ここ最近多発しているサイバー攻撃と情報漏洩について

このところ試験対策で根詰めていたのですが、それどころではありません。もはや全国ニュースにもなっていますが、最近あらゆる業種を対象にサイバー攻撃が多発しています。先月2026年9月は、毎日のようにサイバー攻撃被害のニュースが流れていました。

9月に公表された個人情報漏えい、目立ったものだけでこれだけある🤯

・タイムズカー（約660万アカウント）
・Gyazo（ユーザー情報約2,362万件）
・ムラウチドットコム（約771万件）
・デジタル庁 GSS（約24.6万件）
・セイコーマート（約57万アカウント）
・オズモール（最大約44.7万人）…

— こぎそ (@kgsi) September 30, 2026

最近、僕が能動的に情報を収集しなくても、サイバーセキュリティに関するショッキングなニュースが向こうから飛び込んでくるようになりました。普段よりずっと目に付く、まさに異常事態と言えます。

2026年9月_日本企業の情報漏洩事案一覧

不正アクセス・情報漏洩・サービスダウンのオンパレードです。セイコーマートや東京メトロ、レゴランド、三井不動産のような誰もが知っている大企業が被害を受けており、もちろん中小企業もターゲットになっています。 中でももっともやばいのはタイムズの件です。住所・氏名・電話番号・生年月日という個人情報に加え、本人確認に使われる「免許情報」や「免許証画像」まで漏洩したことは衝撃でした。本人確認データが漏洩するということは、勝手に銀行口座を開設されたり、ローンを組まれたりするリスクに直結します。犯罪用口座などを作られてしまえば、自分の経歴に大きな傷がついてしまいます。

しまいには、この記事を書いている10月7日、クラウドベンダーのIDCFクラウド（東京リージョン）がランサムウェア攻撃を受け、リージョン自体が利用不可になるというニュースまで飛び込んできました。一部の顧客には「データは復旧できません」と通達されたそうです。

IDCFクラウドへのランサム攻撃、495の企業・自治体に影響　一部には「復元難しい」との通達も

IDCフロンティアはガバメントクラウドとしても認定されているクラウドベンダーです。そのセキュリティ水準は一般企業とは次元が違うはずですが、それでもやられてしまった。現在も行政機関のサイトがダウンするなど、実社会に影響が出ています。これがもし、普段自分が利用しているAWSで起きたら……と思うと、血の気が引きます。 クラウドの責任共有モデルにおいて、「データのバックアップはサービス提供側ではなく契約者が行うもの」であることは分かっています。ただ、「まさか政府公認のクラウドベンダーがデータを完全喪失することはないだろう」というある種の甘えが、僕ら利用者のどこかにあったのは確かです。今回の事件は、そんな甘えを完全に打ち砕くものでした。

体感として「毎日のようにサイバー被害のニュースが出るのは異常だ」と思っていましたが、現状を客観的に分析してくれている方がいらっしゃいました。 相次ぐWEBシステムからの情報漏洩事案について

こちらの記事でも、以下のように指摘されています。

今年公表された119件のうち、約68％にあたる81件が7月以降に公表されており、全期間34か月分の合計265件の約31％にあたります。筆者は日系企業のセキュリティインシデントを長年追跡・分析していますが、違和感を感じ始めたのもまさに7月頃でした。WEBシステムからの個人情報漏洩がこれほど続発した記憶はなく、率直にいえば、これまでとは違う異常な事態が生じていると感じています。

ECサイトに偏っていた被害が、会員向けサービスや業務用システム、顧客対応など、さまざまな用途に分散してきている様子が読み取れます。 特定企業のサイトを標的にした活動ではなく、公開されたWEBシステム、特に個人情報を扱うサイトに手当たり次第、無差別的に攻撃を仕掛ける、さらには、攻撃に成功した場合同種の技術を使っているサイトを探し出して同様の手法が成功するか試して、脆弱なサイトから取得できる情報を盗む活動を繰り返している可能性が高いと考えています

この記事の「7.対策、確認の観点」という章では、最初の対策として 「既に被害がないかを調べる（直近1か月を目安に、アクセスログの点検を推奨）」 とあります。この「すでに侵入されているかもしれない」という前提は、後述する海外記事の内容ともリンクし、自分の中でより危機感が補強されました。攻撃元IPアドレスが紹介されているのは非常に貴重です。自社のアクセスログを調べたら、ぞっとする結果が得られるかもしれません…。

Mean Time to Exploit Has Gone Negative. Security Strategy Has to Change.

引用になりますが、以下のような恐ろしいデータが示されています。

脆弱性の平均エクスプロイト時間（悪用されるまでの平均時間）は「マイナス7日」と推定されています。これはパッチが提供されるよりも前に悪用が日常的に発生していることを意味します。 2018年当時、この猶予期間は63日ありました。そのため防御側には、脆弱性が公開されてから悪用されるまでの間に、修正プログラムを特定し、優先順位をつけ、テストし、展開するための約2ヶ月の期間がありました。しかし現在ではマイナス7日となっています。猶予期間は単に短くなっただけでなく、完全に逆転してしまったのです。 これを受けて直ちに出るべき疑問は、「すでに侵入している攻撃者を、いかに早く発見できるか？」です。

なぜこんなことになってしまったのか、皆さんもお判りでしょう。そう、AIです。今年春、Claude Mythos（ミュトス）があまりに高性能すぎたため、「一般公開すると攻撃者が簡単に脆弱性を見つけてしまう」として当初非公開になった出来事は記憶に新しいですが、AIの進化は爆発的です。先ほどの記事が指摘した「平均エクスプロイト時間がマイナスになった（パッチが出る前に攻撃される）」という現実は、攻撃者側がすでに高性能なAIを強力な武器として利用しているからに他なりません。これまで、凄腕のハッカーが数週間かけてソフトウェアをリバースエンジニアリングし、手作業で攻撃コードを組み立てていた職人技のような工程を、今やAIが数時間、あるいは数十分でやってのける時代です。あるいは単純な反復作業も、AIは指示を出せば休まず続けてくれます。その指示の出し方も、これまでは高度な手順とプログラムを書く必要があったのに、AIに自然言語で丸投げできてしまいます。書いてて腹が立ってきました。 この記事は、セキュリティ対策におけるアプローチの根本的な転換を説いています。「外からの攻撃を防ぐ」ことから、「攻撃者はすでに環境内に存在する」という前提のもとで侵害評価を行えと。そして「目には目を、AIにはAIを」。AIによる高度なログ分析や振る舞い検知を導入し、アラートが上がるのを待つのではなく、自ら内部の脅威を探す（ハンティングする）必要があるということです。 今までのセキュリティ対策が無駄になったとは言いませんが、完全にフェーズが変わり、これまで推奨された対策をなぞるだけでは到底太刀打ちできない時代になったのだと痛感します。

直近の日本で、どのような企業が、どのような被害経路で、どれほどのセキュリティ事故を起こしているのかについては、Qiitaなどでも多くの人がまとめ記事を書いてくれています。

2026年の情報漏洩を手口で分類してみた

【もう無理だよ…】免許証画像まで流出する時代に、エンジニアは何をすればいいのか

デジタル庁の25万件という数字だけでも相当大規模な情報漏洩のはずですが、アフラック約440万人、タイムズ約660万アカウント（免許画像付き）、焼き肉きんぐ約1,079万件などと並べられると、感覚が麻痺してかすんで見えてしまいますね。 紹介した記事の 「エンジニアとして何を考え、何ができるのか」 に書かれている10箇条は基本中の基本と言える当たり前のことです。しかし、それができていない会社のなんと多いことか（自戒を込めて、僕も他人のことは言えません）。今すぐ取り組まないと。サイバー攻撃がますます苛烈になる今の時代、情シスなどの兼務で「セキュリティを片手間にやる」ことの限界をひしひしと感じています。

AI時代に必要な脅威モデリング― 変化の速度に負けない理解とリスク判断

こちらの記事も非常に分かりやすかったです。「AIは増幅装置」と表現されていましたが、全く同感です。人間の持つ意図や能力を、良くも悪くも圧倒的に引き出してしまう。本スライドで紹介されているサンプルとAIを組み合わせれば、これまではスキルや手数の面で難しかった高度な脅威モデリングも、自分たちの手で可能になるかもしれません。とはいえ、まずは「基本のき」を徹底することが大前提ですね。

そして最後に目についたのが、Togetterのこちらのまとめ記事です。

不謹慎なことは百も承知だが、今のご時世で個人が取れる自衛策のひとつに「セキュリティ防衛側の職に就かない」というのがあるのでは？セキュリティ担当者のリスクが話題に

「セキュリティ防衛側の職に就かない」てのはあると思う。どう考えても割に合わんよ。 情報処理安全確保支援士、試験は合格したけど登録してなくて良かったわ

セキュリティブログを書いてきた身としては、こういう言葉に対して反論が難しい現状は夢も希望もないw。このブログのタイトル「事なきを得る」こと（セキュリティインシデント）がないためには「得る」ための活動が必要。しかしそれはなかなか分かってもらえません。リスクや責任ばかりが重くのしかかるような環境を放置せず、国や社会には、情報処理安全確保支援士（登録セキスペ）をはじめとするセキュリティ担当者の地位向上と正当な評価を、心からお願いしたいです。