2025年の国内セキュリティインシデントは1782件 学校・教育機関のインシデントが1年で倍増：背景に「波及型インシデント」 デジタルアーツ調査

デジタルアーツは、2023年から2025年の過去3年分における国内のセキュリティインシデントを集計したレポートを公開した。2025年の総数は1782件と過去最多を更新。不正アクセスが最多で、サプライチェーンを狙った攻撃が顕著となっている。

[＠IT]

　デジタルアーツは2026年1月27日、国内組織を対象に2023年から2025年にかけて実施した「国内セキュリティインシデント集計」の結果を発表した。

　同調査は対象組織による公開報告書およびマスメディアによる報道資料を基に独自に集計されており、連鎖的影響によるインシデントを個別に計上している。

2025年は総数1782件、同社の集計で過去最多

　2025年の総数は1782件に上り、2024年度の1344件を超えて同社の集計以来、過去最多を更新。内訳は、2024年度と同様に「不正アクセス」が782件で最多となり、全体の約4割を占めた。

2023〜2025年国内セキュリティインシデントの推移と原因別内訳（提供：デジタルアーツ）

　2025年上半期は、サプライチェーンを狙った攻撃によるインシデント報告が目立つ。「不正アクセス」や「マルウェア感染」を中心に、外部サービスの脆弱（ぜいじゃく）性悪用やランサムウェア（身代金要求型マルウェア）被害など、波及性の高いインシデントが相次いだ。

　下半期は委託元の情報漏えい報告は減少したものの、酒類事業企業やオフィス用品通販企業でランサムウェア被害による自社の情報漏えいや、システム障害が発生し、機会損失につながる事例が目立った。

2023〜2025年国内セキュリティインシデント半期別の推移（提供：デジタルアーツ）

　酒類事業企業の被害事例では、拠点のネットワーク機器突破を起点にデータセンターまで侵害が拡大した。認証管理の甘さを突かれて管理者権限を奪取され、ランサムウェア被害が発生。基幹システムなどが暗号化・停止し、長期の業務影響に加え、従業員データ流出の可能性も生じた。

　オフィス用品通販企業の被害事例では、MFA（多要素認証）が未適用の委託先管理者アカウントが悪用された。長期潜伏後、侵害が基幹システムや物流システム、クラウド環境へ拡大し、監視や権限管理、バックアップ設計の不備も重なり、業務停止や情報流出、取引先を含む広範な影響に至っている。

保険業界：サプライチェーン起因の情報漏えい事例の公表が相次ぐ

　2025年は、保険会社、保険代理店、保険事故調査会社においてサプライチェーン起因の情報漏えいが相次ぎ、業界全体でセキュリティ意識と管理体制の見直しが進んだ。

　保険会社では、自社システムへの不正アクセスにより、顧客情報などを含む合計約1740万件の情報漏えい可能性を公表した事例が確認された。保険代理店におけるランサムウェア被害では、顧客情報など合計約510万件の情報漏えいの可能性が示された。保険事故調査会社でもサイバー攻撃により一部ファイルが暗号化され、委託元の個人情報を含む情報漏えいを公表した。

学校・教育機関：委託先起因の影響が教育現場にも波及

　学校・教育機関に関連するインシデントも増加し、同社集計以来の過去最多を更新した。中でもマルウェア感染が大幅に増加している。これは、卒業アルバム制作業務を担う2社で発生したランサムウェア被害が増加要因だという。

2023〜2025年の学校・教育機関に関連するインシデントの推移（提供：デジタルアーツ）

　卒業アルバムの制作および印刷を担う企業では、委託先の設定不備で生じた脆弱性を突かれ、卒業アルバム関連のクラウドに不正アクセスが発生。約7万件の画像・氏名が外部閲覧された可能性がある。

　別の事業者でも、VPN（仮想プライベートネットワーク）の認証情報漏えいなどを起点に侵入され、ランサムウェア被害が制作サーバへ波及。ネットワーク分離や認証管理の不備により、大規模な個人情報漏えいの可能性が生じている。

　「業務委託先起因のインシデントは一般企業にとどまらず、学校・教育機関にも波及している。双方に共通する対策として、個人情報や機密データなど重要な情報資産を適切に管理し、守るための包括的なアプローチが重要だ」（デジタルアーツ）

セキュリティインシデント増加の背景と対策

　2025年の国内セキュリティインシデントが過去最多を更新した背景には、不正アクセスやランサムウェア、サプライチェーンを起点とした波及型インシデントへの広がりがある。

　「インフォスティーラー（情報窃取型マルウェア）などで窃取された認証情報や認可情報が、不正アクセスやランサムウェア攻撃の起点として悪用されている。設定不備や認証管理の甘さといった『技術的な隙』を突かれ、被害が拡大する構図だ」と、デジタルアーツは分析している。