記録された事例の51.3％がDoS/DDoS
EUのサイバーセキュリティ機関ENISAは2026年9月22日、年次報告「ENISA Threat Landscape 2026」を公表しました。対象期間は2025年1〜12月。公開情報や加盟国などからの匿名情報を基に、8,257件のインシデントを収集・分析しています。
記録された事例の51.3％は、通信などでサービスの利用を妨げるDoS/DDoS、39.5％は不正アクセスでした。これは企業の被害率ではなく、収集した事例の構成比です。攻撃側の主張も含み、欧州の全被害を網羅する統計ではありません。
報告書は、件数ではDoS/DDoSが多い一方、短期的な影響ではランサムウェアなどの金銭目的の活動を重視しています。件数の順位だけで、対策予算や優先順位を決めることはできません。
委託先への攻撃が顧客企業に及ぶ
報告書が繰り返し取り上げるのが、ソフトウェア供給元や外部サービスを通じた被害の広がりです。自社の端末やサーバーに加え、情報を預ける相手や接続先も管理の対象になります。
掲載事例の一つである航空会社KLMは、2025年8月6日、顧客対応に使う外部基盤で顧客情報への不正アクセスがあったと公表しました。同社によれば、内部システムは影響を受けていません。内部への侵入と、委託先にある顧客情報へのアクセスは、分けて把握する必要があります。
外部サービスを利用する企業では、契約先の名前が分かっていても、どの情報を渡し、何の業務に依存しているかが部門ごとに分かれている場合があります。問題が起きたときに対象を絞れるよう、購買・業務・ITの情報をつなげます。
預ける情報と接続権限を一覧にする
英国NCSCの指針は、委託先と再委託先の関係、提供されるサービス、情報の流れ、連絡先などを記録するよう勧めています。まず重要な業務を支える直接の契約先から整理し、必要に応じて再委託先へ範囲を広げます。
例えば顧客対応の外部基盤なら、顧客名や問い合わせ本文の保存先、他の業務システムとの接続、保守担当者のアクセス権を一覧にします。利用目的に不要な情報や権限が残っていれば、担当部門と委託先で削減の対象にします。契約終了や担当交代の際に、誰が権限を止めるかも決めます。
同じ提供会社に複数の業務が集中していないか、障害時にどこまで影響するかも整理します。別々の契約でも、同じ再委託先に依存していれば、同時に影響を受ける可能性があります。請求先の違いだけで分散できていると判断せず、重要なサービスの接続関係をたどります。
一覧は導入時に作って終わりにせず、サービスや接続先を変えた際に更新し、閲覧できる担当者も限定します。
最終確認日：2026年10月26日。数値はENISAの公表値で、独自調査や個票の再集計ではありません。本文第3節はNCSCの指針を基にした業務上の整理例です。記録の件数・企業数・被害確率を区別し、丸め済みの割合から件数を逆算していません。