2025年の情報セキュリティ10大脅威

「情報セキュリティ10大脅威」は、IPA（情報処理推進機構）がその年に発生したセキュリティ事故や攻撃の状況を分析し、社会的に影響が大きかった脅威を、専門家が選定・投票によって決定したものです。

以下に、2025年版のランキングと、それぞれの脅威の主なポイントを示します。

１．ランサム攻撃による被害

２．サプライチェーンや委託先を狙った攻撃

３．システムの脆弱性を突いた攻撃

４．内部不正による情報漏えい等

５．機密情報等を狙った標的型攻撃

６．リモートワーク等の環境や仕組みを狙った攻撃

７．地政学的リスクに起因するサイバー攻撃

８．分散型サービス妨害攻撃（DDoS攻撃）

９．ビジネスメール詐欺

１０．不注意による情報漏えい等

2025年の脅威ランキングから読み取れる主なポイントは以下の通りです。

１．ランサムウェアの脅威が依然としてトップ

不動の1位: 「ランサム攻撃による被害」は、5年連続で1位にランクインしており、依然として企業にとって最大の脅威であることが示されています。

ランサム攻撃は、データの暗号化だけでなく、窃取した機密情報を公開すると脅迫する「二重恐喝」や、感染した事実を利害関係者に暴露すると脅す手口など、攻撃がより悪質化しています。

また、リモートデスクトップ（RDP）の不正利用やソフトウェアの脆弱性を悪用した侵入が増加しています。

２．サプライチェーン攻撃の拡大

これまでの「サプライチェーンの弱点を悪用した攻撃」から「サプライチェーンや委託先を狙った攻撃」に名称が変更されました。

これは、委託先のセキュリティ管理の不備を突いて、本体の企業に侵入するという手口がより顕著になっていることを反映しています。

委託先のセキュリティが脆弱であると、その影響がサプライチェーン全体に広がり、大規模な被害につながるリスクが高まっています。

具体的には、税理士事務所や医療センターの委託先がランサムウェアに感染し、顧客情報や患者情報が漏えいする事例などが報告されています。

３．新たな脅威の台頭と復活

今回「地政学的リスクに起因するサイバー攻撃」が初めてランクインしました。

国際情勢の不安定化に伴い、特定の国や地域を標的としたサイバー攻撃（重要インフラへの攻撃、情報戦、世論操作など）が増加していることを示しています。

４．DDoS攻撃の復活

「分散型サービス妨害攻撃（DDoS攻撃）」が圏外から再浮上しました。

攻撃の手法が高度化し、単純なポートだけでなく、様々なパケットを使い分けることで、多層的な防御策を突破しようとする攻撃が増えています。

５．リモートワーク環境への攻撃

リモートワークが定着したことで、その環境を狙った攻撃が継続して上位にランクインしています。リモートワーク用のデバイスやネットワーク、クラウドサービスの設定不備が狙われています。

これらの脅威への対策として、以下の点が重要視されています。

１．多層防御とゼロトラスト

ランサムウェア対策では、バックアップの多層化や、マイクロセグメンテーションによるアクセス権限の最小化といった「ゼロトラストセキュリティ」の考え方が不可欠です。

２．サプライチェーンのリスク管理

委託先や取引先のセキュリティ体制を定期的に確認し、契約書でセキュリティ要件を明確に定めることが重要です。

３．従業員教育と意識向上

フィッシングメール訓練やセキュリティ教育を継続的に実施し、従業員一人ひとりのセキュリティ意識を高めることが、内部不正や不注意による情報漏えいを防ぐ上で最も効果的です。

４．脆弱性管理の徹底

システムやソフトウェアの脆弱性パッチを速やかに適用し、古いシステムは更新または廃止するなどの対策が求められます。

2025年の「情報セキュリティ10大脅威（組織編）」に関する情報は、以下のIPA（情報処理推進機構）の公式ウェブサイトでご確認いただけます。

GiiD LLC.