政府が注意喚起：AIを使う攻撃に備えよ、相次ぐ個人情報漏えいを受け国家サイバー統括室が基本対策の徹底を要請

内閣官房の国家サイバー統括室は2026年11月5日、国内で相次ぐ個人情報の漏えいを受け、ウェブサイトやモバイルアプリを運営する事業者に向けて注意喚起を公表した。基本的な対策が十分でなかったことが原因とみられる事例を複数確認したとして、セキュリティ対策の徹底を求める内容だ。文書では、攻撃者が標的の調査や侵入にAIを使っている可能性が高いとも指摘されており、規模の大小を問わず幅広い事業者が標的になっているという見方が示されている。今回の注意喚起が何を求めているのか、背景にある漏えいの実態と合わせて整理する。

相次ぐ漏えい、原因は「基本的な対策」の不足

国家サイバー統括室が今回の文書で原因として挙げたのは、大きく三つだ。一つ目は、モバイルアプリを開発する際のセキュリティ対策の不足。二つ目は、ウェブサイトなどの設定の不備。そして三つ目は、サポートが終わったソフトウェアや、既知の脆弱性を残したままのソフトウェアを使い続けることだ。

いずれも高度な攻撃手法というより、基本の徹底で防げたはずの弱点だと文書は位置づけている。統括室によると、攻撃者はインターネット上に公開されているウェブサイトなどを大規模に調べ、侵入できるシステムを探して個人情報を窃取したとみられる。個別の事案名や件数は文書に挙げられていないが、同じ11月5日にはNTTドコモがオンラインショップなどへの不正アクセスで顧客情報が最大で約30万件流出したと発表しており、漏えいが続いている状況がうかがえる。

総務省も11月6日、所管する事業者や関係団体に同じ内容を伝えており、政府全体で注意を促す動きが広がっている。

攻撃にAIが使われている可能性が高いと指摘

今回の文書で特に踏み込んだのが、AIへの言及だ。文書は「標的の調査や侵害にAIを使用している可能性も高く」と記している。AIの悪用により、これまでの脆弱性診断では比較的低いと評価されたリスクが組み合わさって侵入の原因になった可能性のある事例もあるという。

つまり、単体では「低リスク」と片づけられていた弱点が、複数組み合わさることで入口になる。AIが使われることで、そうした弱点の探索や攻撃の大規模化が容易になり、事業規模を問わず幅広い事業者が標的になっていると考えられる、と統括室は分析している。ただし、個別の事案でAIの使用が証明されたわけではない点には注意が必要だ。あくまで攻撃全体の傾向として、AIの関与が疑われている段階だ。

それでも「うちは小さいから狙われない」「低評価の指摘は後回しでよい」という前提は、今回の文書の見立てとは合わない。攻撃者が広く網をかけて調べている以上、規模の小さい事業者も例外ではないというメッセージが込められている。

10月の文書から対象を広げ、対策例は23件に

国家サイバー統括室は10月9日にも、修正パッチの速やかな適用や多要素認証の導入など、組織全体の基本対策を求める注意喚起を公表していた。今回の11月5日の文書は、その対象を広げたものだ。文書は13ページに増え、相手は「ウェブサイトやモバイルアプリを使用した事業を運用し、個人情報を取り扱っている事業者等」と書かれている。

対策は「運用・管理」「設計・開発」「サプライチェーン」の3分野、計8項目に整理され、対策例は全部で23件ある。運用・管理では、AIなども活用した継続的な脆弱性診断や、ログの監視による不審な挙動の検知が挙げられている。設計・開発では、アプリの開発段階からのセキュリティ対策や、公開する管理画面の扱いなどが求められている。サプライチェーンでは、委託先の接続経路の点検などが含まれる。

照合の優先順位として、米国CISAのKEVカタログに載っているような、実際に悪用が確認された脆弱性を先に確認することも挙げられている。古い穴から順に塞ぐのではなく、実際に使われている穴から塞ぐという考え方だ。

防御側のAI活用も求める、ただし最終判断は人

興味深いのは、文書が攻撃側だけでなく防御側のAI活用にも触れている点だ。AIなどを活用した継続的な診断や監視を積極的に検討するよう求めている。ただし、AIによる評価結果は根拠と妥当性を確認し、最終的な対応判断は人が行うことも求めている。AIの判断をうのみにせず、人が根拠を確かめる姿勢が条件になっている。

また文書は、公開アプリを解析してAPIの脆弱性や認可の不備を特定し、バックエンドから情報を盗む手口として、情報通信研究機構(NICT)が10月13日に注意喚起した「A2B攻撃」にも触れている。アプリそのものだけでなく、アプリの裏側にあるシステムまで含めて点検する必要があるという指摘だ。

23の対策例、分野別の中身はどうなっているのか

対策例23件の内訳を見ると、狙いは「目立たない穴をなくすこと」だとわかる。運用・管理の分野では、AIなども活用した継続的な診断と監視が3件挙げられている。定期的に診断を行い、ログを監視して不審な挙動を見つけ、問題が見つかったときに速やかに調査できる体制を整えるという内容だ。

設計・開発の分野では、管理画面の公開状況の点検や、アプリの裏側にある権限の確認が挙げられている。管理画面がインターネットから誰でも開ける状態になっていないか、アプリが本来必要のない権限で裏側のシステムにアクセスできていないか。こうした点は、開発の現場で見落とされやすいが、漏えいの入口になりやすい。

サプライチェーンの分野では、委託先の接続経路の点検が挙げられている。自社だけでなく、業務を委託している先のシステムとのつなぎ目も確認の対象だ。委託先の弱点が自社の漏えいにつながる事例は少なくないため、つなぎ目の管理も基本対策に含まれている。

なぜ今、基本対策が問われるのか

今回の注意喚起の背景には、国内で漏えいが続いている現実がある。2026年に入ってからも、大手企業の顧客情報の漏えいが相次いで報じられている。11月5日にはNTTドコモがオンラインショップなどへの不正アクセスで顧客情報が最大で約30万件流出したと発表し、原因と侵入経路は調査中としている。2026年11月1日にはGMOグローバルサインで約4万5千人分の情報が漏えいしたことが報じられ、クラブツーリズムでも約432万件の個人情報が漏えいした可能性が伝えられている。

これらの事案の原因は一つではないが、国家サイバー統括室が今回の文書で指摘したように、基本的な対策の不足が原因とみられる事例が複数確認されている。高度な攻撃を防ぐ以前に、設定の不備や古いソフトの放置といった、基本の穴が入口になっているというのが統括室の見立てだ。

10月9日の文書では、組織全体の基本対策として修正パッチの速やかな適用や多要素認証の導入が求められた。今回の文書はその対象を広げ、ウェブサイトやモバイルアプリを運用する事業者に絞って、より具体的な対策例を示したものだ。文書が13ページに増えたのは、対策の具体例が増えたためでもある。

中小企業がまずやるべき三つのこと

今回の注意喚起は、規模の大小を問わず幅広い事業者が標的になっていると述べており、中小企業も例外ではない。では、限られた人員で何から手を付ければよいのか。文書の内容から、まず取り組むべき三つのことが見えてくる。

一つ目は、使っているソフトウェアの棚卸しだ。サポートが終わったソフトや、既知の脆弱性を残したソフトが社内にないか確認する。使っていない古いシステムが放置されている場合、それが入口になる。不要なものは止めるか、更新する。

二つ目は、管理画面や公開範囲の確認だ。ウェブサイトの管理画面がインターネットから開ける状態になっていないか、アプリの裏側の権限が適切かを確認する。公開する必要のないものを公開したままにしないことが基本になる。

三つ目は、ログの監視と診断の仕組みだ。AIなどを活用した継続的な診断や、ログによる不審な挙動の監視が対策例に挙げられている。すべてを人の目で見るのは難しいからこそ、道具を使って継続的に確かめる体制が求められている。AIの評価結果は人が根拠と妥当性を確かめて最終判断するという条件つきだが、道具の活用自体は推奨されている。

利用者が今すぐ確認したいこと

今回の注意喚起は事業者向けだが、個人情報を預ける側の利用者にも関係がある。漏えいが起きたときに被害を広げないために、利用者自身ができる確認もある。まず、長く使っていないサービスのアカウントや、同じパスワードを使い回しているサービスがないか見直すことだ。漏えいした情報が別のサービスへの不正ログインに使われる事例は少なくない。

次に、利用している主要なサービスで多要素認証が有効になっているか確認したい。パスワードだけのログインは、漏えいした情報と組み合わせると突破されやすい。さらに、身に覚えのないログイン通知や、届いたはずのない確認メールが来ていないか、定期的に確かめる習慣も役に立つ。

政府の注意喚起は、高度な攻撃を防ぐ新しい技術の導入を求めるものではない。基本の穴を一つずつ塞ぐことこそが、AI時代の攻撃に対する最も確かな備えだというメッセージだ。事業者は23の対策例を自社の状況に照らして点検し、利用者は自分のアカウントの守りを確かめる。双方の基本がそろって初めて、漏えいの連鎖は止まる。

Frequently Asked Questions

国家サイバー統括室の注意喚起はいつ出されたのですか

2026年11月5日に公表された。タイトルは「個人情報の漏えい等につながる不正アクセスへの対策について」で、ウェブサイトやモバイルアプリで個人情報を扱う事業者に向けた文書だ。10月9日にも組織全体の基本対策を求める注意喚起が出ており、今回は対象を広げたものになる。

文書が挙げた漏えいの原因は何ですか

大きく三つだ。モバイルアプリ開発時のセキュリティ対策の不足、ウェブサイトなどの設定の不備、サポート終了ソフトや既知の脆弱性を残したソフトの使い続けだ。攻撃者はインターネット上のサイトを大規模に調べ、侵入できるシステムを探して個人情報を窃取したとみられている。

AIが攻撃に使われているのは確実なのですか

文書は「標的の調査や侵害にAIを使用している可能性も高く」と述べており、確実と断定しているわけではない。個別の事案でAIの使用が証明されたわけではないが、低リスクとされた弱点の組み合わせによる侵入や攻撃の大規模化が起きているとして、AIの関与が疑われている。防御側でもAI活用が求められているが、最終判断は人が行うことが条件とされている。