サイバー攻撃の95%は人為的ミスが原因？データ漏洩の主な原因と脅威を徹底解説

95%のサイバーセキュリティ侵害は「人的ミス」が引き金に

サイバーセキュリティ業界では、「組織におけるサイバーセキュリティ侵害の95%は人為的なミスが原因である」という調査結果が広く知られています。Cybint社の調査によると、IBMも同様の統計を発表しており、これは20件中19件のインシデントが、人為的ミスを排除できれば防げた可能性があることを意味します。

企業の防御策が進化する一方で、脅威自体も巧妙化しており、特に「組織の内部」から発生するリスクが増大しています。どれほど高度なセキュリティ技術を導入しても、それを使う人間の意識と行動が脆弱であれば、防御網には穴が開いてしまうのです。

データ漏洩の主な原因

1. 弱いパスワード・盗難された認証情報

最も多い原因は、盗まれた、あるいは漏洩した認証情報です。ユーザー名とパスワードの組み合わせが悪意ある第三者の手に渡れば、ネットワークへの不正アクセスは容易になります。「123456」のような推測されやすいパスワードや、複数サービスでの使い回しは重大なリスクとなります。

2. マルウェア感染

ウイルスやトロイの木馬などのマルウェアは、システムに侵入してデータを窃取・破壊します。特にランサムウェアは、データを暗号化して解除コードと引き換えに身代金を要求する手口として、近年急増しています。

3. フィッシング詐欺・ソーシャルエンジニアリング

信頼できる発信元を装ったメールやSNSメッセージで、個人情報やアカウント情報を騙し取る手口です。従業員がうっかりパスワードを共有してしまうなど、技術ではなく「人の心理」を突く攻撃である点に注意が必要です。

4. 内部者による脅威

退職予定の従業員や不満を抱える社員など、組織内部の人間が権限を悪用し、許可なくデータを共有・複製・削除・改ざんするケースも少なくありません。

5. 物理的な盗難・紛失

ノートパソコン、USBメモリ、ハードディスクなどの記録媒体の盗難や紛失も、情報漏洩につながります。デバイスを誰でも触れる場所に放置することは、金銭的損失にも直結する重大なリスクです。

6. 設定ミス・権限管理の不備

クラウドサービスの誤設定、過剰なアクセス権限の付与、未修正のまま放置された古いソフトウェアの脆弱性なども、攻撃者にとって格好の標的となります。

サイバーセキュリティを脅かす5大脅威

現在、企業が特に注意すべき代表的な脅威は以下の通りです。

• ランサムウェア： データを暗号化し、身代金を要求するマルウェア攻撃。
• フィッシング攻撃： 偽のメールやサイトで認証情報を盗み取る攻撃。COVID-19関連情報を装った事例も報告されています。
• DDoS攻撃： 大量の通信を送り付け、サーバーやサービスを麻痺させる分散型サービス拒否攻撃。
• IoT・クラウドへの攻撃： スマートデバイスやクラウド環境の脆弱性を狙う攻撃が増加中。
• 第三者ソフトウェアの脆弱性： サプライチェーンを経由した攻撃も深刻な課題となっています。

サイバー攻撃がもたらす影響

サイバー攻撃は企業に計り知れない損害をもたらします。サービスの中断といった直接的な損害に加え、顧客や社会からの信頼低下、重要情報の漏洩による事業継続の危機など、その影響は多岐にわたります。

さらに、国家規模のサイバー戦争においては、重要インフラへの攻撃により、サービス停止や機密情報の流出にとどまらず、物理的な損害が生じる可能性さえ指摘されています。

なぜ今、サイバーセキュリティ対策が急務なのか

サイバーセキュリティは、PII（個人識別情報）やPHI（医療情報）、企業の機密情報、知的財産、政府・産業の情報システムなど、あらゆるデータを盗難や破壊から守るために不可欠です。

多くの企業がサイバー脅威を認識しているものの、テレワークの普及、BYOD（私物デバイスの業務利用）、AIや機械学習を悪用した新たな攻撃手法の出現など、取り巻く環境は日々変化しています。多要素認証（MFA）の活用やクラウドセキュリティの強化、データプライバシーへの配慮も、今後ますます重要になるでしょう。

まとめ：技術対策と「人」の対策の両輪で

サイバーセキュリティ侵害の最大の原因は、意外に思われるかもしれませんが「人為的なミス」です。強力なパスワードポリシー、多要素認証の導入、定期的なセキュリティ教育、アクセス権限の最小化といった基本対策を徹底することが、被害の大部分を防ぐ第一歩となります。技術的対策と人的対策の両輪で、組織全体のセキュリティレベルを高めていきましょう。