調査結果を発表したのは、VPNサービスを提供するAtlas VPNだ。2021年8月31日、同社の公式ブログで「50% of companies targeted by same hackers in repeat attacks」という記事を公開した。

　Atlas VPNは、北米、中南米、英国、欧州に拠点を置く、今まで何らかのサイバー攻撃を受けたことのある企業1778社を対象に、「再度サイバー攻撃を受けたことがあるかどうか」について調査した。

　その調査結果によると、サイバー攻撃の被害に遭った企業の約半数は、再度同じ攻撃者から攻撃を受けていたという。一度攻撃が成功したのであれば、再度狙えるだろうというセオリーなのだろう。

　再攻撃を受けたことのある企業の割合を地域別にみると、英国が55％、北米が50％、欧州が49％、そして中南米が48％とそこまで大きな差はない。受けたサイバー攻撃については、「クラウドの脆弱（ぜいじゃく）性を突いた攻撃」が65％、「DoS（サービス拒否）攻撃」が60％、「フィッシングおよびソーシャルエンジニアリング攻撃」が52％となった。

　この調査で驚くべきポイントは、2回目の攻撃を受けた企業の61％が、かつて悪用されたセキュリティの脆弱性をそのまま放置していたということ。何も対処をしていなければ、格好のターゲットになるのは当然だ。

　再び攻撃を受けた企業は、セキュリティ対策ツールの誤検知やセキュリティ人材の不足を理由に挙げた。

　また、同調査によれば、一度サイバー攻撃が成功した企業にもう一度同じ攻撃を仕掛けて成功する割合は6割を超えるという。

　一度サイバー攻撃の被害に遭ったとしたら、再度狙われる可能性を考えて、すぐに何らかの対策を講じるべきだ。そして「二度目はないよね」と楽観的になるのではなく、二度目の攻撃が来ることを想定して、警戒すべきだ。

　今回の調査対象に日本企業は含まれていない。同じ日本人としてはさすがに何らかの対処がなされていると信じたいものだが、あなたの会社は大丈夫だろうか？

上司X：　サイバー攻撃を受けた企業の約半数が、もう一度同じ攻撃を受ける、という話だよ。

ブラックピット：　そして攻撃を受けたのに、その脆弱性を放置していたと。

上司X：　うん。意外な統計データだよなぁ。

ブラックピット：　意外ですよねえ。ウチの会社は大丈夫なんでしょうね？

上司X：　あとで担当者に聞いてみるよ。サイバー攻撃の被害に遭ったとは聞いていないから、大丈夫だとは思うけどね。

ブラックピット：　またそんな楽観的なことを！

上司X：　そんなに怒らなくてもいいじゃないか。でも被害は聞いたことがないのはホントだし。

ブラックピット：　まぁ、いいでしょう。それにしても攻撃者にとっては、攻撃が失敗した企業に手を替え品を替え何度も攻撃するよりも、成功した企業に再度攻撃したほうが“おいしい”ということが分かっていたんですね、きっと。

上司X：　そういうことになるんだろうなぁ。サイバー攻撃を受けた経験がある企業の担当者は、すぐさま対策を講じてほしいものだよ。