「2026年ベライゾン・データ侵害調査報告書：変化に直面しても揺るぎない基盤」
ベライゾンが発表した第19回「データ侵害調査報告書（DBIR）」は、2024年10月から2025年11月にかけて発生した3万1,000件以上のサイバーインシデントを網羅しており、145カ国の被害者が対象となっている。
今回もまた、情報漏洩件数は過去最高を更新し、ベライゾンの研究者が精査した中で最大規模となった。3万1,000件を超えるインシデントのうち、2万2,000件以上が確認された。
このレポートに全体的なテーマを挙げるとすれば、それは「変化に直面しても強固な基盤を維持すること」でしょう。 現代生活のあらゆる側面で、変化がこれまで以上に急速なペースで私たちに迫っていることは、誰もが認めるところでしょう……。脅威の状況が絶えず進化し変化し続ける中でも、2026年版のDBIRでは、こうしたあらゆる変化に立ち向かう最善の策として、サイバーセキュリティの基礎の重要性を再考するよう読者に呼びかけています。いわば、ちょっとした「サイバー・ストイシズム」と言えるでしょう。
6つの主要な調査結果
報告書に記載された情報漏洩事例の78％が、システム侵入（61％）またはソーシャルエンジニアリング（17％）のいずれかに分類されていることを踏まえ、著者らは以下の傾向を指摘している：
1. 脆弱性の悪用が増加している
情報漏洩の31％がこのカテゴリーに該当し、犯罪者はパッチが適用されていないソフトウェア、ハードウェアの欠陥、またはシステムの設定ミスを悪用してネットワークへのアクセス権を取得しています。これは本報告書において最も一般的な初期アクセス経路であり、昨年は認証情報の悪用が初期アクセス経路のトップを占めていました。
2. ランサムウェアの増加
被害者の大半は身代金の支払いを拒否し、不払い率は69％に達したものの、報告書に記載されたデータ侵害の48％はランサムウェアによるものでした。身代金の支払額の中央値は、2025年の15万ドルから13万9,875ドルへと減少しました。ランサムウェアとフィッシングの相互関係について詳しくは、こちらの記事をご覧ください。
3. 第三者による情報漏洩の相乗効果
サードパーティが関与する情報漏洩は、昨年比で60％増加し、全体の48％を占めるようになった。これは単純な数字の問題だ。企業がより多くのサービスをクラウドに移行すればするほど、情報漏洩のリスクは高まる。ベライゾンは、情報漏洩の集計において、以下の3種類のサードパーティとの関係性を考慮している：
- 組織のソフトウェア・サプライチェーンにおけるベンダー
- 組織のデータをホストしているベンダー
- 組織の環境に接続されたベンダー
犯罪者たちは、こうした関係性、さらにはそれらの組み合わせを悪用して、攻撃を成功させている。DBIRチームは、多要素認証（MFA）の未導入、認証情報の更新不備、および最小権限原則の徹底不足を、これらの情報漏洩における根本的な問題として指摘している。
4. 影に潜むAI
犯罪者は、標的の選定、初期アクセス、マルウェアの開発など、攻撃のさまざまな段階で、生成AIやその他のAI技術を平均15回利用している。一部の侵害事例では、1回の攻撃でAIが最大50回も使用されたケースもある。
DBIRの執筆陣によると、組織の承認済み技術リストに含まれていないサービスである「シャドウAI」は依然として懸念事項となっており、67％のユーザーが社用デバイス上で社外アカウント情報を使用してこれを利用しているという。シャドウAIは、検出された非悪意のある内部関係者による行動の中で3番目に多いものへと拡大しており、その割合は4倍に増加した。
5. ソーシャルエンジニアリング：常に有効
ソーシャルエンジニアリングは、2018年以降、実際に侵害を成功させてきた攻撃手法です。2026年のDBIRによると、これは3番目に多い侵害原因であり、全侵害の17％を占めています。ソーシャルエンジニアリングの分野で活動する犯罪者にとって、電子メールは依然として主要な攻撃手段であり、特にモバイルデバイスに対する攻撃においてその傾向が顕著です。プレテクスティングやAIを活用したフィッシングにより、攻撃者はソーシャルエンジニアリングをより説得力のあるものにし、成功率を高め、攻撃の規模を拡大できるようになっています。
長年にわたり攻撃者に好まれてきた「ソーシャルエンジニアリング」もまた進化を続けており、攻撃者は、仕事中の被害者を不意を突くために、音声やその他のモバイル中心の手法をますます多用するようになっている。
6. 誘い文句と嘘：フィッシングとプレテクスティング
フィッシングは、DBIRで報告された数千件のデータ侵害において共通して見られる要素であり、初期アクセス経路の16％を占めています。AIを活用した初期アクセス経路のカテゴリーでは、フィッシングの割合が44％にまで上昇しました。
「プレテクスティング」とは、犯罪者が詐欺行為に先立ち信頼関係を築く手口であり、ランサムウェアや恐喝攻撃において一般的な手法として定着しつつあります。今年の報告書によると、情報漏洩事件の6％でこの手口が確認されています。悪意のある攻撃者は、電子メール、テキストメッセージ、電話を組み合わせて被害者を誘い込み、詐欺の土台を築いています。
DMARCとdmarcianで基本に立ち返る
DBIRチームが指摘しているように、攻撃者がデジタル環境に侵入するのを阻止する上で、「基本をしっかりと押さえる」ことの重要性は、いくら強調してもしすぎることはない。
DMARCは、ソーシャルエンジニアリングやフィッシング攻撃を行う犯罪者からインターネットドメインを保護する役割を果たします。結果として、組織がメールをドメインベースのサービスとして管理するための基盤となるのです。
DMARCがなりすまし対策技術として有用である理由は、はるかに重要な革新にある。悪意のあるメールをフィルタリングして排除しようとするのではなく、正当なメールを簡単に識別できる手段を運用者に提供してはどうか、という発想だ。DMARCが約束するのは、「悪質なメールを排除する」という従来のセキュリティモデルに、「正当なメールを許可する」というモデルを組み合わせることである。
dmarcianの使命は、DMARCの普遍的な導入を実現することです。私たちは、この技術を推進し、あらゆる規模や形態の組織がDMARCを導入できるよう支援することで、その発展に貢献しています。適切に構築されたDMARC環境は、組織の信頼できるオンラインプレゼンスの基盤となります。
当社は、お客様のドメインカタログの評価を支援し、DMARCの導入および長期的な運用管理をサポートいたします。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
