取引先の不正アクセスや大手企業の情報漏えいがニュースになるたびに、「自社のサーバーも同じことをされるのではないか」と不安が頭をよぎることはないでしょうか。まず知りたいのは、抽象的な「不正アクセスとは」の説明ではなく、実際にどこの企業で・どんな手口で・何が漏れたのかという具体的な事件そのものだと思います。
そこで本記事では、公式に公表された実在のサーバー不正侵入事例を、企業名・発覚時期・侵入の入口（公表されている範囲）・被害内容とともにまとめました。そのうえで、経路が公表された事例を侵入経路の4つの型に整理し、自社に近いリスクを見つけられるようにしています。
侵入がどのように広がるのかという流れ、事例に共通する原因、原因ごとの予防策と「侵入された後に検知する」視点、万一被害に遭ったときの初動と法的な報告義務までを、当事者の公表資料や公的機関の資料を出典とともに整理します。自社の点検と対策の当たりをつける材料にしてください。
目次
一括ダウンロードする
サーバー不正侵入の実在事例
ここからは、公表された実在のサーバー不正侵入事例を紹介します。まず全体像を一覧で示し、そのあとに主要な事例を個別に掘り下げます。侵入がどのように起きたかの入口も、公表されている範囲で明記します。
| 企業・機関 | 発覚時期 | 侵入の入口（公表範囲） | 主な被害 |
|---|---|---|---|
| さくらインターネット | 2026年8月 | レンタルサーバへの不正ログイン・販売管理システムへの不正アクセス（初期経路は非公表） | 会員情報1,360,563アカウントに影響の可能性、レンタルサーバ583アカウントへ不正ログイン |
| KADOKAWA | 2024年6月 | 非公表（ランサムウェア被害） | 個人情報254,241人分の漏えい、複数サーバーの障害 |
| 損害保険ジャパン（SOMPOホールディングス子会社） | 2025年4月 | Webシステムへの不正アクセス（悪用された脆弱性は非公表） | 顧客・代理店関連 約905万件に加え、証券番号等のみのデータ約844万件が漏えいの可能性 |
| 日水コン | 2024年1月 | テスト環境の資格情報を窃取し本番環境へ侵入 | 問い合わせフォーム入力情報が流出の恐れ、Webページ改ざん・大量メール送信 |
| お茶の水女子大学 | 2024年3月 | 「test」ユーザの安易なパスワードとSSHの無防備な公開 | 計算用サーバが攻撃の踏み台に悪用（情報漏えいはなし） |
それぞれの事案を、公表資料の事実にもとづいて見ていきます。ここでは「何が・いつ・どれだけ起きたか」を確認し、侵入経路そのものの分析は次章で扱います。
さくらインターネット（2026年）｜レンタルサーバと社内システムへの不正アクセス
ホスティング大手のさくらインターネットは、2026年に自社システムへの不正アクセスを公表しました。同社の第二報によると、レンタルサーバでは583アカウントが不正ログインの対象となり、攻撃者が利用者のアカウントにアクセス可能な領域へ到達し、マルウェアが設置されていたことが確認されています。
さらに、契約情報などを管理する社内の販売管理システムへの不正アクセスの可能性も確認され、対象となる可能性のある会員情報は1,360,563アカウントにのぼると公表されました。一部でハッシュ化されたパスワード情報へのアクセスの可能性が確認された一方、現時点でデータの外部持ち出しは確認されていないとしています。同社は認証情報の失効・マルウェア除去・外部専門機関によるフォレンジック調査を実施しています。
KADOKAWA（2024年）｜ランサムウェアによる大規模障害と情報漏えい
出版・映像事業を手がけるKADOKAWAは、2024年6月8日にグループの複数のサーバーへアクセスできない障害が発生し、後日、ランサムウェアを含む大規模なサイバー攻撃を受けたことを公表しました。動画配信サービスをはじめ、事業活動に広範な影響が及びました。
公式発表によると、漏えいした個人情報は合計254,241人分にのぼり、取引先や全従業員、運営する教育機関の在校生・卒業生などの情報が含まれていました。初期の侵入経路については公式に明らかにされていません。ランサムウェアによってサーバーの停止と情報の窃取という「目的達成」の段階まで進んだ事例として押さえておきたいところです。
損害保険ジャパン（2025年）｜Webシステムへの不正アクセス
損害保険ジャパン（SOMPOホールディングスの子会社）は、2025年4月21日に社内のWebシステムが第三者に不正アクセスされたことを確認したと公表しました。フォレンジック調査の結果、4月17日から4月21日までの期間、外部から侵入した第三者が顧客に関する情報へアクセスできる状態になっていたと推測されています。
影響を受けた可能性のある情報は、顧客・代理店に関するデータ約905万件に加え、証券番号や事故番号のみのデータが約844万件にのぼります。マイナンバーやクレジットカード情報は含まれていないとしています。同社は不正侵入の検知後、ただちにWebシステムの停止とネットワーク遮断という初動対応を実施しました。悪用された脆弱性の中身は公表されていません。
日水コン（2024年）｜テスト環境から本番環境への侵入
建設コンサルタントの日水コンは、2024年1月に発覚した自社サイトへの不正アクセスを公表しました。同社の発表によると、攻撃者は動作検証用のテスト環境へのアクセス試行によってログインアカウントとパスワードを窃取し、公開用の本番環境へのアクセスを行ったと考えられています。
この不正アクセスにより、サイトからの大量メール送信やWebページの改ざんが確認されました。流出の恐れがある情報は、問い合わせフォームに入力された氏名・会社名・電話番号・メールアドレスなど（2016年10月から2024年1月まで）です。発覚当日にサイトを閉鎖し、警察および関係機関へ報告しています。運用していない検証用環境が侵入の足がかりになった典型例といえます。
お茶の水女子大学（2024年）｜放置された「test」ユーザとSSH公開
お茶の水女子大学は、2024年3月に研究室サーバへの不正アクセスを公表しました。外部機関からの通報で発覚したもので、同大の発表によると、当該サーバの構築時に「test」というユーザが作成され、そのユーザに安易なパスワードが設定されていました。加えて、学外に対して適切なセキュリティ対策なしにSSHでリモート接続が可能な状態で運用していたとされています。
結果として大量のログイン試行を受けて不正ログインにつながり、計算用サーバが海外からの攻撃の踏み台として悪用されました。計算用サーバであったため個人情報や機密情報の漏えいはありませんでしたが、不要なアカウントの放置と無防備なリモート公開が重なると侵入を許すことがよくわかる事例です。
これらの事例の出典は次のとおりです。被害件数や手口の詳細は、各社・各機関の公表資料で確認できます。
出典・参考資料（5件）
本記事ではサーバーへの侵入に絞って事例を見てきましたが、業種や手口を問わず不正アクセス被害の実例をより広く知りたい方もいるでしょう。以下の記事では、実名で公表された不正アクセス事件を被害規模・手口・原因とあわせてまとめています。
侵入経路で見る4つの型｜自社に近いリスクを見つける
ここからは、前章の実名事例と、NRIセキュアが公表した典型的な調査ケースを、「攻撃者がどこから入ったか」という侵入経路で4つの型に整理します。入口が公表されている損害保険ジャパン・日水コン・お茶の水女子大学と、NRIの調査ケースを各型に紐づけます。さくらインターネットとKADOKAWAは初期の侵入経路が非公表のため、型には紐づけません。
いずれの型も規模の大小を問わず起こります。未修正の脆弱性・設定ミス・不要アカウントの放置といった基本的な穴が入口になる点は、大企業でも中小企業でも変わりません。自社のサーバー環境と照らし合わせ、近い型から点検の当たりをつけてください。
①VPN機器・公開サーバの脆弱性を突く
インターネットに公開しているVPN機器やサーバに未修正の脆弱性があると、そこが侵入の入口になります。NRIセキュアテクノロジーズが公表した調査ケースでは、Array Networks社のArray AGシリーズの脆弱性（CVE-2023-28461）が悪用された事例が確認されています。
この事例では、攻撃者はまずVPN機器の脆弱性を突いてVPN接続用のアカウント情報を窃取し、その正規アカウントで不正にVPN接続を確立したうえで、社内ネットワークの端末へRDPやSSHでリモートアクセスしていました。
公開機器の脆弱性は攻撃者にとって最も分かりやすい入口であり、パッチ適用の遅れが直接の被害につながります。この型に該当する事例：NRIセキュアの調査ケース（VPN機器の脆弱性悪用）。
②正規の資格情報を窃取して横展開する
いったん侵入した攻撃者は、盗んだ正規のID・パスワードを使ってより価値の高いサーバへと侵害を広げます。これが「横展開（ラテラルムーブメント）」です。正規の資格情報でのアクセスは、一見すると通常の業務利用と区別がつきにくく、気づかれにくいのが厄介な点です。
NRIセキュアの調査ケースでも、侵入後に窃取した正規の資格情報を悪用して、より価値の高いサーバへ侵害を広げた経緯が報告されています（侵入がどこまで進むかの段階は次章で解説します）。パスワードの使い回しや、端末に資格情報が残る運用は、この横展開を後押しします。この型に該当する事例：NRIセキュアの調査ケース（正規資格情報の窃取）。
③Webアプリケーション・ECサイトの脆弱性を突く
公開しているWebアプリケーションやECサイトのプログラムに脆弱性があると、そこからサーバ内部のデータへアクセスされることがあります。損害保険ジャパンの事案では、社内のWebシステムが不正アクセスを受け、数百万件規模の情報が閲覧可能な状態になっていたと推測されています。
Webアプリケーションは業務のために外部公開せざるを得ないことが多く、その分だけ攻撃対象になりやすい領域です。自社開発・外部委託を問わず、公開しているWebシステムの脆弱性管理が重要になります。この型に該当する事例：損害保険ジャパン（Webシステムへの不正アクセス。悪用された脆弱性の中身は非公表）。
④設定ミス・不要なアカウントの放置
高度な脆弱性を突かなくても、設定の不備や管理漏れが侵入を許すことは少なくありません。日水コンの事案では、動作検証用のテスト環境に残っていたアカウントとパスワードが窃取され、そこを足がかりに本番環境へ侵入されました。運用していない環境の管理が抜け落ちていた例です。
お茶の水女子大学の事案では、サーバ構築時に作られた「test」ユーザに安易なパスワードが設定されたまま、SSHで学外から接続できる状態が放置されていました。結果として大量のログイン試行を受け、踏み台にされています。不要なアカウントの棚卸しと、公開範囲・認証の見直しという基本的な管理が、この型の侵入を防ぐ鍵になります。
この型に該当する事例：日水コン（テスト環境の放置）・お茶の水女子大学（testユーザの放置）。特別な脆弱性を要さないため、中小規模の組織でも起こりやすい型です。
出典・参考資料（4件）
サーバー侵入はどう進むのか（初期侵入から目的達成まで）
サーバー侵入は、入口を突かれた瞬間にすべてが終わるわけではありません。多くの場合、攻撃者は段階を踏んで内部を移動し、最終的な目的に到達します。この流れを知っておくと、どの段階で止められるかという視点が得られます。
NRIセキュアの解説によると、攻撃はおおむね「初期侵入 → 横展開 → 権限昇格 → 目的達成」という段階で進みます。最初に正規の資格情報やVPN機器などの脆弱性を悪用して環境に侵入し（初期侵入）、侵入済みのホストから窃取した資格情報で価値の高いサーバへ移動していきます（横展開）。
権限昇格の具体的な流れとして、同社は次のような5段階を報告しています。まず低権限のビルトインアカウントの資格情報を悪用してOA端末（業務用端末）へ侵入し、その端末のメモリに残る保守用の資格情報を窃取します。次にそれを使ってAD管理端末へ横展開し、そこに残るドメイン管理者の資格情報を窃取して、最終的にActive Directoryへ不正ログインし、ドメインに属する全ホストの制御を掌握します。
ここまで到達されると、データの窃取やランサムウェアによる暗号化といった目的達成の段階に至ります。裏を返せば、初期侵入を防ぐだけでなく、横展開や権限昇格の途中で異常に気づいて封じ込められれば、被害は大きく抑えられます。次章以降で、その原因と対策を見ていきます。
出典・参考資料（1件）
事例に共通する原因・弱点のパターン
ここでは、個別の事例を横断して「なぜ侵入を許したのか」という自社側の弱点を整理します。攻撃者の入口を分類した前章に対し、この章は自社で点検すべき運用面の観点として読んでください。
- 脆弱性の放置（パッチ適用の遅れ）：公開しているVPN機器・Webシステム・サーバの既知の脆弱性が修正されないまま残ると、そこが直接の入口になります（VPN脆弱性・Webシステムへの不正アクセスの事例）。
- 認証情報の使い回し・端末への残存：同じID・パスワードの使い回しや、端末のメモリに残る資格情報は、横展開と権限昇格を後押しします（資格情報を窃取して横展開した事例）。
- 多要素認証の未導入：ID・パスワードだけの認証は、資格情報を盗まれた時点で突破されます。お茶の水女子大学の事案のように認証が単純だと総当たり攻撃で破られやすく、多要素認証があれば窃取後の不正ログインを止められる場面が増えます。
- 不要なアカウント・検証環境の放置：使われていないテスト環境や「test」ユーザの放置は、管理の目が届かない入口になります（テスト環境からの侵入、放置されたtestユーザの事例）。
- 監視・ログの欠如：侵入後の不審な通信やログイン試行を検知する仕組みがないと、横展開が進むまで気づけません。お茶の水女子大学の事案は外部からの通報で発覚しており、自社での早期検知の難しさを示しています。
これらは特別な弱点ではなく、多くの組織に当てはまる基本的な管理課題です。次章では、それぞれの原因に対応した対策を、予防と検知の両面から整理します。
原因別の対策｜予防と「侵入された後に検知する」視点
対策は、侵入を「防ぐ」予防と、侵入されても「早く気づいて封じ込める」検知の両輪で考えると抜け漏れが減ります。前章の原因に対応づけて見ていきます。
予防の打ち手（原因別）
- 脆弱性管理・脆弱性診断：公開機器・サーバのOSやソフトウェアを最新に保ち、パッチ適用の運用を定める。定期的な脆弱性診断で公開資産の穴を洗い出します。
- 多要素認証（MFA）の導入：VPNや管理者アカウント、外部公開する認証にMFAを設定し、資格情報を盗まれても不正ログインを止められるようにします。
- 資格情報の管理：パスワードの使い回しをやめ、端末に資格情報を残さない運用にします。管理者権限は必要最小限に絞ります。
- アクセス権限とネットワークの分離：権限を業務に必要な範囲へ整備し、侵入されても横展開しにくいようにネットワークを分割します。
- 公開資産・アカウントの棚卸し：不要なテスト環境やアカウントを削除し、外部に公開している範囲と認証設定を定期的に点検します。
これらの予防策を、現場の担当者レベルの具体的な行動まで落とし込みたい場合は、従業員側・管理者側それぞれのやることをチェックリスト形式で整理した以下の記事が役立ちます。
侵入を早期に検知する方法（EDR・NDR・ITDR）
予防をすり抜けて侵入された場合に被害を抑える鍵は、横展開や権限昇格の途中で異常に気づくことです。事例の多くは、侵入そのものより「気づくのが遅れたこと」で被害が広がっています。そこで、侵入後の挙動を検知する仕組みが重要になります。
- EDR（Endpoint Detection and Response）：サーバや端末上の不審な挙動を検知し、隔離・対応まで行う仕組み。マルウェア感染後の振る舞いや、正規プロセスを悪用した攻撃を捉えます。
- NDR（Network Detection and Response）：ネットワークを流れる通信を分析し、内部での横展開や不審な外部通信を検知する仕組み。端末に入り込んだ後の動きをネットワーク側から捉えます。
- ITDR（Identity Threat Detection and Response）：資格情報の悪用や異常な認証を検知する仕組み。正規アカウントを使った横展開のように、従来の対策では気づきにくい侵害の検知を狙います。
これらは「侵入されない」前提の予防だけでは防ぎきれない攻撃に対して、侵入後の可視化と早期対応を担います。ITDRにあたるID脅威検知は独立した製品というより、EDR/XDRやNDRの一部がID保護・認証監視の機能として備えていることが多く、実務では既存の検知製品の対応範囲で確認するのが現実的です。
一括ダウンロードする
万一被害に遭ったときの初動と報告義務
侵入や情報漏えいが疑われたときは、初動対応と法的な報告義務の両方を押さえておく必要があります。あらかじめ流れを知っておくと、いざというときの判断が速くなり、稟議やBCP（事業継続計画）の材料にもなります。
侵入・漏えいが疑われたときの初動
まず被害の拡大を止めることが最優先です。損害保険ジャパンは不正侵入の検知後、ただちにWebシステムを停止し、ネットワークを遮断する初動対応を実施しています。あわせて、原因究明のために証拠（ログやディスクの状態）を保全することが重要です。
基本的な初動は、次の流れになります。被害を受けた機器をネットワークから隔離する、被害状況を確認するための証拠を保全する、外部の専門機関にフォレンジック調査を依頼する、社内外の関係窓口へ連絡する、という順序です。復旧を急いで機器を初期化すると証拠が失われるため、隔離と保全を先行させます。
法的な報告義務と相談先
個人データの漏えいが疑われる場合、個人情報保護法にもとづく報告・通知の義務が生じます。同法第26条は、次のように定めています。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
出典：個人情報の保護に関する法律 第26条｜e-Gov法令検索
個人情報保護委員会の解説によると、報告を要する事態には、要配慮個人情報を含む漏えい、不正アクセスなど不正の目的によるおそれがある漏えい、本人の数が1,000人を超える漏えいなどが該当します。
報告は、速報を発覚から速やかに（おおむね3〜5日以内）行います。確報は原則として発覚から30日以内ですが、サーバへの不正侵入のように不正の目的によるおそれがある場合は60日以内が期限となります。
技術的な調査や対応については、IPA（情報処理推進機構）の情報セキュリティ安心相談窓口や、JPCERTコーディネーションセンターのインシデント対応窓口に相談できます。犯罪被害としては、都道府県警察のサイバー犯罪相談窓口も相談先になります。
出典・参考資料（4件）
サーバー侵入対策に使えるソリューション
ここからは、事例で見た侵入を「検知して封じ込める」ために使えるソリューションを紹介します。本記事は侵入後の検知に絞って扱うため、パッチ適用・多要素認証・棚卸しといった予防の具体策は前章のチェックリスト記事もあわせてご覧ください。
検知はネットワーク側から捉えるNDRと、サーバ・端末上を捉えるEDR／XDR（拡張検知・対応）が中心で、資格情報の悪用を捉えるID脅威検知（ITDR）の機能は一部のEDR/XDR・NDR製品が備えています。事例の原因に応じて組み合わせて使います。まずは各サービスの位置づけを一覧で比較します。
| サービス名 | Network Blackbox | Darktrace | Vectra AI | CrowdStrike Falcon | SentinelOne | Trend Vision One | Microsoft Defender XDR | Cortex XDR | FFRI yarai |
|---|---|---|---|---|---|---|---|---|---|
| 検知レイヤー | ネットワーク型（NDR） | ネットワーク型（NDR） | ネットワーク型（NDR） | エンドポイント型（EDR／XDR） | エンドポイント型（EDR／XDR） | エンドポイント型（EDR／XDR） | エンドポイント型（EDR／XDR） | エンドポイント型（EDR／XDR） | エンドポイント型（EPP／EDR） |
| 主な検知対象・強み | 全パケットを保存し、侵入・横展開・情報持ち出しの 検知と事後追跡（フォレンジック）に対応 | 自己学習型AIが正常挙動からの逸脱を検知。 新種脅威・横展開・ランサムウェアの兆候を捕捉 | AI行動分析で侵入後の横展開・認証情報の悪用を ネットワークから検知（多クラウド・ID基盤も対象） | 端末上の既知・未知マルウェアの実行防止と 侵入後の振る舞い・異常な認証（横展開）の検知 | エージェント側AIが自律検知・隔離。攻撃の流れを 再構成し、ランサムウェア被害をロールバック | 複数レイヤーのデータを相関分析（XDR）し 複合的な侵入経路を横断的に可視化 | ID・端末・メール・アプリのシグナルを相関し 横移動を1つのインシデントとして追跡 | 端末を起点にNW・クラウド・IDを相関。行動分析で 内部不正・横展開・データ持ち出しを検出 | パターン非依存の5エンジンで未知マルウェア・ 0-day攻撃を先読み検知（オフライン動作） |
| 提供形態 | アプライアンス （ミラーリング導入） | アプライアンス／クラウド （ハイブリッド） | オンプレ／クラウド対応 | SaaS（クラウド型・軽量エージェント） | SaaS（単一エージェント＋ クラウド管理コンソール） | SaaS | SaaS（Microsoft 365と統合） | SaaS（クラウド型・エージェント） | オンプレミス／クラウド／ マネージド／月額版 |
| 料金 | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ （中小向けは公開価格あり） | 要お問い合わせ | 要お問い合わせ （クレジット制） | 要お問い合わせ （Microsoft 365 E5に含む） | 要お問い合わせ | 要お問い合わせ |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
ここで紹介するのは、侵入後の検知に強いソリューションが中心です。ネットワーク型・端末型・不正ログイン型といった検知対象のレイヤーごとに製品を整理し、自社に合うタイプから比較・検討したい場合は、18サービスを横断比較した以下の記事が参考になります。
不正アクセス検知システムおすすめ18選｜4タイプ別の選び方を徹底比較
ファイアウォールやWAF（Web Application Firewall：Webアプリケーション用の防御壁）で入口は固めたものの、漏えいしたIDとパスワードを使った大量ログインや、すり抜けたマルウェア（ウイルス）が社内で広がる動きまでは捉…
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる全パケットを収集して脅威を可視化・分析・対応するNDR（Network Detection and Response）製品です。「100％フルパケットキャプチャ」を基盤に、収集・検知・ハンティング・フォレンジック・対応の5つの機能を1製品でカバーします。ミラーリング方式で導入するため、既存ネットワークへの影響を抑えながら監視を始められます。
全パケットを保存する設計のため、検知後にさかのぼって「侵入がどのように進んだか」を全トラフィックに対して調査できる点が特徴です。事例で見た横展開や不審な外部通信を、後から詳細に追跡したい組織に向いています。EDRやSIEMなど他のツールとの連携にも対応します。
2. Darktrace（ダークトレース・ジャパン株式会社）
自己学習型AIを中核に据えたのがDarktraceです。組織固有の「正常な挙動」をAIが学習し、そこからの逸脱として既知・未知の脅威を検知します。シグネチャ（既知の攻撃パターン）に依存しないため、新種の脅威や内部での横展開、ランサムウェアの兆候を捉えることを狙います。
ネットワークの挙動分析（NDR）を起点に、メール・クラウド・エンドポイント・アイデンティティを横断して相関分析する構成です。検知だけでなく、AIによる調査と自律的な封じ込めまでを一つのプラットフォームで扱える点が特徴で、監視体制の人手が限られる組織でも運用しやすい設計になっています。
3. Vectra AI（Vectra AI, Inc.）
ネットワークトラフィックの挙動をAIで分析するNDR製品が、Vectra AIです。シグネチャ照合ではなく振る舞い分析を主軸とし、社内に侵入した高度な脅威、たとえばランサムウェアや横展開、認証情報の悪用などをネットワークの動きから検知します。
対象範囲は、オンプレミスのデータセンターに加え、マルチクラウド、Active DirectoryやMicrosoft Entra IDといったID基盤、Microsoft 365まで広くカバーします。検知エンジンが膨大なアラートを「いま侵害が起きている箇所」へ絞り込む設計で、②の型（資格情報窃取からの横展開）のように、正規アクセスに紛れた侵害の検知を狙います。
4. CrowdStrike Falcon（CrowdStrike Holdings, Inc.）
CrowdStrike Falconは、クラウドネイティブな軽量エージェント1つで、エンドポイント・アイデンティティ・クラウドワークロードを横断的に保護するプラットフォームです。検知の中核はエンドポイント型（EDR／XDR）で、次世代アンチウイルスの「Falcon Prevent」と、検知・対応の「Falcon Insight XDR」を備えます。
実行前の機械学習判定と、実行後・侵入後の振る舞い検知（IOA）を組み合わせる設計で、既知シグネチャのない亜種マルウェアも検知対象とします。アイデンティティ保護によって、資格情報を盗まれた後の異常な認証や横展開の検知にも対応するため、②の型（資格情報窃取からの横展開）に効きます。リモートから端末を直接操作して調査・対処できる機能も備えます。
5. SentinelOne（SentinelOne, Inc.）
SentinelOneの「Singularity Platform」は、次世代アンチウイルス・EDR・XDRを単一の軽量エージェントと統合コンソールで提供するプラットフォームです。検知レイヤーはエンドポイント型（EDR／XDR）で、エンドポイントを起点にクラウドやアイデンティティ、ネットワークまで保護範囲を広げられます。
エージェント側のAIが脅威を自律的に検知し、不正なプロセスやファイルをリアルタイムで隔離・停止します。攻撃の流れを自動で再構成する「Storyline」を備えるため、事例で見た侵入の流れを可視化しやすい点も特徴です。ランサムウェア被害時にファイルを自動復旧するロールバック機能も持ちます。
6. Trend Vision One（トレンドマイクロ株式会社）
トレンドマイクロが提供する統合サイバーセキュリティプラットフォームが、Trend Vision Oneです。エンドポイント・サーバー・クラウド・メール・ネットワークなど複数のレイヤーを単一コンソールで管理し、各レイヤーで収集したデータを相関分析して攻撃の全体像を可視化します。中核機能はXDR（拡張検知・対応）です。
個別の製品では分断されがちな侵入痕跡を横断的にたどれるため、事例で見た複合的な侵入経路の把握に向いています。既存のトレンドマイクロ製品をVision Oneから一元管理でき、必要なソリューションへクレジットを割り当てるライセンス形態で運用の柔軟性を確保しています。
7. Microsoft Defender XDR（日本マイクロソフト株式会社）
ID・エンドポイント・メール・アプリなどを横断して脅威の検知・調査・対応を一元化するのが、Microsoft Defender XDRです。複数のDefender製品からのシグナルを相関させ、1つのインシデントとして可視化します。単独購入する製品ではなく、複数のDefender製品を展開することで有効化される統合レイヤーである点に注意が必要です。
ID（Entra／Active Directory）やメール、SaaSと同一ベンダーで統合されるため、「フィッシングで侵害された端末から横移動する」といった流れを1つのインシデントとして追跡しやすいのが特徴です。Microsoft 365を利用している企業にとっては、既存環境との一体運用がしやすい選択肢になります。
8. Cortex XDR（パロアルトネットワークス株式会社）
Cortex XDRは、エンドポイント（EPP／EDR）を起点に、ネットワーク・クラウド・アイデンティティのデータをネイティブに統合・相関分析するXDRプラットフォームです。エンドポイントエージェントによるマルウェア・エクスプロイト防御を基盤としています。
機械学習ベースの行動分析で、ユーザーやデバイスの平常時の挙動を学習し、そこからの逸脱として内部不正・横展開・データ持ち出しを検出します。関連するアラートを1つのインシデントにまとめて調査時間を短縮できるため、事例で見た侵害後の活動を効率的に追いたい組織に向いています。
9. FFRI yarai（株式会社FFRIセキュリティ）
純国産の次世代エンドポイントセキュリティとして開発されたのが、FFRI yaraiです。パターンマッチング（既知マルウェアの定義ファイル照合）に依存せず、プログラムの「ふるまい」を解析して攻撃を検知・防御します。5つの検知エンジンを搭載し、0-day脆弱性攻撃や新種のマルウェア、ランサムウェアといった未知の脅威への対応を狙います。
定義ファイルの更新前でも動作する設計のため、パターンファイル配信のタイムラグに左右されにくいのが特徴です。防御（EPP相当のふるまい検知）と検知・対応（EDR）を同一ライセンス内で利用でき、オンプレミス・クラウド・マネージドサービスなど複数の提供形態から選べます。国産・オフライン動作を重視する組織の選択肢になります。
まとめ｜事例から自社のリスクを点検する
サーバー不正侵入の事例を見ると、経路が公表されたものの多くは、VPN機器や公開サーバの脆弱性、正規資格情報の窃取からの横展開、Webシステムの脆弱性、設定ミスや不要アカウントの放置という4つの経路に当てはまります。侵入は初期侵入から横展開・権限昇格を経て目的達成に至るため、途中で気づいて封じ込められるかが被害の大きさを分けます。
まずは自社に近い型の原因を点検し、パッチ適用・多要素認証・資格情報管理・棚卸しといった予防に加え、EDR・NDR・ITDRといった侵入後の検知の仕組みを検討することをおすすめします。具体的なソリューションの比較資料は、次のボタンからまとめて請求できます。
一括ダウンロードする
よくある質問（FAQ）
Q. サーバー不正侵入とは何ですか？
サーバー不正侵入とは、攻撃者が正規の権限を持たないままサーバーやその管理システムに侵入し、内部の情報やシステムを不正に操作する行為です。侵入の入口はVPN機器や公開サーバの脆弱性、盗まれた資格情報、設定ミスや放置されたアカウントなどさまざまで、侵入後は横展開・権限昇格を経て、情報の窃取やランサムウェアによる暗号化といった被害に至ります。
Q. サーバー不正侵入と不正アクセスは何が違いますか？
サーバー不正侵入は、不正アクセスのなかでも特にサーバーやその基盤システムに侵入される類型を指す言葉です。不正アクセスがID・パスワードの不正利用など「権限のないアクセス」全般を指すのに対し、サーバー不正侵入は侵入後に横展開・権限昇格が進み、情報漏えいやシステム障害など被害が大きくなりやすい点が特徴です。本記事の事例にも、侵入が内部で広がって数百万件規模の情報に影響が及んだものが含まれます。
Q. サーバーに不正侵入されたかどうかは、どうすれば気づけますか？
サーバーへの不正侵入は、普段と異なる通信やログイン、身に覚えのない大量メール送信・Webページの改ざんといった異常から気づくのが一般的です。ただし正規の資格情報を使った侵入は通常業務と見分けにくく、本記事のお茶の水女子大学の事案のように外部機関からの通報で初めて発覚したケースもあります。侵入後の挙動を自社で早期に捉えるには、EDR・NDR・ITDRといった検知の仕組みが有効です。
Q. サーバー侵入対策として中小企業が最優先でやるべきことは何ですか？
サーバー侵入対策として中小企業がまず取り組むべきは、公開機器・サーバの脆弱性の解消（パッチ適用）、多要素認証の導入、不要なアカウント・検証環境の棚卸しです。本記事の事例の多くは高度な攻撃ではなく、未修正の脆弱性や放置された「test」ユーザ、資格情報の使い回しといった基本的な管理の穴を突かれています。まず自社に近い型の原因を点検し、費用対効果の高い基本対策から着手するのが現実的です。
Q. サーバー侵入対策のEDRとNDRは何が違いますか？
EDRとNDRの違いは、EDRがサーバや端末上の不審な挙動を、NDRがネットワークを流れる通信を分析して侵入後の動きを検知する点にあります。EDRはマルウェア感染後の振る舞いや正規プロセスを悪用した攻撃を捉え、NDRは内部の横展開や不審な外部通信を捉えます。両者は補完関係にあり、組み合わせると多層で検知できます。
Q. サーバーへの不正侵入が疑われたとき、まず何をすべきですか？
サーバーへの不正侵入が疑われたときは、被害の拡大を止めるために該当機器をネットワークから隔離し、原因究明のための証拠（ログやディスクの状態）を保全することが最優先です。復旧を急いで機器を初期化すると証拠が失われるため、隔離と保全を先行させます。そのうえで外部の専門機関にフォレンジック調査を依頼し、社内外の関係窓口へ連絡します。
Q. サーバー不正侵入で個人情報が漏えいした場合、報告義務はありますか？
個人データの漏えいが疑われる場合、個人情報保護法（第26条）にもとづき、個人情報保護委員会への報告と本人への通知が義務づけられています。不正アクセスは「不正の目的によるおそれ」に当たるため、確報の期限は発覚から60日以内です。技術的な対応はIPAやJPCERT、犯罪被害は警察のサイバー犯罪相談窓口にも相談できます。
不正検知・侵入対策ソリューションの資料を一括チェック
MCB FinTechカタログでは、サーバー侵入の検知・対応に使えるEDR・NDR・XDRなどの最新資料を無料で一括請求できます。検知レイヤーや対応範囲を比較する材料としてご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
