Microsoft年次脅威レポート、初期侵入の73.3%が人を狙う手口

何が発表されたか

• Microsoftは2026年10月13日、年次の「Microsoft Digital Defense Report 2026」の内容を公表した。
• 攻撃者はAIを脆弱性の発見、マルウェアの生成、フィッシングや詐欺の大規模化に使っているとする。高度な攻撃者では、従来数日かかっていた攻撃の連鎖が数秒に短縮されうると指摘している。
• AIシステムと、それを支えるデータやインフラ自体も攻撃対象になりつつあるとしている。
• 報告された主な数値は次のとおり。
  • 初期侵入の試みのうち73.3%が、ユーザーによる実行、正規アカウントの悪用、ソーシャルエンジニアリング、フィッシングのいずれかを含む
  • ビジネスメールのなりすまし攻撃を4600万件超検知
  • 侵入の63%でデータ窃取が発生
• デジタルアイデンティティが侵入口になりつつあり、アカウントや認証情報を奪ったうえで他のシステムやデータへ横展開する流れが示されている。

取るべき対応

レポートは組織向けに5つの優先事項を挙げている。

• セキュリティとID保護を経営課題として扱う。パスキー、フィッシング耐性のある多要素認証、最小権限アクセスの採用。
• AIとデータのガバナンスを強化する。承認していないAIツールやエージェントの把握と、機微データへのアクセス制御。
• インターネットに露出している資産を洗い出し、ネットワーク機器にパッチを適用し、認証を監視する。
• 攻撃シミュレーションで備えを検証し、ソフトウェアの依存関係を信頼できる提供元から管理する。
• 脅威インテリジェンスの共有、利用している暗号方式の棚卸し、ポスト量子を見据えた計画づくり。

数字が示すのは、技術的な侵入よりも人とアカウントを狙う手口が入口になっているという点。小規模な制作会社でも、まず着手できるのは共有アカウントの整理とフィッシング耐性のある多要素認証の導入になる。