２０２５年総括 ほか [Scan PREMIUM Monthly Executive Summary 2025年12月度]

　Scan PREMIUM Monthly Executive Summary は、大企業やグローバル企業、金融、社会インフラ、中央官公庁、ITプラットフォーマなどの組織で、情報システム部門や CSIRT、SOC、経営企画部門などで現場の運用管理にたずさわる方々や、事業部長、執行役員、取締役、経営管理、セキュリティコンサルタントやリサーチャーに向けて毎月上旬に配信しています。

　前月に起こったセキュリティ重要事象のふり返りを行う際の参考資料として活用いただくことを目的としており、分析を行うのは株式会社サイント代表取締役 兼 脅威分析統括責任者 岩井 博樹 氏です。Monthly Executive Summary の全文は昨日朝 6 時 1 分に配信した Scan PREMIUM 会員向けメールマガジンに掲載しています。

＞＞Scan PREMIUM Monthly Executive Summary 執筆者に聞く内容と執筆方針
＞＞岩井氏 インタビュー記事「軍隊のない国家ニッポンに立ち上げるサイバー脅威インテリジェンスサービス」

【0】2025年総括

　2025 年は、サイバーセキュリティが「 IT 課題」から「国家目的と直結する安全保障の問題」へと、姿を変えた一年であったように思います。攻撃は単発の事件ではなく、政策、産業、世論操作、そして有事の準備と結びつきます。年初には米国でサイバー政策の強化を掲げた大統領令が出された一方、政権交代を挟んで扱いが揺れ、制度が政治に依存する現実も露わになりました。サイバーは技術だけでは完結せず、同盟国や企業の運用・調達・規制対応まで巻き込むものであることを再認識させられました。

　脅威の焦点は、第一に「重要インフラ」、第二に「サプライチェーン」でした。通信、エネルギー、港湾・海運、医療、鉄道などの社会インフラと直結した領域が狙われるのは、金銭目的だけでなく、威圧や混乱、長期潜伏の効果が大きいからとみられます。

　加えて、OT/ICS の脆弱性が相次いで取り上げられた背景には、DX で IT と現場がつながり、従来は閉じていた制御系が外部脅威に晒されやすくなった事情があります。しかも近年は、猛暑や災害、物流逼迫といった非サイバー要因と重なることも予想され、被害が「事故」ではなく「社会機能停止」に追い込まれる可能性があります。

　サプライチェーンも、クラウドや委託だけでなく、OSS やパッケージ管理、さらには装置・部材にまで拡張しました。AI ブームに便乗し、開発者や AI 技術者を狙う悪性パッケージが頻繁に確認されたのは象徴的です。便利さを優先して部品や依存先が増えるほど攻撃面も増えます。これは技術の話というより、調達・運用・監査を含む「仕組みの設計」の課題になってきました。

　そして 2025 年を語るうえで外せないのが、ランサムウェアが日本の実体経済に与える衝撃です。アサヒグループホールディングスグループ社やアスクル社の事例に代表されるように、基幹システムや物流が止まれば、その影響は工場や配送、取引先まで波及することが改めて認識されました。ランサムウェアの影響は「データが盗まれる」だけではなく、「モノが動かない」「供給が止まる」という形で社会に現れます。対策はパッチ適用やバックアップに留まりません。代替ルートの確保、復旧手順の訓練、委託先も含めた切り分けといった「業務設計」として実装できるかが問われます。

　攻撃者像も単純ではなくなりました。複数グループの協業、アクセス権の受け渡し、犯罪インフラのサービス化が進み、「攻撃手法、特定マルウェア ＝ 攻撃グループ」といった分かりやすい整理が難しくなりつつあります。ちなみに、筆者が興味深かったのは、某国のサービス提供先の国家アクターの攻撃手法が、某国のそれとの類似が見られ始めたことです。

　2026 年に向けては、AI を「攻撃の自動化」だけでなく「モデルそのものへの脅威」として捉える必要があると考えます。生成 AI の普及で、偵察から侵入、横展開、窃取までの反復が高速・並列化し、試行回数が増加することが予想されます。ただし、新たな攻撃手法が登場するのは、もう少し先とみています。

　一方で、AI を使う側も、モデル汚染（学習データや追加学習の悪用）、プロンプト注入（外部データ参照を逆手に取った誘導）、モデルからの情報漏洩（機密の再現や推測を誘発）といったリスクを意識しなければならなくなります。

　特に AI 活用が進む組織ほど、「モデルに入れる前のデータ」「モデルが触れる外部接続」「出力が業務へ与える影響」を点検し、技術・運用・ガバナンスを同時に整える必要があるのではないでしょうか。2026 年は、サイバーと AI が交差する地点でのレジリエンスの設計力が問われる一年になると予想しています。