homulaサイバー攻撃の基礎とAI — 第2回
脆弱性と被害の現実
パッチの時間差と、統計・事例を、9枚の図で。
この回の結論：修正プログラムの量は当面増え続け、悪用はその公開より先に始まります。すべてを同じ速さで当てることはできないので、「何から当てるか」と「当てる仕組み」を先に決めておく必要があります。
第1回では、攻撃が分業で行われ、開いている入口を機械的に探すものであることを見ました。この回では、その「入口」の正体である脆弱性と、実際に起きている被害を、統計と公表された事例で確認します。
前半で脆弱性の基礎用語とパッチの時間差を、後半で警察庁の統計と国内の事例を扱います。事例は、公的機関または当事者が公表した事実だけを載せています。
数値の基準日：2026年10月27日
統計は基準日時点の最新版です。事実・数値には [ ] で出典番号を付け、記事末尾に原文へのリンクを載せています。原文で裏付けられない推奨は「本ガイドの提案」と明記しています。
−7日
悪用の開始（パッチ公開日基準）
43日
KEV脆弱性の修正完了（中央値）
59%
未適用パッチがあった被害組織（2022〜25年計）
72.5%
バックアップから復元できず（2026年上半期）
2.パッチの時間差 — 悪用は公開より先に始まる
防御が難しい理由は、修正プログラムの公開と適用の間に時間差があることです。そしてこの差は、攻撃側に有利な方向へ広がり続けています。
- 攻撃側：Mandiantによる「脆弱性が悪用されるまでの平均日数」（パッチ公開日基準）は、2018〜19年の63日から短縮を続け、M-Trends 2026では推定−7日になりました。原文は、悪用がパッチの公開前に日常的に起きていると述べています[G2]。
- 防御側：Verizonの2026年版報告では、KEVに載っている脆弱性が組織内で完全に修正されるまでの日数は中央値43日（前年32日）で、完全に修正できた割合は26%（前年38%）でした[G1]。
その結果、侵害の入口そのものが入れ替わりました。Verizonの2026年版報告では、初期侵入経路の1位が脆弱性の悪用（31%）になり、それまで1位だった認証情報の悪用は13%に下がりました[G1]。
3.脆弱性の数そのものが急増している
時間差に加えて、当てるべき修正の量も急増しています。
- NVDに公開されたCVE（取り下げ分を除く）は、2025年が年間48,151件。2026年は1月1日〜10月26日で87,269件と、前年同期（38,714件）の約2.25倍です（2026年10月27日にNVD APIで集計）[G3]。NISTは2026年4月、CVEの登録が2020〜2025年に263%増えたとして、NVDの補足情報の付与をKEV掲載分などに優先する運用に変えました[G3b]。
- KEVの掲載数は2026年10月26日時点で1,758件。2026年の追加は274件で、すでに2025年の年間245件を超えました[G4]。
- Microsoftが自社製品で採番したCVEは、2025年9月の94件に対し、2026年9月は998件でした（MSRCの配信データより集計）[G6b]。Microsoftは更新の量が当面増え続けるとし、AIが発見を加速させている要因の一つだと説明しています[G6]。
実務上の意味
修正プログラムの量は当面増え続けます。すべてを同じ速さで当てることはできないので、「何から当てるか」（KEV掲載・インターネットに公開された機器を優先）と「当てる仕組み」（自動更新、期限の設定）を決めておく必要があります。具体的な手順は第4回で扱います。
CVSSの数字だけで優先度を決めない
優先度を決めるときに陥りやすいのが、CVSSの深刻度だけで判断することです。CVSSは「悪用されているか」を表しません。後述するデジタル庁GSSの事例では、当初CVSS Mediumと評価された脆弱性が、修正プログラムの適用前に悪用されました[J15]。
4.国内のランサムウェア被害 — 警察庁の統計
ここからは、国内で実際に起きている被害を、警察庁の統計で見ます[J1]。2026年上半期のランサムウェア被害は123件で、半期として統計開始以降最多でした。
侵入経路の大半はVPN機器とリモートデスクトップ
被害組織へのアンケートでは、VPN機器とリモートデスクトップの合計が、2021〜2025年の5年計で82.1%（398/485件）を占めました。2026年上半期はVPN機器が50%（18/36件）、リモートデスクトップが25%（9/36件）です。警察庁は、攻撃者が未修正の脆弱性や漏えいした認証情報等を悪用して組織のネットワークへ侵入するとしています[J1]。
パッチ、バックアップ、復旧の実態
同じアンケートからは、基本対策の不備がそのまま被害につながっていることが読み取れます。特に目立つのは、2026年上半期にバックアップを取得していた組織が50件中44件あった一方で、バックアップから復元できなかった組織が有効回答40件中29件（72.5%）にのぼったことです。攻撃者がバックアップの削除・暗号化を狙うためです（第1回の段階⑥）。
5.公表された事例と、共通する不備
次の6つは、公的機関または当事者が原因や状況を公表した事例です。個々の事情は違っても、分解すると以前から知られていた基本的な不備に帰着します。
| 事例 | 公表された原因・状況 | 教訓 |
|---|---|---|
| つるぎ町立半田病院（2021年） | 有識者会議の報告書は、導入以来更新されていなかったVPN装置（FortiGate）の脆弱性CVE-2018-13379から侵入したと推定。この脆弱性で取得されたVPN装置の管理者資格情報がダークウェブで公開されていた。電子カルテが停止[J16] | 公開機器のパッチ、認証情報の変更 |
| アスクル（2025年） | 「例外的に多要素認証を適用していなかった業務委託先に対して付与していた管理者アカウント」のID・パスワードが漏えいし、不正利用された。初期侵入は推定で、ログ削除のため原因の完全究明は困難。受注・出荷業務を停止[J17] | MFAの例外を作らない、委託先アカウントの管理、ログの保全 |
| デジタル庁 GSS（2026年） | 攻撃前に公表済みだったVPN機器の脆弱性（当初評価CVSS Medium）を、修正プログラム適用前に悪用された。漏えいの可能性は約24.6万件（職員等）[J15] | CVSSの数字だけで優先度を決めない、公開機器の即時適用 |
| KDDI（2026年） | ISP事業者向けメールシステムで、ソフトウェアベンダーも認識していなかった脆弱性を突かれた。漏えいが確認されたメールアドレスは12,231,954名、うち7,616,173名のパスワードは平文で保存されていた（個人情報保護委員会）[J12][J18] | パスワードをハッシュ化して保存する |
| タイムズカー（2026年） | Webシステムの脆弱性の悪用と判断。外部送信の痕跡がある情報は6,628,007件、うち本人確認書類画像は1,464,800件。退会者等の書類画像も含まれていた[J19] | 不要なデータを持たない |
| RIZAP（2026年） | 社員が業務データ（疾患情報を含む）を「個人で使用している外部の生成AIサービス」に誤ってアップロード。保険者側の公表では19,996名分。24時間以内に削除され、各公表は「漏えいの可能性」としている[J20][J20b] | 生成AIの利用ルールと、組織が管理するAIサービスの提供 |
入口が防げなくても、事前に備えられる部分がある
KDDIの事例の入口は、ベンダーも認識していなかった脆弱性でした。こうした入口は利用者側では防ぎきれません。一方で、パスワードをどう保存するか、不要なデータを持ち続けないかは、入口とは別に事前に決めておける部分です。「入られる前提で被害を限定する」対策が必要な理由です（第5回）。
個人を狙う詐欺も増え続けている
企業から漏えいした個人情報は、個人を狙う詐欺の材料にもなります。
Summary
この記事の要点
- 1脆弱性の悪用はパッチ公開の平均7日前に始まり（推定）、KEV掲載脆弱性の修正完了には中央値43日かかる。完全に修正できたのは26%。
- 2初期侵入経路の1位は脆弱性の悪用（31%）になった。脆弱性の数も急増しており、CVEは前年同期の約2.25倍。
- 3CVSSは「悪用されているか」を表さない。優先度は、KEVへの掲載とインターネットへの公開の有無から先に決める。
- 4国内のランサムウェア被害は2026年上半期に123件で半期最多。同期間の侵入経路はVPN機器が50%、リモートデスクトップが25%（有効回答36件）。2022〜2025年の4年計では、被害組織の59.0%に未適用のパッチがあった。
- 52026年上半期の被害組織では、バックアップから復元できなかった組織が72.5%（有効回答40件中29件）にのぼった。
- 6公表された事例は、公開機器の修正の遅れ、認証の例外、保存データの守りの弱さ、個人のAIサービスへの入力という、基本的な不備に帰着する。
Sources
出典
本文の事実・数値は、以下の官公庁・公的機関・標準化団体・ベンダー公式の原文に基づいています。数値は各出典の公開時点、または2026年10月27日の集計時点のものです。
- [J1]警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
- [J2]警察庁「令和7年における特殊詐欺及びSNS型投資・ロマンス詐欺の認知・検挙状況等について（確定値）」（2026-05-22）
- [J3]警察庁「令和8年8月末における特殊詐欺の認知・検挙状況等について（暫定値）」（2026-10-02）
- [J12]個人情報保護委員会「KDDIのメールサービスに係る事案について」（2026-08-19）
- [J15]デジタル庁「GSSへの不正アクセスについて」（2026-09-11）
- [J16]つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書（2022-06-07）
- [J17]アスクル「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（第13報）」（2025-12-12）
- [J18]KDDI 報道発表（2026-07-06、07-21更新）
- [J19]タイムズモビリティ「不正アクセスに関するお知らせ（第5報）」（2026-10-23）
- [J20]RIZAP 公表（2026-09-03）
- [J20b]全国土木建築国民健康保険組合 公表
- [G1]Verizon「2026 Data Breach Investigations Report」
- [G2]Mandiant「M-Trends 2026」（2026-03-23）
- [G3]NIST NVD CVE API 2.0（公開日で絞り込み、取り下げ分を除いて2026-10-27に集計）
- [G3b]NIST「NIST Updates NVD Operations to Address Record CVE Growth」（2026-04-15）
- [G4]CISA「Known Exploited Vulnerabilities Catalog」（2026-10-26版を集計）
- [G5]FIRST「Exploit Prediction Scoring System（EPSS）」
- [G6]Microsoft MSRC「A note on Patch Tuesday」（2026-05-12）
- [G6b]Microsoft MSRC CVRF API（月次の配信データ。リンクは2026年9月分、2025年9月分は同APIの2025-Sep）
FAQ
よくある質問
CVSSだけで判断するのは危険です。CVSSは脆弱性の深刻度を表す指標で、実際に悪用されているかは表しません。デジタル庁のGSSでは、当初CVSS Mediumと評価されていたVPN機器の脆弱性が、修正プログラムの適用前に悪用されました。米CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載っているか、インターネットに公開された機器かどうかを先に確認して優先度を決めます。
KEV（Known Exploited Vulnerabilities Catalog）は、米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）が公開している「実際に悪用が確認された脆弱性」の一覧です。2026年10月26日時点で1,758件が掲載されており、2026年の追加は274件で、すでに2025年の年間245件を超えています。悪用の事実に基づくため、パッチの優先度判断に直結します。
警察庁の被害組織アンケートでは、VPN機器とリモートデスクトップの合計が2021〜2025年の5年計で82.1%を占めます。2026年上半期はVPN機器が50%、リモートデスクトップが25%でした。警察庁は、攻撃者が未修正の脆弱性や漏えいした認証情報等を悪用して組織のネットワークへ侵入するとしています。
取っているだけでは不十分です。2026年上半期の被害組織では、バックアップを取得していた組織は50件中44件でしたが、バックアップから復元できなかった組織は40件中29件（72.5%）にのぼりました。攻撃者はバックアップの削除・暗号化を狙うため、攻撃者の手が届かない場所への保管と、実際に戻せるかの復元テストが必要です。
Next
シリーズの前後
AIの導入とセキュリティを、あわせて相談したい方へ
homulaは、AIエージェントを業務に導入する企業に向けて、統制ポリシー・権限・監査ログの設計から運用までを支援しています。AIを載せる前提となる基盤の点検も含めてご相談ください。