日本企業が「サイバー攻撃はAIのせい」にして目を背ける“本当の原因”：専門家たちは見抜いていた（1/3 ページ）

国内企業を揺るがす一連の不正アクセス被害で、AIによる自律型攻撃ツール「ARTEX」の関与が判明した。短時間で広範囲に仕掛けられる攻撃に注目が集まるが、専門家たちが一様に指摘するのは「使われた侵入経路そのものは従来と変わらない」という厳しい現実だった。有識者たちの視点から、見せかけの先進技術に惑わされず足元を固めるための具体策を探る。

[田渕聖人，＠IT]

　2026年9〜10月にかけて国内企業で相次ぐ一連の不正アクセスと情報漏えい事案について、事態は大きな局面を迎えた。

　GMOサイバー犯罪対策センターは2026年10月19日、一連の不正アクセスに中国で開発されたAIツール「ARTEX」が使われていたことを確認し、さらに日本企業を標的としたAI攻撃インフラを新たに6台発見したと発表した。

　標的とされた企業の中には、実際に9〜10月にかけて被害を公表した8社が含まれており、AIが自律的に脆弱（ぜいじゃく）性を探し出し、業種やセクターを絞って短時間で一気に攻撃を仕掛けるという「新たな脅威」が国内で現実のものとなったことが証明された格好だ。

　CrowdStrikeによる韓国の金融機関への攻撃分析に続き、国内でも裏付けられた「AIによる攻撃の自動化・高速化」。しかしこの事態に対し、10月上旬の段階で早くもその構造と本質を見抜いていた専門家たちがいた。

　＠ITは2026年10月6〜9日にかけて、名和利男氏や川口洋氏、杉浦隆幸氏、西尾素己氏、上野宣氏をはじめとした日本のセキュリティ界をけん引する第一線の専門家およびハッカー視点を持つ有識者たちに緊急インタビューを実施。企業が取るべきセキュリティ対策を聞いた。

• 名和利男氏「使わなくなった環境に残る情報が被害につながる」
• 川口洋氏「脆弱（ぜいじゃく）性や設定不備は、何カ月、何年も前からそこに存在した」
• 杉浦隆幸氏「AIエージェントの侵害能力が、一般的なセキュリティ技術者を上回った」
• 西尾素己氏「被害企業のほぼ全てが直前に認証情報の売りが出ている」
• 上野宣氏「『日本の被害はAIのせい』と言うと、本当の原因から目がそれる」
• 匿名「基本的な対策は、お金をかけなくてもやれる」

回答者：名和利男氏「使わなくなった環境に残る情報が被害につながる」

プロフィール

情報セキュリティ大学院大学 セキュアシステム研究所 客員研究員

インタビュー回答日：2026年10月6日

Q：被害増加の背景には何があると考えているでしょうか？

　まず9月以降に被害の報告が相次いでいることと、同じ時期に攻撃そのものが急増したことは、分けて見る必要があります。以前の侵害が調査によって明らかになった事例や、被害範囲の判明に伴う追加公表も含まれるためです。一つの委託先や共通サービスへの侵害から、複数の企業が被害を公表する場合もあります。そのため「9月から急増した理由」を一つに絞って説明することには慎重であるべきだと考えています。

　その上で、私が重視しているのは、1カ所の侵害が広い範囲の情報や業務に影響する構造です。遠隔保守やクラウドの利用、委託先との情報連携が広がる一方で、誰がどこまでアクセスできるのか、どこに情報が残っているのかを、十分に把握できていない場合があります。認証情報を悪用されると、正規の利用に似た操作で情報を取得され、異常の発見が難しくなることもあります。

　契約を終えた委託先や、使わなくなった環境に残る情報が被害につながる点も見過ごせません。自社の現行システムだけを点検していても、把握し切れないリスクがあります。

　こうした被害の広がり方は、公表事例から読み取れます。一方、今回の一連の事案を、AIの悪用や特定の攻撃主体による一斉攻撃で説明できるだけの根拠は、現時点では確認できていません。

Q：企業が今やるべきセキュリティ対策とは何でしょうか？

　私なら、まず「外部から入れる経路」「情報を取り出せる権限」「止まった後に戻せる手段」の3つを確認します（DFIR《Digital Forensics and Incident Response》の現場で助言・代行対処しているポイントであり、実際に効果があったものです）。

　外部接続ではVPNや遠隔保守、クラウドの管理アカウントなどを洗い出し、不要な接続やアカウントを止めることです。脆弱性への対応や多要素認証に加え、委託先の接続も含めて、誰が管理し、問題が起きた際に誰が止められるのかを確認しておく必要があります。

　情報へのアクセスでは、ログインの成否だけでなく、その後に何を、どの程度取得しているかを見ることが重要です。大量の照会やダウンロードを検知・制限できるかどうか、後から影響範囲を調べられる記録が残るかどうかを確かめます。委託先や旧環境に残る不要なデータを減らすことも、被害を小さくする対策になります。

　復旧については、バックアップがあるというだけでは十分ではありません。本番環境と一緒に侵害されないかどうか、実際に復元できるかどうか、重要な業務を何時間で再開できるかまで確認する必要があります。委託先のサービスが止まった場合の代替手順も含めて考えるべきです。

　これらは情報システム部門だけでは決められません。どの業務を優先して守るのか、いつ接続やサービスを止めるのか、取引先や利用者に何を伝えるのかについて、経営、業務、IT・セキュリティの担当者が、平時から判断基準と役割を合わせておくことが重要です。

回答者：川口洋氏「脆弱性や設定不備は、何カ月、何年も前からそこに存在した」

プロフィール

川口設計　代表取締役

インタビュー回答日：2026年10月9日

Q：被害増加の背景には何があると考えているでしょうか？

　恐らく何らかのAIの使用により多数の調査と攻撃を実施したのだろうと思いますが、何も証拠はありません。

　被害に遭った組織の脆弱性や設定不備は突然発生したわけではなく、何カ月、何年も前からそこには存在したわけです。

　それが今まで運よく攻撃者のターゲットにされてこなかっただけで、問題がある状態を放置して、被害につながったと考えています。

　9月以降発生している多くの事件の共通点が何であるか、国家サイバー統括室（NCO）やJPCERT/CC、独立行政法人情報処理推進機構（IPA）などに情報が集まって共有されることを期待します。

Q：企業が今やるべきセキュリティ対策とは何でしょうか？

　リリースされたJPCERTの注意喚起を読んでください。ここに集約されていますね。