Kasey Labs
LOG 016 ／ コラム ／

なぜ今、サイバー攻撃のニュースが続くのか｜公的な発表を読んで、アプリを作る側として考えた

アプリを個人で作る運営者が、公的な発表を読んで考えました。運営者情報

見たもの
2026年10月30日に、本文の数字をすべて出典のページで確かめた
未確認
AIが日本の被害増加にどれだけ影響したか、各事案の実行者、被害増加の原因別の割合

先に結論です。

  • 公表された被害は、確かに増えています。ただ、攻撃そのものが同じ割合で増えたかは、分かっていません。
  • 理由は、ひとつではないと思います。犯罪の分業、地味な弱点、アプリの裏側、AI、被害の連鎖が、重なっています。
  • 私は、個人でアプリを作る側です。そして、不正アクセスの復旧に関わったことがあります。その目で、最後に思ったことを書きました。

最近、企業の情報漏えいのニュースが多いですよね。気になったので、公的な発表や調査を読んで、整理しました（2026年10月30日時点）。

§1本当に増えているのか

MM総研の調査では、国内で公表されたサイバー攻撃による情報漏えい事案は、2026年1〜9月で454件でした。前年同期の304件から、約49％増です。10月13日時点で485件になり、2025年の1年間の432件を、すでに超えています。従業員300人以下の企業では、99件から195件へ、ほぼ倍になっています。

ただ、これは「公表された件数」です。実際の攻撃の数ではありません。検知から最初の公表までの平均日数は、2025年の30日から、2026年は17日に短くなっています。公表が早く、多くなったぶん、ニュースが増えて見える面もあるはずです。ここは分けて考える必要があると思います。

§2攻撃の「量」より「当たる確率」が上がっている？

セキュリティ会社のラックは、2026年9月の不審な通信の量は、長い目で見ると「大幅に増加したとは評価しにくい」としています。一方で、サーバーへの不正侵入の相談は、7〜9月の対応のうち52％で、前の四半期の30％から上がりました。

ラックはこれを、攻撃者が弱点を効率よく探して、少ない回数で侵入に成功しているのではないか、という仮説にとどめています。私もそこは同じで、断定はできないと思います。ただ、「数で押す」より「狙いを絞る」へ変わっているなら、ニュースの印象とも合います。

§3犯罪が「分業」になった

IBMの調査では、確認された恐喝グループは、2024年の73から、2025年は109に増えました。ランサムウェア（データを暗号化して身代金を求める攻撃）は、道具を貸し出す仕組みまで整っています。侵入口を探す人、売る人、道具を作る人、実行する人、と分かれているそうです。

おもしろいのは、Chainalysisの分析です。2025年は被害者の公表数が前年比で50％増えたのに、身代金の支払額は約8億2,000万ドルで、8％減りました。数が増えても、儲けが増えたわけではない。小さな集団が数多く、広く狙う形に変わった、という見方ができると思います。

§4入口は、意外と地味

Googleのグループ会社Mandiantの調査では、侵害の最初の入口は、脆弱性（直されていないソフトの弱点）の悪用が32％で、6年連続で最多でした。2位は、電話を使った聞き出しで11％です。欧州のENISAによると、2025年に公表された脆弱性は4万8,000件を超えて、前の年から22％増えています。

特別なハッキング技術ではなく、直していない弱点と、盗まれたパスワードが、入口になっている。これが現場の実感に近いのではないかと思います。

§5今年の新顔は、アプリの裏側

NICTは、2026年10月13日に、公開されているAndroidアプリを調べて、裏側のサーバーの弱点を探す手口を「A2B攻撃」と呼んで注意を出しました。アプリの画面は、実際には企業のサーバーと通信して動いています。その通信先と、やり取りの仕組み（API）が、アプリから分かってしまう。サーバー側に弱点があれば、個人情報が漏れる、という話です。NICTは、iOSアプリやWebサービスにも同じことが言えるとしています。

ただ、国内の漏えいがすべて同じ手口だと言える証拠は、ありません。ランサムウェアで業務を止める攻撃と、アプリの裏側から情報を抜く攻撃が、並行して広がっている、と見るのが正確だと思います。

§6AIは、すでに使われている

JPCERT/CCは、10月15日に、攻撃者がAIを使って、既知の弱点の探索やAPIへの攻撃をしていたことを確認した、と公表しました。ただ、AIがどの工程で、どう使われたかまでは、書かれていません。

海外では、Microsoftが10月21日に、中国政府と関係があるとみる攻撃グループが、AIの侵入テスト基盤を使って、世界の数百の組織を狙っていたと公表しました。標的を選んでから、クラウドの高い権限を手に入れるまで、3時間未満の例が複数あったそうです。

ここで気をつけたいのは、日本の被害増加に、AIがどれだけ効いたのかは、分かっていないことです。「全部AIのせい」という説明は、違うと思います。

§7国家の動きも重なる

ENISAの集計では、EUに関わる事案の57％が思想・政治的な動機で、金銭目的は約30％でした。欧州の集計なので、世界全体の割合ではありません。国家の関与が疑われる攻撃も、犯罪集団と同じ弱点や道具を使うことがあって、技術の痕跡だけでは区別しにくい、とされています。

§8一社の被害で、止まらない

2025年9月、アサヒグループでシステム障害が起きました。同社の調査では、障害の約10日前に攻撃者が入り込み、パスワードの弱点を突いて管理者の権限を奪っていた、と説明されています。入り込んですぐ止めるのではなく、中を調べてから動く。これは怖いところです。

アスクルは、2025年10月19日にランサムウェアに感染し、サービスを止めました。お客様情報と一部の取引先の情報が外に出て、Web注文の再開は11月12日でした。画面の中の障害が、商品の受注と出荷という、現実の仕事を止めた例だと思います。

§9政府の動き

10月26日の関係閣僚会議で、高市首相は、高性能なAIも使った模擬の攻撃テストで弱点を見つける取り組みを、前倒しするよう指示しました。緊急対策パッケージは、翌週中をめどにまとめるとのことです。これが被害をどれだけ減らすかは、今は誰にも分かりません。

§10作る側として思うこと

私は、Kasey Labsで、ブラウザで使えるアプリを個人で作っています。作るときの方針のひとつは、個人情報など、必要以上のデータを集めないことです。サーバーに預かる情報が少なければ、狙われたときに漏れるものも少ない。この記事を読んで、その方針は間違っていなかったと思いました。

もうひとつ、不正アクセスの復旧に、関わった経験があります。2026年、仕事で関わった企業のWordPressサイトでした。侵入が始まってから見つかるまで、約5か月。管理者アカウントが2つ作られていて、片方は登録日を昔に偽装していました。有名なプラグインに見せかけたマルウェアが、ファイル検査をすり抜ける形で隠れていました。アクセスログは保存期間が切れていて、入口は特定できませんでした。

あとから分かったのは、本番のサイトだけが、更新から取り残されていたことと、防御用のプラグインの機能が、ほとんどオフになっていたことです。復旧は、サイトをまっさらに入れ直す形で終わりました。

この経験から、はっきり言えることがあります。道具を入れるだけでは、守れません。持っているものを把握して、更新して、見る。それを仕組みにしていないと、5か月は気づけないんです。ニュースの大企業の話は遠く感じますが、仕組みの穴という点では、私が見た現場と、同じ形だと思います。

§11まとめ

  • 公表は増えているが、実際の攻撃の増え方は、分からない。
  • 分業、地味な弱点、アプリの裏側、AI、被害の連鎖が重なっている。
  • 結局は、持っているものを把握して、更新して、見る。この基本に戻ると思います。

§12出典

書いた人：Kasey Kobayashi（Kasey Labs 運営者）

#セキュリティ