【2023年版】「情報セキュリティ10大脅威」を徹底解説！組織・企業向け 

2023年1月25日に情報処理推進機構（IPA）から「情報セキュリティ10大脅威 2023」が発表されました。

犯罪のビジネス化（アンダーグラウンドサービス）が6年ぶりにランクインするなど、情報セキュリティにおける影響度に合わせた変化がありました。昨今の情報セキュリティ被害の把握と、対策を考える上で是非参考にしてみてください。

本記事では「情報セキュリティ 10大脅威」とは何か、2023年の10大脅威について組織・企業向けに解説します。

情報セキュリティ 10大脅威とは？

「情報セキュリティ 10大脅威」とは、その年に社会的に影響が大きかった情報セキュリティの事故・事案から、IPA (Information-technology Promotion Agency：情報処理推進機構)が候補を選び、「10大脅威候補委員会」が審議・投票を行って決めたランキングのことです。

情報セキュリティ 10大脅威は毎年公開されており、前年に発生した情報セキュリティの事故・事案の影響度・発生件数などをもとに決定されます。

2022年度版のランキングと比較したい方は、以下の記事を参考にしてください。
【2022年版】情報セキュリティ10大脅威を解説（組織・企業向け）

情報セキュリティ 10大脅威 2023年版(組織)

2023年の情報セキュリティ 10大脅威は、以下のような結果となりました。

・3年連続で「ランサムウェアによる被害」が1位に
・「犯罪のビジネス化（アンダーグラウンドサービス）」が6年ぶりにランクイン
・9位までの脅威の種類は2022年と変化なし

参照：情報セキュリティ10大脅威 2023

2023年の組織（企業）向けのランキングは以下の通りです。

1. ランサムウェアによる被害（昨年1位）

2. サプライチェーンの弱点を悪用した攻撃（昨年3位）

3. 標的型攻撃による機密情報の窃取（昨年2位）

4. 内部不正による情報漏えい（昨年5位）

5. テレワーク等のニューノーマルな働き方を狙った攻撃（昨年4位）

6. 修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）（昨年7位）

7. ビジネスメール詐欺による金銭被害 （昨年8位）

8. 脆弱性対策情報の公開に伴う悪用増加（昨年6位）

9. 不注意による情報漏えい等の被害（昨年10位）

10. 犯罪のビジネス化（アンダーグラウンドサービス）（NEW）

それぞれの脅威について、2022年度のランキング順位と比較しながら解説します。

第1位：ランサムウェアによる被害

ランサムウェアとは「身代金要求型ウイルス」とも呼ばれる、Ransom(身代金)とSoftware(ソフトウェア)を組み合わせた造語です。

ランサムウェアに感染すると、システムに保存されている情報が暗号化されたり、デバイスがロックされ使えない状態になり、それを解除する代わりに金銭を要求されます。

また、機密情報の流出による社会的信用の低下や、端末の不正操作による新たなサイバー攻撃の被害などのリスクも考えられます。

「ランサムウェアによる被害」は3年連続で1位で、被害件数・影響度ともに大きな脅威と言えます。

第2位：サプライチェーンの弱点を悪用した攻撃

「サプライチェーンの弱点を悪用した攻撃」とは、サプライチェーンに関わる組織・企業やサービスの脆弱性を狙って仕掛けられるサイバー攻撃のことを指します。

製品の構築プロセスに関与する組織・企業・サービスなどに攻撃を仕掛けることで、単体では強固な情報セキュリティ体制を持つ企業への攻撃が可能になります。自社のセキュリティ対策に問題はなくても、発注先や利用サービスに脆弱性があれば間接的に攻撃を受ける可能性があるため、対策が難しい点が厄介な部分です。

「サプライチェーンの弱点を悪用した攻撃」は2022年から順位が1つ上がり、2位になりました。

第3位：標的型攻撃による機密情報の窃取

標的型攻撃とは、特定のターゲットを狙って行われるサイバー攻撃の総称です。よくある手口としては、偽装メールを送り、添付ファイルやURLを開いた端末をウイルスに感染させることで、不正にシステムへ侵入します。

Webサイトの内容の改ざんや個人情報や顧客情報などの機密データ流出などの被害が多発し、上位にランクインしました。

第4位：内部不正による情報漏えい

内部不正とは、組織・企業内の人間による情報漏えいのことを指します。

悪意を持った第三者からの攻撃への対策はもちろん、自社内での情報セキュリティに関するルールづくり、従業員にルールを徹底させる仕組みづくりが必要です。

IPAの調査では、情報の漏出経路として「中途退職者(役員・正規社員)による漏えい」が36.3%、「現職従業員等の誤操作・誤認等による漏えい」が21.2%、「現職従業員等のルール不徹底による漏えい」が19.5%と報告されています。

参考：組織における内部不正防止ガイドライン

「内部不正による情報漏えい」は依然として件数が多く、4位に浮上しています。

第5位：テレワーク等のニューノーマルな働き方を狙った攻撃

新型コロナウイルスの影響で増加した「テレワーク等のニューノーマルな働き方を狙った攻撃」が5位にランクインしました。テレワーク・リモートワークという新しい働き方に対応するために導入したソフトウェアの脆弱性を狙ったサイバー攻撃が増えています。

それだけでなく、テレワークにより増加した自宅・社外での業務中のデータの取り扱いについても該当します。管理体制・ルールが不十分な状態でのテレワークが脆弱性を生み出す要因になっています。

第6位：修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）

ゼロデイ攻撃とは、把握できていないソフトウェアの脆弱性を見つけ、修正される前に即座に仕掛けられるサイバー攻撃のことを言います。脆弱性の発見から対策までの短い期間「zero day」から、その名前がつけられています。

ゼロデイ攻撃はそもそも未発見の脆弱性を狙って行われるため、対策が非常に難しいという特徴があります。

「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」は2022年度7位から順位を1つ上げ、6位にランクインしました。

第7位：ビジネスメール詐欺による金銭被害

「ビジネスメール詐欺による金銭被害」とは、取引先からメールで送られてきた請求書に対して振り込みを行ったところ、実はその請求書は偽物で金銭を騙し取られてしまったというケースが該当します。

近年手口は巧妙化しており、取引相手のメールアドレスと誤認しやすいアドレスを使ったり、経営者や弁護士など権威のある人間になりすますといった、ターゲットを騙すための様々な手口があります。

「ビジネスメール詐欺による金銭被害」の2022年度の順位は8位で、2023年度は7位に上昇しました。

第8位：脆弱性対策情報の公開に伴う悪用増加

ソフトウェアの公式サイトには、脆弱性に関する情報と対策が公表されているケースがあります。この情報を元に、脆弱性を含んだソフトウェアをそのまま使い続けている利用者を狙って攻撃が仕掛けられることがあります。提供者側が脆弱性に対する改善策を公開していても、利用者自身がその対策を行わなければ攻撃を防ぐことはできません。

「脆弱性対策情報の公開に伴う悪用増加」の2022年度の順位は6位で、順位自体は2つ下がる結果となりました。

第9位：不注意による情報漏えい等の被害

「不注意による情報漏えい等の被害」は、簡潔に言えば従業員の方の業務上のミスによる情報漏えいのことを指します。昨年の10位に引き続き9位にランクインしており、メールの送信先を間違える・パソコンやUSBメモリの紛失などの事故は発生し続けています。

第10位：犯罪のビジネス化（アンダーグラウンドサービス）

犯罪のビジネス化（アンダーグラウンドサービス）は6年ぶりにランクインしました。

アンダーグラウンドサービスとは、サイバー攻撃を目的とした不正プログラムの取引が行われていることや、それを支援するための犯罪者同士のコミュニティ・サービスが存在する状況をことを指します。

近年では、サイバー攻撃ツールだけでなく、不正に入手した個人情報や窃取された文書なども取引の対象となっています。

こういった環境の変化により、より多くの人がサイバー攻撃を実行できるようになってしまい、サイバー攻撃が増加している要因の一つとなっています。

最新の10大脅威ランキングを参考に対策を

2023年版の情報セキュリティ10大脅威(組織・企業向け)を紹介しました。

ランキング上位の脅威の対策だけで十分とは言えません。このランキングはあくまで参考として考え、自社にとって適切な対策は何かを洗い出す機会にしてみてはいかがでしょうか。

また、今年からIPAによって各脅威に共通する対策を具体的に解説する「共通対策」が作成されます。2月下旬にIPAの公式サイトで公開される予定なので、その他解説書も含めて確認するようにしましょう。

参考：情報セキュリティ10大脅威 2023 / 資料のダウンロード

個人向けの2023年版情報セキュリティ10大脅威については、こちらの記事で紹介しています。
【2023年版】情報セキュリティ10大脅威を解説（個人向け）