IT時事ネタキーワード「これが気になる！」（第180回） 社会的関心が高まる今、見直したい情報保護

時事潮流 デジタル化

公開日：2026.11.13

　最近、サイバー攻撃や不正アクセスのニュースをよく目にする。影響が数百万件規模に及ぶ事案も発生し、多くの企業や利用者に影響を与えている。背景には既知の脆弱性を狙う攻撃に加え、AIを活用した攻撃の効率化や自動化があると指摘されている。本稿では、サイバー攻撃が頻発する背景を整理するとともに、企業と個人が実践すべき情報管理のポイントを解説する。

資料DLバナー_セキュリティおまかせ.png

サイバー攻撃が急増。その背景には何がある？

　サイバー攻撃のニュースが後を絶たない中、筆者自身も「自分の情報は大丈夫なのか」と不安に感じることがあった。実際に「情報が外部に漏れた可能性があります」という通知メールを受け取り、パスワード変更などの対応に追われた経験もある。

　不正アクセスなどサイバー攻撃の被害は増加傾向にある。その要因の1つとして考えられるのが、サイバー攻撃手法の構造的な変化と、AIによる攻撃の効率化だ。

　JPCERTコーディネーションセンター（JPCERT/CC）は、2026年10月8日に「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公開した。この中で、国内組織に対する不正アクセスのうち、特に増加している攻撃類型を取り上げた。具体的には、ソフトウエアの既知の脆弱性を探索して攻撃するケースや、アプリケーションの管理用APIに対し、スマートフォンアプリなどから不正なリクエストを送信して情報を書き換えるケースなどが報告されている。

　さらに同年10月15日には「連続不正アクセス事案の攻撃手法に関する調査」を公開。「攻撃者がAIを利用して、既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認しました」と述べている。調査では、Android向けアプリケーションの配布ファイルなどを解析し、関連するAPIの脆弱性をAIで調査していた痕跡が確認されたという。

　つまり、以前から存在していた脆弱性を狙う攻撃に、AIによる解析や自動化が加わることで、攻撃者はより効率的に標的を探し、攻撃を実行できるようになっているということだ。こうした変化が、企業や組織にとって情報セキュリティのリスクを一段と高めているといえるだろう。

狙われるのはメールだけではない、変化するサイバー攻撃の手口

　サイバー攻撃における「攻撃手法の構造的変化」について、従来と現在の違いを比較してみよう。

　従来の代表的な攻撃手法は、従業員宛ての標的型メールに添付されたファイルを開かせ、マルウエアに感染させるなどして、企業の内部ネットワークへの侵入を試みるものが主流だった。現在ではそれに加えて、外部に公開されたアプリケーションやAPI、ネットワーク機器などの脆弱性を直接狙う攻撃が問題になっている。

　具体的には、スマートフォンアプリなどを解析してAPIの通信先や認証に関する情報を調べ、サーバー側のAPIに不正なリクエストを送信する手口や、VPN機器・公開ウェブサーバーなどの脆弱性や設定の不備を突いて侵入する手口などだ。さらに、こうした脆弱性の探索や解析などにAIを利用することで、攻撃の効率が高まっている。

　つまり、外部公開されたアプリケーションやAPI、ネットワーク機器の弱点が、以前よりも効率的に発見され、攻撃に悪用されやすくなっているのだ。では、こうした攻撃から企業の情報を守るには、何をすればいいのだろうか。

　独立行政法人情報処理推進機構（IPA）は、「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」を公開し、企業や組織に対して速やかな点検と対策を呼びかけている。「速やかに行うべき点検」として挙げているのは、「外部に公開しているアプリケーションの精査」「自組織が利用している外部サービスの洗い出し」「保有データの再点検」の3点だ。これらの点検結果を踏まえ、外部公開アプリケーション、利用中の外部サービス、保有データのそれぞれについて、必要な対策に取り組むよう求めている。

　企業や組織にとって重要なのは、従来の攻撃手法への対策に加え、外部公開アプリケーションやAPIなど、新たに狙われやすくなっている領域にも目を向けることだ。AIの利用によって攻撃がより容易かつ効率的になる可能性も踏まえ、IPAの注意喚起などを参考に、自組織のシステムや保有データを速やかに点検し、必要な対策を講じていきたい。

情報セキュリティのリスクを減らす、情報管理の基本

　今回の一連のサイバー攻撃では、大量の個人情報が流出している。中には退会者など、すでに利用する必要がなくなったと思われる情報まで含まれていたケースもあった。

　先ほど紹介したIPAの注意喚起でも、「保有するデータについて取り組むべき対策」として、保有データの再点検を求めている。盗まれた情報の悪用や公開を材料とした脅迫など、二次被害を抑えるためにも、「不要な情報は持たない」という原則に基づき、自社が保有する情報資産を正確に把握し、必要最小限に整理することが重要だ。

　個人情報保護法では、利用する必要がなくなった個人データについて、「遅滞なく消去するよう努めなければならない」と規定している。この趣旨を踏まえ、サービス退会時や契約終了時には、法令上の保存義務や業務上の必要性を確認した上で、不要になったデータを速やかに消去・廃棄する運用を整備したい。

　また、手作業による消去処理は、消し忘れなどの不備が生じやすい。例えば、保存期間を過ぎたデータを自動的に削除する仕組みなどを設けるとともに、不要な情報がクラウドやサーバー、バックアップなどに残っていないか、定期的に棚卸しする運用も有効だ。

　個人ユーザー側でも、いつでも自分が被害に遭う可能性のある昨今、サービスに登録する情報を必要最小限に抑える工夫をしたい。加えて、パスワードの使い回しを避ける、多要素認証を有効にする、不審なメール・SMS・電話を警戒する、クレジットカードの利用明細を定期的に確認する、使わなくなったサービスの退会や登録情報の削除を検討する、といった対策を心がけよう。

　企業も個人もまずは保有・登録する情報を必要最小限に抑え、適切に管理することが大切だ。サイバー攻撃を受けた場合に備え、被害の拡大や二次被害をできるだけ抑えるための対策を進めていくとよいだろう。

サイバー攻撃の進化に対応するための実践ポイント

　今後、企業や組織には、自社もサイバー攻撃の被害に遭う可能性を前提とした対策が、ますます求められるだろう。

　多くの企業では、顧客や従業員などの個人情報を保有し、さまざまな業務システムや外部サービスを利用している。こうした情報やシステムが攻撃対象となり得ることを踏まえれば、IPAが示している点検項目や対策は幅広い企業にとって参考になるはずだ。

　もし、自社だけでは点検や対策を行うノウハウ、人材などが不足している場合は、ITベンダーやセキュリティの専門事業者などに相談し、必要に応じて外部の支援を受けることを検討したい。

　IPAの注意喚起には、経済産業省の「サイバーセキュリティ経営ガイドラインと支援ツール」をはじめ、政府機関からの注意喚起や、活用できるIPAの各種施策なども紹介されている。こうした情報を参考に、自社に合った対策を進めるとよいだろう。

　また、IPAの「サイバーセキュリティ 相談・届出窓口一覧」では、相談内容や目的に応じた相談先・届出先を確認できる。実際に不正アクセスなどのインシデントが発生した場合には、事案の内容に応じて、適切な報告・届出を行いたい。

　一方、個人ユーザー向けには、IPAの「情報セキュリティ安心相談窓口」がある。ウイルス感染や不正アクセスなど、一般的な情報セキュリティに関する技術的な相談に対応しているため、困ったときには相談内容や利用方法を確認して活用するとよいだろう。

　AIの悪用によって、サイバー攻撃はさらに高度化・巧妙化していく可能性がある。しかし企業も個人も、保有する情報を見直し、基本的なセキュリティ対策を着実に実施することが、被害の予防や軽減につながる。サイバー攻撃の手法が変化しても、日頃からの備えを怠らず、必要に応じて専門家の力も借りながら、情報と信頼を守っていきたい。

「情報セキュリティ」に関するよくある質問

Q1. サイバー攻撃にAIが使われると、どんなことが起こるのでしょうか？

　AIはサイバー攻撃の「加速装置」や、攻撃のハードルを下げるツールとして悪用されるおそれがあります。脆弱性の探索や攻撃の一部を自動化することで、より高速かつ大量に攻撃を実行しやすくなるためです。また、AIにプログラムやスクリプトの作成を支援させることで、攻撃に必要な作業の一部や技術的なハードルが下がる可能性もあります。さらに、専門知識を持つ攻撃者がAIを悪用した場合、攻撃がより巧妙になることも懸念されます。

Q2. 運転免許証などの本人確認書類が紛失・流出した場合、なりすましによる不正契約の防止に役立つ本人申告ができると聞きました。実際に申告できるページのURLを教えてください。

　JICC、CIC、全国銀行個人信用情報センターの本人申告を受け付けている主な窓口は以下のとおりです。ただし、登録によって不正契約を確実に防げるわけではないため、制度の対象や利用条件を確認しておきましょう。

指定信用情報機関 日本信用情報機構（JICC）「不正利用防止の届け出」
指定信用情報機関 シー・アイ・シー（CIC）「本人申告を申し込む」
全国銀行協会 全国銀行個人信用情報センター「本人申告の手続き」

Q3. AIを使ってサイバー攻撃を防ぐ仕組みはあるのですか？

　AIを活用してサイバー攻撃を検知・防御する仕組みは、企業や公共機関などでも導入が進んでいます。例えば、生成AIを活用して偽サイト（フィッシングサイト）を自動的に判別・検出するツールや、AIによって未知の不正プログラムの機能や挙動を分析する仕組みなどがあります。また、政府や警察でも脅威や違法・有害情報の探索・分析、不正プログラムの解析などにAIを活用する取り組みが進められています。

※掲載している情報は、記事執筆時点のものです

執筆＝青木 恵美

長野県松本市出身。独学で始めたDTPがきっかけでIT関連の執筆を始める。書籍は「自分流ブログ入門」「70歳からはじめるスマホとLINEで毎日が楽しくなる本」など数十冊。Web媒体はBiz Clip、日経xTECHなど。紙媒体は日経PC21、日経パソコン、日本経済新聞など。現在は、日経PC21「青木恵美のIT生活羅針盤」、Biz Clip「IT時事ネタキーワード これが気になる！」「知って得する！話題のトレンドワード」を好評連載中。

【MT】

あわせて読みたい記事

  • IT時事ネタキーワード「これが気になる！」（第180回）

    社会的関心が高まる今、見直したい情報保護

    時事潮流 デジタル化

    2026.11.13

  • IT時事ネタキーワード「これが気になる！」（第179回）

    Microsoftが「Copilot」アプリを統合、廃止される機能や個人・法人の使い分けに要注意

    時事潮流 デジタル化

    2026.10.16

  • IT時事ネタキーワード「これが気になる！」（第178回）

    Windows 11の新機能「ポイントインタイム リストア」が提供開始。わずか数分でPCをトラブル前の状態へ

    時事潮流 デジタル化

    2026.09.09

「時事潮流」カテゴリーから探す

連載バックナンバー

IT時事ネタキーワード「これが気になる！」

もっと見る

カテゴリー　一覧