【2026年5月版】サイバー攻撃トレンドレポート｜AI悪用フィッシング・多重恐喝・サプライチェーン侵害

2026年5月に観測されたサイバー攻撃の傾向を、公開情報をもとに整理しました。本レポートは中堅企業の情報システム部門・セキュリティ担当者向けに、今月特に警戒すべき脅威動向と推奨対策をまとめています。AEVUSセキュリティブログでは毎月最新の攻撃トレンドをアップデートしてお届けします。

1. 2026年5月の主要トレンド3選

トレンド1：生成AIを悪用した精巧なフィッシング攻撃の継続増加

ChatGPTやその他LLMを悪用した日本語フィッシングメールが業界を問わず継続的に観測されています。従来の「不自然な日本語」という見分けポイントが通用しなくなり、文面・差出人名・タイミングのいずれもが自然な攻撃が主流となりました。

トレンド2：ランサムウェアの「二重恐喝」から「四重恐喝」への進化

暗号化＋データ公開の二重恐喝に加え、DDoS攻撃や取引先・顧客への直接通知を組み合わせる多重恐喝型攻撃の事例報告が増えています。バックアップ復旧で対応可能な範囲を超えるため、データ漏洩対策とインシデント対応コミュニケーション計画が重要です。

トレンド3：サプライチェーン経由の侵害が拡大

自社の防御は堅牢でも、委託先・SaaSベンダー・OSSライブラリ経由で侵害される事例が続発。Log4Shell型の脆弱性公表時に「自社が影響を受けるか」を即答できる体制が求められます。

2. 業界別に注目すべき脅威

3. 今月確認された脆弱性ハイライト

5月にCVE登録された主要脆弱性のうち、業務影響が大きいと考えられるカテゴリは以下のとおりです（実際のCVE番号はJPCERT/CC等の公式情報をご確認ください）。

• VPN・リモートアクセス機器の認証バイパス系
• 主要CMSのプラグイン経由のRCE
• クラウドサービスの設定不備に起因する情報漏洩
• サプライチェーン経由（CI/CDツール・OSSライブラリ）の侵害

4. 今月チェックすべき5つのアクション

1. 従業員へのフィッシング再注意喚起：AI生成型の精巧な攻撃事例を共有し、URLクリック前の指差し確認を徹底
2. VPN/リモートアクセス機器のパッチ状況確認：境界機器の脆弱性は侵入の起点になりやすい
3. バックアップのリストア訓練実施：ランサムウェア被害時の復旧時間を計測
4. 委託先のセキュリティ状態確認：契約上のSBOM提出・脆弱性管理体制の確認
5. インシデント対応プロセスの机上演習：四重恐喝型攻撃を想定したコミュニケーション訓練

5. AEVUSの推奨アプローチ

毎月の脅威レポートを読むだけでは「自社が大丈夫か」は判断できません。AEVUSでは以下の3ステップを推奨しています。

1. 現状診断：脆弱性診断・ペネトレーションテストで実際の侵入可能性を確認
2. 侵害シミュレーション（BAS）：最新の攻撃手法に対する自社防御の有効性を継続検証
3. 改善ロードマップ策定：診断結果をもとに優先度付き改善計画を立案

本レポートは毎月更新します。最新の脅威動向を継続的に把握したい方は、AEVUSセキュリティブログをブックマークしてください。次回は2026年6月版を公開予定です。

本記事の内容は公開情報に基づく一般的な傾向分析です。具体的なインシデント・CVE番号については各CSIRT・ベンダーの公式発表をご確認ください。