2025年、日本国内でセキュリティ事故が「1日1.5件」起きていた

更新日：4月21日

——業種・規模に関係なく、「隙がある会社」が狙われる時代

「サイバー攻撃って、大企業の話でしょ？」

そう思っていた経営者の方に、ぜひ見てほしいデータがあります。

2025年1年間で、国内のセキュリティインシデントの公表件数は559件。

1日あたり約1.5件のペースで、どこかの会社がサイバー攻撃の被害を発表し続けていた計算になります。

そして攻撃者の狙い方は変わってきました。

かつては「大企業を狙う」という傾向がありましたが、今は違います。

「侵入できる隙があれば、どこでも狙う」——業種も規模も関係ない時代に入っています。

1日1.5件——数字が示す「日常化」したリスク

トレンドマイクロが公表した2025年の国内インシデント集計によると、年間559件のセキュリティインシデントが公表されました。これは2024年（622件）からわずかに減少しているものの、依然として高水準が続いています。

2025年1月〜12月の国内セキュリティインシデント公表件数：559件（1日あたり約1.5件）攻撃カテゴリ1位：不正アクセス　2位：ランサムウェア

注目すべきは被害の「連鎖」です。2025年に特に目立ったのが、委託先・取引先を経由して被害が広がる「サプライチェーン攻撃」です。ある会社が攻撃を受けると、その委託元の会社にも被害が波及し、二次・三次と被害が拡大するケースが相次ぎました。

実際に2025年10月には、AIデータ入力ツールのメーカーへの攻撃が、委託先から委託元へと連鎖し、最終的に四次被害まで発展した事例も報告されています。「取引先が被害を受けたので、うちも情報が漏れた」という事態が、もはや珍しくなくなっています。

業種別の被害状況を見ると、製造・サービス・金融の順に多くなっていますが、これは業種に偏りがあるというより、日本の法人組織の業種分布を反映しているに過ぎません。実態は、業種・規模に関係なく幅広い組織が攻撃に晒されています。

2025年に実際に被害を受けた組織を見ると、大手飲料メーカー・テーマパーク運営会社・宅配サービス事業者・印刷会社・大学・医療機関など、あらゆる業種に及んでいます。共通しているのは「セキュリティ対策の隙があった」という一点だけです。

攻撃者は特定の業種を狙うのではなく、「侵入できる隙がある組織」を自動的に探し出して攻撃します。中小企業はセキュリティ対策が手薄なケースが多く、むしろ狙われやすい状況にあります。

特に入口として狙われやすいのが、VPN機器やリモートデスクトップです。

テレワーク導入後に設定したまま放置しているVPN機器の脆弱性は、攻撃者にとって格好の入口となっています。

実際にどんな被害が起きたのか、いくつかご紹介します。

いずれも「自分たちには関係ない」とは言えない規模・業種の事例です。

ランサムウェア攻撃を受け、受注・出荷・在庫管理を担う基幹システムが停止。全国の販売・物流拠点に影響が及び、約150万件の個人情報が流出した恐れがあると発表されました。復旧には数週間を要しました。

ランサムウェア攻撃により物流サービスの一部が停止。12月上旬まで本格的な事業活動の復旧に時間を要し、取引先への影響も多大なものとなりました。

ランサムウェア被害が発生。この1社の被害が委託元の保険会社など30社以上に連鎖し、約10万件の個人情報が漏洩しました。「取引先の被害が自社の被害になる」サプライチェーン攻撃の典型的な事例です。

「では何をすればいいのか」——難しいことから始める必要はありません。

まず以下の3点を確認してください。

VPN機器・ルーターのファームウェアが最新か確認する
テレワーク導入時に設置したVPN機器の型番を確認し、メーカーサイトで最新バージョンへの更新が済んでいるか確認しましょう。放置しているだけで攻撃の入口になります。
主要な業務システムのパスワードを見直す
使い回しのパスワード、初期設定のままのパスワードは今すぐ変更を。多要素認証（2段階認証）が設定できるシステムには必ず設定しましょう。
取引先・委託先のセキュリティ状況を把握する
サプライチェーン攻撃が増加している今、自社だけ対策しても不十分な時代になっています。主要な取引先・委託先がどのような対策をしているか、一度確認してみましょう。