国内Web侵害119件、“情報漏えいドミノ”の背後でいま何が起きているか：止まらないセキュリティ事件の背景は？（1/2 ページ）

毎日のように企業が情報漏えいを公表している。国内Web侵害の公表件数は2026年10月6日時点で119件。この異常事態を引き起こす要因は何か。専門家のデータから、従来の攻撃者像だけでは説明しにくい動きと、WAFや脆弱性診断だけでは通用しないWebの穴が見えてきた。あらためて企業がすべきセキュリティ対策を問う。

[田渕聖人，＠IT]

　国内の法人・組織が運営するWebシステムからの個人情報漏えい・不正アクセス事案が、これまでにない規模とスピードで相次いでいる。マクニカのセキュリティ研究センターが公開情報などを基に独自集計したデータによると、国内Web侵害の公表件数は2024年通年で62件、2025年通年で84件だったのに対し、2026年は10月6日時点で既に119件（計265件）に達している。

国内Web侵害の公表件数の推移（出典：マクニカ公表資料）

　とりわけ異質なのはその集中度だ。119件のうち実に約68％にあたる81件が、2026年7月以降に集中して公表されている。従来、サイバー攻撃の主流といえばVPN機器の脆弱（ぜいじゃく）性を突いたランサムウェア攻撃や、ECサイトからクレジットカード情報を狙う攻撃が中心であり、一般的なWebシステムへの攻撃は相対的に沈静化したと見られていた。しかし、今起きている現象は多種多様なWebサイトを無差別に狙う新たなフェーズへと突入している。「しっかり対策を実施していた」「定期的に脆弱性診断をしていた」はずの大手企業や組織でさえ、なぜ相次いで陥落してしまうのか。

　＠ITでは、今起きている情報漏えい事案の現状をいち早くまとめた、マクニカのセキュリティ研究センターに所属する瀬治山豊氏にインタビューを敢行。2026年夏以降のデータと現場での観測事実をひもときながら、攻撃の背景にある可能性がある「AIの進化」と新たな脅威アクターの実態、企業が今すぐ講ずべき現実的なセキュリティ対策について話を聞いた。

長年蓄積されていた“負の遺産”が破裂　急増した漏えい被害の背景

――2026年10月時点で国内のWeb侵害が119件、そのうち7月以降が81件と急増しています。ここが一つのターニングポイントだと思うのですが、現場では具体的にどのような変化や予兆が観測されていたのでしょうか。

瀬治山氏：振り返ってみても、何か単一で決定的な大型インシデントが起きたわけではありません。ただ、2026年の7月ごろから「最近、Webを狙った被害公表を異常な頻度で見かけるな」という明確な違和感が生じ始めました。

　ではちょうどこの時期に何が起きたか。正直具体的な出来事は言えませんが、実生活やビジネスでAIの性能が「何でも任せられるレベル」に達し、しかも安価なモデルで利用可能になった時期が、2026年はじめだったと感じます。フロンティアAIレベルでなくとも、Webサイトの構造解析や脆弱性探索、データの自動抽出に十分使えるAIが普及したことは無関係とは思えません。

　なお、公表件数の推移データを振り返って見ると、実は4月ごろから類似被害の増加が観測されています。個人的には、攻撃側は春ごろからAIを使ったテストやデータ収集を開始し、準備調整を経て7月から一気に本格的な「収穫期」に入ったと見ています。また、漏えい被害件数増加の裏には、攻撃の激化も関係していますが、「他社が被害に遭ったので自社も調べてみたら被害が発覚した」というパターンも少なからずあると思います。

――これまでVPN機器や認証の不備を突く侵入が主流で、Webサイトへの攻撃は下火と見られていました。なぜ今、Webに攻撃が集中しているのでしょうか。

瀬治山氏：これは私も含めた、セキュリティ専門家でも予想できていなかった状況だと認識しています。企業はVPNやランサムウェア対策に多額の投資をし、Webサイトについては「WAF（Web Application Firewall）も導入し、診断も受けているから大丈夫」と後回しになりがちでした。

　攻撃者にとっても、Webから地道にデータを抜くよりVPN経由で内部ネットワークに入った方が価値の高い情報に早くアクセスできるため、攻撃側の関心も、防御側の対策や投資も、Web以外の領域に偏っていたように感じます。しかし、そうした状況の中で、Webサイトにはさまざまな微細な不備や設定のゆがみが長年にわたって蓄積されていました。

　そこに登場したのが低コストで高度な処理をこなすAIです。攻撃者がWAFでも防げないWebサイトの隠れた弱点や隙間をAIによって「再発見」し、まるで手つかずの“巨大な金脈”を掘り当ててしまったような状態が、直近で起きている現象の正体でしょう。

公表データから見えた攻撃の偏りと「第5の勢力」の正体

――マクニカの分析では、侵害されたWebサイトの用途がECサイトだけでなく多種多様であり、漏えいした情報も氏名や住所、予約履歴など多岐にわたっています。この傾向はこれまで無かったものでしょう。

被害を受けたWebサイト・サービスの構成（出典：マクニカ公表資料）

瀬治山氏：まさにそこが従来の攻撃と大きく異なる点です。これまではクレジットカード情報など「即座にお金に換えられる情報」が狙われていました。しかし今回は企業・組織はもちろん、大学のセミナーハウスや図書館の蔵書検索システムまで無差別に狙われています。

　攻撃者は金銭的な価値を事前に厳密に選別しておらず、個人情報がありそうなWebサイトやDBをAIに抽出させて片っ端から手当たり次第に集めているように見受けられます。マネタイズについても、事前に売買ルートを確保しているというより「手に入ったデータを後からどう悪用するか考える」というスタンスに見えます。一部ではフィッシング詐欺への悪用なども公表されていますが、ダークWebでの大規模売買などは確認されていません。

――そこがまさに不穏な点です。金銭目的であればある意味分かりやすいのですが。この無差別な攻撃を仕掛けているのは、どのような脅威アクターなのでしょうか。

瀬治山氏：現時点で断定はできません。しかし従来の「4大勢力」（国家主導のAPT、ランサムウェアなどの金銭目的アクター、ばらまき型攻撃者、それらを支えるツール屋や情報屋など）とは異なる、“第5の勢力”とも呼ぶべき新参の存在を感じます。技術的裏付けのない推測ですが、東南アジアなどで特殊詐欺をしていたグループなどが関与している可能性も議論されています。

　重要なのは、完全に素人の手口というわけではない点です。非常に詳しい人物がAIを巡回・解析させるためのプロンプトやワークフローを構築し、それをツール化して集団に使わせていると考えられます。何千何万というWebサイトの不備を調べ、アプリを解析してAPIにアクセスを試みるような手間の掛かる作業は、従来の手動作業では不可能です。AIによる高度な探索ワークフローが組み込まれていると見るのが自然です。