>
>
公開日
最終更新日
APT攻撃は、特定の企業や組織を狙って侵入し、発見を避けながら機密情報の窃取や業務妨害を続ける持続的なサイバー攻撃です。侵入口は標的型メールだけでなく、VPN機器、クラウドアカウント、海外拠点、取引先にも広がっています。
国内企業では攻撃発生から発覚まで平均397日かかる一方、攻撃者がActive Directoryへ到達するまでの時間は平均16時間未満との調査もあります。侵入を完全に防ぐ発想だけでは、この時間差に対処できません。
本記事では、APTとは何かを初めて調べる担当者にも分かるよう、読み方、攻撃の流れ、国内の被害事例を整理します。さらに、50名未満、50〜300名、300名超の企業規模別に、APTへの対応と防御策を具体化します。
APT攻撃とは
APT攻撃とは、特定の組織へ継続的に侵入し、機密情報の窃取や破壊、金銭獲得などの目的を達成するまで活動を続ける高度な脅威です。
本記事のポイント
APT攻撃の読み方は「エー・ピー・ティー」で、長期潜伏と標的の明確さが特徴です。
国内調査では攻撃発生から発覚まで平均397日かかる一方、ADへの到達は平均16時間未満です。
生成AI、VPNの脆弱性、取引先を経由するサプライチェーン攻撃への対応が欠かせません。
MFA（多要素認証）と脆弱性管理に加え、EDR（端末検知・対応）とSOC（監視センター）またはMDR（検知・対応の外部委託サービス）を組み合わせた侵入前提の防御を構築します。
APTの読み方と英単語の意味
APTの読み方は「エー・ピー・ティー」です。Advanced Persistent Threatの頭文字で、日本語では「高度で持続的な脅威」や「高度標的型攻撃」と表現されます。
Advanced：ゼロデイ脆弱性、独自マルウェア、正規の管理ツールなどを組み合わせる高度な手法を指します。
Persistent：侵入経路を複数確保し、見つかっても再侵入しながら活動を継続する性質を指します。
Threat：技術的手法だけでなく、明確な目的と資金を持つ組織的な脅威全体を指します。セキュリティ文脈では「APT28」「APT41」のように攻撃主体（脅威アクター）そのものを指す場合と、その活動やキャンペーン全体を指す場合があり、文脈によって意味が異なります。
APTをセキュリティ用語として捉える際は、特定のマルウェア名ではなく、偵察、侵入、権限昇格、横展開、情報窃取までを含む一連の活動だと理解すると実態に近づきます。目的は諜報や知的財産の窃取に限らず、金銭獲得、事業停止、社会的混乱を狙う場合もあります。
2026年に警戒する生成AIと国家関与型攻撃
2026年のAPT攻撃では、生成AIによる情報収集と標的型メールの精巧化が防御側の負担を増やしています。IPAは「情報セキュリティ10大脅威 2026」の組織向け脅威で「AIの利用をめぐるサイバーリスク」を3位に初選出しました。
攻撃者は企業のWebサイト、採用情報、SNS、IR資料から担当者や商流を把握し、実在する案件に沿った自然な日本語メールを短時間で作成できます。誤字や不自然な表現だけで判定する教育では不十分です。送信元ドメイン、リンク先、添付ファイル、通常と異なる依頼手順を組み合わせて判断する訓練へ切り替えます。
警察庁と内閣サイバーセキュリティセンターは2025年1月、日本の組織や個人を標的とするMirrorFaceの攻撃活動について注意喚起しました。官公庁やシンクタンクだけでなく、先端技術、外交、安全保障に関わる情報を保有する民間企業も攻撃対象になります。
能動的サイバー防御に関する法制度の影響
2025年5月に成立したサイバー対処能力強化法と整備法は、官民連携による情報共有や通信情報の利用、攻撃元サーバーの無害化などを制度化するものです。本記事の基準日である2026年8月時点では、2026年10月1日の施行に向けた対応が進められています。法令の条文・対象範囲は、内閣サイバーセキュリティセンター（NISC）が公開する「能動的サイバー防御に関する法整備」ページおよびe-Gov法令検索で原文を確認できます。対象事業者に該当するかどうかは所管省庁の政令・ガイドラインで判断が変わるため、該当可能性がある場合は所管省庁への確認を優先します。
直接の対象となる基幹インフラ事業者だけでなく、そのシステム開発会社、保守会社、クラウド事業者、部品供給会社にも影響します。取引先からインシデント報告時間、ログ保管、脆弱性対応、再委託先管理を契約条件として提示された場合、対応できれば取引を継続しやすくなり、対応できなければ改善計画や代替統制の提示が判断材料になります。
APT攻撃と一般的なサイバー攻撃の違い
APT攻撃は、標的、目的、潜伏期間、攻撃者の体制が明確であり、不特定多数を狙うばらまき型攻撃とは防御の考え方が異なります。
ばらまき型・標的型・ランサムウェアとの比較
APT攻撃と標的型攻撃は重なる部分がありますが、完全な同義語ではありません。標的型攻撃は対象を絞った攻撃全般を指し、APTはその中でも長期的かつ組織的に目的を追求する活動を指します。
比較軸 | APT攻撃 | 一般的なばらまき型攻撃 | ランサムウェア攻撃 |
|---|---|---|---|
主な標的 | 事前調査で選定した企業、政府機関、研究機関 | 不特定多数の個人や組織 | 支払い能力や侵入しやすさを基準に選ばれた組織 |
主な目的 | 機密情報の窃取、諜報、妨害、金銭獲得 | 認証情報や金銭の窃取 | 暗号化、情報暴露による身代金要求 |
活動期間 | 数カ月から年単位 | 短期間で完了する場合が多い | 侵入調査後、数日から数週間で暗号化する場合がある |
攻撃手法 | 複数の侵入口、権限昇格、横展開、痕跡隠蔽 | 共通のメール文面や既知マルウェア | VPN侵入、認証情報窃取、バックアップ破壊 |
主要な防御 | MFA、EDR/XDR、長期ログ、SOC/MDR、最小権限 | メール対策、Webフィルタリング、教育 | EDR、ネットワーク分離、変更不能なバックアップ |
近年のランサムウェアは、侵入後に長期間調査して管理者権限を奪うため、APT型の手法と重なります。「APTは国家による諜報活動だけ」と限定すると、金銭目的の高度な攻撃を見落とします。
平均397日の発覚遅延と16時間未満のAD到達
株式会社サイバーセキュリティクラウドは2024年2月、国内インシデント公表事例を分析した「サイバー攻撃の発覚に関する実態調査」（同社ブログ・プレスリリースで公開）において、サイバー攻撃の発生から発覚までの平均期間を約397日と報告しています。一方、ソフォスは2023年公表の「Active Adversary Report」において、攻撃者が侵入後にActive Directoryへアクセスするまでの時間を平均16時間未満と報告しています。同レポートはSophos公式サイト（sophos.com）で参照できます。
Active Directoryは、社内アカウント、PC、サーバー、アクセス権限を集中管理する基盤です。ここを奪われると、攻撃者は管理者として端末へ不正プログラムを配布し、ログを削除し、セキュリティ機能を無効化できます。
なお、前者はサイバーセキュリティクラウドによる国内インシデント公表事例の分析、後者はソフォスによる海外インシデント対応データの分析であり、調査主体・対象・算出方法が異なります。両数値を同一母集団の比較として扱うことはできませんが、この対比が示す実務上の課題は、最初の1日で被害拡大の条件が整う一方、調査に必要なログが発覚時には消えている可能性がある点です。397日という平均に備えるなら、認証ログ、EDRログ、VPNログ、クラウド監査ログを少なくとも13カ月追跡できる設計にします。保管費を確保できない場合は、高リスクの管理者操作と外部通信から長期保存の対象を絞ります。
国内企業の被害経験率と損失規模
帝国データバンクの「サイバー攻撃に関する企業の実態アンケート（2025年）」では、国内企業の32.0％がサイバー攻撃を受けた経験があると回答しました。規模別では大企業が41.9％、中小企業が30.3％で、中小企業も約3社に1社が被害を経験しています。
トレンドマイクロが2024年末に公表した国内法人調査では、調査、復旧、事業停止、再発防止などを含む過去3年間の累計被害額は平均1.7億円でした。ランサムウェア被害を経験した企業では平均2.2億円です。セキュリティ投資は製品費だけでなく、停止した場合の売上、復旧要員、顧客対応、法務対応と比較して判断します。
▲ APT攻撃・ばらまき型攻撃・ランサムウェア攻撃の特徴と防御アプローチの比較
APT攻撃で用いられる手口と攻撃の流れ
APT攻撃は、偵察から初期侵入、権限昇格、横展開、情報窃取まで複数の手口を連結し、正規の操作に紛れて進行します。
公開情報を利用した事前偵察
攻撃者は、企業サイト、SNS、求人票、技術ブログ、漏えい済み認証情報を調べ、利用製品や組織図、取引関係を推定します。求人票に記載されたVPN製品やクラウド基盤の情報が、脆弱性を選ぶ材料になる場合もあります。
防御側は最新の脅威情報を扱う脅威インテリジェンスと、外部公開資産を洗い出すASMを組み合わせます。自社ドメインにひも付くサーバー、VPN、開発環境、放置されたクラウド資産を一覧化できれば脆弱性診断へ進み、所有者が不明なら通信を制限してから廃止または管理移管を判断します。
生成AIを悪用した標的型メール
標的型メールでは、取引先や役員になりすまし、添付ファイルを開かせたり、偽の認証ページへ誘導したりします。生成AIを使えば、自然な敬語、業界用語、過去の発表内容を含むメールを大量に作成できます。
添付ファイルを開かない教育だけでは、クラウド共有リンクやQRコードを使う攻撃を防げません。請求先口座の変更、パスワード再入力、MFAの再登録、緊急送金などを高リスク操作として定義し、メール以外の経路で依頼者を確認する手順を設けます。
VPN機器とクラウドアカウントへの侵入
外部公開されたVPNやファイアウォールの脆弱性は、メールを経由せず社内へ侵入できる入口です。保守期限が切れた機器、管理画面の公開、パッチ適用の遅れ、使われていないアカウントが狙われます。
正規のIDとパスワードを盗んだ攻撃者は、通常のログインに見える形で侵入します。管理者にはフィッシング耐性のあるFIDO2セキュリティキーやパスキーを適用し、一般利用者にもMFAを展開します。SMSやワンタイムパスワードは単要素認証より強固ですが、偽サイトへ入力させるリアルタイムフィッシングには注意が残ります。
水飲み場攻撃とサプライチェーン攻撃
水飲み場攻撃は、標的組織の従業員が利用する業界団体や取引先のWebサイトを改ざんし、訪問者を不正サイトへ誘導する手口です。利用者が信頼するサイトを入口にするため、URLの知名度だけでは安全性を判断できません。
サプライチェーン攻撃では、本来の標的より防御が手薄な取引先、海外子会社、保守事業者、ソフトウェア更新基盤へ先に侵入します。奪ったリモート保守アカウントや正規の更新機能を使えば、接続を許可している顧客へ攻撃を広げられます。委託先には「認証方式」「事故報告時間」「ログ保管期間」「再委託の有無」を同じ質問票で確認し、基準未達なら接続範囲の縮小や期限付き改善計画へ切り替えます。
権限昇格とラテラルムーブメント
侵入後の攻撃者は、端末内の認証情報を盗み、管理者権限を取得し、別の端末やサーバーへ横移動します。この動きをラテラルムーブメントと呼びます。PowerShellやリモートデスクトップなど正規ツールも使われるため、ファイル名だけを調べる従来型アンチウイルスでは判別が困難です。
防御側は、管理者権限の付与、認証失敗、通常と異なる時間帯のログイン、端末間通信、セキュリティ設定の変更を関連付けて監視します。攻撃工程の整理にはMITRE ATT&CKの解説と、MITRE ATT&CK公式ナレッジベースを利用できます。
情報窃取と痕跡の隠蔽
攻撃者は収集した情報を圧縮・暗号化し、通常のHTTPS通信やクラウドストレージに紛れて外部へ送信します。C2サーバーとの通信頻度を下げ、ログを削除して長期潜伏する場合もあります。
DLPは単に機密情報へタグを付ける製品ではありません。内容検査、分類ラベル、送信先、操作する利用者、メールやWebなどの経路をポリシーで判定し、警告または遮断します。誤検知が多い場合は全通信を直ちに遮断せず、機密度の高い設計情報や個人情報から監視モードで検証します。
▲ APT攻撃が進行する4つの基本フェーズと長期潜伏の構造
国内で起きたAPT型攻撃とサプライチェーン被害の事例
国内事例からは、APTと公式認定されていない攻撃でも、侵入、権限奪取、横展開、情報窃取という共通工程に備える必要性が分かります。
KADOKAWAグループのランサムウェア被害
KADOKAWAグループは2024年6月、ニコニコを中心とするサービス群のサーバーがランサムウェアを含む大規模なサイバー攻撃を受けたと発表しました。ニコニコ動画は約2カ月にわたって停止し、同社は2024年8月、社外クリエイターや従業員など合計254,241人分の個人情報が漏えいしたと公表しています。
この事例では、サービス停止だけでなく、取引先やクリエイターへの連絡、情報漏えい調査、基盤の再構築まで影響が広がりました。復旧計画ではサーバーの再起動順だけでなく、本人通知、問い合わせ窓口、代替サービス、取引先への報告を含めます。
アサヒグループホールディングスのシステム障害
アサヒグループホールディングスは2025年、サイバー攻撃に伴うシステム障害を公表しました。ランサムウェアグループのQilinが関与を主張したとの外部情報がある一方、同社の公式発表は攻撃主体をQilinと断定していません。攻撃者名は、企業発表、捜査機関の発表、第三者分析を分けて扱います。
製造業では受注、出荷、在庫、工場の制御が連携しているため、情報系システムの障害でもサプライチェーン全体へ影響が及びます。工場ネットワークと業務ネットワークの接続点を把握し、手作業による受注や出荷へ切り替える条件を事業継続計画に記載します。
小島プレス工業を起点としたトヨタ自動車の停止
小島プレス工業が2022年に受けたサイバー攻撃の影響で、トヨタ自動車は国内全14工場28ラインの稼働を一時停止しました。2022年時点の事例ですが、取引先1社の障害が大企業の生産全体へ波及するサプライチェーンリスクを具体化しています。現在は接続環境や対策状況が変化している可能性があるため、当時の構成を現行環境と同一視はできません。
発注元が強固でも、部品会社や保守会社の業務が止まれば生産は継続できません。委託先評価を個人情報の有無だけで判断せず、「停止した場合に自社業務が何時間で止まるか」という事業影響で優先順位を付けます。
企業・発生年 | 業種・規模 | 発生した影響 | 実務上の教訓 |
|---|---|---|---|
KADOKAWAグループ・2024年 | 出版・Webサービス、大企業グループ | 主要サービスが約2カ月停止し、254,241人分の個人情報が漏えい | 復旧、顧客対応、外部公表を並行できる体制を準備 |
アサヒグループHD・2025年 | 飲料・食品、大企業グループ | サイバー攻撃に伴うシステム障害 | 受発注と生産の代替手順、ITと工場間の分離を整備 |
小島プレス工業／トヨタ自動車・2022年 | 自動車部品・自動車、大規模サプライチェーン | 国内14工場28ラインが一時停止 | 取引先の停止を含む事業継続計画を策定 |
国内企業のゼロトラスト・EDR導入事例
被害事例と併せて、境界防御から侵入前提の対策へ移行した企業の取り組みも参考になります。導入製品だけでなく、対象範囲、移行期間、運用責任を見ると自社へ適用しやすくなります。
企業 | 業種・規模 | 導入時期・期間 | 課題 | 施策と成果 |
|---|---|---|---|---|
富士フイルムホールディングス | 製造業・グローバル企業 | 構想から約半年で展開 | 境界防御だけでは端末侵害後の挙動を追跡しにくい | PCなどを監視するEDRを導入し、端末上の不審な挙動を可視化 |
住友商事 | 総合商社・グローバル企業 | 段階導入、公開事例では全体完了年を非公表 | 国やグループ会社ごとに異なる認証・監視環境 | Microsoft 365 E5などを軸にIDとセキュリティ管理を統合 |
武田薬品工業 | 製薬・グローバル企業 | 段階移行、公開事例では全体完了年を非公表 | VPNへ集中するアクセスと境界型モデルの限界 | 従来型VPNを見直し、利用者と端末を検証するセキュアアクセスへ移行 |
富士フイルムの約半年という期間は、全統制を一度に刷新せず、端末監視という優先領域を定めた例です。ただしEDRはアラートを調査する人員がいて初めて機能します。導入後の対応責任者を置けない企業は、監視と初動を外部へ委託するMDRを同時に契約します。
企業が陥りやすいAPT攻撃対策の誤解と失敗
APT防御で失敗する主因は、企業規模を理由に対象外と考えること、境界製品だけへ依存すること、監視運用を設計せずツールを導入することです。
よくある三つの誤解
「製品を入れたから安全」という判断は避けます。APT対応では、アラートを誰が確認し、何分以内に端末を隔離し、どの経路で経営層へ連絡するかまで決めて初めて防御が成立します。
誤解・失敗 | 実際のリスク | 適切な対処 |
|---|---|---|
中小企業やBtoB企業は狙われない | 大企業へ接続する踏み台や、停止させやすい身代金要求先として狙われる | 管理者MFA、資産台帳、パッチ管理、バックアップから最低水準を整える |
VPNとアンチウイルスがあれば安全 | VPN自体の脆弱性や盗まれた正規アカウントでは侵入を見分けにくい | 外部公開機器を継続監視し、MFA、EDR、条件付きアクセスを組み合わせる |
EDRを導入すれば対応が完了する | 夜間のアラートを放置すると、平均16時間未満でADへ到達される可能性がある | SOCまたはMDRと対応時間を契約し、隔離権限と連絡先を決める |
ログは90日あれば足りる | 発覚まで平均397日なら、侵入時の記録が調査時に残らない | 管理者操作、認証、外部通信を優先し、13カ月を目安に保管する |
バックアップがあるので復旧できる | 常時接続されたバックアップは攻撃者に削除・暗号化される | 変更不能またはオフラインのコピーを持ち、復元時間を定期測定する |
アラート過多による運用停止
EDRやSIEMの初期設定では、大量のアラートが発生する場合があります。すべてを同じ優先度で扱うと担当者が疲弊し、本当に危険な管理者権限の悪用を見落とします。
管理者アカウントの不審なログイン、セキュリティ機能の停止、複数端末への横展開、外部への大量送信を最優先に分類します。月次で誤検知を調整できるなら監視対象を拡大し、調整できないなら高リスクの検知ルールへ対象を絞ってMDRへ引き継ぎます。
証拠を失う初動対応
感染が疑われる端末を慌てて初期化すると、侵入経路、漏えい範囲、攻撃者の操作記録を失います。原則としてネットワークから隔離し、EDRログ、認証ログ、メモリ、ディスクの証拠を保全します。暗号化が進行している場合の電源断は、CSIRTや外部調査会社が事業影響と証拠保全を比較して判断します。
企業が進めるべきAPT攻撃対策と優先度別チェックリスト
APT攻撃への対応は、予防、侵入後の検知・封じ込め、組織的な復旧の三層を、事業影響が大きい資産から実装します。
資産管理と脆弱性対策による侵入予防
最初に、端末、サーバー、VPN、クラウドサービス、外部公開ドメインの所有者と用途を台帳化します。台帳にない機器はパッチ適用から漏れやすいため、脆弱性診断より先に資産の網羅率を測ります。
脆弱性は深刻度だけで並べず、「インターネットから到達可能か」「悪用が観測されているか」「管理者権限を奪えるか」「停止時の事業影響は何時間か」で順位付けします。外部公開され、悪用実績があり、特権につながる脆弱性は24〜72時間以内の緊急対応対象とします。パッチを当てられない場合は、公開停止、接続元制限、仮想パッチの順で代替統制を適用します。
MFAと最小権限によるID防御
管理者、VPN、メール、クラウド管理画面からMFAを必須化します。特権アカウントを日常業務に使わず、一般アカウントと分離します。退職者、異動者、委託先のアカウントは人事・契約情報と連動させ、不要になった当日中に停止します。
ゼロトラストは、社内ネットワークだから信頼するのではなく、アクセスごとに利用者、端末状態、場所、対象データを検証する考え方です。設計時はCISAのZero Trust Maturity Modelを参照し、ID、端末、ネットワーク、アプリ、データのどこから着手するかを整理できます。
EDR・XDRと24時間監視による早期検知
EDRは、端末上のプロセス、通信、ファイル操作を記録し、不審な挙動を検知・隔離します。XDRは端末だけでなく、メール、ID、クラウド、ネットワークの情報を横断して関連付けます。
製品選定では検知数ではなく、平均検知時間、平均封じ込め時間、夜間対応範囲、ログ保持期間、隔離を実行する主体を比較します。自社で24時間監視できるならSOCを整備し、平日日中しか対応できないならSOCの役割を整理したうえでMDRへ一次調査と隔離を委託します。
ネットワーク分離と情報流出対策
ネットワークを利用者、サーバー、開発、工場、バックアップに分け、相互通信を業務上必要な範囲へ限定します。特に端末からActive Directory、バックアップ管理画面、仮想基盤へ直接アクセスできる構成は見直します。
Webフィルタリング、プロキシ、NDRでC2通信や通常と異なる大量送信を検知します。DLPは機密度が高い設計図、顧客情報、研究データから適用し、監視モードで誤検知率を測ります。業務通信を正しく識別できれば遮断へ進み、識別できなければ警告と記録を継続してルールを調整します。
変更不能なバックアップと復旧訓練
バックアップは本番と異なる認証基盤で管理し、変更不能なストレージまたはオフライン媒体へコピーします。3つのデータを2種類の媒体に保存し、1つを遠隔地やオフラインに置く「3-2-1ルール」は、ランサムウェア対策にも利用できます。
取得成功の表示だけでは復旧可能性を証明できません。四半期ごとに重要システムを別環境へ戻し、目標復旧時間内に業務を再開できるか測定します。目標を超えた場合は、バックアップ頻度、回線、復旧順序、代替業務のどこが遅延したかを特定します。
CSIRTとインシデント対応計画
CSIRTは、検知、封じ込め、証拠保全、外部報告、復旧を統括するチームです。専任組織を置けない企業でも、経営、情シス、法務、広報、事業部、外部調査会社の連絡先と決裁者を事前に決められます。
感染が疑われる端末をネットワークから隔離します。
管理者アカウントのセッションを無効化し、認証情報を再発行します。
EDR、認証、VPN、クラウド、ファイアウォールのログを保全します。
侵入経路、影響端末、漏えい情報、継続中の通信を調査します。
法令、契約、保険条件に基づき、顧客、取引先、監督官庁への報告要否を判断します。
安全な環境を再構築し、監視を強化したうえで段階的に復旧します。
対応計画の設計には、NIST SP 800-61 Revision 3を参照できます。年1回の机上訓練では、休日夜間に管理者アカウントが侵害された想定を使い、連絡開始から経営判断までの時間を記録します。
セキュリティガイドラインへの準拠
経営層を含む統制には、NIST Cybersecurity Framework 2.0のGovern、Identify、Protect、Detect、Respond、Recoverという六つの機能を利用できます。国内企業では、経済産業省のサイバーセキュリティ経営ガイドラインと照合すると、経営責任、委託先管理、事故対応を社内規程へ反映しやすくなります。
米国政府機関や防衛関連組織と取引する場合は、NIST SP 800-171など契約固有の要求も確認します。契約で要求される管理策を満たせれば適合証跡を整備し、満たせなければ接続範囲の分離、情報の非保持、改善期限を含む代替案を取引先へ提示します。
企業規模別の対策範囲
同じAPT防御でも、社内人員と拠点数によって運用方法を変えます。人数だけでなく、保有情報、取引先との接続、停止時の損失を加えて判断します。
企業規模 | 優先する対策 | 現実的な運用体制 | 次の投資判断 |
|---|---|---|---|
50名未満 | 管理者MFA、端末自動更新、クラウドバックアップ、資産台帳 | 兼任担当者とMDRまたは保守会社 | 夜間監視ができなければMDRを先行導入 |
50〜300名 | ID統合、EDR、外部公開資産管理、委託先評価、ログ集約 | 情シス責任者と外部SOCの共同運用 | 複数拠点やクラウドを横断するならXDRを検討 |
300名超 | ゼロトラスト、XDR/SIEM、ネットワーク分離、特権ID管理、脅威ハンティング | CSIRTとSOC、法務・広報を含む常設体制 | グループ会社と海外拠点を同じ基準で監視 |
優先度別セキュリティ対策チェックリスト
以下の順序なら、短期間で侵入経路を減らしつつ、検知と復旧へ範囲を広げられます。
期限・優先度 | 実施項目 | 担当 | 完了の判断基準 |
|---|---|---|---|
24時間以内・最優先 | 管理者、VPN、メールへのMFA適用状況を確認 | 情シス | 未適用アカウントを停止または接続元制限 |
24時間以内・最優先 | VPN、ファイアウォール、公開サーバーの脆弱性確認 | 情シス・保守会社 | 悪用中の脆弱性にパッチまたは代替統制を適用 |
7日以内・高 | 退職者、休眠、委託先アカウントの棚卸し | 情シス・人事 | 所有者不明と90日以上未使用のIDを停止 |
7日以内・高 | バックアップの分離状況と復元可否の検証 | インフラ担当 | 本番認証を失っても重要データを復元可能 |
30日以内・高 | EDRアラートの監視時間と隔離権限を決定 | 情シス・委託先 | 夜間を含む連絡先と初動時間を文書化 |
30日以内・中 | 認証、VPN、クラウド、EDRログの集約 | セキュリティ担当 | 管理者操作を13カ月追跡できる |
90日以内・中 | 取引先とリモート保守接続の評価 | 調達・情シス | MFA、報告時間、再委託、ログ保管を契約へ反映 |
四半期ごと・継続 | 標的型メール、端末隔離、復旧の訓練 | CSIRT・全社 | 検知から経営判断までの時間を前回より短縮 |
▲ 脆弱性・外部公開資産を検知した際の緊急度・対処判断フロー
よくある質問
APT攻撃に関して企業担当者が判断に迷いやすい点を、以下にまとめます。
Q：APT攻撃の読み方は何ですか？
A：「エー・ピー・ティー攻撃」と読みます。APTはAdvanced Persistent Threatの略です。
Q：APT攻撃と標的型攻撃の違いは何ですか？
A：標的型攻撃は特定の相手を狙う攻撃全般を指し、APT攻撃はその中でも長期間かつ組織的に活動を続ける脅威です。APTでは侵入経路の再確保、権限昇格、横展開、情報窃取が継続的に行われます。
Q：中小企業でもAPT攻撃のターゲットになりますか？
A：中小企業も標的になります。帝国データバンクの2025年調査では中小企業の30.3％がサイバー攻撃の被害を経験しており、取引先へ侵入する踏み台として狙われる場合もあります。
Q：EDRを導入すればAPT攻撃を完全に防げますか？
A：EDRだけで完全には防げません。EDRのアラートを24時間確認し、端末隔離や認証情報の無効化まで実行するSOCまたはMDRと組み合わせます。
Q：APT攻撃が疑われる端末はすぐ初期化すべきですか？
A：原則として、初期化する前にネットワークから隔離してログや証拠を保全します。暗号化や情報送信が続いている場合は、CSIRTや外部調査会社が事業影響を確認し、電源断を含む封じ込め方法を判断します。
今すぐ取り組むセキュリティ強化の最初の一歩
最初の一歩は、管理者アカウントのMFAと外部公開機器のパッチ状況を24時間以内に点検することです。
未適用の管理者IDがあれば一時停止または接続元制限を行い、悪用中の脆弱性があるVPNやファイアウォールにはパッチ、公開停止、仮想パッチのいずれかを適用します。次に、EDRアラートを誰が何分以内に確認するかを決めます。自社で夜間対応できなければMDRへ一次対応を委託し、30日以内にログ保管、バックアップ復元、端末隔離の訓練まで進めます。
まとめ
APT攻撃は、一度の侵入で完結せず、正規アカウントや管理ツールを使って長期間潜伏する脅威です。中小企業もサプライチェーンの入口として狙われます。MFA、脆弱性管理、EDRを個別に導入して終わらせず、24時間監視、証拠保全、復旧訓練まで一つの運用として設計します。明日は管理者MFAと外部公開機器を確認し、未対応項目へ期限と担当者を割り当てるところから始めます。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
