市民社会組織へのサイバー攻撃、一般サイトの7倍に　Cloudflareが「Project Galileo」報告書で警告

米Cloudflare（クラウドフレア）は、市民社会組織を保護する「Project Galileo」の12周年を記念した初の包括的なデータレポートを公表した。同レポートによると、ジャーナリストや人権擁護活動家、非営利団体などの市民社会組織を標的としたサイバー攻撃の割合は、一般的なウェブサイトの7倍以上に達しているという。攻撃は組織が重要な活動を行うタイミングに集中しており、限られたリソースで活動するこれら組織へのデジタルセキュリティ支援の重要性が浮き彫りになっている。

■重要な活動のタイミングを狙う執拗な攻撃

Cloudflareが発表した報告書によると、2025年2月から2026年1月までの期間に、同社の「Project Galileo」に参加する市民社会組織を標的とした悪意あるリクエストが385億件ブロックされた。これは1日平均で1億500万件以上の攻撃に相当する。世界的にインターネットの遮断が過去最多を記録し、市民社会におけるデジタルセキュリティへの資金提供が急減する中で、これらの組織はかつてないほどの脅威に直面している。

攻撃のタイミングは非常に意図的である。Cloudflareの分析によると、攻撃の急増は、調査報道の公開、公開アドボカシーキャンペーンの開始、あるいは重要な選挙期間など、組織の活動が最も活発になる時期と一貫して一致していた。これは、民主的な情報の流れを最も重要な局面で阻止しようとする、組織的な妨害工作が行われている可能性を示唆している。

■DDoS攻撃とアプリケーション層攻撃の実態

今回の報告書は、世界120カ国以上、3,400以上のウェブサイトから得られたデータを基にしている。これらのサイトは、Project Galileoを通じてエンタープライズクラスのサイバーセキュリティを無償で提供されている。

市民社会グループに対する悪意あるトラフィックの81.7%を占めたのが、大量のアクセスを送りつけてサーバーをダウンさせるDDoS（分散型サービス拒否）攻撃だった。商業顧客向けのDDoS攻撃は通常10分以内に自動防御で解決するが、市民社会を標的とした攻撃は数日〜数週間にわたって持続する特徴がある。これは、小規模な組織のスタッフやインフラを疲弊させることを狙った断続的な攻撃パターンである。イラクのデジタル権利団体「Tech4Peace」は、8日間にわたり26億件の悪意あるリクエストを受ける持続的なDDoS攻撃に直面した。

また、ウェブサイトのコードの脆弱性を狙うアプリケーション層攻撃は、他の一般顧客の7倍以上の割合で発生している。特にメディア組織への攻撃が集中しており、プログラム参加組織の22.7%に過ぎないメディアが、アプリケーション層攻撃全体の40.5%を吸収していた。Cloudflareは平均して7秒に1回の割合で、メディア組織のコードを探索する悪意あるリクエストをブロックしている。

■亡命ジャーナリストが直面する極めて高いリスク

報告書における最も顕著な発見の一つは、自国以外の場所で活動する「亡命ジャーナリスト」に関するものである。亡命ジャーナリストは、ジャーナリスト組織全体の平均と比較して、約4倍の割合で悪意あるトラフィックに直面していた。これは、ジャーナリストが本国を離れることで国内法による法的保護を失う一方で、本国の政府や敵対勢力からは依然として優先度の高い標的とされ続けるという構造的な現実を反映している。物理的な移動が必ずしもデジタルの安全にはつながらず、むしろ危険を高める場合がある。

2025年12月には、亡命先から運営されているキューバのメディア「elTOQUE」がDDoS攻撃を受けた。同組織は、キューバペソと外貨の比較トラッカーへのアクセスを制限するための意図的な攻撃であると指摘している。このツールはキューバ政府から経済に悪影響を与えるとして公に批判されていた。

さらに、市民社会組織が受信したメールの約10%にフィッシングの疑いがあり、そのうち約3分の1は標準的な認証プロトコルをすり抜けていた。これは、基本的なメールセキュリティだけでなく、多層防御が不可欠であることを示している。

■Cloudflareのインフラによる大規模攻撃の防御メカニズム

小規模な非営利団体が自前でウェブサイトを運営する場合、ネットワーク容量は毎秒数百メガビット程度にとどまることが多い。これに対し、攻撃者は数日間にわたってDDoS攻撃を維持する能力を持っている。仲介する防御システムがなければ、サイトは即座にオフラインになってしまう。

Cloudflareの防御は、世界中のデータセンターで同時に同じIPアドレスをアドバタイズする「Anycast（エニキャスト）ルーティング」と、インターネットの経路制御プロトコルである「BGP（Border Gateway Protocol）」に基づいている。攻撃トラフィックが発生すると、BGPによって世界335都市以上のデータセンターに自動的に分散される。攻撃者がサイトをダウンさせるには、毎秒200テラビット以上の容量を持つCloudflareのネットワーク全体を圧倒する必要がある。

また、アプリケーション層の攻撃に対しては、ネットワークモデルのレイヤー7（アプリケーション層）で動作する「WAF（Web Application Firewall）」が機能する。WAFは、SQLインジェクションやクロスサイトスクリプティング（XSS）などの脆弱性を狙ったリクエストをリアルタイムで検査し、機械学習や脅威インテリジェンスを用いてブロックする。市民社会組織に対するアプリケーション層攻撃の割合が7倍高いということは、単なるトラフィックのフィルタリングだけでなく、高度なインテリジェント検査が必要とされていることを意味する。

Project Galileoは、通常であれば年間数十万ドル（数千万円規模、1ドル=161円換算）かかるエンタープライズレベルのインフラを無償で提供している。申請は「cloudflare.com/galileo」から行い、電子フロンティア財団（EFF）や民主主義・技術センター（CDT）など、59の提携市民社会組織によって審査・承認される。

■新たなパートナーシップと今後の提言

12周年を迎えた同プログラムには、新たにジャーナリスト支援に特化した3つの組織（国際ジャーナリストセンター（ICFJ）、Media Cluster Norway、NGO-ISAC）がパートナーとして加わった。

Cloudflareは本レポートを通じて、政府およびテクノロジー業界に対し、3つの政策提言を行っている。それは、「すべての人にシンプルで手頃な価格のサイバーセキュリティを提供すること」、「サイバー攻撃とインターネット遮断の両方に関する透明性要件を拡大すること」、そして「AI支援および耐量子暗号（PQC）による保護を、プレミアム機能ではなくデフォルトでセキュリティツールに組み込むこと」である。

特に耐量子暗号の導入は急務とされている。量子コンピュータの実用化により、現在暗号化されている通信が将来的に解読されるリスク（Harvest now, decrypt later）があり、これは機密情報を扱う市民社会組織にとって極めて深刻な脅威となる。

また、インターネットの遮断も深刻化している。Access Nowの2025年レポートによると、タンザニアでの選挙中の遮断や、世界各地の抗議活動における政府主導のデジタルブラックアウトが報告されている。サイバー攻撃と政府による回線遮断は、市民社会組織の声を封じるという点で同じ結果をもたらすため、これらの事象に関する透明性の確保が求められている。

■注目ポイントQ&A

●なぜジャーナリストや人権団体は、商業サイトよりも高い割合でサイバー攻撃の標的になるのですか？

市民社会組織は、不正の告発や人権侵害の記録など、国家や権力者にとって不都合な活動を行うため、報復の標的になりやすい性質があります。また、商業企業とは異なり、専任のセキュリティスタッフや十分な予算を確保できていないことが多く、防御力が低いことも要因です。Cloudflareのデータによると、攻撃はランダムではなく、組織が情報発信やキャンペーンを行うタイミングを狙って計画的に実行されていることが示されています。

●Project Galileoはどのようにして市民社会組織を無料で保護しているのですか？また、どのような組織が対象になりますか？

Project Galileoは、対象となる組織に対し、無制限のDDoS保護、Webアプリケーションファイアウォール（WAF）、メールセキュリティ、Zero Trustネットワークツールを含む、Cloudflareのビジネスプラン相当のセキュリティサービスを無償で提供しています。Cloudflareが直接審査するのではなく、電子フロンティア財団（EFF）や民主主義・技術センター（CDT）など、59の提携市民社会組織が申請者を保証する仕組みをとっています。ジャーナリスト、人権、民主主義などの分野で活動する組織が対象となります。

●市民社会組織を襲うサイバー攻撃にはどのような種類があり、一般的な攻撃とどう異なりますか？

最も多いのはDDoS攻撃で、悪意あるトラフィックの81.7%を占めています。一般的な商業サイトへのDDoS攻撃は自動防御により10分以内に収束することが多いですが、市民社会組織への攻撃は数日〜数週間続くのが特徴です。また、ウェブサイトのコードの脆弱性を狙うアプリケーション層攻撃は、他の顧客の7倍以上の割合で発生しています。さらに、受信メールの約10%にフィッシングの疑いがあり、その3分の1は標準的な認証をすり抜けていました。

●小規模な非営利団体や独立系メディアが自らを守るためにできることは何ですか？

最も効果的な無料の選択肢は「Project Galileo」への申請です。これにより、通常であれば年間数十万ドル（数千万円規模、1ドル=161円換算）かかるエンタープライズレベルの保護が無償で得られます。対象外の組織であっても、全スタッフのアカウントでの多要素認証（MFA）の義務化、ウェブサイトのソフトウェアやプラグインの最新状態への維持、DDoS保護機能を備えたコンテンツ配信ネットワーク（CDN）の利用などを優先すべきです。

元記事: Cyberattacks on Civil Society Hit 7 Times the Rate of Other Websites, Cloudflare Finds