ニュース
「既知の脆弱性を対策すれば、AIが大きな脅威とは言いがたい」「個人情報漏えいの被害は何年も続く」、森井名誉教授が語るサイバー攻撃の現状
GMOへの攻撃は「直接顧客の個人情報を人質に取るランサムウェアの新形態」
2026年11月2日 06:45
神戸大学名誉教授であり、神戸市サイバー攻撃対策アドバイザーなどを務める森井昌克氏は、「昨今の相次ぐサイバー攻撃による情報漏えいは、AIが次々と脆弱性を発見したり、AIによる攻撃が増えたりしていることだけが原因ではない」とし、「AIは脅威ではあるが、脆弱性にしっかりと対処ができれば、大きな脅威になるとは言いがたい」との考えを示した。
キヤノンITソリューションズ株式会社（キヤノンITS）が10月28日に開催したメディア向け説明会に登壇し、言及したもので、「今回、漏えいした個人情報の被害は、何年も続く」と警鐘を鳴らしながら、「情報を漏えいさせてしまった企業は、一時的に注意を喚起するだけでなく、長期間に渡って、情報漏えいによる被害を監視し、注意を訴える義務がある」との考えも示した。GMOやタイムズカーなどによる情報漏えい問題を例にしながら、企業のサイバーセキュリティ対策についても提言した。
説明会では、「いま知るべきサイバーセキュリティ～国の動向と、相談現場が映す“次の一手”」と題し、森井名誉教授が、社会問題化している日本企業へのサイバー攻撃の実態と影響などについて、私見を交えながら解説した。
サイバー攻撃の件数、実は「増えている」わけではない？
森井名誉教授は、「2026年9月後半から、サイバー攻撃を受け、情報漏えいをする企業の報道が相次いでいる。実際、9月20日以降の1カ月間に、サイバー攻撃を受けたと公表した企業名を並べると、かなりの企業数になる」としながら、「だが、見方を変えるとそうでもないことがわかる」とも述べた。
サイバー攻撃を公表した企業のなかには、IDCフロンティア、スカラコミュニケーションズ、コミューンなどのクラウドサービスを提供する企業から、複数の被害が発生している例があり、これらを1社とみなすと、2026年1月にサイバー攻撃を受けたとして公表された企業数とあまり変わらないという。「言い換えれば、サイバー攻撃を受けている企業は以前から多い」と、森井名誉教授は指摘した。
たとえば、スカラコミュニケーションズへの不正アクセスでは、同社のシステムを利用する大和証券、シチズン時計、損害保険ジャパンなどでの顧客情報漏えいの可能性が公表されたほか、IDCフロンティアへのランサムウェア攻撃では、495の企業および自治体に影響が及んだという。「1社への攻撃が多数の被害報道につながっている。外部委託やクラウド利用は不可欠だが、委託先の安全管理状況を監査し、保存情報やアクセス権限を確認するとともに、障害時の代替手段を確保する必要がある」と述べた。
また、京王電鉄や東京メトロ、日本経済新聞社、大阪公立大学などへのサイバー攻撃の被害報道が行われたのに続き、タイムズカーでは約660万アカウントの情報が不正取得され、約160万アカウントで運転免許証画像が同時に漏えいしたことで、企業の経営層が自社システムの点検を指示し、過去の不正アクセスを発見するといった可能性があることを指摘。「サイバー攻撃は、本来、見えない状況で行われている。ランサムウェアを例にとれば、システムが動かなくなったところで初めて気がつく。2025年9月に発生したアサヒグループホールディングスに対するランサムウェア攻撃は、システム障害が起きる10日前から攻撃を受けていた。相次ぐ報道を受けて、10月に入ってからは、慌てて社内を調べた結果、サイバー攻撃を受けていたり、情報が漏えいしていたりしたことが発覚した例もある。実際、7月、8月からサイバー攻撃を受けていたと、10月に入って発表したケースが見られている」とした。
東京メトロでも、メール配信サービスの不具合を調査する過程で不審な利用記録が見つかったことを例にあげた。
AIだけではない、脆弱性対策が遅れることも大きな原因
昨今のサイバー攻撃では、AIを活用したものが多いとされているが、森井名誉教授は、「それだけが原因ではない」とする。
「AIによる攻撃ツールを利用しているケースもあるが、AIが次々と脆弱性を発見しているのは、犯行グループがその活動を行っているからではない。先端AIが、膨大なシステムから脆弱性を見つけるという作業を行っており、それはAIが得意とする領域である。その結果、多くの脆弱性が発見されている。マイクロソフトが発表している脆弱性の件数は、2025年は年間で約1000件であったが、2026年10月には、わずか1カ月間で約1400件に達している。サイバー攻撃の多くは、こうして発表された既知の脆弱性を狙ったものが多い。脆弱性に対処していないPCを狙っており、そのなかには大手企業も含まれている。むしろ、大手企業では、システムが複雑化しており、セキュリティパッチをあてたことにより、社内システムの一部が動かなくなることを懸念して、対応が遅れるといった事態が発生している」と指摘した。
JPCERT/CCから10月8日に発表された注意喚起でも、既知の脆弱性への対応を優先することが重要な取り組みのひとつとして示されており、「AIは、さまざまなソフトウェアの既知の脆弱性を探索し、攻撃を試行しているため、簡単に狙われてしまう。いまはスマホでのアプリ利用が一般化しており、とくに、アプリの管理用APIへの不正なリクエストによって、情報の不正な書き換えを行ったり、MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）を狙ったりした攻撃が多い。いずれも、既知の脆弱性を狙ったものである。対策が追い付いていない企業や、本質的な対策ができていない企業が多い。アスクルやアサヒグループホールディングスの教訓が生きていない」と述べた。
PHPの脆弱性問題についても、「古いバージョンのPHPのままにしている企業では、すぐに修正プログラムがあてられずに、対応に時間がかかっているケースがある」とし、企業側の意識に問題がある点も指摘した。
「いまのAIでは、新たな攻撃方法を構築できるとは考えにくい。果たしている役割は、脆弱性を見つけるということであり、1000人のエンジニアが、1年間かけて見つけてきた脆弱性を、AIは数分で見つけてしまう。つまり、これまで以上に万全な対策を取らなくてはいけないといえる。そうしなければ、『万が一』が、毎日起こる。だが、既知の脆弱性にしっかりと対処できれば、AIは脅威ではあるが、大きな脅威になるとは言いがたい」との考えを示した。
個人情報漏えい発生直後に「悪用の事実はない」のは当然のこと
そして、「一度漏えいした個人情報の被害は、何年も続くことになる」とも警告する。
「個人情報を漏えいさせてしまった企業の多くは、『現在のところ、情報漏えいによる悪用の事実はない』と発表するが、それは当然のことである。漏れた個人情報が、すぐに悪用されることはほとんどない。半年後、1年後、2年後に悪用されることが多く、詐欺行為などにも使われる」とし、「犯行側の立場からすれば、漏えいした情報を、すぐに悪用すれば足がつきやすく、個人側も警戒が強く、対策を取られてしまうと判断するのは当然のことである。だが、情報漏えいのことが忘れられ、注意や関心が薄くなったタイミングであれば、詐欺にも引っ掛かりやすくなる」との見方を示す。
「情報を漏えいさせてしまった企業は、一時的に注意を喚起するだけでなく、長期間に渡って、情報漏えいによる被害を監視し、注意を訴える義務があると、個人的には考えている」と語った。
GMOへの攻撃は「ランサムウェアの新たな形態」
GMOインターネット（GMO）が提供する「お名前.com デスクトップクラウド」に対する不正アクセスについても解説した。
GMOが提供するクラウドサービスでは、設置された利用者専用のエリアが用意された仮想専用サーバー（VPS）に対して、自分のPCからRDP（リモートデスクトッププロトコル）接続してアクセスして利用する仕組みになっており、仮想専用サーバー上の取引ツールには口座ログイン情報が保持され、その数は最大2万6739件に達していたという。
攻撃者は、RDPのドライブ共有機能を悪用し、リバースドライブを行い、1台の仮想専用サーバーからネットワーク全体を乗っ取り、仮想専用サーバーを通じて利用者のPCにアクセス。個人のPC内のファイルを閲覧して、個人情報を窃取したり、バックドアを設置し、その後もインターネット経由で遠隔操作をしたりといったことを行ったという。
「RDPの細かい設定ができていなかったのが原因ではないか」としながら、「すでに、利用者のPCが乗っ取られているため、個人が、GMOのサービスを利用停止しても、インターネットに接続した途端に、情報が窃取される環境になる。GMOが利用者に対して、PCの電源を抜くように要請しているのはそのためである」と説明。「直接、顧客の個人情報（プライバシー）を人質に取るという、ランサムウェアの新たな形態である」と位置づけた。
マイクロソフトでは、2026年4月に、RDPのドライブリダイレクトの設定に関する注意を呼びかけており、リダイレクトを制限するようにすることで、ローカルPCのファイルに不正アクセスできなくなるとしていた。
最後に、森井名誉教授は、「大手企業だけでなく、中小企業もセキュリティ対策をする必要があるが、なにから手をつけていいのかが、わからないという声も多い。そして、中小企業の多くは、すでにサイバー攻撃を受けているが、それに気がついていない状況にあるのが実態だろう。攻撃者は、大手企業から身代金を取るといった場合などに、犯行声明として公表するが、中小企業などに対しては、『あなたのPCを乗っ取っています』とは言わない。対策が遅れている中小企業は、大手企業の何10倍ものサイバー攻撃を受けているはずである」と想定。「実効力のある対策を考えなくてはならないが、それをセキュリティベンダーなどに依頼すると高額の費用が請求される。そのため、年商10億円以上の企業でないと、セキュリティ対策が取れないとも言われてきた。しかし、中小企業の約98％が年商10億円以下である。これまでは手を打てないというのが実態だった」とする。
中小企業のセキュリティには「SCS評価制度」が有効
だが、中小企業のセキュリティ対策の一歩として、2027年2月にも、経済産業省により発表されることが見込まれる「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を活用することが、中小企業には有効だと語る。2026年10月29日には、独立行政法人情報処理推進機構（IPA）から、要求事項や評価基準などのガイドラインが発表されている。
SCS評価制度は、企業のサイバーセキュリティ対策状況を共通基準として定め、★3～★5に分類し、評価および可視化する制度である。発注企業にとっては、取引先のセキュリティ対策水準と実施状況を把握しやすくなり、サプライヤーは複数の取引先から異なるセキュリティ要件に対応するといった負担が軽減。日本企業によるサプライチェーン全体のセキュリティ対策水準を底上げする狙いもある。
森井名誉教授は、「SCS評価制度は、必ず取得しなくてはならない厳格な基準ではなく、また、★3や★4の評価を得ることが目的ではない。また、サプライチェーンという文言が入っているが、サプライチェーンに参加していなくても、全ての企業のセキュリティ対策に適用できるものである。SCS評価制度では、7つの大分類に分けられ、25項目81チェックポイントが設定されており、これに対応できているかを確認することが重要である。81チェックポイントを全てクリアするというのは、中小企業にとってはかなりハードルが高い。だが、なにが足らないかを自覚するところから始めてほしい。SCS評価制度は、取得することが大切ではなく、これらのポイントを守ること、自社の本質的な弱点を知ること、対策ができなければ代替が可能な策を考えることが大切である。情報安全確保支援士などの専門家にチェックしてもらうことも大切である」とした。
セキュリティにおいて経営の関与を重視しなくてはならない
また、SCS評価制度では、「経営層の関与」が盛り込まれていることにも言及。「セキュリティは、情報システム部門だけの問題ではなく、経営課題として判断、関与しなくてはならない。経営が関与しないと実効性が続かない。ここを重視しなくてはならない」とも述べた。
一方で、「中小企業は、『サイバーセキュリティお助け隊制度』を利用することを推奨したい」とも語る。
サイバーセキュリティお助け隊制度は、IPAが実施しているもので、端末が20台程度の中小企業に対するサイバー攻撃への対処として不可欠な見守り、駆け付け、保険のサービスを、ワンパッケージにまとめ、民間の事業者から提供するものだ。森井名誉教授は、「月額1万円で、セキュリティ対策を、ワンパッケージで利用できる。有効な制度だが、利用が広がっていない」と残念がる。
2026年10月26日には、高市早苗首相が、「サイバーセキュリティお助け隊を、中小企業や小規模事業者が、十分に活用できるよう、体制や支援策の拡充を速やかに検討するように、赤沢亮正経済産業大臣に指示した」と発言。政府の想定を大きく下回る利用水準を是正する考えを示している。
「中小企業にとっても、できる対策はある。また、SCS評価制度への対応は、必ずしも特別な処置、装置が必要ということではない。資金や人的な余裕がないなかでも、可能な限りの対応してほしい」と呼びかけた。
なお、キヤノンITSでは、「セキュリティ対策診断サービスセキュリティ対策評価制度対応版」を提供し、自社の対応状況と不足点を可視化し、優先順位と今後の対応方針を整理できるようにしているという。
具体的な行動のため、最善策を提案可能
キヤノンITS サイバーセキュリティラボ マルウェアアナリストの一柳 遥氏は、「キヤノンITSの調査によると、SCS評価制度の認知度は77.5％と高く、取引先からの取得要請の可能性があると予測している企業は90.7％に達している。実際、発注側企業では71.6％が、SCS評価制度の対応を取引条件に組み込む意向を示し、取引先に求める最低限の★レベルとして、★4を挙げた企業が52.6％と過半数に達している」と指摘しながら、「SCS評価制度のことを認識し、対応する必要性を感じている企業が多いものの、実態としては、どう動けばいいのかがわからないという声が多い。制度の理解に留まらず、判断や実行に移すための具体的な支援が求められている」とも指摘した。
同社では、サイバーセキュリティラボを設置するとともに、専任セキュリティエンジニアを配置。企業のセキュリティ担当者に、ヒアリングを行い、報告書として説明。セキュリティ対策状態を可視化し、セキュリティの課題に対して優先順位をつけて最善策を提案することができるという。
キヤノンITSの一柳氏は、「企業は、セキュリティに対して、客観的な把握や効率的な把握ができず、具体的対応への移行が進まず、実行リソースを確保できないという課題がある。まずは、自社の現在地を知ることから始め、目標や優先順位を明確化することで、限られたリソースでも対応を進めていくことを提案したい。社内だけで解決しようとは考えず、必要に応じて、外部支援を活用するべきだ。SCS評価制度は、制度への対応ではなく、セキュリティ対策を具体化するための共通基盤として活用し、これをゴールとするのではなく、変化する脅威に備え続けることが重要である」と提言した。
