日本企業はどこから破られたのか｜2025〜2026年の侵入口とAI時代の守り方

はじめに

2025年の秋から2026年の秋にかけて、日本の企業や組織へのサイバー攻撃が、生活の手触りのあるところまで届きました。アサヒグループのビールの受注が止まり、アスクルの Web 注文が止まり、@nifty や BIGLOBE などのメール基盤で 12,231,954 名分のメールアドレスに影響が及び、10月にはクラウド基盤の IDCF クラウドが止まって利用する 495 の企業や自治体に影響が広がりました。同じ10月の 5 日から 15 日にかけては、焼肉きんぐ・スカイチケット・ソースネクスト・バーガーキングと、1 社で 1,000 万件を超える会員情報の漏えいの公表が続き、委託先を経由した被害の公表も重なりました。この記事では、企業の公表文と警察庁・個人情報保護委員会（PPC）・IPA の統計だけを材料に、どこから破られ、何が漏れたのかを整理します。読み終えたときに、企業の側は「どの入口を閉じ、何を持たないようにするか」、個人の側は「自分のアカウントとカードにどんな層の守りを重ねるか」を、自分の手で決められる状態を目指します。

最初に、この1年で特に影響の大きかった事例を1枚の表にまとめます。件数は各社の公表値で、「おそれ」「可能性」と書かれた数は確定した漏えいではありません。

タイムズカーの約660万件は人数ではなくアカウント数、KDDI は第1報の「最大 1,422 万件」から確定値で単位が「名」に変わっています。10月の会員情報の事例も、公表値の単位はどれも「件」で、人数そのものではありません。

🔤 1. サイバー攻撃とは何か ── 基礎のことば

ニュースで出てくる言葉は、実はいくつかの種類に分かれます。公表文を読むときに迷わないよう、先に用語をそろえます。

1-1. ランサムウェアと「二重の脅し」

ランサムウェアは、もともと「ファイルを暗号化して身代金（ランサム）を要求するマルウェア」でした。いまの主流は、暗号化の前にデータを盗んでおき、「払わなければ公開する」と二重に脅す形です。暗号化をせずに盗んで脅すだけの手口は「ノーウェアランサム」と呼ばれ、警察庁はこれを別に数えています（令和7年は 17 件）。

業務が止まるのは暗号化のせい、個人情報の漏えいが起きるのは窃取のせいです。アサヒのように物流まで止まった事例と、タイムズカーのように業務は回りながら情報が持ち出された事例は、この 2 つのどちらが前に出たかの違いとして読めます。なお、公表文が「ランサムウェア」という語を使っていない事例（ハウステンボスは「不正アクセス」とデータの暗号化、ニチレイは「サイバー攻撃」）もあり、この記事では公表文の言葉のまま扱います。

1-2. 「侵入口」── VPN とリモートデスクトップと認証情報

社内のネットワークは、外から直接は入れないように作られています。そこに外から入る正規の扉が、VPN 装置（社外から社内へ暗号化した通り道を作る機器）やリモートデスクトップ（社外から社内の PC を操作する仕組み）です。扉そのものに脆弱性が残っていたり、扉の鍵である ID・パスワードが盗まれていたりすると、攻撃者は正規の利用者と同じ顔で入れます。

ここで効くのが 多要素認証（MFA） です。パスワードに加えて、スマホのアプリや物理キーなど「持っているもの」を求めるので、パスワードだけが漏れても入れません。後で見るように、アスクルの公表文は「例外的に多要素認証を適用していなかった業務委託先」のアカウントが使われたと書いています。

1-3. 委託先を経由する攻撃

自社の守りが固くても、データを預けた委託先や、システムに組み込んだ他社製ソフトが破られれば、情報は漏れます。東海大学は委託先のネットワークへの認証情報が盗まれ、第一興商は委託先の PC 1 台のマルウェア感染、KDDI は組み込んだ他社製ソフトの「ベンダーが認識していない脆弱性」でした。IPA の「10大脅威」組織編で、この種類は 2025・2026 年とも 2 位です。

2026年10月には、委託先を起点にした公表がさらに重なりました。大和証券と損害保険ジャパンは、問い合わせの管理に使っていたサービスの提供元として、どちらも「株式会社スカラコミュニケーションズ」のサーバーへの不正アクセスを挙げています。NEC は、システムの開発・保守の委託先が攻撃を受け、「窃取された正規アカウントの認証情報が悪用された」結果、顧客のシステムに委託先の端末から入られたと公表しました。自社の入口ではなく、委託先の入口や端末から破られる形です。

1-4. Web スキミングとセキュリティコード

EC サイトの多くは、カード番号を自社で保存しない「非保持化」を済ませています。カード番号の入力画面は決済代行会社の仕組みに任せ、自社のサーバーには番号を残さない方式です。カード裏面のセキュリティコード（CVV・CVC などとも呼ぶ 3〜4 桁）は、業界のガイドラインと国際基準（PCI DSS）で、そもそも保存が認められていません。

それでもセキュリティコードまで漏れる事例が続いています。理由は、保存された情報を盗むのではなく、入力される瞬間を横取りするからです。決済画面やそこで動く JavaScript が改ざんされると、利用者が入力した番号・有効期限・セキュリティコードが、正規の決済と同時に攻撃者へも送られます。これが Web スキミングで、第 2 章と第 4 章で詳しく扱います。

📊 2. 2025〜2026年に何が起きたか ── 事例と統計

2-1. 侵入口は限られている ── 増えた委託先

公表文が侵入経路を書いている事例を並べると、入口は驚くほど限られています。

図の流れは、アサヒの公表文の言葉「ネットワーク機器を経由してデータセンターのネットワークに侵入」「パスワードの脆弱性をついて管理者権限を奪取」「ランサムウエアが一斉に実行」を 3 段にまとめたものです。主な事例の侵入口と、公表文の原文を表にします。

2025年の事例では入口の機器と認証情報が中心でしたが、2026年10月の公表では、委託先（その端末・サーバー・サービス）と、会員向けの Web・アプリの仕組みを挙げる例が増えました。

デジタル庁 GSS の Q&A は、使われた脆弱性が「攻撃が確認される前に、公表されていたもの」で、「修正プログラムの適用前に当該脆弱性が悪用される事態」だったと書いています。修正は出ていたが、当てる前に使われた。入口の管理が時間との競争であることを示す一文です。

一方で、侵入経路を「公表なし」「調査中」としている事例も多くあります（ニチレイ・タイムズカー・ヤマト・IDCF・焼肉きんぐ・バーガーキング・メドレー・お名前.com デスクトップクラウドなど）。攻撃グループの名前も、ここに挙げた企業・公的機関はどこも公表していません。この記事でも、公表されていない原因や名前は推定で埋めません。

2-2. 2026年10月に相次いだ公表 ── 会員情報と委託先

2026年10月5日から21日までのおよそ 2 週間に、1 社で 100 万〜2,000 万件規模の会員情報の漏えいや、委託先を経由した被害の公表が相次ぎました。各社の公表文の範囲で、第1報の順に並べます。件数の単位と「確認」「可能性」「おそれ」の区別は原文のままです。

並べると、2 つの流れが重なっています。1 つは委託先です。大和証券と損害保険ジャパンは同じ委託先の名前を挙げ、不正アクセスの時間帯（10月2日20時33分頃〜3日8時1分頃）も一致しています。委託先のスカラコミュニケーションズ自身の公表では、FAQ システム「i-ask」の管理サイトに不正にログインされ、対象は利用企業最大 5 社の最大 713,126 件（問い合わせ単位の延べ件数）です。第一興商は委託先の従業員の PC、NEC は委託先の端末と正規アカウント、ライドオンエクスプレスはデータの保管を委託したサーバーの運営会社（社名は公表していません）が起点でした。

もう 1 つは会員向けのアプリや Web の仕組みです。焼肉きんぐ・バーガーキング・ローソン・ミスターマックスはアプリの会員情報、ソースネクストは「会員情報取得API」の不正利用を公表しています。ただし、これらの会社の公表文には共通の委託先や外部サービスの名前は書かれていません。侵入の経緯の書き方も「調査中」を含めて各社ばらばらです。この記事では、同じ時期に公表が重なったこと、委託先を経由した公表が相次いだことまでを事実として扱い、共通の原因は推定しません。

GMO インターネットグループの 2 件も同じ扱いです。infoQ と お名前.com デスクトップクラウドはどちらも GMO インターネットグループのサービスですが、運営する会社は GMOリサーチ&AI と GMOインターネットで別々です。2 件の関連はどちらの公表文にも書かれておらず、デスクトップクラウドは侵入の経路も公表していません。単位も違います。infoQ の 89万4,082件は、10月3日に不正アクセスを確認してサービスを止めたあと、第2報で確定した外部に持ち出された個人情報の件数です。デスクトップクラウドの 26,739 件は影響の可能性があるサーバーの数で、サーバー内の情報が閲覧された可能性はあるものの、個人情報の漏えいは「現時点において」確認されていません。再開時期は、10月21日 19 時 41 分の時点で未定です。

公的機関も、社名を挙げずに警戒を呼びかけています。JPCERT/CC は 10月8日の注意喚起で、2026年9月前後に国内組織の不正アクセスによる漏えいが「相次いでいます」としたうえで、一連の攻撃は「一つの共通するソフトウェアの脆弱性を悪用しているのではなく、標的ごとにさまざまな既知の脆弱性有無についてスキャン」している可能性があると書きました。被害は「一般利用者向けのアプリのほか」、BI ツールや従業員向けの管理システムにも及んでいるとしています。NICT も 10月13日、公開されている Android アプリを解析して、その裏側で動くサーバーを攻撃する手法を確認したとして、「公開アプリが解析されることを前提に、バックエンドサーバの安全性を確保することが重要」と呼びかけています。

2-3. 統計：ランサムは高止まり、入口の 6 割は VPN

警察庁の年報は、企業の公表と同じ傾向を数字で示しています。

感染経路はアンケートの有効回答から数えたもので、令和7年の有効回答は 92 件です。本文は「侵入経路は VPN…機器が６割以上を占める状況」と書いています。2026年9月に出た上半期の報告では、ランサムウェアの被害報告は 123 件で「半期の件数としては、統計を取り始めた令和２年下半期以降、最多」になりました。

被害を受けた側の姿も数字に出ています。令和7年は中小企業が「約６割」、業種別では製造業が「約４割」。本文は「１か月未満で復旧した組織の割合は全体の５割強に留まる」と書き、費用が総額 1,000 万円以上になった組織は「全体の５割を超えている」。そして目を引くのがバックアップで、116 組織のうち 105 組織がバックアップを取っていたのに、そこから復元できたのは回答 99 件のうち 20 件でした。バックアップ自体が暗号化されたり、戻す手順が整っていなかったりすると、取っていても役に立ちません。

IPA の「情報セキュリティ10大脅威 2026」組織編も同じ景色です。

3 位に初めて入った AI のリスクは、攻撃に悪用される話だけではありません。IPA の説明は「AIに対する不十分な理解に起因する意図しない情報漏えい」や、AI の生成結果を「十分に検証せず鵜呑みにすること」も含めています。使う側のリスクについては、Word 文書を通じて Copilot に指示が伝染する「AI ワーム」の記事でも扱いました。

2-4. 漏えい等の報告：件数はうっかり、人数はサイバー

事業者が PPC に出す漏えい等の報告は、令和7年度に 17,139 件でした。

原因の内訳を見ると、件数の大半は誤交付（45.5%）と誤送付（21.6%）で、不正アクセスは 1 割に届きません。それでも、ここまでの表に並んだ数百万件規模の漏えいは、ほぼすべてがサイバー攻撃によるものです。件数で見れば「うっかり」が多く、影響を受けた人数で見ればサイバー攻撃が大きい。同じ報告書の中に 2 つの顔があります。

2-5. カード：被害の 9 割超は「番号盗用」

日本クレジット協会の集計では、カードの不正利用被害は 2024 年に 555.0 億円で過去最高、2025 年は 510.5 億円と減りました。どの年も 9 割超が、偽造カードではなく番号盗用（盗んだカード番号でネット上で使う）です。

番号はどこから来るのか。その供給源の 1 つが、次の EC サイトの事例です。

並べると構図がはっきりします。ショップサーブはデータベースを盗まれましたが、持っていないセキュリティコードは漏れていません。駿河屋とパッケージショップJP は、セキュリティコードを保存していたわけではなく、入力された瞬間に抜き取られました。駿河屋は約 2 週間で 3 万件、パッケージショップJP は 3 年 7 か月にわたって気づかれていません。どちらも発覚の起点は自社の検知ではなく外部からの連絡でした。

🤖 3. 生成 AI とローカル AI エージェント

まず線引きをしておきます。ここまでの事例で、被害を受けた企業や当局が「AI が使われた」と社名つきで公表した例はありません。JPCERT/CC は 10月15日、国内で相次いだ不正アクセス事案の攻撃基盤を調べる中で「攻撃者がAIを利用して、既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認しました」と書きましたが、どの組織の事案かは示していません。一方で、警察庁は生成 AI を悪用した不正アクセス事件の検挙事例を年報に載せ、海外の AI 事業者やセキュリティ企業は、自社のサービス上で観測した攻撃者の AI 利用を報告しています。この章はその公表資料の言葉だけで組み立てます。英語の原文には、筆者の日本語訳を「訳：」として添えます（訳は筆者）。

3-1. 攻撃側は「指揮役＋役割別のエージェント」へ

AI エージェントとは、AI 事業者ガイドラインの定義では「特定の目標を達成するために、環境を感知し自律的に行動する AI システム」です。1 つの AI に質問して答えをもらう使い方と違い、エージェントは自分で道具（ツール）を呼び出し、結果を見て次の行動を決めます。複数のエージェントを組み合わせる構成について、Anthropic のエンジニアリング記事は次のように説明しています。

“In the orchestrator-workers workflow, a central LLM dynamically breaks down tasks, delegates them to worker LLMs, and synthesizes their results.”

訳：オーケストレーター・ワーカー型のワークフローでは、中央の LLM がタスクを動的に分解し、ワーカー役の LLM に割り振り、その結果を統合する。

この同じ骨格が、攻撃側の報告に現れています。

図は攻撃側の報告と防御側の製品に共通する形を、筆者が 1 枚にまとめたものです。違うのは、ツールの先に何をつなぐかと、人間がどこで止めるかだけです。報告の原文を時系列で並べます（訳は筆者）。

Anthropic（2025-08） — AI が攻撃の助言役から実行役になった

“Agentic AI has been weaponized.”

訳：エージェント型 AI が兵器化された。

Anthropic（2025-11） — 人間の介入は 1 回の作戦で 4〜6 回の重要な判断点だけ

“the threat actor was able to use AI to perform 80-90% of the campaign”

訳：脅威アクターは、作戦の 80〜90% を AI に実行させることができた

Anthropic（2026-09） — 補助役から指揮役へ

“Cyber operations: From assistant to orchestrator”

訳：サイバー作戦：補助役から指揮役へ

GTIG（2026-09） — 多エージェントの仕組みを実戦に投入

“Adversaries are deploying multi-agent frameworks that autonomously manage scanning pipelines, resolve operational errors, and execute credential harvesting at scale.”

訳：攻撃者は、スキャンの処理の流れを自律的に管理し、運用上のエラーを解決し、認証情報の収集を大規模に実行する多エージェントのフレームワークを展開している。

GTIG（2026-09） — 認証情報の大量窃取を 6 時間未満で組み立てて実行

“…plan, build, and execute an agent-enabled mass credential harvesting campaign in under six hours.”

訳：…エージェントを使った認証情報の大量収集キャンペーンを、6 時間未満で計画し、構築し、実行する。

OpenAI（2025-10） — 既存の手口に AI を組み込んでいる

“building AI into their existing workflows, rather than building new workflows around AI”

訳：AI を中心に新しいワークフローを作るのではなく、既存のワークフローに AI を組み込んでいる

警察庁（2026-03） — 民間企業の報告として紹介

「AI エージェントによりサイバー攻撃の全工程をほぼ自律的に実行できることを示している」

Anthropic の 2025年11月の報告（GTG-1002）は、構成をもう少し具体的に書いています。オーケストレーター役の AI が作業を分けてサブエージェントに配り、ツールとの接続には MCP（Model Context Protocol：AI がツールやデータに接続するための共通の取り決め）を使っていた。そして “human oversight remained concentrated at strategic decision gates”（訳：人間の監督は、戦略上の判断ゲートに集中したままだった）。警察庁の年報も、社名は出さずに「国家を背景とするサイバー攻撃グループがAI を利用し、人間の介入なしにサイバー攻撃を実施したとの民間企業の報告がある」と紹介しており、内容はこの報告と一致します。

2026年9月の Anthropic の報告は、この形が広がったことを示しています。“That operating model has now proliferated across every class of actors we investigated."（訳：その運用モデルは今や、私たちが調査したあらゆる種類の攻撃者に広がっている）。影響工作では “a great deal is embedded within persistent memory files”（訳：多くは永続メモリのファイルの中に埋め込まれている）、つまり 1 回ずつの指示ではなく永続メモリのファイルに運用が埋め込まれていた、とも書いています。

日本に直接触れた記述もあります。GTIG の 2026年5月の報告です。

“a suspected PRC-nexus threat actor deploying agentic tools like Hexstrike and Strix against a Japanese technology firm and a prominent East Asian cybersecurity platform”

訳：Hexstrike や Strix のようなエージェント型ツールを、日本のテクノロジー企業と東アジアの著名なサイバーセキュリティ・プラットフォームに対して展開している、中国との関連が疑われる脅威アクター

社名も被害の有無も書かれていません。言えるのは、日本の企業もエージェント型の攻撃の対象として観測されている、というところまでです。同じ報告は、AI で開発されたとみられるゼロデイ攻撃（修正が出る前の脆弱性を突く攻撃）を初めて確認したとも書いています。

国内の検挙事例は、もっと身近な形です。警察庁の年報の「AIを悪用した不正アクセス事件一覧（抄）」は 6 件で、うち 5 件が 10 代でした。例として、生成 AI で作った自作プログラムで通信事業者の eSIM 契約システムのぜい弱性を使い他人名義の回線を契約した事件や、高校生（17歳）が生成 AI を悪用して複合カフェのアプリのサーバーに約 724 万件の不正な指令を送り会員情報を漏えいさせた事件が載っています。Anthropic の 2026年9月の報告の一文 “Sophisticated attacks no longer require sophisticated attackers”（訳：高度な攻撃に、もはや高度な攻撃者は必要ない）が、そのまま当てはまる例です。

3-2. 攻撃者がローカルモデルを選ぶ理由

商用の AI サービスは、事業者が利用を監視し、悪用が分かればアカウントを止めます。上の報告の多くも、その監視から生まれたものです。では攻撃者が、手元で動かすオープンウェイトのモデル（重みが公開され、自分の機械で動かせるモデル）を使うとどうなるか。一次資料に書かれている理由は 2 つです（訳は筆者）。

商用 AI の API 監視を避ける — GTIG 2026-09

“By using a local, open-weight model deployed in compromised infrastructure, … is able to avoid commercial AI API monitoring, while co-opting victim compute resources.”

訳：侵害したインフラに配置したローカルのオープンウェイトモデルを使うことで、…は商用 AI の API の監視を避けられ、同時に被害者の計算資源を流用できる。

アカウント停止が効かない — Anthropic 2026-09

“The platform ran fully on-premises using local models. … Account enforcement actions do not affect the deployed product.”

訳：そのプラットフォームは、ローカルモデルを使って完全にオンプレミスで動いていた。…アカウントへの措置は、配布済みの製品には影響しない。

GTIG の例では、モデルを置いた場所は侵入先のインフラで、計算資源まで被害者のものを使っていました。Anthropic の例は、攻撃者向けに作られた製品がローカルモデルで完結して動き、事業者がアカウントを止めても配布済みの製品には影響しない、というものです。ほかにも OpenAI の 2026年2月の報告は “the use of locally-deployed AI models such as DeepSeek and Qwen”（訳：DeepSeek や Qwen のような、ローカルに配置した AI モデルの利用）を、Anthropic の 2026年9月の報告は商用モデルと自前のモデルの併用を記録しています。

ここから見えるのは、事業者の監視という網の外に出る動きです。Anthropic 自身が “we only have visibility into Claude usage”（訳：私たちに見えるのは Claude の利用だけだ）と書くとおり、各社の報告は自社のサービス上で見えたものに限られます。

3-3. 防御側も同じ骨格を手元で組める

骨格が同じなら、防御側も同じ形を使えます。すでに製品になっているものでは、Microsoft Security Copilot の「Phishing Triage Agent」が、報告されたメールを “classify each submission as a real threat or a false positive”（訳：提出されたものを一つずつ、本物の脅威か誤検知かに分類する）し、Google SecOps の「Triage Agent」はアラートを調べて、本物か誤検知かを確信度つきで返します。Anthropic も 2025年11月の報告で、SOC（セキュリティ監視の拠点）の自動化、脅威の検知、脆弱性の評価、インシデント対応で AI を試すよう防御側に勧めています。

ただ、メールやログには個人情報や社外秘が含まれます。AI 事業者ガイドライン（第1.2版）は、AI システムに機密情報や個人情報を「不適切に入力することがないよう注意を払う」ことを求め、別添では AI エージェントで「内部データが意図せず外部に送信される」おそれにも触れています。そこで考えられるのが、判定を手元の機械の中で済ませる構成です。

部品の桁は、当サイトの過去記事で見えています。関数を選ぶだけに特化した 14MB の LLM「Needle 2」は、Raspberry Pi 公式ブログの計測で、Pi 5 の CPU だけで関数の選択に 78ms でした（Needle 2 の記事）。埋め込みモデルの EmbeddingGemma 2 は、当サイトの実測で Pi 5（8GB）の CPU で検索 1 回が約 0.4 秒、最大メモリ 3.39GB でした（Google AI 実験室 #4）。判定の結果を起票する側は、自作の Web アプリに MCP を生やした記事の形がそのまま使えます。

ローカルで動かす土台も揃っています。Ollama や llama.cpp はローカル LLM の実行環境で、Cisco の Foundation-Sec-8B は Llama 3.1 8B をもとにしたセキュリティ特化のオープンウェイトモデルです（配布元の説明は “can be deployed locally, reducing dependency on cloud-based AI services”、訳：ローカルに配置でき、クラウドベースの AI サービスへの依存を減らせる）。オープンソースの SIEM である Wazuh も、Ollama と組み合わせてクラウドに頼らない脅威ハンティングの構成例を公開しています。

3-4. 限界 ── AI は何をまだできていないか

報告の書き手たちは、AI の能力を大きく見せることにも慎重です。限界として書かれていることを、攻撃側と防御側に分けて並べます（訳は筆者）。

幻覚する — Anthropic 2025-11

“It occasionally hallucinated credentials or claimed to have extracted secret information that was in fact publicly-available.”

訳：AI はときどき認証情報を幻覚で作り出したり、実際には公開されていた情報を機密情報として抜き出したと主張したりした。

新しい手口ではない — Anthropic 2026-09

“None of the operations in this report depended on some entirely novel technique… Instead, the economics of the attacks have changed.”

訳：この報告の作戦はどれも、まったく新しい手法に頼ったものではなかった…そうではなく、攻撃の経済性が変わったのだ。

大事な判断は人間 — Anthropic 2026-09

“humans have retained the decisions that matter most to them: … target selection, monetization of findings, and review of results.”

訳：人間は、自分たちにとって最も重要な判断を手放していない：…標的の選定、得られた成果の収益化、結果の確認。

完全自律は未観測 — GTIG 2026-09

“GTIG has not yet observed threat actors deploying fully autonomous pipelines against targets in the wild.”

訳：GTIG は、脅威アクターが完全に自律したパイプラインを実際の標的に対して展開する例を、まだ観測していない。

構図を変える飛躍はまだ — GTIG 2026-02

“GTIG has not yet observed APT or information operations (IO) actors achieving breakthrough capabilities that fundamentally alter the threat landscape.”

訳：GTIG は、APT や情報工作（IO）のアクターが、脅威の状況を根本的に変えるような飛躍的な能力を獲得した例を、まだ観測していない。

見えるのは自社の上だけ — Anthropic

“we only have visibility into Claude usage”

訳：私たちに見えるのは Claude の利用だけだ

1 つ目の幻覚は、攻撃側にとって実害のある弱点です。Anthropic の報告では、AI が存在しない認証情報をでっち上げたり、公開情報を機密情報と取り違えたりしたため、攻撃者は結果を確かめ直す必要がありました。人間の判断点が残っている理由の 1 つがこれです。

2 つ目と 3 つ目を合わせると、公表資料の主旋律が見えてきます。AI で新しい攻撃が生まれたのではなく、盗んだ認証情報・修正されていない入口の機器・フィッシングといった既知の手口が、速く安く回るようになった。Anthropic は “AI autonomy compresses the cost side of attacker ROI calculations”（訳：AI の自律性は、攻撃者の投資対効果の計算のうち、費用の側を圧縮する）とも書いています。第 2 章で見た「VPN が 6 割」という入口の偏りは、AI の時代になっても変わっていません。JPCERT/CC が国内の連続した事案で確認した AI の使い道も、「既知の脆弱性のスキャン」でした。

4 つ目は時間の問題でもあります。GTIG は同じ報告で “human-in-the-loop latency is dramatically reduced, compressing the traditional window for defenders to respond”（訳：人間が介在することによる遅れは劇的に縮み、防御側が対応できる従来の時間の幅を圧縮している）と書いています。人間の判断点が残っていても、そのあいだの作業が速くなれば、防御側が気づいて動ける時間は短くなります。

防御側の限界も書いておきます。Anthropic の研究用エージェントの記事は “multi-agent systems use about 15× more tokens than chats”（訳：多エージェントのシステムは、チャットのおよそ 15 倍のトークンを使う）と書いており、多エージェントの構成は計算の量がかさみます。MCP の仕様は “Tools represent arbitrary code execution and must be treated with appropriate caution."（訳：ツールは任意のコード実行にあたり、相応の注意をもって扱わなければならない。）と明記しています。判定役のエージェントにメールの添付を開かせたり、隔離や停止の操作を任せたりするなら、そのツール接続自体が新しい入口になります。エージェントを封じ込める難しさは、評価環境を「脱走」した AI の記事でも扱いました。

🛡️ 4. どうすれば防げたのか ── 企業側の対策

公表文には、原因と並んで再発防止策も書かれています。ここでは各社が実際に打ち出した対策を、入口・委託先・復旧・決済画面の 4 つに分けて拾います。

4-1. 入口を閉じる

いちばん踏み込んだのはアサヒです。2026年2月の再発防止策で「リモートアクセスVPN装置の全面廃止」を掲げ、ゼロトラスト型の PC へ移行するとしました。ゼロトラストとは「社内のネットワークにいるから信用する」をやめ、通信ごとに利用者と端末を確かめる考え方です。入口の機器を最新に保つ競争から降りて、入口そのものをなくす選択です。アスクルは全リモートアクセスでの MFA の徹底と EDR（端末上の不審な動きを検知して止める仕組み）を打ち出しました。デジタル庁は「脆弱性管理方法の見直しや、外部からの接続方法の改善」を挙げ、KDDI とさくらインターネットも EDR の導入・拡大を公表しています。

アフラックの事例は別の種類の入口です。公表文は、アクセスの形式が「通常の利用時と同様であったことから、不正アクセスとして直ちに検知することができませんでした」と書いています。正しい扉から正しい形式で入られると、入口では止められない。だから「短時間に大量のデータ照会」という使われ方の異常を見る仕組みが要る、という教訓を自ら書いている点は、他社にも持ち帰れる知見です。

パッチの当て方の優先度については、Microsoft の 10 月のパッチの記事、クラウド基盤の脆弱性の実例は PwnEscape の記事で扱っています。

4-2. 委託先まで目を届かせる

個人情報保護法の第25条は、個人データの取り扱いを委託したら「委託を受けた者に対する必要かつ適切な監督を行わなければならない」と定めています。経産省・IPA の「サイバーセキュリティ経営ガイドライン Ver3.0」も、重要 10 項目の 9 番目に「委託先を含むサプライチェーン全体の状況把握及び対策」を置いています。

委託先が起点になった事例は、この 1 年で目立ちました。東海大学の第2報は、委託先で「データを持ち帰るなどの運用ルールと異なる対応」があったことと並べて、「本法人においても、委託先への個人情報の安全管理が徹底されておりませんでした」と自らの側の不足も書いています。第一興商の事例では、委託先の PC 1 台に委託業務の個人データが「一時的に保管されて」いました。2026年10月の大和証券と損害保険ジャパンの例では、問い合わせの管理という周辺の業務に使う外部サービスに、氏名・メールアドレス・口座番号（大和証券）や運転アラートの情報（損害保険ジャパン）までが預けられていました。監督の範囲は、基幹システムの委託先だけでなく、問い合わせ窓口のような周辺のサービスまで含めて考える必要があります。再発防止策としては、第一興商が委託先管理の検証を、東海大学が統合 ID の一括リセットを、NEC が「委託先に当社管理の端末を貸与する」ことを挙げています。

2024年のイセトー（印刷・発送の受託）の事例では、PPC が行政指導の中で具体的な認定をしています。VPN 機器は「令和３年４月以降、アップデートを行っておらず」、管理者パスワードは「平成 29 年２月から同じ」「英小文字のみの 11 桁」で、「多要素認証を導入していなかった」。委託元は 41 団体、再委託元を含めると約 100 団体に及びました。委託先の「入口の管理」まで確かめる範囲に入れる必要があることを、数字で示した例です。ソフトウェアの供給網については、GitHub Actions の lockfile の記事も参考になります。

4-3. 戻せるバックアップを持つ

警察庁の数字では、バックアップから復元できたのは 99 件中 20 件でした。IPA の「中小企業の情報セキュリティ対策ガイドライン」は 2026年3月の第4.0版で、従来の「5か条」に「バックアップを取ろう！」を加えて「情報セキュリティ6か条」にしています。

IDCF の続報は、バックアップの置き場所の大切さを示しました。第3報では仮想サーバーのデータについて「取り出しや復元が困難な見通し」としていましたが、第5報で「スナップショット機能」を使っていた 194 契約者はバックアップを取り出せると案内し、10月18日の第6報では「IDCFクラウド バックアップ」の提供を再開して、IDCF クラウド以外の環境にも復元できるようにしました。利用企業の側では、ニッスイが子会社の日水物流のシステム障害について「委託先である株式会社IDCフロンティアが第三者による不正アクセスを受けたことに伴いシステム障害が継続」と公表し、10月20日に「日水物流の全17拠点において通常の入出荷業務に移行」したとしています。取るだけでなく、別の場所に戻せることを確かめておく。そこまでがバックアップです。

借りているサーバーの事業者の側で問題が起きると、利用者の設定とは関係なくサーバーが止まることがあります。お名前.com デスクトップクラウドは、FX の自動売買（MT4/MT5）を 24 時間動かす用途として案内されている VPS です。10月20日に一部のサーバー環境で不正なプログラムの設置を確認すると、事業者は被害の拡大を防ぐため、21日 4 時から全プランのサーバーを順次停止しました。前夜の 18 時 30 分時点の案内では「ご契約中のサーバーはメンテナンス中もご利用いただけます」としていたものが、翌朝には全台停止に変わった形です。不正なプログラムが置かれていなかったサーバーも、再開までは使えません。事業者が利用者に求めているのは、サーバー内に保管・利用している ID・パスワードなどの認証情報の速やかな変更と、同じパスワードを使っている他のサービスの変更です。IDCF の例と合わせると、事業者の判断で止まる時間がありうる前提で、データと復旧の手段をその事業者の外にも持っておくことが、利用者の側でできる備えになります。

4-4. 決済画面を見張る

クレジットカード・セキュリティガイドライン（6.1版）は、いまの漏えいの中心を「非保持化を実現した EC加盟店においてWebサイトの脆弱性等を原因としてカード情報が窃取されている」と書いています。経産省の検討会資料（2022年）も「ECサイト加盟店の非保持化の限界」として、「非保持化だけでは漏えい対策は不十分との認識がなく」と指摘していました。

ガイドラインは EC 加盟店に、非保持化に加えて 5 つの脆弱性対策（管理画面のアクセス制限と ID・パスワード管理、ディレクトリの露見を防ぐ設定、Web アプリの脆弱性対策、ウイルス対策ソフト、不正な有効性確認への対策）を求めています。国際基準の PCI DSS でも、決済ページで動くスクリプトを一覧で管理して改ざんを検知する要件が、2025年3月末から有効になりました。

漏えいが起きると、ガイドラインはカード決済の一時停止とフォレンジック調査を求め、再開は「契約するカード会社（アクワイアラー）の判断」です。パッケージショップJP は 2025年9月に決済を止め、再開は 2026年4月13日でした。

⚖️ 5. 企業は何を求められているか ── 法律とガイドライン

ここからは、企業に課されたルールを条文の言葉で確かめます。所感で書く苦言は、この章の条文と、実際の事例との距離として述べます。

5-1. 持たないこと ── 利用目的と消去

個人情報保護法は、まず利用目的をできる限り特定させ（第17条）、その範囲を超える扱いを禁じています（第18条）。そして第22条で、利用する必要がなくなった個人データは遅滞なく消去するよう「努めなければならない」と定めます。努力義務です。「必要最小限しか持ってはいけない」と直接定めた条文はなく、この 3 つの組み合わせが根拠になります。PPC のガイドラインは消去の例として、懸賞品の発送が終わって不着対応の期間が過ぎた場合を挙げています。

保有の量と期間が、漏えいの規模にそのまま効いた例を並べます。

5-2. 持つなら、量に応じて守る

第23条は安全管理措置を義務づけ、ガイドライン 3-4-2 はその中身を、本人が被る権利利益の侵害の大きさを考え、取り扱う個人データの「性質及び量を含む」リスクに応じて決めるよう求めています。たくさん持つほど、重い措置が要るということです。ガイドラインの別添には技術的な措置の例として「自動更新機能等の活用により、ソフトウェア等を最新状態とする」も挙がっています。

5-3. 漏えいしたら、いつまでに報告するか

個人情報保護法の施行規則は、サイバー攻撃のように「不正の目的をもって行われたおそれ」がある漏えいや、本人の数が千人を超える漏えいなどを報告の対象にしています。速報は「速やかに」で、ガイドラインは目安を「概ね3～5 日以内」としています。数え始めは会社の「いずれかの部署が当該事態を知った時点」です。確報は 30 日以内、不正目的のおそれがある場合は 60 日以内です。図の中段の基幹インフラ事業者の期限（能動的サイバー防御法）と、右の EU サイバーレジリエンス法（CRA）の期限は、第 7 章で扱います。

5-4. カード情報のルール

割賦販売法の第35条の16は、EC 事業者を含むカード加盟店に、カード番号等の漏えいを防ぐ措置を義務づけています。経産省は、クレジットカード・セキュリティガイドラインを「セキュリティ対策義務の実務上の指針」と位置づけており、ガイドラインに沿うことが法の義務を果たす道筋になります。そのガイドラインが、セキュリティコードを「PCI DSSによりそれ単体での保持も認められていない」情報としています。

持たない規則は、保存された情報を盗まれる攻撃には完全に効きます。 しかし入力の瞬間を横取りする攻撃には効きません。そこを埋めるのが、4-4 の脆弱性対策と改ざん検知です。

🙋 6. 個人でできる防御

企業の漏えいは個人には止められません。それでも、漏れた後の被害の大きさは自分の設定で変えられます。公的機関の資料にある対策を、層の形に並べ直したのが次の図です（並べ方は筆者の整理です）。

6-1. パスワード・パスキー・多要素認証

KDDI の事例では 7,616,173 名分のパスワードも対象に含まれていたように、パスワードそのものが漏えいの対象になることがあります。同じパスワードを別のサービスで使い回していると、1 か所の漏えいが全部の鍵になります。パスワードマネージャーでサービスごとに長いパスワードを作り、使えるところではパスキー（端末の生体認証などで、パスワードを送らずにログインする方式）か多要素認証を有効にします。パスキーは偽サイトに入力させられる余地がないため、金融庁が「フィッシングに耐性のある」と書いているのはこのためです。

6-2. フィッシングは「見分けない」

警察庁は、見た目でリンクの真偽を判断するのは「非常に困難」とはっきり書き、公式サイトをブックマークに登録するか公式アプリを使うよう勧めています。警察庁の上半期の報告も、フィッシングは「AI 技術の発達により、文章の自然さや偽装の精度が大幅に向上」したと書いています。メールや SMS のリンクから開かない、を決めごとにするのが近道です。金融機関が ID やパスワードをメールや SMS で問い合わせることはありません。

6-3. 漏えいの通知が来たら・カードの守り

漏えいの通知を受けた個人向けの、公的な専用の手順書は見当たりませんでした。以下は、警察庁・フィッシング対策協議会・金融庁の資料を組み合わせた筆者の整理です。

1. 漏れたサービスと同じパスワードを使っているサービスを、すべて変更する
2. そのサービスでパスキーか多要素認証を有効にする
3. カードの明細と利用通知を確かめ、覚えのない取引があればすぐカード会社に連絡して止め、再発行する
4. 金融機関を名乗る電話は一度切り、正規の番号にかけ直す

カードの補償には期限があります。三井住友カードは申告日から遡って 60 日前までの利用を補償、JCB は明細の通知後 60 日以内の届け出が必要と、数え方は会社ごとに違います。自分のカードの規約で確かめておきましょう。ネット専用の別番号（バーチャルカード）は、改ざんされた画面に入力すれば同じように盗まれます。効くのは、被害の範囲を限ることと、差し替えが簡単なことです。駿河屋とパッケージショップJP は、カードの再発行手数料を利用者に負担させないようカード会社に依頼したと公表しています。

電話番号を乗っ取る SIM スワップ（なりすましで SIM カードを再発行させる手口）にも注意が要ります。福岡県警の資料は、SMS で届くワンタイムパスワードを「絶対に教えない」よう呼びかけています。

6-4. 家のルーターも入口になる

企業の侵入口の筆頭が VPN 機器だったように、家庭ではルーターが入口になります。総務省と NICT の NOTICE は、管理用パスワードを安全なものにし、ファームウェアを最新にするよう呼びかけ、乗っ取られたルーターは「サイバー攻撃の踏み台」になると書いています。総務省は「古いWi-Fi機器を利用しないようにしよう」「使わなくなった機器を放置しないようにしよう」とも書いています。

🔭 7. これからどうなるか

7-1. 能動的サイバー防御法

正式名は「重要電子計算機に対する不正な行為による被害の防止に関する法律」です。2026年10月1日に本体が施行され、基幹インフラの 15 分野・258 事業者は、重要なシステムのサイバーインシデントを知ったときに事業所管大臣と内閣総理大臣へ報告する義務を負いました。期限はランサムウェアなどで「認知した日から３～５日以内」、詳報が 30 日以内です。国が攻撃に使われるサーバーにアクセスし無害化する措置も、この日に始まりました。通信情報を使う仕組みは 2027年11月22日からです。基幹インフラ以外の一般企業に、新しい報告義務が直接課されたわけではありません。

7-2. 改正個人情報保護法

2026年7月10日に成立した改正法は、課徴金を新設しました。対象は不適正な利用・不正な取得・違法な第三者提供などで、安全管理措置（第23条）の違反は対象外です。「漏えいした企業に課徴金」という制度ではありません。ほかに、委託先の義務の見直し、ランサムウェアなどの報告窓口を国家サイバー統括室のもとで一元化する方向での調整、第三者の確認を前提に一定の範囲で速報を免除する仕組みなどが盛り込まれています。政令と規則は PPC で検討中です。

7-3. EU CRA と経済安全保障

EU のサイバーレジリエンス法は、デジタル要素を持つ製品のメーカーに、悪用された脆弱性を知ってから 24 時間以内の早期警告、72 時間以内の通知を求め、その報告義務は 2026年9月11日から始まりました。EU に製品を出す日本のメーカーも対象です。国内では経済安全保障推進法の基幹インフラ制度が、クレジットカードを含む 15 の事業で、重要な設備の導入や維持管理の委託に計画書の届出を求めています。

7-4. AI エージェントで攻撃は速く、安くなる

AI 事業者の見通しは一致しています。Anthropic は 2026年9月に “more actors, from lone wolves to organized entities, will continue to adopt AI frameworks to enable more sophisticated cyber attacks at greater speed and scale."（訳：一匹狼から組織化された集団まで、より多くのアクターが AI のフレームワークを取り入れ続け、より高度なサイバー攻撃を、より速く、より大規模に行えるようになるだろう。）と書き、警察庁も「AI で自動化したサイバー攻撃が今後増える可能性がある」としています。同時に、GTIG は構図を変える飛躍はまだ観測していないと書き、Anthropic は変わったのは技術ではなく経済性だと書いています。国のサイバーセキュリティ戦略（2025年12月閣議決定）は「防御側としても AI の活用を引き続き進めていく」としました。AI による脆弱性の発見の加速は、Linux カーネルの「AI パッチ洪水」、AI 事業者の脅威報告の読み方は「Kimi の裏で Claude」報告の記事でも扱っています。

🔧 技術者の所感

✅ まとめ

• 2025〜2026年の主な事例で、公表された侵入口は VPN・ネットワーク機器、盗まれた認証情報、委託先・他社製ソフトに集中。2026年10月は委託先と会員向けアプリ・Web の仕組みを挙げる公表が相次ぎ、1 社で 1,000 万件を超える会員情報の漏えいも続いた。共通の委託先を名指ししたのは大和証券と損害保険ジャパンだけで、ほかの会社の公表文に共通の委託先は書かれていない。警察庁の統計でもランサムウェアの入口の 6 割以上が VPN 機器で、2026年上半期の被害報告 123 件は半期で過去最多
• バックアップを取っていても、そこから復元できたのは 99 件中 20 件。別の場所に戻せることまで確かめておくことが要る
• EC のセキュリティコードは「保存されていたから」ではなく、改ざんされた決済画面で入力の瞬間に盗まれた。保存禁止のルールと、決済画面の改ざん検知の二段で閉じる
• AI エージェントは攻撃の 8〜9 割を担う段階まで来たが、公表資料の主旋律は「新しい手口」ではなく「既知の手口が速く安く回る」こと。完全自律の攻撃はまだ観測されていない。防御側も同じ骨格を手元で組める
• 2026年10月1日から基幹インフラに報告義務。改正個人情報保護法の課徴金は安全管理措置の違反を対象にしていない

この記事で、どの入口から破られ、何が漏れ、法律が何を求めているかを、一次資料の言葉でたどれたはずです。次の一手は、企業ならリモートアクセスの入口と委託先の入口を棚卸しし、持っている個人データの量と期間に理由を書けるか確かめること、個人なら主要なサービスでパスキーか多要素認証を有効にし、カードの利用通知をオンにすることです。タイムズカーの調査結果（10月23日予定）、IDCF の続報、JPCERT/CC の 2026年7〜9月の四半期レポートは、出しだい本記事に追記します。

よくある質問（FAQ）

Q. ランサムウェアの侵入口で一番多いのは何ですか？

A. 警察庁の令和7年の統計では、感染経路の有効回答 92 件のうち VPN 機器が 61 件、リモートデスクトップが 19 件でした。警察庁は「VPN…機器が６割以上を占める状況」と書いています。企業の公表文でも、アサヒ・ハウステンボス・デジタル庁 GSS などがネットワーク機器や VPN からの侵入を挙げています。

Q. 生成 AI は日本企業への攻撃に使われたのですか？

A. この記事で扱った日本企業の事例で、企業や当局が「AI が使われた」と社名つきで公表した例は見当たりません。一方で、警察庁は生成 AI を悪用した不正アクセス事件の検挙事例を年報で公表しており、海外では Anthropic が攻撃工程の 80〜90% を AI が担った事例を報告しています。GTIG は日本のテクノロジー企業がエージェント型の攻撃の対象になったと報告していますが、社名や被害の有無は書いていません。国内では JPCERT/CC が、相次いだ不正アクセス事案で攻撃者が AI を使って既知の脆弱性のスキャンなどをしていたことを確認したと書いていますが、組織名は示していません。

Q. 2026年10月に会員情報の漏えいが相次いだのは、同じ委託先が原因ですか？

A. 各社の公表文で同じ委託先の名前を挙げているのは、大和証券と損害保険ジャパン（どちらも株式会社スカラコミュニケーションズ）だけです。焼肉きんぐ・バーガーキング・ローソン・ソースネクストなどの公表文には、共通の委託先や外部サービスの名前は書かれていません。JPCERT/CC は、一連の攻撃は「一つの共通するソフトウェアの脆弱性を悪用しているのではなく」、標的ごとに既知の脆弱性を探している可能性があるとしています。

Q. 漏えいした企業はいつまでに報告しなければならないのですか？

A. 個人情報保護法では、PPC への速報は「速やかに」で、ガイドラインの目安は知った時点から概ね 3〜5 日以内です。確報は 30 日以内、サイバー攻撃のように不正の目的のおそれがある場合は 60 日以内です。基幹インフラ事業者は 2026年10月1日から、能動的サイバー防御法に基づく報告も必要です。

Q. カードのセキュリティコードは保存禁止なのに、なぜ漏れるのですか？

A. 保存された情報を盗まれたのではなく、改ざんされた決済画面で、入力した瞬間に抜き取られたためです。駿河屋は決済ページの JavaScript、パッケージショップJP はペイメントアプリケーションが改ざんされていました。対照的に、データベースを盗まれたショップサーブでは、保持していなかったセキュリティコードは漏えいしていません。

Q. 漏えいの通知が来たら何をすればいいですか？

A. 同じパスワードを使っているすべてのサービスでパスワードを変え、パスキーか多要素認証を有効にします。カードが関わる場合は明細と利用通知を確かめ、覚えのない取引があればすぐカード会社に連絡します。補償には 60 日程度の届け出期限があることが多いので、自分のカードの規約で確かめてください。

Q. レンタルサーバーや VPS は使わないほうがいいのですか？

A. 使うかどうかより、止まったときに戻せるかが問題です。2026年10月には、IDCF クラウドがランサムウェア攻撃で止まり、お名前.com デスクトップクラウドは不正なプログラムの設置を受けて全プランのサーバーを順次停止しました。IPA は中小企業向けの「情報セキュリティ6か条」にバックアップを加え、警察庁の統計ではバックアップから復元できたのは 99 件中 20 件でした。借りているサーバーのデータは事業者の外にも置き、実際に戻せるかを試しておくことが備えになります。サーバー内に ID やパスワードを置いている場合は、事業者の案内に沿って変更してください。

Q. 能動的サイバー防御法で何が変わったのですか？

A. 2026年10月1日から、基幹インフラの 15 分野・258 事業者に、重要なシステムのサイバーインシデントを報告する義務が生まれました。ランサムウェアなどは認知から 3〜5 日以内、詳報は 30 日以内です。国が攻撃に使われるサーバーにアクセスし無害化する措置も始まりました。通信情報の利用は 2027年11月22日からです。

関連記事

• PwnEscape（CVE-2026-99999）｜VMのパケットがホストを書き換える穴と確かめ方 — クラウド基盤のホストの穴
• Microsoft 10月パッチ 1,400件超｜リスクコホートで自宅PCに効く更新を見分ける — パッチ適用の優先度
• 不可視Unicodeマルウェア「GlassWorm」を解剖｜GitHub/npm/VSCode汚染 — ソフトウェアの供給網を狙う攻撃
• Word文書がCopilot経由で自己増殖する「AIワーム」の衝撃 — AI を使う側のリスク
• 14MB の関数呼び出し専用 LLM「Needle 2」が Pi 5 の LED を点ける — ローカルで動く小さな LLM
• GitHub Actions に lockfile｜actions.lock でタグすり替えを防ぎ依存を SHA 固定 — 開発の供給網を固める側の対策
• GPT-6 Astra 公開｜KiCadで基板を配線、サイバーは初の Critical — AI のサイバー能力の評価
• PHP に重大な RCE 2件｜8.4.27 などへ今夜更新・自分のサーバーの確かめ方 — 首相と国家サイバー統括室が更新を呼びかけた PHP の穴と確かめ方

参考

• 令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁）
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC）
• 情報セキュリティ10大脅威 2026（IPA）
• 個人情報保護委員会 令和7年度年次報告
• クレジットカード・セキュリティガイドライン 6.1版
• Disrupting the first reported AI-orchestrated cyber espionage campaign（Anthropic）
• From prompting to autonomy: the evolution of adversarial AI（GTIG）