●結論
サイバー攻撃には、フィッシング攻撃やランサムウェア、DDoS攻撃、SQLインジェクション、ゼロデイ攻撃など、さまざまな種類があります。それぞれ攻撃の目的や仕組み、悪用する弱点が異なります。代表的な攻撃手法を分類し、特徴や専門用語の違いを理解することで、サイバーセキュリティの基礎から高度な技術まで体系的に学べます。

●この記事でわかること
– サイバー攻撃の代表的な種類と、それぞれの特徴
– 人・認証情報・マルウェア・Webサイト・ネットワークを狙う攻撃の違い
– ゼロデイ攻撃、APT、ファイルレス攻撃など高度な手法の仕組み
– 脆弱性、エクスプロイト、権限昇格、横展開などの専門用語
– 生成AIがサイバー攻撃に利用されるケースと、AI時代の脅威

サイバー攻撃と聞くと、コンピューターに侵入して情報を盗むハッカーをイメージする人も多いのではないでしょうか。

しかし、サイバー攻撃には、偽メールでパスワードを盗む手法、Webサイトのプログラムの弱点を悪用する手法、ネットワークに大量の通信を送りサービスを停止させる手法など、さまざまな種類があります。

さらに、企業のシステムに侵入した後、別の端末へ攻撃を広げたり、長期間にわたって情報を盗み続けたりする高度な手法も存在します。

この記事では、代表的なサイバー攻撃を分類し、それぞれの仕組みや特徴、混同しやすい専門用語の違いまで解説します。基本的な攻撃から高度な技術まで、サイバーセキュリティの知識を体系的に整理していきましょう。

サイバー攻撃の種類一覧

サイバー攻撃には、人をだまして情報を盗むもの、システムの弱点を悪用するもの、コンピューターやネットワークを停止させるものなど、さまざまな種類があります。まずは、代表的な攻撃手法とその特徴を一覧で確認しましょう。

分類：人を狙う攻撃

分類：マルウェア関連の攻撃

分類：認証情報・アカウントを狙う攻撃

分類：Webサイト・アプリケーションへの攻撃

分類：ネットワーク・通信への攻撃

分類：高度な攻撃・組織を狙う攻撃

分類：AIを悪用する攻撃

人の心理や判断を狙うサイバー攻撃

サイバー攻撃は、必ずしも高度なプログラミング技術を使ってコンピューターへ侵入するものばかりではありません。人をだましたり、判断を急がせたりして、情報やアクセス権を得ようとする攻撃もあります。

フィッシング攻撃

フィッシング攻撃とは、実在する企業やサービスを装ったメール、SMS、Webサイトなどを使い、パスワードやクレジットカード情報などをだまし取る手法です。

例えば、銀行や通販サイトを装ったメッセージで「アカウントに問題が発生しました」と伝え、偽のログインページへ誘導するケースがあります。

利用者が本物だと思って情報を入力すると、その情報が攻撃者に渡ってしまいます。

スピアフィッシング

スピアフィッシングは、不特定多数ではなく、特定の人物や組織を狙うフィッシング攻撃です。

標的の所属先や業務内容、取引先などに関する情報を利用し、本人に関係があるように見えるメールを作成します。

一般的なフィッシングよりも標的に合わせて内容を調整する点が特徴です。

ビジネスメール詐欺（BEC）

ビジネスメール詐欺は、取引先や経営者、担当者などになりすまし、偽の振込先への送金や機密情報の送信を促す手法です。

実在するメールアカウントの乗っ取りや、巧妙ななりすましが利用される場合があります。メールの文章が自然であっても、送信者や依頼内容が本物とは限りません。

ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、人の心理や行動、確認不足などを利用して、パスワードや機密情報を入手する手法です。

電話でシステム管理者を装ったり、関係者になりすまして情報を聞き出したりする行為が該当します。

フィッシング攻撃は、ソーシャルエンジニアリングを利用する攻撃の一例です。ただし、ソーシャルエンジニアリングにはメール以外の手段も含まれます。

水飲み場型攻撃

水飲み場型攻撃は、標的となる人物や組織がよく利用するWebサイトを侵害し、そこを訪れた利用者を攻撃する手法です。

動物が水場に集まる習性になぞらえた名称で、標的が訪問する可能性の高いサイトを足掛かりにする点が特徴です。

マルウェアを使ったサイバー攻撃

マルウェアとは、情報の窃取、システムの破壊、不正操作などを目的とした悪意あるソフトウェアの総称です。

ウイルス、ワーム、トロイの木馬、ランサムウェアなどは、マルウェアに関連する代表的な用語です。ただし、それぞれは同じ意味ではありません。

ランサムウェア攻撃

ランサムウェアは、データを暗号化するなどして利用できない状態にし、復旧と引き換えに金銭を要求するマルウェア、またはそれを使った攻撃を指します。

近年は、データを暗号化するだけでなく、先に情報を盗み出し、公開すると脅迫する手法も知られています。バックアップが存在していても、情報漏えいや事業停止などの被害が発生する可能性があります。

トロイの木馬

トロイの木馬は、正規のソフトウェアや便利なファイルなどに見せかけ、利用者に実行させることなどによって侵入するマルウェアです。

名称は、ギリシャ神話の「トロイの木馬」に由来します。

一般的な意味でのトロイの木馬は、ワームのように自分自身を自動的に複製して広がることを特徴とするものではありません。ただし、侵入後にほかのマルウェアを導入するなど、複数の機能を持つ場合があります。

ワーム

ワームは、ネットワークなどを通じて自己増殖し、ほかのコンピューターへ広がることができるマルウェアです。

利用者が毎回ファイルを開く必要がなく、脆弱性などを利用して感染を広げる場合もあります。

スパイウェア・キーロガー

スパイウェアは、利用者の情報や行動などを不正に収集することを目的としたソフトウェアです。

キーロガーは、キーボードの入力内容を記録する仕組みを指します。悪用されると、パスワードや個人情報などが盗まれる可能性があります。

なお、キーロガーという言葉は入力記録の機能や仕組みを指すため、必ずしもすべてがマルウェアというわけではありません。

ボットネット

ボットネットとは、攻撃者などに遠隔操作される複数の端末で構成されたネットワークです。

感染した端末は、DDoS攻撃、迷惑メールの送信、認証情報の窃取などに悪用される場合があります。

ボットネット自体は単独の攻撃名というより、複数の端末をまとめて操作するための基盤と考えると理解しやすいでしょう。

ファイルレス攻撃

ファイルレス攻撃は、従来型の実行ファイルをディスクに保存する方法への依存を抑え、OSの標準機能や正規の管理ツール、メモリ上の処理などを悪用する攻撃手法です。

ファイルを一切使用しない攻撃だけを指すわけではありません。正規のツールが使われると、通常の業務処理との区別が難しくなる場合があり、検知には実行内容や挙動の分析が重要になります。

パスワードや認証情報を狙う攻撃

システムに侵入するために、必ずしもソフトウェアの脆弱性を悪用する必要はありません。正しい認証情報を不正に入手できれば、正規の利用者になりすましてログインされる可能性があります。

ブルートフォース攻撃（総当たり攻撃）

ブルートフォース攻撃は、さまざまなパスワード候補を繰り返し試し、正しい組み合わせを見つけようとする手法です。

パスワードが短い、単純な文字列であるといった条件では、推測されるリスクが高まります。

辞書攻撃

辞書攻撃は、よく使われる単語やパスワードの候補をまとめたリストを利用し、認証を突破しようとする手法です。

ブルートフォース攻撃が幅広い候補を試すのに対し、辞書攻撃では推測されやすい候補を優先する点が特徴です。

パスワードリスト攻撃

パスワードリスト攻撃は、ほかのサービスなどから漏えいしたIDとパスワードの組み合わせを利用し、別のサービスへの不正ログインを試みる手法です。

複数のサービスで同じパスワードを使い回していると、ひとつのサービスから漏えいした情報が別のサービスでも悪用されるおそれがあります。

パスワードスプレー攻撃

パスワードスプレー攻撃は、多数のアカウントに対して、よく使われる少数のパスワードを試す手法です。

ひとつのアカウントに大量の候補を試す攻撃とは異なり、アカウントごとの試行回数を抑えながら認証突破を狙う点が特徴です。

セッションハイジャック

セッションハイジャックは、ログイン後の利用者を識別するセッション情報などを不正に取得し、その利用者になりすましてサービスを利用する攻撃です。

パスワードそのものが盗まれていなくても、認証後の状態を引き継ぐ情報が悪用される場合があります。

MFA疲労攻撃

MFA疲労攻撃は、多要素認証の承認通知などを繰り返し送信し、利用者が誤って承認したり、通知に疲れて応じたりすることを狙う手法です。

技術的な突破だけでなく、利用者の心理や操作を悪用する点で、ソーシャルエンジニアリングとも関係しています。

Webサイトやネットワークを狙う攻撃

Webサイトやネットワークへの攻撃では、プログラムの設計ミス、入力データの処理方法、通信の仕組みなどが悪用されます。

DoS攻撃・DDoS攻撃

DoS攻撃は、サービスに過剰な負荷をかけるなどして、正常な利用を妨害する攻撃です。

DDoS攻撃は「分散型サービス妨害攻撃」と呼ばれ、複数の端末や接続元から大量の通信などを送り、サービスを利用しにくい状態にします。

ボットネットが悪用されることもあります。どちらもサービスの可用性を損なうことが主な目的ですが、DDoS攻撃では複数の接続元を利用する点が特徴です。

SQLインジェクション

SQLインジェクションは、Webアプリケーションの入力処理などの不備を利用し、データベースに対するSQL命令を不正に実行させる攻撃です。

例えば、検索フォームやログインフォームなどで入力値の扱いに問題があると、想定外のデータベース操作につながる可能性があります。

被害には、非公開情報の閲覧、データの改ざんや削除、不正ログインなどが含まれます。

クロスサイトスクリプティング（XSS）

クロスサイトスクリプティングは、Webサイトの脆弱性を利用し、利用者のブラウザー上で悪意あるスクリプトを実行させる攻撃です。

例えば、入力内容を適切に処理せずにWebページへ表示することで、攻撃者が用意したスクリプトが実行される可能性があります。

SQLインジェクションが主にデータベースへの不正な命令実行を狙うのに対し、XSSは利用者のブラウザー上でのスクリプト実行を狙う点が大きな違いです。

クロスサイトリクエストフォージェリ（CSRF）

CSRFは、利用者がログインしているWebサービスに対し、本人の意図しない操作を実行させる攻撃です。

例えば、適切な対策がない場合、利用者が気づかないうちに設定変更などのリクエストを送信させられる可能性があります。

XSSがスクリプトの実行を狙うのに対し、CSRFは利用者の認証状態などを悪用して、意図しないリクエストを成立させる点が特徴です。

中間者攻撃

中間者攻撃は、通信を行う二者の間に攻撃者が介入し、情報の盗み見や改ざんなどを狙う手法です。

通信経路や端末、ネットワーク設定などの状況によって成立条件は異なります。暗号化や証明書の検証が適切でない場合などには、通信の安全性が損なわれるおそれがあります。

DNSキャッシュポイズニング

DNSキャッシュポイズニングは、ドメイン名と接続先の情報を管理するDNSの仕組みを悪用し、不正な情報をキャッシュに登録させる攻撃です。

利用者が正しいドメイン名を入力しても、偽の接続先へ誘導される可能性があります。

ARPスプーフィング・リプレイ攻撃

ARPスプーフィングは、主に同じローカルネットワーク内で、ARPという仕組みを悪用して偽の対応情報を送信し、通信を攻撃者側へ誘導する手法です。

リプレイ攻撃は、過去に取得した認証情報や通信データなどを再送信し、不正な処理を成立させようとする手法です。

どちらも通信や認証の仕組みに関係しますが、悪用する技術や成立条件は異なります。

脆弱性や企業間のつながりを狙う高度な攻撃

高度なサイバー攻撃では、ひとつの脆弱性や端末だけを狙うのではなく、複数の手法を組み合わせて侵入や情報窃取を進める場合があります。

ゼロデイ攻撃

ゼロデイ攻撃は、修正プログラムが提供されていない、または対策が十分に行われていない脆弱性などを悪用する攻撃です。

ゼロデイという名称は、脆弱性への対応に使える時間がほとんどない状態をイメージすると理解しやすいでしょう。

ただし、未知の脆弱性を悪用する攻撃だけに限定されるわけではありません。また、脆弱性が公表されていても、修正プログラムの提供や適用が間に合っていない状況では、深刻なリスクが残る場合があります。

サプライチェーン攻撃

サプライチェーン攻撃は、標的となる企業そのものではなく、取引先、委託先、ソフトウェアの開発・提供元などを足掛かりにして攻撃する手法です。

標的の企業がセキュリティ対策を強化していても、取引先のアカウントやソフトウェアの更新経路などが侵入口になる可能性があります。

2026年版の「情報セキュリティ10大脅威」でも、「サプライチェーンや委託先を狙った攻撃」は組織向け脅威の2位に選ばれています。

標的型攻撃

標的型攻撃は、特定の企業や組織、人物などを狙い、機密情報の窃取や業務妨害などを目的に行われる攻撃です。

標的に関する情報を事前に調べ、関係者を装ったメールを送るなど、複数の手段を組み合わせる場合があります。

不特定多数に無差別に攻撃する手法と異なり、特定の標的に合わせて計画される点が特徴です。

APT攻撃

APTは「Advanced Persistent Threat」の略で、高度な技術や継続的な活動を特徴とする脅威・攻撃活動を表す用語です。

標的のネットワークに侵入した後、長期間にわたって潜伏し、情報を収集したり、活動範囲を広げたりするケースがあります。

APTは単一の攻撃手法や特定のマルウェアの名前ではありません。標的型攻撃と重なる場合もありますが、APTでは継続性や組織的な活動などが重視されます。

権限昇格

権限昇格は、システムへ侵入した攻撃者が、一般ユーザーなどの権限から、管理者権限などのより強い権限を取得しようとする手法です。

権限が高まると、閲覧・変更できる情報や実行できる操作が増える可能性があります。

ラテラルムーブメント（横展開）

ラテラルムーブメントは、最初に侵入した端末やシステムを足掛かりに、同じ組織内の別の端末やサーバーへ侵入範囲を広げる手法です。

例えば、ひとつの端末から認証情報を取得し、それを利用して別のシステムへアクセスするケースが考えられます。

権限昇格が「より強い権限を得ること」であるのに対し、横展開は「別の端末やシステムへ活動範囲を広げること」です。両者は連続して発生する場合がありますが、同じ意味ではありません。

パストラバーサル・メモリ破壊を悪用する攻撃

パストラバーサルは、ファイルのパスを指定する処理の不備などを悪用し、本来アクセスできないファイルやディレクトリへアクセスしようとする攻撃です。

メモリ破壊を悪用する攻撃には、バッファーオーバーフローなどがあります。プログラムがメモリを不適切に扱うことで、クラッシュや予期しない動作、条件によっては任意のコード実行などにつながる場合があります。

これらはソフトウェアの実装や設計上の問題に関連する技術的な攻撃手法です。

サイバー攻撃を理解するための重要な技術用語

攻撃名を覚えるだけでは、複雑なサイバー攻撃の全体像を理解できない場合があります。ここでは、複数の攻撃に共通する技術用語を整理します。

脆弱性とエクスプロイトの違い

脆弱性とは、ソフトウェアやシステムなどに存在する、セキュリティ上の弱点です。

エクスプロイトは、その脆弱性を悪用するための手段やコードなどを指します。

つまり、脆弱性が「弱点」だとすれば、エクスプロイトは「弱点を利用するための手段」です。脆弱性が存在するだけで、必ず攻撃が成功するとは限りません。

C2（コマンド＆コントロール）

C2は、侵害された端末などと攻撃者側のシステムとの間で、指示や情報をやり取りする仕組みを指します。

例えば、マルウェアに感染した端末が外部のサーバーから命令を受け取る仕組みなどがあります。

C2は単独の攻撃名ではなく、侵入後の端末を遠隔操作するための通信や管理の仕組みに関係する用語です。

永続化

永続化は、攻撃者が侵入したシステムで、再起動やログアウトなどの後もアクセスや活動を維持しようとする手法です。

一度侵入に成功しても、その状態が維持できなければ、攻撃者は再び侵入しなければならない場合があります。永続化は、長期的な情報窃取などを可能にするための手段のひとつです。

攻撃は複数の手法を組み合わせて行われる

実際のサイバー攻撃では、ひとつの手法だけで被害が発生するとは限りません。

例えば、標的型メールで端末に侵入し、認証情報を取得して権限を高め、別のサーバーへ横展開した後、情報を外部へ送信するという流れが考えられます。

このように、個々の攻撃手法は、侵入、権限の取得、活動範囲の拡大、情報の窃取など、攻撃全体の異なる段階で使われる場合があります。

ただし、すべての攻撃が同じ順序で進むわけではありません。攻撃者の目的やシステム環境によって、手法や順序は変わります。

AI時代のサイバー攻撃はどう変わるのか

生成AIの普及により、サイバー攻撃にも新しいリスクが生まれています。ただし、AIによってすべての攻撃が新しくなったわけではありません。従来の攻撃手法が、AIを利用することで変化する場合があるという理解が重要です。

生成AIを悪用したフィッシングやなりすまし

生成AIは、自然な文章の作成や翻訳などを支援できます。この性質が悪用されると、不自然な日本語や誤字が少ない詐欺メールを作成したり、標的に合わせた文章を用意したりすることが容易になる可能性があります。

また、音声や映像を生成・加工する技術が、経営者や知人になりすます詐欺などに悪用されるリスクもあります。

ただし、生成AIを使った文章や映像であることだけを理由に、攻撃だと判断することはできません。重要なのは、送信元や依頼内容、アクセス先などを確認することです。

AIシステムそのものを狙う攻撃

AIを利用したシステムも、従来のソフトウェアと同様に、セキュリティ上のリスクに直面します。

例えば、AIへの入力を悪用して意図しない動作を引き起こそうとするプロンプトインジェクションや、AIサービスに不適切なデータを入力させる攻撃などが研究されています。

ただし、プロンプトインジェクションは一般的なWebアプリケーションへの攻撃と同じものではなく、AIシステムの構成や外部ツールとの連携などによってリスクが異なります。

2026年の脅威動向にもAI関連のリスクが登場

情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」では、組織向け脅威の3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。

これは、AIを使った攻撃の巧妙化だけでなく、AIシステム自体の脆弱性や、業務での不適切な利用による情報漏えいなど、AI利用に伴う幅広いリスクが注目されていることを示しています。

一方で、AIは不審な挙動の検知やログの分析など、防御側の業務にも活用されています。AIは攻撃を支援する道具にも、防御を支援する道具にもなり得るため、技術の使い方や運用体制が重要です。

参考：IPA「情報セキュリティ10大脅威 2026」

サイバー攻撃の種類に関するよくある質問

サイバー攻撃には何種類ありますか？

サイバー攻撃の種類に、ひとつの決まった総数があるわけではありません。攻撃対象、侵入手法、使用する技術、攻撃の目的など、分類の基準によって整理方法が異なります。

代表的なものには、フィッシング攻撃、ランサムウェア攻撃、DDoS攻撃、SQLインジェクション、ゼロデイ攻撃、標的型攻撃などがあります。

最も多いサイバー攻撃は何ですか？

「最も多い攻撃」は、個人と企業のどちらを対象とするか、また国や調査期間、集計方法によって異なります。すべての攻撃を同じ基準で比較できる統一的な順位があるわけではありません。

企業の脅威動向を確認する場合は、IPAの「情報セキュリティ10大脅威」など、公的機関が公表する資料を参考にするとよいでしょう。

ウイルスとマルウェアは何が違いますか？

マルウェアは、悪意あるソフトウェア全般を指す用語です。ウイルスはその一種で、ほかのファイルなどに寄生して増殖する性質を持つものを指します。

日常会話では「コンピューターウイルス」が広い意味で使われることもありますが、技術的にはマルウェアのほうが広い概念です。

ゼロデイ攻撃とAPT攻撃は何が違いますか？

ゼロデイ攻撃は、修正が間に合っていない脆弱性などを悪用する攻撃を指します。一方、APTは、高度で継続的な活動を特徴とする攻撃活動や脅威を表します。

ゼロデイ攻撃が脆弱性の悪用に関係する概念であるのに対し、APTは攻撃活動全体の特徴に関係する概念です。そのため、両者は同じ分類軸ではありません。

AIによってサイバー攻撃は増えるのでしょうか？

AIの活用によって、詐欺文面の作成や情報収集などが効率化され、攻撃の一部が容易になる可能性があります。一方、AIは防御側の検知や分析にも利用されています。

AIがサイバー攻撃全体をどの程度増加させるかは、攻撃の種類や環境、対策状況によって異なるため、一律に断定することはできません。

まとめ

サイバー攻撃には、人の心理を利用するフィッシング攻撃、マルウェアを使ったランサムウェア攻撃、ネットワークを妨害するDDoS攻撃、Webアプリケーションの弱点を狙うSQLインジェクションなど、多くの種類があります。

さらに、ゼロデイ攻撃やAPT、サプライチェーン攻撃のように、脆弱性や組織間のつながり、長期的な活動を利用する高度な攻撃も存在します。

これらの用語は、それぞれ異なる分類の観点を表しています。攻撃名を覚えるだけでなく、どのような弱点や仕組みを利用するのか、ほかの手法と何が違うのかを理解することが大切です。

AI技術の発展によって攻撃と防御の両面が変化するなか、サイバーセキュリティは今後も重要な技術分野のひとつです。ニュースで見かける用語も、その仕組みを知ることで、より深く理解できるようになります。

AI・ロボット分野について詳しく知りたい方はこちら
▶ AI工学部学部ページ

パンフレットなどの資料請求はこちら
▶ 資料請求フォーム

学校の雰囲気を実際に体験したい方はこちら
▶ オープンキャンパス

入試や学校生活について気軽に相談したい方はこちら
▶ LINE登録