過去1年間に71%の組織が少なくとも1件のアイデンティティ侵害を経験したことがソフォスの調査で判明

サイバー攻撃を阻止する革新的なセキュリティソリューションのグローバルリーダーであるSophos（日本法人：ソフォス株式会社 東京都港区 代表取締役社長 足立 達矢）は本日、「アイデンティティセキュリティの現状2026年版」を発表しました。本調査のデータは、特定のベンダーに依存しない中立的な立場から、17か国の5,000人（日本：450人）のITおよびサイバーセキュリティリーダーに対して実施された調査から得られています。この調査によると、71%（日本：65％）の組織が過去1年間にアイデンティティをベースとした侵害を少なくとも1件経験しており、組織あたりの平均発生件数は3件でした。また、何度も被害に遭う傾向も顕著であり、5%（日本：10％）の組織は6件以上の侵害を報告しています。これらの攻撃は主に人為的ミスと、人間以外のアイデンティティ（NHI）の不十分な管理によって引き起こされており、エージェント型AIによって攻撃プロセスが加速する中で、この課題は急速に深刻化しています。

本調査に回答したランサムウェア被害組織の3分の2（67%）は、自社のランサムウェア被害がアイデンティティ攻撃に起因していると確認しており、アイデンティティの侵害がランサムウェアの主要な侵入経路となっていることが明らかになりました。Sophos X-Opsの研究者は、過去1年を通じて同じ傾向を観測しています。また、経済的影響も大きく、平均復旧コストは164万ドル（日本：122万ドル）、中央値は75万ドル（日本：37万5,000ドル）に達しており、被害を受けた組織の73%（日本：75％）が25万ドル以上のコストを負担しています。

ソフォスの最高情報セキュリティ責任者（CISO）であるRoss McKercharは次のように述べています。「アイデンティティは現代のサイバーセキュリティにおける重要なアタックサーフェスとなっています。今回の調査データは、多くの組織が防御面で後れを取っていることを示しています。特に人間以外のアイデンティティへの対策は緊急の課題です。AIエージェントへの権限付与は、セキュリティチームの追跡速度を上回るペースで進んでいます。このギャップに先手を打てない組織は、今後ますます高コストな対応を迫られることになります」

「アイデンティティセキュリティの現状2026年版」からのその他の主な調査結果:

• 侵害後の影響の多くを占めているのはデータ窃取と金銭被害：過去1年間で、10%の組織が業務に影響を及ぼすアイデンティティ侵害を報告しており、侵害による主な被害はデータ窃取（49%）、ランサムウェア被害（48%）、金銭窃取（47%）でした。
• 可視性の欠如は依然として重大な課題：組織のわずか24%しか不審なログイン試行を継続的に監視していません。半数以上の組織は3か月ごと、もしくはそれ以下の頻度でしか確認していませんでした。
• 組織によって検知能力が異なる：侵害を受けた組織の14%は、最も重大なアイデンティティ攻撃を被害が発生までに検知して阻止できませんでした。特に従業員100〜250名規模の小規模組織は、中規模組織と比べて検知できなかった割合が約2倍高い結果となっています。
• 最も高いリスクに晒されているのは重要インフラ組織：エネルギー/石油・ガス/公益サービス（80%）と中央政府機関（78%）が、業界別で最も高い侵害率を示しました。
• コンプライアンス対応に苦労している組織ほど、広範なリスクが存在する：コンプライアンス対応が「非常に困難」と回答した組織では侵害率が82.4%に達し、コンプライアンス対応が比較的容易と回答した組織（68.3%）より14ポイント高い結果となりました。

また、攻撃の約43%では人為的ミス（従業員が認証情報を騙し取られる）が関与していました。さらに41%では、APIキーのコードへの保存、静的な認証情報、サービスアカウントの放置など、人間以外のアイデンティティ（NHI）の不適切な管理が原因として挙げられています。非人間アイデンティティの管理が不十分な組織は、金融資産が窃取される割合が22%高く、復旧コストも平均より約15万ドル高くなっています。

NHIの課題はさらに悪化しています。AIエージェントは自律的にサブエージェントを生成します。各サブエージェントが新たな認証情報を発行し、広範かつ持続的なアクセス権を取得していますが、人間による監視は追いついていません。既存のアイデンティティ管理フレームワークはこうした状況を想定しておらず、すでに多くの組織で対応が後手に回っています。実際、サービスアカウントや人間以外のアイデンティティを定期的にローテーションまたは監査している組織は3分の1にとどまり、継続的に実施しているのはわずか11%です。

アイデンティティベースのリスクを削減するための提言

アイデンティティを起点とする攻撃のリスクを低減するには、人間と人間以外のアイデンティティの両方に対応する多層型のアプローチを導入する必要があります。基本的な対策には、すべてのユーザーアカウントへの多要素認証（MFA）の適用、最小権限アクセス原則の徹底、未使用アイデンティティの迅速な無効化と削除が含まれます。 

特に人間以外のすべてのアイデンティティのインベントリを作成して分類し、長期間有効な認証情報を短期間有効なものへ置き換え、さらに大規模なNHI認証情報を管理するためのシークレット管理プラットフォームを導入する必要があります。また、エージェント型AIがNHIの増加を加速させる中で、アイデンティティ脅威の検知と対応（ITDR）機能の導入およびゼロトラストセキュリティモデルの採用は、ますます重要な防御レイヤーとなっています。

「アイデンティティセキュリティの現状2026年版」レポートのデータは、2026年特定のベンダーに依存しない中立的な立場から、17か国の5,000人のITおよびサイバーセキュリティリーダーに対して第1四半期に実施された調査から得られています。調査対象組織は従業員100〜5,000人規模で、14の業界にわたります。調査対象国には米国、英国、ドイツ、フランス、オーストラリア、日本、インド、ブラジルが含まれます。 

レポート全文はこちらから参照してください。