あなたが思うより、攻撃対象領域は広い

Arctic Wolfの「2026 State of the Cybersecurity Attack Surface Report」は、Aurora® Exposure Managementを通じて監視された80万を超えるITアセットの集計・匿名化データを分析しています。その結果、規模を問わずあらゆる組織に共通する課題が浮き彫りになりました。基本的なセキュリティ制御とアセットの可視性における欠落が、依然として広範に存在しているのです。

3資産に1つは重要な制御が欠落

レポートによると、ITアセットの33%が少なくとも1つの重要なセキュリティ制御を欠いていることが判明しました。具体的には次の通りです。

• 18%はエンタープライズのパッチ管理または構成管理の対象外
• 10%はエンドポイントセキュリティ保護が未導入
• 17%は従来型の脆弱性管理ツールでは検知できない状態 

こうしたギャップは、単発の事象であることはまれです。むしろ多くの場合、ITとセキュリティ運用の分断、インベントリの不整合、そして拡大し続けるツールの乱立が原因となっています。チームが異なるシステムを台帳として利用していれば、資産が管理の網から漏れてしまうのは避けられません。

この影響は決して小さくありません。パッチ管理の対象外にあるデバイスは、既知の脆弱性を無期限に抱え続ける可能性があります。脆弱性スキャンの対象から外れたアセットは、そもそも評価すら受けません。保護されていないエンドポイントは、攻撃者に認証情報の窃取や横展開、ランサムウェア展開の機会を与えてしまいます。

さらに問題を複雑にしているのが、ほとんどの組織がエンドポイントセキュリティ、脆弱性管理、パッチ適用、ID管理、クラウドセキュリティをそれぞれ別々のプラットフォームで管理している点です。各プラットフォームは独自の検出結果、優先順位、リスクスコアを生成します。統合された視点がなければ、セキュリティチームはどのエクスポージャーが本当に重要なのかを把握するのに苦労することになります。

サポート終了は例外的なケースではない

レポートではさらに、ITアセットの19%がすでにサポート終了(EOL)を迎えていることも判明しました。つまり、ベンダーからのセキュリティアップデートを受け取れない状態にあるということです。

こうした資産は、アプリケーションがそれに依存していたり、組織側が移行作業はすでに完了していると思い込んでいたりする理由で、重要な環境内に残り続けることが多くあります。Arctic Wolfのある顧客環境では、大規模な移行によりEOL資産を41%削減できたものの、社内でプロジェクト完了が確認されていたにもかかわらず、8%の資産は依然としてサポート対象外のままでした。

ここから得られる教訓は明確です。改善対応には継続的な検証が欠かせません。セキュリティチームは、思い込みや自己申告に頼るのではなく、独自に結果を検証する必要があります。

攻撃者は抵抗の少ない経路を狙っている

組織が境界防御を強化するにつれ、攻撃者は戦術を変化させています。

Arctic Wolfのインシデント対応事例のうち、外部からのエクスプロイトを原因とする割合は29%から11%へと低下した一方、リモートアクセスサービスの悪用は急増し、BEC以外のインシデント対応事例の65%を占めるまでになりました。これは3年前の24%から大幅に上昇した数字です。信頼関係の悪用や設定不備に起因するインシデントも急増しています。

攻撃者は、見落とされがちな資産や旧式のリモートアクセス技術、適切なセキュリティ制御を欠いたシステムを標的にする傾向を強めています。注目すべきは、Arctic Wolfが2025年に対応したインシデントで最も頻繁に悪用された脆弱性トップ10のすべてに、利用可能なパッチが存在していたという事実です。これには、最も多く悪用された脆弱性であるSonicWall SonicOSに影響するCVE-2024-40766も含まれます。

今や課題は単に脆弱性を見つけることではなく、環境の管理が行き届いていない部分に潜むエクスポージャーを特定し、修正することにあります。

コンテキストが検出結果を実際のアクションに変える

脆弱性スコアだけでは、実際のリスクを反映しきれないことがほとんどです。セキュリティチームには、以下のような追加のコンテキストが必要です。 

• そのアセットがインターネットに公開されているかどうか
• 影響を受けるシステムの重要度
• 利用可能なエンドポイント保護の有無
• アクティブな脅威へのさらされ具合
• 侵害された場合のビジネスへの影響

重要なインターネット公開システムにある中程度の深刻度の脆弱性は、隔離されたサーバー上の深刻度「クリティカル」の問題よりも、はるかに大きなリスクを表している場合があります。効果的なエクスポージャー管理とは、技術的な検出結果と脅威インテリジェンス、アセットのコンテキスト、そしてビジネス上の優先順位を組み合わせ、意味のあるアクションへとつなげることです。

まとめ

2026年の攻撃対象領域を巡る状況からは、根深い現実が浮かび上がっています。組織は今なお、可視性のギャップ、セキュリティ制御の欠落、サポート終了技術、そして分断されたリスク管理に苦しみ続けているのです。攻撃者が見落とされがちな資産や信頼された アクセス経路の悪用をますます強めるなか、効果的なサイバーセキュリティを実現するには、単に脆弱性を特定するだけでなく、正確なアセットインベントリ、継続的な検証、そしてコンテキストに基づいたリスクの優先順位付けが不可欠です。