AIの悪用で変わるサイバー攻撃 — 相次ぐ公開Webシステムへの不正アクセスとランサムウェアの動向

1. はじめに

2026年9月末以降、Webシステムへの不正アクセスによる個人情報の漏えいが相次いでいます。当社による集計では2026年は10月10日時点で132件以上に到達し、そのうち94件が7月以降に集中しています。10月7日から9日の3日間には、個人情報保護委員会、JPCERT/CC、国家サイバー統括室、IPA、総務省、経済産業省、金融庁などが注意喚起や対策の要請を出しました。業界を所管する省庁も含まれていることから、特定の業界に限った攻撃ではないとみられます。

英国NCSCが2025年5月7日に公開した評価では、AIによって侵入の一部の工程がより効果的・効率的になり、2027年にかけてサイバー脅威の頻度と強度が高まることはほぼ確実だとされています。AIの悪用が広がれば、こうした攻撃はさらに増えるとみられます。このレポートでは、AIの悪用によって攻撃がどう変わったのかを整理したうえで、ランサムウェアと公開Webシステムへの不正アクセスの動向、それらへの対応を紹介します。 また、当社SOCの観測内容もレポートとして公開しておりますのでご興味ある方はご一読ください。

関連記事：2026年9月度 攻撃観測レポート｜CTC-SOC

2. AIによってサイバー攻撃がどのように変化したのか

攻撃者によるAIの悪用は、偵察、攻撃コードの作成や修正、フィッシングの文面作成、脆弱性の探索、窃取したデータの分析といった攻撃の工程を、生成AIやAIエージェントに担わせるものです。NCSCは、最先端のAIはサイバーリスクを根本から変えるものではなく、既存の弱点が見つかり悪用される速度と規模を高めるものだと説明しています。

2026年6月3日に公開された分析では、2025年3月から2026年3月にサイバー関連の悪用で利用を停止されたAIサービスのアカウントのうち、手口を詳しく分析できた832アカウントの84.4%に防御回避の手口が見られました。一方、侵入後の工程にあたる権限昇格、横展開、持ち出し、影響（データの暗号化や破壊、サービスの停止など、システムやデータに損害を与える工程）は、合わせても観測全体の8.7%にとどまります。このデータからは、AIが主に攻撃の前半で使われていることが読み取れますが、侵入後の操作にAIを使う攻撃者も増えています。いずれも1つのAIサービス上で観測された範囲の結果です。

2.1 悪用までの時間と脆弱性の数

NCSCは、AIがサイバー攻撃にもたらす変化のうち最も大きなものは脆弱性の調査と悪用コードの開発の支援になる可能性が高いとし、脆弱性の公開から悪用までの期間をAIがさらに縮めることはほぼ確実だとしています。その期間はすでに短くなっています。悪用された脆弱性の分析では、パッチ公開から脆弱性が悪用されるまでの平均日数は2018年の63日から2024年ではパッチ公開以前となる1日となり、2025年は推定で−7日でした。侵入後の動きも速くなっています。侵入事案の観測では、金銭目的の攻撃者が最初に侵入してから別のシステムへ横展開するまでの平均時間は、2023年の62分から2024年に48分、2025年に29分へ縮み、2025年の最速は27秒でした。

公開される脆弱性の数も増えています。CVE Programの統計では、公開されたCVEは2021年の20,161件から2025年の48,244件に増えました。2026年は、同プログラムのCVE Listを公開日で集計すると10月1日までに73,207件と、すでに2025年通年の約1.5倍です。

2.2 攻撃の各工程を補助するAI

AIは、攻撃者が自力では難しい作業も補っています。2025年8月27日に公開されたAIの悪用事例の報告では、英国を拠点とする攻撃者（GTG-5004）がAIを使ってランサムウェアを開発し、犯罪フォーラムを通じて400〜1,200ドルで販売していました。暗号化や解析妨害の機能を備えていましたが、この攻撃者にはAIの支援なしにこれらを実装する技術はなかったと分析されています。国内でも警察庁によると、19歳の会社員がAIで作成したソースコードを組み合わせてランサムウェアを作成し、2026年6月に逮捕されています。

セキュリティ製品の検知を回避する仕組みをAIが自動的に組み込む例もあります。2026年9月10日に公開されたAIの悪用事例の報告では、手口と標的がロシアの国家に関係する諜報活動と整合するとされた攻撃者（GTG-20006）が、配置したマルウェアがセキュリティ製品に検知されると、AIエージェントが検知を回避するまでマルウェアを改変・再構築する仕組みを作っていました。ただし、こういった改変などはAIが行う一方で持ち出したデータを確認するのは人間でした。

フィッシングでは、文面の自然さで見分けることが難しくなっています。2025年3月にフィッシング訓練の基盤で行われた実験では、AIが作成した訓練メールのリンクをクリックした利用者の割合は2.78%で、専門家チームが作成したメールの2.25%を上回りました。

恐喝の段階でもAIが使われています。同じ2025年8月の報告では、攻撃者（GTG-2002）がAIに偵察や侵入を実行させ、窃取した財務データを分析させて身代金の額を決め、脅迫文も作らせていました。この攻撃者はデータを暗号化せず、公開すると脅す方法で、少なくとも17組織に影響を与えた可能性があります。

2.3 AIシステムと連携先も攻撃対象になる

AIを業務に組み込むと、AI自身とその連携先も攻撃対象になります。NCSCは2025年12月8日のブログで、現在の大規模言語モデルはプロンプト内の指示とデータを区別しないため、外部から取り込んだ文書やWebページに仕込まれた指示（プロンプトインジェクション）は、SQLインジェクションのようには完全に防げない可能性があると指摘しています。そのうえで、完全な防止を目指すのではなく、AIに与える権限を絞り、入出力やツールの利用を記録・監視して、被害の範囲を小さくする設計を求めています。AIエージェントに与えるAPIキーやサービスアカウントなど、人以外が使うID（NHI：Non-Human Identity）の権限も、被害の範囲を左右します。

3. ランサムウェアと公開Webシステムへの不正アクセスの動向

ランサムウェアの被害は高い水準が続き、2026年には公開Webシステムへの不正アクセスも相次ぎました。どちらも手口の多くはAIの登場以前からあるもので、AIの利用が確認されているのは、ランサムウェアの開発や恐喝の補助（2.2）と、公開Webシステムへの不正アクセスにおける脆弱性のスキャンやAPI経由の攻撃などです。

3.1 ランサムウェアの被害と手口

警察庁によると、2026年上半期のランサムウェア被害の報告は123件で、半期としては統計を取り始めた2020年下半期以降で最も多くなりました。2025年は通年で226件あり、6割強を中小企業が占める一方、中小企業白書で企業数の約0.3%とされる大企業も64件と3割近くを占めています。侵入経路の回答があった92件のうち、VPN機器が61件、リモートデスクトップが19件でした。リークサイトの掲載を集計した公開データでは、被害を主張したグループは2023年の70から2025年の126に増え、2026年は10月15日時点で153グループ、掲載された被害は8,170件と、すでに2025年通年の8,146件を上回っています。リークサイトの掲載は攻撃者の主張であり、実際の被害とは一致しない場合があります。

侵入後には、EDRの検知を避けたり、EDRそのものを止めたりする手口が使われます。

• 正規のプロセスに紛れる：正規のアプリケーションに不正なDLLを読み込ませるDLLサイドローディングや、OS標準・正規の管理ツールだけで操作するLOTL

• 防御機能を妨害する：脆弱性のある署名済みドライバを持ち込んでEDRを停止させるBYOVDや、持ち込んだ正規のEDRで既存のEDRを妨害するBYOEDR（2025年に公開された研究での実証）

• 監視の範囲外で動かす：WSL上のLinux環境や仮想マシンの中で処理を実行し、ホスト側のEDRの監視が及ばない領域を使う

どこまで検知・阻止できるかは、製品と設定によって異なります。

暗号化や侵入を伴わない恐喝もあります。警察庁は、暗号化せずにデータを窃取して対価を要求する手口を「ノーウェアランサム」と呼び、2024年に22件、2025年に17件、2026年上半期に9件の被害を把握しています（ランサムウェアの件数とは別の集計）。2026年1月28日に活動を始めた0aptは、数日のうちに150件以上の組織への侵入をリークサイトで主張しました。当センターが2026年2月24日に公開したレポートでも取り上げたとおり、セキュリティ研究者の解析で、提供されたデータのサンプルが0バイトの空ファイルだったり、LLMで生成されたとみられる架空の企業情報を含んでいたりしたことが分かり、主張の多くは虚偽と判明しています。

3.2 相次ぐ公開Webシステムへの不正アクセス

JPCERT/CCは2026年10月8日の注意喚起（10月9日更新）で、9月前後から相次ぐ不正アクセスについて、寄せられた情報などに基づき次の手口を挙げています。すべての事案で同じ手口が使われたわけではありません。

• 既知の脆弱性の探索：標的ごとにさまざまな既知の脆弱性の有無をスキャンして悪用を試みたり、環境設定ファイルやバックアップファイルの窃取など管理不備を突く攻撃を試みたりしている可能性がある

• APIの不正操作：公開されているスマートフォンアプリを解析してAPIのエンドポイントやキーを特定し、画面操作では実行できない内部APIで権限の変更や不正なアカウントの作成を行う。他のシステムの侵害で窃取したAPIキーを使う例もある

• BIツールの脆弱性の悪用：MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）を、APIへの不正なリクエストで悪用する。認証なしに管理者権限を得られる脆弱性で、修正版が公開されており、悪用も確認されている

• Webシェルの設置：公開Webサーバーからアクセスできるアプリケーションサーバーに不正なWARファイルを置き、Webシェルとしてコマンドを実行する

公表された事案には、図書館の蔵書検索や施設の予約など、従来は狙われにくかったシステムも含まれています。ここからは、特定の企業ではなく、個人情報を扱う公開Webシステムが無差別に狙われている可能性が高いと読み取れます。狙われているのは、必要以上のデータを返すAPIや、会員向けの機能に匿名でアクセスできる不備などで、AIで見つけた共通ソフトウェアの未知の脆弱性（ゼロデイ脆弱性）が悪用された例は、現時点の公開情報では確認されていません。

10月9日に公開された攻撃の分析では、同じ識別子を使い回す攻撃者が約40分間に326のIPアドレスを使い分け、1,200件を超えるアクセスを行う攻撃が複数回観測されていました。SQLインジェクションによる認証の回避に失敗すると、事前に作ったとみられるアカウントでログインし、それも通じなければポイントを窃取できないかを探るなど、応答に応じて手を変えています。こうした動きからはAIエージェントのような仕組みで攻撃が自動化されていた可能性がありますが、この分析の時点では、AIの利用を直接示す痕跡は見つかっていませんでした。1つのIPアドレスあたりのアクセスは少なく、IPアドレスごとの件数で監視していると見逃すおそれがあります。

JPCERT/CCは10月15日、攻撃に使われた可能性のあるインフラを複数の組織と調べる過程で、攻撃者がAIを利用して既知の脆弱性のスキャンやAPI経由の攻撃を行っていたことを確認したと公表しました。攻撃元のサーバーは複数あり、日本以外の地域向けのWebサービスも攻撃していました。サーバー上には、Androidアプリの配布ファイルを解析し、APIにSSRFなどの脆弱性がないかを調べた痕跡もありました。AIの具体的な使い方や、攻撃者の目的・素性は公表されていません。

3.3 ランサムウェアと公開Webシステムへの不正アクセスの違い

JPCERT/CCは、今回の一連の不正アクセスを、断続的に発生しているランサムウェア攻撃などとは別の、大量の個人情報の漏えいにつながる攻撃類型として扱っています。3.1のランサムウェアと3.2の不正アクセスを比べると、次のように違います。

Webシェルが置かれたアプリケーションサーバーのように、公開Webシステムへの攻撃でもサーバー側のEDRや改ざん検知が役立つ場面があります。

4. 対応

AIによってサイバー攻撃に生じた変化はスピードと量に集約されます。AIが補助、自動化するのは既存の攻撃手口であり、今まで整えてきたEDRとバックアップなどのセキュリティ対策は引き続き有効です。また、悪用までの時間も縮んでいるため、攻撃者より先に弱点を塞ぎ、侵害に早く気付いて封じ込め、恐喝にも備えておく必要があります。

4.1 攻撃者より先に弱点を塞ぐ

• 公開資産の棚卸し：公開しているWebアプリ・API・管理画面・BIツールと、委託先が運用する資産、そこで扱う個人情報を洗い出す。不要な管理機能は公開を止める。

• 脆弱性対応の迅速化：悪用の有無と外部からの到達可能性で優先度を決め、パッチ適用を自動化する。自動適用は段階的に進める。

• APIとデータの保護：すべてのAPIでサーバー側の認可とリクエスト数の制限を行い、アプリにAPIキーや署名用の秘密鍵を埋め込まない。保存義務のない不要な個人情報は削除する。

• フィッシングに強い認証：FIDO2・パスキーを導入し、送金や権限変更などの重要な操作は別の経路で本人確認する。

• AIとNHIの権限管理：AIエージェントの権限と接続先を絞り、操作を記録して、重要な操作には人の承認を挟む。APIキーやサービスアカウントは発行から失効まで管理する。

4.2 侵害に早く気付き、封じ込める

• ログと通信の監視：エラー応答の急増、通常と異なる応答サイズ、外向きの大量通信を監視する。IPアドレス単位だけでなく、アカウントやAPIの機能単位でも集計する。

• EDRの稼働監視：EDRの停止や無効化の兆候を監視し、EDRとは別に集めたログと照合する。

• 初動対応の自動化：隔離・遮断などの初動を自動化する。自動で止める範囲と、誤検知時の戻し方は事前に決めておく。

4.3 恐喝に備える

• 対応手順の準備：支払い・交渉の判断者と社外の相談先を決め、脅迫文や交渉の記録を保全する。示されたデータはログと照合し、攻撃者の主張だけで漏えいと判断しない。

• 復旧の確認：保護したバックアップから実際に復旧できるかを試す。

5. まとめ

AIの悪用で変わったのは、攻撃の手口そのものより、弱点を探して悪用するまでの速さと、一度に試せる標的の数です。相次いだ公開Webシステムへの不正アクセスでは、攻撃者がAIも使って既知の脆弱性やAPIの不備を広く探り、多くの組織から個人情報が漏えいしました。ランサムウェアでは、AIが開発や恐喝の補助に使われ始めていますが、EDRの回避や暗号化を伴わない恐喝など、多くの手口は従来からのものです。

JPCERT/CCは一連の不正アクセスでのAIの利用を確認していますが、AIの具体的な使い方や、攻撃者の目的・素性は公表されていません。最初の確認としては、公開しているWebシステム・API・管理画面と、そこで扱う個人情報を洗い出し、直近のアクセスログにエラー応答の急増などの異常がないかを見ることが有効です。

出典