9%増で過去最多を更新しています。

こうした被害増加の背景には、RaaS（Ransomware as a Service）の横行があります。ランサムウェアがビジネスモデル化したことで、高度な技術を持たない攻撃者でも攻撃を実行できるようになり、攻撃者の裾野が大きく広がりました。

企業を狙うサイバー犯罪の事例

企業を標的とするサイバー犯罪は、事業停止・金銭被害・信用失墜という3つの深刻な影響を同時にもたらします。代表的な手口を実際の事例とともに見ていきます。

ランサムウェア攻撃による業務停止（ホンダ・2020年）

2020年、ホンダがサイバー攻撃を受け、一部の国内外拠点で業務が停止しました。原因は海外拠点のネットワーク経由で侵入されたランサムウェア「Maze」です。攻撃者はVPN経由で社内ネットワークにアクセスして内部に潜伏し、数日かけて業務システムの構成を調査したうえでファイルを一斉に暗号化しました。北米や欧州の生産拠点で工場ラインが停止し、国内でも社内ネットワークの遮断対応が取られています。犯人グループは暗号化前に窃取した機密ファイルの一部を公開して支払いを迫る二重脅迫（ダブルエクストーション）の手口を用いましたが、ホンダは身代金の支払いを拒否して内部復旧を選択しました。

この手口は現在も主流であり続けています。当サイトで追跡している近年の事例では、アサヒグループホールディングスがランサムウェア攻撃により純利益37%減・影響額370億円弱という甚大な被害を受けており、Qilinが27GB・9,300ファイルの窃取を主張しています。VPN機器のアクセス制御、多層防御、バックアップ体制の堅牢化と初動対応訓練が不可欠です。

BEC（ビジネスメール詐欺）による巨額送金（東芝米国子会社・2022年ほか）

2022年、東芝の米国子会社で、社長の名を騙った緊急メールにより経理担当者が約3,800万円を海外口座へ送金してしまう被害が発生しました。差出人の表示名は社長本人、メールアドレスも酷似し、同じスレッドには取引先を装う別人物からの英文メールも届くという精巧な偽装でした。犯人は同社の決算月や送金ルールを把握しており、LinkedInや会社ホームページから業務フローを事前調査していた形跡がありました。

BECは2026年に入って国内で急増しており、当サイトでも継続的に追跡しています。はてなはCEO詐欺（BEC）により最大約11億円が流出し、特別損失11億7,900万円を計上して当期純損失に転落しました。この事案を含め、上場企業関連9社でBEC・不正送金の被害総額が約20億9,000万円超に達しています。高額送金は必ず複数人による承認体制を敷き、メールや指示に違和感があれば電話など別ルートで確認することが基本の対策です。

サプライチェーン攻撃（SolarWinds・2020年）

2020年、米国のIT企業SolarWindsが提供するネットワーク監視ソフト「Orion」のアップデートに、攻撃者が仕込んだバックドア型マルウェア「SUNBURST」が含まれていたことが発覚しました。正規の署名付きアップデートを装って全世界に自動配信され、影響を受けた組織は18,000以上、米国財務省・国防総省などの政府機関やMicrosoft・Ciscoなどの大手企業も含まれていました。米国政府はこれを国家支援型のサイバー作戦と断定し、ロシア政府系のAPT29（Cozy Bear）の関与が濃厚と発表しています。

信頼していたソフトウェアベンダーが侵害されることで被害が連鎖するこの手口は、従来の境界防御では防ぎきれません。ソフトウェア導入時のベンダーのセキュリティ体制評価と、ゼロトラストの原則に基づく継続的な検証が求められます。

個人が狙われたサイバー犯罪の事例

個人を狙うサイバー犯罪は、日常的に使うSNS・スマートフォン・通販サイト・証券口座といった身近なサービスを悪用します。

フィッシングSMS（スミッシング）による情報詐取

宅配業者の不在通知を装ったSMS（スミッシング）は、個人を狙うフィッシングの典型例です。「お荷物を持ち帰りました。ご確認ください」といった文面と偽リンクを記載し、公式サイトに酷似した偽サイトでIDやパスワードを詐取します。SMSに記載されたURLは直接タップせず、公式アプリやブラウザで正規ページから確認することが対策の基本です。

こうした手口は法人にも波及します。当サイトで注意喚起した事例では、SBI証券やApple、Amazonを装ったフィッシングメールが大量に配信されており、CoGUIというフィッシングキットにより2025年1月には1か月で1億7,200万通以上のフィッシングメールが確認されています。

SNS型投資詐欺（和歌山・80代男性が2,200万円被害）

2024年、和歌山県で80代男性がSNSで著名投資家を名乗るアカウントに投資話を持ちかけられ、合計2,200万円を騙し取られる事件が発生しました。最初に少額投資で利益が出たように見せて安心させ、「今がチャンス」と大口投資を促す典型的な手口です。前述のとおり、SNS型投資・ロマンス詐欺の被害額は2025年に全国で約1,827億円に達しており、社会問題化しています。

証券口座の乗っ取り被害（2025年）

2025年、証券口座の乗っ取りによる不正アクセス・不正取引が深刻化しました。金融庁の発表では累計で約5,710億円規模の被害が発生しています。フィッシングで窃取した認証情報を用いて口座を乗っ取り、保有株を勝手に売却して別の銘柄を買い付けるという手口です。当サイトでも報じたとおり、著名個人投資家のテスタ氏も楽天証券の口座を第三者に乗っ取られたことをX上で公表しており、ウイルス対策ソフトを常時稼働させていても、巧妙なフィッシング技術の前には侵入を許す場合があることを示しています。証券口座には必ず多要素認証を設定することが必須の対策です。

国家レベルのサイバー攻撃の事例

国家が主導、または支援するサイバー攻撃は、社会インフラ・軍事施設・企業の知的財産を標的とし、物理的破壊にまで及ぶ点で通常のサイバー犯罪とは一線を画します。

ウクライナ電力網への攻撃（2015年）

2015年12月、ウクライナ西部で約22万世帯が数時間にわたり停電しました。原因は電力会社の制御システムがサイバー攻撃で遠隔操作されたことです。攻撃はスピアフィッシングから始まり、マルウェア付き添付ファイルを開いた従業員のPCから内部ネットワークに侵入。数週間の潜伏を経てSCADA（産業制御システム）に不正アクセスし、配電所の回路遮断器を遠隔でオフにしました。ロシア語を用いたマルウェア「BlackEnergy」が使用され、ロシア政府系サイバー部隊の関与が強く疑われています。サイバー空間の攻撃が初めて大規模な物理的被害へ直結した事例として、世界に衝撃を与えました。

Stuxnetによる核施設破壊（イラン・2010年）

2010年、イランのナタンズ核燃料濃縮施設で数千台の遠心分離機が次々と故障しました。原因は「Stuxnet」という高度なマルウェアです。遠心分離機の回転数をわずかに狂わせて機械的負荷を蓄積させ物理的破損を引き起こす一方、制御画面には正常運転を表示し続けて技術者に異常を悟らせませんでした。Windowsのゼロデイ脆弱性を4つ悪用し、USBメモリを介してインターネットから隔離されたエアギャップ環境にも侵入する設計でした。米国とイスラエルの諜報機関の関与が指摘され、イランの核開発を数年遅らせたとされています。サイバー攻撃が国家の戦略目標や物理インフラの破壊手段となった時代を象徴する事件です。

こうした国家レベルの脅威は現在も継続しており、当サイトでは中国製Webカメラやルーターなどの通信機器を排除すべき理由についても解説しています。重要インフラのシステムはエアギャップによる物理的分離、常時監視体制、手動操作への即時切り替えなど、ITとOTの両面から多層的に防御する必要があります。

新技術・AIを悪用したサイバー犯罪の事例

AIやディープフェイク技術の進化は、これまで困難だった高度な「なりすまし」を容易にし、新たな脅威を生み出しています。

ディープフェイクによるなりすまし詐欺（Arup・2024年）

2024年、英国のエンジニアリング企業Arupのアジア拠点で、ディープフェイクを悪用した詐欺が発生しました。経理担当者のもとに本社CEOからZoomミーティングの招待が届き、そのビデオ通話にはCEOそっくりの人物が現れて約1,000万ドル（約25億円規模）の緊急送金を指示。担当者は見た目も声も本物と信じて送金してしまいました。実際にはSNSの動画などからCEOの顔と声を解析して生成されたディープフェイクでした。

「顔を見たから安心」「声を聞いたから大丈夫」という従来の確認手法が通用しない時代に入っています。重要な指示や金銭が絡む場合は映像・音声だけでなく別経路での二重確認を徹底し、高額送金には複数人での承認フローを義務化することが不可欠です。当サイトでは、こうしたAIを悪用したサイバー攻撃の先端化と標準化についても詳しく解説しています。

偽AIアプリによるマルウェア感染（Fobo・2023年）

2023年、話題のAIチャットサービスの人気に便乗し、偽のデスクトップアプリを装って「Fobo」マルウェアが配布されました。このマルウェアはInstagramやGmailの認証情報やクッキーを窃取するもので、多くがFacebook広告経由で拡散されました。Android向けの偽AIアプリも登場し、非公式サイトからインストールしたユーザーの連絡先・位置情報・写真などが外部サーバーへ送信される被害も確認されています。アプリは必ず公式ストアからダウンロードし、提供元の開発者情報やレビューを確認する習慣が重要です。

QRコード・スマホ決済を悪用したサイバー犯罪の事例

キャッシュレス決済の普及に伴い、QRコードや非接触決済を悪用した犯罪も増えています。

偽QRコード詐欺（クイッシング・2023年）

2023年、大手カフェチェーンの店舗テーブルに置かれた注文用QRコードの上に、偽のQRコードが貼り付けられる事件がSNSで話題になりました。スキャンすると通販サイトを模したフィッシングサイトに誘導され、クレジットカード情報の入力を促されます。被害者数名がカード不正利用に巻き込まれ、数十万円の被害が報告されました。QRコードを悪用したフィッシングは「クイッシング（Quishing）」と呼ばれ、近年増加しています。QRコードのスキャン後は表示されたURLのドメインを必ず確認し、少しでも不審なら入力せず閉じることが対策です。

非接触決済のスキミング（欧州の音楽フェス・2022年）

2022年、ドイツの音楽フェスで、チャージ端末に偽の非接触リーダーが設置される事件が報告されました。参加者が非接触対応カードをかざすと決済情報がスキミング端末で傍受され、数十人が被害に遭ったとされています。犯人は本物と極めて類似した装置を用いたため、外観だけでは判別困難でした。決済端末に不自然な厚みやケーブルの違和感がないか注意し、購入履歴やカード明細をこまめに確認する習慣が有効です。

サイバー犯罪から身を守るための対策

これまでの事例と統計から見えてくる、企業と個人が取るべき基本的な対策を整理します。

企業においては、VPN機器を含む境界機器のパッチ管理と認証情報の定期変更が最優先です。侵入経路の6割以上がVPN・リモートデスクトップである以上、ここを固めることが最も費用対効果の高い対策です。加えて、EDRやSIEMによる継続的な監視、オフライン・イミュータブルストレージへのバックアップ隔離、高額送金の複数承認体制、そして従業員への標的型攻撃メール訓練が有効です。

個人においては、すべての重要アカウント（特に証券・銀行・メール）への多要素認証（MFA）の設定、SMS・メール内のリンクを直接タップしない習慣、そして投資話やディープフェイクを用いたなりすましへの警戒が基本です。

サイバー犯罪の手口は日々巧妙化していますが、その根底にあるのは人間の心理的な隙を突くこととセキュリティ対策の不備を狙うことという共通点です。統計が示すとおり、被害は大企業だけでなく中小企業や個人にも広く及んでいます。本記事の事例を自社・自分のリスク評価に役立てていただければ幸いです。