2026年7月以降、国内のWebシステムやスマートフォンアプリを狙った個人情報の漏えい公表が後を絶ちません。ラックの調査によると、10月6日時点で119件に達し、うち約7割が7月以降に公表されています [3]。サイバー救急センターへの相談件数でも、サーバへの不正侵入が大幅に増加しており、この状況は一時的なものではないと捉えられています [3, 7]。攻撃経路もWebアプリケーションの脆弱性悪用、認証情報の窃取、APIの悪用など多岐にわたり、小売・ECだけでなく医療、公共・行政など幅広い業種が標的となっています [3]。
相次ぐ不正アクセス事案において、攻撃にAIエージェントが使用された証拠が見つかったとの報道もあります [3]。具体的には、攻撃者が約40分間で326ものIPアドレスを使い分け、1,200件を超えるアクセスを繰り返しながら情報窃取を試みていたケースが報告されています [4, 11]。AIエージェントは、人間が指示しなくとも自律的に学習・判断し、高速かつ大規模な攻撃を仕掛けることが可能であるため、その脅威は増大しています [5]。こうした状況を受け、総務省は通信事業者に対し、下請けを含む委託先まで含めたサイバーセキュリティ対策を義務付ける方向で検討を進めています。情報漏えい発生時には、業務の一時停止を指示する権限なども視野に入れているとのことです [2, 6, 13]。
今回のサイバー攻撃の増加と巧妙化を受け、企業は早急な対策が求められています。ラックは、少なくとも2026年8月以降のアクセスログ、APIログ、認証ログを重点的に確認し、認証なしでの大量データ取得や管理機能の不審な利用がないかを確認することを推奨しています [3]。また、総務省の検討のように、委託先を含めたサプライチェーン全体でのセキュリティ対策強化が不可欠となります [2, 13]。AIエージェントのような新たな脅威にも対応するため、最新の攻撃手法を把握し、防御策を継続的に見直していく姿勢が重要です [4, 5, 11]。
国内で多発するWebシステムからの情報漏えいは、AI技術の悪用も疑われるなど、サイバー攻撃の巧妙化・凶悪化を示しています。これに対し、総務省は通信事業者への対策義務化を検討するなど、国レベルでの対応を強化しています。企業は、ログの精査やサプライチェーン全体でのセキュリティ強化に加え、常に最新の脅威に対応できる体制を構築することが、被害を未然に防ぐための鍵となるでしょう。