【日本のサイバー攻撃事例】から学ぶ、Picus Securityで“守れているか”を見える化する新常識
2025年、日本では上場企業をはじめとする多くの企業がサイバー攻撃を受け、業務停止や情報漏洩の被害が相次ぎました。こうした日本国内のサイバー攻撃事例は、もはや他人事ではありません。
多くの企業がEDR（Endpoint Detection and Response）やSIEM（Security Information and Event Management）といったセキュリティ製品を導入していますが、それらが十分に機能しているかを検証できている企業は少数です。そのため、「守れていない」現状を認識し、「守れているか」を可視化することが重要となっています。
本記事では、2025年の日本におけるサイバー攻撃事例をご紹介し、具体的な課題と対策を解説します。
－ 目次 －
◆2025年度 日本で報告された代表的なサイバー攻撃の事例
2025年、日本では企業や組織に対するサイバー攻撃による被害が相次ぎ、業務停止や情報漏洩が多発しました。トレンドマイクロの調査によると、上半期には247件のセキュリティインシデントが公表され、前年同期の230件を上回るペースで増加傾向にあります。
ここでは、2025年に国内で報告された主なサイバー攻撃事例について、被害状況や対応内容を見ていきましょう。
事例1.【金融】大手損害保険会社：最大約1,740万件の顧客情報流出の可能性
2025年4月、大手損害保険会社のA社にて、Web関連システムにおける異常を発端とした不正アクセスが発覚しました。調査の結果、最大1,748万件もの顧客情報が外部から閲覧可能となっていた可能性があるとされ、金融庁から報告徴求命令が出されました。
同社では、Webサブシステムを基幹システムとは分離して運用していたものの、結果的に攻撃者に侵入されてしまい、大量の個人情報へのアクセスを招いたとみられます。 漏洩の可能性があるデータは、以下の通りです。
・顧客関連情報：約726万件（氏名、連絡先、証券番号など）
・代理店関連情報：約178万件（保険募集人の氏名、生年月日、IDなど）
・その他の情報：約844万件（事故番号、証券番号など）
クレジットカード情報やマイナンバーといった機微情報は含まれていなかったものの、その規模の大きさと情報の多様性から深刻なリスクが懸念されています。
また、5月には同社の業務委託先である企業がランサムウェア被害に遭い、約7万5,000件の顧客氏名が漏洩した可能性が明らかとなっています。外部委託先におけるセキュリティリスクへの関心が、改めて高まった事例といえるでしょう。
事例2.【物流】全国規模の大手物流会社：ランサムウェアによる基幹システム停止
2025年4月、物流大手のB社は基幹システムへのランサムウェア攻撃および不正アクセスにより、システムが突然停止しました。この影響で全国的に貨物輸送がストップし、特に大型連休直前という時期的要因も重なったことで、サプライチェーン全体に深刻な影響を与え、その脆弱性とリスクの大きさが浮き彫りとなりました。
被害発覚後、B社は直ちに緊急対策本部を設置し、外部の専門家と連携しながらフォレンジック調査（インシデント時に機器やネットワークの情報を解析し、被害や原因を特定する調査）や復旧作業を進め、警察への報告を実施。しかし、影響は広範に及び、関連する航空会社までも貨物輸送の停止を公表する事態となりました。
この事例は、サイバー攻撃が単なるシステム障害にとどまらず、顧客や業界全体の信用問題に波及する可能性を示しており、サイバー攻撃がもたらすリスクの深刻さを物語っています。
事例3.【製造】中堅電子部品メーカー：ランサムウェアによる不正アクセスと最大約3.7万件の情報流出
2025年6月、東証プライム上場企業である電子部品メーカーD社は、2025年4月初旬に受けたランサムウェア攻撃の調査結果を公表しました。取引先や従業員、株主など最大約3万7,600件の個人情報が流出した可能性が判明しています。
攻撃は4月5日に発生し、ネットワーク障害として4月7日に検知されたものと発表。攻撃者はシステムを暗号化するとともに大量のデータを外部に送信する「ダブルエクストーション（二重脅迫）」の手法を用いていたとされています。
被害を受けたネットワークは即時遮断され、外部専門家と連携した調査と復旧が進められました。流出した情報には取引先関係者の氏名や会社名、株主の個人情報、従業員のマイナンバーなど機微情報も含まれており、偽装メールなどを用いた標的型攻撃のリスクも指摘されています。
ここまでご紹介した3つのサイバー攻撃以外にも、次のような事例が報告されており、枚挙にいとまがありません。
・【物流】大手物流会社：VPN機器を狙ったランサムウェア攻撃によるシステム障害
・【製造】中小メーカー：ランサムウェア被害と個人情報漏洩の可能性
これらのサイバー攻撃に共通するのは、「既存のセキュリティ対策では防ぎきれなかった」という点です。EDRやSIEMを導入していても、実際の攻撃に対する耐性が不明なまま運用されている企業が多いのが現状です。
では、企業はどのようにして「本当に守れているか」を確認すれば良いのでしょうか。次章からは、サイバー攻撃事例から見えてくる具体的な課題を見ていきましょう。
◆サイバー攻撃の事例から見える“守れていない”という課題
これまでの事例に共通して見られるのは、セキュリティ製品を導入していたにもかかわらず、実際の攻撃に対して十分に防御できなかったという点です。
多くの企業では、下記のような製品を導入しています。
・EDR（Endpoint Detection and Response）：端末での不審な動きを検知し、対応する仕組み
・SIEM（Security Information and Event Management）：ネットワークやシステムからのセキュリティログを統合管理・分析する仕組み
・WAF（Web Application Firewall）：Webアプリケーションへの不正アクセスや攻撃を防ぐ仕組み
しかし、それらが本当に有効に動作しているかを定期的に検証するプロセスがなく、形だけの運用になっているケースも少なくありません。
さらに、以下のような課題も浮き彫りになっています。
・セキュリティ対策の実効性（実際にどの程度防御できるか）が可視化されていない
・経営層に「何％の攻撃を防げているか」を明確に説明できない
・複数拠点や子会社間でセキュリティレベルが統一されていない
・セキュリティ運用が特定の担当者に依存し、属人化や形骸化している
こうした課題への対応として、近年注目されているのが実際に存在する攻撃を安全な環境で再現し、防御力を定量的に検証するアプローチです。
◆サイバー攻撃を“再現”するという選択肢
サイバー攻撃は、もはや「発生するかもしれない」ではなく「いつ発生するか」の問題です。そのため、あらかじめ攻撃を受けることを想定した設計や運用が必要です。
この考え方を背景に、近年は「MITRE ATT&CK（マイターアタック）」と呼ばれる、サイバー攻撃者が使う攻撃手法や戦略を体系的に整理したフレームワークを活用し、実際の攻撃を模擬的に再現して防御力を評価する手法が広がっています。
具体的には、以下のような攻撃をシミュレーションすることで、EDRやSIEMがどの程度検知や防御を行えるかを検証できます。
・マルウェアの侵入から社内ネットワークへの横展開までの一連の攻撃の流れ
・フィッシングメールをきっかけとした認証情報の盗難や不正アクセス
こうした攻撃を安全な環境で再現し、検知率・防御率・攻撃成功率を数値化して見える化することで、現場と経営層の認識ギャップを埋める材料にもなります。
また、防御の弱点を具体的に把握できるため、優先的に改善すべき対策を明確にし、効率的なセキュリティ強化が可能です。
◆サイバー攻撃への対策として、まずは“見える化”から始めてみる
現代の企業におけるサイバーセキュリティ対策は、単にツールを導入して終わりではありません。導入後も継続的に「今の対策が本当に機能しているか」を確認し続けることが重要です。
「現在の対策でどの程度の攻撃を防げているのか？」「どのセキュリティ製品がどの攻撃に対して弱点を抱えているのか？」「各拠点にどのようなリスクが潜んでいるのか？」といった具体的な問いに明確に答えられる状態をつくることが、成熟したセキュリティ運用への第一歩となります。
そのための効果的な手段の一つとして、攻撃シナリオを実際に再現し、防御力を“見える化”するツールの活用が広がっています。
例えば、「Picus Security（ピーカスセキュリティ）」のようなBAS（Breach and Attack Simulation／攻撃シミュレーション）を活用したプラットフォームは、実在のサイバー攻撃を模擬的に実行し、企業のセキュリティ体制の強弱や脆弱性を客観的に評価することに役立ちます。
◆Picus Securityを活用し、“守れているか”を見える化する
Picus Securityは、継続的にセキュリティ対策の検証を行うプラットフォームです。実際のサイバー攻撃手法を模擬し、導入済みのセキュリティ対策がどれだけ有効かを評価・見える化します。
以下では、Picus Securityの主な機能と特徴について詳しくご説明します。
ワンクリックで現実的なサイバー攻撃を簡単に再現
Picus Securityでは、実在の多様なサイバー攻撃をワンクリックで簡単にシミュレートすることが可能です。「MITRE ATT&CK」のフレームワークに基づいたベースラインシナリオや、実際に知られる攻撃グループが用いる手法を使用し、リアルな攻撃の流れを再現できます。
これにより、現場のセキュリティ担当者が手軽に攻撃検証を実施でき、導入済みのEDRやSIEMなどの検知・防御能力を試す際に役立つでしょう。
セキュリティの強弱を可視化したリスクマップを作成
Picus Securityの特徴的な機能として、「再現した攻撃に対してどの防御ステップが機能しているのか」「どの部分に弱点があるのか」を判別し、リスクの高い箇所や低い箇所を一目で理解できるリスクマップの作成機能が挙げられます。
この機能を活用することで、全体の防御力を定量的かつ視覚的に把握でき、改善すべきポイントを具体的に特定しやすくなります。結果として、限られたリソースを効率的に配分し、重点的な対策を進めることが可能です。
攻撃前に脆弱性を発見し、事前対策が可能
攻撃シミュレーションだけでなく、検知・防御できなかった箇所の脆弱性やセキュリティホールを事前に発見できる点も、Picus Securityの特徴の一つです。実際に攻撃を受けてから被害を把握するのではなく、攻撃される前に問題点を洗い出すことで、迅速に緩和策を講じることができます。
さらに、製品別の改善策をまとめた緩和策ライブラリも用意されているため、具体的な対処法の提案を受けながら迅速に対応を進められます。
攻撃の流れを視覚的に理解できる
サイバー攻撃のプロセスは複雑かつ多段階で進行しますが、Picus Securityではこの流れを「目に見える形」で体感できます。
攻撃がどの段階で検知され、どこで防御に失敗したのか、どのような経路でシステムに侵入が試みられたのかをビジュアル化することが可能です。これにより、セキュリティ担当者は攻撃の全体像を把握しやすくなり、社内での共有や経営層への説明もスムーズになるでしょう。
自社の防御力を自動で診断・評価
Picus Securityには、システムに設定された各種セキュリティ製品の動作状況を自動的に診断し、防御力を評価する機能も搭載されています。日々変化するサイバー攻撃手法に対応するために、定期的かつ自動でのチェックを行うことで、継続的な運用における「今の防御状態」を常に把握することが可能です。
これにより、セキュリティ担当者の負担軽減にもつながり、サイバー攻撃による脅威の早期発見・早期対応に役立ちます。
◆おわりに：サイバー攻撃の事例と対策を知り、守りを見直す
本記事では、2025年に日本で発生した代表的なサイバー攻撃の事例をご紹介し、そこから浮かび上がる課題や有効な対策のポイントを整理しました。
多くの企業が「自社は大丈夫」と考えがちですが、実際には不正アクセスや情報漏洩といった深刻な被害を受けています。まずは自社の防御力を正確に“見える化”し、弱点を把握することが重要です。
ぜひ、Picus SecurityのようなBASツールを活用し、実効的なセキュリティ対策の第一歩を踏み出してみてはいかがでしょうか。
更新日：2025.09.05