今週のセキュリティニュース - 2026年07月10日

政府はAIを悪用したサイバー攻撃の高度化に備え、全国の自治体に対してシステムの脆弱性総点検と修復（パッチ適用）を求める通知を近く出す方針です。背景には、脆弱性検知能力が桁違いに高い最先端AI「クロード・ミュトス」などの悪用リスクがあり、すでに国内の自治体や委託先でも数十万件規模の個人情報漏洩が発生しています。

自治体のシステムは政府とも接続されているため、1箇所の隙が国全体のシステム侵害に繋がる恐れがあります。しかし、小規模な自治体では管理体制が小さく、利用中のシステムを精緻に把握できていないほか、外部への点検依頼に伴う費用負担の重さも大きな課題となっているのが現状です。

これに対し総務省は、相談受付体制の整備などの支援を検討しています。現場からは「高度な攻撃の完全な阻止は難しいが、基本対策を徹底するしかない」との声が出ており、国と自治体が一体となった迅速な脆弱性管理が急務とされています。

動画配信サービスに不正アクセスし、会員約4万6800人を勝手に退会させて業務を妨害したとして、当時中学生の男子生徒（15）が逮捕されました。運営会社は1カ月以上のサービス停止を余儀なくされる被害を受けています。男子生徒はサーバーの脆弱性を発見後、自動退会操作を行う不正プログラムを「ChatGPT」に聞いて完成させたと供述しています。

今回の事件は、特別な怨恨がなくても「趣味や興味本位」と「生成AI」が結びつくことで、容易に大規模なサイバー攻撃が成立してしまう現実を浮き彫りにしました。警察の統計でも不正アクセスの摘発件数は急増しており、その約7割を10〜20代の若年層が占めるなど、生成AIを悪用した安易なサイバー犯罪への関与が際立っています。

企業にとっては、未成年による興味本位の攻撃であってもビジネスに致命的な打撃を受けるリスクに変わりはありません。AIの普及によって攻撃のハードルが格段に下がっている今、パスワード管理の徹底といった基本対策の再確認とともに、システムの脆弱性を定期的に点検し、備えることが強く求められています。

セキュリティおよび監視プラットフォームを提供するSysdig社は、サイバー攻撃を自律的に実行する初のAI型ランサムウェア「JadePuffer」を確認しました。このAIは、サーバーへの侵入からファイルの暗号化、脅迫文の作成に至るまでを単独で完結させる能力を持っています。

ただし、攻撃の全工程が完全に無人というわけではなく、部分的には人間の介在が必須でした。具体的には、攻撃インフラの構築や標的の選定、システム侵入に悪用された初期認証情報の取得などは、事前に人間が行ってAIに引き渡していたことが判明しています。

この攻撃の最大の特徴は、エラーを数十秒で自己修正しながら進行する圧倒的なスピードです。AIエージェントによる攻撃は低コストで実行できるため、今後は同様の自律型サイバー攻撃が急増することが懸念されています。

セキュリティ教育ソリューションを提供するKnowBe4の最新調査によると、トレーニング未実施の場合、従業員の3人に1人（33.2%）がフィッシング攻撃に対して脆弱であることが分かっています。特に1万人以上の大企業では、環境の複雑化によりこの割合が39.5%に達しており、組織規模の拡大がリスクを増幅させている実態が浮き彫りになっています。

さらに、生成AIの台頭によりフィッシング攻撃はかつてないほど高度化しています。標的に合わせた巧妙な攻撃が低コストかつ大規模に展開されているため、従業員の注意力や従来の汎用的な訓練だけで脅威を完全に防ぐことは極めて困難な状況です。

これらの結果は、従来の汎用的なセキュリティ訓練の限界を示しています。企業は「人は初期状態では騙されやすい」という事実を前提とし、単発の対応ではなく、最新の脅威に適応できる継続的なトレーニングプログラムを導入・実践することが急務となっています。