2025年のセキュリティインシデント分析： セキュリティソリューションはすべて揃っていた、それなのになぜ防げなかったのか
2025年、「デジタル災害」の年
2025年は、サイバー侵害事故の報告件数が過去最多を記録した年だった。ドバイに拠点を置く仮想通貨取引所 Bybit では、約2兆ウォン規模の資産が単一のインシデントで奪われ、日本のアサヒグループはランサムウェアに感染し、30の工場が同時に操業を停止した。韓国国内では、ある通信会社だけで2,696万件の USIM 情報が流出し、ある流通会社では3,370万人の会員情報が流出していた。 これは韓国人口の約3分の2に相当する規模だった。KISA に報告された侵害事故だけでも2,383件で、前年比26%増となり、過去最多を記録した。「デジタル災害」と言っても過言ではない一年だった。
ところが、この災害の現場で共通して見られた事実が一つあった。被害を受けた組織は、すでにセキュリティソリューションをすべて備えていたという点だ。それにもかかわらず、なぜ防げなかったのか。本稿では、2025年の主な侵害事故事例を通じて、その原因と対応策を検討する。
2025年の攻撃環境、何が変化したのか
1. ランサムウェアの生態系の再編
2025年のランサムウェア生態系は、大手グループ中心の従来の秩序が崩れ、「戦国時代」に突入した。LockBit などの大手ランサムウェアグループが国際的な合同捜査により相次いで打撃を受けると、中小規模の RaaS（Ransomware-as-a-Service）グループが急速にその空白を埋めた。脅威が減少したわけではなく、むしろより多くのグループが乱立する構造へと変化したのである。
この構造の変化は、脅威の検知をより困難なものにした。 大手ランサムウェアグループの攻撃パターンは長期間にわたり分析され、対応ノウハウが蓄積されてきたが、新たに登場した中小規模グループの亜種ランサムウェアは、脅威分析の難易度を高めた。同時に、ランサムウェアの戦術もより攻撃的に変化した。ファイルの暗号化にとどまらず、盗んだデータの公開を脅迫し、DDoS 攻撃まで併行する「三重の恐喝」方式が拡散し、被害企業への圧力がさらに強まった。
2025年の活動量基準で見た主要グループは以下の通りであった。
[図1] 2025年のランサムウェア主要グループおよび被害状況
1位. Akira (622件)
2025年のランサムウェア活動量1位は Akira だった。前年比120%増加し、旧型 Cisco VPN の脆弱性を悪用して、中小企業やサービス業を中心に攻撃を拡大した。
2位. Qilin (589件)
過去最高の活動量を記録した Qilin は、ホワイトラベル方式のRaaSモデルを運営し、収益の約80%を攻撃実行者に支払った。盗み出したデータの公開時に発生する法的責任を分析し、脅迫戦略を支援する「Call Lawyer」サービスまで提供した。ロシア語に設定されたシステムでは実行されないよう設計されており、旧ソ連・ロシア圏を拠点とする組織と推定される。
3位. LockBit (315件)
LockBitは、国際的な合同捜査の後、活動が前年比45%減少したものの、製造業など様々な産業を対象とした攻撃は継続した。信頼度の低下により一部の提携攻撃者が離脱したにもかかわらず、依然として影響力を維持した。
4位. Play (245件)
Play は独自の侵入ツールを使用し、閉鎖的な運営方式を堅持した。公共および運輸分野を主な攻撃対象とした。
2. Linux を標的とした攻撃の急増
2025年のサイバー攻撃のもう一つの特徴は、Linux 環境を狙った攻撃の増加であった。Linux は、企業サーバー、クラウドインフラ、コンテナ環境の中核を担う OS である。Windows に比べて相対的に安全であるという認識のため、セキュリティの優先順位から外されている場合が多く、攻撃者たちはまさにこの弱点を突いた。
実際、2025年には攻撃の検知件数が前年比78%急増する中、Linux を標的とした攻撃の増加が特に顕著だった。相対的にセキュリティ監視が疎かになりがちな Linux 環境は、侵入後の長期潜伏に有利な条件を提供していた。
3. APT 攻撃の高度化
2025年の APT 攻撃は、より隠密かつ長期的な侵入の様相を呈した。代表的な事例が「Salt Typhoon」である。中国が背後にいると推定されるこのグループは、米国の通信事業者9社すべてのネットワークに侵入し、捜査機関の盗聴用に運用されている合法的な通信盗聴システム（CALEA）を掌握した。 捜査機関のために設けられた合法的なバックドアが、かえって攻撃の経路として悪用されたのである。その後1年以上にわたり密かに潜伏し、政府関係者や主要人物の通話を盗聴し、米大統領選に関連する人物の通信記録も盗聴対象に含まれていたことが判明した。
同じく中国が背後にいると推定される「Volt Typhoon」は、電力・水道など米国の物理的インフラに侵入し、国家間の衝突状況において中核インフラを麻痺させる「デジタル・アンブッシュ」を密かに準備していた。迅速な被害よりも、秘密裏な侵入と長期的な潜伏を優先するこれら2つの事例は、通信・エネルギーなど国家の中核インフラがAPT攻撃の主要な標的であることを示している。
セキュリティソリューションはすべて揃っていた。なぜ防げなかったのか？
2025年の主要な侵害事故の被害組織のうち、相当数はセキュリティに無関心だったり、投資を怠っていたりしたわけではなかった。その大部分は数年にわたり多様なセキュリティに相当な費用を投じており、すでに多層防御体制を整えていた。ガートナーの調査によると、企業が運用するセキュリティソリューションは平均45個に達し、130個以上を保有しているところもあった。それにもかかわらず、2025年の侵害事故による被害は過去最大規模を記録した。 セキュリティソリューションは十分にあったのに、なぜ防げなかったのか。問題の核心は、セキュリティソリューションの不足ではなく、「連携されたセキュリティ運用」の欠如にあった。
2025年の主要な侵害事故で共通して見られた構造的な原因は3つあった。
[図2] 2025年の主要な侵害事故の構造的要因
原因1. 複雑化したセキュリティ運用環境
セキュリティソリューションが増えるにつれ、ツールの過剰そのものが新たなリスクとして作用した。コンプライアンス対応のために領域ごとに導入されたソリューションが互いに連携されないまま蓄積され、初期構築当時の旧バージョン状態がそのまま維持されるケースも多かった。 ソリューションごとに殺到する過剰な通知や誤検知は担当者の管理能力を超え、肝心の重要な脅威のシグナルはノイズの中に埋もれてしまった。このように相互に連携されていないセキュリティソリューションが無分別に蓄積される現象、いわゆるツールスプロール（Tool Sprawl）が、セキュリティ運用の複雑性を大幅に高めた。
原因2. 可視性とコンテキストの欠如
複数のセキュリティソリューションが分散した環境では、可視性を確保し、イベント間の相関関係を把握することが困難である。各ソリューションが生成するログは個別のサイロ（Silo）に蓄積されるだけで相互に連携せず、攻撃者がどこから侵入し、どのような経路で移動したかという流れを把握することが難しかった。その結果、検知の死角が生じ、未承認のIT資産（シャドー IT）は、APT 脅威が長期間潜伏できる環境を提供することさえあった。
原因3. 分断されたセキュリティ運用体制
IT 運用チームとセキュリティチームもまた、サイロ構造で分離されて運用されていたため、インシデント発生時に役割と責任（R&R）が明確でない場合が多かった。優先順位のない通知が殺到する中で対応のゴールデンタイムを逃し、各ソリューションごとの手動対応の限界とチーム間のコミュニケーション不足が相まって、対応時間（MTTR）も長引いた。
セキュリティ対応の核心は連携と統合
2025年の教訓は明らかだ。セキュリティはツールの数ではなく、「連携と運用の質」によって決まる。これに基づき、アンラボは連携と統合を基盤とした3段階のセキュリティ対応フレームワークを提示する。
[図3] アンラボの3段階統合セキュリティ対応フレームワーク
第1段階 - 先制対応：ZTNA
従来の境界セキュリティは、「内部ネットワークは信頼できる」という前提の下で設計された。しかし、一度境界を突破されると内部全体がさらされてしまうこの構造は、もはや有効ではない。ZTNA は、「決して信頼せず、常に検証せよ」という原則の下、IP ではなくアイデンティティを中心にアクセスを制御し、攻撃対象領域を最小化する。
アンラボのファイアウォールソリューション「AhnLab XTG」は、こうした ZTNA の3つの核心原則に基づいて設計されている。 第一に、最小権限アクセスにより不正アクセスや迂回接続を遮断し、第二に、マイクロセグメンテーションにより内部での横方向の移動を遮断し、第三に、継続的認証によりセッション中の異常行動をリアルタイムで検知する。1年以上内部に潜伏していた Salt Typhoon 型の攻撃も、ZTNA が適用されていれば、境界侵入後の横方向の移動段階で遮断されていたはずだ。
第2段階 - 検知および対応：EDR
ZTNA が初期侵入の可能性を減らす段階であるのに対し、EDR は攻撃者の侵入後の内部活動を検知・対応する段階だ。シグネチャベースの従来のアンチウイルスソリューションは、正規ツールの悪用、ファイルレス攻撃、新・亜種脅威に対して限界を露呈する。
AhnLab EDR は、振る舞いベースで脅威を検知し、この限界を補完する。異常なプロセスの実行、権限昇格など、攻撃者の悪意ある振る舞いをリアルタイムで識別し、攻撃チェーンの可視化を通じて侵入経路と拡散の流れを迅速に把握できる。ランサムウェアに感染した際には、ロールバック（Rollback）機能により、暗号化前の時点のファイルを復元できる。アンチウイルスの検知を回避する戦術を用いた Akira や Qilin も、EDR の振る舞いベース検知エンジンの前では、暗号化行為の段階で遮断されていただろう。
第3段階 - 統合運用：XDR
ZTNA で侵入を阻止し、EDR で脅威を検知したなら、最後の段階はこれらすべてのデータを一つに結びつけ、組織全体の脅威を統合管理する段階だ。個々のソリューションがどれほど優れていても、互いに連携していなければ組織は依然として脆弱である。この連携と統合を担うのが、まさにXDRである。
AhnLab XDR は、各セキュリティソリューションで生成されるデータを単一のプラットフォームに統合し、イベント間の相関関係を分析して攻撃チェーン全体を可視化する。 個々のソリューションからの通知だけでは正常に見えた行動も、全体的なコンテキスト（文脈）の中で結びつけられると、その中に隠された脅威の流れが明らかになる。特定されたリスクは深刻度に応じて自動的に優先順位付けされ、反復的な対応作業はプレイブックが代行する。その結果、セキュリティ担当者は単純な通知処理から解放され、真に重要な脅威に集中できるようになる。
2025年が遺した教訓：セキュリティとは完璧さより、迅速な対応である。
セキュリティ専門家のブルース・シュナイアーは、2000年にこう述べた。「セキュリティは製品ではなく、プロセスである。」
当時は理論のように聞こえたかもしれないが、2025年、この言葉は現実となった。過去にはセキュリティ製品を導入するだけで相当数の脅威を防ぐことができたが、今や攻撃を100%遮断することは現実的に不可能に近い。
しかし、被害の規模は対応速度（MTTR）に反比例する。侵入を数日で検知した組織と、数ヶ月経ってようやく気づいた組織の被害の差は比較にならない。ランサムウェア感染直後に隔離した組織と、全社に拡散してから対応した組織の復旧コストも、数十倍もの差が生じる可能性がある。
結局、セキュリティの競争力は完璧な防御ではなく、どれだけ早く発見し対応できるかにかかっている。そして、その速度を決定づけるのは、個々のソリューションの性能ではなく、連携した統合運用体制だ。2025年は、それを証明した年であった。