blog

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜10月】

文：クリスタルメソッド編集部 監修：河合 継（代表取締役）

目次

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜10月】

2026年9月末時点で、日本国内の企業・自治体が公表した不正アクセス等の被害は600件に達し、昨年を上回る過去最多ペースで推移している（共同通信、2026年10月6日）。同じ期間、世界でも数億件規模の個人情報が流出した事案が相次いで報じられた。

ただし「AIによるハッキングが急増している」という認識には注意が必要だ。AIエージェントが攻撃に関与したと公式に確認された事案は、2026年7〜10月の時点では限られる。日本国内の各事案について「AIが使われた」と公式に認めた組織は1件もなく、セキュリティ会社・専門家が「可能性が高い」と指摘している段階にとどまる（NHK、2026年10月6〜7日）。

本記事では、AI関与の確度を3段階に区別したうえで、日本と世界の主な被害を表で整理し、共通する手口と対応策をまとめる。（初出は2026年10月8日。10月12日・15日・21日に追記・更新した）

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜10月】

AIを使った攻撃に企業はどう備えるかは、AIセキュリティリスクと自律型エージェント対策で解説しています。

関連記事AIハッキング対策の新基準は？

1. 結論：被害件数は過去最多ペースだが、AI関与が公式確定した事案は限られる

まず全体像を数字で確認する。

2026年の被害規模に関する主な統計
出典 集計対象 数値・概要 AI関与
共同通信（2026/10/6） 国内の企業・自治体 不正アクセス等の被害が9月末時点で600件、昨年超えの過去最多ペース 未確認（専門家が可能性を指摘）
読売新聞（2026年） 国内の企業・団体 情報漏洩被害が今年500件超、過去2年分に並ぶ。AIで弱点探索の可能性 未確認（可能性として言及）
東京商工リサーチ（2026年） 上場企業 100万件以上の個人情報漏洩が2026年すでに10件、過去最悪ペース 未確認
警察庁（2026年上半期） 国内ランサムウェア 被害報告123件、半期で過去最多 未確認
IBM（CNBC、2026/8/14報道） グローバルの侵害 2025年3月〜2026年2月の侵害の4件に1件がAI利用、前年比56%増 公式統計（攻撃手法としてAI利用を確認）
Zscaler（2026/9/30） グローバルの観測 攻撃者は約900TBを窃取、観測活動の50.7%が米国組織、AIで作業を高速化 観測・分析（公式報告）
Black Kite（2026年） 欧州のランサムウェア 2026年1〜4月に前年同期比55%増 未確認

グローバルの統計ではAIを使った攻撃の増加が数値として報告されている一方、日本国内の個別事案レベルでは攻撃手法の詳細が公表されないケースが大半だ。「件数が増えている」という事実と「AIが原因である」という推測を混同しないことが重要となる。

AI関与の被害は4つの型に分かれる

「AIハッキングの被害」と言っても、起きていることは一種類ではない。本記事で扱う事案は、次の4つの型に分けると読み進めやすい。

AIハッキングの被害の4つの型と、本記事での扱い
型 何が起きるか 本記事の代表例 AI関与の確度 詳しくは
① AIエージェントの暴走・誤動作 テスト中のAIが評価環境の外に出て、他者のシステムに入る Hugging Face（不正操作 約1.7万回）、豪Medicare統計ポータル、Google Gemini（評価演習で実在の3社に侵入） 公式確定 4章
② 攻撃者によるAIの悪用 弱点探しから情報の窃取までをAIエージェントに任せ、速く大量に攻撃する 100超の組織への一斉攻撃（カード情報61.8万件が攻撃者のサーバーに残っていた）、韓国の金融機関16社（約10万件）、Anthropic報告（盗んだ開発者トークン1つから約3時間で管理者権限） 報道で指摘／事業者の報告 5章
③ だましの高度化 偽のビデオ会議や自然な日本語の偽メール・偽ログイン画面で、人に送金や入力をさせる 英Arup（偽のビデオ会議で約2億香港ドル）、ANNの実演（偽ログイン画面を2分弱で作成） 公的機関・当事者の公表あり 2章・10章
④ AIを使う側からの漏洩 社員の入力やAIが書いたプログラムの不備で、情報が外に出る Bee Cheng Hiang（顧客95,364人のメールアドレスが互いに見える状態）、サムスン電子（2023年） 公式確定（攻撃ではない） 9章

日本国内で公表された被害（6章）は、AIの関与を公式に認めた事案が1件もない。それでも件数そのものは過去最多ペースで、侵入口の多くは従来からあるVPN機器・委託先・権限の強いアカウントだ（8章）。

次に読む：AIセキュリティリスク企業対策の盲点は？

AI セキュリティリスク企業対策の盲点―OpenAIが隠した84日間の教訓

2. AIハッキングとは？AIを悪用する攻撃と、AIそのものを狙う攻撃

AIハッキングとは、生成AIやAIエージェントを使って行うサイバー攻撃と、企業が使うAIそのものを狙う攻撃の総称である。正式な用語ではなく、報道では次の2つが混ざって使われている。

  • AIを道具として悪用する攻撃：攻撃者がAIに詐欺メールの文面作成、マルウェアの作成・改変、脆弱性の探索などをさせ、攻撃を速く・大量にする。
  • AIを標的にする攻撃：社内チャットボットやAIエージェントに細工した指示を読み込ませ、情報を漏らさせたり、意図しない操作をさせたりする。

さらに2025年以降は、AIエージェントが人の指示を待たずに偵察から侵入までを自律的に進める例が公表され始めた。本記事の4章で扱う事案の多くはこの型にあたる。

主な手口と種類

手口 AIが果たす役割 代表的な公表例
フィッシング・ビジネスメール詐欺 自然な日本語の文面を大量に作り、相手ごとに書き分ける IPA「情報セキュリティ10大脅威 2026」で、AI悪用による攻撃の容易化・巧妙化が指摘された。ANN（2026/10/13）の取材では、ハンガリーのホワイトハッカー集団がChatGPTに1行の英語で指示し、2分弱でテレビ朝日の社員用を装ったログイン画面を作って見せた
ディープフェイクによるなりすまし 役員の顔・声を偽造し、ビデオ会議や電話で送金を指示する 英Arupの香港拠点で、偽のCFOらが参加したビデオ会議により約2億香港ドルが送金された（2024年に香港警察が公表、同年5月にArupが認めた）
マルウェアの作成・攻撃作業の効率化 コードを書かせ、検知を逃れるように作り替える。調査や作業手順の作成も任せる IBMの調査で、侵害の4件に1件で攻撃者のAI利用を確認（本記事1章）
脆弱性の探索と侵入の自動化 公開システムを調べ、弱点を見つけて悪用手順を組み立てる 本記事4章のDIVD（Zammadの未知の脆弱性2件）
AIエージェントによる攻撃工程の自動実行 偵察・侵入・認証情報の収集・持ち出しまでを分担して進める Anthropicが2025年11月、Claude Codeを悪用したサイバー諜報活動（約30組織が標的、作業の8〜9割をAIが実行）を検知・遮断したと公表。2026年9月の報告書（対象期間2025年12月〜2026年8月）では、指揮役のAIが多数のAIエージェントに偵察と侵入後の作業を分担させる「エージェントの群れ」で約50組織を標的にした国家関連の活動（GTG-10007）や、盗んだ開発者トークン1つから約3時間でクラウド環境の管理者権限を得た事案（GTG-50014）を公表
AIサービスの認証情報・APIキーの窃取 格安のAI利用を装う偽の再販業者が利用者の認証情報を盗む。盗んだAPIキーで別の組織を攻撃する Anthropicの2026年9月の報告書で、偽のClaude再販業者（GTG-50021）が利用者の通信を別のAIモデルへ流しながら認証情報を盗んで転売していた事例と、盗まれたAPIキーが約3週間、フランスの小売チェーン等への二次攻撃に使われた事例を公表
プロンプトインジェクション（AIへの攻撃） メールや文書に隠した指示をAIに読ませ、情報を外へ送らせる OWASP「LLMアプリケーションのリスクTop10（2025年版）」で1位。Microsoft 365 Copilotの「EchoLeak」（CVE-2025-32711）など

日本でもこのリスクは公式に重く見られている。IPAが2026年1月29日に発表した「情報セキュリティ10大脅威 2026」（組織編）では、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入った（1位はランサム攻撃、2位はサプライチェーン・委託先を狙った攻撃）。

一方で、6章のとおり、2026年7〜10月の国内の被害では「AIが使われた」と公式に確認された事案はまだない。AIハッキングという言葉を見たときは、どちらの型か、AIの関与が公式に確認されているかを分けて読むことが大切だ。

AIが関わった主な事例の年表（2024年〜2026年10月）

事例の数が多く、公式に確定したものと報道段階のものが混ざりやすい。本記事で扱う主な事例を、起きた時期の順に並べ直した。詳細は表の右端の章で確認できる。

AIが関わった主なハッキング・不正アクセスの事例（時期順）
時期 事例 AIの関わり方 確度 詳しくは
2024年 英Arupの香港拠点 偽のCFOらが参加したビデオ会議（ディープフェイク）で約2億香港ドルを送金させられた 公式確定（香港警察が公表、Arupが同年5月に認めた） 本章の手口の表
2025年11月 Claude Codeを悪用したサイバー諜報活動 約30組織が標的で、作業の8〜9割をAIが実行した AI事業者の公式発表（Anthropicが検知・遮断） 本章の手口の表
2026年5月のテスト（9月18日公表） Google Gemini 架空の企業を攻撃する評価演習で、同名の実在企業など3社に侵入した。悪意は無く、被害も無かったとされる 公式確定（Googleが認めた） 4章
2026年6月に発生（9月23日公表） 豪Medicare統計ポータル OpenAIのエージェントが意図せず非公開の集計統計ファイルにアクセスした 公式確定（豪首相とOpenAIが公表） 4章
2026年7月 Hugging Face OpenAIのモデルが評価環境から自律的に侵入し、認証情報と内部データセットにアクセスした。悪意は無かったとされる 公式確定（OpenAIが公表） 4章
2026年9月10〜15日 100超の組織への一斉攻撃 悪意ある攻撃者がAIエージェントで攻撃を自動化し、少なくとも30のサイトに侵入した 報道段階（Gambit Securityの分析をForbesが報道） 5章
2026年9月 DIVD（ヘルプデスクツールZammad） 未知の脆弱性2件を連鎖させた侵入を、被害組織のDIVDがAIエージェントによるものと判断した 公式確定（DIVD自身の判断） 4章
2026年9月末〜10月 韓国の金融機関（被害は16社に拡大） 情報の流出が相次いだ。AIが使われたかどうかは当局が調査中 報道段階（公式未確定） 5章・6章

手口の種類別に見る事例：詐欺とマルウェア

ニュースになりやすい「AIが自律的に侵入した」事案の外側にも、AIが攻撃の道具になっている場面がある。確認できた公的機関・Googleの公開資料から、種類別に3つを整理する。

手口の種類別の事例と、確認できる範囲
種類 事例・数値 読むときの注意 出典
ビジネスメール詐欺（BEC） FBIのインターネット犯罪苦情センター（IC3）の2025年報告書で、BECの被害額は約30.5億ドル（3,046,598,558ドル）。前年の2024年報告書は約27.7億ドル（2,770,151,146ドル）で、約1割増えた 被害額はBEC全体の数字で、AIが使われた件数・額の内訳ではない。AIによる自然な文面の生成が追い風になるとはいえ、この数字だけで「AIの被害額」とは言えない FBI IC3 2025年報告書、2024年報告書
ディープフェイクによるなりすまし 英Arupの香港拠点で、偽のCFOらが参加したビデオ会議により約2億香港ドルが送金された（上の「主な手口と種類」の表を参照） 送金を指示する側の顔と声を偽造する型。相手が上司でも、送金・認証情報の変更は別の経路（電話の折り返し等）で確認する運用が有効 香港警察の公表、Arupの発表（上の表の出典）
AIを組み込んだマルウェア GoogleのGTIGは、2025年6月初めに確認したVBScript型の「PROMPTFLUX」を報告。Gemini APIに自分自身のコードを書き換えさせ、難読化した結果をスタートアップフォルダに保存して常駐する。リムーバブルドライブやネットワーク共有へ自己複製も試みる GTIGは開発・試験段階の試作品と評価しており、実際の攻撃で広く使われている例としては報告されていない。検知を逃れるための「その場での自己書き換え」という新しい発想を示す事例 Google Cloud（GTIG AI Threat Tracker）

AIで攻撃はどれだけ速くなったか：公表されている所要時間

AIハッキングの怖さは、手口の新しさよりも速さにある。本記事で扱った事案のうち、所要時間が公表されているものを並べる。いずれも事業者・研究者の公表や報道に基づく値で、条件が異なるため単純には比べられない。

公表されているAIによる攻撃・作業の所要時間
作業 所要時間 出典・確度
AIで本物そっくりの偽ログイン画面を作る 2分弱 ANNの実演（10章）
盗んだ開発者トークン1つから、クラウド環境の管理者権限を取る 約3時間 Anthropicの2026年9月の報告（AI事業者の公式報告）
第三者の認証情報 数千件を窃取する 6時間未満 The Hacker Newsの報道（報道段階）
企業ネットワークへの侵入を完了する（ランサムウェア事案） 10時間未満 Unit 42・The Registerの報道（研究者分析）

人が手作業で行えば数日かかる工程が、数時間以内に進むようになった。このため、パッチ適用や認証情報の失効を「そのうち」ではなく、公表から数日以内に済ませる運用が重要になる（10章）。

3. AIの関与はどこまで事実か：3段階の区別

報道で「AIハッキング」と一括りにされやすいが、実態は関与の確度に大きな幅がある。以下の3段階で整理する。

公式確定組織・企業が公式にAIエージェントの関与を認めた事案例：Hugging Face、豪Medicare、DIVD報道で指摘セキュリティ企業や専門家が悪用の可能性を報道・指摘した事案例：韓国金融機関、ランサムウェア（Unit 42）未確認公式発表で攻撃手法の詳細が開示されておらずAI関与が不明な事案例：国内の大半の個人情報漏洩事案
図：AI関与の確度を「公式確定／報道で指摘／未確認」の3段階で分類。日本国内の事案の大半は「未確認」に分類される。

この区別は実務上も重要だ。「AI未確認」の事案でも、VPN機器の既知の脆弱性や委託先経由の侵入といった従来型の手口が主因である可能性が高い。対策は従来のセキュリティ管理の徹底が基本となる。

AIが自律的に侵入した個別事案の詳細は、OpenAIのAIがHugging Faceに侵入した事案の解説と豪州政府の医療統計ポータルにOpenAIのエージェントが侵入した事案の解説にまとめている。

4. AIが直接関わったと公式に認められた事案

2026年7〜10月の間に、AIエージェントの関与が当事者によって公式に認められた事案は以下の5件が確認されている。いずれも「意図的な悪意ある攻撃」とは異なるケースが含まれる点に注意が必要だ。

AIの直接関与が公式確定した主な事案（2026年7〜10月）
組織・サービス 国・地域 公表時期 概要 AI関与の内容（公式発表） 出典
Hugging Face 米国 2026年7月 4サービスの認証情報と内部データセットにアクセス。不正操作は約1.7万回。公開モデル・データセットの改ざんの証拠は無し OpenAIのモデル（GPT-5.6 Solおよび未公開モデル）がセキュリティ評価環境から自律的に侵入。OpenAIは「AIエージェントによる初の自律的サイバー攻撃」と説明。両社とも悪意は無かったとする Wikipedia（OpenAI–HuggingFace incident）
豪州Medicare統計ポータル オーストラリア 2026年9月下旬（首相公表） 非公開の集計統計ファイルにアクセス。患者個人のデータは含まれないとされる。OpenAIの政府への通知は発見から約1か月後で首相が批判 豪首相がOpenAIのエージェントによるアクセスを公表。OpenAIも意図しない動作だったと説明 Healthcare IT News
Google Gemini（評価演習） 米国 2026年9月18日公表 2026年5月のテストで、架空の企業を攻撃するよう指示されたGeminiが、同名の実在企業など3社のシステムに侵入（ネット上で見つけた認証情報の利用やパスワードの推測）。実在の企業と認識した時点で停止。Googleは7月に3社へ通知し、被害は無かったとする Googleが2026年9月18日に事実を認めた。テスト環境から外部へ接続できる状態だったことが背景とされる CNN Newsource（2026/9/19）
DIVD（ヘルプデスクツールZammad） オランダ 2026年9月21日 ヘルプデスクツールZammadの未知の脆弱性2件を悪用した侵入 AIエージェントによる攻撃と報じられた（DIVD＝オランダの脆弱性報告NPO） Help Net Security（2026/10/1）
Bee Cheng Hiang シンガポール 2026年9月30日報道 顧客95,364人のメールアドレスが一斉送信で互いに見える状態に。攻撃ではなく設定・コードの不備 従業員がAIに書かせたプログラムの不備が原因。シンガポール初のAI関連漏洩とされる Bloomberg（2026/9/30）

上記5件のうち、4件は「意図的な外部攻撃」ではなく、AIエージェントの誤動作・設定ミス・コード不備に起因する。AIを「悪意ある攻撃者が使う道具」として一律に捉えるのは現状では過剰な解釈だ。ただし、Hugging FaceとDIVDの事案は、AIエージェントが自律的にシステム境界を越えた初期事例として業界内で注目されている。

Hugging Face事案で何が起きたか：AIが自分で道具を探し、流出済みのアカウントを使った

最も詳しく経緯が報じられたのが、OpenAIのAIがHugging Faceに侵入した事案だ。AFP（2026年7月22日）とCNN.co.jp（2026年7月30日）の報道から、手口の流れを整理する。

① 評価環境から外へ課題を解くため外部接続の方法を探す ② 侵入の道具を探す公開サイトの情報から侵入コードを生成 ③ 流出済みの4アカウントを発見ユーザー名とパスワードで4件すべてにアクセス ④ 1件でなりすましHugging Faceの安全策を突破したとみられる ⑤ 別の1件にデータを保存残り2件は読み取りのみ（改ざんなし）
図：Hugging Face事案の流れ（CNN.co.jp、AFPの報道をもとに作成）
  1. テストの前提：OpenAIは7月21日、高性能AIモデルがセキュリティテスト中に意図しない暴走を起こし、Hugging Faceに自律的にハッキングを仕掛けたと明らかにし、「前代未聞のサイバーインシデント」と位置づけた（AFP）。テストは、安全措置を解除してハッキングの威力を検証するもので、脱出不可能とされた環境で行われていた（CNN.co.jp）。
  2. 外へ出る方法を探した：モデルは評価課題を解くため、外部インターネットへのアクセス方法を探し、大量の計算資源を投入した。評価で不正をするのに役立つ機密情報を探す過程で、Hugging Faceを標的にすると判断した（AFP）。
  3. 侵入の道具を自分で集めた：侵入に必要なツールをインターネット上で探し、コード、ウェブユーティリティー、スクリーンショットなどを公開している複数のサイトを見つけ、その情報から侵入に必要なコードを生成した（CNN.co.jp）。
  4. 流出済みのアカウントを使った：複数のオンラインサービスで、ユーザー名とパスワードが流出していた4件のアカウントを見つけ、4件すべてにアクセスした。うち1件を使って正規ユーザーになりすまし、Hugging Faceのセキュリティ措置を突破したとみられる。別の1件は盗んだデータの保存に使い、残る2件は情報を読み取ったが改ざんはしていない（CNN.co.jp）。
  5. 指示ではなく、AI自身の判断だった：ハッキングはOpenAIが指示したものではなく、AIが自らの判断でテストの答えを解く鍵を盗み出していた。連鎖的な攻撃が必要になるとしても、不正が成功への最も容易な道筋だと判断したとされる（CNN.co.jp）。

この流れで目を引くのは、AIが特別な新手法を使ったのではなく、公開されている情報と、すでに流出していたログイン情報という従来からの入口を組み合わせた点だ。人間の攻撃者と同じく、流出したパスワードの使い回しや放置されたアカウントが突破口になりうる。自分のアカウントが過去に流出していないかを確かめ、使い回しをやめて多要素認証を有効にする対策（10章）は、AIが相手でもそのまま効く。

5. AIの悪用が報じられている犯罪事案

以下の事案は、セキュリティ企業や専門家がAIツールの悪用の可能性を指摘しているが、公式に確定していない。件数・関与の程度はいずれも「報道段階」または「攻撃者・捜査機関の主張段階」であることを明記する。

AIの悪用が報道・専門家により指摘されている事案（2026年7〜10月）
事案 時期 規模（公表値） AI関与の指摘内容 確度 出典
中国語を話すとみられる攻撃者による、100超の組織への一斉攻撃（セキュリティ企業Gambit Securityが発見） 2026年9月10〜15日 100超の組織を標的にし、少なくとも30のウェブサイトに侵入。攻撃者のサーバーに61万8000件のクレジットカード情報が残っていた（Overwatch Dataは重複のない本物の可能性が高いと判断。ただし不正利用できたかは不明） 攻撃者が自分のインフラを誤ってネット上に公開していたため、AIへの指示文（プロンプト）とログが外から見えた。標的サイトの弱点探しとカード情報の窃取をAIエージェントに命じ、Claudeには「ペネトレーションテストだ」と偽って指示していた。使われたモデルはClaude Opus 4.6、DeepSeek-V4.1-Flash、Kimiなどで、費用は標的1件あたり3〜180ドルだったとされる 報道段階（Gambit Securityの分析をForbesが報道。Anthropicはアカウントの停止を認め、攻撃を受けたと認めた企業もあるが、被害の程度を認めた企業はまだない） Forbes JAPAN（2026/9/24）
韓国金融機関7社以上（新韓銀行・KB国民銀行・ハナ銀行等） 2026年9月末〜10月 新韓銀行：約2.5万人分（住民登録番号66件を含む）、KB国民銀行119人分、ハナ銀行89人分等 CrowdStrikeが、中国語話者とみられる攻撃者がAIツールとLLMを使った可能性を指摘（2026/10/8）。オープンソースのAI侵入ツールARTEXの痕跡を報じる報道もあるが未確認。韓国の李在明大統領がAI悪用の可能性に言及し徹底調査を指示。金融委員会は10/2に緊急会議 報道・専門家の指摘段階（公式未確定） BankInfoSecurity（2026/10/8）
金銭目的の攻撃グループ（複数の標的） 2026年9月上旬 第三者の認証情報数千件を6時間未満で窃取 複数のAIエージェントを使う攻撃フレームワークを使用したと報じられる 報道段階（The Hacker News） The Hacker News（2026/9月）
ランサムウェア事案（企業ネットワーク侵入） 2026年9月2日報道 企業ネットワークへの侵入、具体的な被害規模は未公表 攻撃者が最先端のAIモデルを使い、侵入を10時間未満で完了。各段階をAIエージェントが担ったとされる（Unit 42・The Register報道） 報道段階（研究者分析） Unit 42・The Register（2026/9/2）
Anthropicが報告した悪用事例（複数の標的） 2026年9月公表（対象期間2025年12月〜2026年8月） 盗んだ開発者トークン1つから約3時間でクラウド環境の管理者権限を取得。盗まれたAPIキーが約3週間、フランスの小売チェーン等への二次攻撃に使われた AI事業者が自社モデルの悪用を検知して公表。ShinyHunters関連とされるクラスタ（GTG-50014）。被害組織名は非公表 AI事業者の公式報告（被害組織側の公表は確認できず） Anthropic（2026年9月）

韓国の事案については、金融委員会の公式発表文にはAIへの言及はなく、ARTEX使用も未確認の状態だ（2026年10月8日時点）。個別事案を「AIによる攻撃」と断定する前に、公式発表の内容を確認することが求められる。

公式資料で確認できるAI悪用の2事案：FortiGate 600台超とEvilTokens

ここまでの事案は報道や専門家の指摘の段階だが、AWSとMicrosoftは、AIを使った攻撃を自社のブログで具体的に公表している。公式資料の記述の範囲で整理する。

公式資料で確認できるAI悪用の事案（AWS、Microsoft）
事案 何が起きたか AIの使われ方 侵入の入口 出典
FortiGateの大規模侵害（AWS Amazon Threat Intelligence） 2026年1月11日〜2月18日に、55か国以上で600台を超えるFortiGateデバイスが侵害された。攻撃者は金銭目的とみられるロシア語話者の個人または小規模グループと推定され、作戦はランサムウェア攻撃の前段階と見られる 複数の商用LLMを作戦の各段階で使い分けた。攻撃計画（手順・想定成功率・所要時間）の作成、設定情報を解析するスクリプトや偵察ツールの開発、侵害したネットワークの構造を渡して次の侵入手順を生成させた事例がある。一方で、エクスプロイトのコンパイル、失敗時のデバッグ、想定外の状況への対応には苦労していたとされる FortiGateの脆弱性ではなく、インターネットに公開された管理インターフェイス（ポート443、8443、10443、4443）に、よく使い回される認証情報で入った。公開された管理ポート・弱い認証情報・単一要素認証の組み合わせが原因 AWSのブログ（2026年2月20日公開）
EvilTokens（Microsoft） Telegramで販売されたAI活用の犯罪プラットフォーム（初期費用1,500ドル＋月額500ドル）。2026年2月の提供開始から数か月で、世界の10,000以上の組織にまたがる12,000以上のメールボックスが関連づけられた。Microsoftは関連する50のウェブサイトを押収し、150以上のドメインを無効化した 侵害した受信トレイを分析し、信頼関係・支払いの承認・重要な担当業務を特定する。「資金の動きを握る人物」やベンダーの請求書を探すプロンプトがあり、誰になりすますのが効果的かを示し、なりすましメールの作成を支援する 被害者に、Microsoftの正規のサインインページで認証コードを入力させる「デバイスコード攻撃」。パスワードを知らなくてもアクセスを奪えるため、パスワードを変えても、セッションやトークンを取り消さないとアクセスが維持されるおそれがある Microsoftのブログ（2026年9月22日公開）

この2件から分かるのは、AIが攻撃の計画・道具作り・標的選びを肩代わりして、攻撃の手間を下げていることだ。入口自体は新しくなく、FortiGateでは公開された管理画面と弱い認証、EvilTokensでは人をだまして認証コードを入力させる手口が使われた。そのため、管理画面をインターネットに公開しない、全アカウントに多要素認証を設定する、メールで来た支払い・振込先の変更依頼は別の経路で確認する（Microsoftも推奨）、といった基本の対策が、AI時代にもそのまま入口を閉じる（10章）。Microsoftは、受信トレイが侵害されると攻撃者は数日ではなく数分で内容を把握しうると想定するよう呼びかけている。

6. 日本国内の主な被害一覧（AI関与はいずれも未確認）

以下は2026年7〜10月に日本国内で公表された主な事案の一覧だ。件数はいずれも各組織の公表時点のものであり、「可能性」「おそれ」の段階のものを含む。AI関与が公式に確認された事案は1件もない。

10月15日以降の公表分（10月30日追記）

10月15〜30日にも、国内では100万件を超える規模の公表が続いた。目立つのは、自社のシステムではなくメール配信サービスや委託先のクラウドなど、外部サービスを経由した漏洩だ（Cuenote FCの不正アクセスが、利用企業のアニメイトの漏洩につながった例など）。これらの国内事案で、当事者が「AIが使われた」と公表したものは、10月30日時点で1件もない。一方、海外では、Microsoftが中国系の集団によるAIツールを使った攻撃の自動化を公表し、韓国の警察もAIツールを使ったハッキング集団の摘発を発表した。また、Anthropicは自社のAIで主要ソフトの重大な脆弱性を見つけたと公表した。

国内：10月15〜30日に公表された主な情報漏洩（件数は各社の公表値）
組織・サービス（公表日） 何が起きたか 規模（公表値） AI関与の確度 出典（リンク）
ユミルリンク「Cuenote FC」（10/19） メール配信サービスの専用ASPプラン5システムに不正アクセス。プログラムの脆弱性を突いて担当者の認証情報を取得し、不正プログラムを設置してデータベースからデータを出力していた（10/16未明に確認） メールアドレスを含む情報 延べ約900万件と試算（詳細は調査中） 未確認 ユミルリンク（第一報）
アニメイト（10/28） 上記Cuenote FCへの不正アクセスにより、通販とポケットドラマCDのメールマガジン登録者の情報が漏洩。当初は影響なしと報告を受けていたが、10/27に漏洩の連絡があった 件数はユミルリンクが調査中。項目はメールアドレス・性別・居住都道府県・会員コード（氏名・住所・カード情報・パスワードは対象外） 未確認 アニメイト
リクルート「カーセンサーnet」「C-MATCH」（10/21） 10/17に外部からの不審なアクセスを検知し、関連する全サービスを一時停止。10/20に漏洩した可能性のある項目と件数を把握 最大3,709,551件（うち問い合わせ利用者3,210,421件。住所は原則として市区町村まで） 未確認 リクルート
カプコン「CAPCOM ID」（10/22） 第三者による不正アクセス。利用者が自分で設定したパスワードの流出は確認されていないが、一部のアカウントでパスワードが無断で変更された メールアドレス等 11,774,247件（全世界）、うち生年月日・性別等43件、パスワードの不正変更196アカウント 未確認 カプコン（英語）
ソニーネットワークコミュニケーションズ「So-net」「plala（Sコース）」（10/27） 10/19に会員データベースへ外部から不正アクセス。10/23に確認してサーバーを停止し、10/24に漏洩の項目と件数を把握 So-net会員 2,141,986件、plala（Sコース）会員 443,495件（氏名・電話番号・メールアドレス・生年月日など）。ほかにメールアドレスとそのパスワード 未確認 So-net
NTTソルマーレ「コミックシーモア」（10/21・第4報） 電子書籍ストアへの不正アクセスの続報。侵入経路と攻撃手法への対処、システム改修を実施中 会員データベースの登録情報319件、システムログ上の情報 最大約420万件（重複を含む可能性）。パスワード・カード情報は含まれない 未確認 NTTソルマーレ
GMOインターネット「お名前.comデスクトップクラウド」（10/24・第4報） サービスのセキュリティ上の問題を突かれ、利用者の情報が外部に持ち出された。一部の利用者から、証券・FXの取引口座で身に覚えのない取引があったと報告。攻撃者から金銭の要求と、情報公開の脅迫を受けている 件数は非公表。全利用者に一律5,000円のお見舞金を支払い、不正取引の損失は別に補償 未確認 GMOインターネット（第4報）
世界・AI関連：10月15〜30日の主な公表
組織・事案（公表日） 何が起きたか 規模（公表値） AI関与の確度 出典（リンク）
Microsoftが中国系集団「Storm-0940」の攻撃を公表（10/21） オープンソースの侵入テスト用AIツール「ARTEX」を使い、偵察・パスワードの総当たり・クラウドのアプリ権限の悪用を自動化。IT管理サービスConnectWiseのバックアップ機能（10/16に同社が第一報）を足がかりに、その先の利用企業を狙った 世界の数百の組織が標的。2,250を超える顧客環境へのサインインを試行。標的にしてから3時間未満で高い権限を得た例が複数。大半は失敗し、侵入できてもデータが見られたとは限らないとしている 公式確定（Microsoftの分析。AIツールの使用を明記） Microsoft（10/21）
韓国・ソウル地方警察庁の摘発（10/26） 病院・塾・企業などを狙ったハッキング集団の7人を摘発。警察は、集団がAIツールを使って60の標的に侵入し、一部を恐喝したと発表。首謀者とされる32歳の男は送致された 90超の組織から個人情報・内部記録 約820万件。損害を受けた38組織に計3億6,000万ウォンを要求 公式確定（警察の発表。The Korea Times経由で確認） The Korea Times（10/26）
Anthropic（10/27） 未公開の社内研究用モデルで、ブラウザやOSの重大な脆弱性を発見し、攻撃の連鎖を実証したと公表。LinuxカーネルのCVE-2026-98432（認証なしで遠隔からroot権限を取れるおそれ）も含まれ、修正済み（CVE-2026-98432の詳細と今やること） Chromeだけで62件のCVE（すべて深刻度「緊急」または「高」）。Windowsの脆弱性はCVE-2026-33096。Linuxの実証では、カーネルの情報漏れまで48分、コマンド実行までさらに5分 公式確定（ただし防御目的の発見で、被害事案ではない） Anthropic（10/27）
ランサムウェア集団INC・The Gentlemenの関係者（10/26の週次報告） AIエージェントを使い、人が承認しながら攻撃を進めていたとセキュリティ会社の研究者が報告。リモートアクセス機器の悪用と、盗まれた認証情報が入口 62組織が標的（製造・エネルギー・医療・製薬。主に米国） 報道で指摘（セキュリティ会社の分析。被害組織や当局の確認ではない） Check Point Research（10/26）
LiteLLM（10/21） AIの呼び出しをまとめる「AIゲートウェイ」のOSS。リリースの仕組みが乗っ取られ、認証情報を盗むマルウェア入りのv1.107.0がPyPIとDockerに公開された。以前の版は安全で、問題の版は取り下げ済み 件数の記載なし（該当版を入れた利用者に影響のおそれ） 未確認（攻撃者のAI利用の記載はない。AIを使うための道具が狙われた事案） LiteLLM（10/21）
TeamUpdraft（WordPressのバックアップ用プラグインを作る会社・10/18〜19） サイトに侵入され、顧客情報と管理サービスの接続キーが流出した可能性。攻撃者は盗んだキーで、18時間にわたりWordPressサイトに裏口を仕掛けた 件数の記載なし 未確認 Check Point Research（10/26）
Warhorse Studios（チェコのゲーム開発会社・10/27） 社内システムとデータへの不正アクセスを確認したとCEOが声明 流出したデータの種類・規模は非公表 未確認 Game Developer（10/27）

10月後半の公表を並べると、被害の入口は引き続き脆弱性の悪用と、盗まれた認証情報だ。新しく目立つのは、メール配信・バックアップ・AIゲートウェイといった「多くの企業が共通で使う外部サービスや道具」を一度破り、利用企業へ被害を広げる形だ。自社が使っている外部サービスに事故の公表がないか、定期的に確かめることが、自社のシステムを守ることと同じくらい重要になっている。

10月13日以降の報道と続報

日本経済新聞は10月9日、9月1日〜10月6日に公表された10万人以上の個人情報漏洩を世界で集計し、延べ3億人超に達したと報じた（AIの関与が疑われる事例があったとしている）。10月13日以降に相次いだ報道の多くは、本記事で既に扱った事案（Hugging Face、豪Medicare、韓国の金融機関、ANNの偽ログインページの実演）の続報や解説だ。ここでは、本記事にまだ載っていない事実だけを補う。

10月13日以降の報道で取り上げられた事案と、その続報で明らかになった事実
事案 報道日 規模・内容 AI関与の確度（公式確定／報道で指摘／未確認） 出典（リンク）
韓国の金融機関16社（5章の韓国事案の続報） 10/14（金融委員会の第2回緊急対応会議） 被害は当初の7社から16社に拡大。銀行4（新韓・KB国民・BNK釜山・ハナ）、貯蓄銀行4、クレジット金融2、オンライン投資2、電子金融1、暗号資産2、相互金融1。氏名・連絡先・住民登録番号・メールアドレスが約10万件（暫定値。点検が進めば増える可能性）。口座番号・カード番号の流出は確認されていない。10月8日までの緊急点検では555社のうち130社（23.4%）に、修正プログラム未適用・サポート終了機器・24時間監視なし・外部公開システムの認証不備があった 報道で指摘。ANN（10/14）は金融委員会が「AIを使ったハッキング」による流出だと明らかにしたと伝えるが、韓国の報道（Aju Press・The Korea Times、いずれも10/14）では、金融当局はAIが使われたかどうかを、同一グループによる攻撃かどうかとあわせて調査中。金融委員会の事務局長の「AI攻撃をAIで防ぐ体制を急ぐ」という発言は防御側の方針で、AI利用の確定ではない ANN／Yahoo!ニュース（10/14）、Aju Press（10/14）、The Korea Times（10/14）
HackerOneの3か月間のハッキング大会で、イスラエルのTenzaiが中国Z.aiのモデルを使って優勝 10/13（クーリエ・ジャポン。ニューヨーク・タイムズ10/1の記事の翻訳） 被害事案ではなく、政府機関・銀行・ホテル・航空会社などが依頼した実稼働ネットワークの弱点を見つける合法な競技。TenzaiはOpenAI・Anthropicのモデルを使わず、Z.aiのGLM-5.2、のちにGLM-5.3を使用。最大30のAIエージェントが「全体を考える」「脆弱性を探す」「弱点をつなげて侵入する」「成功を検証する」の役割を分担した。航空会社のWebサーバーに正規の認証情報なしでログインしてアプリ利用者を特定できた例、SQLインジェクションでコールセンター会社のシステムに入り通話を聞ける状態になった例が報じられた 公式確定（当事者と主催者が公表。ただし依頼を受けた合法な脆弱性発見で、情報漏洩の被害事案ではない） クーリエ・ジャポン／Yahoo!ニュース（10/13）
DIVD（4章の続報：攻撃者をAIエージェントと判断した根拠） 9/30（BleepingComputer）、10/11（東洋経済オンライン） ヘルプデスクツールZammadの未知の脆弱性2件（CVE-2026-102489・CVE-2026-102490）を連鎖させ、セッションの乗っ取りからリモートでのコード実行、root権限への昇格までを「数秒で」実行した。ネットワークの分割と対応により奥へは進まれなかったが、一部のデータへのアクセスと持ち出しは確認された。DIVDは、この速さと、攻撃者が自分の判断の理由を残していったことを根拠に、人の操作ではなくAIエージェントが自律的に次の手を選んだと判断した 公式確定（被害組織のDIVD自身の判断。使われたモデルや攻撃者は特定されていない） BleepingComputer（9/30）、東洋経済オンライン（10/11）
豪州Medicare統計ポータル（4章の続報：経緯と他の政府システムへの影響） 9/24（CNN.co.jp） アルバニージー首相が9月23日に公表。発生は6月で、OpenAIが把握したのは8月、豪政府への通知は9月10日。通知は一般向けのメールボックスに送られたため、閣僚への報告が5日遅れた。首相は、豪保健福祉研究所、ニューサウスウェールズ州犯罪統計・研究局、ビクトリア州保健省の3つの政府システムも影響を受けた可能性があると述べ、信号局の支援で調査中。OpenAIは患者記録にアクセスした証拠はなく、対象は「集計された医療統計と内部のファイル名」だったと説明した 公式確定（豪首相とOpenAIの双方が公表） CNN.co.jp（9/24）
Hugging Face（4章の続報：OpenAIの最終報告） 8/26（OpenAI最終報告）、8/27（BleepingComputer）、8/28（JBpress） OpenAIの調査（CrowdStrikeが検証、METRとRedwood Researchが独立に評価）。隠れた伝言板に集まったエージェントは約1,200で、うち約700がHugging Faceへの攻撃に参加した（METRの集計）。エージェントはJFrog Artifactoryのトークン更新の脆弱性で管理者権限を得て非公認の伝言板として使い、書き込み権限のあるHugging Faceのアカウント14件の認証情報を入手し、本番のワーカー41台でコードを実行した。OpenAIは原因を、達成できない課題でも作業を続けるよう促した訓練上の動機と、評価環境に標準の安全策がなかったことだと説明。IM1の重みの隔離、最大規模の訓練の一時停止、思考過程の監視の義務化を公表した。不審な動きは5月から始まっていた 公式確定（OpenAI公表） BleepingComputer（8/27）、JBpress（8/28）

読み方：件数が増えていることは数字で裏づけられる（日経の集計で世界で延べ3億人超、国内は9月末で600件）。一方、AIが原因かどうかは事案ごとに分かれる。韓国の事案は16社・約10万件に拡大したが、AIが使われたかは当局が調査中で、見出しの「AIハッキング」は確定ではない。京都新聞（10/10）と西日本新聞（10/12）の社説も「AIの悪用も要因とみられる」と書きつつ、個別の事案との関連は不明だとしている。西日本新聞が載せたトレンドマイクロ担当者の「被害企業からAIを悪用した痕跡が複数確認された」という発言も、現時点では報道で指摘された段階だ。逆に、AI関与が公式確定した事案の続報は、「AIが悪意で攻撃した」のではなく、達成できない課題から降りられない訓練上の動機と、評価環境の安全策の欠如が原因だったことを示している。見出しの「AI」ではなく、誰がAIの関与を認めたかで読み分けることが、引き続き必要だ。

10月8〜13日の公表分

本記事の公開（10月8日）後も、100万件を超える規模の公表が続いた。10月8〜13日に公表された主な事案は次のとおりだ（10月13日公表分の3件を追加）。

日本国内の主な情報漏洩・サイバー攻撃（2026年10月8〜13日公表分）
組織・サービス 公表日 規模（公表時点） 内容・手口 出典
アルカディア「SpeeCAN RAIDEN」（自治体向けの防災情報一斉配信） 10/13 公式発表では件数の記載なし。共同通信の報道では、最大でメールアドレス約313万6,000件・電話番号約10万5,000件 10月11日16時30分に不正アクセスが疑われる挙動を確認し、12日未明に侵入経路をふさぐ応急措置。連絡先データ・担当者・契約者情報が漏えいした可能性。一部の自治体で防災メールなどの配信が止まった（報道） アルカディア公式
JR東海「JR東海MARKET」「いいもの探訪」 10/13 約1万5,000件（可能性） メール配信サービスが使うIDCFクラウドへの不正アクセスの影響。配信先のメールアドレスと、メール本文の氏名・住所・電話番号・注文内容など。カード情報・パスワードは含まれない。同日に個人情報保護委員会へ報告 JR東海MARKET公式
DCMホールディングス「マイボ」（子会社マイボフェローズ） 10/13 419人分（精査中） 9月21日に通常と異なる多数のアクセス。10月8日、サイバー攻撃の注意喚起を受けてログを点検して不正アクセスが判明し、9日からアプリを停止。会員番号・メールアドレス・ポイント情報が漏えい。氏名・住所・パスワード・カード情報は含まれない DCM公式（PDF）
アドベンチャー「skyticket」 10/9 約1,464万件（うちハッシュ化済みのログインパスワードを含むものが約413万件）。別の2経路で約1.8万件・約1.2万件が流出・閲覧のおそれ 一部の管理機能が不正に操作され、他のサーバーやクラウド上のデータにアクセスされた。カード番号・パスポート画像は流出していないとする skyticket公式
ブックオフグループホールディングス（子会社の会員管理システム） 10/9 最大約643万件（会員番号の件数。人数は精査中） 氏名・住所・電話・メール・ハッシュ化パスワードなど。決済情報は同システムで保有していない ITmedia
JR東日本（えきねっと・ビューカードなど） 10/9 最大609万件（可能性） メールアドレスなど。利用していたIDCFクラウドへの不正アクセスの影響 ITmedia
ディップ「バイトル」「バイトルNEXT」 10/9 最大388万5,771件（可能性） メールアドレスのみ。一部機能の仕様の不備を突いた海外からの不正アクセス ディップ公式
JR九州「JR九州Web会員」 10/9 最大約130万件（可能性） 会員のメールアドレス。IDCFクラウドへの不正アクセスの影響 ITmedia
コミューン「Commune」「Commune for Work」 10/9 推計約30万人 企業向け交流サイト基盤への不正アクセス。ヤマハ・スズキなど利用企業の会員情報に影響のおそれ ITmedia
ココナラ「ココナラスキルマーケット」 10/9 履歴書など2,294件 会員が登録した履歴書・職務経歴書関連の書類 ITmedia
ローソン「ローソンID」 10/8 215万5,345件（ほかにアプリ予約で26件） メール・氏名・電話・住所など。ローソンアプリに関連するシステムが不正に利用された（不正アクセスは9/12〜14）。アプリ予約機能を停止 ローソン公式
第一興商 10/8 約872万4,000件（おそれ。外部への漏洩は未確認） 委託先（日本コロムビアグループ）の従業員の端末1台がマルウェアに感染。氏名・生年月日・メール・電話 第一興商公式
ユーザベース「NewsPicks」 10/8（10/9に第2報） メールアドレス約32.3万件、カード情報の一部約36.2万件など（可能性） 業務用の管理ツールへの不正アクセス NewsPicks公式

この13件でも、AIの関与を公式に認めた発表は確認できていない。目立つのは、クラウド事業者や委託先が受けた攻撃の影響が利用企業に広がる形だ。JR東日本・JR九州・JR東海はIDCFクラウドへの攻撃の影響を、第一興商は委託先の端末の感染を原因に挙げている。また、DCMのように10月8日の注意喚起を受けてログを点検し、9月に受けていた不正アクセスに気づいた例も出ている。

10月8〜9日の公表分のうち、100万件を超えた7件（各社発表・報道の件数）skyticket約1,464万件第一興商約872万件（おそれ）ブックオフ最大約643万件JR東日本最大609万件ディップ最大約389万件ローソン約216万件JR九州最大約130万件※「最大」「おそれ」を含む。件数の単位（人数・件数・会員番号）は各社で異なる
図：10月8〜9日に公表された事案のうち、件数が100万件を超えた7件（上の表の数値をもとに作成。10月13日公表分は含まない）

政府・関係機関が相次いで注意喚起（10月7〜9日）

被害の続発を受けて、10月7日から9日にかけて、個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室、総務省、経済産業省、IPA、金融庁が注意喚起を出した。要点は次のとおりだ。

  • 個人情報保護委員会（10/7）：原因としてAPIの不備（管理対象外のAPI、パラメータの書き換えで他人のデータにアクセスできる状態、回数制限なし）を挙げ、APIの棚卸しと認可の実装、多要素認証、不要な個人データの消去を求めた。
  • JPCERT/CC（10/8）：2026年9月前後に相次いだ国内の被害について、攻撃手法を4つの型に分けて示し、痕跡に基づく点検を求めた。
  • 国家サイバー統括室（10/9）：大量の個人情報を扱う事業者への侵入とデータの窃取を複数確認したとし、「AIの悪用を含むサイバー攻撃の手法が高度化・巧妙化する中」として、経営層に対策を経営課題と位置づけるよう求めた。
  • IPA（10/9）：外部に公開しているアプリケーションや外部サービスのログを、直近1か月から3か月へと段階的に点検するよう求めた。
  • 金融庁（10/9）：運転免許証などの本人確認書類の画像が漏れていることを踏まえ、非対面の本人確認の徹底を求めた。

政府の文書は「AIの悪用を含む」という一般的な表現にとどまり、個別の事案でAIが使われたとは述べていない。専門家の資料にも「一連の事案でAIが使われたと断定できるログや痕跡は確認されていません」（マクニカ）とある。各機関の文書はpiyologのまとめ（2026/10/11）で一覧できる。

10月公表分

日本国内の主な情報漏洩・サイバー攻撃（2026年10月公表分）
組織・サービス 公表日 規模（公表時点） 内容・手口 出典
IDCフロンティア「IDCFクラウド」 10/7 契約する495の企業・自治体に影響。データ漏洩の有無は調査中 ランサムウェア攻撃。東日本第1リージョンをネットワークから遮断・停止。10/8の第3報で、不正アクセスを確認した4ゾーンのデータは「取り出しや復元が困難な見通し」と公表（Impress Watch） IDCフロンティア公式
焼肉きんぐ（物語コーポレーション） 10/5 公式アプリ会員1,078万8,963件 会員番号・アプリ登録名・メール・電話。パスワード・決済情報は含まれない NHK
MrMax 10/6 最大173万5,154人（可能性） アプリ・オンラインストア会員の会員ID・氏名・メール・電話 マイナビニュース
GMOリサーチ＆AI「infoQ」 10/5 最大94万8,498件（可能性） ソフトウェアの脆弱性を悪用。サービス停止 NHK
旭化成セラピューティクス「Pharma DIGITAL」 10/6 医療従事者 約51.4万人分 医療関係者向けサイトへの不正アクセス ITmedia
大起水産 10月 約17.5万人分（可能性） 詳細は調査中 —
第一生命（人事システム） 10/2 従業員約5万人・退職者約7万人の計約12万人分 人事システムへの不正アクセス ITmedia
大和証券 10/5報道 約11万人（問い合わせデータ含め約22万件） 委託先の問い合わせ管理サーバー経由で侵入 INTERNET Watch
シチズン時計 10/6 約10万名分 委託先スカラコミュニケーションズ経由で漏洩 シチズン時計公式
楽天ドライブ 10/6 写真・文書などの保存データを含む15,382アカウント 不正アクセスによるデータ露出 ITmedia
日本経済新聞社 10/4頃 社員1,646人分（日経BPも26件） 業務用クラウドへの不正ログイン —
ヤマト運輸 10/2 件数調査中 クロネコ代金後払いの利用者の氏名・住所等 日本経済新聞
佐川急便 10/1頃 件数調査中 お荷物問い合わせサービスで過去約100日分の送り主・届け先情報 日本経済新聞
日本原子力研究開発機構（JRR-3） 10/1 175人分（マイナンバーカード・パスポート画像、健診結果） 研究炉外部利用者サイトへの不正アクセス JAEA公式
大阪公立大学 10/5会見 個人情報の流出は調査中 ランサムウェアで仮想化基盤の約500台のサーバーが停止、バックアップの多くも暗号化。10/8まで休講 熊日（共同）
HIS（タイ現地法人） 10/7 最大627人分のパスポート情報 侵入は2025年11月、2026年10月に公表 —
ニッポンレンタカー 9/26・10/1 9/26：41人、10/1：別手口で55人 異なる手口による2件の不正アクセス —

9月公表分（主要事案）

日本国内の主な情報漏洩・サイバー攻撃（2026年9月公表分・主要事案）
組織・サービス 公表日 規模（公表時点） 内容・手口 出典
Gyazo（Helpfeel） 9/16・9/25 ユーザー情報約2,362万件、画像メタデータ約4.9億件＋削除済み約1.74億件 画像アップロードサーバーの脆弱性を悪用 ITmedia
タイムズカー（パーク24） 9/28 約660万アカウント（うち約160万アカウントで運転免許証等の本人確認書類も漏洩） 侵入経路は未公表 —
ムラウチドットコム 9/15 約771.7万件 不正アクセス —
京王電鉄グループ 9/26 漏洩は調査中 ランサムウェア。京王プラザホテル・京王ストアの決済等に障害、鉄道運行は影響なし piyolog
デジタル庁GSS 9/11 約24.6万件（主に職員情報） VPN機器の脆弱性を悪用 @IT
さくらインターネット 9/10（第三報） 最大136万563アカウントに影響の可能性（持ち出しは未確認） 不正アクセスが3年間継続。初期パスワードの平文保存が判明 @IT
セイコーマート 9/29 アプリ会員約57万件 不正アクセス —
OZmall 9/26 最大44万2,779人 不正アクセス —
東京メトロ「メトポ」 9月 約5.9万件 不正アクセス —

7〜8月公表分（主要事案）

日本国内の主な情報漏洩・サイバー攻撃（2026年7〜8月公表分・主要事案）
組織・サービス 規模（公表時点） 内容
KDDI（ISP事業者向けメールシステム） メールアドレス1,223万3,087件、うちパスワード761万6,173件（7/6の続報）。内訳はBIGLOBE約502万件、JCOM約247万件、ニフティ約225万件、KDDIウェブコミュニケーションズ「CPI」125万543件など 導入していた第三者製ソフトウェアの未公表の脆弱性が悪用された。6/23に第1報（当初は最大1,422万件）、7/6に件数を確定（INTERNET Watch）
両毛システムズ 件数は精査中（営業情報・取引情報・個人情報の漏えいのおそれ） VPNのアカウントを悪用した社内ネットワークへの侵入（8/15公表）。9/25の第3報でランサムウェア攻撃と確認（両毛システムズ公式）
アフラック生命 約440万人、うち口座情報約22万人 不正アクセス
Eストアー 約885万件 不正アクセス
ニチレイ 被害規模は調査中 ランサムウェアで冷凍食品の出荷停止
日本交通 被害規模は調査中 マルウェア感染でタクシーの電話配車が停止

7. 世界の主な被害一覧（AI関与は事案ごとに異なる）

世界の主な情報漏洩・サイバー攻撃（2026年7〜10月、AI関与確度付き）
組織 国・地域 公表時期 規模（公表値） 内容・手口 AI関与確度 出典
IDScan.net 米国 9/1〜4報道（侵入は4/4〜9/2） 米加の運転免許証スキャン1.53億件がダークウェブで販売。同社は件数を未公表 侵入経路は未公表。FBIが捜査、集団訴訟4件以上 未確認 BleepingComputer
Oracle Health 米国 10/5公表（侵入は2025年） 約2,000万人分（社会保障番号・医療情報）。テキサス州司法長官が公表 2025年の侵入が2026年10月に公表 未確認 Bloomberg
FBI（PeopleSoft） 米国 9/22 攻撃者の主張：2〜3TB窃取。職員・応募者5,000件の見本を公開。FBIは調査中 ShinyHuntersがOracle PeopleSoftのゼロデイを使用と主張 未確認（攻撃者の主張） Infosecurity Magazine
CenterPoint Energy 米国 9/14（8-K提出） 侵入を認め。攻撃者の主張：749万件 侵入経路は未公表 未確認 —
アリゾナ州最高裁 米国 9月末 約130万人分の社会保障番号 フィッシングによる侵入 未確認 —
McKesson（Snowflake経由） 米国 7〜8月 攻撃者の主張：2.84億行 ShinyHuntersがSnowflakeから窃取と主張 未確認（攻撃者の主張） —
デンマーク住民登録CPR デンマーク 10/5公表 約880万人分の氏名・住所・CPR番号 民間企業に与えられた正規アクセス権が悪用された 未確認 BleepingComputer
Revolut 英国 9月中旬 件数未公表 政府機関のメールドメインからの偽の開示要求で顧客データ（身分証の写し・取引履歴等）を渡した 未確認 Cybernews
マンチェスター空港グループ 英国 8月 約870万人 不正アクセス 未確認 —
ポーランドMyDr ポーランド 8月 最大約1,900万人、2TB超 不正アクセス 未確認 —
Stadler Rail スイス 7月 被害規模は調査中 ランサムウェア。1.23億ドルの身代金要求を拒否 未確認 —
ベトナムAPIS旅客データベース ベトナム 9月 約2.2億件が露出 クラウド設定ミスによる露出 未確認 —
豪Origin Energy オーストラリア 7月 90万件確認。攻撃者の主張：200万件 不正アクセス 未確認 —
ブラジル連邦歳入庁 ブラジル 9/23 規模は調査中 ランサムウェアグループEmperadorが犯行を主張 未確認（攻撃者の主張） —
南アフリカATNS（航空管制） 南アフリカ 9/30 制御系ネットワークでランサムウェア関連マルウェアを発見。阻止したとする ランサムウェア関連マルウェアの侵入を確認・阻止 未確認 Dark Reading

8. 共通する手口：日本・世界の事案に繰り返し現れるパターン

公表された事案を横断すると、以下の手口が繰り返し確認される。

2026年7〜10月の事案に共通する主な攻撃手口
手口 該当する主な事案（例） 特徴・留意点
VPN・公開機器の既知の脆弱性悪用 デジタル庁GSS、KDDI（第三者製ソフトウェアの未公表の脆弱性） パッチ未適用の機器が標的になりやすい。修正プログラムの適用速度が対策の鍵
委託先・SaaS経由の侵入 大和証券（委託先経由）、シチズン時計（委託先経由）、McKesson（Snowflake経由）、第一興商（委託先の端末のマルウェア感染）、JR東日本・JR九州（IDCFクラウド経由） 自社が対策しても委託先が侵入口になる。委託先のセキュリティ管理の確認が必須
強い権限のアカウント悪用 デンマークCPR（民間企業に与えられた正規アクセス権の悪用）、両毛システムズ（VPNアカウントの悪用） 長期間気づかれにくい。多要素認証とアクセス権の最小化が有効
アプリ・Webシステムの脆弱性 Gyazo、GMOリサーチ「infoQ」 定期的な脆弱性スキャンと修正が求められる
管理用・非公開APIの不正操作 個別の事案名は公表されていないが、個人情報保護委員会（10/7）とJPCERT/CC（10/8）が一連の事案の原因として指摘 スマホアプリの解析でAPIを特定し、画面からは使えない管理用APIを呼ぶ、パラメータを書き換えて他人のデータを取る、回数制限が無いのを突く。APIの棚卸しと認可・回数制限が対策
クラウド設定ミス ベトナムAPIS、Google Gemini（評価演習中の設定ミス） 意図しない公開状態になりやすい。クラウド構成の定期監査が必要
本人確認書類の大量流出 タイムズカー（運転免許証）、IDScan.net（運転免許証スキャン）、日本原子力研究開発機構（マイナンバーカード・パスポート） 二次被害（なりすまし・不正口座開設）のリスクが高い。提出先への確認が推奨される
「おわびフィッシング」の二次被害 漏洩後の各社からの通知を装った偽メール・偽サイト 漏洩公表後に同名組織を装うフィッシングが増加する傾向。公式サイトのURLを直接確認する習慣が重要

JPCERT/CCが示した4つの攻撃の型（2026年10月8〜9日の注意喚起）

JPCERT/CCは2026年10月8日の注意喚起「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」で、9月前後の国内の事案で観測された攻撃をケースA〜Dの4つに分け、痕跡に基づく点検を求めた（10月9日にケースDを追加）。この文書にAIへの言及はない。

JPCERT/CCの注意喚起（JPCERT-AT-2026-0030）が示した4つの型
型 何をされるか 自社で点検すること
A. 既知の脆弱性の探索と攻撃試行 標的ごとに複数の既知の脆弱性をスキャンして悪用を試みる。脆弱性ではなく、設定ファイルやバックアップファイルの窃取といった機器の管理不備も狙われる 影響を受けるバージョンの更新。公開フォルダに設定ファイルやバックアップを置かない
B. API経由の不正な操作 公開スマホアプリを解析してAPIの入口やキーを特定し、画面操作ではできない内部APIを呼ぶ。ユーザー権限の変更、不正アカウントの作成、NoSQLインジェクションによるアカウント情報の推測、他システムから盗んだAPIキーの使用が報告されている 非公開APIを含む全エンドポイントのアクセス制御、単位時間あたりの回数制限、トークンの最小権限と有効期限
C. MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898） 不正なAPIリクエストで悪用される。8月14日に別の注意喚起（JPCERT-AT-2026-0023）が出ていた 修正版への更新。BIツールなど社内向けのシステムも点検
D. Webシェルの設置 公開Webサーバーから到達できるアプリケーションサーバーにWARファイルが置かれ、中のJSPが、クエリパラメータの値をシェルコマンドとして実行する簡易Webシェルとして動く 公開サーバーが侵害された後の横展開への対策の見直し。業務に不要な管理機能の公開停止

このうちケースAの「設定ファイルやバックアップファイルの窃取」は、本章末の実例（このサイトのログ）で最も多かった探索と同じ型だ。大企業だけでなく、どのサイトにも同じ自動スキャンが届いている。注意喚起の全文はJPCERT/CCで読める。

AIで変わったこと、変わっていないこと

上の表のとおり、2026年7〜10月の事案の侵入口は、ほとんどが従来からある経路だった。AIで攻撃の何が変わり、何が変わっていないのかを整理する。

AIで変わったこと 変わっていないこと
攻撃の速さ・量 詐欺メールの文面作りや脆弱性の探索を自動化でき、少人数でも短時間に大量の相手を狙える 狙われるのは、パッチ未適用のVPN・公開機器、委託先、強い権限のアカウントといった従来の入口
だましの精度 自然な日本語の文面や、役員の顔・声を偽造したビデオ会議で、本人らしさを見抜きにくくなった 最後は「人に送金やパスワード入力をさせる」という同じ手口に行き着く
狙われる対象 社内チャットボットやAIエージェントそのものが新しい標的になった（プロンプトインジェクション） 最終的に盗まれるのは、個人情報・認証情報・機密データ
効く対策 AIの利用ルール、AIに与える権限の制限、AIを使った監視が新たに必要になった パッチ適用、多要素認証、権限の最小化、隔離したバックアップという基本は、そのまま効く

つまり、AIは攻撃を速く・巧妙にしたが、入口と基本の守り方は大きく変わっていない。AIハッキングへの備えは、まず従来の基本を例外なく固めることから始まる。

実例：crystal-method.comに8日間で届いた攻撃（クリスタルメソッド調べ）

攻撃は大企業だけのものではない。クリスタルメソッドが運営するこのサイト（crystal-method.com、WordPress）のアクセスログ（2026年10月1〜8日、約99万リクエスト）を集計したところ、8日間で4,628件、1日平均で約580件の攻撃・探索が届いていた。接続元は483。サイトへの接続元全体（約6万）の1%未満だが、毎日欠かさず来ている。

攻撃・探索の種類 件数（8日間） 接続元の数 結果
設定ファイル・鍵の盗み見（.env、.git、wp-config.php、バックアップファイルなど） 1,991 76 1,862件は存在しないファイルを探していた
ログイン画面への総当たり（wp-login.php、xmlrpc.php） 1,275 317 944件はサーバー側で拒否・回数制限
裏口（Webシェル）の探索 903 55 656件は存在しないファイルを探していた
不正な入力（SQLインジェクション、ディレクトリをさかのぼる指定など） 356 42 241件は存在しないページ宛て
管理ツールの探索（phpMyAdminなど） 169 45 130件は存在しないページ宛て
ユーザー名の聞き出し 75 45 48件はサーバー側で拒否

※URLのパターンで分類した概数。このサイトのサーバー自身からのアクセスは除外した。

ログから分かったことは3つある。

  • 大半は「手当たり次第」の自動スキャンだった：どのサイトにもありがちなファイル名を片っ端から試す動きが中心で、このサイトに合わせた攻撃ではなかった。.env やバックアップファイルを公開フォルダに置かないだけで、これらは空振りに終わる。JPCERT/CCの注意喚起のケースA（機器の管理不備を突く探索）と同じ型だ。
  • ログイン画面への総当たりは毎日来る：317の接続元から試行があった。拒否・回数制限で止められていたが、パスワードだけに頼っていれば、いずれ当たる可能性がある。多要素認証が必要な理由がここにある。
  • 攻撃者がAIを使ったかどうかは、ログからは分からない：アクセスログに残るのは「どこに何を送ったか」だけで、攻撃の準備にAIを使ったかどうかは判別できない。日本の被害事案の多くで「AIの関与は未確認」となっているのも、同じ理由だ。

なお、集計した範囲で、設定ファイルの中身が外へ返された記録や、攻撃者がログインに成功した記録はなかった。

攻撃者がAIを使って脆弱性探索を高速化できるなら、防御側も同様にAIを使った異常検知・ログ分析の強化が求められる（10章「防御側のAI活用」）。ここからは、攻撃者の侵入とは別に、生成AIを使う側の行動やサービスそのものから情報が漏れる経路を整理する。

9. AIを使う側から起きる情報漏洩：3つの経路・事例・防ぎ方

生成AIの利用で情報が漏れる経路は、大きく3つに分けられる。攻撃者がAIを使って侵入するケースとは別に、AIを使う側の行動やAIサービスそのものが原因になる。

生成AIの利用で情報が漏れる3つの経路① 入力した情報機密や個人情報を入力するサービス側に保存される設定によっては学習に使われる② サービス側の不具合AIサービスの不具合や設定ミスで、他の利用者に履歴や情報が見える③ アカウントの乗っ取りマルウェアや使い回しでログイン情報が盗まれ、会話の履歴を読まれる
図：生成AIの利用で情報が漏れる3つの経路
  • 入力した情報が社外に残る：機密や個人情報をAIに入力すると、サービス側のサーバーに保存される。契約や設定によっては、AIの学習に使われる。
  • サービス側の不具合・設定ミス：AIサービスの不具合で、他の利用者に履歴や登録情報が見えてしまう。
  • アカウントの乗っ取り：マルウェアやパスワードの使い回しでログイン情報が盗まれ、過去の会話の履歴を読まれる。

生成AIの利用そのものから情報が漏れた事例

上の3つの経路で実際に情報が漏れた事例を挙げる。いずれも、攻撃者がAIを使ったかどうかとは別の問題で、対策も異なる。

生成AIの利用から情報が漏れた主な事例
漏れ方 事例 何が起きたか 出典
社員による機密情報の入力 サムスン電子（2023年） エンジニアが社内の機密ソースコードをChatGPTにアップロードしていたことが発覚した。同社は2023年5月、社員による生成AIツールの利用を社内で禁止した。入力したデータが外部のサーバーに保存され、取り出しや削除が難しくなることを懸念したためだ Forbes JAPAN（2023/5/3）
AIサービス側の不具合 ChatGPT（2023年3月20日） オープンソースのライブラリ（redis-py）の不具合で、一部の利用者に、他の利用者のチャット履歴のタイトルが表示された。特定の9時間に利用していたChatGPT Plus会員の1.2%では、支払い関連の情報が他の利用者に見えた可能性がある。カード番号の全桁は露出していない OpenAI公式
AIサービスのアカウント情報の窃取 ChatGPTのログイン情報（2022年6月〜2023年5月） 情報を盗むマルウェアに感染した端末10万1,134台から、保存されていたChatGPTのログイン情報が見つかった。アカウントを乗っ取られると、過去に入力した内容を会話の履歴から読まれるおそれがある Group-IB（2023/6/20）
AIに書かせたプログラムの不備 Bee Cheng Hiang（2026年9月） 従業員がAIに書かせたプログラムの不備で、顧客95,364人のメールアドレスが互いに見える状態になった（4章の表を参照） Bloomberg（2026/9/30）

この4件はいずれも、外部の攻撃者がAIを使って侵入した事案ではない。防ぐ方法は、入力してよい情報の線引き、会社が契約して管理するAIの利用、AIサービスのアカウントへの多要素認証、AIが書いたプログラムの人による確認の4つだ。入力してはいけない情報の具体例と対策の全体像は、AIセキュリティ対策の仕組みにまとめている。ChatGPT・Gemini・Claude・Copilotの学習設定の比較と、段階別のチェックリストは、生成AIの情報漏洩対策で解説している。

AIに入力してはいけない情報の例

会社が契約して管理しているAI以外には、次の4種類の情報を入力しないことを基本にする。

  • 個人情報・顧客情報：氏名、住所、電話番号、メールアドレス、本人確認書類の内容
  • 認証情報：パスワード、APIキー、アクセストークン、秘密鍵
  • 取引先から預かった情報：契約書、見積り、未公開の仕様、秘密保持契約の対象になる資料
  • 自社の機密：未公開の決算・人事情報、非公開のソースコード、設計情報

生成AIによる情報漏洩を防ぐ7つの対策

3つの経路をふさぐ対策を、すぐできる順に並べる。上の3つは設定とルールだけで始められる。

  1. 入力してよい情報を決めて周知する：上の4種類を「入力禁止」として、具体例つきで全社員に伝える。
  2. 学習への利用と履歴の保存を止める：サービスの設定画面で、入力内容を学習に使わない設定と、履歴を残さない設定があるかを確かめて切り替える。
  3. AIサービスのアカウントに多要素認証を設定する：ログイン情報が盗まれても、履歴を読まれないようにする。パスワードの使い回しもやめる。
  4. 会社が契約した法人向けのプランを使う：個人向けの無料プランと、法人向けのプランやAPIでは、入力データの扱いが異なることが多い。業務で使うサービスとプランを会社で決める。
  5. 入力の前に伏せ字・匿名化をする：氏名や社名、金額を記号に置き換えてから入力する。機密を検知して送信を止める仕組み（DLP）を使う方法もある。
  6. 利用できる人と範囲を絞り、記録を残す：部署や役割ごとに使える機能を分け、誰がいつ何を使ったかを管理者が確認できるようにする。
  7. AIが書いたプログラムや文書は人が確かめる：Bee Cheng Hiangの事例のように、AIの出力の不備がそのまま漏洩につながることがある。

日本と海外の規制・公的な注意喚起

生成AIと個人情報をめぐっては、各国の当局が注意喚起や規制を進めている。主な動きは次のとおりだ。

生成AIと情報の取り扱いに関する主な規制・注意喚起
国・地域 時期 内容 出典
日本（個人情報保護委員会） 2023年6月2日 生成AIサービスの利用について注意喚起。事業者が個人情報を含む内容を入力する場合は、利用目的の達成に必要な範囲内かを確認するよう求めた。本人の同意なく個人データを入力し、応答の出力以外の目的で扱われると、個人情報保護法に違反するおそれがあるとして、機械学習に使われないことの確認も求めている 個人情報保護委員会
日本（AI法） 2025年9月1日 全面施行 「人工知能関連技術の研究開発及び活用の推進に関する法律」が全面施行。同法に基づくAI基本計画は2025年12月23日に閣議決定された 内閣府
イタリア 2023年3月／2024年12月 データ保護当局が2023年3月にChatGPTの提供を一時停止させた（約1か月後に再開）。2024年12月には、個人データの取り扱いをめぐりOpenAIに1,500万ユーロの制裁金を科した。OpenAIは不服を申し立てる意向を示した Lewis Silkin
EU（AI法） 2026年 AIを利用していることの表示などの透明性の義務は、2026年8月2日から適用。高リスクAIへの義務は、適用開始を2026年8月から2027年12月に延期する改正が、2026年6月に欧州議会とEU理事会で承認されたと報じられている Hogan Lovells

AIの利用で情報漏洩が起きたときの対応の流れ

社員がAIに個人情報や機密を入力してしまった、AIサービスのアカウントが乗っ取られた、という場合の対応は、通常の情報漏洩と同じ流れで進める。

AIの利用で情報漏洩が起きたときの対応の流れステップ1事実の確認誰が・いつ・何をどのAIに入力したか記録を残すステップ2拡大の防止アカウントの停止パスワードの変更履歴の削除ステップ3報告と通知個人情報保護委員会へ速報は3〜5日以内本人への通知ステップ4再発防止原因の特定ルールと設定の見直し社員への周知
図：AIの利用で情報漏洩が起きたときの対応の流れ
  1. 事実の確認：誰が、いつ、どのAIサービスに、何を入力したかを確認し、記録を残す。
  2. 拡大の防止：該当アカウントの停止、パスワードの変更、多要素認証の設定を行う。サービスの機能で履歴を削除し、必要なら提供事業者に削除を依頼する。
  3. 報告と通知：個人データの漏えいで、不正な目的によるおそれがある場合や1,000人を超える場合などは、個人情報保護委員会への報告と本人への通知が義務になる。速報は発覚からおおむね3〜5日以内、確報は30日以内（不正な目的によるおそれがある場合は60日以内）だ（個人情報保護委員会）。
  4. 再発防止：原因を特定し、入力のルール、利用できるAIサービス、アカウントの設定を見直して、社員に周知する。

10. 利用者・企業が今すぐできる対策

事案の性質上、完全に侵害を防ぐことは困難だが、被害を最小化するために実施できる対策は明確だ。

被害の型別・対策の早見表

1章の4つの型ごとに、まず何をするかを一覧にした。詳しい手順は以下の各項目で説明する。

AIハッキングの被害の型別・最初に取り組む対策
型 最初に取り組む対策 関連する事案
① AIエージェントの暴走・誤動作 自社で使うAIに与える権限（メール送信・ファイル閲覧・外部への接続）を最小限にする。評価・検証用の環境は外部から切り離す Hugging Face、Google Gemini（テスト環境から外部へ接続できる状態だった）
② 攻撃者によるAIの悪用 公開機器・VPNのパッチ適用を速める。全アカウントに多要素認証を設定する。APIの棚卸しと回数制限、ログの点検を行う 韓国の金融機関、100超の組織への一斉攻撃、Anthropic報告、AWSが報告したFortiGate 600台超（公開された管理画面×単一要素認証）
③ だましの高度化 送金・振込先や認証情報の変更は別の経路で確認する。偽サイトでは使えないパスキーを使う。教育は「見分け方」より「確認の手順」 Arup、ANNの偽ログイン画面、EvilTokens（パスワードを変えてもトークンの取り消しが必要）
④ AIを使う側からの漏洩 入力してよい情報を決める。法人向けプランを使う。AIが書いたプログラムや文書は人が確かめる Bee Cheng Hiang、サムスン電子
今すぐできる対策（本章の要点）個人利用者✓ パスワードの使い回しをやめる✓ 多要素認証を有効にする✓ 「おわびメール」のリンクを開かない✓ 本人確認書類の提出先を把握する✓ カード明細・口座を定期的に確認する企業・情報システム担当者✓ 公開機器・VPNの修正プログラムを適用する✓ 全アカウントに多要素認証を入れる✓ 委託先とクラウドの設定を点検する✓ バックアップをネットワークから隔離する✓ AIの利用ルールと権限を決める
図：個人と企業が今すぐできる対策の要点

個人利用者向け

  • パスワードの確認と変更：被害が公表されたサービスで同じパスワードを他サービスに使い回している場合は速やかに変更する。パスワード管理ツールの活用が効果的。
  • 多要素認証（MFA）の有効化：対応しているサービスでは必ず有効にする。SMSよりも認証アプリを使う方がフィッシングへの耐性が高い。
  • 「おわびメール」を装ったフィッシングへの注意：漏洩公表後に当該企業を装った偽メールが届くケースがある。メール内のリンクをクリックせず、公式サイトのURLを直接ブラウザに入力して確認する。
  • 本人確認書類の提出先の管理：運転免許証・マイナンバーカード・パスポートの画像を提出したサービスの一覧を把握しておく。
  • クレジットカード明細・金融口座の確認：流出した場合に備え、定期的な確認と異常時の即時連絡手順を把握しておく。

企業・情報システム担当者向け

  • VPN・公開機器のパッチ管理の徹底：既知の脆弱性への修正プログラムを速やかに適用する。修正プログラムの優先順位はCVSSスコアと実際の悪用実績を参照する。
  • 委託先のセキュリティ管理の確認：委託先経由の侵入事案が複数確認されている。委託先が保有する自社データの範囲と委託先のセキュリティ基準を定期的に確認する。
  • アクセス権の最小化と定期棚卸し：強い権限のアカウントが長期間放置されている状態は侵入経路になりやすい。退職者・異動者のアカウント削除を徹底する。
  • クラウド構成の定期監査：設定ミスによる意図しない公開はツールを使った定期スキャンで検出できる。
  • APIの棚卸しと回数制限：スマホアプリから呼ばれる非公開APIや管理用APIも含めて一覧にし、認可・単位時間あたりの回数制限・トークンの有効期限を設ける。個人情報保護委員会（10/7）とJPCERT/CC（10/8）が、一連の事案を踏まえて求めた項目だ。
  • ランサムウェアへの備え：バックアップをネットワークから隔離して保管する。大阪公立大学の事案のように、バックアップまで暗号化されたケースが報告されている。
  • インシデント発生時の報告・通知手順の整備：発生から公表までの手順、通知対象者の特定、関係機関への報告タイミングを事前に文書化しておく。

  • 全アカウントへの多要素認証：管理者アカウント、VPN、クラウド、メールまで例外を作らない。盗まれたパスワードだけでは入れない状態にする。
  • 送金・振込先や認証情報の変更は別の経路で確認：ビデオ会議や電話の相手が役員本人に見えても、事前に決めた別の連絡手段で本人に確かめてから実行する（偽のビデオ会議で約2億香港ドルが送金されたArupの事例を参照）。
  • 社内で使うAIの利用ルールと権限を決める：AIに入力してよい情報と、AIエージェントに与える権限（メール送信、ファイル閲覧、外部への接続など）を最小限に決める。IBMの2025年版調査では、AIモデルやAIアプリが関わる侵害を報告した組織の97%が、AIへの適切なアクセス制御を持っていなかった。
  • 外部の文書・メールをAIに読ませるときは人の確認を挟む：文書に隠した指示でAIを操るプロンプトインジェクションへの備えとして、AIが読んだ内容だけを根拠に外部送信や設定変更を行わせない。

AIで作られた偽メール・偽ログイン画面への対処と、小さな組織が狙われる理由

ANNの実演（2分弱で偽ログイン画面を作成）のとおり、AIを使えば自然な日本語の偽メールや本物そっくりの画面を短時間で作れる。文面の不自然さで見破る方法は通用しにくくなっているため、見た目ではなく手順で守る。

  • メールやメッセージのリンクからログインしない：公式アプリ、またはブックマークした公式サイトから入り直す。
  • パスワードだけに頼らない：多要素認証を全アカウントに広げる。偽サイトに入力させる手口には、偽サイトのURLでは使えないパスキーが有効になる。
  • 送金・振込先の変更・認証情報の変更は別経路で確認する：メールで来た依頼は、電話の折り返しや社内チャットなど、依頼とは別の手段で本人に確かめる。ビデオ会議で上司の顔と声が確認できても同じ。
  • 社員教育では「見分け方」より「確認の手順」を教える：怪しいと感じたら誰に連絡するか、どの操作は必ず二人で確認するかを決めておく。

AIによる自動化は、攻撃にかかる手間と費用を下げる（上の一斉攻撃の事例では標的1件あたり3〜180ドルとされる）。そのため、大企業だけでなく小さな組織やサイトも標的になる。本記事の「実例」の節のとおり、このサイトにも、2026年10月1〜8日の8日間で攻撃・探索が4,628件届いていた。狙う価値の大小ではなく、入口が開いているかどうかで機械的に探されている。

防御側のAI活用：AIを使っているのは攻撃者だけではない

AIは守る側でも使われている。主な使い道は次のとおりだ。

  • 異常の検知とアラートの絞り込み：普段と違うログイン、大量のデータ持ち出しなどを見つけ、担当者が見るべき警告を絞り込む。
  • ログの分析と調査の高速化：侵害が疑われるとき、膨大なログから侵入の経路と範囲を短時間で洗い出す。
  • 脆弱性の発見：攻撃者より先に、自社のシステムや公開機器の弱点を見つけて直す。
  • 詐欺メール・偽サイトの判定：文面やリンク先から、なりすましを見分ける。

効果は数字にも表れている。IBMの「Cost of a Data Breach Report 2025」によると、セキュリティでAIと自動化を広く使う組織は、使っていない組織より侵害1件あたりの損害が平均190万ドル少なかった。侵害の発見から封じ込めまでにかかった平均日数も241日と、過去9年で最も短くなった。

一方で同じ調査では、調査対象の組織の63%が、社員のAI利用を管理する方針を持っていなかった。防御にAIを使うことと、社内のAI利用を管理することは、セットで進める必要がある。

11. よくある質問（FAQ）

Q. AIハッキングとは何ですか？
A. 生成AIやAIエージェントを使って行うサイバー攻撃と、企業が使うAIそのものを狙う攻撃をまとめた呼び方だ。前者は詐欺メールの文面作り、マルウェアの作成、脆弱性の探索などをAIにさせて攻撃を速く・大量にするもの。後者は社内のチャットボットやAIエージェントに細工した指示を読ませ、情報を漏らさせるもの（プロンプトインジェクション）。正式な用語ではないため、報道ではこの2つが混ざって使われている。

Q. 日本の情報漏洩事案でAIが使われたことは確認されていますか？
A. 2026年10月30日時点でも、日本国内の各事案（10月後半に公表されたカーセンサーnet・CAPCOM ID・So-netなどを含む）について「AIが使われた」と公式に認めた組織は確認されていない。セキュリティ会社・専門家が「可能性が高い」と指摘している段階にとどまる（NHK、2026年10月6〜7日）。
Q. 韓国の金融機関への攻撃でARTEXというAIツールが使われたというのは事実ですか？
A. 報道でARTEXの痕跡を指摘する内容があるが、未確認の段階だ。韓国金融委員会の公式発表文にはAIへの言及はない。CrowdStrikeはAIツールとLLMを使った可能性を指摘しているが、公式確定には至っていない（2026年10月8日時点）。
Q. AIが関与した攻撃にはどのような事案があり、従来の攻撃と何が違いますか？
A. 2026年7〜10月に公式確定した事案として、Hugging FaceへのAIエージェントの自律的侵入（OpenAI公表）、豪MedicareへのOpenAIエージェントの侵入、DIVDへのAIエージェントによる未知の脆弱性悪用、MicrosoftがAIツール「ARTEX」による攻撃の自動化を10月21日に公表した中国系集団Storm-0940の事案、韓国の警察が10月26日に発表した、AIツールで60の標的に侵入したとされるハッキング集団の摘発などがある。従来の攻撃との違いは「人間のオペレーターが各ステップを指示しなくても、エージェントが自律的に行動できる点」だが、大半の日本国内事案や世界の事案では、従来型のVPN脆弱性悪用や委託先経由の侵入が主要な経路として報告されている。
Q. 自分が使っているサービスで漏洩があった場合、何をすべきですか？
A. まず公式サイト（メール内リンクではなく直接URLを入力）で被害範囲と対応指示を確認する。パスワードの変更、MFAの有効化、金融口座の確認、本人確認書類の提出先管理の見直しが基本的な対応となる。おわびメールを装ったフィッシングに注意することも重要だ。
Q. 「AIハッキング」という言葉はどの程度正確ですか？
A. 攻撃者がAIを使って作業を高速化・自動化するケースは増加傾向にある（IBM調査：侵害の4件に1件がAI利用、前年比56%増）。ただし日本国内の個別事案の多くでは攻撃手法の詳細が公表されていない。「AIハッキングが原因で漏洩が増えた」という断定は、現時点の公開情報の範囲を超えている。
Q. AIに入力した情報は漏洩しますか？
A. 入力しただけで第三者に公開されるわけではないが、漏れる経路は3つある。1つ目は、入力内容がサービス側に保存され、契約や設定によってはAIの学習に使われること。2つ目は、サービス側の不具合で他の利用者に見えてしまうこと（2023年3月のChatGPTの不具合）。3つ目は、アカウントを乗っ取られて会話の履歴を読まれることだ。個人情報・認証情報・顧客から預かった情報は、会社が契約して管理しているAI以外には入力しないのが基本になる。
Q. 「AIが勝手にハッキングした」というのは本当ですか？
A. 2026年7月のHugging Faceの事案では、OpenAIのモデルがセキュリティ評価環境から自律的に外部のシステムへ侵入したと、OpenAI自身が説明している。ただし両社とも悪意は無かったとしており、攻撃者がAIを操って情報を盗んだ事案とは性質が異なる。経緯は4章の表にまとめた。
Q. 韓国の金融機関の事案は、その後どうなりましたか？
A. 2026年10月14日、韓国の金融委員会は被害が当初の7社から16社に拡大し、氏名・連絡先・住民登録番号などが約10万件（暫定値）漏れたと公表した。口座番号・カード番号の流出は確認されていない。AIが使われたかどうかは、同一グループによる攻撃かどうかとあわせて調査中で、公式に確定していない。あわせて行われた555社の緊急点検では130社に修正プログラム未適用や24時間監視なしなどの不備があり、大手の脆弱性点検を年2回以上にする方針が示された（Aju Press・The Korea Times、2026年10月14日）。

参考文献

AIの業務活用をご検討の方へ

クリスタルメソッドは、バーチャルヒューマンをはじめAIの開発・業務導入を支援しています。生成AI・AIエージェントの活用や、自社業務へのAI導入をご検討の際は、お気軽にご相談ください。

AIニュースのまとめをメールで

毎週月曜、海外AIニュースの日次ダイジェストを1週間分まとめてお届けします。無料・いつでも配信を停止できます。

監修

河合 継（クリスタルメソッド株式会社 代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について ｜ 編集方針

Read next

あわせて読みたい

  • AIセキュリティリスクと自律型エージェント対策：OpenAIの侵入事案から学ぶ企業の防衛策

    AIセキュリティリスクと自律型エージェント対策：OpenAIの侵入事案から学ぶ企業の防衛策

    AI技術の進展に伴い、人間が細かく指示を出さずとも自律的に判断してタスクを完結させる「自律型エージェント（Agentic AI）」のビジネス導入が急速に進んでい...

  • AI セキュリティリスク企業対策の盲点―OpenAIが隠した84日間の教訓のイメージ

    AI セキュリティリスク企業対策の盲点―OpenAIが隠した84日間の教訓

    AIセキュリティリスクが現実になった事案：オーストラリア政府医療ポータル侵害の要点 2026年6月18日、OpenAIのAIエージェントがオーストラリア政府のM...

  • AIハッキング対策で企業が取るべきセキュリティ新基準：Claude「脱獄」事案から学ぶ制御手法

    AIハッキング対策で企業が取るべきセキュリティ新基準：Claude「脱獄」事案から学ぶ制御手法

    AIハッキング対策で企業が取るべきセキュリティ新基準：Claude「脱獄」事案から学ぶ制御手法 人工知能（AI）技術の急速な進展に伴い、企業の生産性向上や業務効...

View more

AIで、業務の生産性を変革しませんか？

無料デモ・資料請求は1分で完了。お気軽にお問い合わせください。

無料デモを試す お問い合わせ