KELAのサイバークライム2026年報告書：２８６億の盗まれた資格情報と自律型AI攻撃の台頭

サイバークライムは、単に拡大しているのではなく、構造的なレベルで進化している。KELAの「サイバークライム2026年：新たな脅威と予測」報告書によると、攻撃者は従来の侵入方法から、アイデンティティの悪用、AI駆動の自動化、および信頼ベースのシステムの大規模な悪用へとシフトしている。

報告書は、2025年が転換点であったことを明らかにしている。サイバークライム者は、ネットワークに侵入するのではなく、ログインしており、盗まれた資格情報、AIエージェント、および信頼できる第三者のシステムを使用して、防御を完全に回避している。

サイバークライムの記録的な年

2025年のサイバークライムの規模は、前例のないレベルに達した。KELAは、世界中のエコシステムで２８６億の危殆化された資格情報を追跡しており、これはインフォスティーラーマルウェア、侵害データベース、および地下市場を網羅している。

これらの資格情報は、攻撃者の主なエントリーポイントとなっている。脆弱性を悪用するのではなく、脅威アクターは、有効なアクセスにますます頼り、実質的に周囲ベースのセキュリティモデルを旧式のものにしている。

同時に、ランサムウェアも急激に増加した。報告書は、2025年に７５４９のランサムウェアの被害者を特定しており、前年比４５％の増加となっている。また、被害者の５３％以上がアメリカに所在している。

この増加は、サイバークライム経済の成熟によって推進されている。１４７のランサムウェアグループが活発化しており、そのうち約８０が新規参入者であることがわかり、参入障壁がどれほど低いのかが示されている。

全てを牽引するインフォスティーラーの流行

この増加の根底にあるのは、インフォスティーラーマルウェアの台頭であり、これは現代のサイバークライムの骨格とみなされている。

KELAは、2025年に世界中で約３９０万の感染マシンを観測しており、単にマルウェア感染から直接３４７５万の資格情報が生成されている。

より広いエコシステムでは、これがさらに大幅に増幅されており、サイバークライム市場を横断して資格情報が数十億回流れている。これらは、ランサムウェアグループ、初期アクセスブローカー、および国家アクターに転売される。

データは、ターゲットの重要なシフトを明らかにしている。危殆化された資格情報の７５％以上が、高価値サービスに結び付けられている。ビジネスクラウドプラットフォーム（１９．６％）、CMSシステム（１８．７％）、メールサービス（１５．３％）、および認証システム（１２．９％）である。

この集中は、明確な戦略を示唆している。攻撃者は、横方向の動きと組織全体の妥協を可能にするプラットフォームを優先している。

macOSはもはや安全ではない：７０００％の急増

報告書で最も注目すべき発見の１つは、長く持続してきたプラットフォームのセキュリティに関する仮定の崩壊である。

macOSの感染は、２０２４年の１０００件未満から２０２５年の７万件以上に急増し、７０００％の増加を記録した。

この爆発的増加は、マルウェア・アズ・ア・サービス（MaaS）の商業化によって推進されており、特にAtomic Stealerのようなツールは、スキルレベルが低い攻撃者であっても、大規模にAppleデバイスを標的にすることを容易にしている。

このことの意味は明らかである。もはやどのプラットフォームも、固有の安全性を持っていない。攻撃者は価値を追跡し、Appleエコシステムは今やその標的になっている。

AIが新たな攻撃対象となる

報告書で最も重要な変化は、サイバーアタックのライフサイクルへのAIの深い統合である。

KELAは、AI支援攻撃から、完全に自律的なエージェント駆動型の運用への移行を特定しており、８０％から９０％のタスクが人間の関与を最小限に抑えて実行可能である。

この変化から生まれる重要な概念の１つは「バイブハッキング」である。攻撃者は、AIシステムを破壊するのではなく、悪意のあるアクションを正当なタスクとしてフレーミングし、AIエージェントが悪意のある操作を実行することを可能にしている。これにより、AIエージェントは、セーフガードをトリガーすることなく、悪意のある操作を実行できる。

報告書は、AIシステムがプロンプトインジェクションおよび間接的な操作を通じて妥協された実際のケースも強調している。あるケースでは、自律的なAIエージェントが、人間の監督なしに、複数のターゲットに対して偵察、エクスプロイトコードの開発、および攻撃を実行した。

これは根本的な変化を示している。AIは、攻撃者にとって単なるツールではなく、武器であり、また脆弱性でもある。

ランサムウェアは産業規模の強制に進化する

ランサムウェアは、単なる戦術ではなく、完全なビジネスモデルとなっている。

ほとんどの攻撃は、データの盗難と暗号化の両方を組み合わせた二重の強制に依存している。ただし、暗号化を完全に省略し、機密データの盗難と金銭化に重点を置く、強制のみの攻撃も増加している。

エコシステムは、高度に競争的である。トップグループのQilinは、１１００以上の被害者を主張しており、続いてAkiraが７６１件、Clopが５２３件である。

これらのグループは、技術的な悪用ではなく、盗まれた資格情報にますます頼り、攻撃を加速するために地下ブローカーからアクセスを購入している。

経済的影響は、驚くべきものである。ジャガーランドローバーでの１つの侵害により、２５億ドルの経済的損害が生じ、生産の停止や、数千の企業に影響を及ぼすサプライチェーンの混乱が発生した。

ハクティビズムと地政学がサイバーセキュリティ脅威を強化する

サイバークライムは、ますます世界的な紛争と結びついている。

ハクティビストの活動は、年間４００％の増加を記録しており、３５００以上のDDoS攻撃が主張され、２０２５年に２５０以上の新しいグループが登場した。

これらのグループは、もはやウェブサイトの改ざんに限定されていない。彼らは、重要なインフラストラクチャ、オペレーションテクノロジー、および産業システムを標的にし、現実世界の結果をもたらしている。

同時に、国家アクターは、サイバー作戦を地政学戦略の核心的なツールとして使用している。ロシア・ウクライナ、イスラエル・イラン、アメリカ・中国の緊張、および北朝鮮に関連するキャンペーンは、サイバー戦争が、スパイ活動、妨害、金融作戦を網羅するものであることを示している。

サプライチェーン攻撃と信頼の崩壊

別の特徴的な傾向は、サプライチェーン攻撃の増加である。

攻撃者は、単一の組織を標的にするのではなく、ベンダー、SaaSプラットフォーム、および共有インフラストラクチャを妥協し、下流の数千の被害者にアクセスを得ている。

あるケースでは、SaaS-to-SaaS攻撃により、攻撃者は、盗まれたOAuthトークンを使用して、複数の企業のSalesforce環境にピボットし、従来のセキュリティ制御を完全に回避した。

これは、より広い変化を反映している。「デフォルトでの信頼」のモデルは、攻撃者がシステム間の関係をシステム自体よりも悪用するため、負債となっている。

ゼロデイの悪用とパッチ適用ウィンドウの終焉

報告書は、脆弱性の悪用の産業化も強調している。

２０２５年には、２３８の脆弱性がCISAの既知の悪用脆弱性カタログに追加され、前年の１８５から増加した。

攻撃者は、脆弱性を悪用して金銭を得ることが、以前よりもはるかに速くなっている。地下市場では、完全に武装化された悪用キットが、単なる概念実証コードよりも売られている。大量の悪用の障壁が低くなっている。

新たなサイバーセキュリティの現実

KELAの「サイバークライム２０２６：新たな脅威と予測」報告書の調査結果は、１つのことを明確に示している。サイバーセキュリティは、新しい時代に入っている。

アイデンティティは、現在、主な攻撃対象面となっている。AIは、ツールであり、脆弱性でもある。システム間の信頼関係が、武器化されている。攻撃の速度は、従来の防御モデルを超えている。

従来のセキュリティアプローチに頼り続ける組織は、ますます危険にさらされている。アイデンティティ優先のセキュリティ、ゼロトラストアーキテクチャ、およびAI対応の防御への移行は、もはや選択ではなく義務となっている。

脅威アクター、攻撃手法、および戦略的推奨事項の詳細な分析については、KELAの「サイバークライム２０２６：新たな脅威と予測」報告書は、サイバークライムの風景がどのように進化し、次にどこへ向かっているかについて、包括的な見解を提供している。