サイバーセキュリティでは、長年にわたり「攻撃者の侵入を完全に防ぐことはできないため、侵入されることを前提に備える」という考え方が重視されてきました。

侵入後の不審な動作を検知するEDR、端末の隔離、バックアップ、ディザスタリカバリなどは、現在も欠かせない対策です。

しかし、最近国内で相次いでいる不正アクセスでは、システム停止だけでなく、顧客情報や認証情報が外部へ持ち出される事例が目立っています。

暗号化されたデータはバックアップから復元できても、一度外部へ流出した情報をバックアップで取り戻すことはできません。

これからの企業には「侵入される前提の備え」に加えて、侵入される確率そのものを下げる、侵入させないための予防対策が求められます。

国内で相次ぐ情報流出に公的機関も注意喚起

JPCERT/CCは2026年10月8日、国内組織で不正アクセスによる個人情報などの漏えい被害が相次いでいるとして注意喚起を公表し、10月23日に内容を更新しました。

被害は一般利用者向けのWebサービスだけではありません。従業員向けの管理システムや、データを分析するBIツールなど、本来は不特定多数からの利用を想定していないシステムがインターネット上に公開され、攻撃対象となるケースも確認されています。

さらに10月23日の更新では、AIを利用したペネトレーションテスト基盤を悪用したとみられる攻撃試行も追加されました。攻撃者はAIや自動化技術を利用して、短時間に多数のシステムを調べ、侵入口を探せるようになっています。
JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」

IPAも10月9日、外部公開しているアプリケーションやサービス、利用中のクラウドサービス、アカウント、ログ、保有データを速やかに点検するよう求めています。

現時点では、すべての事案が同一製品の脆弱性によるものとは断定されていません。しかし、公表事例の傾向から、外部公開アプリケーションやサービス、アカウントの侵害が起点になっていることがうかがえるとしています。
IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」

「侵入される前提」の対策だけでは遅い理由

侵入後の検知や復旧は重要ですが、それだけでは防げない被害があります。

攻撃者が顧客情報を持ち出した場合、システムを正常な状態へ戻しても、流出した情報を回収することはできません。

流出した情報は、次のような二次被害に使われる可能性があります。

– 顧客や取引先を狙ったフィッシングメール
– ID・パスワードを利用した不正ログイン
– 取引情報や個人情報の不正売買
– 「情報を公開する」と脅す二重恐喝
– 顧客や取引先からの損害賠償請求
– 企業の信用低下や契約解除

したがって、これからのセキュリティ対策では「侵入されても復旧できる」だけでなく、侵入経路を減らし、重要な情報へ到達させない設計が必要です。
まず確認したい「インターネットに公開されているもの」
攻撃者は、有名企業だけを狙って手作業で攻撃しているとは限りません。

インターネット上を自動的に調査し、脆弱性のあるWebサイト、管理画面、API、VPN機器、古いサーバーなどを探しています。
そのため、企業規模が小さくても、公開システムに弱点があれば攻撃対象になります。

中小企業でも、次の項目を確認してください。

– 使用していない管理画面が公開されていないか
– 社内専用システムへ社外から接続できる状態になっていないか
– テスト用サイトや古いサーバーが残っていないか
– 退職者や委託先のアカウントが有効なままになっていないか
– OS、PHP、CMS、プラグインなどが古いままになっていないか
– APIの一覧、利用目的、接続先を把握しているか
– 管理者アカウントに多要素認証を設定しているか
– 異常なログインや大量アクセスを確認できるログが残っているか

業務上必要のないサービスは公開を停止し、必要な場合も接続元IPアドレス、地域、利用者、権限を制限します。

「侵入前・侵入中・侵入後」の三段階で守る

完全に侵入を防げる製品はありません。そのため、「侵入させない」と「侵入された場合に備える」を対立させず、三段階で対策することが重要です。

WebサイトやAPIの入口はWAFで守る

WebサイトやAPIには、通常の利用者からの通信に紛れて、不正な命令や大量アクセスが送られてきます。

WAFは、WebサイトやAPIの手前で通信内容を確認し、不正と判断したリクエストを遮断する仕組みです。

例えば、Akamai App & API Protectorでは、WAF、API保護、ボット対策、DDoS対策などを組み合わせ、攻撃がWebサーバーへ到達する前に検知・緩和できます。
Akamai App & API Protector公式情報

ただし、WAFを導入すればWebシステムの問題がすべて解決するわけではありません。

プログラム上の弱点、認証や権限設計の不備、APIの仕様上の問題を発見するには、Webアプリケーション診断が必要です。WAFと脆弱性診断は、どちらか一方を選ぶものではなく、組み合わせて利用する対策です。

Acronisでサーバー・端末への侵入を防ぎ、被害拡大に備える

Acronis Cyber Platform（旧Acronis Cyber Protect Cloud）は、Webサイトの入口を守るWAFではありません。

主に、Webサーバー、業務サーバー、パソコンなどの内部で、脆弱性、未適用パッチ、マルウェア、不審な動作、データ消失に備えるためのプラットフォームです。

利用するプランや追加機能に応じて、次の対策ができます。
– サーバー・端末の脆弱性評価
– OSや対応アプリケーションのパッチ管理
– ソフトウェア・ハードウェアの構成管理
– マルウェア・ランサムウェア対策
– EDRによる不審な動作の検知・調査・対応
– 感染端末の隔離
– システム全体・ファイル単位のバックアップ
– マルウェアを確認しながら行う安全な復旧
– 保護状況の監視とレポート
– 障害発生時のディザスタリカバリ
特に、パッチ適用前にバックアップを取得する「フェールセーフパッチ」は、更新による不具合を心配してパッチが先送りされる問題の軽減に役立ちます。

また、EDRとバックアップを連携させることで、攻撃の検知だけでなく、影響範囲の確認、端末の隔離、安全な状態への復旧までを一つの流れとして管理できます。
ウイルネットのAcronis Cyber Platform（旧Acronis Cyber Protect Cloud）

バックアップは必要だが、バックアップだけでは情報流出を防げない

ランサムウェアによってファイルが暗号化された場合、正常なバックアップがあれば復旧できる可能性があります。

しかし、攻撃者がデータを外部へ持ち出した場合、バックアップから復元しても情報流出という事実は消えません。

バックアップは主に、データの消失や業務停止に備える対策です。情報の機密性を守るには、別途、次の対策が必要です。
– 外部公開範囲の制限
– 多要素認証
– 最小権限の設定
– WAFとAPI保護
– Webアプリケーション診断
– データの暗号化
– ログ監視
– 不要な個人情報を保存しない運用
保存する情報を必要最小限にすることも、重要なセキュリティ対策です。持っていない情報は流出しません。

「完全防御」ではなく、侵入の可能性と被害を小さくする

「侵入させない」といっても、100％の防御を約束できる製品やサービスはありません。

重要なのは、次の考え方です。
侵入される可能性をできる限り下げる。侵入された場合は早く発見する。それでも被害が発生した場合は、影響を限定して安全に復旧する。

WebサイトやAPIの入口、サーバーや端末、データとバックアップでは、それぞれ必要な対策が異なります。

ウイルネットでは、Acronisを活用した脆弱性対策、パッチ管理、EDR、バックアップ、復旧に加え、Webシステムの公開範囲やWAF、脆弱性診断についてもご相談を承っています。

「インターネットに何が公開されているか分からない」
「バックアップだけで十分なのか確認したい」
「Webサイトとサーバーをまとめて見直したい」
「社内に専門のセキュリティ担当者がいない」

このようなお悩みがございましたら、お気軽にお問い合わせください。

ウイルネットへのお問い合わせはこちら

執筆・監修：株式会社ウイル 執行役員 岸本　静樹
編集協力：生成AI