2025年Web攻撃の全体像: 年間件数が40億から62.9億へ

見出しの数字

2025年の全体像は、いくつかの大きな数字を通して読み取ることができます。それぞれが単体でも重要であり、合わせて読むとより大きな全体像が見えてきます。

攻撃件数: 56%増加の背後にあるもの

2025年に記録されたWeb攻撃数は62.9億件に達しました。2024年の約40億件というベースラインと比べると、これは大きな増加です。しかしこの増加を「より多くのアプリケーションがインターネットに公開された」とだけ説明するのは不十分です。攻撃対象領域は拡大しました。しかし攻撃件数の増加スピードは、新しいアプリケーションやサービスの数だけでは説明できないほど高いものでした。

この成長の背後には3つの主要な要因がありました。第一に、自動化がデフォルトになりました — ボットトラフィックが全トラフィックの半分以上に達したことで、セキュリティ上の前提が変わりました。もはや、受信リクエストの背後にデフォルトで人間がいると考えることは信頼できません。この変化は特に、credential stuffing、API乱用、コンテンツスクレイピング、価格・在庫の追跡、偽アカウント作成、click fraud、自動脆弱性スキャン、アカウント乗っ取りの試みにおいて顕著に表れました。

第二に、AIが攻撃の自動化をより適応的なものにしました。 2024年には、自動化はほとんどの場合、固定的なスクリプトロジックで動作していました。2025年には、AI支援型攻撃がこのモデルを拡張しました — AIツールはペイロードの変種を生成し、エラーメッセージに応じて新しい試行を準備し、WAFバイパスのための代替的なエンコーディング方式を作り出すことができました。攻撃者はもはや同じ攻撃を繰り返すだけではなく、防御に応じて攻撃を変化させられるようになっています。

第三に、重大なCVEが広く普及したインフラ層に影響を与えました。 2025年に明らかになった一部の重大な脆弱性は、非常に広範な企業の対象領域に影響を及ぼしました — 組織のネットワークエッジ、ドキュメント基盤、フロントエンドフレームワーク、ドキュメント解析サービス、メールシステムといった基本コンポーネントに及びました。大規模な攻撃件数は、これらのCVEが自動スキャンと悪用の試みと結びつくことで、さらに膨れ上がりました。

2025年の影響の大きいCVE

AIのシフト: 補助ツールから攻撃の手段へ

2025年の最も重要な変化の一つは、攻撃側におけるAIの役割の変化でした。これまでの年では、AIは主に支援ツールとして見られていました — フィッシング文の作成、コード片の生成、単純なスクリプトの準備、攻撃ドキュメントの要約といったタスクに使われていました。2025年には、この役割が拡大しました。

AIは攻撃チェーンのより能動的な一部となりました。ペイロード生成、変種試行、脆弱性発見、エクスプロイトの適応、クレデンシャルの悪用、自律エージェントのフローの中で、より明確に使われるようになりました。この変化は3つの結果を生みました。

DDoSの進化: ボリュームとアプリケーション層が同時に拡大

DDoSの側面では、2025年は2つの異なる方向で注目を集めました。一方ではボリューメトリック攻撃が新たな上限に達し、もう一方ではLayer 7 DDoSがはるかに速く成長しました。この2つを同じ脅威として捉えるのは誤りです — それぞれ異なる影響、異なる検出方法、異なる緩和戦略を持っています。

OWASP Top 10:2025は何を語っているか？

OWASP Top 10の2025年版は、Webセキュリティにおける変化を方法論のレベルでも示しました。2つの新しい項目が特に注目を集めました。

A03 ソフトウェアサプライチェーンの不具合は、いまやWebアプリケーションセキュリティの公式な主要カテゴリの一つとなりました。これはオープンソースパッケージだけに関するものではありません — ビルドプロセス、CI/CDシステム、コンテナイメージ、署名チェーン、AIコーディングアシスタント、サードパーティのサービス統合も、この項目の一部として考えるべきです。

A10 異常な状態のハンドリング不全は、アプリケーションが通常のフローでどう動作するかだけでなく、エラー、負荷、遅延、データ欠落、想定外の状態、エッジケースに直面したときどう振る舞うかも、セキュリティの問題とします。

最も注目すべき順位変更の一つは、セキュリティ設定ミスの上昇です。誤って設定されたクラウドストレージ、欠落したセキュリティヘッダー、過剰な権限を持つデフォルト、誤ったCORS設定、公開された管理インターフェースが、2025年の多くのインシデントの根底にありました。この変化は重要なメッセージを伝えます: モダンなWebセキュリティにおいて、脆弱性は単なるコードの誤りではありません。アーキテクチャ、設定、サプライチェーンの誤りです。

Injectionカテゴリの後退も、この観点で意味があります。モダンなフレームワーク、パラメータ化されたクエリ、SASTツールが、従来のinjectionリスクを低減しました。しかしこれはWebセキュリティが容易になったことを意味しません。リスクは別の領域へ移動したのです。

結論: 2025年は警告であり、2026年は実行の年になる

2025年のWeb攻撃ランドスケープは、企業のセキュリティが先送りしてきた一部のアーキテクチャ上の問いを前面に押し出しました。攻撃件数は増加しました。ボットは多数派になりました。AIは攻撃チェーンに入りました。Layer 7 DDoSは成長しました。重大なCVEは広く普及したインフラ層に影響を与えました。サプライチェーンリスクは拡大しました。フォレンジック記録と分離はより重要になりました。

この全体像に対して、より多くのルール、より多くのアラート、より多くのダッシュボードだけで応えることはできません。2026年に備えて臨みたい組織は、セキュリティを層状かつアーキテクチャ的に扱う必要があります。

WAFは既知の攻撃を軽減します。DDoS保護は継続性を守ります。ボット管理は自動トラフィックを分類します。AGSはアイデンティティ認識型のアクセスを提供します。ZeroLeakは価値の高いアプリケーションを分離します。フォレンジック記録はインシデント後に事実を可視化します。

2025年の主要な教訓: 脅威は単に増大しただけではなく、防御モデルを変えるほど加速し、多様化した。