homula

サイバー攻撃の基礎とAI — 第1回

攻撃はどう成立するか

分業・8つの段階・6つの類型を、7枚の図で。

15〜18分対象: IT・情報システム担当（専門知識は前提にしません）最終更新: 2026年10月

この回の結論：攻撃のコストが下がるほど、攻撃は「選んで狙う」から「開いている入口を全部試す」に変わります。したがって防御の基本は、高度な製品を買うことより、開いている入口を減らすことです。

このシリーズの最初の回では、対策の話に入る前に、攻撃がどう成立しているのかを押さえます。誰が・どんな役割分担で・どんな順番で攻撃しているのかが分かると、「何から守ればよいか」の優先順位が自然に決まるからです。

扱うのは、攻撃者の経済学（分業と非対称性）、ランサムウェア攻撃の8つの段階、そして本ガイドで対策を考える単位とする6つの攻撃類型です。

数値の基準日：2026年10月27日

統計は基準日時点の最新版です。事実・数値には [ ] で出典番号を付け、記事末尾に原文へのリンクを載せています。原文で裏付けられない推奨は「本ガイドの提案」と明記しています。

22秒

アクセスの引き渡し（2025年・中央値）

約6割

ランサムウェア被害に占める中小企業

14日

侵入から発覚までの世界中央値

8段階

ランサムウェア攻撃の典型的な流れ

1.攻撃は「分業されたビジネス」

現代のサイバー攻撃の多くは、1人の天才ハッカーではなく、役割を分けた犯罪者の分業で行われます。入口を見つける者、ツールを貸す者、実行する者が分かれ、それぞれが専門化しています。

インフォスティーラー運営者感染端末からID・パスワードを収集ランサムウェア提供者（RaaS）暗号化ツール・リークサイトを貸す初期アクセスブローカー企業への入口を見つけて売る実行役（アフィリエイト）侵入・窃取・暗号化・恐喝被害組織業務停止・データ公開の脅し認証情報を販売入口を販売平均 約2,700ドルツールを貸し出し、身代金の分け前を得る侵入・窃取・暗号化・恐喝アクセスの引き渡し（中央値）8時間超 → 22秒2022年 → 2025年1人の天才ではなく、役割を分けた分業。企業への「入口」は部品として売買される。
図1攻撃の分業の構図。入口は「部品」として売買され、実行役はそれを買って侵入する。入口の価格はRapid7が主要な3つの犯罪フォーラムの販売投稿（2024年下半期）を分析した値[G11]、引き渡しの時間はMandiantの調査による[G2]。
役割やること
初期アクセスブローカー（IAB）企業ネットワークへの入口（VPNのログイン情報、侵入済みの端末など）を見つけ、売る
ランサムウェア提供者（RaaS）暗号化ツールや恐喝用のリークサイトを、実行役に貸し出す
実行役（アフィリエイト）買った入口から侵入し、データを盗み、暗号化し、恐喝する
インフォスティーラーの運営者感染端末からID・パスワード・セッション情報を集めて売る

入口の値段と、受け渡しの速さ

Rapid7の分析では、初期アクセスの平均基本価格は約2,700ドルで、最も多い価格帯は500〜1,000ドル（全体の39%）でした。その価格帯の60.2%が、何らかのVPNアクセスを含んでいました[G11]。企業への入口は、驚くほど安く取引されています。

さらに、最初の侵入者から別の攻撃グループへアクセスが引き渡されるまでの時間（中央値）は、2022年の8時間超から、2025年には22秒に縮みました[G2]。

同じ尺度で描いた、アクセスの引き渡しにかかる時間（中央値）2022年8時間超2025年22秒← 同じ尺度では、ほとんど見えない入口が売れた瞬間に、次の攻撃者が動き出す。「様子を見てから対策する」時間はない。
図2同じ尺度で並べると、2025年の受け渡し時間はほとんど見えない。入口が売れた直後に次の攻撃者が動き出す[G2]。

2.攻撃者と防御者の非対称性

防御が難しい根本的な理由は、攻撃者と防御者の条件が対称ではないことにあります。

  • 防御者は、すべての入口を塞がなければならない。攻撃者は、1つの入口を見つければよい。
  • 攻撃者は広く機械的に探す。警察庁は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占めると述べています[J1]。
防御者は、すべての扉を塞ぐ必要がある攻撃者全部の扉を自動で試す社内ネットワークデータ・サーバーVPN装置未修正リモートデスクトップ対策済みメール対策済みクラウド・SaaS対策済み公開Webサーバー対策済みAPI対策済み委託先の接続対策済み古い機器対策済み攻撃者は、開いている扉を1つ見つければよい
図3攻撃者は自動化された探索で、すべての扉を機械的に試す。7つを塞いでいても、未修正の1つ（この例ではVPN装置）から入られる。入口の例は本ガイドの整理。

その結果、被害は企業の知名度とは関係なく起きます。2026年上半期に警察庁が把握したランサムウェア被害123件のうち、中小企業は79件でした[J1]。

2026年上半期のランサムウェア被害 123件の内訳中小企業 79件（約64%）それ以外 44件狙われる理由は「会社が有名だから」ではなく、「入口が開いていたから」であることが多い。攻撃者は広く機械的に探す。規模が小さいことは、狙われない理由にならない。
図42026年上半期のランサムウェア被害の内訳。被害組織の約6割は中小企業[J1]。

この節の要点

攻撃のコストが下がるほど、攻撃は「選んで狙う」から「開いている入口を全部試す」になります。防御の基本は、高度な製品を買うことより、開いている入口を減らすことです。

3.攻撃のライフサイクル — ランサムウェアの8つの段階

ランサムウェア被害は、典型的には次の8つの段階で進みます。重要なのは、段階ごとに効く対策が違うことです。入口を塞ぐ対策（①②）だけでは、入られた後の③〜⑦を止められません。逆に、侵入後の対策だけでは入口が開いたままになります。

段階攻撃者がやること主に効く対策（解説する回）①偵察公開された機器・サービスを走査し、既知の脆弱性や管理画面を探す棚卸し・4公開面の削減・4②初期侵入脆弱性の悪用、盗んだ・買ったIDでのログイン、フィッシング認証・4パッチ・4メール・5③権限昇格管理者権限を奪い、さらに多くの認証情報を集める管理者の分離・4端末・5④横展開社内の他のサーバー・端末へ広がるネットワーク分割・4監視・5⑤防御の無効化セキュリティソフトを止め、ログを消すEDR・5ログの保全・5⑥バックアップの破壊復旧できないように、バックアップを削除・暗号化するバックアップ・5⑦窃取・暗号化データを外部へ送り、システムを暗号化するデータ保護・5監視・5⑧恐喝身代金を要求し、払わなければデータを公開すると脅すインシデント対応・6対策の後ろの数字は、そのテーマを解説する回（第4〜6回）。
図5ランサムウェア攻撃の8つの段階と、主に効く対策。対策の後ろの数字は、そのテーマを解説する回。1つの対策が複数の段階に効くことも多い。

暗号化しない「ノーウェアランサム」

暗号化をせず、データを盗んで対価を要求する手口もあります。警察庁は令和5年上半期から別に集計しており、2026年上半期は9件でした[J1]。暗号化されないため、バックアップがあっても恐喝は防げません。⑦の窃取を防ぐデータ保護が別に必要になる理由です。

侵入から発覚までの中央値は14日

Mandiantの調査では、侵入から発覚までの期間（滞留時間）の世界中央値は14日（2024年は11日）でした。2025年の調査で、侵入に自組織で気づけたのは52%で、外部からの通知が34%、攻撃者自身からの通知（恐喝）が14%でした[G2]。

侵入発覚滞留時間の世界中央値 14日（2024年は11日）この間に、権限昇格・横展開・バックアップの破壊が進む誰が侵入に気づいたか（2025年）自組織で検知 52%外部からの通知 34%14%攻撃者自身から（恐喝）約半数は、自分では気づけていない。検知の仕組みは第5回で扱う。
図6侵入から発覚までの中央値と、誰が侵入に気づいたか[G2]。発覚までの間に③〜⑥が進む。

4.主要な攻撃類型

IPA「情報セキュリティ10大脅威2026」（組織編）の順位は次のとおりです[J5]。2026年は「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました。

  1. 1ランサム攻撃による被害
  2. 2サプライチェーンや委託先を狙った攻撃
  3. 3AIの利用をめぐるサイバーリスク（初選出）
  4. 4システムの脆弱性を悪用した攻撃
  5. 5機密情報を狙った標的型攻撃
  6. 6地政学的リスクに起因するサイバー攻撃（情報戦を含む）
  7. 7内部不正による情報漏えい等
  8. 8リモートワーク等の環境や仕組みを狙った攻撃
  9. 9DDoS攻撃（分散型サービス妨害攻撃）
  10. 10ビジネスメール詐欺

本ガイドでは、対策を考える単位として、これを次の6つの類型に整理します（本ガイドの整理）。

1ランサムウェア暗号化と「公開する」の二重の脅し48%全侵害のうちランサムウェアが関与した割合（Verizon 2026）2Web・API経由の情報窃取公開システム・APIの脆弱性や設定不備5類型JPCERT/CCが示した、2026年秋の大量漏えいの手口3フィッシング・BECメール・SMS・電話で利用者をだます11%初期侵入2位のボイスフィッシング（メールフィッシングは6%）4認証情報の窃取・乗っ取り盗まれたID・パスワードで正規にログイン10,642件証券口座の不正取引（2025年1月〜2026年9月累計）5サプライチェーン攻撃委託先・SaaS・配布元を足がかりに48%第三者が関与した侵害の割合（前年比60%増、Verizon 2026）6内部不正・操作ミス持ち出し、誤操作・誤設定による漏えい67%会社の端末で個人アカウントのAIを使う利用者（Verizon 2026）
図7本ガイドで扱う6つの攻撃類型と、その規模を示す数値。数値の定義は類型ごとに異なる（Verizon[G1]、JPCERT/CC[J9]、Mandiant[G2]、金融庁[J13]）。

1. ランサムウェア

データを暗号化し、復号と引き換えに身代金を要求します。現在は暗号化の前にデータを盗み、「払わなければ公開する」と二重に脅すのが一般的です。Verizonの2026年版報告では、ランサムウェアは全侵害の48%に関与していました[G1]。

2. Web・API経由の情報窃取

公開しているWebシステム・スマートフォンアプリ・APIの脆弱性や設定不備を突き、データベースの情報を大量に持ち出します。2026年9〜10月に国内で相次いだ大量漏えいについて、JPCERT/CCは次の5類型を示しました[J9]。

  • 既知脆弱性の探索と、設定ファイル・バックアップファイルの窃取
  • APIの不正操作（アプリを解析してエンドポイントやキーを特定する、画面からは実行できない内部APIを攻撃する、他所で盗んだAPIキーを使う）
  • BIツールMetabaseの脆弱性の悪用
  • Webシェルの設置
  • AIを用いたペネトレーションテスト基盤の悪用

3. フィッシング・ボイスフィッシング・ビジネスメール詐欺（BEC）

メール・SMS・電話で利用者をだまし、ID・パスワードの入力、マルウェアの実行、送金をさせます。Mandiantの2025年の調査では、初期侵入の2位が電話によるボイスフィッシング（11%）で、メールフィッシングは6%でした[G2]。「怪しいメールに注意」だけでは足りない理由です。

4. 認証情報の窃取とアカウント乗っ取り

インフォスティーラーやフィッシングで盗まれたID・パスワード、漏えいしたパスワードの使い回しにより、正規の利用者としてログインされます。証券口座の不正アクセスでは、2025年1月〜2026年9月の累計で不正取引10,642件、売却約4,372億円が発生しました（金融庁）[J13]。

5. サプライチェーン攻撃（委託先・SaaS・ソフトウェア）

自社ではなく、委託先・利用しているクラウドサービス・ソフトウェアの配布元を侵害し、そこを足がかりに自社へ入ります。Verizonの2026年版報告では、第三者が関与した侵害は全侵害の48%で、前年比60%増でした[G1]。

6. 内部不正・操作ミス

従業員・元従業員・委託先による持ち出しや、誤操作・誤設定による漏えいです。生成AIサービスへの業務データの入力もここに含まれます。Verizonの2026年版報告では、会社の端末から個人アカウントでAIサービスを使っている利用者が67%でした[G1]。詳しくは第3回で扱います。

「基本的な対策」の範囲

本シリーズでは、経済産業省のSCS評価制度★3を最低ラインとします。★3は「広く知られた脆弱性等を狙う一般的な攻撃」を想定した、全企業が最低限実装すべき対策と位置付けられています。抜け漏れの確認には、国際的なベースラインであるCIS Controls v8.1のIG1（56セーフガード）を使います。

出典: 経済産業省 [J7]、CIS [G13]

Summary

この記事の要点

  1. 1現代のサイバー攻撃は、入口を売る者・ツールを貸す者・実行する者に分かれた分業のビジネス。入口は平均約2,700ドルで売買され、引き渡しは22秒で済む。
  2. 2防御者はすべての入口を塞ぐ必要があり、攻撃者は1つ見つければよい。攻撃者は広く機械的に探すため、被害組織の約6割は中小企業。
  3. 3ランサムウェア攻撃は8つの段階で進み、段階ごとに効く対策が違う。入口を塞ぐ対策と、入られた後に被害を限定する対策の両方が要る。
  4. 4侵入から発覚までの中央値は14日。約半数の組織は自分で侵入に気づけていない。
  5. 5対策は6つの類型（ランサムウェア、Web・API、フィッシング・BEC、認証情報、サプライチェーン、内部不正・操作ミス）を単位に考える。

Sources

出典

本文の事実・数値は、以下の官公庁・公的機関・標準化団体・ベンダー公式の原文に基づいています。数値は各出典の公開時点、または2026年10月27日の集計時点のものです。

FAQ

よくある質問

現代のサイバー攻撃の多くは、1人の天才ハッカーではなく、役割を分けた犯罪者の分業で行われます。企業への入口を見つけて売る初期アクセスブローカー、暗号化ツールや恐喝用のリークサイトを貸し出すランサムウェア提供者（RaaS）、買った入口から侵入して恐喝する実行役、感染端末から認証情報を集めて売るインフォスティーラーの運営者などです。

狙われます。2026年上半期に警察庁が把握したランサムウェア被害123件のうち、79件（約6割）は中小企業でした。攻撃者はインターネットに公開された機器を広く機械的に探しており、狙われる理由は「会社が有名だから」ではなく「入口が開いていたから」であることが多いためです。

典型的には、①偵察、②初期侵入、③権限昇格・認証情報の窃取、④横展開、⑤防御の無効化、⑥バックアップの破壊、⑦窃取・暗号化、⑧恐喝、の8段階で進みます。侵入から発覚までの期間の世界中央値は14日で、この間に権限の奪取やバックアップの破壊が進みます。各段階に効く対策は異なるため、入口を塞ぐ対策と、入られた後に被害を限定する対策の両方が必要です。

データを暗号化せず、盗んだデータを公開すると脅して対価を要求する手口です。警察庁は令和5年上半期から別に集計しており、2026年上半期は9件でした。暗号化されないため、バックアップがあっても被害を防げない点に注意が必要です。

Next

シリーズの前後

シリーズトップ

全7回の構成と、立場別の読み方

第2回

脆弱性と被害の現実 — パッチの時間差と、統計・事例

AIの導入とセキュリティを、あわせて相談したい方へ

homulaは、AIエージェントを業務に導入する企業に向けて、統制ポリシー・権限・監査ログの設計から運用までを支援しています。AIを載せる前提となる基盤の点検も含めてご相談ください。

AIガバナンス設計支援を見る無料で相談する
資料DLデモ・相談を依頼