2026年8月は、長期休暇と複数の記念日が重なる時期です。IPA（情報処理推進機構）は7月30日に「2026年度 夏休みにおける情報セキュリティに関する注意喚起」を公表し、企業・組織に対して具体的な警戒を呼びかけています。
本レポートでは、この注意喚起の内容を軸に、直近で公表された国内インシデントから読み取れる実務上の教訓を整理します。
2026年8月の主要トレンド3選
トレンド1 — 長期休暇と記念日が重なる「時期を狙われる」1か月
IPAの注意喚起では、夏休み時期に加えて8月6日（広島原爆記念日）、8月9日（長崎原爆記念日）、8月15日（終戦記念日）、9月3日といった戦争関連の記念日前後が名指しで挙げられています。過去にこれらの時期にDDoS攻撃や情報戦・認知戦が観測された実績があるためです。あわせて、ロシア極東軍管区の機動軍事演習「VOSTOK」が8月下旬から9月にかけて実施予定である点にも言及されています。
実務上の含意はシンプルです。担当者が手薄になる時期と、攻撃側の動機が高まる時期が重なっています。休暇前に「誰が一次受けをするのか」「連絡がつかない場合に誰が判断するのか」を決めておくだけでも、初動の遅れは大きく変わります。DDoSについては、2024年末から2025年始にかけて国内企業がIoTボットネットを使った攻撃を受けた事例を参考に検討するよう促されています。攻撃手法と防御の選択肢はDDoS攻撃とは？仕組み・被害事例・企業の防御策で整理しています。
トレンド2 — ネットワーク貫通型攻撃とORB化：自組織が「加害側」になるリスク
IPAが最初に挙げているのが、インターネットに接続された機器・装置の脆弱性を悪用するネットワーク貫通型攻撃です。VPN機器、ルーター、IoT機器などネットワーク境界に置かれた装置が侵入口になります。
今回注目すべきは、被害が自組織内にとどまらない点が明示されていることです。乗っ取られた機器はORB（Operational Relay Box）＝攻撃の中継拠点として使われ、他組織への攻撃の踏み台にされる可能性があります。つまり侵入を許した時点で、自社は被害者であると同時に加害側のインフラとして機能してしまうということです。取引先や社会的信用への影響という観点では、自社データの被害額だけでは測れないリスクになります。
対策としてIPAが挙げているのが、システム構成の把握と脆弱性対策、BCP・BCM体制の整備、そしてASM（Attack Surface Management）の導入によるインターネット接続機器の把握・管理です。「そもそも自社が何を外部公開しているか把握できていない」状態では、脆弱性対策の対象すら定まりません。ASMの仕組みと脆弱性診断との違いはASMとは？攻撃面管理の仕組みと脆弱性診断との違いで解説しています。
トレンド3 — 漏えいアカウントの二次利用：奪われたアカウントが次の攻撃の起点になる
8月上旬、大手出版社である講談社が、社員のメールアカウントへの不正アクセスにより最大3,812件の個人情報（氏名や一部のメールアドレス）が流出したと公表しました。
この事案で実務上重要なのは、流出件数そのものよりもその後に起きたことです。流出したアドレスのうち553件に対して、同社社員を装ったフィッシングメールが送信されたことが確認されています。「情報が漏れた」で完結せず、奪われたアカウントが実在の取引関係を利用したなりすまし攻撃の発射台として使われたという構図です。漏えいした情報そのものより、アカウントの二次利用のほうが実害に直結した事例といえます。
受信側から見ると、実在する担当者の実在するアドレスから届くため、送信ドメイン認証だけでは弾けません。IPAの注意喚起でも、社長等をかたる詐欺メールやクラウドサービスの認証情報を狙うフィッシングメールへの警戒が挙げられています。訓練と技術的対策の組み合わせについてはフィッシングメール対策の進め方を参照してください。あわせて、自社の認証情報が既に外部へ流出していないかを継続的に確認する手段としてダークウェブ監視サービスの選び方と費用相場も整理しています。
事例に学ぶ — サプライチェーンへ波及した事業停止
7月13日、株式会社ニチレイがサイバー攻撃によるシステム障害を公表しました。8月時点で振り返る価値があるのは、「情報漏えい」ではなく「事業が止まること」の影響範囲を具体的に示した事例だからです。
公表内容および報道によれば、障害は7月13日午前6時50分ごろに確認され、冷蔵倉庫の入出庫業務と冷凍食品の出荷業務に影響が生じました。影響は同社内にとどまらず、約5,000社の取引先に波及したと報じられています。全拠点で通常稼働を再開したのは7月24日で、確認から約11日間を要したことになります。
なお、ランサムウェアによる障害であったかについては、同社は調査中としており確定していません。侵入経路についても、被害拡大の防止を理由に開示が差し控えられています。本レポートでも断定を避け、公表されている事実の範囲で扱います。
この事例から読み取れる実務的な論点は3つあります。
- 復旧に11日間かかる前提で計画が立っているか。「数日で戻る」想定のBCPは、この規模の障害では機能しません。
- 自社が止まったとき、何社に連絡が必要かを把握しているか。取引先への一斉連絡は、平時に連絡網を整備していなければ復旧作業と並行しては回りません。
- 物流・倉庫のように「止まると代替が効かない」業務が特定できているか。優先復旧の順序は、インシデント発生後に議論していては間に合いません。
初動から復旧までの体制づくりはインシデントレスポンスの進め方で解説しています。
業種別 注目すべき脅威
製造業・食品/物流
OT・倉庫管理システムが止まると出荷そのものが停止し、影響が取引先へ即座に波及します。IT系とOT系のネットワーク分離状況、および復旧優先順位の事前定義を確認してください。
金融機関
長期休暇中は不正送金・不正利用の検知から対応までのリードタイムが延びやすくなります。休暇期間中の監視体制と、エスカレーション先の実効性（連絡がついて判断できる状態か）を点検してください。
公共・重要インフラ
記念日前後のDDoSや情報戦・認知戦が想定される領域です。可用性確保の手段（CDN・DDoS対策サービス）と、広報部門を含めた対応フローの整備が要点になります。
出版・メディア・BtoBサービス
取引先が多く、社員名義のメールが日常的に外部と行き来する業種は、アカウント奪取後のなりすまし被害が拡大しやすくなります。多要素認証の適用範囲と、不審ログインの検知設定を確認してください。
今月の推奨対策チェックリスト
- VPN機器・ルーター・IoT機器のファームウェアが最新か確認する（ネットワーク貫通型攻撃の侵入口）
- 外部公開している資産の一覧を作り、把握できていない機器がないか洗い出す
- 休暇期間中の一次受け担当者と、判断者不在時のエスカレーション先を明文化する
- 連絡がつかない場合を想定し、代替連絡手段（電話・チャット等）を事前に共有する
- 取引先への一斉連絡手段が、システム停止時にも使えるか確認する（社内メールに依存していないか）
- 多要素認証の適用漏れがあるアカウントを洗い出す（特に共有アカウント・退職者アカウント）
- 自社ドメインの認証情報が外部に流出していないか確認する
- 重要業務の復旧優先順位を、部門横断で合意しておく
- バックアップからの復旧手順を、実際に試したことがあるか確認する
よくある質問
Q1. 長期休暇前に、最低限やるべきことは何ですか？
A. 「誰が一次受けをするか」と「判断者に連絡がつかないときどうするか」を決めて共有することです。技術的対策より先に、この2点が決まっていないと初動が止まります。あわせて、外部公開機器のファームウェア更新状況を休暇前に確認しておくと、休暇中に悪用される既知脆弱性のリスクを下げられます。
Q2. ORB化とは何ですか。自社にどんな不利益がありますか？
A. ORB（Operational Relay Box）とは、乗っ取られた機器が攻撃の中継拠点として使われる状態を指します。自社が侵入被害を受けるだけでなく、自社の機器から他組織への攻撃通信が発信されることになります。結果として、取引先や社会的信用への影響という、自社データの被害額では測れないリスクが生じます。
Q3. 送信ドメイン認証を設定していれば、なりすましメールは防げますか？
A. 防げない場合があります。攻撃者が正規のメールアカウントを乗っ取った場合、メールは実在するドメインの実在するアカウントから正規の経路で送信されるため、SPFやDKIMの検証は通過します。アカウント奪取そのものを防ぐ多要素認証と、不審なログインを検知する仕組みが必要になります。
Q4. 自社のような中堅企業でもASMは必要ですか？
A. 資産規模が小さくても、把握していない公開資産は生じます。検証用に立てたまま放置されたサーバー、退職者が構築した機器、クラウド上の設定変更で意図せず公開された領域などです。IPAの注意喚起でもASMによる把握・管理が推奨されています。まずは自社が何を外部公開しているかを一度棚卸しするだけでも、脆弱性対策の対象が明確になります。
まとめ
2026年8月は、長期休暇による体制の手薄さと、記念日前後という攻撃側の動機が重なる時期です。IPAの注意喚起は、ネットワーク貫通型攻撃とORB化、DDoS、詐欺メールという具体的な警戒対象を挙げています。
直近の国内事例からは、2つの傾向が読み取れます。ひとつは、漏えいが漏えいで終わらず、奪われたアカウントが次の攻撃の発射台として使われること。もうひとつは、事業停止の影響が取引先へ広く波及し、復旧に週単位の時間がかかりうることです。
いずれも、事後の技術対応だけでは吸収しきれません。休暇前のこの時期に、外部公開資産の棚卸しと、連絡・判断の体制確認を進めておくことをおすすめします。AEVUSでは、外部公開資産の把握から脆弱性診断・ペネトレーションテストまでを一貫して支援しています。
参考にした公表情報: IPA「2026年度 夏休みにおける情報セキュリティに関する注意喚起」（2026年7月30日公表）、株式会社ニチレイの公表（2026年7月13日）および関連報道、講談社の公表（2026年8月）。
