[ITmedia ビジネスオンライン] マイナンバー情報、約150円で売買も――サイバー攻撃時「すぐに事業を止める」覚悟はあるか 問われる経営の責任

　企業に対するサイバー攻撃が後を絶たない。不正に入手された顧客の個人情報は、ダークウェブなどで販売され、詐欺や不正購買に利用されてしまうケースもある。

　大企業だけでなく、中小企業や委託先を経由した被害も目立つ。自社のシステムに重大な脆弱（ぜいじゃく）性が発見されたとき、適切かつ迅速に動ける企業がどれだけあるだろうか。自社のシステムに不審なアクセスを検知したとき、思い切って事業を止める勇気を持てるだろうか。そしてその権限は、誰が持ち、どう周知されているのか――。

　AIを悪用した攻撃も広がる中、セキュリティには技術力だけでなく、組織力も求められている。いったい、どのように備えればいいのだろうか。

　セキュリティ事業を手掛けるAironWorks（東京都港区）は11月4日、企業の経営層やセキュリティ責任者を対象にイベントを開催した。パネルディスカッションには、慶應義塾大学教授の藤末健三氏、セキュリティ専門メディアを運営するロケットボーイズ（東京都品川区）で執筆・編集を統括する河野拓氏、セキュリティアナリストの中村悠氏が登壇。相次ぐサイバー攻撃の背景やAI時代の防御体制について議論した。

　ダークウェブで日本のマイナンバーカード情報100件超のセットが99ドル、1件当たり約150円で販売されていた――。関西テレビが報じたそんな事例が、講演の冒頭で紹介された。情報を悪用され、知らない間に9万4000円のiPhoneが契約されてクレジットカードが作れなくなった事例もある。

　浮かび上がったのは、脆弱性への対処だけでは不十分だという課題だ。経営層がセキュリティを理解し、緊急時の意思決定や被害後の事業復旧まで見据えた体制を整える必要がある。

日本のマイナンバーカードは約150円で売られているという

相次ぐサイバー攻撃、企業の脆弱性管理に課題

　市場調査コンサルティングなどを手掛けるMM総研（東京都港区）が実施した「企業における情報セキュリティ商材の導入状況とニーズ調査」によると、2026年に起きた情報漏えい事案は10月13日時点で485件に上り、既に2025年の年間件数を上回った。

　被害を受けた企業を従業員規模別にみると、従業員300人以下の企業では2026年1～9月の件数（195件）が前年同期比（99件）で約2倍に急増。公表内容に業務委託先やクラウドサービスなど外部の関与がある事案は同164件と、全体の36％を占めた。企業単体でセキュリティ対策を講じるだけでなく、サプライチェーン全体で対策を進める必要性が高まっている。

情報漏えいが相次いでいる（出所：セミナー資料、以下同）

　相次いだ被害の背景として、古いシステムや脆弱性が放置されたことがある。例えば、9月にパーク24が運営する「タイムズカー」で情報漏えいが起きた事例では、原因は公式に発表されていないものの、約10年前にサポートが終了したシステムが使われていた可能性を指摘されている。

　また、一連の被害では、スマートフォンアプリを入り口とした攻撃も目立った。河野氏は「企業としてまず第一に守るのはWebサイトというのがあると思う。心理の裏をつかれた。アプリをつないでいるAPI経由で企業のシステムに到達するので、そこの防御が弱いと大規模な情報漏えいにつながってしまう。今後教訓として得ていかなければいけない」と話した。

　攻撃者が何を狙っているのかを把握する視点も重要だ。中村氏は、企業が自社の情報資産について機密性、完全性、可用性の観点から評価するだけでは足りないと指摘する。

　攻撃者は、金銭に換えられる情報や別の利益につながる情報を狙う。自社にとって重要な情報だけでなく、サプライチェーンの中で第三者にとって価値のある情報は何か、という視点も必要だ。