侵入の入口が入れ替わった。2026年版DBIRでは初期侵入経路の第1位が脆弱性の悪用31%（前年20%）で、長年首位だった認証情報の悪用13%を上回った。従業員1,000人未満のSMBに絞っても、脆弱性26%・認証情報13%・フィッシング9%の順である。教育より先に、公開資産のパッチとMFAが効く順番になっている。
何が測られたのか（対象・期間・n数）
Verizon Businessが2026年版のData Breach Investigations Report（第19版）を公開した（出典：Verizon Business（2026 Data Breach Investigations Report、第19版。Verizon自社のVTRAC調査に加え多数のデータ提供パートナーからの拠出データを統合）、2026-05-20、https://www.verizon.com/business/resources/Td15/reports/2026-dbir-data-breach-investigations-report.pdf）。
先に利害関係を書いておく。この記事はVerizon Business自身による発表であり、同社は当該領域（企業向けネットワーク・セキュリティサービス、およびVTRACによるインシデント対応調査）の提供者である。 侵害対応を事業として持つ会社が、侵害の実態を集計して公表している。データ提供パートナーが多数入るため単独ベンダーの顧客統計より広いが、「誰が何を測ったか」は数字と切り離さずに読む必要がある。
数値ごとに分母が違うので、先に整理する。
| 指標 | 値 | 対象・期間・条件 |
|---|---|---|
| 分析対象インシデント | 31,000件超（集計表の合計は31,861件） | 2024年11月1日〜2025年10月31日、145か国。VTRAC調査・データ提供パートナー・公開済みインシデントの統合。品質フィルタ通過分のみ |
| うち確認済みデータ侵害 | 22,000件超（集計表の合計は22,625件） | 同上。DBIR史上最多。公開恐喝キャンペーンやランサムウェア実行犯の活動を大量収集する体制を強化した結果の増加を含む |
| 初期侵入経路1位：脆弱性の悪用 | 31%（前年20%、55%増） | 分母は非Error・非Misuseの侵害。31%の出典はFigure 10（選択列挙、n=20,023）。経年比較のFigure 5/11はn=19,905 |
| 初期侵入経路：認証情報の悪用 | 13%（前年22%、同一基準なら16%） | 同じ非Error・非Misuse侵害が分母。侵害の任意の段階で認証情報悪用が関与した割合は39%で依然最多 |
| KEV掲載脆弱性を年内に完全修正できた割合 | 26%（前年38%） | 侵害データではなく脆弱性管理パートナー提供の非インシデントデータ。Figure 12のn=515,170（CVE解決状況）。未修正のまま残ったのは16%（前年12%） |
| 検知から完全修正までの期間 | 中央値43日（前年32日） | 同じ非インシデントの脆弱性管理データセット。組織あたり要修正KEV件数の中央値は2024年11件→2025年16件 |
| ランサムウェア関与の侵害 | 48%（前年44%） | 分母は今年の確認済み侵害全体。第三者が関与した侵害も別途48%（前年比60%増） |
| 身代金を支払わなかった被害者 | 69%（2024年は65%） | 分母は支払有無が判明しているランサムウェア被害 |
| 支払われた身代金の中央値 | 139,875ドル（前年150,000ドル） | 分母は実際に支払いが行われた事例のみ |
| SMBの確認済みデータ侵害 | 7,152件（インシデントは7,256件） | SMB＝従業員1,000人未満とDBIRが定義。集計表では7,153/7,257と微差あり |
入口の第1位が入れ替わったという事実
脆弱性の悪用が31%で首位に立った。前年20%からの55%増である。分母は「初期侵入の起点として特定できたもの」であって侵害全体ではない点に注意がいる。
一方で認証情報の悪用は22%から13%へ落ちた。ただしこの下落は、そのまま「認証情報が狙われなくなった」という意味ではない。DBIRは今年からPretexting（口実を用いた働きかけ）を初期侵入経路の追跡対象に加えており、本文は旧基準なら16%だったと明記している。さらに、侵害の任意の段階で認証情報の悪用が関与した割合は39%で依然として最多である。入口としての順位が下がっただけで、攻撃の道具としては最も使われている。
修正側の数字はもっと重い。CISA KEV（既知悪用脆弱性カタログ）に載った脆弱性のうち、2025年中に全インスタンスを完全修正できた割合は26%（前年38%）に低下した。未修正のまま残ったものは16%（前年12%）。検知から完全修正までの中央値は43日（前年32日）に伸びている。背景として本文は、組織あたりの要修正KEV件数の中央値が2024年11件から2025年16件へ約50%増えたことを挙げている。
- 攻撃側は既知の脆弱性を入口として使う比率を上げている（31%、前年20%）
- 防御側は既知の脆弱性を年内に消せる比率を下げている（26%、前年38%）
- 修正までの時間も伸びている（中央値43日、前年32日）
ただし、この26%と43日は侵害データセットの数字ではない。脆弱性管理パートナー由来の非インシデントデータであり、標本は大きいが提供元が少ない。侵害統計と同列には語れない。加えてCVE識別子が付与された脆弱性のみが対象で、CVE未付与の悪用脆弱性は範囲外だと注記されている。
従業員1,000人未満で何が起きているか
DBIRはSMB（従業員1,000人未満）を別建てで集計している。確認済み侵害はn=7,152件。その内訳が明快である。
初期侵入経路は、脆弱性の悪用26%、認証情報の悪用13%、フィッシング9%。侵害の100%が外部攻撃者によるもので、動機は100%が金銭目的。パターンはSystem Intrusion／Basic Web Application Attacks／Social Engineeringの3つで侵害の100%を占める。
ランサムウェア被害に至った要因（SMBの侵害におけるAction varieties分析、Figure 101、n=6,182）は、認証情報の漏えい38%、エッジ機器（VPN・ファイアウォール等）の未patch脆弱性29%。どちらも「境界に置いてある機器」と「アカウント」に集中している。棚卸しをすれば手が届く範囲である。
その他の指標として、第三者の関与55%、人的要素45%。窃取データは内部データ97%・認証情報31%だった。また、ランサムウェア被害者のうちSMBが占める割合は約96%とされるが、この分母は全ランサムウェア被害ではなく「被害組織の規模が判明している事例」のみで、規模不明分は集計から除外されている。
攻撃者は業種や売上を選ばず広範に網を投げる日和見的な動き方をしている、と本文は説明する。つまり「うちは小さいから狙われない」は成立しない。狙われているのではなく、網に入っている。
中小企業にとって、これは何を意味するのか
この報告書を日本の中小企業がそのまま自社に当てはめる前に、必ず確認すべき定義のずれがある。
DBIRのSMBは「従業員1,000人未満」であり、1,001人目を雇った時点でエンタープライズ扱いになると本文が明記している。 日本の中小企業基本法の定義（製造業等300人以下、卸売100人以下、小売・サービス50人以下など）よりはるかに広く、日本基準では中堅・中規模企業に分類される会社を多数含む。従業員数名から数十名の会社の実態としてそのまま一般化すると、事実誤認になる。
そのうえで、読み取れる意味は3つある。
第一に、対策の順番が変わる。SMBの初期侵入経路は脆弱性26%・認証情報13%・フィッシング9%であり、フィッシング教育は3番目である。教育が無駄だという話ではないが、公開資産のパッチ適用とMFAを後回しにして教育から始めるのは、比率と順序が合っていない。
第二に、狙われるのは境界の機器である。SMBのランサムウェア要因は認証情報の漏えい38%とエッジ機器の未patch脆弱性29%。VPN装置、ファイアウォール、外部公開しているNASやWebサーバー。台数が数台から十数台という会社が大半で、これは「棚卸しできる量」である。何が外部に出ているかの一覧が社内に存在するか、から始まる。
第三に、委託先とSaaSが自社と同じ重みを持つ。SMB侵害の第三者関与は55%。保守業者、クラウド会計、受発注SaaS、制作会社。自社のパッチを当てても、そこ経由で入られる経路が半分を超えている。国内の中小企業の対策実態と突き合わせるならIPAの中小企業セキュリティ実態調査が参照点になる。
なお、経営判断として使える数字もある。身代金を支払わなかった被害者は69%（2024年は65%）で、暗号化を伴う事例でも不払いが増えている。支払われた場合の中央値は139,875ドル（前年150,000ドル）。「払うのが普通」ではなくなっている。
この報告書の限界（発信元自身が認めているもの）
DBIRは自らの限界を明示的に書いている報告書である。以下はすべて本文由来である。
- 非代表性の明言：巻末の「Non-committal disclaimer」で、本報告書の知見がすべての組織のすべてのデータ侵害を代表するものではないと明言している
- 選択バイアス：捕捉しているのは「侵害され、それを検知し、報告された」組織のみ。定義上これらは防御が破られた組織であり、標本が全組織を代表しないと本文が自認している
- サンプリングバイアス：公開開示された侵害は収録されやすく、機密扱いの侵害は収録されにくい。全世界の悉皆調査は不可能で、便宜的標本（sample of convenience）を超える手法は現状これが限界だと認めている
- 定義変更による見かけの変化：認証情報の悪用が22%から13%へ落ちた主因の一つは、今年からPretextingを初期侵入経路の追跡対象に加えたこと。旧基準なら16%と本文が明記し、侵害の任意段階での認証情報悪用は39%で依然首位だとして「認証情報対策を軽視するな」と釘を刺している
- 収集体制の変化：公開恐喝キャンペーンやランサムウェア実行犯データの大量収集を強化したため件数が大幅増。侵害件数や一部比率の前年比較には、実態変化と収集方法変化が混在している
- ランサムウェア報告の信頼性：攻撃者が古い侵害の使い回し、他の犯罪グループの侵害の転載、完全な捏造によって知名度を上げようとするため、報告と実態の乖離が拡大していると本文が指摘している
- 「不明」は除外：unknownはunmeasuredとして扱われ標本サイズに算入されない。したがって各比率の分母は「その項目が判明した事例」に限られる
- 統計的信頼区間：ランダムバイアスによる最大信頼幅はインシデントで±0.7%、侵害で±0.9%。SMBのような部分集合はサンプルが小さいぶん信頼幅がさらに広がる
- 地域的偏り：収録範囲は各地域の開示法制と寄稿者の所在に左右されると本文が明記している。日本を含むAPACの代表性は保証されていない
つまり、この報告書は「世界の侵害の実態」ではなく「検知され報告され、Verizonとパートナーが集められた侵害の実態」である。それでもn=22,625という規模で入口の順位が入れ替わったことは、方向性の材料としては十分な重さがある。
TOEの読み筋
先に明記する。TOEでは、ここに書く内容を自社で体系的に実施していない。 外部公開資産の棚卸し台帳の整備も、KEV基準での修正期限の運用も、委託先のセキュリティ確認の定型化も、現時点で手をつけていない。以下は実施報告ではなく、この数字を読んだうえでの読み筋である。
読み筋は3つある。
第一に、中小企業がまずやるのは「外に出ているものの一覧」を1枚作ることだと考える。VPN装置、ファイアウォール、ルーター、公開サーバー、公開しているNAS、Web管理画面。機種名とファームウェアの版と、誰が更新責任を持つかを書く。SMBのランサムウェア要因の29%がエッジ機器の未patch脆弱性である以上、一覧がないという状態そのものが最大の穴になる。
第二に、パッチの速度は人ではなく仕組みで決まる。修正までの中央値が43日に伸び、KEVの完全修正率が26%に落ちたという事実は、現場の努力不足というより、対象件数が増えて手作業では追えなくなったことを示している。中小企業なら対象は数十件規模で収まるはずで、月次の固定作業として台帳に落とせば追える。追う仕組みがないまま気合で回すと、件数が増えた年に落ちる。
第三に、AI導入と同じ棚卸しで済ませられる部分がある。どのSaaSに何のデータを預けているか、どの業者にどこまでの権限を渡しているか。この一覧はセキュリティ対策の材料であると同時に、AI活用の可否判断の材料でもある。二度作る必要はない。国内中小企業のAI活用の現在地は中小機構の中小企業AI実態調査にまとまっており、導入の順番そのものに迷う場合は中小企業のAI導入 最初の一歩が入口になる。
まとめ
- 2026年版DBIRは31,861件のインシデントと22,625件の確認済み侵害を集計した（2024年11月1日〜2025年10月31日、145か国。出典：Verizon Business、2026-05-20）
- 初期侵入経路の第1位は脆弱性の悪用31%（前年20%）。認証情報の悪用は13%へ低下したが、これはPretextingを追跡対象に加えた定義変更を含み、旧基準なら16%。侵害の任意段階での認証情報悪用は39%で依然首位である
- 従業員1,000人未満のSMB（n=7,152）でも脆弱性26%・認証情報13%・フィッシング9%の順。ランサムウェア要因は認証情報の漏えい38%とエッジ機器の未patch脆弱性29%で、境界の機器と認証に集中している
- DBIRのSMBは従業員1,000人未満で、日本の中小企業基本法の定義よりはるかに広い。日本の中堅・中規模企業を多く含むため、数名から数十名の会社にそのまま当てはめない
- この報告書はVerizon Business自身による発表であり、同社はネットワーク・セキュリティサービスとインシデント対応調査の提供者である。本文自身が非代表性・選択バイアス・サンプリングバイアス・「不明」の除外・地域的偏りを明記している
- 実務としては、(1)外部公開資産の一覧を作る、(2)KEV基準で修正期限を決めて月次で回す、(3)委託先・SaaSの権限を棚卸しする、の3点。TOEではいずれも未実施であり、上記は実施報告ではなく読み筋である