約370万回/日のサイバー攻撃を検知！個人情報の流出が最も多かったのは「食品・飲料製造業」【CSC調べ】

SQLインジェクションの攻撃数は右肩上がり、1年で約6,400万件増加。

今井扶美（Web担編集部） 10/28 8:20 調査／リサーチ／統計 | 調査データ

1 6 1

サイバーセキュリティクラウド（CSC）は、「Webアプリケーションへのサイバー攻撃検知レポート」を発表した。同社が運用するクラウド型WAF『攻撃遮断くん』とパブリッククラウドWAFの自動運用サービス『WafCharm（ワフチャーム）』で観測したデータをもとに分析している。

Webアプリへのサイバー攻撃、1日に約370万回を検知

まず、2024年7月1日〜9月30日までに同社が検知したWebアプリケーションへのサイバー攻撃の総数は、343,495,810件となった。これは、1日に約370万回の攻撃を受けている計算になる。なお、1ホスト※あたりでは21,304件だった。

※『攻撃遮断くん』の保護対象ホスト数（Webタイプ：FQDN数、サーバタイプ：IP数）と、『WafCharm』の保護対象ホスト数（WebACL）との総数を分母に概算。

検知された攻撃元を国別に見ると、攻撃件数の上位は1位「アメリカ」、2位「日本」、3位「イギリス」となった。2023年と比較して、上位の顔ぶれに大きな違いはなかったが、「ブルガリア」は14位→10位に上昇した。

主な攻撃種別の割合を見ると、攻撃対象を探索・調査したり、無作為に脆弱性を探したりする「Web scan」が40％で最も多く、ついで脆弱性スキャンツールを使ったBot攻撃の「Bad user agent」が23％と続いた。主な傾向は2023年と変わっていないが、これまで注目されていなかったPHPのテストフレームワーク「PHPUnit」を狙った攻撃は引き続き増加しているようだった。

また、SQLインジェクション攻撃数の推移※を見ると、検知数は一貫して右肩上がりとなっており、2023年7月〜9月と比較すると約6,400万件増加していた。直近3ヶ月ではその傾向が顕著となっている。

※SQLインジェクション：外部からの入力を元にSQL文を動的に作成するサイトやアプリケーションで、意図しない外部入力により悪意のあるSQL文を注入されることによって、不正にデータベースのデータが読み取られたり、データが改ざん・削除されたりする攻撃のこと。

2024年の個人情報およびクレジットカード情報流出を業種別にみると、「食品・飲料製造業」が最も被害件数が多く、ついで「飲食業」「卸売業」と続いた。特に飲食業ではクレジットカードの流出件数が多く、自社で運営しているオンラインストアでの流出が原因となり、被害が拡大しているようだった。

※本データは2024年に企業から公表されたクレジットカード情報を伴う個人情報流出の事例を示しているが、流出自体は2020年末から2021年前半に仕掛けられた改ざんが原因となっているケースなども含まれる。

調査概要

【調査期間】2024年第3四半期(2024年7月1日～9月30日)
【調査方法】同社が提供するWebアプリケーションへのサイバー攻撃を可視化・遮断するクラウド型WAFの『攻撃遮断くん』、及びパブリッククラウドWAFの自動運用サービス『WafCharm（ワフチャーム）』で観測したサイバー攻撃ログを集約し、分析・算出。