日本へのサイバー攻撃が急増、AIが「黒幕」なのか？ 消えた「言語の壁」と狙われる日本企業の弱点

　ここ最近、日本国内の企業や公的機関などに対するサイバー攻撃が増加している。考えれられる理由にはさまざまなものがあるが、そのなかでもややセンセーショナルに伝えられたのが、サイバー攻撃にAIが活用されるようになった結果、これまでなら「日本語の壁」のおかげである程度難を逃れてきた、日本の企業や組織が標的に選ばれるようになったというものだ。 　この発言は、10月8日に警察庁がランサムウェア攻撃グループ「Qilin(キリン)」の主導メンバーとするロシア国籍の男性の身柄を拘束したと発表し、それに関してQilinメンバーが日本の報道機関に発したコメントが主な根拠となっている。このコメントで、Qilinのメンバーは日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」と評し、今後も企業や政府機関に対する攻撃が増加する可能性があると指摘した。

　ここ最近、日本国内の企業や公的機関などに対するサイバー攻撃が増加している。考えれられる理由にはさまざまなものがあるが、そのなかでもややセンセーショナルに伝えられたのが、サイバー攻撃にAIが活用されるようになった結果、これまでなら「日本語の壁」のおかげである程度難を逃れてきた、日本の企業や組織が標的に選ばれるようになったというものだ。 　この発言は、10月8日に警察庁がランサムウェア攻撃グループ「Qilin(キリン)」の主導メンバーとするロシア国籍の男性の身柄を拘束したと発表し、それに関してQilinメンバーが日本の報道機関に発したコメントが主な根拠となっている。このコメントで、Qilinのメンバーは日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」と評し、今後も企業や政府機関に対する攻撃が増加する可能性があると指摘した。

■増加する日本国内のサイバー攻撃事案 　一般社団法人JPCERTコーディネーションセンター(JPCERT/CC)は、10月8日付の注意喚起で、9月前後に日本国内の組織で不正アクセスによる個人情報等の漏洩が相次いでいると報告した。 　この注意喚起は、これまで断続的・散発的に発生していたランサムウェア攻撃等の不正アクセスとは異なり、大量の個人情報等の漏洩につながる攻撃パターンが特に増加している恐れがあることを強調するものだ。また一方で、すべての事件が同じ攻撃者や同一の攻撃手法によるわけではないことも指摘している。

　ロイターが2026年10月9日に報じたTrendAI(Trend Micro子会社)のデータによると、日本国内で記録されたサイバーセキュリティ関連の事案は26年9月に86件となり、8月から約18％、7月からは37％増加した。また、26年1〜9月に発生したサイバーセキュリティ関連事案の累計は、すでに25年通年の数を上回ったとされている。 　日本のサイバーセキュリティ企業S＆Jの社長、三輪信雄氏はロイターに対し、「AIは疲れることがない。いま日本は実質的に『絨毯爆撃』を受けているような状況だと考えられる」と述べ、さらに「かつては海外のハッカーに対する障壁になっていた言語などの壁を、AIがほぼ取り払ってしまった」との考えを示した。

　日本国内の報道においても、複数の国内のサイバーセキュリティ企業が、攻撃者がAIによって「日本語の壁」を超えやすくなったと述べていた。 　これはおそらく、サーバーなどへの侵入を試みる前の段階で使われる、フィッシングメールなどにおいて、機械翻訳を使った不自然な日本語の文章では人々に警戒されやすかったからと考えられる。 　また、ランサムウェアによる攻撃においては、被害組織との連絡や身代金交渉において言語が障壁となる場合がある。標的の企業や組織のシステムのロックを解除するための身代金交渉をするにあたっても、英語圏の国のほうが交渉がしやすいということもあった。しかし生成AIによって自然な日本語の文章を作成しやすくなったことは、こうしたコミュニケーション上の障壁を低くする可能性がある。

　しかしいまや、AIを駆使することで自然な日本語の文章を生成でき、身代金の交渉も、以前より簡単になっている。この傾向は、23年2月にサイバーセキュリティ企業のBlackBerry Japanが発表した、22年第4四半期グローバル脅威インテリジェンスレポートのなかですでに、「これまで、日本は言語の壁などによってサイバー攻撃の標的にされにくいと言われていたが、世界で2番目に多く攻撃を受けていたことがわかった」と報告されていた。

　日本国内のAIの安全性の評価手法の検討等を行う政府機関であるAIセーフティ・インスティテュート(AISI)も、25年10月の報告書で「言語の壁で守られていた(言語の違いにより海外からの攻撃が成立しづらかった)日本を代表とする国々が主な標的となっていることを観測しており、2024年度の新規フィッシングメールのうち、約8割が日本語で記載されたものとなっている」と指摘している。 ■海外におけるサイバー攻撃の傾向

　では、日本以外の国ではサイバー攻撃は増えているのだろうか。ざっと調べてみたところ、隣国である韓国でも、このところ、サイバー攻撃が頻発している模様だ。 　ロイター通信は、韓国国内の26年上半期のサイバーインシデント報告が1236件を数え、前年同期比20％増となったと報じている。その内訳としては、特にDDoS攻撃が56.7％の増加、ランサムウェア攻撃が76.8％の増加となっている。 　これらは26年上半期の統計情報であり、9月以降についての比較ではない。ただ、9月下旬から10月上旬の間にも、韓国では少なくとも9行の銀行がサイバー攻撃を受けている。

　主な事例としては新韓銀行で 約2万5000人分の顧客情報への侵害、イェガラム貯蓄銀行で約4万人分の顧客情報への影響があったとされ、さらにKB国民銀行や、ハナ銀行、BNK釜山銀行、現代キャピタルなどでも顧客情報の漏洩等が報じられている。 　クラウド型のエンドポイントセキュリティプラットフォームを提供するCrowdStrikeは、韓国の事例では攻撃者がAIツールを利用して脆弱性の探索やシステムへの侵入を進めたと分析している。ただし、すべての銀行の事案が同一人物によるものかどうか、AIがそれぞれの攻撃にどの程度寄与していたかまでは確定していない。

　ただ、これらの銀行への攻撃に関与したとして逮捕された中国在住の容疑者に関してCrowdStrikeの対抗脅威オペレーション担当シニア・バイス・プレジデント、アダム・マイヤーズ氏は、「ハッキングのスキルはそれほど高度なものではなかったが、効果的だった」と述べ、AIの支援がなければ一連の攻撃を実行することは不可能だったとの見解を示した。 　マイヤーズ氏はさらに、韓国の銀行で発生した一連の事案は、AIの進化に伴い、企業や組織にはより強力なセキュリティ管理と厳格な安全性テストが必要になっていることを浮き彫りにしたと述べた。

　これらの事例は、英語圏以外の国における言語の壁というよりも、大きく進歩したAIによって、それほどハッキングに関する知識やスキルを持たない者でも、企業などのシステムの脆弱性を探し出し、それを悪用して情報を盗み出すことが可能になってきたことを示唆している。 ■地域別では欧州の増加率が最も高かった 　Check Point Researchは、10月8日に公表した世界的なサイバー攻撃動向に関する報告書で、26年9月に世界の組織が受けたサイバー攻撃は、週あたり平均2803件となり、前年同月比48％増、前月比16％増となったと述べている。

　そして、この報告書では地域別では欧州の増加率が前年同月比61％と最も高かったことが示されている。 　また、同報告書ではランサムウェア攻撃が前年同月比53％増だったことも報告されている。ただしこれは、ハッカーグループらが、ランサムウェアによる攻撃を行ったことを報告している公開のサイトなどに掲載された、あくまでグループ側の主張に基づく件数の集計であり、公に確認されたランサムウェア被害の件数を示しているわけではない点に注意が必要だ。

　EUのサイバーセキュリティ機関ENISAは26年9月22日に、欧州におけるサイバー脅威の動向に関する報告を発表した。この報告書は25年の1年間を対象としたものであり、今年9月以降の話とはやや時期にズレがある。しかしこの報告では、行政機関が引き続き主要な標的となっていること、地政学的な緊張に伴うDDoS攻撃が続いていること、AIモデルが悪意ある活動を支援するために利用される可能性が高まっていることを指摘している。

　さらに、26年9月11日付の仏Le Monde英語版は、Anthropicが公表した調査をもとに、フランス語を話す単独の攻撃者がClaudeを利用して、フランスの極右団体に関連する約40の組織を標的にしたと報じた。追跡対象となった42組織のうち、少なくとも14組織のシステムへの侵入が確認され、政治団体の会員情報や寄付者情報などが漏洩したとされる。 　ただし、この攻撃自体は26年春頃に行われたものであり、9月以降の急増を示す事例ではない。それでも、AIがサイバー攻撃を行う際に、それを支援可能であることを示す補足的な資料と言うことはできるだろう。

■今後は侵入された後の対応にも備えが必要に 　独立行政法人情報処理推進機構(IPA)は、9月8日に公開した記事中で、「侵入型ランサムウェア攻撃」の被害が多発しており、企業の重要データの暗号化と、持ち出した情報を盾にした「二重の脅迫」が行われる可能性を指摘している。 　また、JPCERT/CCは、10月9日に公開した文書で、一般向けのサービスやアプリからだけでなく、ビジネスインテリジェンス(BI)ツールや従業員管理システムなどを経由した情報流出が起きていることを指摘し、管理APIの認証・権限設定の不備だけでなく、他システムから盗まれたAPIキーが悪用されることにも警戒が必要だと述べている。

　また、AIによって自然な日本語文章が生成可能になったことで、標的とする企業を狙ったフィッシングなどの偽メールも、これまでよりさらに巧妙化するだろう。AIを使った脆弱性の探索も高度化し、攻撃者側は天才的なハッキングスキルを持つ者に頼る必要がなくなっていくと考えられる。 　なお、漏洩した個人情報や機密情報が、その後どのように悪用されるかについては、個々の事案ごとに確認する必要がある。情報漏洩が判明した時点では、2次被害が確認されていない場合でも、盗まれた情報が後日、フィッシング詐欺や不正ログインなどに悪用される可能性はある。

　氏名、住所、メールアドレスなどが漏洩した場合には、本人になりすましたフィッシング詐欺や、他のサービスへの不正ログインなどにつながる恐れがある。漏洩した情報の種類によっては、金融サービスの不正利用などにも注意が必要だ。 　日本国内の企業は、今後さらに大規模な情報漏洩が発生する前に、インターネットに接続されたシステムのセキュリティ体制を洗い直すことが求められる。 　そして、不正アクセスを許してしまった場合には速やかにそれを検知できる体制を整え、アクセス履歴情報(ログ)を保全したり、ネットワークから分離したバックアップの保管と定期的な復旧テストの実施などにより、万が一の際には実際に復旧できるよう備えておくことも必要になる。システムの運用やセキュリティを外部に委託している場合は、インシデント発生時の連絡手順やログの提供、復旧責任、再委託先の管理状況まで契約・運用面を確認しておくべきだろう。

　また、顧客が利用するウェブサービスだけでなく、管理者アカウントやVPN、クラウドサービス、外部委託先の管理用アカウントなどについても、多要素認証の導入やアクセス権限の見直しを進めることが重要だ。 　今後は「侵入されない」ことよりも、「侵入されたとしても、個人情報などの機密が大量に流出したり、サービスや業務が長期間停止させられるような事態に発展させない」仕組みを構築することが、企業や組織にとって必要事項となっていくのかもしれない。