【ノーコードソリューションズ｜AI Weekly vol.18】先週の重要AIニュース2本＋テックブログ解説（話題の情報漏洩、Webからだけで今年119件 ほか2本）

10月7日、伊藤忠サイバー＆インテリジェンス社、セキュアスカイ・テクノロジー社、マクニカ社の3社が、国内のWebシステムからの情報漏洩についての分析を公表しました。国内の法人が運営するWebシステムから個人情報が盗まれた事案は、2024年が62件、2025年が84件でした。2026年は10月6日時点で119件にのぼり、そのうち81件、約68%が7月以降に公表されています。

狙われたシステムも広がっています。これまで多かったECサイトに加えて、図書館の蔵書検索、観光列車の座席予約、大学の施設予約、チケットの払い戻し管理といった、標的になりにくかったシステムでも被害が出ました。3社は、特定の企業を狙うのではなく、公開されたWebシステムを手当たり次第に攻撃し、成功すると同じ技術を使うサイトを探して同じ手口を試す動きがある、と見ています。AIが使われたと断定できるログや痕跡は見つかっていません。それでも、サイトごとに機能や不備を調べる作業をこの範囲で繰り返すのは、人の手では現実的ではなく、「AIの活用を否定する方が難しい状況」だとしています。

政府も動きました。報道によると、10月8日に関係省庁の会議が開かれ、古川サイバー安全保障担当相は「大変危急の状況だ」と述べています。翌9日には内閣官房の国家サイバー統括室が、大量の個人情報を扱う事業者に向けて注意を呼びかけました。経営層に「AIの悪用を含む攻撃手法の高度化・巧妙化」への対応を求め、Webシステムの管理（修正プログラムの速やかな適用、サポートが終わった製品の利用停止、パスワードに加えてスマートフォンに届くコードなどでも本人を確かめる多要素認証）、委託先の対策の確認、持っているデータの棚卸しと削減の3つを挙げています。委託先については、漏洩したときの報告を契約に入れることと、業務が終わったらデータを確実に消してもらうことまで求めています。

一方で、大企業以外の動きはまだ鈍いようです。ミツモア社が10月5日と6日に458人に聞いた調査では、漏洩の報道を受けて顧客情報の管理ルールを見直したと答えたのは、大企業で48.2%、大企業以外の会社では7.1%でした。大企業以外で危機感が高まったと答えた人の37.2%は、何から手をつければよいか分からないと答えています。

自社のサイトは小さいから狙われない、とは言えなくなりました。予約フォームや会員ページを外部の会社に作ってもらった場合も、月額で借りて使っている場合も、入口になりうるのは同じです。3社の分析にも政府の注意喚起にも、対策にかかる費用の目安は書かれていません。3社が最初に勧めているのは、直近1か月のログ（サイトへのアクセスやログインの記録）に、同じ場所からの大量のアクセスや、ログインの試行の急増がないかを確かめることです。管理画面のパスワードを強くして多要素認証を付けること、要らなくなった個人情報を消すことも挙げています。どれも、新しい製品を買う前にできることです。保守を外部の会社に頼んでいる場合は、ログの確認をその会社にお願いできます。あわせて、政府が委託先に求めた2つ（漏洩したときの報告と、業務が終わった後のデータの消去）が、その会社との契約に入っているかも確かめられます。

まずやること｜代表・仙入から

ECサイトや予約・会員のページ、管理画面、VPN機器など、外部からアクセスできるシステムを洗い出して、1つずつ社内の担当者を決めましょう！ 誰も管理していないシステムから狙われると思っているので、まずは決めた担当者に、最新の修正が当たっているか、ログを誰が見ているか、漏洩したら何時間以内に知らせるか、使わなくなったらデータを消すかの4つを聞いてみましょう！

10月7日、米国のセキュリティ企業CrowdStrike社が、9月下旬から10月上旬にかけて韓国の複数の金融機関を狙った攻撃の調査結果を公表しました。攻撃者は、中国で開発された「ARTEX」というツールを使っていました。本来は、AIに自社のシステムの弱点を探させる、侵入テスト用のツールです。その裏ではDeepSeek、GLM、Grokといった複数の生成AIを動かし、さらに、指示を出すとプログラムを書いたり動かしたりする作業をAIが進めるClaude Codeも、弱点の調査や下調べ、データの探索に使っていました。

CrowdStrike社は、攻撃者のサーバーに残っていたAIとのやりとりの記録や設定ファイルを見つけ、そこから攻撃者を、中国語を話す、金銭目的の攻撃者とみています。ただし確度は「中程度」という評価です。報告は、AIの道具によって、金銭目的の攻撃者が短い期間に複数の侵入を行えるようになったと指摘しています。英The Registerによると、残っていた記録の中には、攻撃者がAIに自分の履歴書づくりを頼んだやりとりまであったそうです。攻撃のための道具としてだけでなく、ふだんの作業の相棒としてもAIを使っていたことがうかがえます。

報告は銀行名を出していませんが、標的の1つを、融資の進み具合を照会するサービスとしています。次の新韓銀行の事案が、この報告の攻撃と同じものかどうかは、報告からは分かりません。新韓銀行は10月1日に、融資の照会サービスへの不正アクセスで顧客約2万5千人分の氏名、電話番号、年収などが流出したと公表しました。韓国の報道によると、入口になったのは、融資の受付を手伝う代理人向けのページにある、簡単な認証で使える照会サービスでした。金融当局は、攻撃者がここに顧客番号などを次々と入れて認証をすり抜け、手に入れた情報をほかの5〜6の照会サービスにも入れて、さらに情報を引き出したとみています。英The Registerは、KB国民銀行とハナ銀行でも被害が公表され、韓国の国会が10月19日に大手5行のトップを呼ぶ予定だと伝えています。CrowdStrike社の報告によると、被害を受けた組織の数はまだ確認できていません。

攻撃者が使った道具の多くは、私たちが仕事で使っているものと同じ種類です。弱点を探して試す作業をAIに任せると、1人でも何社分もの調査を短い時間で回せます。01で3社が「AIの活用を否定する方が難しい」と見ていたのと、同じ方向の動きです。番号を入れれば照会できる画面や、社内の人だけが使う前提で認証を簡単にした画面は、日本の会社にもあります。こうした画面がどこにあるかは、01の一覧づくりの中で一緒に確かめられます。守るために使える時間が短くなったので、縮める必要があるのは2つです。修正プログラムを当てるまでの日数と、おかしな動きに気づくまでの時間です。攻撃が速くなっても、気づくのが遅ければ被害は広がります。CrowdStrike社の報告には、対策にかかる費用は書かれていません。それでも、知らせの届く先を決めることも、修正プログラムをいつ当てているかを委託先に聞くことも、新しい製品を買わずにできます。

まずやること｜代表・仙入から

管理画面のアカウントのうち、多要素認証が付いていないものには、今週中に付けましょう！ 攻撃がAIで速くなった今、守りが手薄なところほど先に攻撃されると見ているので、まずは使っていないアカウントを消すところから始めましょう！

先週、弊社のテックブログで「【ファイル1つの誤送付で17万人分が他社へ⁉】情報漏洩11件の原因と対策」を公開しました。2026年7月1日から10月4日までに公表された国内の情報漏洩の事案を、各社の公式発表で1件ずつ確かめ、原因の型ごとに5つに分けた記事です。01の119件はWebシステムから個人情報が盗まれた事案だけを数えたものですが、この記事の11件には、Webからの侵入のほかに、送付ミスや詐欺も含まれています。

11件のうち、提供元も知らなかった弱点を突かれた1件を除く10件は、公表された範囲で見ると、自社でも事前に点検できる項目に関わるものでした。原因は、修正が間に合わなかった機器やツール、プログラムの設定ファイルに書かれていたパスワードや鍵（システム同士をつなぐときに使う、合言葉にあたる文字列）、5年あまり気づかれなかった権限の設定、警察官を名乗る者からの詐欺、手作業の送付ミス、委託先に残っていたデータです。たとえばTOPPAN社の事案では、複数社のファイルが同じフォルダにある状態でドラッグ＆ドロップした結果、損害保険ジャパン社の契約者17万7,426名分のデータが、他社に送るファイルに入ってしまいました。

記事では、専任の担当者がいない会社でも費用をかけずに始められることとして、3つを挙げています。アカウントに多要素認証を付けて使っていないアカウントを消すこと、外からつながる機器とツールの一覧を作って更新の期限を決めること、顧客データの写しを減らすことです。分析用のファイルや開発環境、記憶媒体、委託先に置いた写しも、本体と同じように漏れます。

11件には、警察官を名乗る者からの詐欺のように、人がきっかけになったものもあります。そこで記事では、社員研修についても書きました。医療機関の職員19,789人に8か月間、偽のメールを送った研究では、年1回の研修を受けてからの日数と、偽のメールに引っかかるかどうかに、統計的に意味のある関係はありませんでした。リンクを押した人にその場で研修ページを出す方法でも、研修のない人と比べて下がった幅は平均1.7ポイントで、8か月のうちに職員の56%が少なくとも1回は引っかかっています。一方で、質問に答えながら進む研修を最後まで終えた人は、受けたものの最後まで終えなかった人と比べて、次に引っかかる見込みが19%低くなりました。記事では、研修だけに頼らず、社員が扱えるデータの範囲を業務に必要な分に絞ったうえで、こうした形の研修を選ぶよう勧めています。件数の読み方や、各社が事故の後に挙げた対策の一覧もまとめているので、自社に近い型の事例から読んでみてください。

記事で扱った11件で、各社が事故の後にいちばん多く挙げた対策は「監視と検知の強化」で、6件にのぼりました。生命保険協会の事案では、権限の設定の誤りが5年あまり気づかれていませんでした。

まずやること｜代表・仙入から

記事の3章にある「型ごとに自社で確かめること」の表を開いて、まだ確かめていない項目に印をつけましょう！ 漏洩を防ぐ備えと同じくらい、すでに起きている漏洩に気づけるかが大事だと感じているので、まずは直近1か月のログに、見覚えのないログインや大量のアクセスがないかを、担当者に見てもらいましょう！