SpyCloudは2026年9月9日、年次の**「2026 Identity Threat Report」** を公開した。従業員500人以上の組織に所属する750人のセキュリティリーダーと実務者を対象に、北米（米国・カナダ）、英国、欧州（スペイン、ドイツ、オランダ、オーストリア、スイス）で実施した調査に基づく報告書だ。
同レポートは、AIエージェントやサービスアカウント、APIキー、認証トークンなどの非人間アイデンティティ（Non-Human Identities、NHI） が、企業への侵入経路として最も一般的になったと結論づけた。人間のアカウント対策が進む一方で、NHIの可視化と統制が追いついておらず、攻撃者がその隙を突いている実態が示された。
68%がアイデンティティ起因のインシデントを経験、平均8件
調査によれば、過去1年間にアイデンティティ起因のインシデントを経験した組織は68% にのぼり、経験した組織では平均8件が発生していた。SpyCloudは、アイデンティティ侵害が「孤立した事件ではなく日常的な運用リスク」になっていると指摘している。
業種別では政府部門で92.3%がインシデントを経験し、平均10件と全体平均を上回った。一方で製造業は58%と全体より低いものの、発生時の事業影響として「顧客やパートナーからの信頼喪失」を挙げた割合が56.9%（全体40.2%）と高く、件数は少ないが1件あたりの被害が大きい傾向がみられた。
最多の侵入経路はNHI、フィッシングを大きく上回る
最も注目される結果は初期侵入経路の変化だ。侵害されたNHIが31%で最多の侵入経路となり、次点のフィッシングやソーシャルエンジニアリング（17%）の約2倍に達した。NHIの不正利用や侵害を経験した組織は42% で、全アイデンティティ関連イベントの中で最も多い類型だった。
NHIは従業員アカウントと異なり、退職時の無効化や定期的な認証情報のローテーション、多要素認証（MFA）の失敗といったライフサイクル管理が適用されにくい。SpyCloudの最高情報責任者（CIO）であるTrevor Hilligoss氏は「サービスアカウントは自ら退職せず、認証情報を自ら更新せず、MFAで失敗もしない。一度露出したNHIは誰かが気づくまで何か月も有効なままになる」と述べ、放置された権限が攻撃機会を長期化させると説明している。
95%は「見えている」と考えるが、監視は36%のみ
レポートは可視化と監視のギャップも浮き彫りにした。95%の組織が「AIやNHI関連の露出を適切に可視化できている」と回答した一方で、実際にそれらを監視していると回答したのは36% にとどまり、全アイデンティティ種別の中でNHIが最も監視されていない領域だった。
同様のギャップは経営層と現場の間にもみられた。NHIの可視化に自信を持つ割合は、Cレベルで66%だったのに対し、現場の運用担当者では50%にとどまった。英国では自信が53%と最も高い一方で、インシデント経験率は77%と最も高く、自信がカバレッジを反映していない例として挙げられている。
AI利用91%に対し正式なガバナンスは56%
AIの普及がガバナンスを上回っている現状も示された。内部システムやアプリケーション、データへアクセスするAIツールやエージェントを利用している組織は91% にのぼったが、それらに付与された権限について正式なガバナンスと所有者を定めているのは56% のみだった。残り41%は非公式なプロセスや部分的な所有に依存しており、通常の統制や監視の外で権限が運用される「シャドーアクセス」が残存している。
サプライチェーンでも同様の課題がみられる。サプライチェーン起因のアイデンティティイベントの主因として、マルウェアに感染した第三者の端末（23%） とベンダーやパートナーに関わるAPIキーやアプリケーションアクセスの露出（22%） が上位を占めた。約40%の組織では、第三者のアイデンティティ露出が実際に解消されたことを一貫して確認するプロセスがなく、今後12〜18か月でサプライチェーンのリスク管理強化を計画する組織は32%だった。
セッション管理の可視化も明暗を分けた。盗まれたセッションCookieを可視化できている組織のインシデント経験率は37% だったのに対し、可視化できていない組織では50% に達した。セッションCookieやトークンはMFAを迂回して認証済みセッションを再開させるため、攻撃者の主要な標的がパスワードからセッションへ移っているとSpyCloudは指摘している。
SpyCloudが示した成熟度と対策の方向性
SpyCloudは、企業規模や業種、地域よりも運用の成熟度がレジリエンスを左右すると分析している。成熟したプログラムを持つ組織では、露出の継続監視と修復の自動化が共通していた。手動での修復に依存する組織では、インシデント対応コストの増大（39%）や顧客信頼の喪失（47%）を報告する割合が、高度に自動化された組織（それぞれ32%、36%）より高かった。
同社はレポートで、NHIやセッション、サプライチェーンに広がったアイデンティティの地形を把握し、露出を継続的に監視して自動的に修復する運用への転換を求めている。ドイツでは76%の組織がベンダーの修復を能動的に確認しており、運用面でのベンチマークとして紹介された。
日本企業でもクラウドやSaaS、AIエージェントの利用拡大に伴い、サービスアカウントやAPIキーの数は増加している。SpyCloudが指摘するように、従業員アカウントと同等の棚卸しと所有者明確化、権限の最小化をNHIにも拡張することが、今後のアイデンティティ対策の起点になる。
出典
- SpyCloud「2026 Identity Threat Report: Benchmarks & Trends」（2026年9月9日公開） https://spycloud.com/resource/report/identity-threat-report-2026/
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。