IPA中小企業ASM診断が明かした実態：調査した126社「全社で脆弱性を検知」という現実

「うちの会社、外からどんな脆弱性が見えているのか全然分からない……」
「ASMって聞いたことあるけど、中小企業には関係ない話なんじゃないでしゅか？」

チップス

ボス、IPAがASM診断の報告書を出したって聞いたんでしゅけど、中小企業を診断したら全社で脆弱性が見つかったって本当でしゅか！？

ボス

本当だ。126社を診断して、全社で脆弱性が検知された。「うちは大丈夫」なんて思っている会社が、実は外から筒抜けになっているケースがほとんどだったということだ。

「自社のセキュリティに問題はない」と思っていても、外部から見ると意外な脆弱性が露出していることがあります。
IPAが2026年3月27日に公開したASM（Attack Surface Management）診断の報告書は、中小企業のセキュリティの実態を数字で明確に示しています。
この記事では、報告書の主な内容と、今日から取り組める対策を解説します。

自社の「外から見える姿」を把握することが、サプライチェーン攻撃への防御の第一歩です。

ASM診断で中小企業126社「全社で脆弱性を検知」という現実

IPAがサプライチェーン攻撃の増加を背景に実施したこのASM診断では、中小企業の実態が数字となって浮かび上がりました。

外部から見える攻撃対象領域（アタックサーフェス）とは何か

ASM（Attack Surface Management）とは、攻撃者の視点から自社のIT資産を可視化し、外部から悪用可能な脆弱性を継続的に管理する取り組みです。
従来のセキュリティ対策が「内側を守る」ものだとすれば、ASMは「外から見える穴を先に塞ぐ」考え方です。
IPAが実施した診断では、中小企業が気づいていない公開サーバーや古いソフトウェア、インターネット上に流出した認証情報などが対象となりました（IPA ASM診断報告書）。

診断で検知された脆弱性の主な種類は以下の通りです。

「担当者が把握していない」システムや設定ミスが、攻撃者の侵入口になっているケースが多数確認されました。
診断した126社すべてで脆弱性が検知されたという事実は、中小企業のセキュリティ管理に広く潜む死角を示しています。

事例集が示す被害の手口と取り組みのヒント

報告書に収録された30の事例には、実際の被害状況と効果的な取り組みが整理されています。

漏洩した認証情報が起点となる攻撃の典型例

チップス

なんか診断してみると、知らないうちに自分の会社の情報が外に漏れてることがあるんでしゅか……怖いでしゅ。

ボス

ダークウェブやパスワードリスト上に業務用メールアドレスとパスワードが流出しているケースは珍しくない。そこから不正ログインや標的型メールが始まる。把握していないから怖いんだ。

報告書に収録された被害事例では、「流出した認証情報を使った不正ログイン」が起点となる攻撃パターンが繰り返し確認されています。
特に中小企業では、同じパスワードを複数サービスで使い回すケースが多く、ひとつの情報漏洩が連鎖的な被害につながります。
また、リスクスコアや想定被害額が定量的に示されていることで、経営層への予算確保の説明資料としても活用できる構成です。

ASM診断の結果を受けて効果的だった取り組みの代表例です。

事例集は自社だけの問題把握にとどまらず、「他社の被害から学ぶ」という形で社内啓発にも活用できます。
経営層が実感を持てる具体的な数字と事例が揃っている点が、この報告書の大きな価値です。

まとめ：「見えていない脆弱性」を可視化することから始めよう

IPAのASM診断報告書は、「うちは大丈夫」という思い込みがいかに危険かを126社のデータで示しています。
外部から見える脆弱性を定期的に把握し、古いシステムや不要な公開設定を排除することが、サプライチェーン攻撃への最初の防壁となります。
報告書に収録された事例集は無料で公開されているため、まずは自社の現状確認のきっかけとして活用しましょう。

ボス

「知らない脆弱性」が一番危ない。攻撃者は知っていて、あなたが知らないという状態を狙っている。まず自社の外側を見ることだ。

チップス

自社のアタックサーフェスを把握するって、なんか探偵みたいでちょっとわくわくするでしゅ！早速うちの会社でも確認してみますっす！