こんにちは、こんばんは。Nakarです！
2026年9月ごろから、日本企業や団体で不正アクセスや情報漏えいの公表が続いています。
10月20日には、日本企業への攻撃の一部でAIツール「ARTEX」が使われたとの民間調査が報じられ、10月23日にはJPCERT/CCもAIを使った攻撃試行について注意喚起を更新しました。
「日本だけが狙われている？」「日本のセキュリティが低い？」「世界的なテロなの？」と気になる人もいると思います。
AIツール「ARTEX」とは
いま話題になっているARTEXは、中国語圏の開発者が今年7月にネット上の技術情報共有サービスで一般公開したAIエージェントです。
特徴としてよく挙げられるのが、システムの脆弱性を網羅的に探索する能力の高さです。
人が手作業でやっていた「穴探し」を、AIが自動で広い範囲に対して回せるイメージですね。
ここ数日で何がわかった？
JPCERT/CCは、国内組織で相次いでいる不正アクセスについて、10月23日に注意喚起を更新しました。アプリのAPIを悪用する手口や、AIを使ったペネトレーションテスト基盤による攻撃試行などを追加しています。ただし、すべての被害が同一の攻撃者や同じ手口によるものとは限らないとも明記しています。
さらにMicrosoftは、Storm-0940と呼ぶ中国政府と連携する攻撃者が、AIを使うツールARTEXで攻撃を自動化し、世界の数百組織を標的にしたと発表しました。Microsoftは、この活動をConnectWiseのクラウドサービスを通じたサプライチェーン侵害とも結び付けています。
一方、日本企業への攻撃のうち、どの事案がこの活動とつながっているのかは、現時点で公表情報からは確認できません。
同じAIツールが使われたという情報だけで、攻撃者や目的まで同一だと決めつけることはできません。
なぜ日本国内で多発しているのか？
「日本が特別に狙われている」と言うわけでは無いと考えられます。
日本で被害の公表が続く背景には、いくつかの要因が重なっていると考えられます。
- 企業のサービスやアプリが増え、外部からアクセスできるシステムも広がっている
- 公開アプリのAPIや、更新が遅れたソフトウェアなどが攻撃の入口になり得る
- クラウドや業務委託先を通じて、1つの侵害が複数の組織へ波及することがある
- 情報漏えいの調査や公表が進み、以前なら見えにくかった被害が明らかになる
古いソフトウェアの使用をそのまま続けている企業も少なくないです。
日本だけではなく、世界的な傾向
サイバー攻撃の増加は日本だけではありません。
セキュリティ企業Check Point Researchの調査では、2026年9月の組織あたりの週平均攻撃数は前年同月比48％増でした。
地域別にも増加が報告されています。これは同社が観測したデータに基づく数字ですが、脅威が世界的に広がっていることを示す材料の一つです。
日本の事案が目立つ時期と、世界の攻撃増加が重なっているからといって、すべてが同じ国や組織による計画だとは限りません。
攻撃ごとに、金銭目的の犯罪、情報窃取、妨害など目的が異なります。
世界的なテロ行為の可能性は？
サイバー攻撃に国家が関与するケースや、政治的な主張を掲げてウェブサイトを停止させる攻撃は存在します。
しかし、今回公表されている国内の情報漏えい事案全体を、世界的なテロ行為と結び付ける根拠は確認されていません。
Microsoftが今回のStorm-0940について説明している目的はデータ窃取です。
日本の政府も、国内事案の攻撃主体や背景について調査中であり、現段階で断定していません。
AIツールの開発地や使用言語だけで、国家やテロ組織の関与を判断することはできません。
つまり、国家が関係する攻撃への警戒は必要ですが、「情報漏えいが続く＝テロ攻撃」と受け取るのは早計です。
一過性なのか？
連日テレビなどで報道されていた「闇バイト」のように、一時の流行りワードとして徐々に消えていくでしょうか？
数日で終わる一時的な現象とは考えにくいでしょう。
脆弱性の悪用、アカウント窃取、ランサムウェア、委託先を経由した侵入などは、以前から続いている攻撃手法です。
AIは攻撃の調査や試行を速める道具になり得ますが、最近の被害をAIだけで説明することもできません。
今後も、特定の攻撃が収束した後に、別の攻撃者や別の手口が現れる可能性があります。大切なのは「今回だけ乗り切れば終わり」と考えず、対策を続けることです。
100％防げる「絶対的な対策」はある？
残念ながら、個人や企業がサイバー攻撃を絶対に防げる方法はありません。サービス側から情報が漏れる場合、利用者が自分の端末を守っていても、登録済みの情報を完全には防げません。
それでも、乗っ取りや二次被害の可能性を下げるために、次の対策はできます。
- サービスごとに別のパスワードを使う（重要）
→パスワード管理アプリやパスキーの利用を考える。 - 多要素認証を有効にする（重要）
→SMSだけでなく、認証アプリやパスキーに対応していれば活用する - OS、ブラウザー、アプリ、ルーターを更新する（重要）
- メールやSMSのリンクからログインしない。
→公式アプリやブックマークからアクセスする - 企業から漏えい通知が届いたら内容を確認し、該当サービスのパスワードを変更する。
→使い回しがあれば他サービスも変更する - 登録する個人情報を必要最小限にする。
- 重要なデータはバックアップする。 クラウド同期だけでなく、別媒体のバックアップも検討する
特に、漏えい通知を装ってパスワード変更を促す偽メールや偽SMSには注意してください。通知に書かれたリンクではなく、公式サイトを自分で開いて確認しましょう。
先日発生したPHPの脆弱性についても、最新バージョンに更新することによって対策を重ねていくことができます。
また二段階認証やパスキーについても、ログインの要求がスマホなどに通知されることによって、どのサービスが攻撃されているのか見えるようになります。
まとめ
いかがでしたか？
今回は日本で多発する情報漏洩についてまとめていきました。
ここ数日の発表から、日本だけの一過性の事件というより、世界的に広がる攻撃の中で、国内でも複数の侵入や情報漏えいが相次いで表面化している状況です。
AIを使った攻撃の事例も報告されましたが、国内の各事案が同じ攻撃者によるものか、テロ行為なのかは確認されていません。
「絶対に防ぐ」ことはできなくても、アカウントを使い回さない、多要素認証を使う、通知を確認することで、被害や二次被害を減らせます。
慌てて不確かな情報を拡散せず、公的機関や利用サービスの公式発表を確認していきましょう。
人類にAIはまだ早かったのではないでしょうか。
すでにAIの利用が根付いてきているように感じますが、この先の世界が怖いですね。
AIによってアプリ・ソフト開発は容易になり、Xでも様々な開発が公開されていっています。
もちろん、悪意を持ったモノの開発も容易になっています。
人間と違ってボタン一つで24時間攻撃し続けることも可能です。
昔からセキュリティ関連はいたちごっこでしたが、今後は更に攻防が激化していきそうです。
コメント