なぜ大企業より中小企業が狙われる？ 攻撃者が標的を選定する基準を検証 ～ セコムトラストシステムズ SECURITY NEWS LETTER 2025 Vol.08

　「大企業の方が攻撃者に狙われやすいだろう。うちは規模が小さいから関係ない」

　セコムトラストシステムズ株式会社は日々の事業活動の中でこうした見解を耳にする機会があるという。しかし、たとえば警察庁の 2024 年のランサムウェア攻撃の被害統計は、この認識とは逆の実態を示している。

　　中小企業被害件数：140 件
　　大企業被害件数：61 件
　　団体等被害件数：21 件
　　合計：222 件

　この数値から明らかなのは、中小企業の被害件数が大企業を大幅に上回っているという事実である。企業規模とサイバー攻撃被害の相関関係においては逆転現象が生じている。

　攻撃者は必ずしも企業規模や資金力を基準として標的を選定していない。彼らが活用するのは、インターネットに接続されているデバイスを様々な角度から検索する専用の検索エンジンである。本来はデバイスの脆弱性評価や調査、監視目的に開発されたツールだが、攻撃者がこれを悪用し、秘匿性を保ちながら組織の弱点を探索に活用してしまう場合がある。脆弱性が管理されていない IT 資産を発見し、機密情報などの資産を窃取できる可能性を判断すれば、規模や資金力とは無関係に攻撃を実行するのだ。

　セコムトラストシステムズの調査によれば、国内のインターネット上で公開されている機器（アタックサーフェス）は 2,100 万件に達しており、このうち 10 ％以上で何らかのセキュリティリスクが検出されているという。攻撃者にとって標的候補となり得る機器が 210 万件超存在している計算になる。

　一方で、対策側においても大きな変化が生じている。従来の環境では、各種専用機器の購入、専門運用者の確保、専門分野のアウトソースなど、セキュリティ対策への十分な投資ができる企業だけが強固な対策を実現できる、いわばセキュリティ対策における格差が存在した。

　しかし、最新のクラウド環境では、必要なセキュリティサービスとネットワーク機能を一つに包括し、それをセキュリティベンダーが一括管理するソリューション SASE（Secure Access Service Edge）が登場し普及段階に入っている。セキュリティ対策もクラウド側で自動でバージョンアップされ、専門性の高い技術者の確保や、専用機器を保有するよりも相対的に利用しやすいコストで対策を行うことができる。

　現在セコムトラストシステムズが公開している「SECURITY NEWS LETTER 2025 Vol.08」では、これまでのセキュリティ対策と SASE の違いや、導入によって管理や運用面でどのような変化がもたらされるかなどについて約 2 ページで簡潔に解説している。

　こうした新領域のサービスや製品解説は、ともすると情報過多であり、読者にとって初見の言葉を、初見の言葉で解説するといった禁じ手が堂々と駆使されていることも少なくない。その結果、わかったような気にすらなれない資料も多いが、本 NEWS LETTER が類似のドキュメントと異なる点は、あくまで「ユーザー企業視点」に絞って、SASE によって「何が変わるのか」「どんなメリットがあるか」だけをシンプルに解説している点である。いっそ清々（すがすが）しい。

　SECURITY NEWS LETTER の巻末にはセコムトラストシステムズ社 SOC のアナリストが SHODAN 等を活用して集計した定点観測情報が掲載されている。たとえば「日本国内に VPN は 71 万 4,203 件利用されており、そのうち 35,553 件が○○社製」といった集計結果が掲載されており、信頼できる参考情報源としても活用できるだろう。

　SECURITY NEWS LETTER 2025 Vol.08 は下記 URL から要登録で無償でダウンロード可能。

　SECURITY NEWS LETTER 2025 Vol.08
　https://marketing.secomtrust.net/public/seminar/view/1321