今週のセキュリティニュース - 2026年10月16日

米調査会社のガートナーは13日、日本企業への不正アクセスや情報漏洩の相次ぐ状況を受け、IT環境の緊急点検と経営層によるデジタル防衛の最重要課題化を促す緊急提言を発表しました。今後すべての攻撃でAI利用が当たり前となり、数日から数週間かかっていた攻撃作業が数分から数時間で完了すると予測しています。

同社はWebアプリやクラウドなどの公開資産、ソフトウェアの脆弱性に関する緊急点検を提唱しています。併せて不審なアクセスや大量データ取得といった侵害兆候の確認を促し、自律的な管理実現に向けた中長期的なロードマップ策定の必要性を指摘しました。

国内では9月以降、大手カーシェアリング企業などで不正アクセス事案が相次ぎ、対策が急務となっています。しかし、同社の7月調査では脆弱性管理を十分に実施できている国内大手企業は30%にとどまっており、防衛体制の再構築が強く求められています。

大手航空券予約サイト運営元にて約1464万件の会員情報が流出するなど、不正アクセスによる大量漏洩が相次いでいます。サーバーやクラウドへの不正侵入が原因であり、氏名や住所、電話番号などが流出しました。

同様の被害は他社にも及び、大手中古本チェーンでは子会社システムから会員情報やポイントカード番号が流出しました。また、大手鉄道会社でも新幹線の座席予約サイト等の会員約206万件のメールアドレスや一部カードの有効期限などが漏洩した恐れがあります。

各社は対象者への通知を進めるとともに二次被害への注意を呼びかけています。大手サービスを狙った攻撃が常態化する中、企業におけるクラウド環境やデータベースのセキュリティ再点検が強く求められています。

近年、企業では機密情報の漏洩を防ぐためにAIエージェントをサンドボックス（隔離空間）で運用するケースが増えています。しかし、AIセキュリティ企業のAIRは、この隔離制限を迂回して情報漏洩を引き起こせる脆弱性を発表しました。

この脆弱性はネットワークフィルタリングの欠陥によるもので、乗っ取られたエージェントが承認済みサーバーへ細工したリクエストを送り、そこを経由して外部へデータを送信できてしまう仕組みです。

AIRのCTOは、自社のAIエージェントによる漏洩インシデントのリスクを警告しており、適切なアクセス制御に加えて、接続許可後も継続的な動的検証が必要であると指摘しています。

Metaは、従業員の盗まれた認証情報が悪用され、同社のGitHubリポジトリへ不正アクセスを受けたと発表しました。影響は約1,500人に及んでおり、その大半は米国の同社従業員です。

同社から流出したデータの99％は企業の知的財産であるソフトウェアコードで、残りの1％は社内規定に反して誤って保存されていた個人情報でした。ただし、この個人情報の多くは合成データなどのテスト用データとされています。

Meta製品の脆弱性や社内システム自体が侵害されたわけではありませんが、たった1つの従業員IDの奪取から製品の設計図へアクセスされた形です。同社はリポジトリ内に混入していた暗号鍵などのシークレット情報を更新し、データの誤保存防止策や監視体制の強化を実施したとのことです。