【検証】サイバー攻撃の公表が毎日のように続くのはなぜ？ 2026年、被害が急増している4つの原因

Security Note

2026/10/7

2026/10/13

国内で公表された不正アクセスなどの被害は、9月末までに600件。去年1年分（593件）をすでに超え、月あたりでは約35％多いペースです。

増えている主な理由は、①VPN機器などの「直していない弱点」、②見つかる弱点の数そのものの急増、③AIによる攻撃の効率化、④盗まれたパスワードや委託先経由の侵入、の4つが重なっていることです。

「毎日のように」見えるのは、数か月前の被害の発表が秋にまとめて出ていることも影響しています。AIは確かに攻撃を速くしていますが、増加の主因は今も「古い弱点の放置」です。

本当に増えているのか：数字で確かめる

9月後半から、タイムズカー、デジタル庁、ヤマト運輸、大和証券など、名前を知っている企業や役所の発表が続いています。「気のせい」ではなく、数字でも増加が確認できます。

表1：国内の企業・自治体が公表した不正アクセスなどの被害（トレンドマイクロ集計）

期間	件数	1か月あたり
2025年1〜12月	593件	約49件
2026年1〜9月	600件	約67件

9か月で前年1年分を超えました。1か月あたりで比べると約35％増で、過去最多を上回るペースです（月平均は本記事で計算）。

警察庁の統計でも、同じ方向の変化が出ています。

ランサムウェア被害の報告：2026年1〜6月は123件で、半年ごとの集計では過去最多。被害の約3分の2（79件）は中小企業です。
弱点を探す不審なアクセス：警察庁のセンサーが検知した回数は1日・1IPあたり13,687件で、前年同期より50.7％増えました。攻撃の「下見」が約1.5倍に活発になっていることを示しています。

なお、ランサムウェア被害は2022年に大きく増えて以降、ずっと高い水準が続いています。今年いきなり始まった問題ではなく、「高止まりしていたところに、さらに上乗せされた」と見るのが正確です。

なぜ「毎日のように」見えるのか：発表のタイミング

まず知っておきたいのは、発表の日は、攻撃された日ではないということです。

たとえばデジタル庁の政府共通基盤（GSS）の事案は、異常に気づいたのが6月25日、VPNの弱点を突かれたと判明したのが7月9日、公表が9月11日でした。調査に2〜3か月かかるのは珍しくありません。夏ごろの被害の調査が終わり、9月から10月に発表が集中した面があります。

また、システムの運用を引き受けている会社が1社攻撃されると、そのお客さんの企業や自治体がそれぞれ発表します。大和証券の事案（委託先のスカラコミュニケーションズへの不正アクセス）や、両毛システムズのランサムウェア被害（複数のガス会社や自治体に影響）がその例です。攻撃は1回でも、ニュースは何件にもなるのです。

2022年から、一定の個人情報漏えいは個人情報保護委員会への報告が義務になっています。以前なら表に出なかった被害が発表されやすくなったことも、件数を押し上げる要因です。

ただし、これらは「見え方」の説明にすぎません。警察庁の数字が示すとおり、攻撃そのものも増えています。その原因を4つに分けて見ていきます。

原因1：直していない弱点、とくにVPN機器

警察庁によると、ランサムウェアの侵入口として最も多いのはVPN機器で、約5割を占めます。VPNは、社外から会社のネットワークに入るための「通用口」のような機器です。ここに弱点が残っていると、外から直接入られてしまいます。

個人情報保護委員会が9月2日に公表した今年4〜6月の指導状況でも、「弱点と直し方が公表されていたのに、対応せず放置していた」ケースが複数あったと指摘されています。推測しやすいID・パスワードを使っていた例もありました。

デジタル庁のGSSも、侵入の入口はVPNの弱点でした。「ゼロトラスト」を掲げる政府の基盤でも起きたことで、規模や知名度に関係なく、更新の遅れが狙われることがわかります。

原因2：見つかる弱点の数そのものが急増している

今年の大きな変化は、ソフトウェアの弱点（脆弱性）が見つかるペースが一気に上がったことです。

脆弱性の情報を扱う国際団体FIRSTは6月、2026年に登録される脆弱性の予測を約6万6000件に引き上げました。上半期の時点で当初の予測を46％上回っていたためで、理由としてAIによる弱点探しの広がりを挙げています。
調査機関Epoch AIによると、主要21組織が公開した深刻度の高い脆弱性は、7月に約2,500件。高性能なAI「Claude Mythos」が発表された4月より前の最多記録の約5倍でした。

弱点が早く見つかること自体は、本来は良いことです。しかし企業の側から見ると、直さなければいけない項目が急に何倍にも増えたことになります。「どれが自社に関係するのか」を見極めるだけで手いっぱいになり、修正が後回しになる。その間を攻撃者に突かれる、という構図です。

原因3：AIが攻撃を速く、安くしている

AIは攻撃する側にも使われています。2026年に公表された報告から、変化は3つにまとめられます。

① 長い攻撃を最後までやり遂げられるようになった。英国政府のAI安全研究所（AISI）は4月30日、OpenAIとAnthropicの2社のAIが、企業ネットワークを模した32段階の攻撃試験を最後まで完了できたと報告しました。守りの弱い試験環境での結果ですが、「一部を手伝う」段階から「一連の作業を進める」段階に入ったことを示しています。

② 高い能力が、誰でも使えるAIにすぐ降りてくる。AISIの7月の評価では、誰でも入手して動かせる公開型のAIが、4〜7か月前の最先端AIに近い攻撃能力を持っていました。2025年に測った差は6〜10か月で、差が縮まっています。

③ 実際の攻撃で、作業の大半をAIに任せる例が出ている。Anthropicが9月に出した報告では、標的の調査、攻撃用の道具づくり、盗んだ大量のデータの整理などをAIに任せた事例が紹介されています。人間は「誰を狙うか」と「どうお金にするか」を決めるだけで、以前ならチームが必要だった攻撃を1人で並行して進めていました。

まとめると、AIは攻撃の手間とコストを下げ、少人数でも多くの相手を同時に狙えるようにしているのです。原因1・2で生まれた「直していない弱点」を、より速く、より広く探し当てられるようになっています。

原因4：盗まれたパスワードと、委託先からの侵入

機器の弱点だけでなく、本物のIDとパスワードでログインされる被害も多くあります。フィッシングメールや、別のサービスから漏れたパスワードの使い回しが入口になります。9月以降の公表事案を整理したまとめでも、侵入経路がわかっているものでは「脆弱性」「設定や人のミス」と並んで「認証情報の悪用（なりすましログイン）」が多くを占めています。

もう1つは委託先・取引先経由です。自社の守りが固くても、システムの保守や予約サイト、メール配信などを任せている会社が破られれば、情報は漏れます。個人情報保護委員会も「委託先に対する監督の不備」を指導の主な理由の1つに挙げています。

検証のまとめ：AIはどこまで原因なのか

ここまでの材料から言えることを整理します。

確かなこと：被害の公表、ランサムウェア被害、弱点を探るアクセスは、いずれも増えている。
確かなこと：AIによって弱点の発見と攻撃の作業が速くなっていることは、複数の公的・企業の報告で確認されている。
まだわからないこと：国内の600件のうち、何件にAIが使われたかは、どの資料にも出ていない。公表文の多くは侵入経路すら「調査中」としている。

そのため現時点の判断は、「増加の土台は、昔からある『直していない弱点』と『盗まれたパスワード』。そこにAIが、弱点の数を増やし、攻撃のスピードを上げる形で拍車をかけている」です。

裏返せば、AI時代の攻撃でも入口の多くは古典的なものです。更新を早める、パスワードを強くする、委託先を確認する。基本の対策が、今まで以上に効く状況だと言えます。AIは守る側でも、弱点の発見や修正の優先順位づけに使えます。

私たちが今できること

個人の方

「パスワード変更」「返金」「再配達」などのメールやSMSのリンクから操作しない。公式アプリか、自分で開いた公式サイトで確認する。
パスワードを使い回さない。SMSや認証アプリによる追加の本人確認（二段階認証）を設定する。
スマホ・パソコン・アプリの更新を先延ばしにしない。

企業・団体の方

VPN機器など、社外から接続できる機器の一覧と更新状況を確認する。「弱点が公表されたら何日以内に直すか」を決めておく。
保守・運用やサービスを任せている委託先の対策と、事故があったときの連絡ルートを確認する。
バックアップが実際に戻せるかを試し、システムが止まったときの業務の再開手順を用意する。

出典

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。

コメントはまだありません。