日本企業が「サイバー攻撃はAIのせい」にして目を背ける“本当の原因”：専門家たちは見抜いていた（3/3 ページ）

[田渕聖人，＠IT]

　この他、匿名ではある有識者から以下のような見解も聞けた。

回答者：匿名「基本的な対策は、お金をかけなくてもやれる」

インタビュー回答日：2026年10月9日

Q：被害増加の背景には何があると考えているでしょうか？

　推測ですが、攻撃者は既に漏えいしている認証情報や調べ上げた脆弱性情報を使ってAIを用いて一斉攻撃を行っている（行った）のではないかと考えています。認証情報の漏えいは2026年に入ってから話題になったAI関連ツールに埋め込まれた悪性コード経由、情報窃取型マルウェア経由、フィッシングなどさまざまな経路があり得ますが、知らず知らずのうちに漏れています。認証情報は漏れる前提で考える必要があり、「漏れても使い回せない」を基本とすべきです。

　「なぜ今なのか？」は分かりませんがAIの性能がこなれてきてAIエージェント攻撃のノウハウもたまってきたことなどが背景ではないかと考えています。AIを使った攻撃は少人数で多数の攻撃先に短時間で高度なことを行えるのが特徴です。ログを見るとAIによる攻撃っぽさが残るのか？　というのは個人的にはビミョーではないかと思います。

Q：企業が今やるべきセキュリティ対策とは何でしょうか？

　セキュリティ対策としてやるべきことは特に目新しいことはありません。今まで言われているセキュリティ対策のうち、特に基本的な事を確実に遂行することが重要です。今の時代は、「自分たちが重要だと思っている、守りたいところ」だけを守るのではなく、「攻撃者が攻撃したくなる」ところを全て、満遍なく、速やかに守ることが必要です。

　そういう基本的な対策は、お金をかけなくてもやれることの方が多かったりします。そんな仕事はアウトソースしようとしても誰も引き受けてくれないかもしれません。

　また、侵害されたかどうかの調査を行いたい場合は、AIエージェントを用いて調査することで人間の調査の10倍速（当社比）で10倍正確（当社比）の結果が得られます。もちろんAIを用いた調査は100％うのみにしてはいけません。AIの調査結果の真正性を人間が検証するか、別のAIに検証させる必要があります。

　なお、組織的な対策としては、事案が起きた場合の対応体制（レジリエンス）として経営視点も含めた検討をすることが中心ですがそれに加えて「今までの対策のスピード感ではもう追い付かない」という現実と向き合い組織的な価値観を変革することが必要です。AIによって世の中が変わらなければならないのは、物事を進めるための「速さ」です。そもそも、サイバー攻撃への対応は攻撃側が圧倒的に有利だという状況の中で、攻撃側がAIを使って能力強化してしまったということが不幸な現実でしょう。

後書き：これまでのセキュリティ対策が試される世界で

　今回の専門家たちの見解を振り返ると、ARTEXのようなAIツールの登場を待たずして、攻撃側のAIによる攻撃の高速化・高度化はある程度予期されていたものだったと言える。実際、今回の不正アクセス被害が激増する以前にもAIの攻撃利用の痕跡はところどころで観測されていたからだ。

　では、なぜここまで被害が拡大した要因かと言えば、別の記事でも専門家が見解を述べていたが、これまで対策の優先順位が下がっていた故に長年にわたって蓄積されてきたWebサイトのさまざまな不備や設定のゆがみが、AIによって「再発見」されたことに起因している。

　公開されているAndroidアプリを解析し、接続先のバックエンドサーバを狙う「A2B攻撃」（App-to-Backend Attack）にも注目が集まっている。しかしこれも以前から存在するアプリ解析とバックエンドへの攻撃を組み合わせた手法に、新たな名称が付けられたもので、侵入に使われている手口そのものは目新しいものではない。

　つまり、今回の一連の事案は目新しい脅威が企業を襲ったのではなく、単純化して言えば「企業がセキュリティ対策を真剣にやってきたかどうか」が試されていると記者は感じた。

　ここで言う「真剣」とは「初めからきちんとセキュリティに投資をして完璧な対策を講じる」ということではない。残念ながら「これを導入すれば完璧」といったセキュリティ対策は現状存在しないのでそういったことは難しい。

　ここで記者が言いたいのは「企業がこれまでセキュリティ対策をどのくらい網羅的かつ定期的に実施してきたか」という点だ。特に定期的というのがポイントで、AIによる脆弱性発見・エクスプロイト能力が強化されている今、「細かく点検して穴をふさぐ」という基本的な対策は、従来の半年に一回といったペースではなく、より短いスパンで回すことが求められる。

　しかし、これを「真剣」にするためには経営層のコミットが必要不可欠だ。点検のためにサービスを停止させる必要があるし、場合によってはこれまで事業への影響からメスを入れてこなかったサービスにもチェックを走らせなければならない。IT・セキュリティ部門だけではその判断はできないだろう。

　「ウチのような会社が狙われるはずがない」という前提が完全に崩壊した今、経営層にこそこの問題を真剣に考えてほしい。ぜひ、セキュリティのプロフェッショナルたちのコメントの中で、自社に足りていない対策があれば積極的に取り組んでもらいたい。

　最後に、匿名で頂いた、ある専門家からのコメントで「複数の事案において関連性が疑われる状況にありながらいまだに被害が続いていることから、当事者・関係者双方において適切な情報開示・共有が行われていないことが背景にあるのではないか」といった意見も寄せられた。

　日本企業の間ではまだまだインシデント事例は「隠す」もの、なるべく公にしないものという考え方が根強い。またオープンとは言わずとも、コミュニティー間での情報交換もなかなか進んでいないのが現状だ。情報を得たいという人だけが集まり、インタラクティブに情報や事例が交換されずコミュニティーがうまく回らないという課題も関係しているかもしれない。

　記者は被害に関連した情報は世間に包み隠さず公開してほしい。しかしそれが難しいのであれば、少なくとも防御に関連した知見を企業間で積極的に共有・交換する風潮は育ってほしいし、今回ほど被害が拡大すればそうした文化は多少醸成されるのではないかと思っている。