初期侵入の31％が脆弱性悪用
米Verizonが2026年5月19日に公表した「2026 Data Breach Investigations Report（DBIR）」で、脆弱性の悪用が初期侵入経路の最多となりました。図10では、操作ミスや権限の不正使用に分類される事例を除いたデータ侵害20,023件を対象に、脆弱性悪用が31％を占めています。前年版の20％から割合が上昇し、認証情報の悪用を上回りました。
DBIRは企業への意識調査ではなく、Verizonや協力組織が収集した実際のインシデント記録を分析する報告書です。分析期間は2024年11月1日から2025年10月31日。全体では145カ国にわたる31,861件のインシデントを扱い、うち22,625件がデータ侵害と確認されました。
ここでいうデータ侵害は、権限のない相手への情報開示が確認された事例です。情報が露出した可能性だけの事例とは区別されます。31％は、この全件をそのまま分母にした数字ではありません。
初期侵入経路の順位と認証対策
この結果は、初期侵入を防ぐうえで、公開システムの脆弱性対応が大きな比重を持つことを示しています。ただし、「企業の31％が脆弱性を突かれた」という意味ではありません。収集された事例の構成比であり、日本企業の被害率や、自社が侵害される確率には読み替えられません。報告書も収集対象の偏りを認めています。
また、今年は初期侵入経路に、もっともらしい口実で相手を誘導するPretextingの分類を追加しました。本文は、この変更が認証情報悪用の割合低下に影響したと説明しています。順位の変化を、そのままパスワード対策や多要素認証の重要性低下と受け取るべきではありません。初期侵入の後にも認証情報は悪用されるためです。
脆弱性対応の担当と期限を決める
実務では、脆弱性の件数を数えるだけでなく、侵入口となり得る資産を把握し、修正までの工程を短くします。外部公開の有無、悪用の確認状況、侵害された場合の影響を合わせて優先順位を決めます。担当者や停止可能な時間帯が未定のままでは、修正プログラムが公開されても対応は進みません。
すぐに更新できないシステムには、公開範囲の縮小やアクセス制限など、適用可能な暫定策を検討します。例外を認めた理由、責任者、見直し期限を残し、恒久対応へ戻す手順も決めます。更新後の適用確認や侵入痕跡の調査まで含めて、一つの対応として扱います。
31％という数字は、すべての組織に同じ対策配分を求めるものではありません。自社の資産と運用を照らし合わせ、把握しているのに対応が止まっている公開システムを特定する材料として使えます。
情報確認日：2026年10月26日。31％の対象は印刷p.15図10のError／Misuseを除く侵害20,023件です。全体の件数はp.77表3、分析期間はp.112の方法説明に基づきます。独自調査や個票の再集計は行っていません。第3節は公表結果を業務へ落とし込む編集上の提案です。