今回の年末年始は、土日を挟んで９連休となり、例年より長めの休暇となった方も多かったのでは
ないでしょうか？そんな連休中に毎回注意喚起されるのがサイバーセキュリティ攻撃ですが、今回は
あまり世間を騒がせていないように感じました。1年前は、年末から航空会社（JAL）や金融機関などの大手企業にDDoS攻撃が集中し、もう少し遡れば、2021年末には、SBOMベースの脆弱性管理の必要性を
重視する端緒となった、Apache Log4jのクリティカルな脆弱性をついた攻撃も大きな話題となりました。
年末年始は多くの企業で長期休暇となり、システム監視や対応体制が手薄になりがちです。
その“隙”を狙って、サイバー攻撃は毎年この時期に増加する傾向があります。2025年末から2026年始にかけては、国内では大きな混乱は見られなかったものの、海外では深刻なサイバーインシデントが相次ぎました。休暇明けは、被害が表面化する最も重要なタイミングでもあります。
この記事でわかること
|
この記事を読むことで、年末年始に多発するサイバー攻撃の実態と、休暇期間中に見過ごされがちなリスクの全体像を正しく理解できます。さらに、海外で実際に起きたインシデント事例から、攻撃者が狙うポイントや最新の攻撃手法を把握でき、企業のセキュリティ担当者が休暇明けに『まず何を確認し、何から対策すべきか』が明確になります。
年末年始に起きたサイバー攻撃の最新動向
サイバー攻撃者にとって、年末年始は「最も攻めやすい期間」です。
理由は明確で、
- 管理者や情シス担当者が不在
- パッチ適用や設定変更が後回しになる
- インシデント発生時の初動が遅れる
といった「防御の空白時間」が生まれるからです。
2025年末から2026年始も、この傾向を裏付けるような事例が海外で多数報告されました。
年末年始に発生した3つの重大サイバーインシデント
React2Shell（CVE-2025-55182）を悪用したボットネット拡散
2025年12月に公開された、React Server Components（RSC）のクリティカルな脆弱性
「React2Shell（CVE-2025-55182）」は、CVSSスコア10.0という極めて深刻な評価を受けました。
この脆弱性を悪用し、「RondoDox」と呼ばれるボットネットがクラウド環境への一斉攻撃を開始。
多くの企業が休暇中でパッチ適用を後回しにしていたこともあり、
- Webアプリケーションの乗っ取り
- 機密データの窃取
- サプライチェーン全体への侵入
といった二次被害の拡大が懸念されています。
2021年のApache Log4j問題と同等のインパクトと見る専門家もおり、
「脆弱性の放置＝即インシデント」の時代を象徴する事例と言えるでしょう。
医療ポータル「ManageMyHealth」へのランサムウェア攻撃
ニュージーランドで約180万人が利用する医療ポータル「ManageMyHealth」は、
2025年12月30日、ランサムウェア攻撃を受けました。
- 約12万人分の患者データが侵害
- 攻撃者はバックエンドの特定モジュールに深く侵入
- 休暇中の対応遅れが被害拡大を招いた
現在は政府が介入する大規模な調査に発展しており、医療データの漏洩という極めてリスクの高い事態となっています。この事例は、医療・公共インフラ分野が今や“最優先ターゲット”であることを改めて示しました。
Coupangの大規模データ侵害と補償発表
韓国最大級のEC企業Coupang（クーパン）は、2025年12月29日、元従業員による不正アクセスで
- 名前
- 住所
- 電話番号
など3,370万ユーザー分の個人情報が流出したことを受け、対象者1人あたり5万ウォン（約5,000円相当）の補償を発表しました。補償総額は約1.69兆ウォンにのぼり、サイバーインシデントが単なるITトラブルではなく、経営リスクそのものであることを示す象徴的なケースとなりました。
なぜ「休暇明け」が最も危険なのか
サイバー攻撃は、必ずしも侵入した瞬間に被害が表面化するとは限りません。
多くの場合、
|
という流れを取ります。
つまり、本当に危険なのは「休暇中」よりも「休暇明け」なのです。
ここでの初動対応が、被害を最小限に抑えられるかどうかの分かれ道になります。
休暇明けに必ず実施したいセキュリティチェックリスト
ネットワーク・ログインの異常を洗い出す
まず確認すべきは、「誰もいないはずの時間帯」の動きです。
|
脆弱性の「穴」を速やかに埋める
〇未適用パッチの即時更新
年末年始に公開された
- OS
- ブラウザ
- VPN機器
- サーバーソフト（Java、PHPなどのライブラリ含む）
の修正プログラムは優先的に適用します。
〇持ち込み端末のスキャン徹底
休暇中に社外で使用したPCやスマートデバイスは、社内ネットワーク接続前に最新定義ファイルでフル
スキャンを行いましょう。
「人の隙」を狙う攻撃への注意喚起
休暇明けはメール処理が一気に増え、判断ミスが起きやすい時期です。
特に注意すべきは、
|
といった文面を装ったフィッシング・標的型攻撃です。技術的対策だけでなく、従業員への注意喚起も欠かせません。
脆弱性診断だけでは防げない時代へ
従来の脆弱性診断は、「システムの穴」を見つける点で重要な役割を果たしてきました。
しかし近年は、
|
など、“技術的な穴”だけでは説明できないリスクが急増しています。
そこで注目されているのが、脅威情報（インテリジェンス）を基に、攻撃者目線でリスクを洗い出す診断です。
年度末限定｜サイバーリスク可視化キャンペーン実施中
弊社では、従来の脆弱性診断に加え、最新の脅威情報を反映した攻撃者視点のセキュリティリスク診断を、年度末キャンペーンとして実施しています。
- 自社だけでなく、サプライチェーン全体のリスクを可視化
- 実際の攻撃シナリオを想定した優先度付け
- 経営判断につながるレポーティング
「何から対策すべきか分からない」そんな企業様にこそ、ぜひご活用いただきたいサービスです。
まとめ｜休暇明けの行動が、1年の安全を左右する
- 年末年始は、攻撃者にとって“最大のチャンス期間”
- 海外ではすでに深刻な被害が拡大している
- 休暇明けのログ確認・脆弱性対応・人への対策が被害を防ぐ分かれ道
サイバー攻撃は、もはや「いつか起きるもの」ではなく「いつ起きてもおかしくないもの」です。
休暇明けの今こそ、改めて自社のセキュリティ体制を見直し、新しい一年を「安全な状態」でスタートさせましょう。
