今週のセキュリティニュース - 2026年09月04日

フロンティアAIの進歩で脆弱性の発見速度が激増する一方、企業側はシステム停止の影響などから修正パッチの適用が追いついていません。政府はこの格差に危機感を強め、「Project YATA-Shield」を通じてAI活用の脆弱性診断や官民・業界横断でのセキュリティ強化を急いでいます。

また「サイバー対処能力強化法」に基づき、切迫した脅威に対しては警察や自衛隊が攻撃元へ直接アクセスして「無害化」する新体制を整備しました。あわせて基幹インフラ事業者へのインシデント報告義務化や報告窓口の一元化を進め、国全体での官民連携基盤を構築しています。

AIがサイバー攻防を加速させる中、対策は一企業の域を超えた安全保障上の課題となっています。企業には単なる現場の不具合修正にとどまらず、事業への影響を即座に見極めて迅速に対処する、経営主導のスピード感ある判断力が求められています。

カー用品大手のグループ企業は28日、Web作業予約システムが不正プログラムによる攻撃を受け、会員の個人情報最大約180万件が流出した可能性があると発表しました。18日朝に不正アクセスを検知したのち、外部接続を即座に遮断して調査を開始したことで事態が判明しました。

漏洩した可能性があるのは最大180万1499人分の会員情報（氏名・電話番号・メールアドレス・会員番号）です。なお、パスワードや車両情報は当該システム内に保存されておらず対象外で、他ブランドやグループ他社システムへの影響も確認されていません。

同社は対象会員へ順次連絡を進めるとともに、詳細の調査を行っています。本件はECや通販サイトに限らず、実店舗チェーンにおいても、厳格なWebアクセス管理と不正検知が不可欠であることを提示しています。

OpenAIは、新型AI「Astra」が、未知の脆弱性を自律的に特定し、攻撃に利用できる「重大（Critical）」レベルのサイバー能力に達したことを明らかにしました。社内の安全基準に従い一時は開発を停止していましたが、安全対策を強化した上で再開されています。

一般向けには悪用防止用のモニタリング機能を導入し、不正なリクエストを遮断します。ただし、正常な操作も誤って制限される場合があり、ユーザーによる手動の確認手順が必要になることがあります。

なお、高度な機能は特定のパートナー企業へ先行提供されます。モデルが広く一般公開される前に、防御側がAIを活用してセキュリティ対策や防御体制を固めることを目指しています。

米医薬品卸大手のMcKesson社のクラウド環境がサイバー攻撃を受け、患者や従業員の個人情報が大規模に流出しました。同社はクラウドアカウントへの不正侵入とデータ窃取の被害を認めています。

ハッカー集団「ShinyHunters」が犯行声明を出しており、従業員に対するフィッシングやソーシャルエンジニアリングの手法を用いて侵入したと主張しています。病歴や社会保障番号（SSN）などの膨大なデータが盗み出され、約5,500万ドルの身代金が要求されました。

McKesson社はサービス品質の低下を認めつつも、不正アクセスを遮断し業務は継続しているとしています。本件は、近年相次ぐ医療関連企業を標的としたサイバー攻撃の最新事例となります。