脅威アクター（Threat Actor）の種類とは？攻撃者の動機・能力・タイプを分類してセキュリティ対策に活かす基礎ガイド

「サイバー攻撃」とひとまとめにされがちですが、実際にはランサムウェアを展開する犯罪組織と、機密情報を静かに盗む国家支援型グループでは、目的も手口もまったく異なります。誰が、なぜ、どんな能力で自社を狙ってくるのかを把握しないまま対策を立てると、お金も時間も的外れな場所に使ってしまいがちです。

この記事では、セキュリティの現場で使われる「脅威アクター」という概念を解説しながら、主な種類・動機・特徴と、それぞれに応じた防御の考え方を現場で使えるレベルで紹介します。中小企業の情シス担当者が「自社は誰に狙われやすいか」を整理し、優先度の高い対策を選ぶための基礎知識として役立てていただけます。

脅威アクター（Threat Actor）とは？

脅威アクター（Threat Actor）とは、情報システムや組織に対して悪意ある行為を行う可能性がある人物や組織の総称です。日本語では「攻撃者」「脅威主体」とも呼ばれます。

セキュリティ対策を考えるとき、単に「攻撃が来るかもしれない」と思うだけでは対策が漠然としてしまいます。「誰が」「なぜ」「どんな手口で」狙ってくるのかを理解することで、はじめて優先度の高い対策が見えてきます。

脅威アクターを分析する際は、一般的に次の3軸で整理します。

・動機（Motivation）: 金銭目的、政治目的、破壊行為、スパイ活動など
・能力（Capability）: ゼロデイ脆弱性を悪用できる高度な技術力から、既存ツールを使うだけの入門レベルまで幅がある
・対象（Target）: 無差別に大量の組織を狙うか、特定の業種・組織を絞って狙うか

この3軸を押さえると、「自社はどの脅威アクターに対して備えるべきか」という問いに答えやすくなります。

脅威アクターの主な5つの種類（敵を知る）

1. 国家支援型攻撃者（Nation-State Actor）

国家や政府機関の資金・指示のもとで活動する攻撃グループです。APT（Advanced Persistent Threat）とも呼ばれ、長期間にわたって特定のターゲットに潜伏し、機密情報の窃取や重要インフラの破壊を狙います。

・動機: 情報収集（スパイ活動）、外交的優位、インフラ妨害
・能力: 非常に高い。未知のゼロデイ脆弱性を使い、検知を回避する高度な技術を持つ
・主なターゲット: 政府機関、防衛産業、エネルギー・金融インフラ、先端技術企業

中小企業が直接の標的になるケースは多くありませんが、取引先である大企業や政府機関への「踏み台」として悪用されるリスクがあります。サプライチェーン攻撃を通じて間接的に関与させられるパターンが特に注意が必要です。

2. サイバー犯罪者（Cybercriminal）

金銭的な利益を目的に活動する個人やグループです。ランサムウェアの展開、フィッシング詐欺、クレジットカード情報の窃取・売買など、幅広い手口で収益を上げています。近年はRaaS（Ransomware as a Service）によってサービス化が進み、技術力が低い者でも高度な攻撃を実行できるようになっています。

・動機: 金銭
・能力: 低～高まで幅広い。既製のツールやサービスを利用するケースも多い
・主なターゲット: 金融機関、医療機関、中小企業など「払える能力がある」と見なされた組織、無差別標的

中小企業にとって最も現実的な脅威の一つです。多要素認証（MFA）の全面適用・定期バックアップ・EDR導入といった基本対策が直接効きます。

3. ハクティビスト（Hacktivist）

政治的・社会的なメッセージを発信するために攻撃を行うグループです。「ハッキング」と「アクティビズム（社会運動）」を組み合わせた造語で、Webサイトの改ざんや、DDoS攻撃による業務妨害が典型的な手口です。

・動機: 政治的・社会的主張、抗議活動
・能力: 低～中程度。高度な技術よりも「注目を集める」ことを優先する
・主なターゲット: 特定の政策・企業・国家に関わる組織

Webサービスを公開している企業や、政治的に注目されやすい業界（エネルギー、メディア、防衛関連など）が狙われやすい傾向があります。WAFの導入やDDoS対策サービスの検討が有効です。

4. 内部不正者（Insider Threat）

現従業員、元従業員、業務委託先など、組織の内部に正規のアクセス権を持つ人物による脅威です。外部からの攻撃と異なり、すでに内部にいるため検知が難しいのが特徴です。意図的な情報持ち出しだけでなく、過失による設定ミスや不注意なメール送信も含まれます。

・動機: 金銭、不満、競合他社への転職・転売、過失（不注意）
・能力: 技術力よりも「正規アクセス権」が脅威の源泉
・主なターゲット: 顧客情報、設計図・ソースコード、財務情報

インサイダー脅威への対策は、最小権限の原則の徹底、アクセスログの監視、退職時の権限即時無効化が基本となります。人数が少ない組織ほど一人に広い権限が集中しやすく、むしろリスクが高まる点に注意が必要です。

5. スクリプトキディ（Script Kiddie）

自分でツールや脆弱性を開発するスキルはなく、公開されている既製のツールやExploitをそのまま使って攻撃を行う人物です。技術的な理解は浅く、目立つことや自己顕示欲が動機であることが多いです。

・動機: 自己顕示欲、好奇心、いたずら
・能力: 低い。ただし既存のツールを無差別に使うため、パッチ未適用のシステムは量を問わず狙われやすい
・主なターゲット: 無差別（脆弱なシステムを自動スキャンして攻撃）

技術力は低くても、自動化されたツールを使った無差別攻撃は量が多いため、定期的なパッチ管理とファイアウォール設定だけで大半の攻撃を弾くことができます。

5種類の脅威アクターをまとめて比較する

種類	主な動機	技術能力	対象の特徴
国家支援型	スパイ・インフラ破壊	非常に高い	政府・重要インフラ・先端企業
サイバー犯罪者	金銭	低～高（幅広い）	金融・医療・中小企業（無差別含む）
ハクティビスト	政治・社会的主張	低～中	政治的関連組織・公開Webサービス
内部不正者	金銭・不満・過失	技術力より権限	自社の顧客情報・機密データ
スクリプトキディ	自己顕示・好奇心	低い	パッチ未適用の無防備なシステム

具体的な防御手順：脅威アクター別に対策を設計する

1. まず「自社はどの脅威アクターに狙われやすいか」を整理する

対策を立てる前に、セキュリティリスクアセスメントの一環として自社の状況を確認します。

・業種・取り扱い情報: 医療・金融・防衛関連なら国家支援型やサイバー犯罪者が狙いやすい。個人情報を大量保有しているなら犯罪組織の標的になりやすい
・公開サービスの有無: Webサイトを公開していれば、スクリプトキディやハクティビストによる無差別攻撃やDDoSリスクがある
・サプライチェーン上の位置: 大企業・政府機関の取引先であれば、踏み台として国家支援型に狙われるリスクがある
・従業員規模・離職率: 内部不正リスクの評価では、アクセス権管理の厳密さが重要な指標になる

2. 脅威アクターごとの優先対策を実施する

・サイバー犯罪者対策（最優先）: 多要素認証（MFA）の全アカウント適用・定期バックアップ（3-2-1ルール）・EDR導入・パッチ管理の月次実施
・スクリプトキディ対策（基本）: ファイアウォール設定・不要なポートの閉鎖・OSとソフトウェアの常時最新化
・内部不正者対策: 最小権限の原則の徹底・退職時アカウントの即時無効化・アクセスログの定期確認
・ハクティビスト対策: WAF導入・DDoS対策サービスの検討・Webサイト改ざん検知の仕組みを用意する
・国家支援型への備え: 直接対策は大企業・政府機関が中心だが、基本的な多層防御とEDRログ監視が被害軽減につながる

3. 脅威インテリジェンスで「今、誰が動いているか」を把握する

脅威インテリジェンスを活用することで、自社業種で実際に活動している脅威アクターのTTP（戦術・技術・手順）を把握し、より的を絞った対策が可能になります。IPAの「情報セキュリティ10大脅威」やJPCERTの注意喚起も定期的に確認するとよいでしょう。

中小企業でも今日からできること

脅威アクターの全種類に同時に完璧な備えをするのは現実的ではありません。リソースが限られる中小企業では、次の順序で着手することをおすすめします。

・ステップ1（今週）: 全アカウントにMFAを設定する。メールと業務システムから優先して適用する
・ステップ2（今月）: OSとソフトウェアのパッチ適用状況を確認し、未適用のものを当てる
・ステップ3（3か月以内）: バックアップ体制を3-2-1ルールで整備し、ランサムウェア被害からの復旧を想定した訓練を行う
・ステップ4（継続）: 退職者のアカウント管理手順を整備し、アクセスログを月次で確認するルーティンを作る

この4ステップをこなすだけで、中小企業が直面する脅威の大半（サイバー犯罪者・スクリプトキディ・内部不正者）への対策が大きく前進します。

よくある誤解と注意点

「中小企業は狙われない」は誤り
よくある考え方に「うちは小さいから攻撃者に狙われない」というものがあります。実際には、スクリプトキディやサイバー犯罪者は自動化ツールで無差別に脆弱なシステムを探索するため、企業規模は関係ありません。むしろセキュリティ対策が手薄な中小企業が狙われやすい傾向があります。

「内部不正は大企業だけの問題」も誤り
一般的には少人数の組織でも、取引先から預かった個人情報の持ち出しや、退職者によるシステムへの不正アクセスは発生します。人数が少ないほど一人の権限が広くなりやすく、むしろ内部不正リスクが高まる側面があります。

分類は固定的ではない
同じグループでも、状況によって動機や行動パターンが変化することがあります。金銭目的だった犯罪組織が、依頼を受けてスパイ活動を行うケースも一般的に報告されています。脅威アクターの分類はあくまで出発点であり、最新の情報を継続的に参照することが重要です。

本記事のまとめ

ポイント	内容
脅威アクターとは	悪意ある行為を行う人物・組織の総称。動機・能力・対象で分類する
国家支援型	高度技術・長期潜伏型。重要インフラ・先端産業が主標的。中小企業は踏み台リスクに注意
サイバー犯罪者	金銭目的で最も身近な脅威。RaaSで参入障壁が低下。MFA・バックアップ・EDRが基本対策
ハクティビスト	政治的主張が目的。Web改ざん・DDoSが典型。公開サービスを持つ企業は要注意
内部不正者	正規アクセス権を持つ内部の脅威。最小権限・ログ監視・退職時対応が基本
スクリプトキディ	技術力は低いが量が多い。基本的なパッチ管理で大半を防げる
中小企業のアクション	MFA・バックアップ・パッチ管理・アクセスログ確認の4ステップを優先する