ゼロデイ攻撃とは？仕組みから対策まで実務担当者が知るべき全知識
企業のセキュリティ担当者にとって、ゼロデイ攻撃は最も警戒すべき脅威のひとつです。修正プログラムが存在しない脆弱性を突いて侵入してくるため、従来型のセキュリティ対策では防ぎきれません。
独立行政法人情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威2025」では、「システムの脆弱性を突いた攻撃」が組織向け脅威の第3位にランクインしています。
この脅威は、前年まで個別に扱われていた「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」と「脆弱性対策情報の公開にともなう悪用増加」を統合したものであり、その深刻度は年々高まっています。
本記事では、ゼロデイ攻撃の仕組みから具体的な被害事例、そして実務で使える対策方法まで、セキュリティ担当者が押さえるべき知識を体系的に解説します。
ゼロデイ攻撃とは何か
ゼロデイ攻撃について正しく理解するには、まずその定義と基本的な概念を押さえる必要があります。
ゼロデイ攻撃とは、ソフトウェアやシステムの脆弱性が発見されてから、ベンダーが修正パッチを公開するまでの間に行われるサイバー攻撃を指します。
「ゼロデイ（0-day）」という名称は、修正プログラムが配布される日を「1日目」としたとき、それ以前の状態を「0日目」と捉えることに由来しています。つまり、ユーザーが対処する時間が実質的にゼロの状態で攻撃が仕掛けられるわけです。
攻撃者は、ベンダーや一般のセキュリティ研究者よりも先に脆弱性を発見するか、あるいはダークウェブなどで入手した脆弱性情報をもとに攻撃を仕掛けます。この時点では修正方法が存在しないため、どれほど堅牢なセキュリティ体制を敷いている組織であっても、被害を受ける可能性があるのです。
ゼロデイ攻撃の基本的な仕組み
ゼロデイ攻撃がどのように実行されるのか、その流れを段階的に見ていきましょう。
まず、攻撃者はターゲットとなるソフトウェアやシステムの未知の脆弱性を探索します。脆弱性とは、プログラムの設計ミスやコーディングエラーによって生じるセキュリティ上の弱点です。攻撃者は高度な技術力を駆使してソースコードを解析したり、実際にシステムを動作させながら異常な挙動を引き起こす入力パターンを試したりして、この弱点を見つけ出します。
脆弱性を発見した攻撃者は、次にエクスプロイト（攻撃コード）を開発します。エクスプロイトとは、脆弱性を実際に悪用してシステムに侵入したり、不正な操作を実行させたりするためのプログラムです。たとえば、バッファオーバーフローの脆弱性を利用して任意のコードを実行させる、SQL インジェクションでデータベースから情報を窃取するといった具合です。
開発したエクスプロイトを使い、攻撃者は実際の攻撃を実行します。メールの添付ファイル、改ざんされたWebサイト、VPN機器への不正アクセスなど、さまざまな経路でターゲットのシステムにエクスプロイトを送り込みます。
では、なぜベンダーが脆弱性に気づく前に攻撃者が発見できてしまうのでしょうか。開発段階でのセキュリティテストには限界があり、すべての脆弱性を事前に発見することは実質的に不可能だからです。また、攻撃者は金銭的な動機や産業スパイとしての目的をもって組織的に脆弱性を探索しており、その探索能力は近年ますます高度化しています。
従来のサイバー攻撃との決定的な違い
ゼロデイ攻撃が従来型のサイバー攻撃と根本的に異なる点は、防御側が対策を講じる時間的猶予がまったくないことにあります。
従来型の攻撃では、すでに脆弱性が公表され、ベンダーから修正パッチが提供されています。セキュリティ担当者は、脆弱性情報を確認し、影響範囲を評価し、テスト環境で検証した上でパッチを適用するという、一連の対応プロセスを踏めます。パッチ適用が遅れた場合でも、ファイアウォールのルール変更やIDS/IPSでの検知ルール追加など、暫定的な回避策を講じることが可能です。
一方、ゼロデイ攻撃ではこうした対応がまったくできません。修正パッチが存在しない以上、根本的な解決は不可能であり、攻撃を受けた場合の被害は避けられないことが多いのです。
さらに重要な違いとして、従来型のパターンマッチング方式のセキュリティソフトでは検知できないという点が挙げられます。アンチウイルスソフトの多くは、過去に発見されたマルウェアの特徴（シグネチャ）を参照して脅威を検知します。ゼロデイ攻撃では新種のマルウェアや攻撃手法が使われるため、既存のシグネチャでは対応できず、すり抜けてしまう可能性が高くなります。
この防御の困難さこそが、ゼロデイ攻撃を最も危険なサイバー攻撃のひとつたらしめている理由です。
ゼロデイ攻撃とNデイ攻撃の違い
ゼロデイ攻撃と混同されやすい概念に「Nデイ攻撃」があります。両者の違いを正確に理解しておくことは、適切なセキュリティ対策を講じる上で重要です。
Nデイ攻撃とは、ベンダーから修正パッチが公開された後、ユーザーがそのパッチを適用するまでの期間（N日間）に脆弱性を悪用する攻撃を指します。パッチ公開から適用までの期間は組織によって異なるため、「Nデイ」と呼ばれるわけです。
両者の違いを整理すると、以下の表のようになります。
比較項目ゼロデイ攻撃Nデイ攻撃攻撃のタイミング修正パッチ公開前修正パッチ公開後悪用する脆弱性未知の脆弱性公開済みの脆弱性脆弱性情報の入手元攻撃者自身の発見、ダークウェブベンダーの脆弱性情報、セキュリティアドバイザリ攻撃の難易度高い（脆弱性発見とエクスプロイト開発が必要）比較的低い（公開情報を参考にできる）防御の可能性きわめて困難（対策手段が存在しない）パッチ適用で防御可能
ここで重要な洞察は、ゼロデイ攻撃はいずれNデイ攻撃へと移行するという点です。ベンダーが脆弱性を認識し修正パッチを公開した瞬間、ゼロデイ攻撃はNデイ攻撃へと変化します。しかし、パッチが公開されても即座に全ユーザーが適用するわけではありません。この移行期間こそが、攻撃者にとって最も効率的な攻撃のタイミングとなります。
実際、セキュリティベンダーの調査によれば、脆弱性情報が公開されてから24時間以内に、その脆弱性を狙った攻撃が急増する傾向が確認されています。攻撃者は公開された脆弱性情報を素早く分析し、パッチ未適用の組織を狙って大規模な攻撃を仕掛けてくるのです。
したがって、セキュリティ担当者には二重の対応が求められます。ゼロデイ攻撃に対しては侵入を前提とした多層防御と早期検知の体制を整え、Nデイ攻撃に対しては修正パッチを可能な限り迅速に適用する運用体制を構築する必要があります。
ゼロデイ攻撃の代表的な手法
ゼロデイ攻撃には複数の実行手法が存在します。攻撃者は標的や目的に応じて最適な手法を選択するため、セキュリティ担当者としてはそれぞれの特徴を理解しておく必要があります。
マルウェアを添付したメール攻撃
メール経由の攻撃は、ゼロデイ攻撃においても最も頻繁に使われる手法のひとつです。攻撃者は、脆弱性を悪用するマルウェアを仕込んだファイルをメールに添付し、ターゲットに送りつけます。
この攻撃には大きく分けて標的型とばらまき型の2種類があります。
標的型攻撃では、特定の企業や組織を狙い、取引先や関係者を装った巧妙なメールを送信します。件名や本文は実際の業務内容に即しており、受信者が不審に思わないよう作り込まれています。たとえば、「先日の会議資料を送付します」「請求書を添付いたしました」といった、日常的に受け取るメールを装うのです。
一方、ばらまき型攻撃は不特定多数に大量のメールを送信する手法です。受信者の一部でも添付ファイルを開けば攻撃は成功するため、攻撃者は数を重視します。ばらまき型は標的型ほど作り込まれていないものの、大量配信により一定の成功率を確保できます。
メール攻撃の巧妙さは、正規のコミュニケーションに紛れ込む点にあります。セキュリティ意識の高い従業員でも、業務に関連するメールであれば添付ファイルを開いてしまう可能性があります。さらに、ゼロデイ攻撃の場合、マルウェアが未知のものであるため、セキュリティソフトで検知できない可能性が高く、感染リスクが一層高まります。
Webサイト改ざんによる攻撃
Webサイト経由の攻撃は、水飲み場型攻撃とも呼ばれ、正規のWebサイトを改ざんして攻撃の起点とする手法です。
攻撃者はまず、ターゲット企業の従業員が頻繁に訪問するWebサイトの脆弱性を突いて侵入し、サイトのコードを改ざんします。改ざんされたサイトには、訪問者のブラウザやプラグインの脆弱性を突くエクスプロイトコードが埋め込まれています。
従業員が普段どおりそのWebサイトを訪問すると、ページを表示しただけで自動的にマルウェアがダウンロード・実行される仕組み（ドライブバイダウンロード）になっています。ユーザーが何もクリックしなくても、単にページを表示しただけで感染するため、被害に気づきにくいのが特徴です。
この攻撃手法の恐ろしさは、信頼しているWebサイトが攻撃の踏み台になるという点にあります。従業員は業界ニュースサイトや取引先のWebサイトを日常的に訪問しますが、それらが改ざんされていることに気づくのは困難です。正規のサイトであるがゆえに、URLフィルタリングやWebフィルタリングをすり抜けてしまいます。
VPN機器やネットワーク機器を狙った攻撃
テレワークの普及にともない、企業のVPN機器を標的とするゼロデイ攻撃が急増しています。
VPN機器は社内ネットワークへの入口であり、ここを突破されると攻撃者は内部ネットワークへ自由にアクセスできるようになります。攻撃者がVPN機器の脆弱性を悪用すると、以下のような被害が発生します。
認証情報の窃取 – 正規ユーザーのIDとパスワードを盗み出し、正当なアクセスに偽装する
権限昇格 – 一般ユーザーの権限から管理者権限へと昇格させ、システム全体を掌握する
ラテラルムーブメント（横展開） – 侵入した一台の端末を起点に、ネットワーク内の他の端末やサーバーへ攻撃を広げる
バックドアの設置 – 正規の認証を経ずにいつでも侵入できる裏口を仕込む
2019年には、複数のVPN製品に深刻なゼロデイ脆弱性が発見され、世界中で大規模な攻撃が発生しました。修正パッチが公開されるまでの間、多くの企業が無防備な状態にさらされ、機密情報の漏洩や ランサムウェア感染といった被害を受けました。
VPN機器への攻撃が特に危険なのは、一度侵入を許すと、攻撃者が内部ネットワークに長期間潜伏できる点です。侵入後は慎重に行動し、検知されないよう少しずつデータを窃取したり、さらなる攻撃の準備を進めたりします。発覚までに数か月から数年かかるケースも珍しくありません。
サプライチェーン攻撃
サプライチェーン攻撃は、セキュリティ対策が比較的弱い取引先企業を経由して、最終的なターゲットである大企業へ侵入する手法です。
大企業の多くは高度なセキュリティ対策を施しているため、正面から攻撃しても成功率は低くなります。そこで攻撃者は、セキュリティレベルの低い中小のサプライヤーを「踏み台」として利用します。
具体的には、まず部品メーカーや物流業者、システム開発の外注先など、大企業と取引関係にある中小企業のシステムに侵入します。次に、その企業が大企業とやり取りする正規の通信経路を悪用して、大企業のネットワークへ侵入を試みます。
取引先からの通信やファイルは信頼されているため、通常のセキュリティチェックをすり抜けやすくなります。また、攻撃の起点が自社ではないため、侵入経路の特定が難しく、対応が遅れがちです。
サプライチェーン攻撃の影響は連鎖的に広がります。ひとつの企業が侵害されると、その取引先ネットワーク全体に被害が波及する可能性があります。2017年に発生したNotPetyaと呼ばれるマルウェア攻撃では、ウクライナの会計ソフトウェアのアップデート機能を経由して世界中に感染が広がり、数十億ドル規模の被害をもたらしました。
実際に発生したゼロデイ攻撃の重大事例
過去に発生した重大なゼロデイ攻撃の事例を振り返ることで、この脅威の深刻さと対策の重要性を具体的に理解できます。
シェルショック事件（2014年）
2014年9月に公表されたBashの脆弱性は、Linux系システムに壊滅的な影響を及ぼしました。
Bashは、Linux や macOS などのシェルとして広く使われているプログラムです。この脆弱性（CVE-2014-6271）を悪用すると、攻撃者は遠隔から任意のコマンドを実行できるため、サーバーの完全な制御が可能になります。
影響範囲の広さは計り知れませんでした。Webサーバー、ルーター、IoT機器など、Bashを使用するあらゆるシステムが標的となりました。日本の警察庁も脆弱性公表の翌日には第一報を公開し、監視状況を報告するという異例の対応を取っています。
この事件から学ぶべき教訓は、広く使われている基盤技術の脆弱性は影響範囲が極めて大きいという点です。特にオープンソースソフトウェアは多くのシステムで採用されているため、ひとつの脆弱性が発見されると、世界中のシステムが同時に危険にさらされます。
EternalBlue（2017年・WannaCry関連）
2017年5月に世界中で猛威を振るったランサムウェア「WannaCry」は、EternalBlueと呼ばれるゼロデイ攻撃ツールを使って拡散しました。
EternalBlueは、Windows の SMB（ファイル共有プロトコル）の脆弱性（MS17-010）を悪用する攻撃手法です。この脆弱性を突くと、ネットワーク経由で他の端末に自動的に感染を広げることができます。
WannaCryは、150か国以上で30万台以上のコンピューターに感染し、特に医療機関で深刻な被害をもたらしました。イギリスの国民保健サービス（NHS）では、多くの病院のシステムが停止し、救急患者の受け入れ中止や手術の延期といった事態が発生しました。
注目すべきは、この攻撃に使われたEternalBlueが、もともと米国国家安全保障局（NSA）が開発した攻撃ツールだったという点です。政府機関が秘密裡に保有していた攻撃手法が流出し、犯罪者の手に渡ることで、世界規模の被害につながったのです。
この事例は、ゼロデイ脆弱性が国家レベルのサイバー兵器として開発・保有されている現実を浮き彫りにしました。
ProxyLogon（2021年）
2021年3月、Microsoft Exchange Serverに複数の深刻なゼロデイ脆弱性が発見されました。これらは総称してProxyLogonと呼ばれています。
この脆弱性は、中国を拠点とするハッキンググループ「HAFNIUM」によって大規模攻撃に悪用されました。攻撃者は脆弱性を突いて Exchange Server に侵入し、メールデータの窃取やバックドアの設置を行いました。
ProxyLogonの脅威は、当初の攻撃グループだけにとどまりませんでした。脆弱性情報が公開されると、複数の攻撃グループがこれに飛びつき、コインマイナー（暗号通貨マイニング）、ランサムウェア、ボットネットなど、さまざまな目的で悪用されました。
Microsoftは緊急パッチを公開しましたが、世界中で数万台のサーバーがパッチ適用前に侵害されたと推定されています。特にオンプレミス版のExchange Serverを使用していた中小企業での被害が目立ちました。
Log4Shell（2021年）
2021年12月に発見されたLog4j の脆弱性（CVE-2021-44228）は、近年最も深刻なゼロデイ脆弱性のひとつとされています。
Log4jは、Java アプリケーションで広く使われているログ記録用のライブラリです。この脆弱性を悪用すると、攻撃者は遠隔から任意のコードを実行できます。
影響範囲の広さは前例がありませんでした。エンタープライズアプリケーション、クラウドサービス、Webサーバー、モバイルアプリなど、無数のシステムがLog4jを直接的または間接的に利用していたため、膨大な数のサービスとシステムが危険にさらされました。
特に問題だったのは、依存関係の把握が困難だった点です。多くの組織は、自社のシステムがLog4jを使用しているかどうかを即座に判断できませんでした。Log4jが他のライブラリやフレームワークに組み込まれていたため、直接使用していなくても影響を受ける可能性がありました。
脆弱性公開から数時間で攻撃が始まり、セキュリティチームは年末年始の休暇返上で対応に追われました。この事例は、オープンソースソフトウェアのサプライチェーンリスクを明確に示しています。
最新の事例（2024年）
2024年にも重大なゼロデイ攻撃が複数発生しています。
4月には、次世代ファイアウォールを実行するソフトウェアの脆弱性（CVSSスコア10.0という最高レベル）が悪用され、国内外で被害が確認されました。ファイアウォールという防御の要となる製品に脆弱性が存在したことで、多くの組織が無防備な状態にさらされました。
6月には、PHPの脆弱性を突いた攻撃により、Web Shell（Webサーバー上で動作する不正なスクリプト）の設置やランサムウェア感染が発生しました。PHPは世界中のWebサイトで使われている言語であるため、影響範囲は極めて広範でした。
これらの事例から明らかなのは、ゼロデイ攻撃は過去の脅威ではなく、現在進行形で企業を襲い続けているという事実です。セキュリティ担当者は、いつ次のゼロデイ脆弱性が発見され悪用されるかわからない状況下で、継続的な警戒と準備を怠ってはなりません。
ゼロデイ攻撃による被害の種類と影響
ゼロデイ攻撃が成功した場合、企業はどのような被害を受けるのでしょうか。具体的な影響を理解することは、経営層への説明や予算確保の根拠として重要です。
機密情報・個人情報の漏洩
最も深刻な被害のひとつが、重要データの窃取です。
攻撃者がシステムに侵入すると、以下のような情報を標的にします。
顧客情報 – 氏名、住所、電話番号、メールアドレス、クレジットカード情報、購買履歴
企業の機密情報 – 製品の設計図、研究開発データ、事業計画、M&A関連情報、財務データ
知的財産 – 特許情報、ソースコード、製造ノウハウ、顧客リスト
従業員情報 – 人事評価、給与データ、社会保障番号
窃取された情報は、ダークウェブで売買されたり、競合企業に渡されたりします。顧客情報が流出した場合、その情報を使った新たなフィッシング攻撃や詐欺行為が行われ、二次被害が広がります。
日本では、個人情報保護法により、個人データの安全管理措置が義務づけられています。情報漏洩が発生した場合、対策が不十分だったとして法的責任を問われる可能性があります。さらに、本人への通知義務や個人情報保護委員会への報告義務も課され、対応コストは膨大になります。
システム停止と業務中断
ゼロデイ攻撃によって基幹システムが停止すると、企業活動そのものがストップします。
製造業であれば生産ラインの停止、小売業であれば販売システムの停止、金融機関であれば決済システムの停止が発生します。システム復旧までの間、売上はゼロになり、顧客への納品遅延や契約違反が生じます。
特に重要インフラ事業者が攻撃を受けた場合、影響は社会全体に及びます。電力供給が止まれば広域停電、通信網が遮断されれば情報伝達の断絶、交通システムが麻痺すれば物流の停滞といった事態が起こりえます。
2021年に米国で発生したColonial Pipelineへのランサムウェア攻撃では、石油パイプラインが一時停止し、東海岸の広い地域でガソリン不足が発生しました。この事例は、サイバー攻撃が物理的なインフラに直接影響を及ぼす現実を示しています。
金銭的損害
ゼロデイ攻撃による金銭的損害は多岐にわたります。
直接的なコストとしては以下が挙げられます。
システム復旧費用（フォレンジック調査、マルウェア除去、システム再構築）
セキュリティ強化費用（新規ツール導入、コンサルタント契約）
法務対応費用（訴訟対応、示談交渉）
広報対応費用（記者会見、カスタマーサポート体制の強化）
間接的なコストも甚大です。
事業停止による逸失利益
顧客離反による長期的な売上減少
株価下落による時価総額の減少
保険料の上昇
さらに、ランサムウェア攻撃の場合は身代金の要求も加わります。近年のランサムウェア攻撃では、数百万円から数億円規模の身代金が要求されるケースが増えています。支払っても必ずしもデータが復元される保証はなく、また支払行為自体が犯罪組織への資金提供として法的問題を引き起こす可能性があります。
社会的信用の失墜
情報漏洩や業務停止が発生すると、企業の評判は大きく傷つきます。
顧客は「この会社にデータを預けて大丈夫だろうか」と不安を感じ、競合他社へ流出していきます。新規顧客の獲得も困難になり、取引先からの信頼も低下します。BtoB企業の場合、セキュリティ基準を満たせないとして取引契約を打ち切られる可能性もあります。
上場企業であれば、株主からの信任も失います。経営陣の責任が問われ、株主代表訴訟に発展するケースもあります。
失った信頼を回復するには、長い時間と多大なコストがかかります。セキュリティ対策の強化、第三者機関による監査、透明性の高い情報開示など、継続的な取り組みが求められます。しかし、一度失った顧客の信頼を完全に取り戻すことは容易ではありません。
ゼロデイ攻撃の真の恐ろしさは、一度の攻撃が企業の存続そのものを脅かしかねないという点にあります。
ゼロデイ攻撃の標的になりやすい組織の特徴
すべての組織がゼロデイ攻撃の標的となりうる一方で、特に狙われやすい組織にはいくつかの共通点があります。自社がこれらの特徴に該当するかを確認し、リスク評価に役立ててください。
高価値な知的財産や機密情報を保有する企業
攻撃者が最も狙うのは、盗んで利益を得られる情報を保有する企業です。
製薬会社が保有する新薬の研究データ、テクノロジー企業の製品設計図、製造業の生産技術、化学メーカーの化合物情報などは、競合他社や外国政府にとって極めて価値があります。これらの情報を窃取できれば、数年から数十年分の研究開発期間と莫大なコストを省略できるからです。
特に、産業スパイ活動を目的とした攻撃では、ゼロデイ攻撃のような高度な手法が用いられます。国家の支援を受けた攻撃グループ（APT: Advanced Persistent Threat）は、豊富な資金と時間を投じてゼロデイ脆弱性を探索し、長期間にわたって標的組織に潜伏します。
研究開発型の企業は、自社が保有する情報の価値を正しく認識し、それに見合ったセキュリティ投資を行う必要があります。
金融機関や重要インフラ事業者
銀行、証券会社、保険会社などの金融機関は、膨大な資産を扱うため常に攻撃者の標的です。
金融機関への攻撃の動機は明確です。直接的な金銭窃取、顧客情報の窃取と転売、決済システムへの妨害などが可能だからです。2016年のバングラデシュ中央銀行へのサイバー攻撃では、約81億円が不正送金される事件が発生しました。
また、電力、ガス、水道、通信、交通などの重要インフラ事業者も高リスク組織です。これらのシステムが停止すれば社会機能が麻痺するため、攻撃者にとって格好の標的となります。
重要インフラへの攻撃は、金銭目的だけでなく、政治的・軍事的な目的で行われることもあります。サイバー戦争の文脈では、敵国のインフラを破壊することで戦略的優位を得ようとする試みが現実化しています。
これらの組織には、一般企業以上の高度なセキュリティ対策が求められます。
オープンソースソフトウェアを多用する組織
オープンソースソフトウェア（OSS）は、ソースコードが公開されているため、攻撃者が脆弱性を発見しやすいという特性があります。
OSSの利用自体は問題ではありません。むしろ、多くの開発者の目によってコードが検証されることで、セキュリティが向上する側面もあります。しかし、広く使われているOSSに脆弱性が見つかった場合、その影響範囲は極めて大きくなります。
Log4jの事例で見たように、ひとつのOSSライブラリの脆弱性が、それを組み込んだ無数のアプリケーションに影響を及ぼします。さらに厄介なのは、依存関係の把握が困難である点です。自社のアプリケーションが直接使用していなくても、別のライブラリを経由して間接的に使用している場合があり、脆弱性の影響を受けているかどうかの判断が難しくなります。
OSSを活用する組織は、使用しているコンポーネントのリスト（Software Bill of Materials: SBOM）を作成し、脆弱性情報を継続的に監視する体制を整える必要があります。
サプライチェーンの要となる企業
大企業と取引関係にある中小企業は、サプライチェーン攻撃の踏み台として狙われるリスクがあります。
攻撃者の視点で考えると、セキュリティ対策が手薄な中小企業を侵害し、そこから大企業へ侵入する方が効率的です。中小企業は大企業とのやり取りで使用するVPN接続や共有フォルダ、電子メールなど、複数の接点をもっています。これらの正規の通信経路を悪用されると、大企業側のセキュリティチェックをすり抜けられる可能性があります。
特に、部品メーカー、物流業者、システム開発の外注先、清掃・警備などの業務委託先は注意が必要です。これらの企業は、取引先の施設への物理的アクセスや、システムへのネットワークアクセスをもっていることが多く、攻撃者にとって魅力的な侵入経路となります。
中小企業であっても、「自社は大したデータをもっていないから大丈夫」と考えるのは危険です。攻撃者の真の標的は取引先の大企業であり、自社はその経由地点にすぎないかもしれません。
ゼロデイ攻撃への効果的な対策
ゼロデイ攻撃を完全に防ぐことは困難ですが、適切な対策を講じることで被害を最小限に抑えることは可能です。ここでは実務で実装できる具体的な対策を紹介します。
基本的なセキュリティ対策の徹底
まず押さえるべきは、セキュリティの基本動作を確実に実行することです。
修正パッチの迅速な適用は最重要です。ベンダーから脆弱性情報と修正パッチが公開されたら、可能な限り速やかに適用します。理想的には24時間以内、遅くとも数日以内の適用を目指すべきです。
パッチ適用のプロセスを確立しましょう。脆弱性情報の収集（CVE、JVN、ベンダーアドバイザリの監視）、影響範囲の評価、テスト環境での検証、本番環境への適用、適用結果の確認という一連の流れを標準化します。特に重要なシステムについては、緊急パッチ適用の手順を事前に定めておくと、迅速な対応が可能になります。
アカウント管理の厳格化も欠かせません。強固なパスワードポリシー（最低12文字以上、英大文字・小文字・数字・記号の組み合わせ）を設定し、多要素認証（MFA）を導入します。MFAは、パスワードが漏洩した場合でも不正ログインを防ぐ最後の砦となります。
アクセス権限の最小化（最小権限の原則）により、仮に侵入を許しても被害範囲を限定できます。従業員には業務に必要な最低限の権限のみを付与し、管理者権限は特定の担当者に限定します。定期的に権限の棚卸しを行い、不要な権限は削除します。
定期的なバックアップは、ランサムウェア攻撃への最も効果的な対抗手段です。バックアップの「3-2-1ルール」を実践しましょう。
3 つのバックアップコピーを保持する
2 種類の異なる媒体に保存する（ディスクとテープ、オンプレミスとクラウドなど）
1 つは地理的に離れた場所（オフサイト）に保管する
バックアップからの復元テストも定期的に実施し、いざというときに確実に復旧できることを確認しておきます。
多層防御（Defense in Depth）の実装
ゼロデイ攻撃に対しては、複数の防御層を組み合わせるアプローチが有効です。
城塞都市を想像してください。外壁、内壁、堀、城門、見張り台など、複数の防御施設が配置されています。ひとつの防御が突破されても、次の防御が攻撃を食い止める仕組みです。セキュリティも同様に、複数の層で守ります。
ネットワークレベルの防御では、ファイアウォールで不要な通信を遮断し、IDS/IPS（侵入検知・防御システム）で不審な通信パターンを検知します。しかし、これらは既知の攻撃パターンに対しては有効ですが、ゼロデイ攻撃はすり抜ける可能性があります。
そこでアプリケーションレベルの防御を追加します。WAF（Web Application Firewall）は、Webアプリケーションへの攻撃（SQLインジェクション、クロスサイトスクリプティングなど）を検知・ブロックします。
サンドボックス技術の活用も効果的です。サンドボックスは、隔離された仮想環境で不審なファイルやURLを実行し、その挙動を分析します。未知のマルウェアであっても、異常な動作（大量のファイル暗号化、外部への通信など）を検知できれば、実環境への影響を防げます。
メール添付ファイルやダウンロードしたファイルを開く前に、サンドボックスで安全性を確認する運用を導入すると、マルウェア感染のリスクを大幅に低減できます。
EDRとXDRによるエンドポイント保護
従来型のアンチウイルスソフトでは検知できないゼロデイ攻撃に対し、EDR（Endpoint Detection and Response）は強力な防御手段となります。
EDRは、端末上のあらゆる動作（プロセスの起動、ファイルの変更、ネットワーク通信、レジストリの変更など）を監視し、異常な挙動を検知します。シグネチャベースではなく振る舞い検知（Behavioral Analysis）を用いるため、未知のマルウェアにも対応できます。
たとえば、通常オフィス文書を開くだけのプロセスが、突然システムファイルを暗号化し始めたり、外部のサーバーと大量の通信を始めたりすれば、異常として検知されます。
EDRのもうひとつの利点は、インシデント発生時の迅速な対応が可能になることです。感染が検知されると、該当端末を自動的にネットワークから隔離し、被害の拡大を防ぎます。同時に、詳細なログを収集しているため、侵入経路や影響範囲の調査が容易になります。
さらに発展した概念としてXDR（Extended Detection and Response）があります。XDRは、エンドポイントだけでなく、ネットワーク、クラウド、メールなど、複数のセキュリティレイヤーからデータを収集・分析し、相関分析により高度な脅威を検知します。
たとえば、メールの添付ファイル開封、端末での不審なプロセス起動、外部サーバーへの通信という一連の動作を関連づけて分析することで、単独では検知できなかった攻撃を発見できます。
ゼロトラストセキュリティの導入
ゼロデイ攻撃への対策として注目されているのが、ゼロトラストセキュリティの考え方です。
従来のセキュリティモデルは「境界防御」に基づいていました。つまり、ファイアウォールで外部と内部を分離し、内部ネットワークは信頼できる領域として扱うアプローチです。しかし、ゼロデイ攻撃やサプライチェーン攻撃が境界を突破してしまうと、内部は無防備な状態になります。
ゼロトラストは「決して信頼せず、常に検証する（Never Trust, Always Verify）」という原則に基づきます。内部ネットワークにいるからといって自動的に信頼せず、すべてのアクセスを検証します。
具体的には以下のような対策を実施します。
すべてのアクセスで厳格な認証を要求する（MFAの全面導入）
マイクロセグメンテーションにより、ネットワークを細かく分割し、横展開（ラテラルムーブメント）を防ぐ
最小権限アクセスを徹底し、必要なリソースにのみアクセスを許可する
すべてのトラフィックを暗号化し、盗聴や改ざんを防ぐ
継続的な監視と検証により、異常な動作を即座に検知する
ゼロトラストの実装は一朝一夕にはできませんが、段階的に導入することで、ゼロデイ攻撃への耐性を高められます。
従業員のセキュリティ教育と意識向上
技術的な対策と同様に重要なのが、人的対策です。
多くのゼロデイ攻撃は、従業員の行動を起点として侵入します。不審なメールの添付ファイルを開く、怪しいリンクをクリックする、USBメモリを無防備に接続するといった行動が、攻撃の成功を許してしまいます。
効果的なセキュリティ教育には、以下の要素が含まれます。
定期的な研修の実施 – 年に複数回、全従業員向けのセキュリティ研修を行います。最新の脅威動向、攻撃手法、対策方法を共有し、セキュリティ意識を維持します。
実践的な訓練 – 模擬フィッシングメールを送信し、従業員の対応を確認する訓練が有効です。クリックしてしまった従業員には個別にフィードバックを行い、なぜ危険だったのかを理解させます。
報告しやすい文化の醸成 – 「不審なメールを受け取った」「誤ってリンクをクリックしてしまった」といった報告を歓迎する雰囲気を作ります。報告を叱責すると、問題が隠蔽され、被害が拡大します。早期報告により被害を最小化できた事例を共有し、報告の重要性を理解させましょう。
役割別の教育 – システム管理者、開発者、経営層など、役割に応じた教育内容を用意します。たとえば開発者には、セキュアコーディングの実践方法を教育します。
継続的な教育により、従業員がセキュリティの「最後の防衛線」ではなく、「第一の防衛線」となります。
バグバウンティプログラムの活用
ゼロデイ攻撃を根本から防ぐには、脆弱性を攻撃者より先に発見し、修正することが最も効果的です。
バグバウンティプログラム（脆弱性報奨金制度）は、セキュリティ研究者が発見した脆弱性を報告する仕組みです。報告者には報奨金が支払われるため、研究者と企業の双方にメリットがあります。
代表的なプログラムとして、トレンドマイクロが運営する「Zero Day Initiative（ZDI）」があります。ZDIは世界中のセキュリティ研究者から脆弱性情報を収集し、該当ベンダーに報告します。ベンダーが修正パッチを公開するまで情報を非公開にするため、脆弱性が悪用されるリスクを最小化できます。
米国国防総省は2016年から「Hack the Pentagon」という独自のバグバウンティプログラムを実施しており、2,100件以上の脆弱性を発見しています。このように、政府機関や大企業でもバグバウンティの活用が進んでいます。
中小企業が独自にプログラムを運営するのは難しいかもしれませんが、既存のプラットフォーム（HackerOne、Bugcrowdなど）を活用すれば、比較的容易に導入できます。自社製品やサービスに脆弱性がないかを継続的に検証する手段として、検討する価値があります。
ゼロデイ攻撃を受けた場合の対応手順
万が一ゼロデイ攻撃の被害を受けた場合、迅速かつ適切な対応が被害の拡大を防ぎます。事前に対応手順を定めておくことで、混乱を最小限に抑えられます。
初動対応と被害拡大の防止
攻撃を検知した瞬間から、最初の数時間の対応が極めて重要です。
即座に実施すべき対応は以下のとおりです。
感染端末のネットワーク遮断 – 感染が疑われる端末を直ちにネットワークから切り離します。有線LANケーブルを抜く、Wi-Fiを無効化する、VPN接続を切断するなど、物理的・論理的にネットワークから隔離します。
インシデント対応チームの招集 – 事前に定めたインシデント対応チーム（CSIRT: Computer Security Incident Response Team）を緊急招集します。セキュリティ担当者、システム管理者、法務担当、広報担当など、必要な部門を集めます。
被害範囲の初期評価 – どの端末が影響を受けているか、どのシステムにアクセスされた可能性があるかを迅速に評価します。EDRやログ分析ツールを活用し、同様の兆候を示す端末がないか確認します。
経営層への報告 – インシデントの概要、現時点での被害状況、今後の対応方針を経営層に報告します。経営判断が必要な事項（システムの全停止、外部専門家への依頼など）について、早期に意思決定を仰ぎます。
この段階で重要なのは、証拠を保全しつつ被害拡大を防ぐという、一見矛盾する2つの要求のバランスを取ることです。感染端末を再起動したり、ログを削除したりすると、後の調査で重要な証拠が失われてしまいます。可能であれば、端末のメモリダンプを取得してから隔離するなど、証拠保全を意識した対応を心がけます。
証拠保全と原因調査
被害拡大を食い止めたら、次は徹底的な原因調査に移ります。
ログの収集と保全が最優先です。以下のログを可能な限り収集します。
ファイアウォール、IDS/IPSの通信ログ
サーバーやアプリケーションのアクセスログ
認証ログ（成功・失敗の両方）
エンドポイントのイベントログ
メールサーバーのログ
ログは改ざんされないよう、別の安全な場所にコピーして保管します。
侵入経路の特定も重要です。攻撃者はどこから侵入したのか、どの脆弱性を悪用したのかを突き止めます。メールの添付ファイル、改ざんされたWebサイト、VPN機器の脆弱性など、可能性のある経路を洗い出し、証拠と照合します。
被害範囲の詳細調査では、どのデータにアクセスされたか、どのシステムが侵害されたかを特定します。攻撃者が設置したバックドアやマルウェアがないか、すべてのシステムをスキャンします。
この段階では、外部の専門家への依頼を検討すべきです。フォレンジック（デジタル鑑識）の専門家は、高度な技術と経験をもち、効率的に調査を進められます。特に法的責任が問われる可能性がある場合、専門家による証拠保全と調査報告書は重要な資料となります。
復旧と再発防止策の実施
調査により原因が判明したら、安全な状態への復旧を進めます。
システムの復旧手順は慎重に計画します。単にバックアップから復元するだけでは、脆弱性が残ったままになる可能性があります。以下の順序で復旧を進めましょう。
脆弱性の修正 – 侵入経路となった脆弱性を修正します。ベンダーから修正パッチが提供されていれば適用し、提供されていない場合は回避策（該当機能の無効化、アクセス制限など）を実施します。
マルウェアの完全除去 – すべての端末とサーバーからマルウェアを除去します。単にマルウェアを削除するだけでなく、攻撃者が設置したバックドアや不正アカウントも削除します。
認証情報のリセット – 侵害された可能性のあるアカウントのパスワードをすべて変更します。特に管理者アカウントは優先的にリセットします。
バックアップからの復元 – クリーンな状態のバックアップからシステムを復元します。バックアップ自体がマルウェアに感染していないか、慎重に確認します。
段階的な復旧 – すべてのシステムを一度に復旧させるのではなく、重要度の高いシステムから順に、テストを繰り返しながら慎重に復旧します。
再発防止策の策定と実装も並行して進めます。インシデントから得られた教訓をもとに、セキュリティ対策を強化します。
検知できなかった理由を分析し、検知体制を改善する
侵入を許した脆弱性の種類を特定し、類似の脆弱性がないか全システムを点検する
インシデント対応の問題点を洗い出し、手順を改善する
必要に応じて新たなセキュリティツールを導入する
関係者への報告と情報開示
ゼロデイ攻撃による情報漏洩や業務停止が発生した場合、適切な情報開示が求められます。
法的に必要な報告は確実に実施します。
個人情報保護委員会への報告 – 個人データの漏洩が発生した場合、個人情報保護法に基づき、個人情報保護委員会への報告が義務づけられています。
警察への届出 – サイバー犯罪の被害を受けた場合、警察のサイバー犯罪対策部門に被害届を提出します。捜査協力により、攻撃者の特定につながる可能性があります。
監督官庁への報告 – 金融機関であれば金融庁、電力事業者であれば経済産業省など、業種に応じた監督官庁への報告が必要になる場合があります。
顧客や取引先への通知も重要です。情報漏洩の影響を受ける可能性のある個人や企業には、速やかに通知し、必要な対策（パスワード変更、カード再発行など）を案内します。
プレスリリースや記者会見を行うかどうかは、被害の規模や社会的影響を考慮して判断します。情報開示が遅れたり、不十分だったりすると、二次的な信用失墜を招きます。透明性をもって事実を公表し、再発防止策を明示することで、信頼回復につなげます。
ただし、調査中の段階では、確定していない情報を安易に公表すべきではありません。誤った情報を流すと、かえって混乱を招きます。「現在調査中であり、詳細が判明次第、改めて報告する」といった形で、定期的に状況を更新する方が適切です。
まとめ
ゼロデイ攻撃は、修正パッチが存在しない脆弱性を突く高度なサイバー攻撃であり、従来型のセキュリティ対策では防ぎきれない深刻な脅威です。
テレワークの普及、IoT機器の増加、攻撃ツールの流通により、ゼロデイ攻撃の発生件数は増加傾向にあります。IPAの「情報セキュリティ10大脅威2025」でも上位にランクインしており、組織は継続的な警戒を怠ってはなりません。
ゼロデイ攻撃を完全に防ぐことは困難ですが、適切な対策により被害を最小限に抑えることは可能です。
今すぐ実践すべきアクションは以下のとおりです。
基本的なセキュリティ対策の徹底 – パッチの迅速な適用、MFAの導入、定期的なバックアップ
多層防御の構築 – ファイアウォール、IDS/IPS、WAF、サンドボックスなど、複数の防御層を組み合わせる
EDR/XDRの導入 – 未知の脅威を振る舞い検知で捉え、迅速に対応する
ゼロトラストの実践 – 内部ネットワークであっても常に検証し、横展開を防ぐ
従業員教育の強化 – セキュリティ意識を高め、人的防御線を強化する
インシデント対応計画の策定 – 万が一の事態に備え、対応手順を明確化する
セキュリティは一度対策すれば終わりではなく、継続的な改善が必要なプロセスです。新たな脅威は次々と登場し、攻撃手法は日々進化しています。
脆弱性情報の継続的な監視、定期的なセキュリティ診断、インシデント対応訓練の実施など、PDCAサイクルを回し続けることで、組織のセキュリティレベルを維持・向上させられます。
ゼロデイ攻撃という脅威は、組織の存続を脅かしかねない重大なリスクです。しかし、適切な理解と対策により、そのリスクを許容可能なレベルまで低減できます。本記事で解説した知識と対策を実務に活かし、強固なセキュリティ体制の構築に役立ててください。
