[ITmedia エンタープライズ] 漏えい公表ラッシュは「検知の向上」か「攻撃の増加」か 専門家に聞いた

　2026年9月中旬から、日本企業の情報漏えいやサイバー攻撃被害の公表が途切れなく続いている。カーシェアリングサービス「タイムズカー」では退会者を含む約660万件のアカウント情報が流出し、焼肉チェーン「焼肉きんぐ」の公式アプリでは1078万件超の会員情報が漏えいした。大和証券は委託先のサーバが攻撃を受け、大阪公立大学はランサムウェア攻撃で仮想化基盤が停止した。侵入経路や被害箇所は、Webシステムの脆弱（ぜいじゃく）性から委託先、仮想化基盤まで多岐にわたる。

　この状況をどう読み解けばいいのか。AIを活用したセキュリティ訓練や教育などを手掛けるAironWorksのCEO、寺田彼日氏に聞いた。寺田氏はベネッセコーポレーション在職中に大規模な個人情報漏えいを経験し、その後イスラエルで起業した。AironWorksはイスラエル国防軍出身のCTO（最高技術責任者）と共同創業した会社で、1500社以上にサービスを提供しているという。

　漏えい公表の急増については「AIで企業の検知能力が上がり、これまで見つからなかった侵害が発覚するようになった」「速やかに公表する流れに変わった」という見方もある。しかし、寺田氏の見立ては違う。

AironWorksの寺田彼日氏

　寺田氏は、公表が相次ぐ主因を検知や公表姿勢の変化ではなく「攻撃そのものの増加」だとみる。

　「検知精度が高まったから発覚が増えたわけではない。攻撃が集中して被害が発生していると考えるのが自然だ」（寺田氏）

　寺田氏が背景に挙げるのが、2026年に入って登場した最新鋭のAIモデル（フロンティアモデル）だ。既存モデルの応答を学習させて性能を写し取る「蒸留」と呼ばれる手法や、モデルのパラメーターを手元の環境に保持し、開発元の制御が及ばない形で使う手口によって、敵対する国家の攻撃者が高性能AIを攻撃に転用している可能性があるという。

　攻撃の速度も上がっている。脆弱性が公開されると、攻撃者はAIツールでその脆弱性を持つシステムの利用企業を洗い出し、弱いとみられる企業から順に攻撃できる。寺田氏は「攻撃の精度も量も増えていると考えるのが自然だ」と語る。

　では、なぜ検知能力の向上が主因ではないといえるのか。寺田氏によると、被害が明るみに出る経路は、ランサムウェアによる脅迫、システムの停止、ダークWeb（通常の検索では到達できない闇サイト群）での情報売買の調査、外部からの指摘が中心だ。漏えいの判明から公表までの期間が短いのは、個人情報保護法が一定の漏えいについて個人情報保護委員会への速やかな報告を求めているためで、検知能力の向上で次々に発表しているわけではないという。

　一方で、ダークWebに情報が出ているにもかかわらず公表していない企業の存在も指摘されている。寺田氏は「切り分けが難しい」と話す。そもそも調査していなければ流出に気付けない。加えて、SaaSや委託先など自社の管理が及ばない場所から漏れるケースも多い。営業支援や名刺管理のような広く使われるクラウドサービスが侵害されれば、そこに預けた顧客情報は流出する。自社に落ち度がなくても「漏えい企業」になり得る構図だ。

「正解」がない時代、何から手を付けるか

　タイムズカーはWebシステムの脆弱性、大和証券は委託先、大阪公立大学は仮想化基盤と、一連の事案は侵入経路や被害箇所が全て異なる。「この対策をすれば大丈夫」が成立しない中で、予算と人員が限られる企業は何を基準に優先順位を付ければいいのか。

「多要素認証は徹底している」は本当か

　寺田氏がまず挙げるのは、自社の対応状況の可視化だ。情報セキュリティマネジメントシステム（ISMS）の国際認証のようなチェックリスト型の管理は、外部機関による年1回の監査を前提とした仕組みで、「変化の激しい今の時代には追い付けない」と寺田氏はみる。

　その上で寺田氏は、米国立標準技術研究所（NIST）のサイバーセキュリティフレームワークや、経済産業省などが構築を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）といった枠組みに沿って対応状況をアセスメントで可視化し、クラウドサービスやサードパーティーツールを接続してリアルタイムで監視する手法を挙げる。「多要素認証を徹底している」と回答していても、実際のシステム設定ではできていないといった食い違いを検知して是正につなげる。新しいSaaSやAIツールの導入で状況は日々変わるため、過去にできていたことが今もできているかを常に確認する必要があるという。

　「早く走りたいと思っても、足の筋力が足りないのか、手の筋力が足りないのか、フォームが悪いのかが分からなければどうしようもない。自社の状況を可視化することから始めなければ、対策の優先順位は付けられない」（寺田氏）

「持つ必要のない情報」は持たない

　企業が見落としがちな盲点として寺田氏が挙げるのは、保有する情報そのものの棚卸しだ。「そもそも持つ必要がない情報は持たない」という方針を定めることが、個人情報漏えいへの対策として重要だと指摘する。

　例えば退会済みユーザーの情報をどこまで保持するか。法律で保存が求められる範囲を切り分けた上で、本人確認はeKYC（オンラインで本人確認を完結させる仕組み）の専門業者に、クレジットカード情報は決済事業者に任せるといった選択肢がある。顧客のスマートフォン側に情報を保持してもらい、企業側では持たない仕組みも登場している。データ活用の機運が高まった2010年代前半から中頃に構築した古い基盤を使い続けている企業に対しては、「むやみに情報を持っていても会社のリスクになるだけだ」と寺田氏は指摘する。

委託先管理は「共助」で実効性を持たせる

　委託先からの漏えいが相次ぐ中、発注側企業の委託先管理はどうあるべきか。寺田氏は、年1回の監査や100問を超えるセキュリティチェックシートに依存した管理手法に限界があるとみる。SCS評価制度についても「共通の規格ができたという段階で、これだけでは不十分だ」と評価する。

　寺田氏が挙げるのは、リアルタイムでの状況確認に加えた「共助」の仕組みだ。元請けの大手企業がグループ会社や小規模な委託先をカバーする形でセキュリティ製品を一括調達して配布すれば、数量割引で安価に導入できる。経済安全保障に関わる領域として、国による補助金や税制優遇も必要になるとの見方を示した。

自社が「被害企業」になる日への備え

　被害企業は追加攻撃のリスクやログの消去による調査の難航から、原因をすぐに公表できない場合がある。自社が当事者になったときに備え、平時から何を準備すべきか。寺田氏が挙げるのはサイバーBCP（事業継続計画）の整備と日頃のシミュレーションだ。

　具体的には、インシデント発生時の報告先と報告フォーマットの事前整理、システム停止時の代替手段の用意だ。2025年にランサムウェア攻撃を受けたアサヒグループホールディングスでは、受発注システムが止まった際に手書きの伝票やローカルの「Microsoft Excel」、電話で事業継続を図ったと寺田氏は言及し、こうした対応を二重三重に用意して全社で統制する必要があると話した。経営層が緊急時にどう情報発信するかという広報戦略や、記者会見の訓練も課題に挙げた。

　組織体制の面では、CISO（最高情報セキュリティ責任者）を置かない日本企業が多く、責任が宙に浮きやすいと指摘する。「CIOが情報セキュリティ対策を兼ねる企業も多いが、攻めと守りを1人に任せるのはそもそも矛盾している。デジタルに対する経営の理解がまだ不十分なのだろう」と寺田氏は語る。

　大阪公立大学の事例のように、基幹システムを集約した仮想化基盤も標的になっている。寺田氏によると、攻撃者もリソースが限られるため、多くのサーバやエンドポイントにつながる単一障害点を狙う方が効率が良い。委託先を踏み台にするサプライチェーン攻撃と同じ構図だ。その上で寺田氏は、仮想化基盤を守るポイントを幾つか挙げた。

• 基本の徹底：　ソフトウェアを更新し、古い製品を使い続けない
• バックアップの分離：　特権を奪われるとバックアップごと消される恐れがあるため、一度書き込んだデータを変更、削除できない「イミュータブル」な設定にし、別系統のオンプレミスサーバやオフラインの機器にも保管する
• 侵入前提の訓練：　ペネトレーションテスト（疑似攻撃による検証）などで日頃から訓練し、システムが全停止しても最低限の業務を回せる代替手段を用意する

　寺田氏は、AIの進化に伴ってサイバー攻撃は今後さらに激しくなるとみる。

　「今起きていることはまだ序章だ。サプライチェーンや水道、電気、ガスといったライフラインなど、物理空間に深刻な被害が及ぶ世界になってきている。デジタル世界にとどまらない攻撃に対して、企業だけでなく個人としても、自身や家族の安全を守る手段を考えておく必要がある時代だ」