検知件数と被害件数の違い
サイバー攻撃の報告で「793億件」と聞くと、被害が急増しているように感じるかもしれません。米Comcast Businessが10月5日に公表した2026年版の脅威レポートには、この数字の読み方を考える材料があります。
対象は、2025年3月1日から2026年2月28日までに、同社のセキュリティサービス利用顧客で検知された出来事です。匿名化・集約したデータであり、793億社が被害を受けたという意味ではありません。公表資料では対象顧客の国別構成も示されていないため、「米国企業全体の被害件数」とも言えません。
さらに、今回はデータの範囲と分析方法が変わっており、過去の報告の総件数とは比較できないと明記されています。新しい数字が大きいからといって、そのまま攻撃の増加率に置き換えることはできません。
ブラウザーへの不正アクセスの試み
報告では、フィッシングに分類された検知が254億件に上りました。もう一つ、身近な仕事道具との関係で注目したいのが、ブラウザーへの不正アクセスを狙う580万件の試みです。悪意ある拡張機能、ブラウザーの同期、ログイン状態の乗っ取りなどが挙げられています。これも成功した侵入件数ではありません。
ブラウザーは、社内の連絡、請求書、顧客情報などに接する入口です。翻訳や画面保存を便利にする拡張機能も、仕事の情報に触れる権限を持つ場合があります。パソコン本体だけでなく、追加された拡張機能も管理の対象になります。
米カリフォルニア大学バークレー校の情報セキュリティ部門は、拡張機能を必要なものに絞り、権限を確認し、不要なものを削除するよう案内しています。信頼できる配布元でも、安全が保証されるわけではないという注意も添えています。
ブラウザーと拡張機能の管理方法
見直しを始めるなら、「もっと気をつけましょう」という一斉メールだけで終わらせず、確認する対象と担当を決めたいところです。
例えば、経理など一つの部署を選び、業務で使うブラウザーと拡張機能を書き出します。それぞれについて、用途、必要な権限、問い合わせ先を確認します。利用目的を説明できないものや、以前の仕事のために入れたままのものは、業務への影響を確かめて整理する候補になります。
あわせて、重要な業務サービスで多要素認証が使われているかも点検します。これはパスワードに加え、手元の端末などでも本人を確かめる仕組みです。米国立標準技術研究所は、提供されているサービスでの利用を勧める一方、SMSのコードなどにはフィッシングに弱い方式もあると説明しています。「設定済み」の一言で確認を終えないことも大切です。
点検結果は、未確認の項目と対応する人を残せば、次の見直しにつながります。大きな脅威の数字を、自社の被害確率として恐れる必要はありません。ブラウザーと拡張機能の管理者や利用目的を整理する際に、海外の調査を参考にできます。
データ：公表値3件のCSVをダウンロード ／ 対象範囲と整理方法