[IPA]情報セキュリティ10大脅威2025【組織編】

　「情報セキュリティ 10大脅威 2025 組織編」は、独立行政法人情報処理推進機構（IPA）が発表した、2025年に組織が直面する可能性のある主要な情報セキュリティ上の脅威とその対策をまとめた解説書です。

　本書は、ランサム攻撃やサプライチェーン攻撃、システムの脆弱性を狙った攻撃、内部不正、標的型攻撃など、具体的な10の脅威について、その概要、被害事例、脅威に対する「対策と対応」などを解説しています。

　さらに、組織が講じるべき共通的なセキュリティ対策も示されていて、包括的なセキュリティ戦略を策定する上で不可欠な情報源となっています。

　サイバー攻撃が多様化・巧妙化する現代において、組織の情報資産を守るための羅針盤となることでしょう。

1.情報処理推進機構（IPA）とは

　情報処理推進機構（IPA）

　正式名称は「独立行政法人 情報処理推進機構」。

　日本の政府関連機関で、ITやサイバーセキュリティ分野の発展・安全確保を目的としています。

　主な活動は、
　・情報処理技術者試験の実施（例：基本情報技術者、応用情報技術者など）
　・サイバーセキュリティの啓発・支援
　・IT人材育成
　・脆弱性情報の公開（JVN）

　情報セキュリティ10大脅威 2025
　個人、組織について詳細を知りたい人は、以下を参照してください。

2.情報セキュリティ10大脅威 2025【組織編】

　 「情報セキュリティ10大脅威 2025【組織編】」の概要を紹介します。

　【表1.1　情報セキュリティ10大脅威2025　「組織」向けの脅威順位】

　より詳細な記述のある原文はつぎを参照してください。

2.1 【組織編】」の概要

　元の詳細な記述を読みたい人はこちらを参照してください。

【表1.2　情報セキュリティ10大脅威2025　用語定義】

　【表1.3　情報セキュリティ対策の基本】

　【表1.4　情報セキュリティ対策の基本＋α】

　【表1.5　複数の脅威に有効な対策】

3.【組織】10大脅威への個別の対策

情報セキュリティ10大脅威 2025 組織編：各脅威の要約

　オリジナルの各項目を要約して掲載します。

3.1 ランサム攻撃による被害

【概要】
　ランサムウェアというマルウェアがPCやサーバーに感染し、端末のロック、データの窃取・暗号化を行い、これらを取引材料に金銭を要求する攻撃です。攻撃者は複数の脅迫を組み合わせて金銭支払いを迫り、近年ではランサムウェアの開発・提供サービスであるRaaSの利用や、データを暗号化せずに窃取した機密情報を公開すると脅迫する「ノーウェアランサム」も確認されています。

【攻撃者と被害者】
・攻撃者:
　組織的犯罪グループ、犯罪者
・被害者:
　組織、個人

【脅威と影響】
　ランサムウェア感染により、PCやサーバーのデータ暗号化で業務継続が困難になるほか、機密情報の窃取と公開の脅迫、DDoS攻撃の仕掛け、感染事実を利害関係者に連絡するなどの脅迫が行われます。これらの脅迫は「二重脅迫」や「四重脅迫」として組み合わされることもあります。攻撃を受けると、調査や復旧に多大な費用と時間がかかり、業務停止による損失や取引先からの信頼失墜につながるおそれがあります。

【攻撃手口】
・脆弱性を悪用したネットワークからの感染:
　ソフトウェアの脆弱性対策がされていない機器に対し、脆弱性を悪用してランサムウェアを感染させます。
・不正アクセスによるネットワークからの感染:
　意図せず外部公開されているポート（リモートデスクトップポート等）を悪用した不正アクセスから感染させます。
・Webサイトやメールからの感染:
　Webサイトの脆弱性を悪用して改ざんし、閲覧者がアクセスした際にランサムウェアをダウンロードさせたり、メールの添付ファイルやリンクから感染させたりします。

【対策と対応】
・組織（経営者層）:
　インシデント対応体制の整備と対応
・組織（システム管理者、従業員）:
　・被害予防と備え:
　　インシデント対応体制の整備、情報セキュリティ対策の基本の実施、添付ファイルやリンクの安易な開封・クリックの回避、多要素認証の設定、不明なソフトウェアの実行禁止、サーバー・PC・ネットワークの適切なセキュリティ対策、共有サーバー等へのアクセス権の最小化と管理強化、公開サーバーへの不正アクセス対策、適切なバックアップ運用（WORM機能等も有効）
　・被害後の対応:
　　適切な報告・連絡・相談、適切なバックアップ運用、インシデント対応体制の整備と対応
　・身代金の支払いと復旧業者の選定:
　　原則として身代金は支払わず復旧を目指します。支払っても復元や流出が防げるとは限らず、攻撃者への資金提供とみなされるおそれがあります。復号ツールの活用も検討します。

3.2 サプライチェーンや委託先を狙った攻撃

【概要】
　商品の企画から販売までの一連のプロセスに関わる組織群であるサプライチェーンや、ソフトウェア開発のライフサイクルに関わるソフトウェアサプライチェーンの「ビジネス上やソフトウェアの繋がり」を悪用した攻撃です。自組織の対策だけでは防ぎにくく、取引先や委託先を含めたセキュリティ対策が求められます。

【攻撃者と被害者】
・攻撃者:
　 組織的犯罪グループ、犯罪者
・被害者:
　組織（自組織、自組織に関わる組織）

【脅威と影響】
　強固なセキュリティ対策を持つ組織を直接攻撃するのが難しい場合、サプライチェーンの脆弱な部分を足掛かりにして間接的・段階的に標的組織を狙います。これにより、機密情報の漏えいや信用の失墜といった被害が発生します。また、攻撃の足掛かりとされた組織は、取引相手に損害を与えたことで取引を失ったり、損害賠償を求められたりする可能性があります。

【攻撃手口】
・取引先や委託先が保有する機密情報を狙う:
　標的組織よりセキュリティが脆弱な取引先や委託先、子会社を攻撃し、標的組織の機密情報を窃取します。
・ソフトウェア開発元やMSP（マネージドサービスプロバイダー）等を攻撃し、標的組織への足掛かりとする:
　ソフトウェアやサービスにマルウェアを仕込み、標的組織がそれをインストールしたり利用したりする際に感染させます。また、MSPが利用する資産管理ソフトウェア等にマルウェアを仕込み、複数の顧客に感染させる手口もあります。

【対策と対応】
・組織（経営者層）:
　インシデント対応体制の整備と対応
・組織（自組織で実施）:
　・被害予防と備え:
　　情報管理規則の徹底（業務委託の適切性の定期確認）、セキュリティ評価サービス（SRS）による自組織のセキュリティ対策状況把握、信頼できる委託先・取引先・サービスの選定（契約時の規則確認、信頼性評価、品質基準検討）、契約内容の確認（責任範囲の明確化、賠償条項の盛り込み）、委託先組織の管理（セキュリティ対策状況と情報資産管理の実態の定期確認）、納品物の検証（ソフトウェアの把握と脆弱性対策、SBOM導入検討）、サーバー・PC・ネットワークの適切なセキュリティ対策
　・被害後の対応:
　　インシデント対応体制の整備と対応、被害への補償請求
・組織（自組織に関わる組織と共に実施）:
　・被害予防と備え:
　　取引先や委託先との連絡プロセスの確立、情報セキュリティ対応の確認・監査、情報セキュリティ認証（ISMS, Pマーク, SOC2等）の取得と維持、公的機関が公開している資料の活用
　・被害後の対応:
　　適切な報告・連絡・相談

3.3 システムの脆弱性を突いた攻撃

【概要】
　製品開発ベンダー等が公開する脆弱性対策情報を悪用し、対策が講じられていないシステムを攻撃します。公開前の脆弱性を悪用するゼロデイ攻撃も存在します。脆弱性が悪用されると、マルウェア感染や情報漏えい、事業やサービスの停止など甚大な被害につながることがあります。脆弱性発見から攻撃発生までの時間が短くなっているため、迅速な対策が求められます。

【攻撃者と被害者】
・攻撃者:
　組織的犯罪グループ
・被害者:
　組織（開発ベンダー、システム管理者、製品利用者）、個人（製品利用者）

【脅威と影響】
　OSやアプリケーション等のソフトウェア脆弱性が発見され、開発ベンダーが修正プログラム（パッチ）等を公開すると、攻撃者はその情報を基に攻撃プログラムを作成し、パッチ未適用のシステムを狙って攻撃（Nデイ攻撃）を行います。これにより、マルウェア感染、情報漏えい、Webページやファイルの改ざんなどの被害が発生し、事業やサービスの停止に追い込まれることもあります。特に、インターネットから直接アクセスできるネットワーク機器やCMSの脆弱性は、攻撃プログラムが公開された場合、多くの企業に被害が及ぶおそれがあります。

【攻撃手口】
・公開される前の脆弱性を悪用（ゼロデイ攻撃）:
　開発ベンダーが脆弱性対策情報を公開する前に、攻撃者が脆弱性を悪用して行う攻撃です。ネットワーク機器の脆弱性を悪用した遠隔での任意のコード実行などが挙げられます。
・製品利用者が対策する前の脆弱性を悪用（Nデイ攻撃）:
　パッチや回避策が公開されてから適用されるまでの期間の脆弱性を狙う攻撃です。ソフトウェアの脆弱性管理が不適切だと、未対策期間が長くなり被害リスクが増大します。
・攻撃ツールや攻撃サービス等を悪用:
　公開された脆弱性に対して短期間で攻撃ツールが作成され、ダークウェブ等で販売されたり、攻撃サービスとして提供されたりすることがあります。オープンソースツールに脆弱性を利用する機能が実装され悪用されることもあります。

【対策と対応】
・組織（経営者層）:
　インシデント対応体制の整備と対応、パッチ適用や回避策のための予算確保
・個人、組織（システム管理者、製品利用者）:
　・被害予防と備え:
　　情報セキュリティ対策の基本の実施、利用資産の把握と管理体制の整備（情報資産の重要度格付け、機密情報管理者設定）、セキュリティサポートが充実したソフトウェアやバージョンの利用（迅速なパッチ提供、サポート対象製品利用）、最新の脆弱性情報収集・対策状況管理・パッチマネジメントの実施、サーバー・PC・ネットワークの適切なセキュリティ対策
　・被害の早期検知:
　　サーバー・PC・ネットワークの適切なセキュリティ対策
　・被害後の対応:
　　整備した対応体制に基づく対応、影響調査と原因追究・対策強化、適切な報告・連絡・相談
・組織（開発ベンダー）:
　製品セキュリティの管理と対応体制の整備（製品に組み込まれたソフトウェア・コンポーネントの把握と管理徹底）、サーバー・PC・ネットワークの適切なセキュリティ対策、脆弱性発見時の対応手順作成、脆弱性情報を迅速に発信する仕組みの整備

3.4 内部不正による情報漏えい等

【概要】
　従業員や元従業員など、組織の内部関係者による意図的な機密情報の持ち出しや社内情報の削除などの不正行為が発生しています。また、情報管理規則に反して情報を持ち出し、不注意で紛失して情報漏えいにつながるケースもあります。これにより、社会的信用の失墜、損害賠償、業務停滞など経済的損失を招くほか、不正に取得された情報を使用した組織や個人も責任を問われることがあります。
・加害者と被害者
　・加害者:
　　・一次加害者:
　　　組織の在職者、離職者
　　・二次加害者:
　　　持ち出された情報の悪用者
　・被害者:
　　・一次被害者:
　　　組織（漏えい者が在籍していた組織、業務委託先、取引先）
　　・ 二次被害者:
　　　個人（顧客、サービス利用者）

【脅威と影響】
　内部不正は、技術情報や顧客情報といった機密情報の持ち出し、第三者への提供、不特定多数が閲覧できる場所への公開、情報の改ざんや削除など不正行為を指します。転職先での有利な立場や金銭目的、職場への私怨などが動機とされることが多いです。情報管理規則に反して自宅などに情報を持ち出し、置き忘れや紛失で漏えいにつながることもあります。漏えい情報の重要度や被害規模によっては、社会的信用の失墜、顧客への損害賠償や損失補填、復旧作業による経済的損失が発生し、経営の根幹を揺るがすおそれがあります。また、不正に取得された情報と知りながら自組織に持ち込まれた情報を使用すると、不正競争防止法違反となり刑事罰の対象となる可能性もあります。

【攻撃手口】
・アクセス権限の悪用:
　付与された正当な権限を悪用し、機密情報の窃取や不正操作を行います。必要以上に高いアクセス権限が付与されていると、より大きな被害につながるおそれがあります。また、複数人で端末やアカウントを共有していると、不正アクセス者の特定が困難になります。
・在職中に割り当てられたアカウントの悪用:
　離職後も在職中のアカウントが有効なままだとアクセスされてしまいます。
・内部情報の不正な持ち出し:
　USBメモリーやHDD等の外部記録媒体、メール、クラウドストレージ、スマホカメラ、紙媒体等を使って、組織の情報を外部に不正に持ち出します。

【対策と対応】
・組織（経営者層）:
　積極的な関与と対策推進（情報の適切な管理、法令対応、内部不正対策推進の周知徹底、総括責任者の任命、横断的な管理体制の整備、対策実施策の承認、対策意識醸成のための人材教育推進）
・組織（システム管理者）:
　・被害予防と備え:
　　基本方針の策定（「不正のトライアングル」を意識、情報取扱ポリシー、懲戒処分規定、定期教育）、情報リテラシー・モラル醸成・法令遵守のための定期的な人材教育、利用資産の把握と管理体制の整備（情報資産の重要度格付け、機密情報管理者設定）、機密情報の管理・保護（利用者ID・アクセス権の管理・変更・削除手順、部門・職位・業務に応じた適切なアクセス権設定、異動・離職に伴う利用者IDの即時削除、適切な管理・定期監査、DLPツール導入、利用者IDの共用禁止）、物理的管理の実施（機密情報格納場所・執務室への入退室管理、USBメモリー・スマートフォン・プリンター等の利用制限・履歴管理、記録媒体の復元不可能な方法での廃棄、リース品の初期化返却）、必要に応じた秘密保持義務誓約書の署名、定期的な職務の変更・職場の異動
　・被害の早期発見:
　　システム操作履歴の監視（機密情報アクセス履歴や利用者操作履歴のログ記録・監視による早期検知、監視の従業員への周知による不正抑止）、特定時期の監視強化（退職予定者の退職前後の監視強化）
　・被害に遭った際の対応:
　　適切な報告・連絡・相談、インシデント対応体制の整備と対応、内部不正者に対する適切な処罰の実施

3.5 機密情報等を狙った標的型攻撃

【概要】
　特定の組織（民間企業、官公庁、団体等）を狙い、機密情報の窃取や業務妨害を目的とした攻撃です。攻撃者は社会情勢や慣習の変化に合わせて手口を巧みに変化させ、標的組織の状況に応じた手法で目的達成を図ります。

【攻撃者と被害者】
・攻撃者:
　組織的犯罪グループ、犯罪者
・被害者:
　組織（民間企業、官公庁、団体、研究機関、教育機関等）

【脅威と影響】
　特定の組織に狙いを定め、PCやサーバーへのマルウェア感染や不正アクセスにより組織内部に侵入し、長期にわたって潜伏して情報窃取や破壊活動を行います。窃取された機密情報が悪用されると、企業の事業継続や国家の安全保障に重大な影響を及ぼすおそれがあります。また、データ削除やシステム破壊による企業活動の妨害、サプライチェーンに属する関連組織への攻撃の踏み台としての悪用、暗号資産の窃取による犯罪組織の資金源化など、組織の規模や業種を問わず狙われる可能性があります。

【攻撃手口】
・不正アクセス:
　標的組織が利用するクラウドサービス、Webサーバー、VPN装置等の脆弱性を悪用し、不正アクセスにより組織内部へ侵入します。認証情報を窃取した上で、正規の経路でシステムに再侵入することもあります。
・メールを用いた攻撃:
　メールの添付ファイルや本文のリンク先にマルウェアを仕込み、開封やアクセスによりPCを感染させます。メールの内容は業務や取引に関連する内容に偽装され、実在する組織の差出人名が使われる場合もあります。
・Webサイトの改ざん（水飲み場型攻撃）:
　攻撃者が標的組織が頻繁に利用するWebサイトを調査し改ざんします。従業員や職員がそのサイトにアクセスすると、偽装されたマルウェアがインストールされPCが感染します。

【対策と対応】
・組織（経営者層）:
　インシデント対応体制の整備と対応
・組織（セキュリティ担当者、システム管理者）:
　・被害予防と備え:
　　情報の管理と運用規則策定（情報暗号化等）、サイバー攻撃に関する継続的な情報収集、情報リテラシー・モラルの向上、インシデント対応の定期的な訓練実施（関係者・業者・専門家との迅速な連携体制整備）、サーバー・PC・ネットワークの適切なセキュリティ対策、アプリケーション許可リストの整備、取引先のセキュリティ対策実施状況の確認（2位「サプライチェーンや委託先を狙った攻撃」の対策を参照）、海外拠点等も含めたセキュリティ対策の向上
　・被害の早期検知:
　　サーバー・PC・ネットワークの適切なセキュリティ対策
　・被害後の対応:
　　インシデント対応体制の整備と対応
・組織（従業員、職員）:
　被害予防と備え（通常、組織全体で実施）情報セキュリティ対策の基本+αの実施

3.6 リモートワーク等の環境や仕組みを狙った攻撃

【概要】
　リモートワークの普及に伴い、企業が従業員に貸与したPCやVPN装置、Web会議システムなどの環境を狙った攻撃が増加しています。これらの環境は、従来の社内システムとは異なる脆弱性や設定不備を持つことがあり、攻撃者にとって新たな侵入経路となり得ます。

【攻撃者と被害者】
・攻撃者:
　組織的犯罪グループ、犯罪者
・被害者:
　組織、個人

【脅威と影響】
　攻撃者は、リモートワーク環境の脆弱性や設定不備、従業員のセキュリティ意識の低さを悪用し、不正アクセスやマルウェア感染を試みます。これにより、機密情報の漏えいや業務システムの停止、ランサムウェア感染などの被害が発生する可能性があります。特に、従業員個人の環境に依存する部分が多いため、セキュリティ対策が不十分な場合、組織全体への影響が大きくなることがあります。

【攻撃手口】
・VPN装置の脆弱性や設定不備の悪用:
　VPN装置の脆弱性を突いたり、設定不備を悪用したりして、社内ネットワークに侵入します。
・Web会議システムやクラウドサービスの脆弱性悪用:
　Web会議システムやリモートワークで利用されるクラウドサービスの脆弱性を悪用して、不正アクセスを行います。
・従業員のPCやスマートフォンのマルウェア感染:
　フィッシング詐欺や不審なメールの添付ファイルを通じて、従業員のPCやスマートフォンをマルウェアに感染させ、そこから社内ネットワークへ侵入を試みます。
・従業員の認証情報の窃取:
　偽のログインページやフィッシング詐欺により、従業員の認証情報を窃取し、不正アクセスを行います。

【対策と対応】
・組織（経営者層）:
　インシデント対応体制の整備と対応、リモートワーク環境のセキュリティ対策への投資と推進
・ 組織（システム管理者、従業員）:
　・被害予防と備え:
　　リモートワーク環境におけるセキュリティポリシーの策定と周知徹底、VPN装置やWeb会議システム、クラウドサービス等のセキュリティパッチの適用と最新化、多要素認証の導入と徹底、従業員へのセキュリティ教育（フィッシング詐欺、不審なメールの見分け方等）、従業員貸与PCの適切な管理（セキュリティソフト導入、OS・ソフトウェアの最新化）、アクセス権の最小化、不必要なポートの閉鎖
　・被害の早期検知:
　　ログ監視の強化、EDR（Endpoint Detection and Response）の導入
　・被害後の対応:
　　適切な報告・連絡・相談、インシデント対応体制の整備と対応

3.7 地政学的リスクに起因するサイバー攻撃

【概要】
　国際情勢の不安定化や紛争など、地政学的なリスクが高まることで、特定の国家や地域を標的としたサイバー攻撃が増加する脅威です。国家が支援する攻撃グループやハクティビスト（政治的目的を持つハッカー）が関与することが多く、社会インフラや重要インフラ、政府機関などが標的となる傾向があります。

【攻撃者と被害者】
・攻撃者:
　国家が支援する攻撃グループ、ハクティビスト
・被害者:
　政府機関、重要インフラ事業者、社会インフラ事業者、民間企業（特に、特定の国家や地域と関連性の高い企業）

【脅威と影響】
　情報窃取だけでなく、システムの破壊や機能停止を目的とした攻撃が多く、国家の安全保障や経済活動に深刻な影響を与える可能性があります。電力、ガス、水道、交通などの重要インフラが攻撃されると、国民生活に甚大な被害が生じるおそれがあります。また、サプライチェーン全体に影響が波及し、広範囲で事業活動が停止することもあります。

【攻撃手口】
・標的型攻撃:
　特定の組織に特化したマルウェアやフィッシングメールを使用し、侵入を試みます。
・DDoS攻撃:
　大量のトラフィックを送りつけることで、Webサイトやオンラインサービスを停止させます。
・情報操作・プロパガンダ:
　フェイクニュースや偽情報を流布し、社会の混乱を招いたり、特定の意見を形成したりすることを目的とします。
・サプライチェーン攻撃:
　脆弱なサプライチェーンを経由して、最終的な標的組織へ侵入を試みます。

【対策と対応】
・組織（経営者層）:
　国家レベルでの情報共有体制への参画、国際情勢やサイバー攻撃動向の継続的な把握と対策への反映、インシデント対応体制の強化
・組織（システム管理者、セキュリティ担当者）:
　・被害予防と備え:
　　攻撃対象領域の最小化、重要インフラシステムへの厳重なアクセス制御、多要素認証の導入と徹底、ゼロトラストネットワークの導入検討、サイバー脅威インテリジェンスの活用、脆弱性管理の強化と迅速なパッチ適用、インシデント対応計画の策定と訓練、関連法規制の遵守
　・被害の早期検知:
　　ログ監視の強化、異常検知システムの導入、脅威ハンティングの実施
　・被害後の対応:
　　適切な報告・連絡・相談、政府機関や関連組織との連携、復旧計画の実施、フォレンジック調査の実施

3.8 分散型サービス妨害攻撃（DDoS攻撃）

【概要】
　複数のコンピュータから標的のサーバーやネットワークに対し、大量のアクセスやデータ送信を同時に行うことで、サービスを停止させたり、応答不能に陥らせたりする攻撃です。正規の利用者がサービスを利用できなくなる状態を引き起こします。

【攻撃者と被害者】
・攻撃者:
　組織的犯罪グループ、ハクティビスト、競争相手、愉快犯
・被害者:
　オンラインサービスを提供する組織、Webサイトを運営する組織、ネットワークインフラ事業者

【脅威と影響】
　Webサイトやオンラインサービスが利用できなくなり、業務停止や顧客からの信頼失墜、機会損失などが発生します。攻撃が長時間に及ぶ場合、経済的損失は甚大になります。また、DDoS攻撃を他の攻撃（例：ランサムウェアによるデータ窃取）の目くらましとして利用されることもあります。

【攻撃手口】
・大量のトラフィックを送信:
　多数のボット（乗っ取られたコンピュータ）から、標的のサーバーやネットワークに大量のアクセス要求や無意味なデータを送りつけ、処理能力を飽和させます。
・帯域幅の消費:
　ネットワークの帯域幅を使い尽くし、正規の通信を妨害します。
・プロトコルの脆弱性悪用:
　特定の通信プロトコルの脆弱性を悪用し、少ないパケットで大きな負荷をかける攻撃（リフレクション攻撃、アンプリフィケーション攻撃など）を行います。

【対策と対応】
・組織（経営者層）:
　DDoS攻撃対策のための予算確保、事業継続計画（BCP）におけるDDoS攻撃への対応策の盛り込み
・組織（システム管理者、セキュリティ担当者）:
　・被害予防と備え:
　DDoS対策サービスの導入（CDN、WAF、DDoS防御アプライアンス等）、ネットワーク機器の設定最適化（不要なポートの閉鎖、フィルタリング設定）、帯域幅の確保と冗長化、トラフィック監視の強化、IPアドレスの分散、クラウドサービスの利用（スケーラビリティの確保）
　・被害の早期検知:
　トラフィックの異常検知システムの導入、閾値設定によるアラート、ログ監視の強化
　・被害後の対応:
　適切な報告・連絡・相談、インシデント対応体制の整備と対応、攻撃元の特定とブロック、サービス復旧作業の迅速な実施、被害状況の広報

3.9 ビジネスメール詐欺（BEC）

【概要】
　取引先や経営層、弁護士などを装い、メールを悪用して金銭の詐取や機密情報の不正送付を誘導する詐欺です。巧妙な手口で偽のメールを送りつけ、受信者を信用させ、誤った指示に従わせることを目的とします。

【攻撃者と被害者】
・攻撃者:
　組織的犯罪グループ、詐欺グループ
・被害者:
　組織の従業員（経理担当者、役員、一般従業員など）、取引先

【脅威と影響】
　高額な金銭が詐取される直接的な経済的損失が最も大きな脅威です。また、機密情報が不正に外部に送信されることによる情報漏えいや、取引先との信用失墜、業務停止などの間接的な被害も発生します。攻撃が成功すると、組織の評判が大きく損なわれる可能性があります。

【攻撃手口】
・偽のメールアカウントを使用:
　実在する組織や人物になりすましたメールアドレス（ドメイン名が酷似している、フリーメールを使用するなど）からメールを送信します。
・メールアカウントの乗っ取り:
　 実際に組織内のメールアカウントを乗っ取り、正規のメールとして詐欺メールを送信します。
・偽の請求書送付:
　既存の取引を装い、振込先を攻撃者の口座に変更した偽の請求書を送付し、誤って送金させます。
・緊急性の演出:
　「至急」「秘密厳守」などの言葉を使い、受信者に冷静な判断をさせずに指示に従わせようとします。
・役員や上司を装う:
　組織のCFOやCEO、上司などを装い、経理担当者などに送金を指示します。

【対策と対応】
・組織（経営者層）:
　BEC対策への意識向上と全社的な対策推進、不正送金被害時の連絡体制の確立
・組織（システム管理者、従業員）:
　・被害予防と備え:
　　メールセキュリティ対策の強化（SPF, DKIM, DMARCの設定、迷惑メールフィルタリング）、多要素認証の導入と徹底、送金や情報送信に関する厳格な承認プロセスの確立、従業員へのセキュリティ教育と啓発（BEC手口の周知、不審なメールの見分け方、緊急性の演出に注意することの周知）、メールアドレスの慎重な確認、電話など別の手段での確認（メールでの指示を鵜呑みにしない）、定期的なパスワード変更
　・被害の早期検知:
　　不審なメールの報告体制の確立、メールログの監視
　・被害後の対応:
　　適切な報告・連絡・相談（警察、金融機関、IPA等）、送金停止の依頼、情報漏えい時の対応、インシデント対応体制の整備と対応、再発防止策の徹底

3.10 不注意による情報漏えい等

【概要】
　従業員の不注意や確認不足、誤操作などによって、情報が外部に漏えいする脅威です。意図的な不正行為とは異なり、ミスが原因で発生するため、誰もが被害者または加害者になる可能性があります。

【攻撃者と被害者】
・攻撃者:
　特定の攻撃者は存在しない場合が多いですが、漏えいした情報を悪用する者が加害者となり得ます。
・被害者:
　組織、個人（情報が漏えいした本人、顧客など）

【脅威と影響】
　顧客情報や機密情報などの漏えいにより、組織の社会的信用の失墜、損害賠償や経済的損失、業務停止などが発生します。また、漏えいした情報が悪用され、二次被害（フィッシング詐欺、なりすましなど）につながるおそれもあります。

【攻撃手口】
・メールの誤送信:
　宛先間違い、BCCとCCの使い間違い、添付ファイルのつけ間違いなどによる情報漏えい。
・USBメモリーやPC等の紛失・置き忘れ:
　持ち出したUSBメモリーやPC、スマートフォンなどを紛失・置き忘れることによる情報漏えい。
・設定ミス:
　クラウドストレージやWebサイト、ファイル共有サーバーなどの公開設定ミスにより、意図せず情報が公開されてしまう。
・不適切な廃棄:
　シュレッダーを使わない、データ消去せずに記憶媒体を廃棄するなど、情報が復元可能な状態で残ってしまう。
・社内情報の公開ミス:
　 誤って機密情報を社内ネットワーク上の不特定多数がアクセスできる場所に置いてしまう。
・情報端末の覗き見:
　公共の場所などでPCやスマートフォンの画面を覗き見られる。

【対策と対応】
・組織（経営者層）:
　情報管理規則の策定と周知徹底、従業員への継続的なセキュリティ教育の推進


・組織（システム管理者、従業員）:
　・被害予防と備え:
　　情報管理規則の遵守徹底、情報リテラシー・モラルの向上、メール誤送信対策（送信前の複数人確認、時間差送信、添付ファイルの暗号化等）、USBメモリー等の使用制限と管理、PCやスマートフォンのパスワード設定とロック、端末の持ち出しルールの徹底、クラウドサービス利用時の設定確認と定期的な見直し、記録媒体の適切な廃棄（データ消去の徹底）、座席配置やパーテーション設置による覗き見防止、個人情報の特定・削除機能付きツールの導入
　・被害の早期発見:
　　ログ監視の強化、情報漏えい検知システムの導入
　・被害後の対応:
　　適切な報告・連絡・相談、インシデント対応体制の整備と対応、情報漏えい時の迅速な公表と関係機関への連絡、再発防止策の徹底

　詳細については、独立行政法人情報処理推進機構（IPA）のウェブサイトで公開されている「情報セキュリティ 10大脅威 2025 組織編」を確認してください 。

4.書籍の紹介

・情報セキュリティ読本 六訂版 [プリント・レプリカ] Kindle版
　独立行政法人情報処理推進機構 (著)
　実教出版 (2024/4/26)
　これ１冊で情報セキュリティの概要がわかる！●実例→基礎→個人向け→組織向け→技術→法規と制度→IPAの活動という展開により、初心者にも分かりやすいよう工夫しています。●教育機関での教材としてはもちろん、企業の新入社員や管理職の研修用としてもお使いいただけます。●六訂版では、テレワークのセキュリティやゼロトラストなど、いまの時代にあわせた新しい内容も追加しました。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-

・社会人1年生の情報セキュリティ超入門 Kindle版
　ハッカーかず (著), 一般社団法人 あしたの仕事力研究所 (著)
　技術評論社 (2025/3/4)
　「サイバー攻撃でシステムがダウン！ 利用者は大混乱！」
　「個人情報が流出！ 氏名や住所、クレカ情報まで…」
　情報漏洩やランサムウェアなどのニュースが絶えない今、あなたの普段の行動は本当に安全ですか？
　実はパスワードの正しい管理方法、安全なファイルの共有方法など、知っているだけで被害のリスクを大きく減らせます。
　本書は、難しい専門用語をなるべく使わず、図やイラストを用いて解説しているので、事前知識がなくてもわかります。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-