[ITmedia エンタープライズ] セキュリティインシデント9カ月で607件、既に2025年超え 「公表が増えただけ」ではない理由

トレンドマイクロの集計で、2026年1～9月に国内組織が公表したセキュリティインシデントは607件と、2025年通年の594件を既に超えた。9月後半からは公表が急増し、公的機関などの注意喚起も相次ぐ。公表が増えただけなのか、そもそも攻撃自体が増えているのか。

» 2026年10月21日 07時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　トレンドマイクロは2026年10月16日、2026年1～9月に国内組織が公表したセキュリティインシデントの集計と分析を公開した。被害組織のプレスリリースや公式SNSといった一次情報を同社が独自に集計したもので、公表件数は607件、1日当たり2.2件に上る。集計対象はサイバー攻撃の被害が確認された案件に限り、メールの誤送信などの操作ミスや報道のみの案件は含まない。2025年は1年間で594件（1日当たり1.6件）だったため、9カ月で前年1年分の件数を超え、1日当たりの件数も前年を上回った。

　公表の増え方は2026年9月後半から顕著になり、10月は1～9日だけで52件に達した。10月9日時点の累計は659件で、同社の集計で最も多かった2024年の645件を上回った。この状況を受け、内閣官房国家サイバー統括室や金融庁、JPCERT/CC、個人情報保護委員会が相次ぎ注意喚起を発出している。

国内組織におけるセキュリティインシデント公表件数の推移（2023～2026年、月ごと。2026年は10月9日まで）（出典：トレンドマイクロ）

　公表件数の増加がそのまま攻撃の増加を意味するとは限らない。被害をいつ、どこまで公表するかは各組織の判断に委ねられているからだ。9月からの急増をどう読み解けばよいのか。

9月の急増は「公表が増えただけ」といえるのか

　トレンドマイクロは被害の発覚時期と公表時期の関係を分析し、「実際の国内組織へのサイバー攻撃が9月に多くなっていることは間違いない」と結論付けている。

　2026年9月に公表された90件のうち、攻撃の検知や被害の発覚時期が明記されていた63件を見ると、検知や発覚から初報の公表までが15日以内だったケースが約8割を占めた。攻撃を受けた時期と公表時期がほぼ重なっており、9月の公表急増は攻撃そのものの増加を反映していると同社はみている。

　1～9月の607件を攻撃カテゴリー別に見ると、最も多いのは「不正アクセス」の331件（54.5％）だ。被害の詳細が判明していない段階では、定義の広い「不正アクセス」という表現が使われやすい。調査で判明した事実を伝える2報目以降の「追報」があったケースは186件（30.6％）にとどまる。

　次に多い「ランサムウェア」は82件（13.5％）で、2025年同期の79件とほぼ横ばいだ。例年は10月から翌年3月にかけて被害の発表が増える傾向があるという。3番目は2026年から集計を始めた「データサプライチェーン被害」の62件（10.2％）だった。データの委託先組織がサイバー攻撃を受け、委託元が被害を公表するケースを指す。こうした事案は2023年以降頻発しており、2026年も委託先企業の被害公表を受け、多数の委託元が漏えいを公表した。

　攻撃の入り口にも変化が出ている。アタックサーフェス（攻撃対象領域）が判明している375件のうち、公開システム（Webサーバ、Webアプリケーション、クラウドサーバ）が38.7％を占めた。メールサーバやVPNは公開システムかどうかを判別できないケースがあるとして、この分類には含めていない。2025年通年の30.3％から比率が高まり、インターネットに接続された公開システムが狙われる構図が強まっている。

　被害組織の業種は「製造」（19.6％）、「サービス」（19.1％）、「情報サービス・通信プロバイダ」（12.2％）の順に多い。この分布は日本の法人組織の業種構成を反映している面もあるため、特定の業界に被害が偏っているとは読み取れないと同社は注意を促す。

攻撃ログに残る「これまでとは違う挙動」

　急増の背景として関心を集めるのが、攻撃者によるAIの悪用だ。トレンドマイクロは2025年から、不正サイトのソースコードやマルウェアの解析を通じて、攻撃者がAIを悪用している明確な証跡を確認しているという。2026年9～10月の国内インシデントについては、攻撃手口にAIが直接使われたとは断定できないとしつつ、同社が調査した公開システムの侵害ケースでは、ログに次のような兆候が確認されている。

• AIに作らせた場合に残りやすい痕跡：　攻撃者がサーバを遠隔操作するために設置する不正プログラム「Webシェル」や不審ファイルに、実行されない注釈（コメントアウト）の形で攻撃対象の組織やサービスの名称が残っている
• 定番ではない脆弱（ぜいじゃく）性の悪用：　悪用された脆弱性が、直近で悪用が観測されていると広く認知されたものではない
• 試行錯誤の速さ：　攻撃の試行錯誤と、失敗を踏まえた見直しが従来と比べて速い
• 最短経路を探る動き：　狙いが定まった後は網羅的に攻撃せず、得られた応答を基に限定的に攻撃を仕掛け、成否を見極めている可能性がある

　同社は、これらがAIを直接用いた攻撃だと示す証拠があるわけではないとした上で、ログ上で「これまでとは違う挙動」を捉えていると説明する。

　対策として同社は、情報資産の把握からリスクへの対処までを次の3つの手順で進めることを推奨している。

1. 情報資産のセキュリティ状況の可視化：　保有、運用、委託している情報資産を客観的に把握する。インターネットへの接続状況やアクセス権限、脆弱性の有無を確認できるようにする
2. サイバーリスクの優先順位付け：　停止すると事業が止まる中核システムや、攻撃を受けやすい公開システムなど、リスクの高い順に対処の優先度を決める
3. サイバーリスクの対処：　パッチ未適用の公開システムなど優先度の高いリスクから対処する。脅威の検知と対応を支援するEDRやXDRを活用し、インシデントに対応する体制も整える

　AIの悪用は今後も進むと同社は予想する。その上で、こうした基本対策の重要性は変わらないとしている。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。