日本の2026年サイバー脅威情勢：リスク、脅威、対策ガイダンス

世界有数の技術先進国であり、経済的にも重要な位置を占める日本は、製造業、自動車、半導体から、重要インフラに至るまでの産業が国内外のサプライチェーンで不可欠な役割を担っています。組織がデジタルトランスフォーメーションを加速し、オペレーショナルテクノロジー（OT）環境に接続し、AI駆動型テクノロジーを導入するにつれて、新たなビジネス機会が拡大する一方でサイバー攻撃を受ける可能性、すなわちサイバーエクスポージャー（サイバー脅威への露出）も増大しています。

こうした発展に伴い、日本におけるサイバー脅威の情勢はますます複雑化しています。サイバー犯罪者はランサムウェアや恐喝を用いたキャンペーンによって執拗に組織を狙い続けています。国家の支援を受けたアクターはインテリジェンスや知的財産を狙っています。政治的意図を持つハクティビストグループは、重要インフラやインターネットに露出したシステムを標的にする傾向を強めています。これらの課題は、世界的なサイバー脅威の動向と深く連動しています。2026年上半期には、露出している脆弱性への攻撃が前年比51%増加、ランサムウェア攻撃は25%増加しました。Forescout Research – Vedere Labsは世界全体で5,700件を超えるハクティビストによる攻撃声明（クレーム）を追跡・確認しました。同時に、AIは防御側と攻撃者側の双方の行動を一変させています。脆弱性の発見が迅速化される一方で、脅威アクターがサイバー作戦を開発・展開するためのハードルも低下しています。

グローバルおよび国内の両方の脅威に対応するため、日本の政府機関や業界団体は、主要セクター全体のサイバーレジリエンス（回復）強化を目的とした、新たな規制、ガイダンス、およびサイバーセキュリティ施策の策定を進めています。

急速な変化の時代において、サイバーリスクがどこに存在し、脅威アクターがどのように進化しているのかを理解することは極めて重要です。本ブログでは、Forescout Research – Vedere Labsが、日本に影響を及ぼすインターネットに露出した資産、ランサムウェアの動向、脅威アクターによる標的化、そして新たなハクティビスト活動を分析し、組織がリスクを低減するための実践的な推奨事項を提示します。

2024年、当社は、日本を標的とした影響度の高いサイバー攻撃の頻度が高まっているにもかかわらず、日本国内で数千もの重要インフラ資産がインターネットに露出(エクスポーズ)していることを明らかにしました。それから2年が経過した現在も、サイバー脅威は日本の組織を執拗に狙い続けており、インターネットに露出した資産、ランサムウェア活動、日本を標的とする脅威アクターの数はいずれも増加しています。最近の具体的な事例としては、アサヒグループホールディングスの業務に影響を及ぼしたランサムウェア被害や、大手自動車部品メーカーであるデンソーの国際ネットワークに対する不正アクセス侵害が挙げられます。また、日本の機関を標的とするハクティビズム(政治的・社会的な動機に基づくサイバー活動)の兆候も見られます。

同時に、日本は重要産業全体のサイバーレジリエンス向上を目的とした、新たなサイバーセキュリティ規制と業界別ガイダンスを進めています。具体的な例として、金融庁（FSA）が公表した「金融分野におけるサイバーセキュリティに関するガイドライン」、日本自動車工業会（JAMA）および日本自動車部品工業会（JAPIA）が策定した「サイバーセキュリティガイドライン」、経済産業省（METI）が策定した「半導体デバイス工場向けOTセキュリティガイドライン」などが挙げられます。これらの中で最も新しく、おそらく最も包括的な取り組みとなるのが、2025年に成立し2027年までに施行予定の「能動的サイバー防御」に関する法整備です。同法は、重要インフラ15分野の事業者に対し、特に重大なインシデントが発生した際、政府へ報告することを求めています。

こうした取り組みからも明らかなように、日本はサイバーセキュリティ対策として多角的なアプローチを展開しています。国際電気通信連合（ITU）が発表した「2024年グローバル・サイバーセキュリティ・インデックス」において、日本は世界的に最も高い評価を得た国の一つに位置付けられましたが、脅威情勢が深刻化する中で、技術的強化や国内外での協力関係への継続的な投資は、今後も極めて重要です。

日本の重要インフラ組織が直面しているこうした課題を踏まえ、本ブログでは、インターネット上に露出（エクスポーズ）したデバイスのリスクや、日本を標的とする脅威アクターを含む日本の脅威情勢を分析し、具体的なリスク低減策を提示します。

脅威情勢：脅威アクターとランサムウェア

Forescout Research – Vedere Labsの脅威アクターデータベース(Threat Actor Knowledgebase)では、現在、日本の組織を標的としている、または過去に標的とした124の脅威アクターを追跡しています。これは、2024年に追跡していた68アクターから82%増加しています。これらのアクターが狙う主な標的は、政府機関（74%）、金融サービス（62%）、テクノロジー企業（56%）でしたが、その他の業界も攻撃対象となっています。当社が追跡する脅威アクター数の増加は、脅威アクター活動が高止まりしているというよりも、世界的な広範な傾向と一致しています。世界全体では、サイバーセキュリティの脅威情勢がますます複雑化し、多様な脅威が乱立する状況が続いています。

これらのアクターの内訳は、40%が金銭的利益を主な目的とするサイバー犯罪者、40%が情報収集やスパイ活動、知的財産の窃取に重点を置く国家支援型アクター、そして20%はサービス妨害（DDoS）攻撃や改ざん、妨害工作または破壊活動を実行するハクティビストです。大規模組織は、保有するデータや業務自体の価値ゆえに国家支援型アクターやランサムウェアグループなどサイバー犯罪者の標的とされやすい傾向があります。一方で、小規模組織は、セキュリティ態勢（セキュリティポスチャー）が弱い被害者を探すハクティビストやサイバー犯罪者によって、機会主義的（手当たり次第）に狙われる傾向があります。

追跡対象の脅威アクターの出自は、中国が41%、ロシアが24%、北朝鮮が5%、イランが2%を占め、残りの28%はその他の国々に由来しています。これらの脅威アクターの出自および標的化に関する情報は、Forescout Research – Vedere Labs Threat Actor Knowledgebaseに基づいており、当社独自の追跡に加え、業界および政府機関が公表した脅威インテリジェンスと攻撃元の特定・分析情報（アトリビューション）を組み合わせたものです。

ランサムウェアグループ監視によると、2026年1月から4月にかけて、日本は14グループによって32件のインシデントが主張(報告)されており、国別の攻撃件数で14位となりました。これは、2025年同時期の23件から39%増加しており、さらに2025年の23件は2024年同時期の7件から229%増加した結果です。この期間に最も活発だったグループは、Qilin、The Gentlemen、Everest、Night Spire、Inc Ransomでした。日本におけるランサムウェア活動が、世界的傾向に比べて急速に増加している点は注目に値します。当社チームが2026年上半期の世界全体のランサムウェアインシデントを追跡したところ、前年同期比で25%増加を観測したのに対し、日本では同期間で39%増加を記録しています。

2026年に最も標的となった業界は製造業（19%）であり、次いで自動車（13%）、テクノロジー（9%）、医療（6%）、小売（6%）の順でした。過去の傾向から見ても、これらの業界は常に攻撃者に最も狙われやすい業界です。

日本の組織に対する攻撃について、同じランサムウェア攻撃データベースには、2021年から2026年4月までに累計208件が記録されています。ただし、この数値は必ずしも被害の全体像を網羅しているとは限りません。日本情報経済社会推進協会（JIPDEC）による最近の調査では、国内で少なくとも507社がこれまでにランサムウェア被害を経験しており、222社（44%）がデータ復旧のため身代金要求に応じたことが判明しています。身代金を支払った企業のうち、139社（63%）はデータを復旧できませんでした。この実態は、昨年LockBitのリークについて論じた際に、当社が掘り下げて指摘した点でもあります。

 

サイバーインシデントは、すでに日本の主要組織の業務に混乱をもたらす現実的な脅威となっています。近年、ランサムウェアをはじめとするサイバー攻撃は、交通、製造、防衛関連ネットワークに影響を及ぼしてきました。具体的な例としては、2023年に名古屋港のコンテナターミナル業務を混乱させたランサムウェア攻撃や、2024年に日本航空の運航業務に影響を及ぼしたサービス妨害(DDoS)攻撃が含まれます。

政治的動機を持つハクティビズムと#OpJapanの台頭

2024年の調査時点では当社が論じなかったものの、現在急速に重要性を増している脅威要素の一つが、日本の重要インフラを標的とした、政治的動機に基づくハクティビズムの台頭です。過去に日本が「新しい潮流」とも言える国家連携型ハクティビズムの標的となることは極めてまれでした。

もともと「#OpJapan」というハッシュタグは、2012年に国際的ハクティビストグループ「Anonymous(アノニマス)」が日本国内の新しい改正著作権法に抗議した際に使用したものです。

しかし昨年以降、「#OpJapan」タグを用いた政治的動機に基づくハクティビスト活動の波が、再び日本国内の重要インフラおよびその他の組織を標的にしています。この動きは、世界的なハクティビスト活動の活発化とも連動しています。Forescoutは、世界全体で5,700件を超えるハクティビストによる攻撃声明(クレーム)を追跡しており、攻撃者が最も一般的に用いる手法には、サービス妨害(DDoS)攻撃、データ侵害、システムの妨害・破壊、改ざんなどが含まれます。

当社が最初に確認した兆候は、6月に「Cyber Volk Arcanum」というグループが投稿した警告メッセージでした。ただし、その後、同グループによる具体的な攻撃や犯行声明が続くことはありませんでした。

続いて10月全体を通じて、「CLOBELSECTEAM」というグループが、同盟関係にある「Hezi Rash」からのメッセージを転送する形で、DDoS攻撃、データ漏えい、IPカメラやプリンターなどのデバイスへのハッキングを含む、数十件の攻撃の犯行声明を独自に投稿しました。これらはいずれも「#OpJapan」ハッシュタグを使用し、日本国内の組織を標的にしたと言及していました。これらの主張には、以下に示すように、攻撃を「正当化」するための政治的メッセージが混在していました。

その後、同グループはイスラエルや欧州諸国などの別の標的へと活動の場を移し、同年11月30日に投稿を停止しました。彼らの最後のメッセージは、オーストラリアのSCADA(産業用制御)システムに対する攻撃に関するものでした。

より最近の傾向として、2026年2月11日から15日にかけて、悪意ある親ロシア派グループであり、CLOBELSECTEAMの同盟関係でもあった「NoName057(16)」が、日本の組織に対する10件の攻撃声明を行いました。その内訳は均等に分かれており、5件はDDoS攻撃を示すメッセージ、残りの5件はOT/IoTデバイスに対する攻撃を示すメッセージでした。以下の画像は、農業システム、IPカメラ、産業用制御システムに対する具体的な攻撃の犯行声明を示しています。これらのシステムは、次の「インターネット上に露出(エクスポーズ)したデバイス」のセクションで検討する種類のシステムであることは偶然ではありません。ハクティビストは、被害者に強い心理的影響を与える目的で、インターネット上でアクセス可能なものは何でも機会主義的(手当たり次第)に標的にすることでよく知られています。

当社が確認した最後の「#OpJapan」に関する攻撃声明は、4月26日の「Z-Pentest Alliance」によるもので、これもIPカメラを標的にしたものであることを言及していました。その後の活動は確認されていませんが、日本の組織がこれらのハクティビスト同盟の標的リスト(ターゲットリスト)に入った以上、今後さらに攻撃が発生すると想定するのが妥当です。より広い視点で見れば、最近の#OpJapan活動は、世界中の組織を標的にする傾向を強めている、地政学的動機を持つハクティビスト・キャンペーンの拡大傾向を反映しています。最近の#OpJapanによる活動の多くは、混乱とインターネット上に露出(エクスポーズ)したシステムの機会主義的(手当たり次第)な標的化に焦点を当てていますが、他国のインシデント事例が示すように、OT(制御技術)への攻撃はより深刻で広範な影響をもたらす可能性があります。その代表例として、2015年から2016年にかけて発生したウクライナ電力網に対するサイバー攻撃や、最近の米国水道施設に影響を及ぼした攻撃が挙げられます。こうした重要インフラシステムが攻撃された場合、公衆衛生や社会の安全に直接的な影響を及ぼすおそれがあります。

リスク：インターネット上に露出(エクスポーズ)したデバイス

検索エンジン「Shodan」の調査 によると、日本国内でインターネットに露出(エクスポーズ)したデバイスが2,200万台を超えており、これは2024年に当社が観測した数値より34%増加しています。以下の図は、非従来型のIT資産について、露出(エクスポーズ)しているポート／サービス別およびデバイスタイプ別に分類したものです。

日本国内で露出しているポートの上位2つは、「80/HTTP」と「443/HTTPS」で、世界全体の状況と同様です。その他のポートのうち、世界の上位10にも入っているのは2つだけで、「161/SNMP」（日本で3位、世界で8位）と「7547/CWMP」（日本で6位、世界で10位）でした。

2024年から2026年にかけて日本国内で露出(エクスポーズ)しているポートトップ10における唯一の顕著な変化は、ポート「500/IKE」が7位から4位へ上昇したことです。これは、リモートアクセスに伴うVPNサービスの利用増加を反映しています。また、インターネット上に露出(エクスポーズ)しているIPカメラおよびDVR(デジタルビデオレコーダー)システムの大幅な増加も確認されました。これらは、2024年時点では露出しているIoTデバイスの16%に過ぎませんでしたが、現在は51%に達しています。

外部に露出(エクスポーズ)しているOT(制御技術)デバイスとプロトコルに関しては、過去2年間で極めて顕著な変化が見られました。2024年に最も多く露出していたOTプロトコルはModbusで、全体の約30%を占めていました。しかし2026年には、Modbusは3番目の15%となり、現在はSiemens S7が最上位で、次いでシリアル／IPコンバーターで使用される「Lantronix Discovery Protocol（LDP）」用のポート30718が続いています。Lantronixは、当社の最近の「BRIDGE:BREAK」の調査で脆弱性が確認されたベンダーの一つです。興味深いことに、2024年に多く見られたBACnet、KNX、Tridium Foxといったビルオートメーション・プロトコルは、現在ではその大部分が産業オートメーション・プロトコルに置き換わっています。

これらのOT(制御技術)デバイスの多くは、認証を必要としないプロトコルと通信可能な、ハクティビストのような機会主義的(手当たり次第)な攻撃者によって直接侵害される可能性があります。あるいは、以下に示す温室農業システムの制御画面のように、攻撃者が開始／停止や設定変更の機能を提供するヒューマン・マシン・インターフェース（HMI）にアクセスできてしまう可能性があります。次のセクションでは、こうした攻撃のいくつかについて考察します。

この種のHMI(ヒューマン・マシン・インターフェース)は、多くの場合、3389/RDPまたは5900/VNCポートを通じてオンラインに露出(公開)しています。これらのポートは上記(露出ポート)のトップ10には入っていませんが、当社の最近の調査により、日本は外部に露出(エクスポーズ)したRDPおよびVNCサーバーの件数が世界4位に多い国であることが判明しています。

露出したOT(制御技術)デバイスの中には、既存の悪用可能な脆弱性と照合するために、攻撃者が悪用できるファームウェアバージョン情報を含んでいるものもあります。下記の図は、ハードウェアおよびファームウェアバージョンを含む、インターネットに露出(エクスポーズ)したSiemens S7プログラマブルロジックコントローラー（PLC）を示しています。

対策へのガイダンス

日本は名目GDPで世界第4位の経済大国であり、高度な製造業と国際貿易の中心であり、特にアジアにおいて極めて重要な地政学的役割を担っています。そのため、国内で事業を展開する組織は、金銭的利益を求めるサイバー犯罪者や政治的メッセージの拡散を企てるハクティビスト、さらには国家の支援を受けて活動するアクターなど、多様な脅威の標的となるリスクを常に抱えています。

こうしたリスクを管理するためには、組織自身が「サイバーエクスポージャー(サイバー脅威への露出)」を積極的に特定・低減すべきです。その対策の出発点となるのが「インターネットに露出(エクスポーズ)した資産の把握ですが、さらに内部ネットワークに接続されたすべてのIT、IoT、OT、IoMT(医療用IoT)デバイスを対象に含める必要があります。特に、管理対象外のデバイスに対する攻撃範囲が拡大していることを踏まえ、当社は日本の組織に対し、以下の3つの戦略的サイバーセキュリティ領域に注力することを強く推奨します。

• リスクとエクスポージャーの管理：まず、ネットワークに接続されているすべての資産、特に脆弱性を内包しやすいOTおよびIoT資産について、徹底的なリスク評価を実施することから始めましょう。セキュリティ態勢(セキュリティポスチャー)、既知の脆弱性、認証情報、および開放されているポートを詳細に精査してください。デフォルト設定のまま、あるいは推測されやすい脆弱な認証情報は、デバイスごとに固有の強力なパスワードへ変更します。使用されていない不要なサービスは無効化し、脆弱性に対しては迅速にパッチを適用するとともに、リスクベースのアプローチを用いて優先順位をつけリスクを軽減します。また、サイロ化された個別領域での対応にとどまらず、企業(エンタープライズ)全体で自動化された制御を活用することが極めて重要です。
• ネットワークセキュリティ：管理対象外のデバイスをインターネットに直接露出(エクスポーズ)させないように徹底してください。IT、IoT、OTデバイスを相互に分離するため、ネットワークセグメンテーションを導入し、ネットワーク接続はあらかじめ指定された管理用およびエンジニアリング用ワークステーションのみに制限します。このセグメンテーションは、IT環境とOT環境の間だけでなく、それぞれのネットワーク内部にも適用し、水平展開(ラテラルムーブメント)やデータの不正持ち出しを防止します。外部への通信経路には厳格な制限を設け、特に即時のパッチ適用が困難な場合には、代替的なリスク軽減策として、脆弱なデバイスを隔離・封じ込めの措置を講じてください。
• 脅威検知と対応：IoT/OTに対応した監視ソリューションを導入して、悪意のある兆候や不審な挙動を検知してアラートが通知される仕組みを構築しましょう。脆弱性の悪用、パスワードの推測(総当たり攻撃など)、OTプロトコルの不正使用といった、既知の攻撃手法に備え、内部システムおよび通信状況を継続的に監視します。異常なトラフィックや不正な形式の通信を検知した場合には、ネットワーク運用者にアラートで通知します。アナリストが効率的に調査を行えるよう、多様なソースからテレメトリ(測定データ)とログを収集し、攻撃の兆候(シグナル)を相互に関連付けて分析(相関分析)できるソリューションの導入を検討します。こうしたソリューションは、企業全体でインシデントへの対応アクションを自動化する機能も備えています。

当社は、基本的なセキュリティ対策(サイバーハイジーン)の実践を、すべてのネットワーク資産に対して包括的に適用すべきであることを改めて強調します。堅牢なセキュリティ態勢を確立するため、最新の脅威インテリジェンスおよびビジネスインテリジェンスに基づき、ビジネスへの影響が大きく、最も重要な攻撃対象領域から優先的に対処してください。

さらに、外部に露出しているOTシステムのリスクを軽減するには、多くの場合、PLC、HMI、エンジニアリングワークステーションなどのOT資産とリモートユーザーの間の通信を安全に仲介する「セキュアリモートアクセス・ソリューション」の導入が極めて効果的です。