--- title: "JNSA 2025セキュリティ十大ニュース解説｜1位〜10位の事実と2025年のランサム被害226件、2026年10月までの続報" url: "https://www.issoh.co.jp/column/details/10470/" published: 2026-01-05 updated: 2026-10-25 categories: ["セキュリティ"] publisher: "株式会社一創" --- # JNSA 2025セキュリティ十大ニュース解説｜1位〜10位の事実と2025年のランサム被害226件、2026年10月までの続報 日本ネットワークセキュリティ協会（JNSA）は2025年12月25日、[「JNSA 2025セキュリティ十大ニュース ～攻守拮抗、デジタル社会に信頼構造の地殻変動は成るか～」](https://www.jnsa.org/active/news10/2025.html)を公開しました。第1位はアサヒグループホールディングス（アサヒGHD）やアスクルを襲ったランサム攻撃です。選考委員長の総評は、10件のうち被害のニュースが4件、新たな取り組みのニュースが4件と拮抗し、残る2件はAIとFeliCaの脆弱性公表という攻守両面の話題だったと整理しています。本記事では順位どおりに各ニュースの事実を一次情報で確かめ、2026年10月25日時点までの続報を添えます。後半では、警察庁の統計で2025年のランサムウェア被害の全体像を確かめ、2024年版やIPAの「情報セキュリティ10大脅威」との違いも整理します。 ## まとめ：JNSA 2025セキュリティ十大ニュースの順位と企業が読むべき要点 | 順位 | 日付 | ニュース | | ---- | ------ | ---------------------- | | 第1位 | 9月29日 | アサヒGHD・アスクルのランサム障害 | | 第2位 | 11月28日 | サプライチェーン被害の賠償問題 | | 第3位 | 4月3日 | 証券口座乗っ取りと監督指針改正 | | 第4位 | 2月27日 | 生成AI悪用の不正アクセスで逮捕 | | 第5位 | 5月16日 | 能動的サイバー防御関連法が成立 | | 第6位 | 3月25日 | IoT製品のJC-STAR運用開始 | | 第7位 | 4月16日 | IIJ不正アクセスが各所に影響 | | 第8位 | 4月6日 | NEXCO中日本管内のETC障害 | | 第9位 | 8月28日 | FeliCa脆弱性報道で不安が拡大 | | 第10位 | 11月20日 | 2035年までのPQC移行方針 | | 番外編 | 11月18日 | AWS・Cloudflare障害と単一障害点 | 最も重いのは第1位です。アスクルの侵入口は、多要素認証を例外的に掛けていなかった委託先向けの管理者アカウントでした。警察庁の統計でも、2025年のランサムウェア被害は226件、侵入経路はVPN機器が6割を超えています。外部とつながる機器と認証の穴をふさぐことが、2026年も最優先の対策です。第2位は委託先の事故が数年後に賠償として返ってくること、第3位はメールやSMSのワンタイムパスワードだけでは守れないことを示しました。 2026年版の十大ニュースは、例年どおりなら12月下旬に公開されます。2023年版は2023年12月26日、2024年版と2025年版はいずれも12月25日の公開でした。 ## 第1位（9月29日）アサヒGHDとアスクルの災害級ランサム障害と2026年までの続報 JNSAは、ランサム攻撃で被害企業の業務が止まり、取引先や市民にまで影響が及んだことを「災害級」と表現しました。ビールの出荷停止は歳暮ギフトにも及び、アスクルの物流停止は医療関連資材の配送を遅らせています。 ### アサヒGHDの漏えい確認115,513件と漏えいのおそれ約228.9万件 アサヒGHDは2025年9月29日にランサムウェアによるシステム障害が発生し、受注・出荷が長期間止まりました。JNSAの公開時点では、漏えいの「おそれ」がある個人情報は約191.4万件でした。その後、2026年2月18日の[調査結果と再発防止策](https://www.asahigroup-holdings.com/newsroom/detail/20260218-0101.html)で、障害発生の約10日前に拠点のネットワーク機器を経由して侵入されたこと、漏えいを確認した個人情報が115,513件（従業員5,117件・取引先関係110,396件）であることが公表されました。再発防止策にはリモートアクセスVPN装置の全面廃止が含まれています。2026年7月17日には、取引先関係の約37.8万件を加えて[漏えいのおそれを約228.9万件へ見直しました](https://www.asahigroup-holdings.com/newsroom/detail/20260717-0101.html)。7月27日には、権限管理を含む運用管理が規程どおり行われていなかったとして、財務報告に係る内部統制を「有効でない」と[開示](https://www2.jpx.co.jp/disc/25020/140120260724599457.pdf)しています。 捜査にも動きがありました。警察庁は2026年10月8日の[報道発表](https://www.npa.go.jp/news/release/2026/20261008001.html)で、アサヒへの犯行声明を出したと報じられたランサムウェア攻撃グループQilinについて、ドイツがグループを主導していたとみられるロシア国籍の被疑者を逮捕したと広報したことを明らかにしました。来日した被疑者を、日本警察が逃亡犯罪人引渡法に基づく仮拘禁許可状で拘束し、ドイツへの引き渡しにつなげています。ただし警察庁の資料にアサヒの名前はなく、容疑はドイツで起きた事件です。アサヒの事件で誰かが立件されたわけではありません。時系列と業績への影響は[アサヒ サイバー攻撃の時系列まとめ](/column/details/10035/)で詳しく追っています。 ### アスクルは委託先向け管理者アカウントのMFA例外が起点、数か月に及ぶ業務停止 アスクルは2025年10月19日にランサムウェアに感染し、注文受付と出荷が止まりました。物流を受託していた無印良品やロフトにも影響が広がっています。復旧は段階的に進み、東京DC・関東DCでは2025年12月17日から物流システムによる出荷を再開する計画が公表されました。全物流センターでの出荷再開完了は2026年2月4日、主要なECサービス機能の復旧発表は2月13日です。2025年12月12日の[第13報](https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf)は、原因を「例外的に多要素認証を適用していなかった業務委託先に対して付与していた管理者アカウント」のIDとパスワードの漏えいと不正利用だと説明しました。攻撃者はその後、EDRなどを無効化してサーバー間を移動したと推定されています。JNSAの編集後記も「認証方式と運用のチェックは急務」と書きました。アスクルは[サイバーセキュリティの特設ページ](https://www.askul.co.jp/corp/security/)で経緯と対策を公表しており、事件の概要は[アスクルへのランサムウェア攻撃](/tech/details/10261/)にまとめています。 第13報が示した流出の内訳は、事業所向けサービスの顧客情報の一部が約59万件、個人向けサービスが約13万2,000件、取引先に関する情報が約1万5,000件、役員・社員等が約2,700件です。復旧が長引いた理由として同社は、物流センターを管理する複数の物流システムが暗号化され、同じデータセンター内にあったバックアップファイルも暗号化されたことを挙げました。一部の通信ログとアクセスログが失われ、攻撃者が閲覧した範囲を完全には特定できないとも説明しています。その後、2026年7月30日の第19報では、漏えいのおそれを否定できない個人情報約60万件を追加で特定したと公表しました。この追加分について、外部への漏えいと不正利用の事実は確認されていません。同じ第19報で、2026年7月16日に個人情報保護委員会から個人情報と特定個人情報の安全管理措置について行政指導を受けたことも公表しています。 ## 第2位（11月28日）サプライチェーン被害が賠償問題へ：前橋市・エムケイ・大阪急性期・関通 JNSAは、2025年は過去のサイバー被害が企業間の「賠償」として表に出た年だと位置づけ、4つの事例を挙げました。いずれも過去の事故が時間を置いて賠償や訴訟の問題として表面化した事例ですが、事故の発生年や責任の確定状況はそれぞれ異なります。 | 事例 | 結論 | 金額 | | ----------- | -------------- | ---------- | | 前橋市とNTT東日本 | 東京高裁の和解案に双方が合意 | 解決金9,500万円 | | エムケイシステム | 利用者90名が提訴・係争中 | 訴額約3.12億円 | | 大阪急性期・総合医療C | 複数事業者と協議で和解 | 解決金10億円 | | 関通 | 委託元への賠償負担（報道） | 10億円 | ### 前橋市は通信制限の設計不備、エムケイは自社サーバー被害で係争中 前橋市の事案は、2018年3月に市の教育情報ネットワーク（MENET）が不正アクセスを受けたものです。NTT東日本そのものが攻撃されたのではありません。市は、NTT東日本がMENETの通信制限を適切に設計・設定しなかった債務不履行を理由に、2020年3月に約1億7,735万円の損害賠償を求めて提訴しました。2023年2月の一審判決は約1億4,298万円の支払いを命じ、控訴審では東京高裁が2025年5月9日に和解案を示し、市は[解決金9,500万円の和解議案](https://www.city.maebashi.gunma.jp/material/files/group/10/hodo20250610.pdf)を6月10日に市議会へ提出しました。議案の可決後、7月に裁判上の和解を成立させる予定と公表しており、JNSAはこれを「9,500万円の和解」と書いています。 エムケイシステムは、2023年6月に自社のサーバーがランサムウェアの被害を受け、社会保険・労務クラウド「社労夢」などが止まりました。同社製品の利用者90名が2025年7月9日に大阪地裁へ提訴し、訴訟物の価額は3億1,228万9,777円です。同社は2025年8月21日の[適時開示](https://www2.jpx.co.jp/disc/39100/140120250821545084.pdf)で、係争中であり法的責任の有無は確定していないとしています。その後、2025年12月25日の[開示](https://contents.xj-storage.jp/xcontents/AS97180/af1ce415/584a/45d8/85e4/c823ce4f3517/20251225131737902s.pdf)で、別の利用者2名による訴訟（請求額238万3,764円）と併合して審理されることになったと公表しました。2026年5月18日の[開示](https://contents.xj-storage.jp/xcontents/AS97180/bce907b6/ba88/4ab0/b77d/237f8386128b/20260518145354247s.pdf)では原告の1者が訴えを取り下げたものの、その他の原告との訴訟は引き続き係属中としています（同社がその後に訴訟の結論を開示したことは確認できていません）。 ### 大阪急性期の協議による10億円の和解とSCS評価制度の具体化 大阪急性期・総合医療センターの事案は、2022年のランサムウェア被害で診療が長期間止まったものです。2023年の調査報告書では、侵入経路は給食事業者のVPN機器とされました。大阪府立病院機構は2025年8月8日、[調査の対象となった複数の民間事業者と代理人を通じた協議で和解し、事業者側が連帯して解決金10億円を支払う](https://www.gh.opho.jp/gh2025/wp-content/uploads/2025/08/info%5F20250808.pdf)と公表しました。訴訟が終結したのではなく、協議による和解です。 JNSAは対策側の前進として、経済産業省が2025年4月14日に公表した「サプライチェーン強化に向けたセキュリティ対策評価制度」の中間取りまとめを挙げています。これは制度の運用開始ではありません。その後SCS評価制度として具体化が進み、受付開始は2027年3月頃と案内されています。★3・★4の違いと準備は[SCS評価制度とは](/column/details/17952/)、攻撃の類型は[サプライチェーン攻撃とは](/column/details/13184/)で解説しています。 ## 第3位（4月3日）証券口座乗っ取りの急増とMFA必須化へ進んだ監督指針改正 JNSAによると、証券口座乗っ取りによる不正取引は2025年11月までの累計で7,100億円を超えました。乗っ取った口座で特定銘柄を買い上げ、別口座で売り抜ける手口は「ハック、パンプ・アンド・ダンプ」と呼ばれます。根本原因は、証券会社を装うフィッシングや情報窃取型マルウェア（インフォスティーラー）によるIDとパスワードの盗難でした。 銀行では2010年頃からMFA（多要素認証）の導入が進んでいましたが、証券業界は遅れていました。JNSAの解説は、預金者保護法に基づく補償制度の対象外であることが、証券業界の対策の遅れにつながった可能性を指摘しています。ただし、個別事案で民法上の損害賠償責任などが生じる可能性まで否定するものではありません。金融庁と日本証券業協会は2025年10月15日に監督指針とガイドラインを改正・施行し、ログインや出金などの重要操作で、フィッシングに耐性のある多要素認証の実装・必須化を求めました。補償は各社の判断で実施されています。金融庁は[注意喚起のページ](https://www.fsa.go.jp/ordinary/chuui/chuui%5Fphishing.html)で被害状況の公表を続けています。2026年10月9日更新の[集計](https://www.fsa.go.jp/ordinary/chuui/chuui%5Fphishing/20261009.pdf)では、2025年1月から2026年9月までの不正取引は10,642件、売却金額は約4,372億円、買付金額は約3,837億円です。2026年1〜9月の不正取引は781件で、最も多かった2025年4月の1か月（3,033件）を大きく下回り、2026年9月は2件でした。 JNSAは、メールやSMSのワンタイムパスワードはリアルタイムフィッシングに弱く、FIDO2やパスキーの導入が必要だとも書きました。パスキーの仕組みと導入判断は[パスキー認証とは](/column/details/15368/)で扱っています。 ## 第4位（2月27日）生成AIを悪用した不正アクセスと中高生の逮捕事例 2025年2月、自作プログラムで楽天モバイルに不正アクセスして利益を得たとして、中高生3人が逮捕されました。12月には、ネットカフェ大手「快活CLUB」に不正アクセスしたとして高校生が逮捕されています。JNSAによると、いずれも攻撃プログラムの作成に生成AIの助けを借り、処理の効率化や防御のすり抜け方、エラーへの対処をChatGPTに質問していました。 JNSAは、ESETが2025年8月にAIを使う攻撃プログラムを発見したことにも触れています。該当する「PromptLock」について、ESETの公式発表は、ローカルで利用可能な言語モデルでスクリプトを生成する概念実証（PoC）と説明しています。一方で、AIによる異常検知や疑似攻撃での脆弱性発見という「光」の使い方も広がっているとし、攻撃と防御の両面でAIを扱う時代に入ったと結論づけました。 ## 第5位（5月16日）能動的サイバー防御の関連法成立と国家サイバー統括室の設置 成立したのはサイバー対処能力強化法と同整備法です。JNSAが挙げた柱は、①官民連携、②通信情報の利用、③アクセス無害化措置の3つです。「反撃」は法律の用語ではなく、攻撃に使われるサーバーなどへのアクセス無害化措置が整備法で定められました。 2025年7月には内閣サイバーセキュリティセンター（NISC）を改組し、サイバー安全保障分野の政策を一元的に総合調整する国家サイバー統括室（NCO）が設置済みです。サイバーセキュリティ戦略本部も、内閣総理大臣を本部長とし全閣僚を本部員とする組織に改められました。取り組みの全体は[内閣官房のサイバー安全保障に関する取組](https://www.cas.go.jp/jp/seisaku/cyber%5Fanzen%5Fhosyo%5Ftorikumi/index.html)にまとまっており、法体系の経緯は[サイバーセキュリティ基本法とは](/column/details/13451/)で整理しています。 成立から1年半で、法律は施行の段階に入りました。[e-Gov法令検索](https://laws.e-gov.go.jp/law/507AC0000000042)では本則の施行日が2026年10月1日で、基幹インフラ事業者の届出と報告の義務はこの日に始まりました。当事者協定と通信情報の取得・取扱いを定めた第3章から第7章は、公布から2年6か月以内（2027年11月まで）に施行されます。警察庁の[令和8年上半期の情勢報告](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08%5Fkami%5Fcyber%5Fjousei.pdf)（2026年9月）は、アクセス・無害化措置も同日に施行予定と書いています。一般企業に直接の届出義務はありませんが、基幹インフラ事業者からシステムの構築や保守を請け負う会社には、調査や報告への協力が回ってきます。義務の範囲と委託先への影響は[サイバー対処能力強化法とは](/column/details/17972/)で整理しています。 ## 第6位（3月25日）IoT製品のセキュリティラベリング制度JC-STARの運用開始 [JC-STAR](https://www.ipa.go.jp/security/jc-star/index.html)は、ネットワークカメラやセンサーなどのIoT製品のセキュリティ機能を共通の物差しで評価し、ラベルで示す制度です。ラベルは★1から★4の4段階で、評価の主体が段階によって違います。★1（共通の最低限の要件）と★2（製品類型ごとの追加要件）は、ベンダーが自社製品を評価して適合を宣言する自己適合宣言です。★3と★4は第三者が適合を評価し、政府機関や重要インフラ事業者などでの利用を想定しています。 JNSAによると、2025年12月16日時点で★1に135製品が登録され、★2の受付は2026年以降の計画でした。その後IPAは、通信機器やネットワークカメラの[★3の適合基準と評価手順](https://www.ipa.go.jp/security/jc-star/tekigou-kizyun-guide/label3/index.html)を公開しています。★3の適合要件は2026年6月12日に公開され、第三者評価を担う評価機関の承認に関する要求事項（6月5日）、承認申請の手引（6月19日）、承認業務の取扱手順（7月16日）も掲載されました。ただし[★3・★4の新規申請手続きのページ](https://www.ipa.go.jp/security/jc-star/shinsei/shinki-3-4/index.html)は、2026年10月25日時点でも「★３と★４の申請受付は2026年以降の開始を計画しています」との案内にとどまり、受付開始日は示されていません。★1については、IPAが7月31日に「申請件数が急増しており、確認作業に通常より時間を要して」いると告知しています。 ## 第7位（4月16日）IIJセキュアMXへの不正アクセスと確定した漏えい件数 IIJは2025年4月15日の第一報で、法人向けメールセキュリティサービス「IIJセキュアMX」で最大4,072,650件のメールアカウントに漏えいの可能性があると公表しました。日本取引所グループや複数の地方銀行など、利用企業にも影響が及んでいます。 4月22日の[第二報](https://www.iij.ad.jp/news/pressrelease/2025/pdf/20250422%5FSMX%5F2.pdf)で、実際に漏えいを確認した範囲が確定しました。メールアカウント・パスワードの漏えいは132契約（第一報の件数のうち311,288件。ただし一部契約はメールアカウントのみ）、メール本文・ヘッダは6契約、連携する他社クラウドサービスの認証情報は488契約で、重複を除くと586契約です。原因は第三者製ソフトウェア「Active! mail」の未知の脆弱性で、2025年4月18日にJVNで緊急度の高い脆弱性として公開されました。IIJは7月18日、[総務省から書面による行政指導](https://www.iij.ad.jp/news/pressrelease/2025/0718.html)を受けたと公表しています。JNSAは、ベンダーのブランドを過信せず、利用側もMFAの適用やパスワードの使い回し回避で自衛すべきだとしました。 IIJの再発防止策は、振る舞い検知の強化とWebアプリケーションファイアウォールの多層化でした。JNSAはこれを「侵入されることを前提」に早期検知へ軸足を移す考え方だと評価し、利用企業もサービス選定の段階で、データの保護方法とインシデント時の開示の透明性を価格や機能と並ぶ基準に加えるべきだとしています。 ## 第8位（4月6日）NEXCO中日本管内のETC障害とシステム改修によるデータ破損 2025年4月6日未明、NEXCO中日本管内の高速道路でETCシステム障害が起き、1都7県・17路線106か所の料金所でETCレーンが使えなくなりました。復旧まで38時間かかり、2km以上の渋滞が10か所以上で発生しています。首都高速は管轄外です。 JNSAによると、直接の原因はシステム改修でデータ破損を起こし、一部の正常なETCカードを「通行不可」と誤って判定したことでした。広域障害を想定した統一マニュアルがなく、料金所ごとの判断で「バーを下ろしたまま一台ずつ後日精算」と案内したことが、通過の大幅な遅れを招いています。NEXCO中日本は[広域的なETCシステム障害発生時の危機管理検討委員会](https://www.c-nexco.co.jp/corporate/pressroom/2025%5Fcrisis-management%5Fetc/)を自ら設置し、再発防止策と危機対応マニュアルを公表しました。基本方針には「広域的なETCシステム障害時にも、交通の流れを止めないよう、現場で即時に必要な対応を行う」と書かれています。 ## 第9位（8月28日）FeliCaの脆弱性報道で広がった不安と脆弱性情報の伝え方 2025年8月28日、共同通信のFeliCaの脆弱性に関する報道をきっかけに、利用者の不安が広がりました。開発元のソニーやFeliCaカードを発行する主要企業はすぐにリスクと安全性についてコメントを出し、経済産業省は公表前の脆弱性関連情報を関係者内で正確に共有することの重要性と、過度な不安を避ける情報発信の必要性を示しています。 JNSAは、影響範囲や実害の有無が整理されないまま続報が重なったことで、直ちに被害が出る状況ではないのに問題が過度に大きく見えたと分析しました。発見者と提供者が事前に調整し、対策を準備してから段階的に公開する協調的な脆弱性開示（CVD）のプロセスの意義を、報道する側も含めて理解すべきだという指摘です。 JNSAによると、関係者は経済産業省とIPAなどが整えた脆弱性情報の調整・公表のガイドラインに沿って動いていたにもかかわらず、公表前に報道されました。自社製品の脆弱性を報告された企業にとっては、調整窓口と公表の段取りをあらかじめ決めておくことが、混乱を小さくする現実的な備えになります。 ## 第10位（11月20日）政府機関のPQC移行方針と2035年を目処とする工程表 国家サイバー統括室は2025年11月20日、[「政府機関等における耐量子計算機暗号（PQC）への移行について（中間とりまとめ）」](https://www.cas.go.jp/jp/seisaku/pqc/pdf/report%5F202511.pdf)を公表しました。統一基準が適用される政府機関等の情報システムを対象に、原則として2035年を目処に移行する方針です。特に機微な情報や保護期間が長い情報を扱う場合は、暗号化データを保存しておき将来解読する「HNDL（ハーベスト）攻撃」を踏まえ、より早期の移行も検討するとしています。具体的な工程表（ロードマップ）は、この中間とりまとめを踏まえて今後策定されます。2026年3月30日の連絡会議幹事会の[今後のスケジュール（案）](https://www.cas.go.jp/jp/seisaku/pqc/kanjikai/dai5/siryou1.pdf)では、2026年度中に幹事会で工程表案を議論し、2027年3月の第3回連絡会議で工程表案を扱う予定とされています。2026年10月25日時点で、連絡会議の[開催状況ページ](https://www.cas.go.jp/jp/seisaku/pqc/index.html)には3月30日の幹事会より後の開催がなく、工程表も公表されていません。 アルゴリズムの標準化は先に進んでいます。米国のNISTは2024年8月、[FIPS 203（ML-KEM）・FIPS 204（ML-DSA）・FIPS 205（SLH-DSA）を承認](https://csrc.nist.gov/news/2024/postquantum-cryptography-fips-approved)しました。2022年に選ばれたCRYSTALS-Kyberなどの候補が、この時点で正式な標準になっています。実装面の考え方は[ハイブリッド暗号方式とPQC移行](/column/details/3572/)で解説しています。 ## 番外編（11月18日）AWSとCloudflareの障害で露呈したデジタル社会の単一障害点 JNSAは番外編として、2025年10月19日（米国太平洋夏時間、日本時間では10月20日）に始まったAWS障害と11月18日のCloudflare障害を「インターネットが壊れた日」と表現しました。AWSの障害は米国東部リージョン（us-east-1）で起きたものですが、認証やデータ管理の一部をこのリージョンに依存していたサービスが多く、世界で2,000以上の企業やサービスに影響したとしています。 クラウド基盤、CDN、認証サービスが少数の事業者に集約された結果、利用者から見えない「依存関係の連鎖」が一か所の障害を増幅させた、というのがJNSAの見立てです。自社のサービスがどのリージョンや外部基盤に依存しているかを洗い出す手順は[AWS障害の確認方法と原因・対策](/tech/details/9464/)、Cloudflare側の論点は[Cloudflareの危険性は本当か](/tech/details/3682/)で扱っています。 ## 警察庁統計で見る2025年のランサムウェア被害：226件の内訳と2026年上半期の過去最多123件 十大ニュースは話題の大きさで選ぶため、被害の全体像は別の統計で確かめる必要があります。警察庁の[「令和7年におけるサイバー空間をめぐる脅威の情勢等について」](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07%5Fcyber%5Fjousei.pdf)によると、2025年に警察へ報告されたランサムウェアの被害は226件でした。上半期116件・下半期110件で、2022年以降は半期100件前後の高い水準が続いています。報告書が下半期の主な事案として挙げた「飲料メーカー大手」と「通販大手」は、時期と件数からアサヒGHDとアスクルの事案にあたります。 ### 中小企業143件・製造業91件という被害の偏り 被害を受けた組織の内訳は、警察庁が公開している[図表データ](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07%5Fjousei%5Fdata.xlsx)で確認できます。 | 区分 | 内訳 | 件数 | | --- | -------- | ---- | | 規模別 | 中小企業 | 143件 | | 規模別 | 大企業 | 64件 | | 規模別 | 団体等 | 19件 | | 業種別 | 製造業 | 91件 | | 業種別 | 卸売・小売業 | 34件 | | 業種別 | サービス業 | 24件 | | 業種別 | 情報通信業 | 24件 | | 業種別 | 建設業 | 18件 | | 業種別 | 教育、学習支援業 | 11件 | 大きく報じられたのはアサヒやアスクルのような大企業でしたが、件数の6割強（143件）は中小企業です。「うちの規模では狙われない」という前提は、この数字の前では成り立ちません。業種では製造業が4割で最多です。業種別の件数だけでは製造業に多い原因までは判断できませんが、工場や拠点のVPN機器、リモート保守の回線は棚卸しの対象に含めるべきです。 ### 侵入経路はVPN機器が6割超、復旧に1,000万円以上が5割超 同じ報告書は、被害組織へのアンケートで侵入経路の6割以上をVPN機器が占めたとしています。標的型メールの添付ファイルによる感染は少なくなり、インターネットに露出した機器から遠隔操作で入り込む手口が主流です。攻撃者は未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備を使い、管理者権限を奪ってバックアップまで探します。第1位のアサヒ（拠点のネットワーク機器経由）とアスクル（委託先向け管理者アカウント）は、まさにこの流れでした。 費用と期間の負担も重くなっています。被害組織へのアンケートでは、復旧費用の回答で総額1,000万円以上が5割を超え、復旧期間の回答で1か月未満が5割強でした。感染に気づいた直後の隔離や証拠保全、報告の段取りは[ランサムウェアの初動対応](/column/details/18774/)にまとめています。 ### 2026年上半期は123件で、半期として統計開始以来の最多 2026年9月公表の[令和8年上半期版](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08%5Fkami%5Fcyber%5Fjousei.pdf)では、ランサムウェアの被害報告は123件でした。統計を取り始めた2020年下半期以降、半期の件数としては最多です。[同版の図表データ](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08kami%5Fjousei%5Fdata.xlsx)では、内訳は中小企業79件・大企業31件・団体等13件、業種は製造業37件、卸売・小売業15件が上位でした。侵入経路はVPN機器が約5割と、2025年通年の6割超から下がったものの、なお最大の入口です。 ## 2024年版と比べて見えるJNSA十大ニュースの変化：障害の年からランサム災害級の年へ 前年の[JNSA 2024セキュリティ十大ニュース](https://www.jnsa.org/active/news10/2024.html)（副題「選挙イヤーのサイバー空間は人類の幸福に味方できたのか」、2024年12月25日公開）と並べると、1年で論点がどう動いたかが分かります。 | 論点 | 2024年版 | 2025年版 | | --------- | --------------- | ------------------ | | 第1位 | クラウドストライクの大規模障害 | アサヒ・アスクルのランサム障害 | | ランサムウェア | 第3位 KADOKAWA | 第1位 アサヒ・アスクル | | 委託先の被害 | 第8位 イセトー | 第2位 賠償問題 | | 能動的サイバー防御 | 第2位 法整備への提言 | 第5位 関連法が成立 | | 単一障害点 | 第1位 端末850万台に影響 | 番外編 AWS・Cloudflare | 2024年版の1位は、7月19日のクラウドストライク製品の更新による障害で、影響を受けた端末は850万台とされました。攻撃ではなく一社の更新ミスが世界を止めた事例です。2025年版では、同じ「一か所が止まると全部が止まる」構図がAWSとCloudflareの番外編に引き継がれ、1位の座はランサムウェアに移りました。 流れが最もはっきりしているのは能動的サイバー防御です。2024年版の2位は11月29日の法整備への提言で、2025年版の5位が関連法の成立、そして2026年10月1日に届出・報告の義務が施行されました。委託先の被害も、2024年版8位のイセトー（印刷やデータ処理を請け負う同社へのランサム攻撃で、全国の委託元から被害の公表が相次いだ事案）から、2025年版2位の「賠償」へ進んでいます。被害の公表で終わっていた委託先の事故が、数年後にお金の問題として返ってくる段階に入りました。委託先の監督と契約の見直しは[委託先管理とは](/column/details/18778/)で解説しています。 ## JNSA十大ニュースとIPA「情報セキュリティ10大脅威」の違い 名前が似ているため混同されやすいのが、IPAの「情報セキュリティ10大脅威」です。2つは作り手も、並べている対象も違います。 | 項目 | JNSA十大ニュース | IPA 10大脅威 | | ------------ | ------------------- | ------------------ | | 作り手 | JNSAの選考委員会 | 約250名の10大脅威選考会 | | 並べる対象 | その年の出来事 | 前年に影響が大きかった脅威の種類 | | 公表時期 | 12月下旬 | 翌年1月下旬 | | 2025年を対象にした版 | 2025年版（2025年12月25日） | 2026年版（2026年1月29日） | | その版の1位 | アサヒ・アスクルのランサム障害 | ランサム攻撃による被害 | [情報セキュリティ10大脅威 2026](https://www.ipa.go.jp/security/10threats/10threats2026.html)の組織編は、1位ランサム攻撃による被害、2位サプライチェーンや委託先を狙った攻撃、3位に初選出の「AIの利用をめぐるサイバーリスク」が入りました。JNSAの1位・2位・4位と同じ方向を向いています。使い分けるなら、自社の対策の抜けを点検するときはIPAの10大脅威の解説書を、経営層に「今年何が起きたか」を説明するときはJNSAの十大ニュースを使うのが実務的です。10大脅威の順位の読み方は[情報セキュリティ10大脅威2026とは](/column/details/13186/)で整理しています。 ## 十大ニュースから企業が2026年に優先すべき対策と後回しにできる施策 10件を並べると、被害の起点は「盗まれた認証情報」と「外部とつながる機器・ソフトウェア」に集中しています。アスクルは委託先向け管理者アカウントの認証情報、アサヒはネットワーク機器経由、IIJはメールソフトの脆弱性、大阪急性期は委託先のVPN機器でした。警察庁の統計で侵入経路の6割以上がVPN機器だったことも、同じ結論を裏づけます。 最初に取り組むべきは、外部公開資産の棚卸しとパッチ適用、管理者アカウントへのフィッシング耐性のあるMFAの適用です。アスクルの教訓から、委託先や保守業者に渡したアカウントもMFAの例外にしてはいけません。どうしても例外が要るなら、接続元と利用期間を絞り、期限が来たら無効にします。方式の選び方は[多要素認証（MFA）とは](/tech/details/13314/)で扱っています。自社の公開サーバーやVPN機器に残る穴は、[脆弱性診断・セキュリティ診断](/service/system/vulnerability/)で第三者に洗い出してもらい、検出された問題を事業への影響と外部からの到達可能性で並べて着手の順番を決めます。 次に、委託契約で事故時の報告義務と賠償の範囲を見直します。第2位で紹介した前橋市、エムケイシステム、大阪急性期・総合医療センターでは、事故から和解協議や提訴まで数年を要しています。契約上の義務や責任範囲は、事故後も長く問題になり得ます。バックアップは、攻撃者が奪った管理者権限で暗号化・削除できない場所と方式に分けておきます。アスクルでは同じデータセンター内のバックアップまで暗号化されました。 後回しにできるのは、PQCへの全面移行です。政府機関の目処は2035年で、工程表もまだ出ていません。ただし、長期間秘密にする情報を扱う企業や、システム更新に長期間を要する企業は、移行準備を先送りすべきではありません。暗号の利用箇所を洗い出し、情報の保護期間と移行リスクを評価し、ベンダーの対応予定を確認するところまでは2026年中に済ませておくと、工程表が出たときに慌てずに済みます。 ## よくある質問 JNSA十大ニュースの1位・公開時期・選定主体と、2025年の被害件数、IPA10大脅威との違い、PQC移行の期限を一問一答で整理します。 ### JNSA 2025セキュリティ十大ニュースの第1位は何ですか？ 第1位は「相次ぐ企業へのサイバー攻撃、いまや“災害級”と指摘される脅威」で、アサヒGHDやアスクルのランサム障害を代表例に挙げています。被害企業の業務停止が取引先や市民に広く影響したことが選定理由です。JNSAは2025年12月25日に公開しました。 ### JNSAの十大ニュースはいつ公開され、誰が選んでいますか？ 2025年版は2025年12月25日に公開されました。2023年版は12月26日、2024年版は12月25日の公開で、2026年版も例年どおりなら12月下旬に出ます。JNSAのセキュリティ十大ニュース選考委員会が選定と解説を担い、2025年版の委員長は大木榮二郎氏です。大木氏は25年の節目で委員長を退き、後任は松本泰氏と発表されています。解説はJNSAの公式見解を必ずしも示すものではないと注記されています。 ### 2025年のランサムウェア被害は何件で、どんな企業が被害に遭いましたか？ 警察庁によると、2025年に報告されたランサムウェアの被害は226件です。規模別では中小企業が143件で6割強、業種別では製造業が91件で4割を占めました。大きく報じられた事案には、9月のアサヒGHD、10月のアスクルがあります。2026年上半期は123件で、半期として統計開始以来の最多でした。 ### JNSAの十大ニュースとIPAの10大脅威は何が違いますか？ JNSAの十大ニュースはその年に起きた出来事を12月下旬に並べ、IPAの10大脅威は前年の事案を基に脅威を選定し、翌年1月下旬に公表します。2026年版では組織向けには順位を付け、個人向けは五十音順で掲載しています。2025年を対象にしたものでは、JNSAの1位がアサヒ・アスクルのランサム障害、IPAの10大脅威2026（組織編）の1位がランサム攻撃による被害でした。 ### 政府はいつまでに耐量子計算機暗号（PQC）へ移行するのですか？ 国家サイバー統括室の中間とりまとめ（2025年11月20日）は、統一基準が適用される政府機関等の情報システムについて、原則として2035年を目処に移行する方針を示しました。機微な情報を扱う場合はより早期の移行も検討します。具体的な工程表は、2027年3月の連絡会議で案を扱う予定です。 ## 関連記事 - [アサヒ サイバー攻撃の時系列まとめ｜経緯・原因・被害額・復旧とQilinメンバー拘束（2026年10月時点）](/column/details/10035/) - [アスクルのランサムウェア攻撃｜感染理由と侵入経路、流出74万件・漏えいのおそれ60万件と行政指導【2026年10月】](/tech/details/10261/) - [情報セキュリティ10大脅威2026とは？組織編の順位変動とIPAの読み方・企業の対策優先度を解説](/column/details/13186/) - [サイバー対処能力強化法とは？2026年10月施行の届出・報告義務と委託先への影響](/column/details/17972/) - [2024年における上場企業の個人情報漏えい事故の全体傾向｜TSR調査189件・151社と2025年の180件・158社](/column/details/7264/) --- 出典: [JNSA 2025セキュリティ十大ニュース解説｜1位〜10位の事実と2025年のランサム被害226件、2026年10月までの続報]()（株式会社一創）