セキュリティ

国内企業で不正アクセスや個人情報漏えいの公表が相次ぐ中、企業のセキュリティに対する意識はどう変化しているのか。調査から、大企業と中小企業の意識や対応の違いが明らかになった。

旅行予約サイト「skyticket」で、約1464万件の個人情報が流出した恐れがあることが分かった。会員のログインパスワード約413万件分に加え、別の事案では返金先の口座情報、バスの予約情報も対象となった。運営元のアドベンチャーが公表した3件の事案から、何が漏れ、どのような二次被害が懸念されるのか。

「自社は攻撃されていないのに、サービスが止まる」――そんな事態が現実になった。IDCフロンティアの「IDCFクラウド」がランサムウェア攻撃を受け、495の企業や自治体に影響が及んでいる。さらにSNSには、クラウド基盤そのものへの侵害をうかがわせる“犯行声明”も現れた。一体何が起きたのか。

2026年9月、不正アクセス被害の公表が相次ぎました。その理由を説明できる仮説が、AIエージェントによる攻撃の高速化です。「魔の9月」は、AIを悪用したサイバー攻撃が本格化する序章なのでしょうか。

エイチ・アイ・エスは、タイ現地法人のファイルサーバが不正アクセスを受け、最大627人分のパスポート情報などが外部へ流出した可能性があると発表した。データ混在により特定は手作業となり、調査に時間を要したという。

問い合わせ情報の管理を委託していた1社への不正アクセスにより、5社に影響が及んだ。委託先で何が起き、どのような情報が流出した恐れがあるのか。各社への影響と、不正アクセス後の動きを追う。

IPAは相次ぐ不正アクセス被害に向けて、公表事例から判明した、今狙われているシステムや攻撃手法の傾向から企業が直近でやるべき具体的なセキュリティ対策を示した。企業は今すぐチェックしてほしい。

証券口座を狙う攻撃なのに、最初に狙われるのは証券会社とは限らない。SBI証券が注意を呼び掛けたのは、GoogleやAppleなどのアカウントを足掛かりに、クラウドの認証情報が悪用されるケースだ。なぜ別サービスのアカウントが証券口座につながるのか。

冷凍食品メーカーのアクティブは、同社が運営する通販サイトに第三者からの不正アクセスがあり、最大5万4916件の顧客情報が外部に漏えいした可能性があると発表した。SQLインジェクション攻撃を受けた。4つの再発防止策を挙げている。

生成AIを導入すれば、ヘルプデスクの問い合わせは減る――。そう考えているなら、少し見方を変えた方がいいかもしれません。AIに回答させた件数だけを見ていると、本当に改善すべき問題を見落とすからです。これからのヘルプデスクに求められる役割とは何でしょうか。

不正アクセスで漏えいの対象になるのは、個人情報だけとは限らない。修道学園では口座情報まで漏えいした恐れがあるという。教育機関でも相次ぐ、情報を狙ったサイバー攻撃の実態とは。

AIがサイバー攻撃に使えること自体は、もはや驚きではない。では、そのAIの安全策を攻撃者自身が変えられるとしたらどうだろうか。Anthropicが公開した中国製AIモデル「GLM-5.3」の安全評価は、オープンウエートモデルを巡る別のリスクを浮かび上がらせた。

大きな話題になっているタイムズカーの不正アクセス被害。免許証画像160万件の漏えいを招いたこの事件の裏では“20年前のシステム”が動き続けていた。被害原因と今後漏えい被害者が取るべき対策を考える。

楽天ドライブは、使用する一部システムへの不正アクセスが発生したと発表した。管理用認証情報が不正取得され、対象アカウント1万5382件分のユーザーデータ（写真や文書など）が取得、閲覧されたことを確認しているという。

Gambit Securityは、AIエージェントを使う攻撃で多数の通販事業者が侵害されたと報告した。被害はカード情報計60万件超もの窃取やスキマー設置、データ消失などで標的1社当たりの費用は平均25.46ドルだった。

最近「AIを守る」ことの必要性を感じる企業は多くなっているかもしれません。ただ、何をどう守れば安全なのかについてはまだ十分な答えを持っているところは少ないでしょう。水面下で高まるAIのサイバーリスクにどう備えるか。実被害の事案から分析します。

アンケートサイト「infoQ」で不正アクセスが発生した。対象は最大94万8498件で、氏名や住所、電話番号などの個人情報が含まれる。さらに、一部会員のポイントが本人の意思によらずAmazonギフトコードに交換され、被害は286万円分に上った。何が起き、なぜポイントまで狙われたのか。

今後顕在化する可能性があるAIエージェントの暴走リスク。これを引き起こす背景にはユーザーが入力するプロンプトが関係していた。一体どんな指示を出すとAIは想定外の挙動をしてしまうのだろうか。

「焼肉きんぐ」の公式アプリで、登録会員のほぼ全件に当たる1078万件超の個人情報が漏えいした。パスワードや決済情報は対象外だったというが、氏名やメールアドレス、電話番号は流出した。不正アクセスの原因はまだ明らかになっていない。

大和証券の顧客約11万人に関する情報が、同社ではなく外部の委託先サーバへの不正アクセスによって漏えいした可能性がある。口座への不正アクセスや不正取引は確認されていないという。

「Googleのドメインだから大丈夫」「CAPTCHAがあるから本物」――そんな判断が通用しないフィッシング事例が報告された。偽WebサイトはGoogleの正規サービスに置かれ、パスワード管理ツールまで入力候補を提示したという。

「自社のメールサーバが、知らないうちに攻撃の踏み台になっていたら」――。ローソンで約70万件の不審な英文メールが外部に送信される事案が発生した。配信先は海外が中心だったが、国内への配信も確認。さらに送信元アドレスを偽装したメールもあった。企業のメール基盤は、どこまで守れているだろうか。

日本原子力研究開発機構の研究支援サイトで2419件のファイルが不正アクセスに遭い、原子力研究施設の利用者が提出した身分証200件や6人分のマイナンバーなどが漏えいしたことが発覚した。

サイバー攻撃を受けたら、自分たちのシステムを守る。そんな従来の防御に、政府が新たな一手を加える。2026年10月1日から始まった「サイバー対処能力強化法」の一部施行で、攻撃に使われるサーバなどへの対処が制度化された。また、基幹インフラ事業者にはインシデント報告義務も課される。変更の詳細をまとめた。

AIが脆弱性を探し、攻撃にも防御にも使われる時代、企業が取るべき具体的な道筋は何か。IPAは「情報セキュリティ白書2026」を公開し、サイバーセキュリティの現状を整理した。本稿は全208ページの中から押さえておきたいポイントをまとめた。

Googleは、ソフトウェアの脆弱性の発見から修正までを自動化するオープンソースのハーネス「Mantis」を公開した。

ほぼ日は、自社サービスを支えるシステムのセキュリティ対策の強化を進めたものの、システムごとに必要な対策の見極めや、積み上がるアラートへの対処が課題になっていた。この状況をどう見直したのか。

タイムズカーは、Webシステムへの不正アクセスについての調査結果を発表した。退会者を含む約660万件のアカウント情報が第三者に取得され、運転免許証画像などが流出したという。漏えい情報を悪用した二次被害についても注意が必要だ。

2026年9月に発生したデジタル庁の不正アクセス被害。最大24.6万件の情報漏えいはなぜ発生してしまったのか。デジタル庁からの報告や有識者の知見を基に、今回の対応で“残念過ぎた3つのポイント”を解説する。

CitrixのNetScaler ADC／Gatewayで8件の脆弱性が公開された。そのうち2件は「緊急」（Critical）のゼロデイで、既に世界規模で悪用されているという。CISAが要求した異例の対応とは。

不正アクセスや認証情報の窃取による被害を防ぐために、IDとパスワードだけに頼らない対策の一つになるのが「多要素認証」（MFA）だ。ネットワークに接続しない環境でも利用できる多要素認証の仕組みをソフト技研が発表した。