Report | サイバー脅威ランドスケープ日本版 2026
2025年の日本におけるサイバー脅威動向を分析。ランサムウェア、ハクティビズム、DDoS攻撃、情報漏えい、国家支援型脅威アクターの活動、主要インシデント、2026年の展望と組織のサイバーセキュリティ強化に向けた提言を紹介します。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
1
Ap
サイバー脅威ランドスケープ 日本版
2026 年 5 月
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
2
TABLE OF CONTENTS
エグゼクティブ・サマリー ..................................................................................................... 3
2025年の日本のサイバーセキュリティ情勢 ....................................................................... 4
脅威の概要 ..................................................................................................................... 6
ランサムウェア ................................................................................................................... 9
主要な脅威アクター ............................................................................................................................................................. 11
注目すべきインシデント......................................................................................................................................................... 16
2026 年に注目すべきランサムウェアの新興グループ .......................................................................................................... 18
情報システムの妨害 ........................................................................................................ 22
#OPJAPAN キャンペーン ...................................................................................................................................................... 22
主要な脅威アクター ............................................................................................................................................................. 26
データ侵害および情報漏洩インシデント ............................................................................ 29
注目すべきインシデント......................................................................................................................................................... 30
主要な脅威アクター ............................................................................................................................................................. 31
注目すべきキャンペーン .................................................................................................... 33
結論：2025年の総括と 2026年の展望 ..................................................................... 35
提言 .............................................................................................................................. 37
チェック・ポイント・エクスポージャー・マネジメントについて .................................................... 38
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
3
エグゼクティブ・サマリー
2025 年を通じて、日本のサイバー脅威環境は、金銭目的の標的型攻撃、地政学的・イデオロギー的
動機に基づく活動、および高度化・多段階化する攻撃キャンペーンによって特徴づけられました。
2025 年に日本で最も多く観測されたインシデントは情報システムの機能妨害であり、全体の
46.83%を占めました。これらの多くは単発の事象ではなく、#OpJapan として追跡される大規模かつ
組織的なハクティビスト・キャンペーンの一部でした。主に親ロシア系の NoName057(16)、親クルド系
の Hezi Rash、親パレスチナ系の Team Fearless などのアクターが関与し、地政学的事象や外交的
節目と連動した波状的な DDoS 攻撃が確認されています。 標的セクターは、エンターテインメント
（17.71%）、ビジネスサービス（16.67%）、運輸（12.5%）、教育（12.5%）が中心であり、
社会的影響度の高い領域が優先的に狙われる傾向が明確となりました。
日本が NATO、米国、イスラエルとの安全保障・外交関係を強化する中で、今後も地政学的イベント
や政治的節目に連動したハクティビストによる情報妨害キャンペーンが増加する可能性があります。
ランサムウェア関連インシデントは全体の 39.02%を占め、依然として主要な脅威カテゴリとなっていま
す。特に Qilin および Cl0p が主導的な役割を果たし、二重恐喝やクロスプラットフォーム攻撃を用いて、
小売（21.25%）、テクノロジー（18.75%）、製造（16.25%）など、サプライチェーンに関連する
業界を中心に標的化していました。
一方で、2025 年の日本の脅威環境においては、LockBit の活動は限定的でした。また同年を通じて、
DevMan、Kawa4096、NightSpire、WorldLeaksなどの新興ランサムウェアグループの出現が確認
され、複数の日本企業が標的となりました。
こうした動向は、ランサムウェア活動が世界的に継続的な成長局面にあることと整合しており、2026 年
においても攻撃の増加が予想されます。特に、影響範囲の広さと下流組織への波及効果の大きさから、
サプライチェーンを起点とする攻撃の増加が懸念されます。
データ侵害および情報漏洩インシデントはそれぞれ 9.27%、4.88%と比較的低い割合にとどまるもの
の、機密情報保護に関する継続的なリスクが存在することを示しています。
2026 年に向けて、日本の組織は進化する脅威環境に対応するため、技術的対策と戦略的対策を組
み合わせた多層防御アプローチを優先する必要があります。加えて、継続的脅威エクスポージャー管理
（CTEM）の導入は、攻撃対象領域の可視化とリスク低減の観点から、組織レジリエンス強化の重要
な要素となります。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
4
2025年の日本のサイバーセキュリティ情勢
2025 年の日本のサイバーセキュリティ環境は、国家支援型脅威アクターからの継続的な圧力を背景に、
制度的枠組みと政策対応の進展によって大きな転換期を迎えました。
最も重要な政策的進展の一つは、2030 年までの目標、重点施策、実行計画を示した新たな「国家
サイバーセキュリティ戦略」（2025 年 12 月）の採択です。 本戦略では、重要インフラのレジリエンス
強化、官民間の情報共有促進、国際連携の拡大（特に米国およびインド太平洋地域のパートナーと
の協力）、ならびに情報機関・防衛機関・法執行機関の連携強化が重点領域として位置付けられて
います。また、AI を活用した攻撃能力の高度化など、新興技術に起因するリスクも明示的に取り上げら
れています。
この戦略は、日本における「能動的サイバー防御」枠組みの制度化を進める改正サイバーセキュリティ関
連法（2025 年 5 月施行）を基盤とするものです。同法は、インシデント報告義務の拡大、政府の調
整権限の明確化、ならびに法的枠組みの下でのより能動的な防御措置の実施を可能とし、日本のサイ
バーセキュリティ政策を従来の受動的防御から、情報統合型かつ予防的な安全保障モデルへと移行さ
せる重要な転換点となりました。
さらに 2025 年 7 月には、従来の内閣サイバーセキュリティセンター（NISC）が再編され、内閣官房内
に国家サイバー統括室（NCO）が設置されました。これによりサイバー政策の司令塔機能は首相直轄
の体制へと移行し、国家レベルでの意思決定と調整の一元化が強化されています。この再編は、サイバ
ー犯罪対策および重要インフラ防護の両面において、より迅速かつ統合的な対応を可能にすることを目
的としています。
2025 年の日本を取り巻く広範な脅威環境は、依然として国家関連アクターの活動に大きく影響されて
いました。中華人民共和国（PRC）に関連するとされる活動は、先端製造業、半導体サプライチェー
ン、通信、海洋能力、防衛技術、研究機関および学術分野など、長期的な戦略的情報収集の優先
領域に沿って継続しています。朝鮮民主主義人民共和国（DPRK）関連アクターは、情報収集活動
に加え、暗号資産窃取などの金銭的動機に基づくオペレーションにおいても引き続き活発です。またロシ
ア関連アクターは、日本の対外政策や制裁対応、地政学的立場の変化といった文脈の中で、継続的
な脅威要因として位置付けられています。
https://www.cyber.go.jp/pdf/policy/kihon-s/cs_strategy2025_abstract.pdf https://www.cyber.go.jp/pdf/policy/kihon-s/cs_strategy2025_abstract.pdf https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
5
日本の地政学的な連携関係は、日本が直面するサイバーリスクの性質と優先順位を大きく左右して
います。米国および志を同じくするパートナーとの安全保障協力の深化に加え、台湾をめぐる地域的緊
張や北朝鮮の継続的な兵器開発・活動により、日本は敵対的な標的モデルにおいてより高い戦略的
重要性を持つ存在となっています。サイバー作戦が国家戦略の手段として定着する中で、日本の戦略
的立ち位置そのものが、敵対的アクターによる継続的な標的化を誘発する要因となっています。構造的
な観点では、日本の経済的・技術的特性も攻撃対象としての魅力度を高めています。先端製造、半
導体材料、ロボティクス、自動車産業、精密工学といった分野におけるグローバルリーダーシップにより、
日本は国際サプライチェーンの中核を担っています。その結果、産業スパイ活動、知的財産の窃取、サプ
ライチェーン侵害は、依然として継続的かつ戦略的に重要なリスク領域となっています。一方で、国内の
構造的制約は防御態勢の成熟度に引き続き影響を与えています。
特定の政府機関におけるレガシーIT 環境、中小企業におけるセキュリティ成熟度のばらつきなどが、国
家全体としてのレジリエンスの不均一性を生み出しています。2025 年 5 月の調査では、日本企業の約
3 分の 1（32％）が 1 月から 5 月の間にサイバー攻撃を受けたと報告しており、民間部門における侵
害の常態化と、継続的な脅威環境への曝露が明らかになっています。2025 年を通じて、日本は外部
の敵対的アクターからの持続的な圧力に直面する中で、新たな 5 カ年「国家サイバーセキュリティ戦略」
と関連法制度の更新を進めました。これらの政策・制度的取り組みは、今後の脅威行動にも影響を与
えると考えられます。特に、防御側の連携強化および検知能力の向上により、攻撃者は防御環境の変
化に適応する形で、戦術の調整、インフラの移行、回避技術の高度化、ならびに標的選定手法の変化
を迫られる可能性があります。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
6
脅威の概要
チェック・ポイント・エクスポージャー管理部門は、オープンウェブ、ディープウェブ、ダークウェブから収集した
脅威インテリジェンスを統合し、2025 年を通じて日本の組織を標的としたサイバー攻撃の動向を分析し
ました。本分析では、攻撃の総量、業種別分布、脅威アクターの帰属状況、ならびに 2025 年に日本
へ影響を与えた主要なサイバーキャンペーンおよび関連事象を対象としています。なお、本レポートは
2025 年の暦年内に観測された脅威活動のみを分析対象としています。
2025 年の脅威環境は、金銭目的のランサムウェアグループ、政治的・イデオロギー的動機に基づく妨害
キャンペーン、そして比較的低頻度ながら継続的に発生するデータ侵害および情報漏洩インシデントの
組み合わせによって形成され、日本のサイバー脅威ランドスケープ全体を特徴づけています（図 1）。
図 1：2025 年の日本におけるインシデント別サイバー攻撃
2025 年の日本において最も多く観測されたインシデント種別は情報システムの機能妨害であり、全イ
ンシデントの 46.83%を占めました。これらの多くは、親ロシア系の「NoName057(16)」、親クルド系
の「Hezi Rash」、親パレスチナ系の「Team Fearless」など複数のイデオロギー駆動型ハクティビストグ
ループによって実行されており、主に DDoS（分散型サービス拒否）攻撃が手法として用いられました。
データ
漏えい
4.88% 侵害
9.27%
ランサムウェア
39.02%
情報システムの機能妨害
46.83%
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
7
ランサムウェア関連インシデントは 2 番目に多いカテゴリであり、全体の 39.02%を占めました。主要な
脅威アクターとしては Qilin および Cl0p が確認されており、いずれも二重恐喝型の手法およびクロスプラ
ットフォーム対応の攻撃戦術を採用していました。加えて、2025 年には DevMan、Kawa4096、
NightSpire、WorldLeaks といった新興ランサムウェアグループの活動も相次いで確認され、複数の日
本企業が標的となっています。
データ侵害および情報漏洩インシデントは全体に占める割合としては相対的に小規模であり（それぞれ
9.27%、4.88%）、依然として機密情報の窃取および公開を伴う恐喝活動が継続的に重要な役
割を果たしていることが示されています。
業種別では、ビジネスサービス（14.15%）、小売（13.17%）、製造業（10.24%）が主要
な標的となりました。さらに、エンターテインメント（9.76%）、テクノロジー（9.27%）、運輸
（8.78%）、金融（8.29%）、教育（6.83%）といった分野にも広範な影響が及んでおり、複数
セクターにまたがる分散的な攻撃傾向が確認されています（図 2、図 3）。
図 2：2025年の日本で最も標的とされるセクター
ビジネスサービス
14.15%
卸売/流通 13.17%
製造業
10.24%
エンターテイメント
9.76%
テクノロジー
9.27%
運輸
8.78%
金融
8.29%
教育/研究 6.83%
不動産
4.88%
その他
14.63%
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
8
図 3：2025年の日本におけるその他の標的となったセクター
情報システムの機能妨害を除いた場合、2025 年のサイバー攻撃全体の推移は比較的安定したベー
スラインを維持していました（図 4）。2 月、10 月、11 月、12 月には、主にランサムウェア関連インシ
デントの増加に起因する顕著なスパイクが確認された一方で、それ以外の期間では一定水準の攻撃活
動が継続的に観測されています。一方、情報システムの機能妨害インシデントは異なるパターンを示しま
した。年間を通じて通常時の活動は比較的限定的であったものの、複数の#OpJapan ハクティビスト・
キャンペーンに関連する組織的な DDoS 攻撃の波により、6 月、8 月、9 月にかけて明確な増加が見
られました。この種の活動増加は、多くの場合、特定の地政学的イベントや外部要因を契機として発生
し、それらへの関心が低下するにつれて攻撃活動も段階的に沈静化する傾向が確認されています。
図 4：2025年の日本における攻撃の推移
通信
1.95%
自動車
1.95%
メディア
1.46%
Unknown 0.98%
保険
0.98%
旅行/観光 0.98%
政府
2.44%
食品および関連製品
0.98%
化学薬品および関連製品
0.98%
重要インフラ
0.49%
建設
0.49%
団体/非営利団体 0.49%
ヘルスケア/医療 0.49%
情報侵害
ランサムウェア
情報漏洩
情報システムの
機能障害
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
9
ランサムウェア
ランサムウェアは、被害者のデータを暗号化し、復号鍵と引き換えに身代金を要求するものであり、二重
恐喝を目的としたデータ流出を伴うことが多々あります。
脅威インテリジェンス調査チームの記録によると、2025年に日本の組織を標的として報告されたランサム
ウェア攻撃は計 80 件に上り、全インシデントの 39.02%を占めました。これは、日本企業が金銭目的
のサイバー犯罪グループから継続的な脅威にさらされている実態を示しています。この傾向は、恐喝を目
的とした攻撃が世界的に増加している状況とも一致しています。Check Point の最新グローバル脅威
動向レポートによると、2025 年のランサムウェア活動は前年比で推定 48%増加しており、犯罪エコシス
テムの成熟に加え、データ窃取を伴う恐喝型攻撃が依然として高い収益性を持っていることを反映して
います。日本が直面しているリスクも、この世界的な拡大傾向の一部といえます。
2025 年には、ランサムウェアグループ「Qilin」と「Cl0p」が主要な脅威アクターとして活動を活発化させ、
確認されたインシデントの中でも大きな割合を占めました。日本を標的とした確認済みのランサムウェア
活動のうち、Qilin は 18.75%、Cl0p は 7.5%を占めています。また、2025 年を通じて DevMan、
Kawa4096、NightSpire、WorldLeaks など、新たなランサムウェアグループの活動も相次いで確認
され、多くの日本企業が標的となりました（図 5）。
図 5：2025年の日本で最も活発なランサムウェア攻撃グループ
Ransomhub 4%
Nightspire 4% Akira
4% Hunters 4%
Worldleaks 4%
Kawa4096 4%
Lynx 5%
Devman 5%
Safepay 5%
Clop 8%
Qilin 19%
Other 34%
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
10
注目すべきは、ランサムウェアグループ「LockBit」が 2025 年の日本の脅威情勢においてほぼ姿を消し
ていた点です。同グループの活動低下は、2024 年 2 月の「オペレーション・クロノス」に起因します。この
作戦により、同グループのインフラの一部が解体され、逮捕者が発生し、アフィリエイトネットワークが崩壊
しました。 この混乱は 2025 年 5 月、LockBit のインフラが侵害され改ざんされたことでさらに深刻化し
ました。これにより、ビットコインウォレットアドレス、公開暗号鍵、被害者との内部チャットログ、アフィリエイ
トの詳細、その他の機密情報が暴露されました。これらの出来事はグループの活動に重大な影響を与え、
Qilin のような他のランサムウェアグループがその空白を埋めることを可能にしました。
かつて、リークサイトへの投稿の最大 30%を占めるなど、世界で最も活発なランサムウェア・アズ・ア・サー
ビス（RaaS）グループの一つであった LockBit は、2025 年半ばから後半にかけて活動を再開しまし
た。これは、同グループの運営者がアンダーグラウンドフォーラムに再び姿を現し、新たな亜種「LockBit
5.0（ChuongDong）」を公開したことで確認されています。2025 年 9 月までに、LockBit は活動
を本格化させ、強化されたマルチプラットフォーム対応機能と新たなアフィリエイト募集を背景に、欧州、
南北アメリカ、アジアの組織を標的としました。なお、日本企業への被害は現時点では確認されていませ
ん。
LockBit の再浮上は、同グループの高い回復力と高度な攻撃能力を改めて示しています。法執行機
関による大規模な取り締まりや公的な打撃を受けたにもかかわらず、LockBit は活動を再開し、アフィリ
エイトの再募集や恐喝活動の再開に成功しました。成熟した RaaS モデル、クロスプラットフォームへの
対応能力、さらにサイバー犯罪コミュニティ内で確立された知名度を背景に、LockBit の復活は、業種
や地域を問わず幅広い組織にとって新たな脅威となっています。
2025 年後半に確認された一連の攻撃は、2026 年を通じて拡大する可能性のある大規模キャンペー
ンの初期段階であった可能性があります。ランサムウェア攻撃による影響を最も大きく受けた業種は小売
業で、全インシデントの 21.25%を占めました。次いで、テクノロジー業界が 18.75%、製造業が
16.25%、ビジネスサービスが 11.25%、金融業界が 10%となっています（図 6）。この分布からは、
攻撃者が、業務停止や混乱による影響が大きい業界を優先的に狙っていることがうかがえます。一方で、
被害業界が広範囲に及んでいることは、特定業種に特化した攻撃というよりも、機会主義的な標的選
定が行われていることを示しています。
2025 年にランサムウェアが大きな脅威となったことを踏まえると、2026 年には、特にサプライチェーン攻
撃を通じて、攻撃件数と業界横断的な影響がさらに拡大する可能性があります。
https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
11
図 6：2025 年の日本におけるランサムウェア攻撃者による主な標的セクター
主要な脅威アクター
Qilin - Qilin は、2022 年から活動が確認されている RaaS（Ransomware-as-a-Service）
グループであり、クロスプラットフォーム型のランサムウェア攻撃を特徴としています。Rust ベースのペイロー
ドと二重恐喝の手法を組み合わせることで、被害の拡大を図っています。2025 年までに、Qilin は日本
企業を含む世界中の 1,000 社以上を標的としており、カスタマイズされた攻撃手法や高度な暗号化技
術を用いて活動を展開してきました。また、同グループは恐喝や心理的圧力を強める目的で、専用のデ
ータリークサイト上に被害者情報を公開しています（図 7）。 同グループは、2025 年初頭に
RansomHub が突如として姿を消したことを好機と捉え、第 2 四半期から第 3 四半期にかけて活動を
着実に倍増させました。 第 4 四半期末までに、Qilin は世界で最も活発なランサムウェアグループの一つ
へと台頭し、業種や地域を問わず攻撃を展開しました。同グループは、1 日平均 5 件の新たな被害者
を公表しており、法的措置を示唆したり、スパムツールを悪用したりすることで、被害者に対して支払いを
強要する手法も確認されています。
金融
10%
ビジネスサービス
11.25%
製造業
16.25%
テクノロジー
18.75%
卸売/流通 21.25%
Other 22.50%
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
12
図 7：Qilin のデータ流出サイト
2025 年の主な被害企業：2025 年 11 月、日本の大手ビールメーカーであるアサヒは、9 月 29 日
に検知されたサイバー攻撃により、日本国内の製造および物流業務のシステムが混乱し、150 万人以
上の顧客の個人情報に加え、従業員、その家族、および外部関係者のデータが流出したことを公表し
ました。 後に Qilin が犯行声明を出したこの攻撃（図 8、9）により、日本各地で製品供給への影響
や品薄状態が発生しました。アサヒは被害拡大を防ぐため、影響を受けたサーバーを隔離するとともに、
一部の IT システムを停止しました。その結果、注文処理の手作業対応、出荷遅延、コールセンターの
一時停止など、事業運営に大きな影響が生じました。 特に注目されたのは、アサヒがシステム復旧とサイ
バーセキュリティ対策の強化を優先した結果、通期決算の発表延期を余儀なくされた点です。この事案
は、同社の事業運営だけでなく、流通や下流工程を含むサプライチェーン全体にも大きな影響を与えま
した。とりわけ、アサヒが日本のビール市場で高いシェアを持つ企業であることから、本件は国内で大きな
注目を集めました。
https://www.asahigroup-holdings.com/en/newsroom/detail/20251127-0204.html https://www.asahigroup-holdings.com/en/newsroom/detail/20251127-0204.html
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
13
図 8：Qilin のデータ漏洩サイトに掲載されたアサヒの被害者カード
図 9：Qilin が提供した、アサヒへの侵害を主張するサンプル
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
14
Cl0p - Cl0p（別名 Clop）は、2019 年から活動が確認されているロシア系のランサムウェアグルー
プであり、CryptoMix ランサムウェアグループの後継組織とみられています。二重恐喝および四重恐喝の
手法に加え、ゼロデイ脆弱性の悪用でも知られており、2021 年に複数の関係者が逮捕された後も活
動を継続しています。同グループは、多様な業界・組織を標的としており、窃取したデータを定期的にリー
クサイト上で公開しています（図 10、11）。また、Cl0p は 2025 年から 2026 年初頭にかけても攻
撃活動を継続しており、各国・複数業界の被害者に影響を与えています。
図 10：Cl0pのデータ流出サイト
図 11：Cl0pのデータ流出サイト
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
15
2025年の主な被害事例：2025年7月から 8月にかけて、ゼロデイ脆弱性「CVE-2025-61882」
および「CVE-2025-61884」を悪用し、Oracle の Oracle E-Business Suite（EBS）を利用す
る組織を標的とした大規模な恐喝キャンペーンが確認されました。これらの脆弱性は、パッチ公開の数週
間前から悪用されていました。攻撃者は複数の EBS 脆弱性を悪用してリモートアクセスを取得し、侵害
後も持続的なアクセスを維持しながら機密データを窃取しました。さらに、9 月 29 日には、侵害されたサ
ードパーティアカウントを経由して、経営幹部を狙った組織的なメール恐喝キャンペーンを展開しました
（図 12）。このキャンペーンについては、2025 年 11 月 11 日に Cl0p が犯行声明を公表しました。
その後、同グループのデータリークサイトには、日本の大手企業を含む 100 社以上の被害組織名が掲
載されました。被害企業の中には、数百GBから数TB規模のデータ流出が報告されたケースもあれば、
流出の痕跡が確認されなかったケースもありました。
本件は、2025 年に発生した企業向けソフトウェア悪用インシデントの中でも、特に重大な事例の一つと
位置付けられています。
図 12：Cl0pの身代金要求メッセージ
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
16
注目すべきインシデント
10 月 3 日、悪名高い ShinyHunters、Scattered Spider、Lapsus$ のメンバーによって構成され
る脅威グループ「Scattered Lapsus$ Hunters」は、39 の著名組織（図 13）を対象としたランサム
ウェア攻撃を主張するデータリークサイトを公開しました。対象には複数の日本企業も含まれており、
Salesloft の Drift AI ツールに関連する窃取済み OAuth トークンを悪用することで、760 社にわたり
最大 15 億件のレコードが侵害されたとされています。同グループは、個人を特定可能な情報（PII）を
含むとされる窃取データの公開を回避する条件として、被害組織に対して身代金の支払いを要求しまし
た。その後、FBI およびフランスの法執行機関は同月後半にリークサイトを差し押さえましたが、攻撃者
は別経路を通じてデータ配布を継続しました。
これら 2 つの事案は、サプライチェーン攻撃の典型例と言えます。この攻撃手法は、影響範囲の大きさ、
複数業界へ同時に被害を及ぼす能力、さらに関連組織へ波及する二次被害の深刻さを背景に、
2025 年にその脅威が一段と高まりました。
図 13：攻撃を主張する「Scattered Lapsus$ Hunters」データ流出サイト
10 月 19 日には、日本の大手 EC・物流企業がランサムウェア攻撃を受けるという、別の注目すべき事
案も発生しました。この攻撃では、攻撃者が同社インフラへの侵入に成功し、機密データを窃取したとさ
れています。この事案により、注文処理、出荷、自動物流システムに深刻な障害が発生し、当該企業
だけでなく、その物流サービスに依存する下流企業にも影響が及びました。同社は本件を公式に認めて
おり、12 月初旬から段階的に業務再開を進めましたが、顧客データおよびパートナーデータの双方に影
響が生じたことが確認されています。その後、ランサムウェアグループ「RansomHouse」が犯行声明を公
表し、約 1TB のデータを窃取したと主張しました。また、同グループは 11 月から 12 月にかけて、リーク
サイト上で 3 件の証拠データパックを公開しています（図 14）。本件は、ランサムウェア攻撃そのものの
https://trust.salesloft.com/?uid=Drift%2FSalesforce+Security+Notification https://trust.salesloft.com/?uid=Drift%2FSalesforce+Security+Notification
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
17
脅威に加え、重要インフラや主要サービスプロバイダーを標的としたサイバー攻撃が、広範なサプライチェ
ーンリスクを引き起こし得ることを示す事例となりました。2025 年に世界的に顕在化したサプライチェーン
攻撃の深刻さを象徴するケースの一つといえます。
図 14：RansomHouse のデータ流出サイトに掲載されたアスクルの被害者カード
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
18
2026年に注目すべきランサムウェアの新興グループ
DevMan - 2025 年初頭に DragonForce ランサムウェアフレームワークを基盤として登場した、金
銭目的のランサムウェアグループです。以前は RansomHub や INC Ransom と提携していたとみられ
ていますが、現在は独自ブランドとして活動しており、暗号化したファイルに「.DEVMAN」拡張子を付与
することを特徴としています。ランサムノートは DragonForce のものとほぼ同一ですが、コードや実装面
では複数の不整合が確認されており、現在も開発・改良が継続している段階であることが示唆されてい
ます（図 15）。2025 年 5 月には、DevMan は 1 か月間で 13 件の被害を公表し、当時最も活動
が活発だったランサムウェアグループの上位 5 グループに入りました。また、同グループのリークサイト、インフ
ラ構成、技術的特徴などから、DragonForce の主要運営グループとは異なる独立した活動主体であ
る可能性が指摘されています（図 16）。
図 15：DevManの身代金要求メッセージ
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
19
図 16：DevManのデータ漏洩サイト
Kawa4096 - この脅威アクターについては、現時点で判明している情報は限られています。少なくと
も 2025 年 6 月以降に活動が確認されており、KawaLocker および KawaLocker 2.0 と呼ばれる
ランサムウェア亜種の展開に関与しています。主な目的は金銭的利益の獲得であるとみられています
（図 17）。
図 17：Kawa4096 のデータ流出サイト
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
20
NightSpire - 2025 年 3 月 16 日以降に活動が確認されているランサムウェアグループですが、そ
の正確な動機や運営規模については依然として不明な点が多く残されています。現時点では、金銭目
的で活動していることが確認されており、業界を問わず幅広い組織を機会主義的に標的としています。
また、専用のデータリークサイト上で被害組織を公開しています（図 18）。同グループは主に、恐喝や
データ転売を目的とした機密情報の窃取に重点を置いています。さらに最近では、「二重恐喝モデル」に
沿った形で、データ窃取に加えてファイル暗号化も実施するようになっています。また、NightSpire と、比
較的知名度の低いランサムウェアグループ「Rbfs」との関連性を示す有力な証拠も確認されています。
両グループの活動では、「xdragon128」および「cuteliyuan」という同一のオペレーター名が使用され
ており、NightSpire は Rbfs のリブランド版である可能性が指摘されています。
図 18：NightSpire のデータ流出サイト
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
21
WorldLeaks - Hunters International ランサムウェアグループのリブランド版である可能性が高
いとみられており、Hunters International が活動停止に向かう直前の 2025 年 1 月頃から活動が
確認されています。また、WorldLeaks と Hunters International の両グループは、過去に Hive ラ
ンサムウェアグループと関係していたと評価されています。この名称変更は、従来型のランサムウェア運用
から、データ窃取と恐喝を中心とした戦術への移行の一環であった可能性があります。WorldLeaks の
データリークサイトは高度に構造化されており、公開データは検索・分類しやすい形で整理されています
（図 19）。
図 19：WorldLeaks のデータ流出サイト
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
22
情報システムの妨害
情報システムの機能障害には、DDoS 攻撃をはじめ、システム機能を妨害・停止させるさまざまな攻撃
手法が含まれます。これらの攻撃は、多くの場合、地政学的な動機を持つハクティビストグループによって
実行されています。2025 年の日本では、情報システムへの妨害行為が最も多く確認されたインシデント
種別となり、全体の 46.83%を占めました。これは、全インシデントのほぼ半数に相当します。最も大き
な影響を受けた業界は娯楽分野で、全インシデントの 17.7%を占めました。次いで、ビジネスサービスが
16.7%、運輸および教育分野がそれぞれ 12.5%となっています（図 20）。特に注目すべき点として、
記録されたインシデントの大半が単発的な攻撃ではなく、「#OpJapan」と呼ばれる大規模かつ組織的
なハクティビストキャンペーンの一環として実施されていたことが挙げられます。
図 20：2025年における日本での情報システム妨害の主な標的となった業種
#OPJAPAN キャンペーン
2025 年 6 月から 10 月にかけて、異なる動機を持つ複数のハクティビストグループが、日本の組織を対
象とした一連のサイバー攻撃を実施しました。攻撃の大半は DDoS 攻撃によるものでした（図 21）。
製造業
6 不動産
6
卸売/流通 8
教育/研究 12
運輸/物流 12ビジネスサービス
16
エンターテイメント
17
その他
19
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
23
主な標的となったのは、政府省庁、在外公館、防衛・軍事関連組織、重要インフラ事業者、その他の
公共機関などです。月から 10 月にかけて、さまざまな動機を持つ複数のハクティビスト集団が、日本の
組織に対して一連のサイバー攻撃を仕掛け、主に DDoS 攻撃を実行しました（図 21）。主な標的は、
政府省庁、在外公館、軍事機関、重要インフラ事業者、およびその他の公共部門の組織でした。
図 21：2025年の#OpJapan キャンペーンのタイムライン
6 月 10 日から 22 日にかけて、親ロシア・反西側勢力および親パレスチナ系のハクティビストグループに
よる連携キャンペーンが展開されました。この活動には、悪名高い親ロシア系グループ
「NoName057(16)」や、親ベトナム系を名乗る「Electronic Army Special Forces」などが関与
していました。これらのグループは、日本によるウクライナ支援への反発に加え、カンボジアとの関係を巡る
主張を攻撃理由として挙げていましたが、後者については具体的な背景や意図は明確になっていません
（図 22、23）。攻撃グループは、成功した攻撃活動の拡散やプロパガンダ目的で、地下系
Telegram チャンネルを積極的に活用していました。具体的には、互いの攻撃成果の転載、被害組織
情報の共有、キャンペーン専用ハッシュタグの拡散などを行い、認知度や影響力の拡大を図っていまし
た。このキャンペーンは、これまで比較的独立して活動していたハクティビスト勢力間で、連携が強まりつつ
あることを示しています。特に、親ロシア系、Anonymous 系、中東系など、異なる背景を持つ活動家
が、共通する地政学的・イデオロギー的目的の下で協調して活動していた点が特徴的でした。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
24
図 22：日本によるウクライナ支援を主張する NoName057(16)の Telegram投稿
図 23：日本とカンボジア連携を非難する「エレクトロニック・アーミー・スペシャル・フォース」の Telegram投稿
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
25
8 月から 9 月にかけて、日本を標的とした DDoS 攻撃活動において、「Hezi Rash」と呼ばれる比較
的新しいハクティビストグループの存在が確認されました。Hezi Rash は、クルド民族主義的な思想を
背景に活動しているとみられており、クルド人や、より広範な親イスラム系運動に敵対的であると認識した
世界各国の組織を標的としていました。日本については、国内のクルド系コミュニティに対する政府対応
への反発を理由として、主要な攻撃対象の一つに位置付けていました（図 24、25）。特に注目され
た事例として、あるアニメ作品内で燃えるクルド国旗が描写されたことを受け、同グループがアニメ関連ウ
ェブサイトに対して DDoS 攻撃を実施したケースが確認されています。また、Hezi Rash は、思想的な
共通性や作戦上の協力関係を通じて、他のハクティビストグループとも連携を進めていました。こうした動
きは、同グループがより広範なハクティビストネットワークへ急速に組み込まれつつあることを示しています。
図 24、25：日本によるクルド人への人種差別を非難する Hezi Rashの投稿
全体として、#OpJapan キャンペーンは、イデオロギーや地政学的な動機を持つハクティビストによる脅
威が高まっていることを浮き彫りにしています。これは、多様なハクティビスト集団間の連携と協調が強化
されていること、そしてキャンペーンの拡大や活動の周知のために、特にテレグラムといったソーシャルメディ
アプラットフォームが戦略的に活用されていることを示しています。日本政府、重要インフラ、および文化
的配慮が必要なプラットフォームは依然として魅力的な標的であり、新たなアクターやアンダーグラウンドの
通信を監視することは、脅威を適時に軽減するために不可欠です。
日本が NATO との安全保障協力を強化し、米国やイスラエルとの戦略的関与を深めるにつれ、親ロシ
ア派、親パレスチナ派、およびその他の日和見的あるいは政治的動機を持つハクティビストによる情報妨
害作戦のリスクが高まると予想されます。 こうした活動は、 地政学的動向、外交上の節目、注目度の
高い公式声明と連動すると予想され、日本の変化する外交政策姿勢に対し、物語を操作し反対の意
思を示すための広範な取り組みを反映しています。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
26
主要な脅威アクター
NoName057(16) - 2022 年から活動している NoName057(16)は、ロシアの利益に反対
する組織を標的とする親ロシア派のハクティビスト集団です（図 26）。当初はウクライナのニュース・メデ
ィアサイトに対する DDoS 攻撃に焦点を当てていたが、同グループは、反ロシア的とみなされるコンテンツ
を抑制することを目的とした、ボランティア主導の活動家ネットワークとしての立場を確立しました。 同グル
ープは、最も効果的な参加者に対して報酬を支払うことで貢献者を奨励しており、これは政治的動機に
基づくボランティア主導のサイバーキャンペーンにおける増加傾向を反映しています。NoName057(16)
は主に Telegram を通じて活動を行っており、そこで攻撃の犯行声明を出し、脅迫を行い、標的を挑
発し、手引書を配布しています。 同グループは DDoS ツール「DDOSIA」を開発しており、これは
DDoS as a Service（DaaS）ツールとして提供され、有料ユーザーに攻撃機能へのアクセス権を与
えています。 NoName057(16) は、Killnet、XakNet、OverFlame などの他の親ロシア派集団と
協力しており、スペイン語およびロシア語を話す人物「🐻 Desinformador ruso👁 」と関連付けられ
ています。これは、DDoS 攻撃の調整と情報の拡散を行う、より広範な多言語のエコシステムに同グルー
プが統合されていることを示しています。
図 26：NoName057(16)の Telegram プロフィール画像
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
27
Hezi Rash - 2023 年に設立された親クルド系ハクティビスト集団。彼らは、クルド社会を保護し、
オンライン上の脅威と戦うことを目的としたデジタル集団であると自称しています。 同グループは
Telegram を利用して支持者を結集し、攻撃を調整しており、しばしばより広範な政治運動と連携して
いる（図 27）。Hezi Rash は、親ロシア派の NoName057(16)、親パレスチナ派の DarkStorm
や Hider_Nex、親フィリピン派の Nullsec といった他のハクティビストグループと、イデオロギー的および作
戦上の連携を示しています。
図 27：Hezi Rashの Telegram プロフィール画像
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
28
Team Fearless - パレスチナへの政治的・イデオロギー的な支持を動機として、Team Fearless
は主にイスラエルに関連する組織や政府機関を標的としている（図 28）。同グループは Telegram 上
で活動しており、影響力を拡大するために他のハクティビスト団体と協力してい ます。特に
NoName057(16)をはじめとする他のハクティビストチャンネルからのメッセージを頻繁に転送しており、ロ
シア・ウクライナ戦争に関連する行動への支持を示しています。
図 28：Team Fearlessの Telegram プロフィール画像
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
29
データ侵害および情報漏洩インシデント
データ侵害（Data Breach）とは、通常、サイバー攻撃やセキュリティ脆弱性の悪用によって、保護さ
れたシステムや機密情報へ不正アクセスされる事象を指します。一方、データ漏洩（Data Leak）は、
設定ミス、人的ミス、不十分なセキュリティ対策、あるいはデータ侵害の結果として発生する、機密情報
の意図しない公開を指します。
2025 年に確認されたデータ侵害およびデータ漏洩インシデントは、全体の 14.15%を占めました。この
うち、データ侵害が 9.27%、データ漏洩が 4.88%となっています。他の攻撃カテゴリと比較すると割合
は小さいものの、依然として深刻なレベルの不正なデータ流出が発生していることを示しており、機密情
報保護における継続的なリスクを浮き彫りにしています。
業界別に見ると、攻撃者は、高い価値を持つデータや金銭的利益につながる情報を保有する業界を優
先的に標的としていたことがうかがえます。金融業界（17.24%）は、直接的な金銭的利益が期待で
きることから主要な標的となりました。ビジネスサービス業界（13.79%）では、侵害が複数の顧客企
業へ波及する可能性があり、サプライチェーンリスクの高さが浮き彫りとなっています。また、テクノロジー業
界（10.34%）は、ユーザーデータや知的財産が集中していることから、下流組織への波及リスクを伴
う重要な標的となっていました。一方、不動産業界（10.34%）については、大量のデータを保有して
いる一方で、サイバーセキュリティ対策が比較的成熟していない可能性があり、攻撃対象となったと考え
られます（図 29）。全体として、攻撃者による標的選定は、保有データの価値、データの集積度、そし
て周辺エコシステムへの波及効果を重視して行われていたとみられます。
図 29：2025年の日本におけるデータ侵害および漏洩の標的となったセクター
その他
13.79% 製造業
6.90%
卸売/流通 6.90%
福祉、政府
6.90%
通信
6.90% エンターテイメント
6.90%
不動産
10.34%
テクノロジー
10.34%
ビジネスサービス
13.79%
金融
17.24%
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
30
注目すべきインシデント
日本で注目されたデータ漏洩事件の一つは 2 月に発生したもので、ハッカーが日本の大手通信会社の
内部システムに不正アクセスし、約 1 万 8,000 社の法人顧客の機密情報が流出しました。 流出した
情報には、顧客名、契約番号、電話番号、メールアドレス、住所、サービス利用状況などが含まれてい
ました。同社は 2 月 5 日、内部統制を回避してネットワークへ接続した端末を検知し、その後、攻撃者
が別の端末へ横展開していたことを確認しました。これを受け、さらなる侵害拡大を防ぐため、対象端末
の接続を遮断しました。 同社は 3 月に本件を正式に公表しました。攻撃を実行した脅威アクターについ
ては、現時点でも特定されていません。攻撃手法の詳細についても限定的な情報しか明らかになってい
ないものの、業界関係者による分析では、認証情報の漏洩、不十分な多要素認証（MFA）、未適
用パッチを抱えたソフトウェア脆弱性、設定不備など、複数の一般的な要因が侵害に関与した可能性
が指摘されています。
9 月には、別の重大なデータ侵害事案も発生しました。日本の大手メディアグループにおいて、攻撃者が
社内の Slack ワークスペースへ不正アクセスし、従業員、契約社員、ビジネスパートナーを含む 1 万
7,000 人以上に影響が及ぶ大規模な情報流出が確認されました。この侵害は、従業員の個人用 PC
がマルウェアに感染したことを起点として発生したとされています。攻撃者は窃取した認証情報を悪用す
ることで、検知されることなく Slack アカウントへアクセスしていました。 流出したデータには、氏名、メール
アドレス、数年分のチャット履歴が含まれており、社内業務連絡や組織情報も含まれていました。同社
は直ちに緊急セキュリティ対策を実施するとともに、機密性の高い取材源や報道活動への影響が確認さ
れていないことを公表しました。攻撃主体については依然として特定されていませんが、この事案は、個人
端末のセキュリティ対策、認証情報保護、そしてコラボレーションプラットフォームへのアクセス管理において、
依然として企業側に脆弱性が残されていることを浮き彫りにしています。
データ漏洩事案は多様な形態で確認されており、アンダーグラウンドフォーラム上でも広く観測されました。
漏洩データは複数の業界にまたがっており、有償で販売されるケースもあれば、無償で公開されるケース
も確認されています。一方で、これらのフォーラム上で共有・販売されているデータベースには、過去に流
出したデータの再利用、古い情報、あるいは一部破損したデータが含まれているケースも少なくありません。
これは、データ量や市場価値を大きく見せる目的で水増しされている可能性があると考えられます。その
ため、実際に新規に侵害された情報は、一部に限られている場合もありました。
https://www.ntt.com/en/about-us/press-releases/news/article/2025/0305_2.html https://www.nikkei.co.jp/nikkeiinfo/en/news/announcements/1394.html
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
31
主要な脅威アクター
W1ndStre4m – 個人的利益および金銭的利益を目的として活動している脅威アクターであり、
主にデータ侵害、データ漏洩、侵害済み認証情報の配布に関与しています。同アクターは、Telegram
や、DarkForums、BreachForums といったアンダーグラウンドフォーラム上で活動しており、漏洩デー
タベースに関する投稿を行うほか、他の利用者との情報交換も行っています（図 30）。これらのフォーラ
ムは主にデータベースの販売や流出情報の公開に利用されており、投稿には、侵害データの容量、内容、
構造などが詳細に記載されているケースが多く確認されています。一方、Telegram は、直近または今
後予定されている攻撃活動や販売情報を告知するためのチャネルとして利用されています。こうした活動
を通じて、W1ndStre4m はサイバー犯罪エコシステム内での認知度や影響力を拡大させているとみら
れます。
図 30：W1ndSre4mの Telegram チャンネルのスクリーンショット
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
32
ByteToBreach - 2025 年 6 月に活動が確認された脅威アクターであり、窃取データや不正アク
セス権の収益化に注力していることで知られています。同アクターは、中程度の技術力を持つ単独犯と
みられており、インターネット上に公開されたサービスへの直接攻撃と、侵害後の手動操作を組み合わせ
ることで、販売価値の高い情報を収集しています。主な目的は金銭的利益の獲得であり、その活動は、
脆弱性を抱えたアプリケーションへの機会主義的な攻撃と、企業システムへの標的型侵入を組み合わせ
た継続的なキャンペーンとして展開されています。また、同アクターの手法には、実利重視の特徴が見ら
れます。Web アプリケーションや ID 管理サービスに存在する既知の脆弱性を悪用して永続的なアクセ
ス権を確立し、その後、再販や標的型リークに利用するため、大規模なデータセットを収集・整理してい
ることが確認されています。
図 31：DarkForums における ByteToBreachの侵害報告投稿
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
33
注目すべきキャンペーン
高度なフィッシングキャンペーンによる日本を標的としたMostereRAT マルウェア
2025 年 9 月、日本の組織を標的として、多段階型マルウェア「MostereRAT」を展開するフィッシン
グキャンペーンが確認されました。この作戦では、この攻撃では、SYSTEM 権限を取得するためのサービ
ス操作に加え、Easy Programming Language（EPL）を用いたペイロードの難読化、さらに
Windows のセキュリティ機能やアンチウイルス製品の無効化など、高度な回避技術が使用されていま
した。また、コマンド＆コントロール（C2）サーバーとの通信には相互 TLS（mTLS）が利用されており、
通信の検知や傍受を困難にしていました。
MostereRAT は、情報収集、TrustedInstaller を利用した権限昇格、さらに AnyDesk、
TightVNC、RDP Wrapper などの正規リモートアクセスツールを悪用した持続的アクセスの維持など、
侵害後の幅広い活動を可能にします。また、隠し管理者アカウントの作成による永続化機能に加え、暗
号化された C2 チャネルを介した自己更新機能も備えていました。
このキャンペーンが初期侵入手段としてフィッシング攻撃に依存していた点は、ソーシャルエンジニアリング
が依然として企業環境に対して有効な攻撃手法であることを示しています。同時に、強固なメールセキュ
リティ対策と、ユーザーに対する継続的なセキュリティ教育の重要性を改めて浮き彫りにしました。
CrossC2 フレームワークを利用したクロスプラットフォームマルウェアキャンペーン
8 月、JPCERT Coordination Center（JPCERT/CC）は、Linux や macOS を含む複数プラッ
トフォーム上で、Cobalt Strike の機能を拡張する「CrossC2」と呼ばれるコマンド＆コントロール（C2）
フレームワークが関与した一連のサイバーインシデントについて報告しました。これらの攻撃は、2024 年 9
月から 12 月にかけて確認され、日本を含む複数国の組織が標的となっていました。攻撃では、
「ReadNimeLoader」と呼ばれるカスタムマルウェアが Cobalt Strike のローダーとして使用されており、
アンチデバッグ技術による解析回避機能や、メモリ上でのコマンド実行機能を備えていました。また、この
キャンペーンには、BlackSuit や Black Basta ランサムウェアグループの活動との類似点が確認されて
います。特に、エンドポイント検知・対応（EDR）製品が十分に導入されていないケースが多い Linux
サーバーを重点的に標的としていた点からも、攻撃者間で戦術やツール利用に共通性があることが示唆
されています。
https://blogs.jpcert.or.jp/en/2025/08/crossc2.html
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
34
MirrorFace、日本の公共機関に対するサイバー諜報活動を継続
2025 年 3 月、中国と関連するとみられる国家支援型脅威アクター「MirrorFace」（APT10 のサブク
ラスターであり、Earth Kasha とも呼ばれる）が、日本の政府機関や公共機関、さらに台湾の組織を
標的としたサイバー諜報キャンペーンを展開していたことが確認されました。 このキャンペーンでは、スピアフ
ィッシングメールが主な侵入手段として利用されており、一部では侵害済みの正規アカウントから送信さ
れていました。メールには Microsoft OneDrive へのリンクが含まれており、リンク先からダウンロードされ
る ZIP アーカイブには、不正な Excel ファイルと、「ROAMINGMOUSE」と呼ばれるマクロ型ドロッパ
ーが含まれていましたこのドロッパーは、追加コンポーネントを復号・展開した後、正規の実行ファイルを悪
用して ANEL バックドアをサイドロードします。これにより、攻撃者はステルス性を維持しながら永続的な
アクセス権とコマンド実行機能を確保していました。MirrorFace は、中国の戦略的利益に沿った長期
的な情報収集活動を行っていることで知られており、日本の政府機関、防衛関連組織、シンクタンクな
どを継続的に標的としてきた実績があります。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
35
結論：2025年の総括と 2026年の展望
2025 年を通じて、日本の組織を標的としたサイバー活動は継続的に確認されました。その中心となった
のは、金銭目的のランサムウェアグループ、イデオロギーに基づくハクティビストキャンペーン、そして国家と連
携したサイバー諜報グループでした。
特に、2025年においてランサムウェアが果たした役割の大きさを踏まえると、2026年もその脅威は
継続・拡大すると予想されます。中でも、影響範囲が広く、複数業界へ波及しやすいサプライチェーン
攻撃は、引き続き大きなリスク要因になると考えられます。 また、2026 年には、DevMan、
Kawa4096、NightSpire、WorldLeaks といった新興ランサムウェアグループの存在感がさらに高まる
可能性があります。加えて、LockBit が最新亜種「LockBit 5.0」とともに活動を再開したことは、同グ
ループの高い適応力と、ランサムウェアエコシステム全体への影響力を踏まえると、依然として重大な懸念
事項といえます。
DDoS 攻撃については、2025 年を通じて「#OpJapan」キャンペーンに関連した顕著な“波状的増加”
が確認されました。特に、エンターテインメント業界、ビジネスサービス、政府省庁、公的機関、その他の
注目度の高い組織を対象とした組織的な攻撃活動が相次ぎました。ロシア・ウクライナ戦争を背景に、
日本が NATO との戦略的協力を強化していることから、NoName057(16) や関連する親ロシア系ハ
クティビストグループによる対日攻撃は、今後も継続する可能性が高いとみられます。一方で、日本と イ
スラエルとの関係強化を背景に、地域情勢や国際的な連帯運動に影響を受けた親パレスチナ系ハクテ
ィビストによる攻撃リスクも高まりつつあります。こうした攻撃は、政治的・思想的なメッセージ発信を目的
として、日本の公共機関や民間組織を標的とする可能性があります。
さらに、日本政府による新たなサイバーセキュリティ戦略や積極的な政策対応が進展するにつれ、脅威
アクター、特に APT や国家支援型のサイバー諜報グループは、日本の変化するサイバー環境に適応し
ながら、攻撃手法をさらに高度化させていくことが予想されます。
また、現在のサイバーセキュリティ分野における最重要課題の一つとして、AI 駆動型ツールや AI 生成マ
ルウェアの進化が挙げられます。これらの技術は、2026 年の世界的な脅威情勢をさらに大きく変化させ
る可能性があります。特に、攻撃スキルの低いアクターでも高度な攻撃を実行しやすくなる一方で、熟練
した攻撃者による攻撃の規模、速度、巧妙さは、これまで以上に増大すると考えられます。
2026 年の日本企業・組織は、2025 年を通じて観測された継続的な脅威の延長線上にある、急速
に進化するサイバー脅威環境に直面するとみられます。特に、金銭目的のランサムウェアグループ、イデオ
ロギーに基づくハクティビストキャンペーン、そして高い適応能力を持つ国家支援型スパイ活動主体による
圧力が、引き続き主要な脅威要因となる見込みです。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
36
そのため、日本の組織には、進化し続ける脅威環境に対応するため、技術的対策と戦略的対策を組
み合わせた多層防御アプローチを優先的に採用することが求められます。具体的には、堅牢なエンドポイ
ント検知・対応（EDR）機能の導入、DDoS 対策の強化、定期的なセキュリティ監査およびパッチ管
理の徹底に加え、高度化するソーシャルエンジニアリング攻撃を踏まえたユーザー教育・セキュリティトレー
ニングの強化が、2026 年におけるリスク低減の重要な要素になると考えられます。
また、継続的脅威エクスポージャ管理（CTEM: Continuous Threat Exposure Management）
の考え方を取り入れ、攻撃対象領域全体に存在する悪用可能な脆弱性を継続的に特定・評価・優
先順位付けし、是正していくことは、組織全体のサイバーレジリエンス強化につながります。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
37
提言
日本の組織が継続的なサイバー攻撃に直面する中、Check Point Exposure Management では、
リスク低減とセキュリティ態勢強化に向け、以下の対策を推奨しています：
ランサムウェアおよびエンドポイントのレジリエンス強化：高度な EDR ソリューションを導入するとともに、
重要システム全体で多要素認証（MFA）を徹底し、ネットワークセグメンテーションを実施することが重
要です。また、定期的に検証されたインシデント対応プレイブックに基づき、オフラインバックアップを継続的
に維持することが推奨されます。
DDoSおよびサービス妨害への備えを強化する：#OpJapan キャンペーンに関連した DDoS 攻撃
が継続する中、日本企業は大規模なサービス妨害リスクに直面しています。そのため、高度な DDoS
対策ソリューションを導入し、トラフィックスケーリング機能を活用することで、攻撃時の急激な通信増加を
吸収し、サービス停止や性能低下を防ぐ必要があります。
予防的な脆弱性管理プログラムの導入：定期的なセキュリティ監査、迅速なパッチ適用、ペネトレーシ
ョンテスト、攻撃対象領域（Attack Surface）の評価を継続的に実施し、悪用可能な脆弱性へ優
先的に対処することが求められます。
従業員の意識向上とソーシャルエンジニアリング対策トレーニングの強化：AI を悪用した詐欺や高
度なフィッシング攻撃が増加していることを踏まえ、現実的なフィッシング演習を継続的に実施するとともに、
ディープフェイクやなりすまし詐欺を識別するための従業員教育を強化する必要があります。また、金銭
送金や本人確認を伴う要求に対しては、厳格な確認プロセスを徹底することが重要です。
継続的な脅威インテリジェンスの活用：「Check Point Exposure Management」の脅威ランドス
ケープ機能を活用することで、業界や地域ごとに最適化された最新の脅威インテリジェンスを継続的に取
得できます。これにより、新たな脅威、進化する攻撃者の TTP（戦術・技術・手順）、地域特有の攻
撃キャンペーンに関する情報を把握し、防御施策の迅速な調整と、先回りしたリスク低減につなげること
が可能になります。
JAPAN THREAT LANDSCAPE 2025 | MAY 2026
Check Point Copyright © All Rights Reserved 2026
38
チェック・ポイント・エクスポージャー・マネジメントについて
Check Point エクスポージャー管理は、ゲームチェンジャーです。同ソリューションは、数十億件規模の内
部テレメトリデータと、オープンウェブ、ディープウェブ、ダークウェブ由来の外部シグナルを統合し、統一され
たインテリジェンス・ファブリックを提供します。これにより、資産やブランドを含む攻撃対象領域全体の状
況をより明確に把握することが可能になります。業界全体としては、従来の断片的なフィードベースの情
報収集から、コンテキストに基づく優先順位付けへと移行が進んでいます。これにより、セキュリティチーム
はノイズの多いアラートではなく、実際に重要なリスクに集中できるようになります。また、アクティブな脅威
検証、是正措置の有効性確認、複数ツール間での重複排除などを通じて、セキュリティ運用の効率化
が図られています。「Safe-by-Design」の考え方に基づき、是正対応は単なる指示にとどまらず、実際
のリスク低減につながる形で検証・適用されることが重視されています。
なお、Gartner は継続的脅威エクスポージャー管理（CTEM）と迅速な対応能力を備えた組織にお
いて、2028 年までに成功する攻撃が 50%減少する可能性があると予測しています。これらの取り組み
は、単なるチケット管理ではなく実効性のあるリスク削減を目的としたものであり、複数の業界において先
進的な企業が同領域のソリューションを採用しているとされています。
詳細については、checkpoint.com/exposure-management をご覧ください。
© Check Point, 2026. All Rights Reserved