AIで変わったこと、変わらないこと

（前記事からの続き）
前述の事案一覧に関して、侵入経路で分類してみた。

2026年9-10月に報道された主なサイバー事案の記事

侵入経路	件数
未公表・調査中	19
Web・アプリ・APIの脆弱性・悪用	14
委託先・クラウド経由	5
VPN・ネットワーク機器	4
認証情報の悪用	2
端末の侵害	1
DDoS	1

件数の多さは目を引くが、実は割合や種別はあまり変わっているものではない。

そこから、こんなことが言えるのではないか。

入口は昔から変わらない

46件の事案について未公表部分を除いた27件に着目しても、十分に傾向は見える。

最も多いのは、Webサイトやアプリ、APIの脆弱性・仕様の不備を突かれたもので、14件と半分強を占める。会員情報を取り出すAPIを不正に使われたソースネクスト、Webサイトの機能の仕様の不備を突かれたディップ、BIツールの既知の脆弱性を突かれたVOISINGなどである。次いで、VPN機器経由と委託先経由が合わせて9件、約3分の1になる。ある組織ではは既知の脆弱性が残ったVPN機器から入られ、別の組織では委託先から盗まれた正規アカウントを悪用された。

どれも新しい手口ではない。VPN機器の脆弱性も、委託先の管理の甘さも、Webアプリの穴も、10年以上前から言われ続けてきたものばかりだ。「AIによる新しい攻撃」と呼べるような侵入口は、一つも見当たらなかった。

変わったのは「速さ」と「量」

では、なぜ今、これほど事案が続くのか。入口は変わっていないが、攻撃の速さと量は明らかに変わっている。

共同通信によると、不正アクセス等の被害は9月末時点で600件に達し、過去最多のペースだという。9月下旬からのわずか2週間で、国内の14社・団体が被害を公表した。

ここでAIが無関係かといえば、そうではない。JPCERT/CCは、攻撃者がAIを使って脆弱性のスキャンやAPI経由の攻撃をしていたことを確認している。NICTと総務省も、公開されているアプリを解析してサーバーを狙う手口に注意を呼びかけた。

つまりAIは、新しい扉をこじ開けたのではない。昔からある鍵のかけ忘れを、速く、大量に見つけて回る道具になったのである。「AIがサイバー攻撃をしている」という解説は、半分だけ正しい。しかし、肝心の残り半分、なぜ鍵がかかっていなかったのかが抜け落ちている。

運用の現場から見えること

私は10年以上前、数百のシステムの運用監視を担当していた。その経験から言えば、今回並んだ侵入口は、どれも運用の現場で「分かってはいるが、なかなか手が回らない」ところばかりである。

パッチを当てるには、関係部署との調整とシステムの停止時間が要る。深刻度が「中」と評価されていれば、つい後回しにしたくなる。デジタル庁のVPN機器の脆弱性も、当初の評価は「Medium」だった。委託先の管理も同じで、自社の手の届かないところは、どうしても目が行き届かない。

以前なら、こうした小さな隙を攻撃者が見つけるまでに時間がかかり、その間に塞げることもあった。AIはその猶予を奪いつつある。隙が見つかるまでの時間が短くなった分、「後回し」がそのまま被害につながるようになった。

世紀末思想に流されず、足元を固める

ノストラダムスの大予言が外れたように、AIが攻撃の世界を一変させたわけではない。変わったのは攻撃の速さと量であり、入口は昔のままである。

だとすれば、打つべき手も昔から変わらない。外部に公開しているVPN機器やWebサイトのパッチを最優先で当てること。委託先を含めて、誰がどの権限を持っているかを把握すること。そして、正規のアカウントの「いつもと違う動き」を見張ること。

地味な話である。テレビで評論家が語る「AIの脅威」ほどの派手さはない。しかし、毎日のニュースに一喜一憂するより、自分の足元の鍵を一つずつ確かめる方が、よほど確かな備えになるはずだ。

サイバー記事並べてみた

サイバー攻撃が頻発している。

　このところ、毎日のニュースはサイバー攻撃の話題から始まる。なかなか珍しいことだと思う。コロナ禍のころは、毎日「何人が感染し、何人が亡くなった」という数字の増減に一喜一憂させられたが、それと似た空気を感じる。

　どの番組にもIT研究家やサイバー評論家が担ぎ出され、「AIがサイバー攻撃をしているからだ」と、何でもAIのせいにする、解説にもならない解説を振りまいている。

　90年代、「ノストラダムスの大予言」をめぐって、1999年に大惨事が起こる、いや起こらないと騒がれた。いわゆる世紀末思想である。今の騒ぎは、それに似ているように感じる。こういう時こそ、一歩引いて見る必要がある。

　そこで、ここ2か月に報道された事案の見出しをまとめてみた。これらの事案を、いくつかの観点から分析してみたい。

2026年9月 日付 見出し 9/3 鳥取県、環境放射線モニタリングシステムにランサムウェア攻撃 9/7 東京科学大学、情報基盤への不正アクセスで学生・教職員の個人情報漏えいの疑い 9/11 デジタル庁GSSに不正アクセス、職員等約24.6万件漏えいの可能性 9/11 日本エネルギー経済研究所、フィッシング起点で所員6名のアカウントが悪用される 9/16・25 Gyazo、画像アップロードサーバーの脆弱性を突かれユーザー情報約2,362万件 9/18 ニチレイ、7月のサイバー攻撃で53,866件の個人情報漏えいを確定 9/20 ConoHa WING（GMOインターネット）、収容ホストに不正アクセス 9/23 J:COM、大量アクセスでDNSサーバーに高負荷、ネット・テレビ等が約9時間使いにくく 9/25 両毛システムズ、8月の不正アクセスをランサムウェアと確認、委託元のガス会社・自治体に波及 9/25 スマレジEC、管理画面ログイン機能の脆弱性を悪用される 9/26 京王グループのサーバーにランサムウェア攻撃、鉄道運行への影響はなし 9/28 タイムズカー、約660万アカウント漏えい、うち約160万件は本人確認書類 9/28 宿泊予約管理システム「TEMAIRAZU」に不正アクセス、予約者に不審メッセージ 9/29 ヤマト運輸「クロネコ代金後払いサービス」に不正アクセス、サービス停止 9/30 VOISING、BIツールの既知の脆弱性を突かれ約17万件の漏えいを確認 9/30 佐川急便、約100日分の荷物情報に不正アクセス 2026年 ランサムウェアの事例-国内・海外の被害を解説 - セキュリティニュースのセキュリティ対策Lab +15 2026年10月 日付 見出し 10/2 大阪公立大学、ランサムウェアで学内システム停止、全授業を約1週間休講 10/4 日本経済新聞社に不正ログイン、続報で約183万件に 10/5 焼肉きんぐ公式アプリ、10,788,963件の会員情報漏えい 10/5 大和証券、委託先経由で約11万人の情報漏えいの可能性 10/6 ミスターマックス、最大173万人の会員情報が流出 10/6 不正アクセス等の被害が9月末時点で600件、過去最多ペース（共同通信） 10/7 IDCFクラウドにランサムウェア攻撃、495の企業・自治体に影響 10/7 HIS子会社のファイルサーバーに不正アクセス、最大627名のパスポート情報 10/7 戸田建設、従業員4,778名分などに不正アクセス 10/8 サイバー攻撃多発で緊急の関係省庁会議、国家サイバー統括室で情報集約 10/8 第一興商、委託先経由で約872万件漏えいのおそれ 10/8 ローソンID、215万5,345件の漏えいを確認 10/9 総務省・経産省・IPAが相次ぐ不正アクセスを受けて注意喚起 10/9 ディップ「バイトル」、最大388万件漏えいの可能性 10/9 Peach Aviation、利用するクラウドサービスに不正アクセス 10/13 Fivot「IDARE」、12万9,659人分の残高・取引履歴などが漏えい 10/13 NICTと総務省、公開アプリを解析してサーバーを狙う手口に注意喚起 10/15 ソースネクスト、API不正利用で最大約2,252万件の顧客情報 10/15 バーガーキング公式アプリ、約1,118万件の漏えいを確認 10/15 JPCERT/CC、攻撃者がAIで脆弱性スキャンやAPI攻撃をしていたことを確認 10/16 IPA、事業者向けの不正アクセス特別相談窓口を開設 10/16〜17 阪急阪神系の予約サイト・通販サイト「HANKYU HANSHIN E-STORES」などで不正アクセス、サイト停止 10/17 【海外】仏スーパー700店超で冷蔵設備にサイバー攻撃、食品廃棄も 10/20 NEC、委託先への不正アクセスで顧客のシステム障害・情報漏えい 10/21 リクルート「カーセンサー」、最大370万件漏えいの可能性 10/21 ラクス子会社に不正アクセス、管理画面・API・メール配信を停止 10/21 オトトイ、最大約48万件の顧客情報漏えいの可能性 10/21 コミックシーモア、システムログ上の最大約420万件が流出 10/21〜22 【海外】PHPの重大脆弱性「PHP2Shell」、サーバー乗っ取りの恐れ 10/22 カプコン、CAPCOM IDで1,170万超のアカウント情報が流出 10/22 【海外】開発基盤Railwayにサイバー攻撃、顧客の秘密情報にアクセスされる 10月下旬 お名前.com デスクトップクラウドに不正アクセス、攻撃者とみられる者から金銭要求 10/27 IDCF第7報、侵入経路はポータル認証システムのOSS脆弱性と判明 10/27 【海外】チェコのゲーム開発会社Warhorse Studiosにサイバー攻撃 10/28 黒金化成、ランサムウェアで取引先・従業員の個人情報漏えいのおそれ 10/30 Binanceで推定約63億ドルの不正出金、エンジニアのノートPCが起点か 国内のランサムウェア被害事例27件と対策(2024〜2026年)｜業務停止・身代金・復旧｜株式会社ウェステリア +35

（次記事に続く）

AIがハッカーになった今、何が変わったんだろう

毎日のように、アナウンサーが「AIによるサイバー攻撃」を興奮気味に伝えている。
ハッカーの攻撃がAIに置き換わることで、いったい何が、どう変わっているのだろう。

昔はよかったなぁ、と思う。そもそもシステムなんて、会社や研究所、計算機センターといった専門の場所に行かなければ触れることすらできなかった。

最初のころは、設計もコーディングも自分たちでやっていた。コードを書いてコンパイルし、実行してテストする。使えるようになって、ようやく使う。
それでもシステムは壊れる。地震などの災害でも、人為的なミスでも、そしてバグによる誤動作でも。内製したばかりのシステムには、設計書と呼べるものすらないこともあった。作った本人にしか保守できず、そのシステムが動いている間、作った人は何度もIT部門へ呼び戻される。「システムの添付品」と呼ばれることさえあった。

では、正しいシステムづくりとは何か。動かしている中で意図どおりに動かなかったとき、その原因がわかりやすく、誰でも探し出せること。そういう高い保守性を目指して設計し、開発・試験・運用を回していく。性能が足りなくなれば、メモリを足し、CPUやディスクを増設する。

私自身、10年以上前には数百のシステムの運用監視を担っていた。たくさんのシステム、たくさんのハードウェア、たくさんの事業者と一緒にシステムを作り、守り、会社の事業の発展に尽くしてきた。震災のときは、再び来るかもしれない余震や放射能汚染も考慮して、監視体制を二手に分けるなど、さまざまな工夫を重ねた。

その後、IT業界は便利になったと言われる。AI以前に、まずクラウドの全盛期が来て、自前でシステムを持つ必要がなくなった。クラウドが構築の仕組みそのものを提供してくれるので、特定のプログラミング言語を習得していなくても構築ができるようになった。
利用者やほかのシステムとの接続にはインターネットが使えるようになり、専用線を引かなくても、VPNを組めば安全な環境が作れる。
マシンの購入も、固定資産の管理が面倒だからとレンタルにして経費化し、今ではクラウドのサブスクリプションで経費処理するだけで済む。マシンの調達、人材の育成、システムの構築という、時間のかかっていたものが短期間でできるようになった。

長い時間がかかっていたものが短期間でできるなら、万々歳じゃないか？
経費の面ではそうだ。けれど結局、人に頼る部分は残る。そして頼れる人を育てるには、やはり時間がかかる。
その結果が今だ。慣れていないシステムを、慣れていない保守体制で、それもテレワーク第一の人たちが管理している。そこに、AIの知恵と馬力が攻撃側に加わった。ただそれだけのことなのだ。

それでも、大変かぁ。

会社の辞め時２ 契約更新とSNS

　　2回連続で「人が辞める話」というのもどうかなぁとも思ったんだけど、今回も退職の話――前回は「処遇面での不満で辞めていった人」の話で、今回は「辞めさせられてしまった人」の話。

　「辞めさせられた」というと大げさなんだけど、うちの会社は年俸制で毎年契約を更新する仕組みだから、正確に言えば「更新されなかった」というだけの話。とはいえ、本人からすれば「辞めさせられた」と感じても無理はないかもしれない。

　その人の場合、正直に言うと仕事にはムラがあった。でも、言われればそつなくこなすし、それだけで契約を切るほどではない。

　実際に更新されなかった一番の理由は、偉い人と頻繁に飲みに行っていたこと。そして、その偉い人とのツーショット写真をあちこちのSNSにアップしていたこと。それが、うちの組織ではものすごく嫌われていた。

うちは、数年間ここで働いたという実績を「自分のキャリアの箔付け」にするつもりで来てくれる人が多い。そういう会社にとって、幹部――しかも有名人――がSNSにバンバン晒されるのはたまったものじゃない。「この人とは長く一緒にやっていくのは難しいかもね」ということで、契約の打ち切りが相談されることになった。

本人からすれば、悪いことをしたという自覚も反省もまったくない。だから、突然契約を打ち切られたように感じたと思う。でも、周りから見ていると「あの人、あんなSNSの使い方をしていたら、そのうちまずいことになるだろうな」というのが、前もってなんとなくわかってしまうものなんだよね。

結局、どこの会社にも、その会社なりの文化というか考え方というか価値観がある。長くその会社で働きたい人も、転職を繰り返していて仕事がなかなか長続きしない人も、こういうところを一度振り返ってみると、何かヒントが見つかるかもしれないね。

会社の辞めどき

先日、同僚が一人、会社を辞めた。仕事のできる、優秀な管理職だった。

優秀さの中身を言えば、彼は管理職でありながら現場力が非常に強く、行動力もある人だった。指示を出すだけでなく、必要とあれば自ら現場に入り、手を動かしながら判断していく。そういう二刀流ができる人間は、組織の中でも稀な存在だったと思う。

ただ、この二刀流ができること自体が、幹部から見れば疎ましく映った可能性もある。現場を掌握し実務まで動かせる管理職は、それだけ組織内で発言力や存在感を持ちやすい。本人にそのつもりがなくとも、自分の領域を脅かす存在として警戒されたのかもしれない。優秀であることが、必ずしも組織内での評価に直結するとは限らない。

本人の中では思うところが多くあったのだろう。追い詰められた末の、やむを得ない退職だったのだと思う。サラリーマンの数少ない武器のひとつが「辞める」という選択肢だが、それを切られてしまえば、会社も周りも「仕方がない」と思うしかない。ただ、辞める前にもう少し周りに相談できなかったのかと、残念な気持ちが残る。

彼が出社しなくなってまだ二、三日だというのに、チームは何事もなかったかのように普段通り振る舞っている。それは頼もしくもあり、同時にどこか虚勢のようにも見える。組織にはミッションがあり、彼もその一端を任されていたはずだが、その消化のされ方が会社の期待とは違っていたのだろうと感じている。

残暑お見舞い

立秋。暦の上ではもう秋ですが、まだまだ暑い日が続きます。

昔、中学校の先生が「8月7日に届くように暑中見舞いを出し合おう」という宿題を出したことがあります。このとき、暑中見舞いを出した人と残暑見舞いを出した人に分かれていて、夏休みが終わった後「実は残暑見舞いが正しかったよね。今日は立秋だったから」とみんなで確認し合ったことがあります。

意地悪な先生だなと思ったのですが、今でもそのことを覚えているということは、「立秋を境に、残暑見舞いと暑中見舞いを出し分けるのが礼儀ですよ」ということを教えてくれた、効果的なやり方だったんだろうと気がつきます。

もちろん気温のほうは今日からまた33度ということで、これから基本的には暑さの盛りが続くのですが、これも温暖化の影響で、昔の暦ができた頃の気温とは少し状況が違うのかもしれません。

もう亡くなった父が印刷業をやっていて、年末年始はカレンダーの印刷をしていました。カレンダーの下に会社の名前や住所が入る、いわゆる名入れカレンダーです。そんなこともあり、子供の頃からカレンダーをたくさん見る機会があって、六曜表をはじめ暦には興味があったなぁと思い出します。

特に今、熊本で地震の被災に遭われている方々には、少しでも健やかに過ごせる気温だったらいいなと思います。

生成AIなのか、やはり結果が大事ではないかと考えてみた件

プロ野球の監督の辞任騒動が、生成AIにより仕事を追いやられたことの明確な事例ではないかとの意見がWEBでも出ている。この事案は、プロ野球の監督が、家庭内のトラブルで、少女が生成AIと相談して、生成AIのおすすめに従い児童相談所に相談したら、警察沙汰になって、それを原因として監督を辞任するに至ったとされる事案である

www.nikkei.com

最近は生成AIへの関心が高いので、そのような取り上げ方の方がアクセスも増えるのかもしれないが、生成AIは児童相談所を語って警察に連絡したわけではない（と信じている）

　なので、この問題は、少女からの相談、それに伴う通報に至るプロセスに、人間による適切な思考があったのだろうかと、そちらの方が気になっている。人間は考える葦であるという言葉を借りれば、適切な思考があればまた違う話になっているのではないか。

人間は考える葦である

「人間は考える葦である」とは、フランスの有名な哲学者・パスカルの言葉です。葦というのは水辺に育つ、弱く細い草のような植物のことで、パスカルは著書の中で「人間は自然の中では葦のように弱い存在である。しかし、人間は頭を使って考えることができる。考える事こそ人間に与えられた偉大な力である」ということを述べています。（参照：人間は考える葦（あし）である | 今週の朝礼）

　人間は考えるから人間であって、考えなくなった生物学的人間はもはや人間ではないのではないかと常々思う。

　便利なものができると、その裏に退化するものがある。便利な機能により必要が少なくなったとされる機能だ。例えば自動車・電車・飛行機。移動手段が提供されることによって、直接歩くといった体力や気力はなくなる。

　またおいしいものがすぐに出てくるファーストフードやファミリーレストランが出てくることで、素材を吟味し、おいしいものを味わう能力が退化する。

　この退化は全員に発生するものではなく、便利になってもきちんとトレーニングする人は体力はあるし、安い飲食店がはやりでも、高度なサービスを売りに、高いサービスのレストランはあるし、そういうところにミシュランとかの星も付く。結局便利なものの便利なだけと、その便利さにかまけてしまうところに退化は始まるのだと思う。

　で、最初の事件の話。相談された児童相談所はしっかり考えて警察に通報したのか？　いきなり警察沙汰にすると傷つく人も多い。よく話を聞いてあげることが相談所の役割であって、その相談をせずに警察権を行使しないといけない警察に考えなしにエスカレーションをしているのであれば、そこはちょっと立ち止まって考えていただけると、また結果も違ったのかもしれない。

　要するに、「生成AIが監督を追いやったのではなく、もともと成績が不振だった監督が格好悪く記事で取り上げられたので、体よく監督の切り替えに使われた」事案だと思っていて、もし好調時であれば「戒告」くらいの話ではなかったかと。

 で、生成AIに職を追われるのではないかと気にしている人は、もともと考えることをやめた時点で職を追われるかもしれないかもしれないので、それを生成AIを悪者にするということで責任を他者に押し付けているだけかもしれないだけではないかと。

　と、少し、よく考えてみた