サイバー攻撃の種類を徹底解説｜手口・目的・対策まで実例で学ぶ
インターネットが社会インフラとして欠かせない存在となった現代において、サイバー攻撃は企業規模や業種を問わず、あらゆる組織が直面する深刻な脅威となっています。
2024年には国内法人組織から公表されたセキュリティインシデントが587件に達し、前年の383件から大幅に増加しました。さらに驚くべきことに、1日あたり約330万回ものサイバー攻撃が検知されており、攻撃総数は前年比で154%増加という過去最高の数値を記録しています。
実際の被害も深刻です。2024年6月には大手出版社KADOKAWAがランサムウェア攻撃により36億円の特別損失を計上する事態となり、25万人以上の個人情報が漏洩しました。同年5月にはJR東日本がDDoS攻撃を受け、モバイルSuicaやえきねっとが一時的に利用できなくなるなど、社会インフラへの影響も拡大しています。
ただ闇雲に恐れるのではなく、攻撃の種類と特徴を正確に理解することが、効果的な防御の第一歩となります。本記事では、サイバー攻撃を攻撃手法ごとに体系的に分類し、それぞれの仕組み、狙い、そして具体的な対策までを詳しく解説していきます。
サイバー攻撃の現状｜増加し続ける脅威
まずは、現在のサイバー攻撃がどのような状況にあるのか、最新のデータとともに確認していきましょう。
攻撃件数は過去最高水準で推移
警察庁が2025年3月に発表したレポートによれば、2024年におけるランサムウェア被害件数は222件と、2023年に続き高水準で推移しています。注目すべきは、大企業の被害件数が減少した一方で、中小企業の被害件数が37%増加した点です。
この背景には、RaaS（ランサムウェア・アズ・ア・サービス）と呼ばれるクラウドサービスの普及があります。技術的な知識が少なくてもランサムウェアを手に入れて攻撃できるようになったため、攻撃の裾野が広がり、対策が比較的手薄な中小企業で被害が特に増加しているのです。
攻撃の影響は長期化・高額化の傾向
被害額も深刻化しています。2024年のランサムウェア被害を2023年と比較すると、調査・復旧に1ヶ月以上かかった企業は44%から49%へ、1,000万円以上の復旧費用がかかった企業は37%から50%に増加しました。実際、トレンドマイクロとCIOラウンジが実施した調査では、ランサムウェア被害経験企業における過去3年間の累計被害額は平均2億2千万円にも上ることが明らかになっています。
攻撃経路の8割以上がVPN・リモートデスクトップ経由
警察庁の調査によれば、ランサムウェアの感染経路は「VPN機器経由」と「リモートデスクトップ経由」が2024年時点で全体の83%を占めています。リモートワークの普及に伴い、これらの接続手段が攻撃者にとって格好の侵入口となっているのです。
一方で、NICT（情報通信研究機構）のNICTERプロジェクトが観測したサイバー攻撃関連通信は、2024年に合計6,862億パケットに上り、1 IPアドレス当たり約242万パケットが1年間に届いた計算になります。これは2023年と比べて11%増加しており、インターネット上のあらゆる機器が常に攻撃の標的となっている実態が浮き彫りとなっています。
では、これほどまでに多様化・巧妙化しているサイバー攻撃には、どのような種類があるのでしょうか。次の章から、攻撃手法ごとに詳しく見ていきましょう。
サイバー攻撃の4つの大分類
サイバー攻撃は、その目的や手法によっていくつかのカテゴリーに分類できます。ここでは、攻撃の特性に基づいて4つの大分類を設定し、それぞれに含まれる具体的な攻撃手法を解説していきます。
【分類1】特定のターゲットを狙った攻撃
この分類に含まれる攻撃は、特定の企業や組織、個人を標的として綿密に計画された攻撃です。攻撃者は事前に標的について詳細な調査を行い、その組織特有の脆弱性を突いてきます。
【分類2】不特定多数を狙った攻撃
こちらは特定のターゲットを絞らず、不特定多数のユーザーや組織に対して広く仕掛けられる攻撃です。攻撃者は「数撃てば当たる」戦略で、脆弱性を持つシステムや警戒心の薄いユーザーを探します。
【分類3】ネットワークやWebアプリケーションの脆弱性を狙った攻撃
システムやアプリケーションの設計上の欠陥や設定ミスといった技術的な脆弱性を悪用する攻撃です。開発段階でのセキュリティ配慮不足や、アップデート不足が攻撃の成功を許してしまいます。
【分類4】サーバーなどに負荷をかける攻撃
サービスを停止させることを主な目的とした攻撃です。大量のアクセスやデータをシステムに送りつけ、正常な処理を妨害します。
それでは、これら4つの分類に含まれる具体的な攻撃手法を、一つひとつ詳しく見ていきましょう。
【分類1】特定のターゲットを狙った攻撃の種類
ランサムウェア
ランサムウェアは、現在最も深刻な脅威の一つです。被害者のデータを暗号化して使用不能にし、復号と引き換えに身代金（Ransom）を要求するマルウェアを指します。
2024年の特徴的な手口として、「二重脅迫型」が主流となっています。これは、データを暗号化するだけでなく、事前に機密情報を窃取しておき、「身代金を払わなければデータを公開する」と脅迫する手法です。KADOKAWAの事例では、攻撃グループ「BlackSuit」がこの手口を用い、実際にリークサイトで一部データを公開しました。
最近の動向として注目されるのが、「ノーウェアランサム」と呼ばれる新たな手法です。これは、データを暗号化せずに窃取のみを行い、公開を脅迫材料とするものです。2025年には、Amazon S3上のファイルが直接削除されるという事例も報告されており、従来のランサムウェアの概念を超えた攻撃が登場しています。
RaaSの仕組みについても理解が必要です。ランサムウェアを開発・運営する者（Operator）が、攻撃を実行する者（Affiliate）にWebサービスとしてランサムウェアを提供し、身代金の一部を受け取る分業体制が確立されています。さらに、標的企業のネットワークに侵入するための認証情報を売買する者（IAB：Initial Access Broker）など、複数の関与者が役割を分担しながらサイバー攻撃を成立させているのです。
標的型攻撃（APT攻撃を含む）
標的型攻撃は、特定の組織や個人を狙って行われる高度なサイバー攻撃です。攻撃者は標的について事前に詳細な調査を行い、その組織特有の業務フローや使用しているシステム、人間関係などを把握した上で攻撃を仕掛けます。
APT（Advanced Persistent Threat：持続的標的型攻撃）は標的型攻撃の中でも特に高度なもので、国家の支援を受けたグループなどが関与することが多いとされています。一度侵入に成功すると、長期間にわたって組織内に潜伏し、継続的に情報を窃取します。
攻撃の典型的な流れは次の通りです。まず、標的組織の従業員に対して、業務に関連する内容を装った巧妙なメールを送信します。メールには、受信者の興味を引く件名や、実在する取引先を装った差出人名が使われます。メールに添付されたファイルや記載されたリンクを開くことで、マルウェアに感染し、攻撃者が組織内部へのアクセス権を獲得するのです。
2024年には、日本の製造業を狙った標的型攻撃が複数報告されています。PwCのレポートによれば、日本の知的財産（IP）の窃取を目的としたサイバー攻撃が繰り返し発生しており、その手口は高度化・巧妙化が進んでいます。
サプライチェーン攻撃
サプライチェーン攻撃は、標的とする組織に直接攻撃するのではなく、その取引先や委託先など、セキュリティ対策が比較的手薄な関連企業を経由して本命の標的に到達する攻撃手法です。
この攻撃が効果的な理由は、大企業が堅牢なセキュリティ対策を講じていても、取引先の中小企業まで同じレベルの対策を求めることが難しいためです。攻撃者は、最も脆弱な接点を見つけ出し、そこから侵入を試みます。
2024年7月には、大手保険会社が税務・会計業務を委託していた税理士法人事務所がランサムウェア攻撃を受け、保険契約者や取引先、従業員など約6万3,200件の個人情報が流出した可能性がある事例が発生しました。この事例は、委託業務を通じてサイバー攻撃の被害が広がる危険性を改めて示しています。
サプライチェーン攻撃への対策として、企業は自社だけでなく、委託先や取引先のセキュリティ対策状況を定期的に確認し、全体で防御力を高める取り組みが必要です。経済産業省でも2025年4月にサプライチェーン・セキュリティ対策評価制度（格付け制度）の中間取りまとめを公表しており、サプライチェーン全体のセキュリティ強化が政策課題となっています。
ビジネスメール詐欺（BEC）
ビジネスメール詐欺（BEC：Business Email Compromise）は、経営幹部や取引先になりすまして送られるメールにより、金銭や機密情報を詐取する攻撃です。
典型的な手口として、CEOや経理責任者を装ったメールで「至急、指定口座に送金せよ」と指示したり、取引先を装って「振込先口座が変更になった」と偽の情報を送ったりするものがあります。この攻撃の巧妙な点は、技術的な侵入を伴わず、人間の心理や組織の業務フローの隙を突く点にあります。
攻撃者は事前に標的組織の業務メールを傍受したり、公開情報から組織構造を把握したりして、極めて自然で説得力のあるメールを作成します。メールの文面も、過去の実際のやり取りを参考にして作られるため、受信者が偽物だと気づくのは容易ではありません。
FBIの統計によれば、BECによる世界的な被害額は年間数十億ドルに達するとされています。日本国内でも、2024年には複数の企業がBECにより数千万円から数億円の被害を受けたことが報告されています。
Emotet（エモテット）
Emotetは、メールの添付ファイルやリンクから感染するマルウェアで、感染したコンピュータから連絡先情報やメール内容を窃取し、それを利用してさらなる攻撃メールを送信する特徴があります。
Emotetの最も厄介な点は、「正規のメールへの返信」を装って送られてくることです。過去に実際にやり取りがあった相手からの返信のように見えるため、受信者は疑いを持ちにくく、添付ファイルを開いてしまう確率が高くなります。
2020年から2021年にかけて日本国内で大規模に流行したEmotetは、一時期活動を停止していましたが、2022年以降も散発的に活動が確認されています。感染すると、他のマルウェアをダウンロードする「踏み台」として利用されることが多く、最終的にランサムウェアに感染させられるケースも報告されています。
水飲み場攻撃
水飲み場攻撃（Watering Hole Attack）は、標的となる組織の従業員がよく訪れるWebサイトを事前に改ざんし、そこに罠を仕掛ける攻撃手法です。
名前の由来は、肉食動物が獲物の水飲み場で待ち伏せする様子に例えられています。攻撃者は、標的組織の従業員が業務上よく訪れる業界ニュースサイトや専門フォーラムなどを特定し、そのサイトに脆弱性がある場合は改ざんしてマルウェアを仕込みます。
この攻撃の特徴は、標的に直接アプローチするのではなく、信頼できると思われているサイトを経由することで、警戒心を下げる点にあります。企業のセキュリティ対策がいくら堅牢でも、従業員が日常的に訪れる外部サイトが侵害されていれば、そこが侵入口となってしまうのです。
キーロガー攻撃（キーボードロギング）
キーロガーは、キーボードの入力内容を記録して攻撃者に送信するマルウェアです。これにより、パスワードやクレジットカード番号などの機密情報が盗まれます。
キーロガーには、ソフトウェア型とハードウェア型があります。ソフトウェア型は、メールの添付ファイルや不正なWebサイトからダウンロードされるマルウェアとしてインストールされます。一方、ハードウェア型は、キーボードとコンピュータの間に物理的なデバイスを接続する形で設置され、より発見が困難です。
業務用PCがキーロガーに感染した場合、社内システムへのログイン情報、顧客情報へのアクセス権限、経営情報など、あらゆる機密情報が漏洩するリスクがあります。
MITB攻撃（Man-in-the-Browser Attack）
MITB攻撃は、Webブラウザとサーバー間の通信を傍受・改ざんする攻撃です。Man-in-the-Middle攻撃のブラウザ版といえます。
ユーザーがオンラインバンキングで送金処理を行う際、画面上は正しい振込先が表示されていても、実際にサーバーに送信されるデータは攻撃者によって改ざんされており、攻撃者の口座に送金されてしまう、というシナリオが典型的です。
ユーザーのブラウザに不正なプログラムを仕込むことで実現されるため、SSL/TLS暗号化通信を使っていても防げないという特徴があります。ブラウザ内で動作するため、通常のセキュリティソフトでは検知が難しいケースもあります。
ドライブバイダウンロード攻撃
ドライブバイダウンロードは、ユーザーが悪意のあるWebサイトを訪問しただけで、自動的にマルウェアがダウンロード・実行される攻撃です。
「ダウンロード」という名前がついていますが、ユーザーが能動的にファイルをダウンロードする必要はありません。Webサイトを閲覧しただけで、脆弱性を突いて自動的にマルウェアがインストールされるのです。
攻撃者は、正規のWebサイトを改ざんするか、広告ネットワークを悪用して悪意のある広告を配信することで、この攻撃を実行します。ユーザーが安全だと思っているニュースサイトや企業の公式サイトであっても、改ざんされていれば被害に遭う可能性があります。
スプーフィング攻撃
スプーフィング（Spoofing）は、「なりすまし」を意味し、正規の送信元を装って通信を行う攻撃の総称です。メールアドレス、IPアドレス、Webサイトなど、様々ななりすまし手法が存在します。
メールスプーフィングでは、送信者のメールアドレスを詐称して、あたかも信頼できる相手からのメールであるかのように見せかけます。DNSスプーフィングでは、DNSの応答を改ざんして、ユーザーを偽のWebサイトに誘導します。
この攻撃の危険性は、技術的に正規の通信と区別がつきにくい点にあります。メールヘッダーを詳しく確認すれば偽装が判明することもありますが、一般ユーザーがそこまでチェックすることは稀でしょう。
【分類2】不特定多数を狙った攻撃の種類
フィッシング
フィッシング（Phishing）は、実在する企業や組織を装ったメールやWebサイトで、ユーザーから個人情報やログイン情報を騙し取る攻撃です。
典型的な手口は、銀行やクレジットカード会社、ECサイトを装ったメールで「アカウントに不正アクセスがあった」「確認が必要」などと称して、偽のログインページに誘導するものです。ユーザーがそこでIDとパスワードを入力すると、攻撃者に情報が送信されてしまいます。
最近では、生成AIを活用した高度なフィッシングメールが増加しています。従来は不自然な日本語や誤字脱字で見破れることが多かったフィッシングメールも、AIによって自然な文章が生成されるようになり、見分けが困難になっています。
2024年には、宅配業者を装ったSMS（ショートメッセージ）によるフィッシング、いわゆる「スミッシング」も急増しました。「不在通知」を装って偽のWebサイトに誘導し、個人情報を入力させたり、不正なアプリをインストールさせたりする手口です。
ビッシング攻撃（Voice Phishing）
ビッシングは、電話を使ったフィッシング攻撃です。Voice（音声）とPhishingを組み合わせた造語で、音声通話を通じて個人情報や金銭を詐取します。
攻撃者は、銀行員やクレジットカード会社の担当者、警察官などを装って電話をかけてきます。「あなたのカードが不正利用されている」「口座が凍結される」などと告げて不安を煽り、暗証番号やワンタイムパスワードを聞き出そうとします。
最近では、ディープフェイク音声技術を使って、実在する人物の声を模倣する手口も登場しています。経営者の声を偽装して従業員に送金指示を出す、いわゆる「CEOフラウド」の音声版も報告されています。
ゼロクリック攻撃
ゼロクリック攻撃は、ユーザーが何もクリックしなくても、メッセージを受信しただけでマルウェアに感染させる高度な攻撃です。
iMessageやWhatsAppなどのメッセージングアプリの脆弱性を悪用し、メッセージを開いただけで、あるいは通知を表示しただけでマルウェアが実行される仕組みです。ユーザー側で防ぐことが極めて困難なため、脅威度の高い攻撃といえます。
2021年には、このゼロクリック攻撃を利用したスパイウェア「Pegasus」が国際的な問題となりました。ジャーナリストや人権活動家のスマートフォンが監視されていたことが明らかになり、大きな波紋を呼びました。
ジュースジャッキング攻撃
ジュースジャッキングは、公共の充電スポットを悪用した攻撃です。空港やカフェなどに設置されたUSB充電ポートに悪意のあるプログラムが仕込まれており、スマートフォンを接続するとデータが盗まれたり、マルウェアがインストールされたりします。
USB接続は充電だけでなくデータ通信も可能なため、この脆弱性が悪用されるのです。FBIやセキュリティ専門家は、公共のUSB充電ポートの使用を避け、自分専用の充電器とACアダプタを使用するよう推奨しています。
タイポスクワッティング（ドメイン名ハイジャック攻撃）
タイポスクワッティングは、有名なWebサイトのドメイン名に似せた紛らわしいドメイン名を取得し、タイプミスしたユーザーを偽サイトに誘導する攻撃です。
例えば、「google.com」を「gooogle.com」（oが1つ多い）や「gogle.com」（oが1つ少ない）といった類似ドメインで登録し、誤って訪問したユーザーにフィッシングサイトを表示したり、マルウェアをダウンロードさせたりします。
企業ブランドを守るため、多くの大企業は自社の商標に関連する類似ドメインを事前に取得していますが、すべてのパターンを網羅するのは現実的に不可能です。
中間者攻撃（MITM攻撃）
中間者攻撃（Man-in-the-Middle Attack）は、通信の送信者と受信者の間に攻撃者が割り込み、通信内容を盗聴・改ざんする攻撃です。
公共Wi-Fiを悪用した攻撃が典型的です。攻撃者が偽のアクセスポイントを設置し、それに接続したユーザーの通信を傍受します。暗号化されていない通信であれば、ログイン情報やクレジットカード番号などがそのまま盗まれてしまいます。
近年は、SSL/TLS証明書を偽装する高度なMITM攻撃も登場しています。ユーザーには正規のHTTPS接続のように見えても、実際には攻撃者が通信を仲介している状態です。
【分類3】ネットワークやWebアプリケーションの脆弱性を狙った攻撃の種類
SQLインジェクション
SQLインジェクションは、Webアプリケーションのデータベースに対する不正な操作を可能にする攻撃です。入力フォームなどに悪意のあるSQL文を入力することで、本来アクセスできないはずのデータを取得したり、改ざんしたりします。
具体的には、ログインフォームのユーザー名欄に通常のユーザー名ではなく、特殊なSQL文を入力することで、認証をバイパスしてログインできてしまう、といった攻撃が可能になります。
2024年には、サイバーセキュリティクラウド社のレポートによれば、SQLインジェクションを狙った攻撃数が約1億4千万件増加したことが報告されています。ECサイトや会員制サイトなど、データベースを利用するあらゆるWebアプリケーションが標的となり得ます。
開発段階での適切な入力値検証やプリペアドステートメントの使用など、基本的な対策を怠ると、深刻な情報漏洩につながります。実際、2024年上半期には大手住宅メーカーがSQLインジェクション攻撃を受け、数十万件の顧客情報が漏洩した事例が発生しています。
OSコマンド・インジェクション
OSコマンド・インジェクションは、Webアプリケーションを通じてサーバーのOS（オペレーティングシステム）コマンドを不正に実行させる攻撃です。
Webアプリケーションが外部コマンドを実行する機能を持っている場合、入力値のチェックが不十分だと、攻撃者が任意のOSコマンドを実行できてしまいます。これにより、サーバー内のファイルを閲覧・改ざん・削除したり、他のシステムへの攻撃の踏み台にしたりすることが可能になります。
SQLインジェクションと似ていますが、こちらはデータベースではなくOS自体を操作する点で、より広範囲な被害につながる可能性があります。
クロスサイトスクリプティング（XSS）
クロスサイトスクリプティング（XSS：Cross-Site Scripting）は、Webサイトに悪意のあるスクリプトを埋め込み、他のユーザーのブラウザ上で実行させる攻撃です。
掲示板やコメント欄など、ユーザーが入力した内容を表示する機能がある場合、適切な処理がされていないと、JavaScriptなどのスクリプトコードがそのまま実行されてしまいます。これにより、他のユーザーのCookie情報を盗んだり、偽のログインフォームを表示してパスワードを窃取したりすることが可能になります。
XSSには、保存型（Stored XSS）と反射型（Reflected XSS）、DOMベース型（DOM-based XSS）など、いくつかのタイプがあります。保存型は攻撃コードがサーバーに保存されるため、そのページを閲覧したすべてのユーザーが被害に遭う可能性があり、特に危険です。
クロスサイトリクエストフォージェリ（CSRF）
クロスサイトリクエストフォージェリ（CSRF：Cross-Site Request Forgery）は、ユーザーが意図しない操作をWebアプリケーションに実行させる攻撃です。
ユーザーがあるWebサイトにログインしている状態で、攻撃者が用意した罠サイトを訪問すると、ユーザーの意図しないリクエストが元のサイトに送信されます。これにより、パスワード変更、商品購入、送金処理などが勝手に実行されてしまう可能性があります。
対策としては、CSRFトークンと呼ばれるランダムな値を生成し、正規のフォームからのリクエストかどうかを検証する仕組みが一般的です。
ゼロデイ攻撃
ゼロデイ攻撃は、ソフトウェアの脆弱性が発見されてから、開発者がパッチ（修正プログラム）を提供するまでの間に行われる攻撃です。「ゼロデイ」とは、脆弱性が公表されてから対策までの猶予日数がゼロ、つまり対策前に攻撃されることを意味します。
この攻撃の厄介な点は、防御側が対策を講じる前に攻撃が始まるため、従来のセキュリティソフトでは検知・防御が困難なことです。高度な攻撃者グループは、未公表の脆弱性情報を独自に発見するか、闇市場で購入して攻撃に利用します。
PwCのレポートによれば、2024年に公表された脆弱性の件数は前年より31%増加し、実際の悪用件数は20%増加しました。この数字の増加は、攻撃者が利用可能な攻撃対象領域が全体的に拡大していることを示しています。
セッションハイジャック・セッションID固定化攻撃
セッションハイジャックは、正規ユーザーのセッションIDを盗み取り、そのユーザーになりすましてWebサイトにアクセスする攻撃です。セッションIDとは、Webサイトがログイン状態を維持するために使用する識別子です。
セッションID固定化攻撃は、事前に攻撃者が用意したセッションIDをユーザーに使わせることで、そのセッションを乗っ取る手法です。ユーザーがログインすると、攻撃者が知っているセッションIDでログイン状態が確立されるため、攻撃者も同じセッションIDを使ってアクセスできてしまいます。
オンラインバンキングやECサイトなど、ログインが必要なサービスで被害が発生すると、不正送金や不正購入などの金銭的被害につながります。
フォームジャッキング攻撃（Webスキミング）
フォームジャッキングは、ECサイトなどの決済フォームに悪意のあるJavaScriptを埋め込み、ユーザーが入力したクレジットカード情報を盗む攻撃です。別名、Webスキミングとも呼ばれます。
トレンドマイクロの調査によれば、2024年の国内のECサイト改ざん・情報漏洩被害の平均被害期間は約2年9ヶ月に及んでいます。大半の情報漏洩はクレジットカード会社や警察など外部からの連絡によって発覚しており、自社で気づいた割合はわずか3.3%に留まっているという衝撃的なデータもあります。
攻撃者は、ECサイト運営者のシステムに侵入し、決済フォームのコードを改ざんします。あるいは、ECサイトが利用している第三者のJavaScriptライブラリを改ざんすることで、多数のECサイトに影響を与えることもあります。
バッファオーバーフロー攻撃
バッファオーバーフローは、プログラムが想定している以上のデータを送り込むことで、メモリ領域を溢れさせ、不正な動作を引き起こす攻撃です。
プログラムは、データを一時的に保存するためにメモリ上に「バッファ」と呼ばれる領域を確保します。このバッファのサイズチェックが適切に行われていない場合、想定を超えるデータが書き込まれると、隣接するメモリ領域まで上書きされてしまいます。
これを悪用すると、プログラムの実行フローを変更して任意のコードを実行させたり、システムをクラッシュさせたりすることが可能になります。古典的な攻撃手法ですが、適切にコーディングされていないソフトウェアでは現在でも脆弱性が発見されることがあります。
ディレクトリ・トラバーサル攻撃
ディレクトリ・トラバーサルは、Webアプリケーションのファイル指定の脆弱性を悪用して、本来アクセスできないはずのディレクトリやファイルにアクセスする攻撃です。
例えば、画像ファイルを表示する機能で、ファイル名をパラメータで指定できる場合、「../」という記号を使って上位のディレクトリを指定することで、システムファイルや設定ファイルなど、機密情報を含むファイルにアクセスできてしまうことがあります。
これにより、パスワードファイル、設定ファイル、ソースコードなどが窃取され、さらなる攻撃の足がかりとされる危険性があります。
DNSキャッシュポイズニング（DNSスプーフィング）
DNSキャッシュポイズニングは、DNSサーバーが保持している情報を改ざんし、ユーザーを偽のWebサイトに誘導する攻撃です。
DNSは、ドメイン名（例：www.example.com）とIPアドレスを対応付けるシステムです。ユーザーがWebサイトにアクセスする際、DNSサーバーに問い合わせてIPアドレスを取得しますが、このDNSの応答を偽装することで、正規のドメイン名を入力しても偽サイトに誘導されてしまいます。
ユーザー側では正規のURLを入力しているため、偽サイトであることに気づきにくく、フィッシング詐欺などに利用されます。DNSSEC（DNS Security Extensions）という技術で対策が可能ですが、導入率はまだ十分とは言えません。
ルートキット攻撃
ルートキットは、システムに侵入した痕跡を隠蔽し、長期間にわたって不正アクセスを継続するために使用されるツールの総称です。
ルートキットがインストールされると、システムの深い部分（カーネルレベル）で動作し、管理者権限を奪取します。そして、自身の存在やプロセス、通信などを隠蔽するため、通常のセキュリティソフトでは検出が困難になります。
攻撃者は、ルートキットを使ってバックドアを設置し、いつでもシステムに侵入できる状態を維持します。APT攻撃などの高度な攻撃で利用されることが多く、発見が遅れると長期間にわたって情報が窃取され続けます。
【分類4】サーバーなどに負荷をかける攻撃（DoS/DDoS攻撃）の種類
DoS攻撃とDDoS攻撃の違い
DoS攻撃（Denial of Service Attack：サービス拒否攻撃）は、標的となるサーバーやネットワークに大量のアクセスやデータを送りつけ、正常なサービス提供を妨害する攻撃です。
DDoS攻撃（Distributed Denial of Service Attack：分散型サービス拒否攻撃）は、複数のコンピュータから同時に攻撃を行うDoS攻撃の一種です。攻撃者は、マルウェアに感染させた多数のコンピュータ（ボットネット）を操り、一斉に標的へアクセスさせます。
2024年12月から2025年1月にかけて、日本の複数の公共交通機関、通信会社、金融機関がDDoS攻撃を受け、Webサイトやサービスが一時的に利用できなくなる事態が相次ぎました。JR東日本が2024年5月に受けた攻撃では、モバイルSuicaやえきねっとなどが影響を受け、多くの利用者に混乱が生じました。
DDoS攻撃は、攻撃側のコストが比較的低い一方で、重要インフラや企業の業務継続性に重大な影響を及ぼす可能性があります。政治的な主張や嫌がらせ、競合他社への妨害、身代金要求など、様々な動機で実行されます。
フラッド型攻撃（SYN Flood、UDP Floodなど）
フラッド型攻撃は、特定の種類のパケットを大量に送信することでサーバーやネットワークを麻痺させる攻撃です。
SYN Flood攻撃は、TCP接続の開始時に送られる「SYNパケット」を大量に送信し、サーバーのリソースを枯渇させます。通常、TCP接続は3ウェイハンドシェイクという手順を踏みますが、攻撃者はSYNパケットだけを送り、その後の手順を完了させません。サーバーは接続を待ち続けることになり、やがてリソースが尽きて新規接続を受け付けられなくなります。
UDP Flood攻撃は、大量のUDPパケットを送信する攻撃です。UDPは接続確立が不要なプロトコルのため、攻撃が容易である一方、防御も比較的困難です。
F5アタック（リロード攻撃）
F5アタックは、キーボードのF5キー（ブラウザのリロードキー）を連打してWebサイトに大量のアクセスを発生させる、最も原始的なDoS攻撃です。
1人が手動でF5キーを連打するだけでは大きな影響はありませんが、多数の人が同時に実行したり、自動化ツールを使って高速で繰り返したりすることで、サーバーに負荷をかけることができます。
技術的には単純ですが、2ちゃんねる（現5ちゃんねる）の「田代砲」に代表されるように、集団で実行されると一定の効果を発揮してしまいます。ただし、現代のWebサーバーやCDN（コンテンツ配信ネットワーク）は、このレベルの攻撃には比較的耐性があります。
ランダムサブドメイン攻撃（DNS水責め攻撃）
ランダムサブドメイン攻撃（DNS Amplification Attack、DNS水責め攻撃）は、存在しないランダムなサブドメインへの問い合わせを大量に発生させることで、DNSサーバーに過大な負荷をかける攻撃です。
例えば、「abc123.example.com」「xyz789.example.com」といった、実際には存在しないサブドメインへのDNS問い合わせを大量に送信します。DNSサーバーは、これらの問い合わせに対して「存在しない」という応答を返す必要があり、その処理で負荷が高まります。
さらに、DNSキャッシュサーバーを経由することで攻撃が増幅される効果もあり、比較的少ない攻撃トラフィックで大きな被害を与えることが可能です。
スマーフ攻撃（Smurf Attack）
スマーフ攻撃は、ネットワークのブロードキャスト機能を悪用した攻撃です。攻撃者は送信元IPアドレスを標的のIPアドレスに偽装してICMPパケット（pingコマンドで使用されるパケット）をネットワークのブロードキャストアドレスに送信します。
すると、ネットワーク内のすべてのホストが偽装された送信元（標的）に対して応答を返すため、標的には大量のICMP応答パケットが殺到し、サービスが停止します。
現代のネットワーク機器は、ブロードキャストアドレス宛のICMPパケットに応答しないよう設定されていることが多いため、この攻撃の脅威は以前より低下していますが、設定が適切でない環境では依然として有効です。
PoD攻撃（Ping of Death）
PoD攻撃は、規定のサイズを超える巨大なICMPパケットを送信することで、受信側のシステムをクラッシュさせる攻撃です。
IPパケットの最大サイズは65,535バイトと規定されていますが、攻撃者はこれを超えるサイズのパケットを断片化して送信します。受信側がこれらの断片を再構成する際に、バッファオーバーフローが発生してシステムがクラッシュする、というメカニズムです。
古いOSやネットワーク機器では脆弱性がありましたが、現代のシステムは対策が施されているため、現在では脅威は限定的です。
メールボム攻撃
メールボム攻撃は、標的のメールアドレスに大量のメールを送りつけ、メールサーバーやメールボックスを容量不足にする攻撃です。
数千通、数万通という大量のメールが送られてくると、重要なメールが埋もれて見落とされたり、メールボックスが容量オーバーで新規メールを受信できなくなったりします。また、メールサーバー自体がダウンすることもあります。
最近では、スパムメールのターゲットを変えるだけで簡単に実行できるため、個人への嫌がらせや、企業への妨害行為として利用されることがあります。
攻撃者がサイバー攻撃を行う目的
サイバー攻撃には必ず動機があります。攻撃の種類が理解できたところで、攻撃者がなぜこれらの攻撃を仕掛けるのか、その目的を理解しておきましょう。
金銭の窃取
最も一般的な動機は金銭目的です。ランサムウェアによる身代金要求、オンラインバンキングからの不正送金、クレジットカード情報の窃取と転売、仮想通貨の盗難など、様々な手段で金銭を得ようとします。
FBIの捜査官によれば、かつて銀行強盗や誘拐といったハイリスクの犯罪に加担していた層が、現在はローリスク・ハイリターンのサイバー犯罪、特にランサムウェア攻撃に移行する傾向が見られるとのことです。物理的な犯罪と異なり、サイバー犯罪は国境を越えて実行でき、身元の特定も困難なため、犯罪者にとって「効率的」なのです。
機密情報・知的財産の窃取
企業の機密情報や個人情報、技術情報などを盗み出すことも主要な目的の一つです。窃取した情報は、競合企業に売却したり、闇市場で取引されたりします。
特に日本の製造業は、高度な技術と知的財産を保有しているため、国家の支援を受けた攻撃グループなどから標的とされることが多いとされています。PwCのレポートでも、日本のIPの窃取を目的としたサイバー攻撃が繰り返し発生していることが指摘されています。
企業イメージの毀損・業務妨害
競合他社や政治的な対立相手に対して、サイバー攻撃によって評判を落としたり、業務を妨害したりすることを目的とする場合もあります。
Webサイトを改ざんして不適切な内容を表示したり、顧客データの流出を公表して企業の信頼性を損なったりします。DDoS攻撃でサービスを停止させることも、直接的な業務妨害となります。
政治的・社会的主張（ハクティビズム）
ハクティビズム（Hacktivism）は、政治的・社会的な主張を行うためにサイバー攻撃を実行する活動です。Hacker（ハッカー）とActivism（社会運動）を組み合わせた造語です。
特定の政府や企業の政策に反対するため、あるいは自分たちの主張を広めるために、Webサイトの改ざんやDDoS攻撃、情報の暴露などを行います。2024年には、世界の多くの地域で継続的な紛争が増加したことを受けて、ハクティビストや妨害行為の脅威アクターが復活し、政治的動機に基づいて特定の組織や業界をターゲットにしました。
愉快犯・自己顕示欲
単なる愉快犯や、自分の技術力を誇示したいという動機で攻撃を行う場合もあります。特に若年層のハッカーには、こうした動機が見られることがあります。
2024年には、中学生がDDoS攻撃を実行した事例も報告されており、サイバー攻撃が犯罪であるという認識の欠如が社会的な課題として浮き彫りになりました。教育機関や家庭でのサイバーセキュリティ教育の重要性が改めて認識されています。
サイバー攻撃の最新被害事例（2024-2025年）
理論だけでなく、実際にどのような被害が発生しているのかを知ることで、サイバー攻撃の脅威をより具体的に理解できます。ここでは、2024年から2025年にかけて日本国内で発生した主要な事例を紹介します。
KADOKAWA：ランサムウェア攻撃で36億円の特別損失
2024年6月、大手出版社KADOKAWAが大規模なランサムウェア攻撃を受けました。攻撃グループ「BlackSuit」によるこの攻撃により、ニコニコ動画を含む複数のサービスが停止し、25万人以上の個人情報が漏洩しました。
攻撃の経緯として、フィッシング攻撃により従業員のアカウント情報が盗まれ、それを足がかりに社内ネットワークに侵入されたことが明らかになっています。KADOKAWAはこの被害により、2025年3月期に36億円の特別損失を計上する見込みであると発表しました。
この事例は、一度の攻撃がいかに甚大な経営上の影響を及ぼすかを示しています。サービス停止による機会損失、復旧費用、調査費用、信用回復のためのコストなど、被害額は多岐にわたります。
JR東日本：DDoS攻撃でシステム障害
2024年5月10日、JR東日本がDDoS攻撃を受け、モバイルSuicaやえきねっとなどのサービスが一時的につながりにくい状態となりました。
この攻撃は、社会インフラである公共交通機関を狙うことで注目を集める目的があったと見られています。実際、Googleトレンドを見ると、この時期に「サイバー攻撃」の検索が急増していることが確認できます。
重要インフラへの攻撃は、多くの市民生活に直接的な影響を及ぼすため、社会的な影響が大きく、攻撃者にとっては「効果的」なターゲットといえます。
大手損害保険会社：サプライチェーン攻撃で顧客情報流出
2025年5月1日、大手損害保険会社が、税務・会計業務を委託していた税理士法人事務所がランサムウェア攻撃を受けたことにより、約7万5,000件の顧客情報が流出した可能性があると発表しました。
この事例は、サプライチェーン攻撃の典型例です。大企業がいくら堅牢なセキュリティ対策を講じていても、委託先や取引先のセキュリティが脆弱であれば、そこが侵入口となってしまいます。
企業は自社だけでなく、サプライチェーン全体のセキュリティレベルを確認し、向上させる責任があることを示しています。
テーマパーク運営会社：200万件の個人情報漏洩
2025年2月7日、都内の大手テーマパーク運営会社が、1月にランサムウェア攻撃を受けて最大200万件の個人情報が外部漏洩した可能性があると発表しました。
漏洩した情報には年間パスポート購入者の氏名・電話番号・メールアドレスといった情報のほか、従業員・取引先の契約情報が含まれています。また、1月21日には不正アクセスによるシステム障害が発生し、テーマパークの来場予約などが利用できない状況となっていました。
大手住宅メーカー：SQLインジェクションで82万件超の情報漏洩可能性
2024年5月、大手住宅メーカーが運営する住宅オーナー向けの会員制サイトでセキュリティ設定の不備があり、サイバー攻撃を受けました。SQLインジェクション攻撃により、顧客情報10万8,331人、漏洩の可能性を否定できない人数は46万4,053人にのぼっています。
従業員等の個人情報の漏洩では18万3,590人、漏洩の可能性を否定できない人数は7万2,194人で、顧客・従業員合わせて合計数は82万8,168名分となっています。
Webアプリケーションの脆弱性対策が不十分だった場合に、いかに大規模な情報漏洩につながるかを示す事例です。
中小企業の被害増加傾向
これらの大企業の事例が注目を集める一方で、実は中小企業の被害が急増しています。警察庁のデータによれば、2024年には中小企業のランサムウェア被害件数が前年比で37%増加しました。
中小企業は、大企業に比べてセキュリティへの投資が限られていることが多く、専門の担当者がいない場合も少なくありません。一方で、大企業との取引があるため、サプライチェーン攻撃の標的となりやすいのです。
「うちのような小さな会社は狙われない」という認識は危険です。攻撃者は、むしろセキュリティが手薄な企業を積極的に狙っています。
効果的なサイバー攻撃対策
様々な攻撃手法と実際の被害事例を見てきました。では、これらの脅威からどのように身を守ればよいのでしょうか。ここでは、組織が実施すべき具体的な対策を解説します。
基本的なセキュリティ対策の徹底
OSとソフトウェアの定期的な更新
最も基本的でありながら、最も重要な対策の一つが、OSやソフトウェアを常に最新の状態に保つことです。ゼロデイ攻撃を除けば、多くの攻撃は既知の脆弱性を悪用しています。
パッチ（修正プログラム）が提供されたら、できるだけ早く適用しましょう。自動更新機能を有効にすることも効果的です。特にVPN機器やリモートデスクトップのソフトウェアは、攻撃の主要な侵入口となっているため、優先的に更新してください。
多要素認証の導入
パスワードだけでなく、SMS認証やワンタイムパスワード、生体認証などを組み合わせる多要素認証（MFA：Multi-Factor Authentication）の導入が不可欠です。
たとえパスワードが漏洩しても、第二の認証要素があれば不正アクセスを防げます。トレンドマイクロの分析によれば、クラウドアカウントの乗っ取りが組織への侵入の足掛かりになっているケースが増加しており、アカウントの堅牢性を高める対策が有効です。
強固なパスワードポリシーの実施
パスワードは、長く複雑で、使い回しをしないものにする必要があります。NISTのガイドラインでは、最低8文字以上（できれば12文字以上）、大文字・小文字・数字・記号を組み合わせることが推奨されています。
一方で、定期的な変更は必ずしも必要ないとされています。頻繁な変更を強制すると、覚えやすい簡単なパスワードにしてしまったり、「password1」「password2」といった規則的な変更をしてしまったりするためです。
パスワード管理ツールの活用も検討しましょう。複雑で長いパスワードを安全に管理できます。
ネットワークとシステムのセキュリティ強化
ファイアウォールとIDS/IPSの導入
ファイアウォールは、不正なアクセスを遮断する基本的な防御壁です。IDS（侵入検知システム）は不正アクセスを検知し、IPS（侵入防止システム）はそれを自動的にブロックします。
これらを適切に設定し、定期的にログを確認することで、攻撃の兆候を早期に発見できます。
WAFの導入
WAF（Web Application Firewall）は、Webアプリケーションへの攻撃を検知・防御する専用のファイアウォールです。SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーション特有の攻撃から保護します。
クラウド型のWAFサービスを利用すれば、自社でハードウェアを導入・管理する必要がなく、導入のハードルが下がります。
セグメンテーション（ネットワークの分離）
ネットワークを目的ごとに分離し、万が一侵入されても被害の拡大を防ぐ設計が重要です。例えば、業務用ネットワークとゲスト用Wi-Fi、サーバー用ネットワークを分離するなどです。
ゼロトラストアーキテクチャの考え方に基づき、「内部ネットワークだから安全」という前提を捨て、すべてのアクセスを検証する仕組みを構築することが推奨されます。
従業員教育とセキュリティ意識の向上
技術的な対策だけでは不十分です。多くのサイバー攻撃は、人間の心理的な隙を突いて成功しています。
定期的なセキュリティ研修の実施
フィッシングメールの見分け方、不審なWebサイトの特徴、パスワード管理の重要性など、基本的なセキュリティ知識を従業員全員が持つ必要があります。
定期的な研修を実施し、最新の攻撃手法や事例を共有しましょう。単なる座学だけでなく、模擬フィッシングメールを送って実際に対応を確認する訓練も効果的です。
インシデント発生時の報告体制の整備
「怪しいメールを開いてしまった」「USBメモリを紛失した」といったインシデントが発生した際に、すぐに報告できる体制を整えることが重要です。
報告者を責めるのではなく、早期発見・早期対応を評価する文化を作りましょう。発見が遅れるほど、被害は拡大します。
BYOD（私物端末の業務利用）のルール策定
私物のスマートフォンやPCを業務で使用する場合、適切な管理とルールが必要です。セキュリティ対策が不十分な私物端末が、攻撃の侵入口となるケースが増えています。
MDM（モバイルデバイス管理）ツールを導入して、私物端末でも一定のセキュリティポリシーを強制できるようにするのも一つの方法です。
バックアップとインシデント対応計画
定期的なバックアップの実施
ランサムウェアに感染しても、適切なバックアップがあれば、身代金を払わずにデータを復旧できます。バックアップは、「3-2-1ルール」に従うことが推奨されます。
3：データのコピーを3つ保持する（オリジナル+バックアップ2つ）
2：2種類の異なる媒体に保存する（例：HDD+クラウド）
1：1つは別の場所に保管する（オフサイトバックアップ）
バックアップデータ自体が暗号化されないよう、オフラインや読み取り専用の状態で保管することも重要です。
インシデント対応計画（CSIRT）の策定
サイバー攻撃を受けた際の対応手順を事前に決めておくことが重要です。CSIRT（Computer Security Incident Response Team：シーサート）を設置し、インシデント発生時の役割分担、連絡体制、復旧手順などを明確にしておきましょう。
実際にインシデントが発生すると、混乱の中で適切な判断を下すのは困難です。平時に計画を立て、訓練を行っておくことで、被害を最小限に抑えられます。
脆弱性診断とペネトレーションテストの実施
定期的な脆弱性診断
自社のシステムやWebサイトに脆弱性がないか、専門家や専用ツールを使って定期的に診断しましょう。開発段階でのセキュリティレビューはもちろん、本番環境でも定期的な診断が必要です。
脆弱性が発見された場合は、優先順位をつけて速やかに対処します。CVSS（Common Vulnerability Scoring System）などの基準を参考に、リスクの高いものから対応しましょう。
ペネトレーションテスト
ペネトレーションテスト（侵入テスト）は、実際の攻撃者の視点でシステムへの侵入を試みることで、防御体制の実効性を検証するテストです。
脆弱性診断が既知の脆弱性の有無を調べるのに対し、ペネトレーションテストは「攻撃者がその脆弱性を実際に悪用できるか」「複数の脆弱性を組み合わせて侵入できるか」を検証します。
サプライチェーン全体のセキュリティ確保
自社だけでなく、取引先や委託先のセキュリティ状況も確認し、必要に応じて改善を要請することが重要です。
契約時にセキュリティ要件を明記し、定期的な監査やアンケートで対策状況を確認しましょう。経済産業省のサプライチェーン・セキュリティ対策評価制度（格付け制度）なども参考になります。
小規模な取引先に対しては、自社のセキュリティノウハウを共有したり、対策のサポートを提供したりすることで、サプライチェーン全体のレベルアップを図ることができます。
まとめ｜サイバー攻撃への備えは経営課題
本記事では、サイバー攻撃の種類を4つの大分類に整理し、それぞれの手口や特徴、実際の被害事例、そして効果的な対策について詳しく解説してきました。
2024年には国内だけで587件のセキュリティインシデントが公表され、1日あたり約330万回もの攻撃が検知されているという現実を前に、「うちには関係ない」と考えることはもはやできません。中小企業のランサムウェア被害が37%増加したというデータが示すように、規模や業種を問わず、あらゆる組織が標的となり得ます。
サイバー攻撃は、単なるIT部門の技術的な問題ではなく、経営課題です。KADOKAWAの36億円、平均2億2千万円という被害額が示すように、一度の攻撃が企業の存続を脅かす可能性さえあります。
しかし、適切な対策を講じれば、リスクは大幅に低減できます。OSの更新、多要素認証の導入、従業員教育、バックアップの実施といった基本的な対策を確実に実行することが、最も重要な第一歩です。
サイバーセキュリティは、一度対策したら終わりではなく、継続的な改善が必要な取り組みです。攻撃者の手法は日々進化しており、それに対応するためには、常に最新の脅威情報を収集し、対策をアップデートし続ける必要があります。
本記事が、皆様の組織のサイバーセキュリティ強化の一助となれば幸いです。サイバー攻撃の種類と特徴を理解し、自社の状況に合わせた適切な対策を実施することで、より安全なデジタル社会の実現に貢献していきましょう。
