結論から書きます。2025年のダークネット観測は1IPアドレスあたり2,504,680パケットで観測開始以降最多、一方で最多宛先だったTelnet(23/TCP)の比率は17.9%から14.4%へ低下しました。上位10ポート以外が65.8%。「Telnetだけ塞ぐ」発想は終わりで、外部公開している機器の管理ポート棚卸しが先です。

この資料は何を測ったものなのか（対象範囲）

国立研究開発法人情報通信研究機構（NICT）が2026年2月5日に公開した観測レポートの数値です（出典：国立研究開発法人情報通信研究機構（NICT）サイバーセキュリティ研究所 サイバーセキュリティ研究室／サイバーセキュリティネクサス（NICTERプロジェクト）、2026-02-05、https://csl.nict.go.jp/report/NICTER_report_2025.pdf）。

最初に利害関係を明示します。この記事が扱うレポートはNICT自身による発表であり、同機構は観測基盤であるNICTER（ダークネットセンサ、ハニーポット、AmpPot）の開発・運用者そのものです。 自組織の観測システムの成果を、その運用者が報告している構図になります。数字の出どころを読者が判断できるよう、先に書いておきます。

そのうえで、分母を明示します。ここを飛ばすと確実に誤読が起きます。

項目 内容
観測手法 ダークネット（未使用IPアドレス）宛通信の観測。ほかにハニーポット・AmpPotによる観測
観測期間 2025年1月1日〜12月31日
観測IPアドレス数 284,305（各年12月31日時点の稼働センサ数。2025年は年末メンテナンスのため12月26日時点）
年間総観測パケット数 約7,010億パケット
1IPアドレスあたり 2,504,680パケット（2024年は2,427,977、観測IP 284,445／総数 約6,862億パケット）
DRDoS観測 AmpPot 9台（Proxiedモード7台、Agnosticモード2台）の合計
業種別・企業規模別の内訳 なし

レポートの注5には明確にこう書かれています。総観測パケット数はNICTERで観測しているダークネットに届いたパケットの個数を示すものであり、日本全体や政府機関に対する攻撃件数ではありません、と。約7,010億という数字を「日本への攻撃が7,010億回あった」と読み替えるのは誤りです。同じ注5には、数値はレポート作成時点でDBに登録されている値に基づき、集計後のDB再構築等で増減することがある、という但し書きもあります。

増えているのは何で、増えていないのは何か

2025年の1IPアドレスあたり年間観測パケット数は2,504,680で、2024年の2,427,977から約7万7千パケット増えました。観測開始以降で最多です。NICTはセンサ規模の変動が総数に影響するため、この1IPあたりの数値を「攻撃関連活動の活発さ」の指標として用いると明記しています。総数だけを見て前年比を語るのは、この資料の使い方としては筋が悪いということです。

10年スパンで見ると変化は明確です。2016年は1IPあたり527,888パケット（総数 約1,440億／観測IP 274,872）でしたから、2025年の2,504,680パケットは約4.7倍。表1「年間総観測パケット数の統計（過去10年間）」に基づく比較です。

ただし、この数字がそのまま「攻撃」ではありません。2025年の全観測パケット約7,010億のうち、調査目的と推測されるスキャンパケットが約55.0%（約3,858億パケット）を占めます。内訳は既知組織の調査スキャンが約2,413億（34.4%、17,348 IPアドレス・87組織）、未知組織の調査スキャンが約1,445億（20.6%、2,490 IPアドレス）。Palo Alto Networks、Censys、Shodanといった正規のセキュリティ調査組織を含みます。2024年の約60.2%からはやや減少しました。

  • 観測パケット数は「攻撃回数」ではない。半分以上は調査・研究目的のスキャン
  • 未知組織の調査スキャンの除去は、NICTERが独自に設けた判定ルール（1日・1IPあたり宛先ポート30種類以上かつ総パケット30万以上）による推定であり、分類には判断が含まれる
  • 12月末に観測パケット数が減っているのはセンサメンテナンスによるもので、攻撃が止まったわけではない

狙われる入口はどこへ移ったのか

ここが実務的に一番効く部分です。宛先ポートの構成が変わりました。

長らく最多だった23/TCP（Telnet）宛パケットが全観測パケットに占める割合は、2023年27.1%、2024年17.9%、2025年14.4%と減少傾向にあります。代わりに増えたのが上位10種類以外の「その他」ポート宛で、61.2%（2024年）から65.8%（2025年）へ。NICTはこれを、23/TCPほか30種類以上のポートをスキャンするRapperBotや、80/81/82/83/85/TCPをスキャンするMountBotなど、多ポートスキャン型IoTマルウェアの活動によるものと説明しています。

個別のポートでは次の動きがありました。いずれも2025年のダークネット観測、宛先ポート別パケット数ランキングでの順位です。

ポート 何のポートか 順位の変化
34567/TCP Xiongmai製DVRのAPI 前年29位 → 7位
8728/TCP MikroTikルータのWinBox API 2年連続2位
22/TCP・2222/TCP SSH（リモート保守） 上位に位置
80/81/82/83/85/TCP IoT機器のWeb管理画面 上位に位置
3389/TCP Windows Remote Desktop 前年6位 → 12位（Windows系は上位10位圏外）

34567/TCPについては、ハニーポットで同製品の脆弱性CVE-2024-3765を悪用した攻撃も観測されています。順位の急上昇が単なるスキャン増ではなく、実際の攻撃コードを伴っていたということです。

DDoS関連も動いています。攻撃関連パケットに含まれるDDoS攻撃の跳ね返り（バックスキャッタ、SYN-ACK）は2025年に約58億パケット（2024年は約54億パケット）。AmpPotで観測されたDRDoS攻撃件数は全世界で約8,285万件、日本宛は約90万件でした。全世界は2024年 約3,095万件・2023年 約5,561万件、日本宛は2024年 約17万件・2023年 約896万件で、1日平均は約23万件（2024年 約8.5万件）です。

Mirai感染ホストについては、日本国内の日ごとの推移が約170〜約1,470ホスト。世界全体では概ね約2万〜約6万台で推移し、2024年の最小値（約2.7万台）を下回る水準も観測されています。国内は減少傾向ですが、ゼロではありません。

この数字で言えないこと

不都合な点を先に並べます。ここを飛ばして経営会議に持ち込むと、後で梯子を外されます。

  • ダークネット観測は「未使用IPアドレス宛の通信」の観測であり、実際に企業が侵害されたか・被害が出たかは分からない
  • 業種別・企業規模別の内訳は一切ない。中小企業固有の被害実態を示すデータではない
  • DRDoS攻撃件数はAmpPot 9台という限られた観測点での結果であり、実際の攻撃総数ではない。日本宛が2023年 約896万件→2024年 約17万件→2025年 約90万件と大きく上下しており、観測条件の影響を受けやすい
  • 観測IPアドレス数の変動が総数に影響する構造のため、総パケット数の年次比較には注意が必要

つまりこのレポートは「誰がどれだけ被害を受けたか」ではなく、「攻撃側がどこをノックして回っているか」を示す資料です。被害の実態は別の資料で補う必要があります。国内の被害側統計はランサムウェア被害報告226件の約6割が中小企業で、中小企業の対策実施状況はIPAの中小企業セキュリティ実態調査で扱っています。合わせて読むと、ノックされている入口と実際に破られている入口が重なっていることが見えてきます。

中小企業は結局、何を閉じるべきなのか

この観測結果を自社の話に翻訳すると、対象はかなり具体的になります。34567/TCPはDVR、8728/TCPは無線LANルータ、80番台はIoT機器のWeb管理画面、22/TCPはリモート保守用SSH。これらは中小企業のオフィスや工場に、たいてい何も考えずに置かれている機器です。

優先度をつけるなら、順番はこうなります。

  • 外部公開している機器の管理ポートを棚卸しする（何が、どのポートで、グローバルIPに出ているか）
  • 初期パスワードのまま運用している機器がないか確認する
  • DVR・ルータ・カメラのファームウェアを更新する（34567/TCPのCVE-2024-3765はこの層の話）
  • 不要なグローバル公開を停止する。特に「設置業者が保守用に開けたまま」の口
  • 自社機器が踏み台にされるリスク（＝加害側になるリスク）も説明できるようにしておく

最後の項目は軽視されがちですが、DRDoS攻撃の日本宛観測が2024年 約17万件から2025年 約90万件へ増えている以上、無関係とは言い切れません。踏み台にされた場合、被害者ではなく加害者として扱われます。

TOEの読み筋

先に明記します。TOEでは、NICTER観測レポート2025に基づく自社ネットワークの再点検はまだ実施していません。 以下は資料を読んだ時点での判断であり、実測の裏付けはありません。

そのうえで書くと、この資料の価値は「攻撃トレンドの数字」ではなく「棚卸し対象リストとして使えること」にあると考えています。ポートランキングは、そのまま社内の機器チェックリストに変換できます。34567、8728、22、2222、80〜85、3389。この6行を持って社内を一周するだけで、たいていの会社は知らない口を1つか2つ見つけます。

逆に、この資料を「攻撃が過去最多」という一文だけ抜き出して稟議に使うのは避けるべきだと考えます。約55.0%が調査目的スキャンであること、7,010億が日本への攻撃回数ではないこと、この2点を落とした説明は、詳しい人に見られた瞬間に信頼を失います。数字は正確に扱ったほうが、結果的に予算は通ります。

AI導入の文脈で言えば、社内にAIツールを入れる前段として、そもそも外部に何が開いているかを把握していない状態は望ましくありません。中小企業がAI導入で最初にやるべきことでも触れましたが、順番としては足元の可視化が先です。

まとめ

  • 2025年の1IPアドレスあたり年間観測パケット数は2,504,680で観測開始以降最多。2024年の2,427,977から約7万7千パケット増（NICTERダークネット観測、観測IP 284,305、2025年1月1日〜12月31日）
  • ただし全観測パケット約7,010億のうち約55.0%（約3,858億）は調査目的と推測されるスキャン。観測パケット数は攻撃回数ではなく、レポート注5も「日本全体や政府機関に対する攻撃件数ではない」と明記している
  • Telnet(23/TCP)宛の比率は2023年27.1%→2024年17.9%→2025年14.4%と低下し、上位10種類以外の「その他」ポートが61.2%→65.8%へ。多ポートスキャン型IoTマルウェアの影響とされる
  • Xiongmai製DVRのAPI(34567/TCP)が前年29位から7位へ上昇、MikroTikのWinBox API(8728/TCP)は2年連続2位。DVR・ルータ・SSH・IoT機器のWeb管理画面が実際の入口
  • ダークネット観測に業種別・企業規模別の内訳はなく、中小企業固有の被害実態は分からない。発信元のNICTはNICTERの開発・運用者本人であり、TOEでも本レポートに基づく自社点検は未実施