近年、サイバー攻撃の急増を受け、サイバーセキュリティは組織にとってますます重要な課題となっています。今年は、犯罪者が人工知能（AI）を多方面で活用するようになり、デジタルシステムの複雑化とサイバー犯罪者の手口の巧妙化も進むため、サイバーセキュリティの課題はさらに複雑化するでしょう。
有効な認証情報の流出やクラウド環境における設定ミスの悪用といった新たな課題に対処するには、防御戦略を進化させる必要があります。この観点から、2025年にCISOが常に警戒すべき主な脅威を以下に挙げます。
有効な資格情報が主な焦点となります。
2024年のIBM脅威インテリジェンス指標によると、有効な認証情報の窃取を狙った攻撃が71%増加しました。サービス業では、インシデントの少なくとも46%が有効なアカウントに関連しており、製造業ではこの割合は31%でした。
2024年には初めて、有効なアカウントの悪用がシステムへの最も一般的な侵入経路となり、全インシデントの30%を占めました。これは、サイバー犯罪者にとって、脆弱性を悪用したり、フィッシング攻撃だけに頼ったりするよりも、認証情報を盗む方が簡単であることを示しています。
クラウド構成の誤りは、企業にとっての弱点です。
クラウド環境を利用する企業がこれほど多く存在する中、環境管理の複雑さは増すばかりで、課題も増え、専門人材の確保も困難になるのは当然です。クラウドにおけるデータ侵害の最も一般的な原因は、クラウド環境の設定ミス、つまりアクセス制御の欠如、ストレージバケットの保護不足、セキュリティポリシーの非効率的な実装などです。
クラウドコンピューティングのメリットは、機密データの漏洩を防ぐための綿密な監視と安全な構成とのバランスを取る必要があります。そのためには、継続的な監査、適切なIDおよびアクセス管理、そしてセキュリティインシデントに発展する前に構成ミスを検出するためのツールとプロセスの自動化など、組織全体にわたるクラウドセキュリティ戦略が必要です。
犯罪者は複数の攻撃手法を使用します。
攻撃が単一の製品や脆弱性を標的としていた時代は終わりました。今年、サイバーセキュリティにおける最も憂慮すべきトレンドの一つは、マルチベクトル攻撃と多段階アプローチの増加です。
サイバー犯罪者は、複数の領域を同時に標的とし、複数の戦術、手法、手順（TTP）を組み合わせて防御を突破しようとします。また、Webベース攻撃、ファイルベース攻撃、DNSベース攻撃、ランサムウェア攻撃の巧妙化と回避能力も向上するため、従来の独立したセキュリティツールでは、現代の脅威を効果的に防御することが困難になります。
AI 生成のランサムウェアにより脅威は飛躍的に増加します。
2024年、ランサムウェアを取り巻く状況は劇的な変貌を遂げ、サイバー恐喝戦略はますます高度化・攻撃化しました。犯罪者は従来の暗号資産ベースの攻撃を進化させ、標的組織への圧力を飛躍的に高める二重、三重の恐喝手法を開拓しました。これらの高度な手法は、データの暗号化だけでなく、機密情報を戦略的に盗み出し、公開を脅迫することで、被害者に法的リスクや風評被害を回避するための身代金支払いを迫ります。
ランサムウェア・アズ・ア・サービス（RaaS）プラットフォームの出現により、サイバー犯罪は民主化され、技術スキルの低い犯罪者でも最小限の知識で複雑な攻撃を実行できるようになりました。特に重要なのは、これらの攻撃が医療、重要インフラ、金融サービスといった高価値セクターを標的とするケースが増えていることです。これは、身代金の回収を最大化するための戦略的なアプローチを示唆しています。
技術革新はこれらの脅威をさらに増幅させています。サイバー犯罪者は現在、AIを活用してキャンペーン作成の自動化、システムの脆弱性の効率的な特定、ランサムウェアの配信の最適化を行っています。高スループットのブロックチェーン技術の統合と分散型金融（DeFi）プラットフォームの活用は、迅速な資金移動と取引の難読化のための新たなメカニズムをもたらし、当局による追跡と介入を著しく困難にしています。
AI によって生成されたフィッシング攻撃が問題になります。
サイバー犯罪者によるフィッシング攻撃の作成に生成AIが利用されるようになり、フィッシングメールと正規のメールの区別が事実上不可能になっています。Palo Alto Networksの情報によると、昨年、生成AIシステムによってメールが作成または書き換えられた場合、フィッシング攻撃の成功率が30%増加しました。最後の砦としての人間の信頼性はさらに低下し、企業はこれらの高度な攻撃から身を守るために、高度なAIを活用したセキュリティ対策に頼るようになるでしょう。
量子コンピューティングはセキュリティ上の課題を生み出すでしょう。
昨年10月、中国の研究者たちは、量子コンピュータを用いてRSA暗号（現在広く使用されている非対称暗号方式）を解読したと発表した。研究者たちは50ビットの鍵を使用したが、これは最新の暗号鍵（通常は1024～2048ビット）と比較すると小さい。
理論上、量子コンピュータは、従来のコンピュータでは数百万年かかる問題をわずか数秒で解くことができます。これは、量子コンピュータが現在のように逐次的に計算するだけでなく、並列に計算を処理できるためです。量子ベースの攻撃はまだ数年先のことですが、組織は今から準備を始めるべきです。最も貴重なデータを保護するために、量子復号に耐えられる暗号化方式に移行する必要があります。
