2026 Lumen Defender Threatscape Report：なぜブレーチの可視性は物語を逃しているのか

2026 Lumen Defender Threatscape Reportは、Lumenの脅威インテリジェンス部門であるBlack Lotus Labsによって作成され、ほとんどの組織がサイバーアタックに対して遅すぎる対応をしていることを明らかにしています。レポートでは、ネットワーク内でブレーチが検出されるまでに、攻撃の実際の作業はすでに完了していることが多いと主張しています。突然の侵入のように見えるものは、実際には長期にわたって構築された作戦の最後のステップであることが多いです。

レポートは、妥協された後のことではなく、その前に起こることへの注意を向けます。その変更はすべてを変えます。

サイバーアタックは今やブレーチよりも前に始まる

現代のサイバー作戦は、機会主義的な侵入のように見えなくなりました。むしろ、時間の経過とともに段階的に構築されるキャンペーンのように見えます。脅威アクターは、インターネットを継続的にスキャンし、公開されたシステム、パッチが適用されていないデバイス、および弱い認証ポイントを探します。機会を見つけたら、そこを中心にインフラを構築します。

この準備段階には、盗まれた資格情報の検証、プロキシネットワークの設定、通信チャネルのテスト、コマンドシステムの確立が含まれます。組織が不審な活動を検知するまでに、攻撃者はすでに環境内で移動するために必要なパスを構築しています。

これが特に危険なのは、ほとんどの組織がこの初期段階を見逃していることです。従来のセキュリティツールは、既知の脅威またはネットワーク内での不審な活動を検知するように設計されています。攻撃が構築される最初の段階を観察するように設計されていません。

インフラストラクチャレイヤーが今や本当の戦場である

レポートで最も重要な発見の1つは、サイバーアタックがマルウェアだけで定義されなくなったことです。代わりに、サイバーアタックはそれらをサポートするインフラストラクチャによって定義されるようになりました。攻撃者は、障害に耐え、迅速に再生できるように、システムを構築することに多くの労力を費やしています。

この変化は、犯罪作戦と国家による作戦の両方で見られます。プロキシネットワークはほとんどの攻撃の重要なコンポーネントになりました。これらのネットワークにより、攻撃者はトラフィックを妥協されたデバイスを介してルーティングできます。攻撃は、正当なユーザーから来ているように見えます。

同時に、攻撃者はエンドポイントからエッジデバイス（ルーター、VPNゲートウェイ、ファイアウォールなど）に向かっています。これらのシステムは、ネットワークの重要なポイントに位置し、可視性が弱く、内部システムへの直接アクセスを提供します。さらに、長時間のアップタイムと監視コントロールの少なさにより、攻撃者にとって理想的な足がかりとなります。

結果として、攻撃者はインターネットの端ではなく、インターネットの接続組織の中で作戦を展開するようになりました。

人工知能は全プロセスを加速している

レポートでは、生成的な人工知能がサイバー作戦の速度をどのように劇的に増加させているかを強調しています。人間の調整が必要だったタスクは、自動化できます。攻撃者は、脆弱性のスキャン、インフラの生成、エクスプロイトのテスト、および戦略のリアルタイムでの適応に人工知能を使用しています。

これにより、攻撃のタイムラインが圧縮されます。以前は数日かかったことが、数時間で実行できます。場合によっては、人工知能駆動のシステムがネットワーク条件を評価し、最も効果的な進路を特定し、防御に対して戦術を調整できます。

防御者にとって、これは新しい課題をもたらします。セキュリティチームは、静的な脅威に直面しているのではなく、継続的に進化するシステムに直面しています。これらのシステムは、防御に対して応じて進化します。

サイバー犯罪はプロフェッショナルな産業になっている

レポートで目立つもう1つのテーマは、サイバー犯罪が構造化されたプロフェッショナルなエコシステムに成長していることです。多くの作戦は、合法的なテクノロジー企業のように見えます。サービスを提供し、顧客をサポートし、継続的に製品を改善しています。

マルウェアプラットフォームは、サブスクリプションサービスとして販売されています。プロキシネットワークは、需要に応じてレンタルできます。妥協されたシステムへのアクセスは、市場で購入および再販できます。さまざまなアクターは、初期アクセス、データの除去、収益化などの攻撃ライフサイクルのさまざまな部分に特化しています。

このレベルの組織化により、サイバー犯罪者は作戦を効率的に拡大できます。また、より回復力もあります。1つのコンポーネントが妨害されると、別のコンポーネントがすぐにその役割を果たすことができます。

同じインフラストラクチャは、多くの場合、複数のグループ間で共有され、犯罪活動と国家による作戦の間の境界線を曖昧にします。これにより、攻撃の真の性質を誤解するリスクが高まり、帰属の特定がより困難になります。

プロキシネットワークはインターネット上の信頼を再定義している

レポートで説明されている最も重要な開発の1つは、妥協されたデバイスからのプロキシネットワークの台頭です。これらのネットワークにより、攻撃者は通常の住宅または商業用IPアドレスから操作できます。

防御者からの視点では、これは大きな問題です。従来のセキュリティモデルは、場所、IP評価、ネットワーク所有権などの信頼シグナルに大きく依存しています。プロキシネットワークはこれらのシグナルを損ないます。

攻撃者は、正当なユーザーから接続しているように見えます。地理的位置の制御を回避し、検出システムを回避し、正常なトラフィックパターンに完全に溶け込むことができます。

これは、見かけ上クリーンに見えても、必ずしも安全ではないことを意味します。インターネット自体が仮面になりました。

シンプルな攻撃も再発明された

レポートでは、古いテクニックであるブルートフォース攻撃がまだ使われていることを示しています。ただし、これらの攻撃は、スケールと自動化によって変化しています。

攻撃者は、盗まれた資格情報の大量のデータセットにアクセスできます。これを分散型インフラストラクチャと人工知能駆動のツールと組み合わせて、同時に数千のターゲットに対して認証システムをテストします。これらの攻撃は、ランダムではありません。ターゲットを絞り込み、継続的であり、高度に効率的です。

これらが特に危険なのは、攻撃の最初のステップとして機能することです。アクセスが得られると、攻撃者はネットワーク内でより深く移動し、追加のツールを展開し、長期的なコントロールを確立できます。

国家による作戦はインフラストラクチャプラットフォームになっている

レポートでは、国家アクターが長期的なインフラストラクチャを構築していることを強調しています。これらの作戦は、柔軟性を目的として設計されています。再生察や搾取、または妨害に使用できます。

これらのシステムは、単一のターゲットではなく、複数の作戦をサポートする基盤を構築するように設計されています。拡大性、適応性、圧力にも耐えるように設計されています。

場合によっては、攻撃者は独自のインフラストラクチャを構築しません。他のグループがすでに制御しているシステムを乗っ取り、それを自身の作戦の出発点として使用します。これにより、さらに複雑性が増し、誰が攻撃の背後にあるのかを理解することがより困難になります。

サイバーセキュリティの将来は可視性によって定義される

先を見ると、レポートは、2026年とその以降の脅威の風景を形作るいくつかのシフトを特定しています。最も重要なのは、リスクが露出によって定義されるという考えです。

攻撃者はインターネットを継続的にスキャンしています。可視性と脆弱性のあるシステムは、最終的にターゲットになります。どの業界に属しているかは関係ありません。機会が主な要因です。

同時に、最も重要なシグナルは、個々のデバイスから来るのではなく、ネットワーク内のパターンから来ます。システムがどのように通信し、インフラストラクチャが構築され放棄され、トラフィックがインターネットを横断する方法は、攻撃がターゲットに到達する前にそれらを明らかにします。

これには、セキュリティに対する異なるアプローチが必要です。エンドポイントとアラートのみに焦点を当てるのではなく、攻撃を可能にするインフラストラクチャを検知し妨害することに重点を置く必要があります。

新しい防御アプローチ

レポートでは、従来の防御戦略がもう十分ではないことを明確に示しています。組織は攻撃ライフサイクルの早い段階で行動する必要があります。攻撃自体だけでなく、攻撃を可能にするインフラストラクチャに焦点を当てる必要があります。

これは、エッジデバイスを重要な資産として扱うことを意味します。トラフィックがネットワークに入り出る方法を監視することを意味します。システム間の関係を理解することを意味します。静的なインジケーターに頼るのではなく、システムを理解する必要があります。

また、犯罪活動と国家による作戦の間の線がますます曖昧になることを受け入れる必要があります。すべての侵入を戦略的なものとして扱う必要があります。

レポートの真の教訓

2026 Lumen Defender Threatscape Reportの最も重要な教訓は、サイバーアタックが孤立したイベントではないということです。構築されたシステムです。計画され、テストされ、実行される前に長期にわたって改良されています。

アラートがトリガーされるまでに、攻撃者はすでに環境内にいるところです。下準備はすでに整っています。

この新しい環境で成功する組織は、焦点を移すものです。エンドポイントの先を見ます。ブレーチの先を見ます。攻撃を可能にするインフラストラクチャに焦点を当てます。

そうすることで、現代のサイバーセキュリティで最も重要なアドバンテージを獲得します。攻撃が始まる前にそれを見ます。