ハイブリッドワークはもはや一時的な試みではなく、ビジネスを進めるうえでの当たり前の形になっています。しかし、不都合な真実があります。多くのセキュリティアーキテクチャは、全員が社内ネットワークの内側で働くことを前提に設計されているのです。
対策は現実に追いついておらず、そのほころびは四半期ごとに広がっています。
数字を見てみましょう。Zero Threatによると、81%の組織がすでにゼロトラストモデルを採用済みか、積極的に移行を進めています。世界のゼロトラスト市場は2025年に422億8,000万ドルに達し、2032年には1,245億ドルに拡大する見通しです。それでも、自信と現実は一致していません。
Huntressの調査では、61%の企業がサイバーセキュリティ上の懸念を従業員のオフィス回帰の理由に挙げています。一方で、サイバーセキュリティ専門家の90%超は、リモートやハイブリッドの環境を守れると自信を持っています。
これは確信ではなく、危険な盲点です。
侵害の約40%では、複数の環境に分散したデータが関係しています。ハイブリッドモデルに特有の複雑さです。データがあらゆる場所に同時に存在すれば、守る難易度は桁違いに上がります。
経営層の多くが認識している以上に攻撃対象領域を広げているのが、4つの目立たない死角です。管理されていないデバイス、保護されていない自宅ネットワーク、認証情報の乱立、そしてフィッシングへの露出です。
これらはすぐに警報を鳴らすとは限りませんが、ハイブリッド型の企業で侵害が繰り返される原因になっています。一つずつ見ていきましょう。
攻撃対象領域は単に広がっただけではなく、根本的に移動しました。ITDeskUKによると、経営者たちも不安を感じています。VikingCloudの2026年向け調査では、72%の経営者がハイブリッドワークやリモートワークに伴う将来のサイバーリスクを懸念しています。
この懸念は仮定の話ではありません。IBMの調査では、侵害による損失は平均499万ドルで、前年比12%増となりました。
また、Zoe Talent Solutionsの分析によると、ITリーダーの60〜65%が、従業員の働く場所が分散するにつれてサイバーセキュリティへの懸念が高まったと回答しています。
こうした全体の数字は衝撃的ですが、その陰には4つの具体的な脆弱性が潜んでいます。悪用されるまで注目されることはほとんどありません。それぞれを掘り下げます。
ほぼすべての組織で、私物デバイスの業務利用（BYOD）が現実になっています。Insideriskによると、95%の組織が業務での私物デバイス利用を認めており、その一方で48%が、過去1年間だけで保護されていないBYODデバイスに起因するデータ侵害を経験しました。
これは小さな誤差ではありません。ほぼ半数に上ります。
管理対象外デバイスにおける認証情報の問題も同じく深刻です。Verizonの「2025年データ侵害調査報告書（DBIR）」を引用したAdminByRequestによると、企業の認証情報が含まれる侵害されたシステムの46%は、管理されていない私物デバイスでした。
シャドーITやシャドーSaaSによって、混乱はさらに深まります。Insideriskによると、Fortune 1000企業の従業員の67%が、業務に無許可のアプリを使っています。平均的な企業には975の未把握のクラウドサービスがあり、正式に追跡されているのは108にとどまります。
同様に、DeepStrikeによると、企業のSaaSアプリの48%は管理されておらず（シャドーSaaS）、組織あたりの平均SaaSアプリ数は342に上ります。
同じInsideriskの調査によると、シャドーITだけで、企業で使われている全アプリケーションの42%を占めます。サイバーインシデントの11%は、これが直接の原因です。
この死角をどう塞げばよいのでしょうか。まず、企業のリソースに接続するすべてのデバイスに、管理対象かどうかを問わずEDR（エンドポイントでの検知と対応）を導入します。モバイルデバイス管理のポリシーを適用し、実効性のある最低限のセキュリティ基準を設けます。
クラウドアクセスセキュリティブローカー（CASB）を導入し、数百に及ぶ隠れたSaaSアプリを可視化します。さらにゼロトラストネットワークアクセスを採用し、アクセスを許可する前にデバイスの状態を確認します。
従業員の自宅のルーターは、いまや攻撃対象領域の一部です。しかも状態は良好とは言えません。Insideriskによると、悪用されやすいデバイスの50%超をルーターが占め、デバイスの平均リスクスコアは2025年に8.98まで上昇しました。
SentinelOneが指摘しているとおり、リモートワーカーの多くは今も、初期パスワードのままで、ファームウェアが更新されていない古いルーターを使っています。攻撃者が通信を傍受したり、社内ネットワークに侵入したりするには格好の環境です。
IoTがさらに事態を悪化させています。IoTデバイスの半数超には、悪用可能な重大な脆弱性があります。現在では、データ侵害の3件に1件がIoTデバイスに関係しています。
英国では、侵害の37%が自宅ネットワーク上の漏えいした認証情報に関係していると、ITDeskUKは英国の国家サイバーセキュリティセンター（NCSC）の2025年のデータを引用して報告しています。
では、実際に何ができるのでしょうか。第一歩は、企業向けのビジネス向けVPNの利用を必須にすることです。取り組みやすい出発点です。
次に、セキュリティを強化したルーターを支給するか、少なくとも自宅ネットワークの最低限の設定基準を公開することを検討してください。
ソフトウェア定義境界（SDP）のツールを使い、社内の通信を家庭内やIoTの通信から分離します。
そして、自宅ネットワークのセキュリティもセキュリティ意識向上研修に盛り込みましょう。ルーターが攻撃経路になり得ることを、ほとんどの従業員は知らないからです。
認証情報の乱立と聞くと理論的な話に思えますが、実際にはきわめて単純です。組織が抱えるアカウント、APIキー、サービスアカウント、トークン、IDシステムが増えるほど、施錠されていない扉も増えます。
StepSoftwareは、これを現代のITで最も見落とされがちなリスクの一つだと指摘します。管理されていない認証情報は、どれも潜在的な負債です。
Verizonの2026年版DBIRは、その影響を具体的に示しています。SpyCloudによると、盗まれた認証情報は全侵害の39%に登場し、横展開（ラテラルムーブメント）や権限昇格の主要な手段になっています。
ランサムウェアとの関係は驚くべきものです。ランサムウェア被害者の73%は、その前年に情報窃取型マルウェア（インフォスティーラー）への感染や認証情報の漏えいを経験していました。そのうち50%は、ランサムウェアのインシデントから95日以内に発生しています。
別の分析では、DeepStrikeが、2024年に公表されたID関連の侵害の73%が、侵害された認証情報に起因すると報告しています。
それでも、基本的な防御策すら導入していない組織は少なくありません。Huntressの調査では、リモートワーカーに多要素認証を使っている組織は39%にとどまりました。また、サイバーセキュリティ担当者の28%が、弱いパスワードや使い回しを、リモートワーク最大の弱点に挙げています。
サードパーティのリスクの急増が、こうした問題をさらに増幅しています。SpyCloudによると、侵害へのサードパーティの関与は前年比60%増の全侵害の48%に達し、その多くはMFAの未導入や設定ミスが原因でした。
この死角を塞ぐには、フィッシング耐性のあるMFA（FIDO2やセキュリティキー）を、特権アカウントだけでなくあらゆる場面で義務化する必要があります。
侵害データベースやダークウェブの情報源に対して、認証情報の漏えいスキャンを定期的に実施します。
ID脅威の検知と対応（ITDR）を導入し、異常な認証パターンを捉えます。さらにジャストインタイムのプロビジョニングで最小権限のアクセスを徹底し、常時有効な認証情報の数を減らします。
人的要因がなくなることはありません。Keepnet Labsによると、侵害の62%に人的要素が関わっています（Verizon DBIR 2026）。
脅威は急速にモバイルへ移っています。SpyCloudは、SMSや音声によるフィッシング攻撃の成功率が、従来のメール訓練より40%高いと指摘しています。
金銭的な被害は甚大です。Keepnet Labsによると、FBIのインターネット犯罪苦情センター（IC3）は、2025年の米国のサイバー犯罪による損失を合計209億ドルと記録しました。ビジネスメール詐欺（BEC）だけで30億5,000万ドルに達しています。
同じ報告書はフィッシング対策作業部会（APWG）のデータを引用し、世界で2025年に確認されたフィッシング攻撃は約380万件で、2024年の376万件をわずかに上回ったとしています。
ハイブリッドワーカーが狙われやすいのはなぜでしょうか。仕事用と私用のデバイスの境界があいまいになり、ITサポートはすぐには受けにくくなります。さらに、絶え間なく流れ込むデジタル通信が疲労を招き、あらゆる面で警戒心が下がるためです。
取るべき対策は明確です。リンク保護と異常検知を備えた、AI搭載のメールセキュリティを導入します。月次のセキュリティ意識向上研修にも投資しましょう。これを実践する組織では、インシデントが45%減少しています。
フィードバックをすぐに返す仕組みで、フィッシング訓練を定期的に実施します。ブラウザ分離技術を採用すれば、悪意あるリンクをエンドポイントに届く前に封じ込められます。
フィッシング対策の専門知識をさらに深めたいチーム向けに、当社の「CISSP認定資格・クラウドセキュリティ基礎コース」では、IDおよびアクセス管理、通信とネットワークのセキュリティ、セキュリティ運用といった関連分野を扱っています。
Insideriskによると、内部脅威はリモートワークの普及以降に58%急増し、2024年には83%の組織が少なくとも1件の内部者による攻撃を経験しました。
気がかりなことに、内部脅威インシデントの55%がリモートワークに直接関係しています。また、悪意のない過失による内部者が、全内部インシデントの75%を占めています。
リモートワーカーは、オフィス勤務の従業員より誤ってデータを漏えいさせる確率が3倍高くなっています。内部インシデントによる組織の損失は、現在では年間平均1,740万ドルに上ります。
検知はさらに難しくなっています。セキュリティ専門家の90%が、リモートでの内部脅威は外部からの攻撃より見つけにくいと答えています。検知から封じ込めまでの平均期間は81日に延びています。
ただし、明るい材料もあります。同じ報告書によると、ゼロトラストアーキテクチャを導入した組織では、異常な活動の検知が67%速くなりました。セグメンテーションによって侵害のコストは35%減り、内部脅威の特定も改善しています。
これは理論ではなく、実際に測定できる成果です。
ゼロトラストへの流れは否定しようがありません。Zero Threatによると、81%の組織がゼロトラストを導入中か、導入に向けて動いています。2026年までに65〜70%が中核戦略として採用する見込みで、完全に導入すれば侵害の78%は回避できる可能性があります。
一方で、AIと自動化も形勢を変え始めています。IBMの2025年の調査を引用したInsideriskによると、セキュリティにAIと自動化を幅広く活用している組織は、侵害1件あたりの平均コストを抑えています。
ただし、大きな転換も起きています。Verizonによると、DBIRの19年の歴史で初めて、2026年にはソフトウェアの脆弱性の悪用（31%）が、盗まれた認証情報を抜いて侵害の最大の侵入経路になりました。AIが脆弱性の武器化を加速させていることの表れです。
つまり、現代のハイブリッド環境のセキュリティスタックには、複数の層が必要です。従来型VPNに代わって主要なリモートアクセス手段となるゼロトラストネットワークアクセス。企業デバイスとBYODデバイスの両方を対象にした統合エンドポイント管理。継続的な認証を伴うID脅威検知。AIによる異常検知を備えたクラウドネイティブのSIEMとSOAR。認証情報の漏えいの定期的な監視と自動修復。そして、日常のハイブリッドワークに組み込まれた継続的なセキュリティ意識向上研修です。
完璧な戦略はなく、いくつかの矛盾にも触れておく必要があります。Huntressは一つの逆説を指摘しています。サイバーセキュリティ専門家の90%超が自社の防御に自信を持っている一方で、61%の企業はオフィス回帰を正当化するためにサイバー上の懸念を挙げているのです。
技術チームと経営層のリスク認識のこのずれは、それ自体がセキュリティ上の脆弱性です。
ランサムウェアの動向も変わりつつあります。ランサムウェアが関与した侵害は確認されたものの、身代金支払額の中央値は下がりました。レジリエンスへの投資が攻撃者の費用対効果を変えつつありますが、攻撃の件数は増え続けています。
ゼロトラストも万能薬ではありません。導入の複雑さ、レガシーシステムとの互換性の問題、ユーザーの使い勝手の悪化が、現実の障壁になります。ゼロトラストの構成要素の設定を誤れば、新たな死角を生む恐れすらあります。
2026年版DBIRは、145カ国で確認された2万2,000件超の侵害を分析しています。SpyCloudは、高度な組織ですら大規模に対策に失敗していることが裏付けられたと報告しています。
最後に、人的要因は残り続けます。研修でリスクは減らせますが、完全になくすことはできません。AIが生成するフィッシングが、正規の通信と悪意ある通信の境界をますます曖昧にしているため、なおさらです。
管理されていないデバイス、保護されていない自宅ネットワーク、認証情報の乱立、フィッシングへの露出。これらは特殊な脅威ではありません。攻撃者がハイブリッド環境に悠々と入り込める、日常的なほころびです。
2026年版DBIRは、一つのことをはっきり示しました。脆弱性の悪用が認証情報の窃取を上回ったということです。分散した従業員を抱える環境では、パッチ管理とデバイスの状態管理がこれまで以上に重要になります。
進むべき道に謎はありません。いますぐ、ハイブリッド環境の攻撃対象領域を点検してください。システムに接続するすべてのデバイスを棚卸しします。
MFAは例外なくあらゆる場面で徹底します。認証情報の漏えいを継続的にスキャンします。身につく研修に投資します。
そして、ゼロトラストを完全に導入すれば、侵害の78%は防げると認識してください。ただし、猶予は残りわずかです。AIは防御を加速させるだけでなく、攻撃者の力も飛躍的に高めているからです。
いま動く企業こそが、こうした死角を痛い目に遭ってから知らずに済む企業です。
