【連休前に知っておこう】攻撃者は連休を待っている — サイバー攻撃と長期休暇の“不都合”な関係
サイバー攻撃は休暇中に集中している？
2024年12月26日午前7時24分頃、日本航空（JAL）の空港自動チェックイン機が停止しました。年末の帰省や旅行が始まるまさに初日、大量のデータを送りつけるDDoS攻撃が発生したのです。この影響で航空券販売は一時的に停止し、国際線では最大4時間以上の遅延が起こり、翌27日には欠航も発生しました。
そして、これは始まりに過ぎませんでした。同日午後には三菱UFJ銀行のインターネットバンキングで障害が発生し、12月29日にはりそなホールディングス、12月31日にはみずほ銀行がシステム障害を起こしました。さらに年が明けた1月2日には、NTTドコモの各種サービスでも障害が発生し、重要なインフラを担う組織への攻撃が次々と続きました。
トレンドマイクロの分析によると、2024年の年末年始に攻撃の標的となった国内組織は航空会社や金融機関など合計46社であり、攻撃には「Mirai」や「Bashlite」といったマルウェアによるIoTボットネットが使われたと見られています。
ここで注目したいのは攻撃のタイミングです。帰省ラッシュで航空会社の負荷が最大になる日や、銀行の窓口が閉まり、システム部門が当直体制となる期間を狙って被害が出ています。障害がそのまま社会的影響につながる瞬間を、攻撃者は正確に突いているのです。つまり攻撃者たちは、日本の「年末年始」というタイミングを把握していたと言えるでしょう。
この記事では、これらの事例をもとに「なぜ長期休暇がサイバー攻撃の標的になるのか」という背景をデータで整理し、お盆や年末年始、ゴールデンウィークなど大型連休を前に企業が直視すべき現実を解説します。
※ 本記事はサイバーセキュリティに関する啓発や考察を目的としています。特定の企業・団体を批判する意図は一切ありません。
参照：トレンドマイクロによる2024年末〜2025年始のDDoS攻撃分析｜Trend Micro
参照：令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
FBI と CISA が公式に認定した「休暇を狙う」攻撃パターン
「連休中の攻撃はたまたま重なっただけではないか」と考えてしまう人もいますが、この認識は実際の攻撃状況とかけ離れています。長期休暇を狙った攻撃は日本だけの現象ではありません。実際、アメリカでは2021年に大規模な事案が連続し、FBI と CISA が公式な警告を出す事態となりました。
2021年5月、母の日の週末にはアメリカ東海岸の燃料供給の約45%を担う Colonial Pipeline が、ランサムウェアグループ「DarkSide」の攻撃で操業を停止し、ガソリン供給の混乱が起きました。最終的に約440万ドルの身代金が支払われています。同じ月のメモリアルデーの週末には、世界最大級の食肉加工企業 JBS Foods が「REvil」の攻撃を受け、アメリカとオーストラリアの工場が全面停止となり、約1,100万ドルの身代金が支払われました。さらに7月の独立記念日の週末には、IT管理ソフトウェア企業 Kaseya を起点に、世界中で最大約1,500の組織がランサムウェア被害を受けました。
これら「連休3連発」事案を受けて、FBI と CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は2021年8月、「AA21-243A」と呼ばれる共同勧告を出しました。その中で「オフィスが通常閉まっている祝日や週末に、影響の大きいランサムウェア攻撃が増加している」と明記されています。
つまり「攻撃者が休暇を狙う」というのは憶測ではなく、FBI と CISA が公式文書で認めた典型的なサイバー攻撃パターンにほかなりません。
参照：Ransomware Awareness for Holidays and Weekends（AA21-243A）｜CISA
なぜ攻撃者は休暇を選ぶのか？データで見る、休暇の“非対称性”
では、なぜ攻撃者はあえて休暇を選ぶのでしょうか。理由は明確で、攻撃側は常に活動できる一方で、防御側は休暇中に体制が大きく縮小されるからです。この“非対称性”は、さまざまな調査で明らかになっています。
Semperis が2024年11月に公表した調査（アメリカ、イギリス、フランス、ドイツのIT・セキュリティ責任者900人が対象）によると、ランサムウェア攻撃を受けた組織の86%が、休日または週末に攻撃されていたことがわかりました。
さらに、2025年11月に Semperis が発表した「2025 Ransomware Holiday Risk Report」では、調査対象が10ヶ国・8業種に拡大されましたが、それでもランサムウェアの被害を受けた組織の過半数（52％）が休日や週末に攻撃されています。加えて、SOCを持つ企業のうち78%は、休日や週末になると監視にあたる要員を平日の半分以下にまで減らしていました。さらに6%にいたっては、休日・週末はSOCに誰も配置していない、つまり監視が完全に無人になる状態でした。
特に注目したいのは、その人員削減の理由です。62%が「従業員のワークライフバランスのため」、47%が「休日は業務を停止しているため」と答えています。一方で29%は「攻撃されるとは思わなかったから」と回答しています。最初にふれた「連休中の攻撃は偶然だ」という思い込みが、実際に3割近い組織で防御体制の手薄さにつながっているのです。攻撃者から見れば、こうした状況は非常に狙いやすい相手といえます。
この傾向は最近始まったものではありません。Cybereason が2022年に実施した調査（休日・週末にランサムウェア被害を経験した約1,200人のセキュリティ専門家が対象）でも、休日・週末の人員配置が平日の3分の1未満にとどまる企業が44%にのぼる一方、80%以上の人員を維持している企業はわずか7%でした。
重要なのは、この手薄さが被害の深刻度に直結している点です。休日・週末の攻撃で「平日の攻撃より金銭的損失が大きかった」という回答は、2021年調査の12%から2022年調査では31%へと大きく増加しています。つまり休暇中は攻撃を受けやすいだけでなく、被害がより深刻になる傾向が年々強まっているのです。
参照：2024 Ransomware Holiday Risk Report｜Semperis
参照：2025 Ransomware Holiday Risk Report｜Semperis
参照：Cybereason Research Finds Organizations Unprepared for Ransomware Attacks on Weekends and Holidays｜Cybereason
参照：Organizations at Risk 2022: Ransomware Attackers Don't Take Holidays｜Cybereason
2026年のお盆は例年と違う？その理由と連休前に打つべきセキュリティ対策
戦争関連の記念日が重なっていることに注意
IPAは2026年7月30日、「2026年度 夏休みにおける情報セキュリティに関する注意喚起」を公開しました。例年どおり、ネットワークへの侵入型攻撃やDDoSに警戒を呼びかけていますが、今年は特に異例の記載があります。
2026年の夏季休暇シーズンには、8月6日（広島原爆の日）、8月9日（長崎原爆の日）、8月15日（終戦の日）、9月3日（中国・ロシアの対日戦勝記念日）など安全保障上の記念日が多く含まれています。IPAはこれら戦争関連の記念日前後に、過去にもDDoS攻撃や情報戦・認知戦が行われたことを指摘しており、サイバー攻撃や偽情報の拡散に特に注意すべきだと呼びかけています。
また、2026年は4年に一度実施されてきたロシア極東軍管区の軍事演習「VOSTOK」が8月下旬から9月にかけて行われる可能性もあり、この演習に連動したサイバー攻撃にも警戒が必要とされています。休暇中の注意喚起に軍事演習の名称が盛り込まれるのは極めて異例であり、今年のお盆から9月初旬にかけては、地政学的なイベントと休暇期が重なることで、いつも以上に警戒を要する時期だと言えるでしょう。
こうした状況を踏まえ、IPAの「長期休暇の情報セキュリティ対策」を参考に、連休前後で確認したいポイントを実務の観点からまとめます。
休暇前に打つべき対策
システム管理者向け
☐ 緊急連絡体制の確認：インシデント発生時に「誰が誰にどのように連絡するか」を書面で明確に定めます。また、休暇中の担当者やその連絡先も全員に共有します。
☐ VPN機器やルーターなどの境界機器の点検：悪用が確認されている脆弱性への対応漏れがないかを優先して確認します。まだ対応していない場合は、変更管理のルールに従って判断し、直前になって慌てて対応するのは避けます。さらに、休暇中に使用しない機器やサービスは停止し、電源も切ります。
☐ パッチ適用とバックアップの確認：サーバーや端末のアップデート状況をチェックします。また、バックアップが正常に取得できているかログで確認します（復元テストは平時に済ませておくことが望ましいです）。
☐ アカウントの点検：休暇中に使わないリモートアクセス経路や外部公開されたアカウントは一時的に無効化します。さらに、多要素認証の設定状況も確認します（退職者アカウントの整理などは平時に実施しておくべきです）。
☐ ログ監視やアラート継続の確認：休暇中もEDRやUTMのアラートが担当者にしっかり届くルートを確保します。あわせて、ログの取得範囲や保管期間もチェックします。
☐ OT環境や関連会社の連絡窓口の確認：工場設備などOT環境や、グループ会社・委託先についても、緊急時に連絡窓口が問題なく機能するか事前に確認しておきます（なお、点検の依頼自体は次回以降の長期休暇に備え、平時に進めておくことが重要です）。
一般従業員向け
☐ 業務端末やデータを持ち出すときのルールを再確認します。
☐ 社用アカウントのパスワードを使い回していないかチェックし、必要に応じて見直します。
休暇明けに打つべき対策
☐ たまったメールを開く前にOSやセキュリティソフトを最新に更新します。
☐ 不審なメールへの警戒を強化します。
※ 休暇明けは「未読を早く処理したい」という心理につけこんだ標的型メールやフィッシング詐欺が狙われやすいため、特に取引先や経営層を装うメールには十分注意してください。
☐ 持ち帰った端末はウイルスチェック後に社内ネットワークへ接続します。
準備を怠らず、安心して休暇に入りましょう
2024年末のJALをはじめとする連続DDoS攻撃や、2021年の米国での連休中の大規模事件、そして約9割の被害組織が防御の手薄な時間帯を狙われたという調査結果。これらは、攻撃者が企業のカレンダーや休日をしっかり見てアクションを起こしていることを示しています。
長期休暇そのものは避けられませんし、しっかり休むことは当然の権利です。問題は「準備をせずに無防備なまま休むかどうか」だと感じます。連休は、準備をした組織としなかった組織の差が如実に表れる時期だからこそ、お盆を控えた今、自社の「入口」と連絡体制をしっかり点検することが欠かせないと言えるでしょう。
執筆者
