2026年7月に観測されたサイバー攻撃の傾向を、公開情報をもとに整理しました。本レポートは中堅企業の情報システム部門・セキュリティ担当者向けに、今月特に警戒すべき脅威動向と推奨対策をまとめています。AEVUSセキュリティブログでは毎月最新の攻撃トレンドをアップデートしてお届けします。
2026年7月は、身代金の暗号化よりも「データ窃取による恐喝（二重恐喝の純化）」が主流となり、攻撃の重心が「ファイルを暗号化して人質にする」から「盗んだデータの暴露をちらつかせて金銭を要求する」へと明確にシフトしました。国内でも大学・商社・製造業を狙ったランサムウェアグループの犯行声明がダークウェブ上で相次ぎ、Qilin・Stormousといったグループの活動が活発化しています。
技術面で最も注目すべきは、AIが攻撃の「速度」を圧縮している点です。脆弱性の発見から悪用までの滞留時間（dwell time）が最短4日にまで短縮され、標的の選定から横展開までを自律的に行う「エージェント型AIランサムウェア」の萌芽も報告されています。さらに、正規のクラウド認証フローを悪用するデバイスコード・フィッシングが広がり、「侵入する」のではなく「正規の資格情報でログインする」攻撃が主流化しています。以下では各トレンドの詳細と対策を解説します。
2026年7月の主要トレンド3選
トレンド1 — 暗号化なき「データ窃取型恐喝」への移行
2026年7月の恐喝型攻撃で顕著だったのは、ファイルの暗号化を伴わずデータを窃取して暴露を脅迫する手口への移行です。攻撃者にとって暗号化は「検知されやすく・復旧されやすい」工程であり、これを省略してデータ持ち出しに特化することで、より短時間・低リスクで恐喝を成立させています。海外ではNitrogenランサムウェアグループが大手製造業から約8テラバイト（1,100万ファイル超）を窃取したと主張する事例も確認されました。
国内でも2026年6月末〜7月にかけて、Qilinが学校法人（武蔵野大学）を、複数グループが商社・製造業・化粧品企業をダークウェブのリークサイトに掲載する動きが続いています。「暗号化されていないから被害は軽微」という判断は誤りであり、取引先情報・個人情報の漏洩そのものが重大な経営リスクとなる局面です。
トレンド2 — AIによる攻撃速度の圧縮とエージェント型ランサムウェアの萌芽
生成AIと自律型AIエージェントの進化は、攻撃側にも「速度」と「自動化」をもたらしています。複数の脅威インテリジェンスレポートによれば、脆弱性の公開から実際の悪用までの滞留時間が最短4日にまで短縮し、防御側のパッチ適用が攻撃に追いつかないケースが増えています。
さらに、標的の選定・初期侵入・横展開（ラテラルムーブメント）を人間の介在なしに自律実行するエージェント型（Agentic AI）ランサムウェアが、実証段階の脅威として報告され始めました。あわせて、CrowdStrikeの2026年脅威レポートでは検知の82%が「マルウェアレス（マルウェアを使わない）」であり、資格情報の悪用やLiving-off-the-Land（正規ツールの悪用）が主流化していることが示されています。従来型のマルウェア対策だけでは検知できない攻撃が多数派になりつつあります。
トレンド3 — デバイスコード・フィッシングとMFAバイパスの拡大
ID・認証を標的とした攻撃はさらに巧妙化しています。2026年7月に警戒すべきは、正規のOAuthデバイス認証フローを悪用するデバイスコード・フィッシングです。攻撃者は正規のMicrosoftやGoogleのログイン画面にユーザーを誘導し、表示されたコードを入力させることでMFAを回避してトークンを窃取します。画面自体が本物であるため、従来のフィッシング判別（不審なURL・偽サイト）では見抜きにくいのが特徴です。
加えて、Phishing-as-a-Service（PhaaS）キットの流通により、セッションハイジャック・MFA疲労攻撃・中間者型（AiTM）フィッシングが「サービス化」され、技術力の低い攻撃者でも高度な認証突破を実行できる環境が整っています。「MFAを入れているから安全」という前提は既に崩れており、フィッシング耐性のある認証方式（FIDO2/パスキー）への移行が急務です。
業種別 注目すべき脅威
金融機関
金融庁のガイドライン改訂を背景に、脅威ベースのペネトレーションテスト（TLPT）への対応が引き続き重要テーマです。7月はAiTMフィッシングによるオンラインバンキングのセッション窃取と、サードパーティ（システムベンダー）経由の侵入が警戒対象。委託先を含めたサプライチェーン全体のセキュリティ評価が求められます。
製造業
OT/IT統合環境を狙ったランサムウェアと、工場稼働停止を人質にした恐喝が継続。7月はサプライチェーン取引先を踏み台にした侵入が目立ち、共有アカウントやレガシー機器の認証情報が突破口となる事例が確認されています。OTネットワークの可視化とセグメンテーションが鍵です。
医療・ヘルスケア
診療停止に直結するため身代金を支払いやすいとみなされ、標的化が続いています。電子カルテ・医療機器の脆弱性に加え、データ窃取型恐喝により患者の機微情報漏洩リスクが高まっています。オフライン・イミュータブルバックアップと復旧計画（BCP）の実効性確認が不可欠です。
大学・研究機関
2026年6〜7月は国内の大学（武蔵野大学・九州大学など）が相次いでランサムウェア被害を公表しました。研究室単位で管理される端末やオープンなネットワーク構成が狙われやすく、資産管理の徹底とエンドポイント保護の網羅的展開が課題です。
今月の推奨対策チェックリスト
- データ窃取を前提とした恐喝対策の見直し：「暗号化されなければ被害は軽微」という前提を捨て、データ持ち出し（データ流出）を検知・抑止する対策（DLP、外部通信の監視、重要データへのアクセス制御）を優先的に強化してください。
- フィッシング耐性MFA（FIDO2/パスキー）への移行加速：デバイスコード・フィッシングやAiTM攻撃はSMS・アプリ承認型MFAを突破します。管理者・特権アカウントから優先的にフィッシング耐性認証へ移行してください。
- デバイスコード認証フローの制限：Entra ID等でデバイスコードフロー（device code flow）を業務上不要な範囲で条件付きアクセスにより制限し、悪用経路を塞いでください。
- 脆弱性のパッチ適用SLAの短縮：悪用までの滞留時間が最短4日に短縮している現状を踏まえ、重大脆弱性（特にVPN・境界機器・公開サーバー）のパッチ適用SLAを見直し、緊急対応プロセスを整備してください。
- マルウェアレス攻撃への備え（振る舞い検知・ID脅威検知）：検知の8割がマルウェアレスである現状に対し、EDRに加えて資格情報の異常利用・ラテラルムーブメントを捉えるID脅威検知（ITDR）や振る舞いベースの監視を導入してください。
- バックアップの3-2-1-1ルール遵守と復旧テスト：3コピー・2媒体・1オフサイト・1オフライン（またはイミュータブル）のバックアップ体制を維持し、定期的な復旧テストで実効性を確認してください。
- サプライチェーン・委託先のセキュリティ評価：侵入経路として委託先・取引先の悪用が続いています。重要な取引先へのセキュリティ調査票の送付やISO 27001認証状況の確認を定期的に実施してください。
まとめ
2026年7月のサイバー脅威動向を振り返ると、「暗号化から純粋なデータ窃取恐喝へ」「AIによる攻撃速度の圧縮」「正規フローを悪用するID侵害」という3つの軸が鮮明になりました。攻撃者はもはや「侵入する」のではなく「正規の資格情報でログインする」段階に達しており、エンドポイントのマルウェア対策だけでは検知・阻止が困難な多層的な手口を組み合わせています。技術的対策と組織的プロセスの両面から、ID・データ・サプライチェーンを軸にした防御体制の再点検が求められます。
AEVUSのセキュリティ支援サービス
AEVUSでは、本レポートで取り上げた脅威に対応するため、ペネトレーションテスト・脆弱性診断・攻撃面管理（ASM）・セキュリティコンサルティングなどのサービスを提供しています。「自社の防御が最新の攻撃手口に耐えられるか確認したい」「どこから手を付けるべきか相談したい」といったご要望がございましたら、お気軽にお問い合わせください。専門家が貴社の状況に応じた実践的な対策をご提案します。
