ゼロデイ攻撃とは?仕組み・被害事例・自分でできる対策をやさしく解説

ニュースで「ゼロデイ攻撃で大手企業から個人情報が流出」という話を見て、

「そもそもゼロデイ攻撃って何?」 「自分の会社や個人のPCも狙われるの?」 「対策って何をすればいいの?」

と気になっている方も多いと思います。

ゼロデイ攻撃は、IT専門用語の中でも特にニュースで頻繁に登場する言葉ですが、

仕組みを理解していると「なぜ怖いのか」「どう対策すればいいのか」がはっきり見えてきます。

この記事では、IT初心者の方に向けて、ゼロデイ攻撃の仕組みから被害事例、自分でできる対策まで、やさしく整理していきます。専門用語が出てくるところは、できるだけ身近なたとえ話に置き換えて説明していくので、安心して読み進めてください。

ゼロデイ攻撃とは「修正パッチが配布される前」を狙うサイバー攻撃

ゼロデイ攻撃とは、ソフトウェアやOSの脆弱性(セキュリティの欠陥)が見つかってから、修正プログラムが配布されるまでの「無防備な期間」を狙ったサイバー攻撃のことです。

「ゼロデイ(zero-day)」という名前は、修正パッチが配布される日を「1日目」と数えたとき、それより前=「0日目」に攻撃が行われることに由来しています。

つまり、開発元すら対応できていないタイミングを狙う攻撃なので、防ぐのが極めて難しいという特徴があります。

ミニコラム
ゼロデイ攻撃は、英語では「Zero-day Attack」または「0-day Attack」などと書きます。
また、脆弱性自体は「Zero-day vulnerability」、悪用する手法は「Zero-day exploit」と呼ばれます。

身近なたとえ話で考えてみる

家のドアに、まだ誰も気づいていない「鍵をかけても開いてしまう欠陥」があったとします。

住人(ソフトウェアの開発元)はその欠陥に気づいていないので、対策のしようがありません。

ところが泥棒(攻撃者)が先にその欠陥を見つけてしまった場合、住人が気づくまでの間、自由に出入りされてしまいます。

これがゼロデイ攻撃のイメージです。

住人(開発元)が欠陥に気づいて鍵を交換する(修正パッチを配布する)までの「無防備な時間」が、攻撃者にとっての絶好のチャンスになるわけです。

なぜゼロデイ攻撃は防ぎにくいのか

通常のサイバー攻撃なら、ウイルス対策ソフトやファイアウォールなどのセキュリティ対策で、ある程度防ぐことができます。しかしゼロデイ攻撃には、こうした標準的な対策が効きにくい特徴があります。

修正パッチが存在しないから対処できない

ウイルス対策ソフトは、過去に発見されたウイルスや攻撃パターンを「データベース」に登録しておき、それと一致するものを検出する仕組みになっています。しかしゼロデイ攻撃で使われる脆弱性は、まだ誰も知らない「未知のもの」なので、データベースに情報がありません。

つまり、セキュリティ対策ソフトをきちんと導入していても、ゼロデイ攻撃は素通りで通り抜けてしまう可能性があるということです。

被害が拡大しやすい

ゼロデイ攻撃を受けた場合、被害に気づくまで時間がかかるケースが多くあります。攻撃者は気づかれないように、こっそり情報を盗んだり、社内ネットワークに侵入したりするためです。

気づいたときには、すでに大量の個人情報が外部に流出していたり、社内システム全体が暗号化されていたり、といった深刻な状況になっていることも珍しくありません。

実際に起きたゼロデイ攻撃の被害事例

ここで、近年実際に起きたゼロデイ攻撃の事例をいくつか紹介します。「他人事ではない」ということが伝わるはずです。

2025年4月:大手メールサービスから約31万アカウントの情報漏洩の可能性

国内大手のメールサービスを提供する企業で不正アクセスが発生し、586契約・約31万アカウント分の情報が漏洩した可能性があると公表されました。

原因は、メールサービスのオプション機能として使われていたソフトウェアに存在した未知の脆弱性。攻撃当時、ソフトウェアの開発元すら把握していなかったため、典型的なゼロデイ攻撃のケースとされました。

2025年3月:量子科学技術研究開発機構へのゼロデイ攻撃

国の研究機関である量子科学技術研究開発機構(QST)でも、ゼロデイ攻撃による不正アクセスが発生していたことが公表されました。リモートアクセス機器に存在した未知の脆弱性が悪用され、2024年12月にはすでに不正アクセスの痕跡があったとされています。

このケースで注目すべきは、外部のセキュリティ機関から脆弱性情報の連絡を受けて、初めて自社で攻撃を受けていたことに気づいた点です。それほどゼロデイ攻撃は「気づきにくい」ということです。

2025年:Oracle ERPシステムの脆弱性悪用で複数企業が被害

企業向けの基幹システムとして広く使われているOracleのERP製品で見つかったゼロデイ脆弱性が悪用され、複数の企業が侵害されました。攻撃者グループは「データを盗んで公開する」という二重恐喝の手法を使い、被害企業に金銭を要求しました。

Google発表:2025年に確認されたゼロデイ攻撃は世界で90件

Googleの脅威分析グループ(GTIG)が2026年3月に発表したレポートによると、2025年に実際に悪用が確認されたゼロデイ脆弱性は世界で90件に上りました。これは2024年の78件を上回り、過去最多レベルの2023年(100件)に迫る数字です。

注目すべきは、2025年は企業向け製品がゼロデイ攻撃の48%を占め、過去最高比率となったこと。つまり攻撃者は、個人ユーザーよりも企業のシステムを狙う傾向が強まっています。

ゼロデイ攻撃の対象になりやすいソフトウェア

ゼロデイ攻撃は、多くの企業や人が使っているソフトウェアほど狙われやすい傾向があります。一度脆弱性が見つかれば、一気に多数のターゲットに攻撃を仕掛けられるからです。

具体的には、以下のようなソフトウェアが標的になりやすいです。

• WindowsやmacOSなどのOS
• Microsoft Office(Word・Excel・PowerPoint)
• Webブラウザ(Chrome、Edge、Safariなど)
• Adobe製品(Acrobat、Photoshopなど)
• 業務用ファイアウォール・VPN製品
• メールサーバ・メールソフト
• 企業向けERPシステム
• 圧縮・解凍ソフト(WinRARなど)

要するに、「みんなが普段使っているもの」ほどゼロデイ攻撃の対象になります。これは個人にとっても、企業にとっても他人事ではありません。

一般の会社員でもできるゼロデイ攻撃対策

「ゼロデイ攻撃は防ぎにくい」と聞くと、対策しても無駄なのでは…と感じるかもしれません。でも、被害リスクを大きく下げる方法はちゃんとあります。一般の会社員でもすぐに実践できるものを中心に紹介します。

OSとソフトウェアを常に最新版に保つ

最も基本的かつ効果的な対策がこれです。

ゼロデイ攻撃そのものを防ぐことはできなくても、開発元が修正パッチをリリースしたタイミングで、すぐに適用すれば、「公開済みの脆弱性を悪用するNデイ攻撃」を防ぐことができます。

Nデイ攻撃とは、修正パッチが公開された後、それをまだ適用していないユーザーを狙う攻撃のこと。実はゼロデイ攻撃よりも、こちらの方が圧倒的に被害件数が多いのが現実です。

WindowsならWindows Updateを定期的に実行する、ブラウザは自動更新をONにしておく、など基本動作を徹底するだけで、被害リスクは大きく下がります。

不審なメールやファイルを開かない

ゼロデイ攻撃の入り口として最も多いのが、不審なメールに添付されたファイルや、URLリンクです。

• 知らない送信者からの添付ファイル
• 「至急ご確認ください」などの煽り文句がある不自然なメール
• 取引先を装った請求書・見積書のメール
• 公式に見えるが、よく見るとドメインが怪しいリンク

こういったメールは、開く前に必ず立ち止まって考えるようにしましょう。社内のIT部門に確認してから対応する習慣をつけるだけで、相当数の攻撃を未然に防げます。

セキュリティソフトを導入し、常に有効化しておく

ゼロデイ攻撃そのものは防ぎにくいものの、最新のセキュリティソフトには「振る舞い検知」と呼ばれる機能があり、未知の脅威でも怪しい動きを検出できる場合があります。

会社支給のPCなら、IT部門が指定したセキュリティ対策が有効化されているか確認しておきましょう。個人PCでも、信頼できるセキュリティソフトを必ず導入しておくことが重要です。

多要素認証(MFA)を設定する

仮にパスワードが盗まれても、スマホでの確認コードや指紋認証など、もう一段階の認証があれば不正ログインを防げます。

特に業務で使うアカウント(Microsoft 365、Google Workspace、社内システムなど)では、多要素認証は必ず有効にしておきましょう。

バックアップを定期的に取る

ゼロデイ攻撃でランサムウェア(身代金要求型ウイルス)に感染すると、ファイルが勝手に暗号化されて使えなくなります。この場合、バックアップがあれば復旧できますが、なければ業務に大きな支障が出ます。

クラウドストレージや外付けHDDへのバックアップを、定期的に取る習慣をつけましょう。

企業として取り組むべき追加対策

会社員個人だけでなく、企業全体でも対策が必要です。職場のIT担当者と連携して、以下のような対策が取られているか確認してみてください。

• ファイアウォール・侵入検知システム(IDS/IPS)の導入
• EDR(Endpoint Detection and Response)による継続的な監視
• 社員向けのセキュリティ教育・標的型攻撃メール訓練
• インシデント発生時の対応体制(CSIRT)の整備
• ネットワークの分離(被害が出ても拡大しないよう、重要システムを隔離する)
• 定期的な脆弱性診断・ペネトレーションテスト

これらは中小企業にとっては負担が大きい部分もありますが、「自社が標的になったらどうするか」を平時から考えておくことが、いざというときの被害を最小化します。

「自分は関係ない」と思っている人ほど狙われる

最後に、ゼロデイ攻撃の本質的な怖さをお伝えしておきます。

「うちは大企業じゃないから関係ない」「自分は重要なデータを扱ってないから大丈夫」と考えている方は要注意です。ゼロデイ攻撃の標的型は大企業や政府機関が中心ですが、もう一つの「ばらまき型」と呼ばれる攻撃は、不特定多数を一気に狙う形で行われます。

そして、攻撃者は最初から個人を狙っているわけではなく、「個人のPCを足がかりにして、その人の所属する会社の社内ネットワークに侵入する」というステップを踏むことも珍しくありません。

つまり、自分1人の油断が、所属する会社全体への被害につながる可能性があるということです。

まとめ

ゼロデイ攻撃について、ここまで整理した内容を振り返ります。

• ゼロデイ攻撃とは、修正パッチが配布される前の脆弱性を狙ったサイバー攻撃
• 開発元すら対応できていないタイミングを狙うため、防ぐのが極めて難しい
• 2025年は世界で90件の悪用が確認され、企業向け製品が48%を占める過去最高比率
• 国内でも大手メールサービスや研究機関で被害事例が発生している
• 完全に防ぐのは難しいが、「OS・ソフトの最新化」「不審メールを開かない」「多要素認証」「バックアップ」など基本対策で被害リスクは大きく下げられる
• 「自分は関係ない」という油断が、所属組織への被害につながることも

サイバー攻撃は年々巧妙化しており、ゼロデイ攻撃の件数も高止まりしています。「特別な対策」よりも、日常的な基本対策をきちんと続けることが、結局は最も効果的です。

明日からまず、Windows Updateや使っているソフトの自動更新がONになっているかを確認するところから始めてみてください。それだけで、被害リスクは確実に下がります。