米SonicWallは3月31日、「2026年版 SonicWallサイバー保護レポート」を発表した。

　それによると、深刻度が高・中レベルの攻撃が20.8％増加し、131億5000万件となった。攻撃者は、攻撃の頻度を高めているのではなく、よりスマートに攻撃している。自動化されたボットが1秒あたり3万6000を超える脆弱性スキャンを生成しており、すべてのインターネットトラフィックの半分以上を占めている。悪質なボットトラフィックだけで、全世界のインターネットトラフィックの37％まで急増している。

　IoT攻撃は11％増えて6億990万件に達した。Log4jだけでも、公表されてから4年後である25年に8億2490万件のIPS（侵入防止システム）による検知が発生。アイデンティティ、クラウド、認証情報の侵害が、アクション可能なセキュリティーアラートの85％を占めた。攻撃者が選んでいる武器はゼロデイではなく、盗み出されたパスワードを使っている。中小企業はランサムウェアに対する備えが不十分で、25年の中小企業の侵害の88％はランサムウェア関連で、これは大企業で見られる確率の2倍以上となっている。

　また、レポートでは初めて脅威に関する統計だけでなく、保護の成果に主眼を置いている。今回の調査では「七つの大罪」と名付けた七つの繰り返し起きているパターンを特定し、中小企業の侵害の調査、セキュリティー評価、インシデントレビューにわたってレジリエンスとエクスポージャーの違いについて一貫した定義を明確にしている。具体的には以下の通り。

（1）基本を無視している――脆弱な認証、パッチ未適用のシステム、過剰な管理者権限は、依然として主な攻撃対象領域となっている。

（2）過信――自社は小規模であるから標的にはならないと信じ込むこと、制御の効果を過大評価すること、テストを行わずにレジリエンスを想定することが危険な盲点を生み出す。

（3）非常に無防備なアクセス――過度に寛容なルール、フラットなネットワーク、認証後の暗黙的な信頼は、いったん侵入できれば妨げられることのない経路を攻撃者に提供する。

（4）受動的なセキュリティー体制――24時間体制の監視やプロアクティブな脅威ハンティングが行われていない場合は、攻撃者がスケジュールを設定できる。平均的な侵害は181日間検出されない。

（5）コストに基づいたセキュリティーに関する意思決定――短期的な予算のプレッシャーに基づいて投資を先延ばしにすることは、後からコストを発生させる。しかも投資額よりも高くつく。ダウンタイムと復旧も含めると、中小企業の1件の侵害は491万ドルを超える可能性がある。

（6）レガシーアクセスモデルへの依存――いったん認証すると広範囲のネットワークアクセスが許可されるVPNは、依然として企業のセキュリティーで最も悪用される侵入ポイントの一つとなっている。分析対象期間中に、VPNのCVEは82.5％増えた。

（7）実行することよりもトレンドを追いかける――最新のツールを完全な形で導入せずに購入し、プロセスのギャップをテクノロジーが補ってくれると期待することは、それ自体が一種の脆弱性である。ツールは成果を生み出すことはない。実行することが成果を生み出す。